Was Unternehmen zur Quantenresistenz wissen müssen
Quantencomputer galten lange als Zukunftsthema. Inzwischen schreitet die Entwicklung deutlich schneller voran als noch vor wenigen Jahren angenommen. Damit rückt für Unternehmen eine konkrete Frage in den Vordergrund: Werden heute eingesetzte Verschlüsselungsverfahren in einigen Jahren noch als sicher gelten können? Diese Frage hat mit Blick auf Anforderungen wie NIS‑2, BSI‑Gesetz, DORA oder den Cyber Resilience Act (CRA) auch eine rechtliche Bedeutung.
Die Quantenbedrohung
Viele gängige Verschlüsselungsverfahren beruhen auf mathematischen Problemen, die für klassische Computer praktisch nicht lösbar sind. Leistungsfähige Quantencomputer könnten diese Annahme in absehbarer Zeit in Frage stellen. In diesem Zusammenhang wird häufig vom „Q‑Day“ gesprochen, also dem Zeitpunkt, ab dem Quantencomputer etablierte kryptografische Verfahren brechen können. Das Risiko beginnt jedoch nicht erst mit diesem Zeitpunkt. Bereits heute können Angreifer Daten verschlüsselt abgreifen und speichern, um sie später mit leistungsfähigeren Technologien zu entschlüsseln („Harvest now, decrypt later“). Besonders relevant ist dies für Informationen mit langfristigem Schutzbedarf, etwa Geschäftsgeheimnisse, strategisch sensible Daten oder sicherheitsrelevante Informationen.
Stand der Technik als dynamischer Maßstab
Die NIS‑2‑Richtlinie und das BSI‑Gesetz verpflichten Unternehmen zu angemessenen Maßnahmen im Bereich der Cybersicherheit. Dazu zählt auch der Einsatz geeigneter kryptografischer Verfahren. Maßstab ist der „Stand der Technik“. Dieser ist nicht statisch, sondern entwickelt sich fortlaufend weiter. Unternehmen müssen daher regelmäßig prüfen, ob ihre Verschlüsselung auch im Hinblick auf absehbare technologische Entwicklungen noch belastbar ist.
Auch der CRA knüpft für Produkte mit digitalen Elementen an den Stand der Technik an. Hersteller müssen Cybersicherheit über die gesamte vorgesehene Nutzungsdauer eines Produkts berücksichtigen. Bei langlebigen Produkten bedeutet dies insbesondere, dass kryptografische Verfahren später angepasst oder ersetzt werden können müssen. Entscheidend für die Frage, welche Verschlüsselung erforderlich ist, ist eine nachvollziehbar dokumentierte Risikobewertung. Zu berücksichtigen sind insbesondere die geplante Nutzungsdauer, der Schutzbedarf der verarbeiteten Daten, die eingesetzten kryptografischen Verfahren, deren absehbare Angreifbarkeit sowie die technische Austauschbarkeit.
Konsequenz für die Praxis
Post‑Quanten‑Kryptografie sollte bereits heute in das Risikomanagement einbezogen werden. Unternehmen und Hersteller sollten systematisch erfassen und dokumentieren, welche kryptografischen Verfahren eingesetzt werden, welchen Schutzbedarf die Daten haben, wie lange Systeme oder Produkte genutzt werden sollen und ob ein späterer Austausch oder eine Migration technisch möglich ist.
Für Hersteller kann Post‑Quanten‑Kryptografie relevante Auswirkungen auf die Produktentwicklung, die technische Dokumentation, das Schwachstellenmanagement und die vertragliche Ausgestaltung von Lieferketten haben. Unternehmen im Anwendungsbereich von NIS‑2 sind gehalten, bestehende Cybersicherheitsmaßnahmen um eine Bewertung der Quantenresilienz zu ergänzen.
Wir unterstützen Sie bei der rechtlichen Einordnung von Kryptografie‑ und Sicherheitskonzepten, bei der Bewertung von Post‑Quanten‑Risiken sowie bei der Ableitung erforderlicher Maßnahmen und eine revisionssichere Cybersicherheitsdokumentation.
zurück