Die Auswirkungen von Quantencomputing auf das Privileged Access Management : Warum jetzt der richtige Zeitpunkt ist, sich vorzubereiten

Quantencomputer sollen unser Leben grundlegend verändern – zumindest legen Prognosen das nahe. Die Einsatzbereiche reichen von der Simulation winziger Teilchen über die Kartierung bis hin zur genauen Planung medizinischer Behandlungen. Aktuell klingt vieles davon noch nach Zukunftsmusik. Im Bereich Cybersicherheit, insbesondere beim Privileged Access Management (PAM), sollten Unternehmen aber bereits jetzt planen.

Dagegen lässt sich einwenden, dass Quantencomputing es nicht einmal in die „Gartner’s Top 10 Strategic Trends for 2024“ geschafft hat. Laut den Analysten hat Quantencomputing bis zum Ende des Jahrzehnts zwar erheblichen Einfluss, dringender Handlungsbedarf bestehe aber nicht.

Dass Unternehmen beruhigt bis 2030 abwarten können, lässt sich dennoch nicht schlussfolgern. Cyberkriminelle verfolgen nicht selten eine „Harvest now, decrypt later“-Strategie: Sie speichern abgezogene Daten und gestohlene Anmeldeinformationen, um sie zu entschlüsseln, sobald Quantencomputing breiter verfügbar ist. Wo herkömmliche Rechner oder Bot-Netzwerke heute scheitern, könnten Quanten-Systeme künftig erfolgreich sein.

Was Quantencomputing technisch bedeutet

Der Begriff „Quantencomputing“ bezieht sich auf die Anwendung der Quantenmechanik auf Computeroperationen. Qubits (Quantum Bits) sind die Teilcheneinheiten von Quantencomputern und das Äquivalent zu Atomen und subatomaren Teilchen in der Quantenmechanik. Im Quantenzustand stellt jedes Qubit jeden möglichen Zustand oder Wert sowie seine Beziehung zu anderen Qubits gleichzeitig dar und berechnet diese – ein Effekt, den Physiker als Superposition bezeichnen. Herkömmliche Rechner verarbeiten Daten nacheinander als Werte von exakt Eins oder Null. Ein Quantenrechner verarbeitet dagegen eine Kombination von 0 und 1 gleichzeitig, da jeder Wert in mehreren Zuständen parallel existiert – ein physikalischer Überlagerungszustand. Erst bei einer Messung kollabieren diese Zustände zu einem exakten Wert.

Zudem interagieren und beeinflussen sich zwei Qubits augenblicklich, auch über enorme Entfernungen hinweg. Physiker nennen dieses Verhalten Verschränkung. Für die Verschlüsselung in Szenarien mit zwei separaten Schlüsseln eröffnet dieser Effekt neue Möglichkeiten. Aktuell basieren Verschlüsselungsverfahren auf der Zufälligkeit sequenzierter Einsen und Nullen. Quantencomputing erhöht diese Zufälligkeit weiter – damit soll eine Verschlüsselung praktisch nicht mehr zu knacken sein.

Die Verbindung aus Superposition und Verschränkung erklärt den Vorteil von Quantencomputern gegenüber klassischen Rechnern. Ein Beispiel dafür lieferte Google bereits 2019: Ein Spezialprozessor mit 54 Qubits löste eine Aufgabe in 200 Sekunden, für die der stärkste herkömmliche Großrechner rund 10.000 Jahre benötigt hätte. Diese Geschwindigkeit hätte einen erheblichen Einfluss auf Verschlüsselungsverfahren, die auf mathematischen Problemen beruhen, die mit heutiger Technik nur innerhalb eines unpraktikablen Zeitrahmens lösbar sind.

Qubits stabil zu halten, ist allerdings schwierig: Umgebungsrauschen stört den Zustand und führt zur Dekohärenz, das Qubit verliert also die Quanteninformation – was den praktischen Einsatz erschwert. 2023 gelang Forschern ein Fortschritt: Sie steigerten die Kohärenzzeit von Qubits um fast das 1.000-fache. Das soll den Bau und Betrieb großer Quantencomputer künftig kostengünstiger machen. Diese Entwicklungen betreffen auch das Privileged Access Management (PAM) und die Informationssicherheit generell.

PAM: Die Achillesferse der IT-Sicherheit

Während Identity- und Access-Management sämtliche Identitäten in einer IT-Umgebung umfasst, konzentriert sich PAM auf Privilegien, die den Zugriff auf sensible Systeme erlauben oder verweigern. Diese Systeme sind wegen der wertvollen Daten, die sie vorhalten, vorrangige Angriffsziele. Um remote arbeitende Belegschaften abzusichern, benötigt PAM eine Reihe von Ebenen und Funktionen:

• Verwaltung von Anmeldeinformationen: Anmeldeinformationen und Secrets müssen regelmäßig ausgetauscht (rotiert) und sicher aufbewahrt werden.
• Verwaltung privilegierter Sessions: Unternehmen sollten eine Software nutzen, die jeden Schritt der Nutzer in sensiblen Bereichen überwacht und protokolliert sowie die Zugriffszeit begrenzt.
• Prinzip der minimalen Rechtevergabe: Benutzerkonten sollten nur Zugriff auf Ressourcen, die sie zwingend benötigen, erhalten.

Zero Trust sollte oberstes Ziel sein. Der Weg dorthin ist allerdings steinig: Quantenbedrohungen für das Privileged Access Management gehen von unterschiedlichen Komponenten aus. Längst brauchen nicht nur menschliche Benutzer Zugriff, sondern auch IoT-Geräte und Anwendungen. Diese Maschinenidentitäten sind oft cloudbasiert und liegen somit außerhalb des traditionellen Perimeters. Zieht man dazu noch Quantencomputing in Betracht, wird Cybersicherheit ungleich komplexer.

Wie Quantencomputer PAM-Systeme angreifen könnten

Algorithmen wie AES, SHA-2, 256-Bit-ECDSA und verschiedene Public-Key-Infrastrukturen bilden seit Jahren das Rückgrat für Prozesse wie Identifizierung, Zertifizierung, Autorisierung und Softwareverteilung.

Grund dafür ist, dass es bislang keine Technologie gab, die diese Verschlüsselung knacken konnte – zumindest nicht ohne mehrere Millionen Jahre Rechenzeit. Verschlüsselung ist damit nicht grundsätzlich nicht zu knacken, sondern lediglich mit aktueller Technik nicht praktikabel lösbar. Quantencomputing könnte dieses „derzeit noch nicht möglich“ in ein unmittelbares Problem verwandeln: Sie faktorisieren Zahlen potenziell mit einer Geschwindigkeit, die weit über der heutiger Rechner liegt.

Die RSA-Verschlüsselung, Grundlage sicherer Online-Zahlungstransaktionen, multipliziert zwei extrem große Primzahlen; das Ergebnis ist der Modulus. Bei einem 2048-Bit-Schlüssel – der bereits heute als vergleichsweise unsicher gilt – ergibt das eine Zahl mit über 600 Stellen. Normale Computer scheitern daran, diese Zahl zu zerlegen. Der Shor-Algorithmus könnte diese Aufgabe auf einem hinreichend leistungsfähigen Quantenrechner lösen.

Brechen Quantenalgorithmen aktuelle Verschlüsselungsmethoden, verbessern sie zugleich die Kryptografie: Die Verschränkung der Qubits ermöglicht die Erzeugung und Verteilung absolut zufälliger Schlüssel über weite Distanzen.

Für asymmetrische Verfahren wie RSA, die einen öffentlich sichtbaren Schlüssel nutzen, eignet sich dieser Ansatz jedoch nicht. Das stellt uns vor einige operative Herausforderungen bei der Integration von Quantencomputing in bestehende PAM-Systeme. Klar ist, dass die Identitätsvalidierung in Form von Quanten-Identity-Authentifizierungsprotokollen weiterhin integraler Bestandteil bleibt. Während einige Quantenalgorithmen wie Shor bereits etabliert sind, werden zukünftig neue Protokolle und Standards aufkommen. Darauf sollte man sich jetzt vorbereiten.

Post-Quanten-Kryptografie: Der aktuelle NIST-Standard

Erste Anlaufstelle für Organisationen ist die Post-Quantum Cryptography Standardization Initiative des NIST. Sie stellt quantenresistente kryptografische Algorithmen bereit, die vor Angriffen durch Quantencomputer schützen sollen. Das NIST hatte dafür ursprünglich vier Verfahren ausgewählt: CRYSTALS-Kyber für die allgemeine Verschlüsselung des Datenverkehrs sowie CRYSTALS-Dilithium, FALCON und SPHINCS+ für digitale Signaturen – Dilithium als empfohlenen Standardalgorithmus, FALCON für Anwendungen mit besonders kleinen Signaturanforderungen und SPHINCS+ als etwas größeres, aber mathematisch unabhängiges Backup-Verfahren.

Drei dieser Verfahren sind mittlerweile final standardisiert: Kyber wurde zu ML-KEM (FIPS 203), Dilithium zu ML-DSA (FIPS 204) und SPHINCS+ zu SLH-DSA (FIPS 205). Lediglich der vierte Standard auf Basis von FALCON – künftig FN-DSA (FIPS 206) – befindet sich noch in der Entwurfsphase; die finale Version wird für Ende 2026 oder Anfang 2027 erwartet. Grund für die Verzögerung ist die komplexere, auf Gleitkomma-Arithmetik basierende Signaturerstellung von FALCON, die eine sorgfältigere Absicherung gegen Seitenkanalangriffe erfordert.

Worauf Unternehmen bei PAM-Systemen zusätzlich achten sollten

Die Standards bilden die Grundlage für den Schutz von Informationen in öffentlichen Netzwerken und für digitale Signaturen zur Authentifizierung von Identitäten. Für PAM-Verantwortliche stellt sich damit die Frage, wie sich diese Vorgaben konkret in bestehende Systeme überführen lassen.

Drei Aspekte rücken dabei in den Vordergrund: Erstens sollte die Verschlüsselung perspektivisch über etablierte Verfahren wie klassische Public-Key-Kryptografie hinausgehen und auf die neuen, quantenresistenten Standards vorbereitet sein. Zweitens gewinnen Analysefunktionen an Bedeutung, die ungewöhnliche Verhaltensweisen und Anomalien in Auditberichten frühzeitig erkennen – auch mit Blick auf künftige, quantenfähige Angriffsmuster. Drittens bleibt das Prinzip des Just-in-Time-Zugriffs zentral: Rollenbasierte Berechtigungen sollten nur kurzfristig vergeben werden, um die Angriffsfläche zu begrenzen, und nach Abschluss der jeweiligen Aufgabe automatisch erlöschen.

Regulatorik und Forschung: Wie sich Staaten auf Q-Day vorbereiten

Neben technischen Anpassungen an einzelnen Systemen spielt auch die regulatorische Ebene eine wachsende Rolle. Das NIST ruft Entwickler wie Anwender zur Zusammenarbeit auf, um die Sicherheit gemeinsam zu verbessern. Dieser offene Austausch soll Unternehmen und weiteren gesellschaftlichen Interessengruppen in mehrfacher Hinsicht nützen: Er ermöglicht zunächst, systematisch zu evaluieren, welche der eingesetzten Verschlüsselungsalgorithmen anfällig für quantencomputerbasierte Angriffe sind. Das NIST-Framework liefert dafür die Grundlage, um über Regionen und Branchen hinweg einheitliche Protokolle zu definieren. Die daraus gewonnenen Erkenntnisse fließen wiederum in die Forschung ein und erhöhen die Chancen auf Fortschritte bei quantenresistenten Algorithmen. Auf Unternehmensebene trägt zudem eine offene Fehlerkultur dazu bei, ungewöhnliche Aktivitäten im eigenen Netzwerk frühzeitig zu erkennen.

Auch auf Regierungsebene laufen die Vorbereitungen: 2023 verabschiedeten die USA das Gesetz HR7535. Der Quantum Computing Cybersecurity Preparedness Act verpflichtet Bundesbehörden, mit der Migration auf quantenresistente Kryptografie-Systeme zu beginnen. Sie sollen außerdem „ein aktuelles Inventar der von der Behörde genutzten Informationstechnologie, die für die Entschlüsselung durch Quantencomputer anfällig ist, erstellen und pflegen“.

Die National Security Agency empfahl für den Übergang, bis 2025 post-quantenkryptografische Algorithmen für nationale Sicherheitssysteme zu implementieren. Eigentümer, Betreiber und Anbieter müssen ihre Fortschritte gegenüber den Aufsichtsbehörden dokumentieren.

Fazit: PAM rückt ins Zentrum der Quanten-Cybersicherheit

Bis zum „Q-Day“ – dem Tag, an dem ein Quantencomputer die Verschlüsselungsmethoden von Banken, kritischer Infrastruktur oder anderen Systemen mit sensiblen Datenbeständen knackt – bleibt noch Zeit. CISOs, CIOs, Compliance- und IT-Verantwortliche, Entscheidungsträger, aber auch Sicherheitsforscher, Akademiker und Kunden sollten dieses Zeitfenster nutzen.

Die physikalischen Effekte der Qubits – Verschränkung und Superposition – könnten Zugänge sicherer machen als bisherige Verfahren, selbst wenn dafür alte Verschlüsselungen weichen müssen. Neue Richtlinien und Gesetze, Forschungsfortschritte und Bildungsinitiativen für künftige Fachkräfte im Bereich Quantencomputing treiben diese Entwicklung voran.

Unabhängig davon, welche Fortschritte im Bereich Quantencomputing als Nächstes folgen: Angreifer versuchen weiterhin, administrative Rechte im Netzwerk zu erlangen, um sich dort zu bewegen. Deshalb ist PAM ein zentraler Baustein der Quanten-Cybersicherheit.

Autor

Alan Radford ist Global Strategist bei One Identity.