Was ist Post-Quanten-Kryptografie?
Post-Quanten-Kryptografie umfasst klassische Algorithmen, die gegen Angriffe mit heutigen Computern und künftigen Quantencomputern ausgelegt sind. Sie sollen angreifbare Verfahren für öffentliche Schlüssel wie RSA und elliptische Kurven ersetzen. Dafür braucht eine Bank keinen Quantencomputer: Die neuen Verfahren laufen nach Prüfung in gewöhnlicher Software und Hardware.
Post-Quanten-Kryptografie in Kürze
| Begriff | Post-Quanten-Kryptografie, kurz PQC: klassische Verfahren mit Schutz gegen bekannte Angriffe durch leistungsfähige Quantencomputer. |
|---|---|
| Betroffen | Asymmetrische Verfahren in TLS, Zertifikaten, digitalen Signaturen und Schlüsselaustausch. |
| NIST-Standards | ML-KEM für den Schlüsselaustausch sowie ML-DSA und SLH-DSA für Signaturen wurden 2024 standardisiert. |
| Bankaufgabe | Zuerst sind Algorithmen, Schlüsselgrößen, Bibliotheken, Verantwortliche und Schutzdauer der Daten zu erfassen. Danach können Anwendungen stufenweise migrieren. |
| Orientierung | Die BIZ-Roadmap beginnt mit Bewusstsein und Kryptografie-Inventar; DORA erfasst die Betriebsrisiken. |
| Vertiefung | Post-Quanten-Kryptografie im Finanzwesen |
Wie funktioniert Post-Quanten-Kryptografie?
Ein ausreichend leistungsfähiger Quantencomputer könnte heutige Verfahren für öffentliche Schlüssel mit Shors Algorithmus angreifen. NIST hat ML-KEM für die Vereinbarung von Schlüsseln und ML-DSA sowie SLH-DSA für digitale Signaturen standardisiert.
Schlüssel, Geheimtexte und Signaturen sind teils größer als bei bisherigen Verfahren. Das betrifft Protokolle und feste Feldlängen. Während der Umstellung können klassische und post-quanten-sichere Methoden gemeinsam eingesetzt werden.
Warum müssen Banken ihre Kryptografie erfassen?
Banken verwenden Verfahren mit öffentlichen Schlüsseln in TLS-Verbindungen, Zertifikaten, Zahlungsanbindungen, signiertem Programmcode und Dokumenten. Eine Migration beginnt mit einem Inventar: Algorithmus, Schlüssellänge, Bibliothek, Verantwortliche und Schutzdauer jedes Einsatzes.
Lange vertrauliche Datenbestände sind besonders betroffen. Angreifer könnten verschlüsselte Daten heute speichern und später mit einem ausreichend starken Quantencomputer entschlüsseln.
Welche Schwierigkeiten hat die PQC-Migration?
Ein bloßer Wechsel des Algorithmus übersieht feste Datenlängen, alte Geräte, Partnerprotokolle und langfristig gültige Signaturen. Kryptografische Agilität erlaubt spätere Änderungen über Konfiguration oder gemeinsame Dienste.
Banken prüfen Leistung, Zertifikatsketten, Hardware-Sicherheitsmodule und Wiederherstellung. Auch ein neuer Algorithmus kann sich als schwach erweisen. Deshalb sind gestufte Einführung und ein Rückweg wichtig.
Welche Standards und Regeln gelten für PQC?
NIST veröffentlichte 2024 erste PQC-Standards. Das BSI empfiehlt bei hohen Schutzanforderungen hybride Ansätze. Die G7 Cyber Expert Group legte eine Roadmap für den Finanzsektor vor. Die BIZ-Roadmap nennt das Kryptografie-Inventar als frühen Schritt.
Für Finanzunternehmen gehört die Umstellung zum IKT-Risikomanagement nach DORA. Der Standard ersetzt keine Prüfung der Systeme und Dienstleister.
Post-Quanten-Kryptografie in Deutschland, Österreich und der Schweiz
BaFin und EZB beaufsichtigen das Betriebsrisiko deutscher Banken, die FMA österreichische Institute und FINMA den Schweizer Finanzmarkt. Das BSI stellt technische Empfehlungen bereit.
Die Bundesbank in Frankfurt testete im Projekt Leap mit der Banque de France und dem BIS Innovation Hub quantenresistente Absicherung von Zentralbankkommunikation. Der Versuch zeigt eine konkrete Verbindung zwischen neuen Verfahren und bestehender Zahlungsinfrastruktur.
Über Finance Loop: Post-Quanten-Kryptografie
Finance Loop verbindet Fachleute für Bank-IT, Zahlungsverkehr und Kapitalmarkt mit Menschen aus der Cybersicherheit. In Frankfurt arbeitet die Bundesbank an der Sicherheit von Zentralbankkommunikation und Zahlungsinfrastruktur.
Die Seite zur Post-Quanten-Kryptografie im Finanzwesen erklärt die Migration ausführlicher. Bei den Veranstaltungen von Finance Loop begegnen sich Fachleute aus Finanzwirtschaft und Technologie, die solche Anforderungen in bestehende Systeme übertragen.