„Quantenbereitschaft“ wurde zu einem Präsentationsbegriff für Führungskräfte, und wie alle modischen Begriffe verlor er an Bedeutung. Für manche wird es zu einer Entschuldigung für Untätigkeit („es ist noch früh“). Für andere eine Rechtfertigung dafür, voreilig für Hardware auszugeben, die sie nicht nutzen. Beide Extreme machen Fehler.
Als technischer Leiter verstehe ich Quantenbereitschaft als Risiko- und Kapazitätsmanagementhaltung und nicht als Kauf. Es geht darum, auf einen technologischen Wandel vorbereitet zu sein, dessen Zeitpunkt ungewiss ist, dessen Richtung jedoch nicht. Dieser Text definiert, was jetzt zu tun ist und was nicht.
Was Quantenbereitschaft wirklich bedeutet
Beginnen Sie damit, das zentrale Missverständnis zu widerlegen. Quantenbereitschaft bedeutet nicht die Anschaffung eines Quantencomputers oder die Einrichtung eines Labors. Für fast jede Organisation wäre dies Verschwendung.
Bereitschaft ist die Fähigkeit, gut zu reagieren, wenn es auf die Technologie ankommt, und zwar in zwei Dimensionen.
Die erste ist defensiv und dringend: Der Schutz Ihrer Daten und Systeme vor der Bedrohung, die Quantencomputing für die aktuelle Kryptographie darstellt. Diese Front ist der quantensichere Übergang, und er beginnt heute.
Die zweite Möglichkeit ist offensiv und schrittweise: Seien Sie bereit, die Vorteile von Quantenanwendungen (Simulation, Sensoren, Optimierung) zu nutzen, wenn sie Ihren Sektor berühren. An dieser Front geht es um Überwachung und spezifische Pilotprojekte, nicht um große Investitionen.
Der häufigste Fehler besteht darin, beides zu verwechseln. Defensivität hat eine kurze Laufzeit und gilt für alle. Die Offensive hat eine variable Laufzeit und gilt für bestimmte Sektoren. Beides mit der gleichen Dringlichkeit (oder der gleichen Gleichgültigkeit) zu behandeln, führt zu einer falschen Ressourcenallokation.
Die dringende Front: quantensicherer Übergang
Der Grund für die Dringlichkeit der Verteidigung liegt nicht darin, dass der Quantencomputer, der in der Lage ist, Kryptographie zu knacken], bereits existiert. Es existiert noch nicht. Die Dringlichkeit liegt darin, das Problem jetzt zu ernten und später zu entschlüsseln.
Ein Angreifer kann heute verschlüsselte Daten erfassen und sie zur Entschlüsselung in der Zukunft speichern, wenn die Technologie ausgereift ist. Alle Daten mit einer langen Haltbarkeitsdauer sind bereits offengelegt: Geschäftsgeheimnisse, geistiges Eigentum, Gesundheitsakten, Verträge, sensible Kommunikation. Für sie besteht die Bedrohung nicht in der Zukunft, sie ist gegenwärtig, da die Gefangennahme jetzt erfolgt.
Die Antwort besteht darin, auf Post-Quantum-Verschlüsselungsalgorithmen umzusteigen, die gegen Quantenangriffe resistent sind. Die Standards wurden bereits durch Referenzstellen definiert. Die Herausforderung ist nicht technisch-konzeptioneller Natur, sondern die Umsetzung im Maßstab.
Die Migration von crypto in einer großen Organisation ist ein mehrjähriges Projekt. Dabei geht es darum herauszufinden, wo sich die Verschlüsselung befindet (häufig versteckt in Bibliotheken, Geräten und Anbietern), Prioritäten nach Vertraulichkeit und Datenlebensdauer zu setzen und Systeme in der Produktion zu ersetzen, ohne sie zu beschädigen. Wer erst anfängt, wenn die Gefahr unzweifelhaft ist, kommt zu spät.
Was jetzt zu tun ist, der Reihe nach
Die gute Nachricht: Die Dringlichkeitsfront führt zu konkreten Schritten, die unabhängig von der Vorhersage der Zukunft der Technologie sind.
Führen Sie zunächst eine kryptografische Bestandsaufnahme durch. Stellen Sie fest, wo Ihre Organisation Verschlüsselung verwendet: Kommunikation, Speicherung, Authentifizierung, Signaturen, Geräte, Integrationen von Drittanbietern. Sie können nicht migrieren, was Sie nicht sehen können.
Zweitens klassifizieren Sie die Daten nach Lebensdauer und Sensibilität. Daten, die über Jahre hinweg geheim bleiben müssen, haben höchste Priorität, da sie jetzt am stärksten gefährdet sind und erst später entschlüsselt werden können.
Drittens: Fordern Sie eine Haltung der Lieferanten ein. Ein Großteil Ihres Risikos liegt in Systemen von Drittanbietern. Beziehen Sie Quantenbereitschaft und Post-Quantenkryptographie-Unterstützung in die Einstellungs- und Erneuerungskriterien ein.
Viertens: Förderung der kryptografischen Agilität. Entwerfen Sie Systeme, mit denen Sie Algorithmen ändern können, ohne alles neu schreiben zu müssen. Diese Flexibilität gilt über den Quantenkontext hinaus und ist eine gute Sicherheitstechnik im Allgemeinen.
Fünftens: Ernennen Sie einen Verantwortlichen. Ohne einen Eigentümer wird die Quantenbereitschaft zu einem Rutschen ohne Aktion. Es muss kein großes Team sein, es muss jemand mit einem klaren Auftrag sein.
Was man nicht tun sollte
Ebenso wichtig wie das Ergreifen von Maßnahmen ist die Vermeidung kostspieliger Fehler.
Kaufen Sie keine Quantenhardware, um „vorbereitet zu sein“. Bei fast jedem Unternehmen handelt es sich dabei um ungenutztes Kapital. Ein sinnvoller Zugriff erfolgt über die Cloud bei Bedarf, wenn ein echtes Problem gelöst werden muss.
Betrachten Sie dies nicht als ein routinemäßiges IT-Projekt ohne Sponsoring. Quantensichere Migration ist gebietsübergreifend, abhängig von Lieferanten und dauert Jahre. Ohne Unterstützung durch die Führung stirbt es in der ersten konkurrierenden Priorität.
Fallen Sie nicht in die Lähmung der Unsicherheit. „Niemand weiß, wann der Quantencomputer kommt“ ist wahr und für die Verteidigungsfront irrelevant. Die Datenerfassung erfolgt unabhängig vom Zeitpunkt der Unterbrechung. Auf Gewissheit zu warten bedeutet, Zeit zu verschenken, die nicht zurückkommt.
Verfolgen Sie nicht jede Quantenanwendung auf einmal. Die Offensivfront ist selektiv. Wenn Ihre Branche nicht in der Chemie-, Material-, Energie-, Schwerlogistik- oder Hochsicherheitsbranche tätig ist, reicht die Überwachung aus der Ferne vorerst aus.
Und verwechseln Sie Aktivität nicht mit Fortschritt. Einen Vortrag zu engagieren oder ein Marketing-Pilotprojekt durchzuführen, ist keine Bereitschaft. Unter Bereitschaft versteht man die durchgeführte Bestandsaufnahme, die definierte Priorität und den laufenden Migrationsplan.
Der regulatorische Kontext hat die Zeit beschleunigt
Die Dringlichkeit wurde von außen verstärkt. Eine kürzlich in den Vereinigten Staaten erlassene Verordnung beschleunigte Quantencomputing-Initiativen und vor allem den Übergang zur Post-Quanten-Kryptografie in öffentlichen Behörden und deren Lieferkette.
Die Wirkung geht über Grenzen hinaus. Wenn ein großer Käufer einen quantensicheren Migrationsplan erstellt, wird dies zu einer Vertragsanforderung, was Druck auf globale Lieferanten ausübt und als Referenz für Regulierungsbehörden in anderen Ländern dient. Unternehmen, die an Regierungen verkaufen oder in regulierten Sektoren tätig sind, bekommen es zuerst zu spüren.
Für einen Manager ist die Lektüre objektiv, ohne auf politische Verdienste einzugehen: Das Thema ist keine ferne Forschung mehr und hat Einzug in den Bereich der Compliance und des Vertragsrisikos gehalten. Das verkürzt den komfortablen Zeitrahmen für den Einstieg.
Bei der ausgereiften Quantenbereitschaft geht es weniger um futuristische Technologie als vielmehr um Managementdisziplin. Der Leiter, der die Bestandsaufnahme durchführt, die Daten klassifiziert, Lieferanten abrechnet und einen Eigentümer ernennt, ist bereits besser vorbereitet als derjenige, der auf die endgültige Schlagzeile wartet.
Wenn Sie einen einzigen nächsten Schritt benötigen, dann ist dieser dieser: Bestellen Sie kryptografisches Inventar und Datenklassifizierung nach Lebensdauer. Ohne dies ist jeder quantensichere Plan eine Diskussion. Damit kommen Sie aus der Lähmung heraus, ohne dem Hype zu verfallen.
Lesen Sie auch
- Quantencomputing jenseits des Hype: Eine ausgereifte Lektüre
- Quantencomputing ohne Hype: Was Sie wirklich erwarten können
- WebAssembly für Führungskräfte: Wenn sich die Architekturentscheidung lohnt
- Kritische Infrastruktur und Energieabhängigkeit: Was Manager wissen müssen
- Lean-Produktentwicklung in Unternehmen: Wie man plant, ohne dabei die Geschwindigkeit zu verlieren
- [Quantensensoren und Netzwerke: Anwendungen, die vor 11 eintreffen