So migrieren Sie zur Post-Quantum-Kryptographie: ML-KEM, ML-DSA und Hybridansatz

Wenn das Team versteht, dass das Quantenrisiko real ist, schwingt das Pendel oft von „nicht mein Problem“ direkt zu „lasst uns jetzt alles ändern.“ Beide Extreme stehen im Weg. Die Umstellung auf Post-Quanten-Kryptographie ist ein technisches Projekt mit Reihenfolge, Priorität und Sorgfalt, kein Knopfdruck.

Nachdem die NIST-Standards fertiggestellt sind, gibt es eine Möglichkeit zur Migration. ML-KEM kümmert sich um die Schlüsselerstellung, ML-DSA kümmert sich um die digitale Signatur und SLH-DSA dient als Backup-Signatur mit unterschiedlicher mathematischer Grundlage. Zu wissen, wohin man gehen muss, ist die halbe Miete. Die andere Hälfte tut es, ohne das zu zerstören, was funktioniert.

Dieser Text ist die pragmatische Roadmap: Wo beginnen, wie bestellen, worauf bei der Implementierung achten und warum der Übergang eine Hybridphase durchläuft.

Beginnen Sie mit der Bestandsaufnahme, nicht mit dem Algorithmus

Die Frage „Welchen Algorithmus soll ich übernehmen?“ ist verlockend und verfrüht. Bevor es noch einmal kommt: „Wo verwende ich Kryptographie heute?“ Die meisten Organisationen reagieren mit Schweigen, und dieses Schweigen ist das größte Risiko des Projekts.

Sie können nicht migrieren, was Sie nicht sehen können. Bevor Sie eine Bibliothek anfassen, benötigen Sie eine kryptografische Bestandsaufnahme: Wo sich Schlüssel und Zertifikate befinden, welche Bibliotheken und Versionen Anwendungen verwenden, welche Protokolle ihren Verbindungen zugrunde liegen und welche Anbieter und Integrationen in diese Kette eingebunden sind.

Diese Umfrage definiert das tatsächliche Ausmaß des Problems und deckt versteckte Abhängigkeiten auf, die niemand dokumentiert hat, die aber bei unvorsichtiger Manipulation die Produktion stoppen. Auf die Bestandsaufnahme gehe ich in einem bestimmten Artikel der Serie ausführlich ein, denn sie ist die Grundlage für alles, was danach kommt.

Ohne Inventar ist jeder Migrationsplan eine Vermutung. Mit der Bestandsaufnahme wissen Sie, was Sie haben, was kritisch ist und was warten kann.

Priorisieren Sie nach Datengültigkeit und Offenlegung

Alles auf einmal zu migrieren ist teuer, riskant und unnötig. Eine intelligente Sequenzierung folgt dem Risiko, und das Risiko konzentriert sich auf zwei Achsen.

Die erste Achse ist die Gültigkeit der Vertraulichkeit. Daten, die viele Jahre lang geheim bleiben müssen, sind am stärksten durch „Jetzt ernten, später entschlüsseln“ gefährdet, das Erfassen verschlüsselter Daten heute für die Entschlüsselung mit Quantencomputing2 in der Zukunft. Je länger das Geheimnis gültig ist, desto eher benötigt es einen Post-Quanten-Schutz.

Die zweite Achse ist die Belichtung. Datenflüsse, die Netzwerke überqueren, die erfasst werden können, externe Integrationen und alles, was Schlüssel über das Internet aushandelt, rücken in der Warteschlange nach oben, denn dort findet das Sammeln statt. Interne, isolierte Systeme mit geringem Wert können warten.

Es gibt auch einen Unterschied in der Dringlichkeit zwischen den beiden Verschlüsselungsanwendungen. Die Schlüsseleinrichtung, das Gebiet von ML-KEM, hat wegen der Ernte jetzt höchste Priorität: Die heute erfassten Daten können später gelesen werden. Digitale Signaturen, das Gebiet von ML-DSA, haben eine andere Dringlichkeit, da für eine gefälschte Signatur die Quantenmaschine erforderlich ist, die zum Zeitpunkt des Betrugs vorhanden war, nicht vorher. Dies macht es nicht überspringbar, insbesondere bei langlebigen Dingen wie Stammzertifikaten und Firmware-Signaturen, aber es hilft, den Aufwand zu organisieren.

ML-KEM und ML-DSA: Wofür sie jeweils gedacht sind

Es lohnt sich, die Rollen festzulegen, um bei der Planung nicht durcheinander zu kommen.

ML-KEM, FIPS 203, ist ein wichtiger Kapselungsmechanismus. In der Praxis ist es das, was den gemeinsamen geheimen Schlüssel festlegt, der eine Verbindung schützt. Es ist der direkte Ersatz für den Schlüsselaustausch, der derzeit von RSA und ECC abhängt, und ist daher das erste Ziel für die Migration in sensiblen Flüssen.

ML-DSA, FIPS 204, ist eine digitale Signatur. Es garantiert Authentizität und Integrität: dass ein Software-Update von der Person stammt, von der es behauptet wird, dass ein Zertifikat legitim ist und dass ein Dokument nicht verändert wurde. Es geht um PKI-Migration, Codesignatur und Verifizierungsprozesse.

SLH-DSA, FIPS 205, signiert ebenfalls, basiert jedoch auf Hashing mit unterschiedlichen Prämissen. Es ist konservativer und generiert tendenziell größere Abonnements. Es ist als strategische Reserve wertvoll, wenn extreme Langlebigkeit und Vielfalt der Fundamentaldaten die Kosten ausgleichen.

Beachten Sie, dass diese Algorithmen nicht frei leben. Sie gelangen über Bibliotheken, Protokollbibliotheken, Cloud-Anbieter und Betriebssysteme in Ihren Betrieb. Ein Großteil Ihrer Migration besteht darin, diese Abhängigkeiten zu aktualisieren und zu konfigurieren, da sie Standards integrieren, anstatt die Verschlüsselung manuell zu implementieren.

Der hybride Ansatz während des Übergangs

Der abrupte Wechsel von klassischen zu Post-Quanten-Algorithmen ist riskant, und die Branche hat sich auf eine nüchternere Antwort geeinigt: den Hybridmodus.

Bei einem hybriden Schlüsselaustausch kombinieren Sie den klassischen Algorithmus wie ECC mit dem Post-Quantum-Algorithmus wie ML-KEM und leiten den Sitzungsschlüssel aus beiden ab. Die Verbindung ist nur dann sicher, wenn beides sicher ist. Dies bietet eine wichtige Garantie während des Übergangs: Sie erhalten Schutz vor der Quantenbedrohung, ohne die Reife des klassischen Algorithmus aufzugeben.

Die Logik ist eine der Besonnenheit. Post-Quanten-Algorithmen sind auf dem Papier robust, haben aber eine viel geringere Einsatzleistung als RSA und ECC. Wenn in der Post-Quantum-Komponente eine Implementierungsschwäche oder ein unerwartetes Problem auftritt, hat die klassische Komponente immer noch die Messlatte. Und wenn die Quantenbedrohung eintritt, fällt die klassische Komponente, aber die Postquantenbedrohung behält den Schutz bei.

Die Kosten für Hybrid sind real: größere Schlüssel und Handshakes, mehr Verarbeitung, Protokolloptimierung. Aber es ist der Weg, den die meisten seriösen Anbieter einschlagen, und wenn Sie ihn übernehmen, sind Sie im Einklang mit dem Ökosystem und nicht dagegen.

Umsetzungssorgfalt, die das Ernste vom Voreiligen trennt

Ein zugelassener Algorithmus ist nicht gleichbedeutend mit einer sicheren Implementierung. Hier werden gut gemeinte Projekte verletzt.

Implementieren Sie die Post-Quanten-Kryptographie nicht alleine. Nutzen Sie ausgereifte, geprüfte und aktiv gepflegte Bibliotheken. Die Parameter dieser Algorithmen sind empfindlich, und Implementierungsdetails, wie z. B. Seitenkanallecks, verwandeln einen starken Algorithmus in einen Leckschutz. Dies ist Expertenarbeit und Codeüberprüfung, keine Improvisation.

Planen Sie die neuen Größen ein. Post-Quantum-Schlüssel, Signaturen und Handshake-Nachrichten sind größer als klassische. Dies wirkt sich auf Paketgröße, Protokollgrenzen, Zertifikate, Speicher und Leistung aus. Systeme, deren Design auf kleine Größen ausgelegt ist, können auf subtile Weise kaputt gehen. Testen Sie unter Last und unter realen Netzwerkbedingungen.

Achten Sie auf Leistung und Kompatibilität. Die Algorithmusverhandlung zwischen Clients und Servern in verschiedenen Phasen der Migration muss geplant werden, andernfalls werden legitime Verbindungen unterbrochen. Und Rollback-Fähigkeit sicherstellen: Wenn ein Post-Quantum-Update ein Problem in der Produktion verursacht, braucht man einen sicheren Weg zurück, womit wir beim Thema Krypto-Agilität wären.

Vor allem Design, um sich wieder zu verändern. Die Post-Quanten-Kryptographie wird sich weiterentwickeln, Parameter werden angepasst und Sie möchten nicht mit jeder Änderung ein jahrelanges Projekt wiederholen. Wer die Verschlüsselung hinter klar definierten Schichten isoliert, ändert die Algorithmen mit wenigen Änderungen. Wer Zahlen im Code verteilt, wird leiden.