Wir stehen möglicherweise vor der größten Sicherheitsmigration der digitalen Geschichte. Ausgerechnet der Versuch, unsere Daten vor Quantencomputern zu schützen, könnte in den kommenden Jahren Millionen neuer Angriffspunkte schaffen. Die eigentliche Gefahr beginnt nicht mit dem ersten Quantencomputer – sondern mit der hektischen Umstellung auf eine neue Welt der Verschlüsselung.
Als ich kürzlich einen Zeitungsartikel über quantensichere Verschlüsselung las, musste ich unweigerlich an den Millennium-Bug denken.
Vor mehr als 25 Jahren gehörte ich zu denjenigen, die sich mit der Anpassung unzähliger COBOL-Programme befassen mussten. Das Problem war damals keineswegs neu. Seit Jahren wusste die IT-Branche, dass Computerprogramme mit zweistelligen Jahreszahlen beim Wechsel von 1999 auf 2000 Schwierigkeiten bekommen könnten. Dennoch wurde vielerorts gezögert. Projekte wurden verschoben, Budgets gekürzt und Entscheidungen vertagt, bis der Zeitdruck schließlich so groß wurde, dass weltweit hektisch programmiert wurde.
Am Ende geschah jedoch weit weniger, als viele befürchtet hatten. Manche behaupteten sogar, der ganze Aufwand sei übertrieben gewesen. Dabei übersahen sie den entscheidenden Punkt: Gerade weil Millionen Programmzeilen noch rechtzeitig angepasst wurden, blieb die befürchtete Katastrophe aus.
Heute sehe ich Parallelen. Doch diesmal erscheint mir die Herausforderung um ein Vielfaches größer.
Der eigentliche Countdown hat längst begonnen
In den Medien wird häufig darüber berichtet, dass leistungsfähige Quantencomputer eines Tages unsere heutige Verschlüsselung überwinden könnten. Das ist richtig, greift aber viel zu kurz. Die eigentliche Herausforderung beginnt nicht erst mit dem ersten leistungsfähigen Quantencomputer, sondern bereits heute.
Vertrauliche Daten werden schon jetzt weltweit gespeichert. Nachrichten, Verträge, Gesundheitsdaten, Forschungsunterlagen, militärische Informationen und Geschäftsgeheimnisse verschwinden nicht einfach wieder. Sie liegen auf Servern, in Clouds, auf Sicherungsmedien und in Archiven. Angreifer müssen diese Daten heute nicht entschlüsseln können. Es genügt, sie abzufangen und aufzubewahren. Fachleute sprechen von „Harvest now, decrypt later“ – heute sammeln, morgen entschlüsseln. Sollten Quantencomputer tatsächlich die heute verbreiteten Verfahren wie RSA oder elliptische Kurven kryptografisch überwinden können, wären viele dieser Daten plötzlich lesbar.
Die größte IT-Migration der Geschichte
Die öffentliche Diskussion konzentriert sich meist auf die neuen mathematischen Verfahren, die künftig eingesetzt werden sollen. Doch die Mathematik ist vermutlich gar nicht das größte Problem. Die eigentliche Mammutaufgabe besteht darin, diese neuen Verfahren weltweit in bestehende Systeme einzubauen. Wir sprechen dabei nicht über einige tausend Programme. Wir sprechen über Milliarden Endgeräte, Smartphones, Router, Industrieanlagen, Krankenhäuser, Banken, Behörden, Rechenzentren, Satelliten, Fahrzeuge und Cloud-Plattformen.
Unzählige Anwendungen müssen angepasst, Zertifikate ersetzt, Schlüssel neu verwaltet und Kommunikationsprotokolle geändert werden. Viele Systeme wurden über Jahrzehnte entwickelt. Manche werden längst nicht mehr aktiv gepflegt. Andere sind tief in kritische Infrastrukturen eingebettet und können nicht einfach abgeschaltet oder ersetzt werden.
Eine solche Umstellung dürfte zu den größten technischen Umbauarbeiten gehören, die die digitale Welt jemals erlebt hat.
Die Mathematik ist selten das Problem
Während meiner Zeit in der IT-Branche habe ich eine Erfahrung immer wieder gemacht: Nicht die mathematische Theorie verursacht die meisten Probleme. Vielmehr ist ihre praktische Umsetzung.
Neue Software muss getestet werden. Schnittstellen müssen angepasst werden. Alte und neue Verfahren müssen übergangsweise nebeneinander funktionieren. Jede zusätzliche Komplexität erhöht die Gefahr von Fehlern. Genau darin sehe ich das eigentliche Risiko. Nicht weil die neuen quantensicheren Algorithmen unsicher wären. Sondern weil ihre Einführung zwangsläufig unter enormem Zeitdruck erfolgen könnte.
Der Mensch bleibt das schwächste Glied
Je sicherer die Verschlüsselung mathematisch wird, desto interessanter werden Fehler bei ihrer Einführung. Cyberkriminelle müssen künftig vielleicht gar nicht mehr versuchen, hochkomplexe kryptografische Verfahren zu brechen. Es genügt oft, schlecht konfigurierte Server, vergessene Altsysteme, fehlerhafte Zertifikate oder unvollständige Migrationen auszunutzen. Die Geschichte der IT zeigt, dass viele Sicherheitslücken nicht durch schwache Verschlüsselung entstehen, sondern durch menschliche Fehler. Und genau diese Fehler nehmen erfahrungsgemäß zu, wenn unter hohem Zeitdruck gearbeitet werden muss.
Eine Lehre aus dem Millennium-Bug
Der Millennium-Bug hat uns eine wichtige Erkenntnis hinterlassen. Bekannte Risiken verschwinden nicht dadurch, dass man sie ignoriert, sie werden lediglich größer. Damals gelang die Umstellung, weil letztlich weltweit enorme personelle und finanzielle Ressourcen mobilisiert wurden. Ob sich eine ähnlich koordinierte Kraftanstrengung heute wiederholen lässt, ist keineswegs selbstverständlich. Die digitale Welt ist ungleich komplexer geworden.
Vertrauen ist unsere wichtigste digitale Ressource
Wir sprechen häufig über künstliche Intelligenz, Cloud-Dienste oder Quantencomputer. Dabei gerät leicht in Vergessenheit, dass all diese Technologien auf einem unsichtbaren Fundament beruhen: Vertrauen.
Wir vertrauen darauf, dass unsere Bankdaten geschützt sind. Wir vertrauen darauf, dass medizinische Informationen vertraulich bleiben. Wir vertrauen darauf, dass Behörden, Unternehmen und Regierungen sicher kommunizieren können. Gerät dieses Vertrauen ins Wanken, betrifft das nicht nur Informatiker. Es betrifft unsere gesamte Gesellschaft.
Mein Fazit
Vielleicht wird der Quantencomputer eines Tages tatsächlich Geschichte schreiben. Nicht weil er schneller rechnet als heutige Computer, sondern weil er die Welt zu einer der größten technischen Umstellungen aller Zeiten zwingt. Es ist zu hoffen, dass wir diesmal aus der Geschichte lernen. Denn eines hat mich meine jahrzehntelange Tätigkeit in der Informatik gelehrt:
Komplexität ist der natürliche Feind der Sicherheit!
Und wenn Milliarden Systeme gleichzeitig verändert werden müssen, entscheidet am Ende nicht die Brillanz der Mathematik über den Erfolg, sondern die Sorgfalt ihrer Umsetzung.
zwischendenzeiten.org 