CISA-Guidance: Vorbereitung auf Post-Quanten-Kryptographie – Handlungsbedarf für deutsche KMU

Die aktuelle CISA-Meldung wirft die Frage nach der zukünftigen Sicherheit von Systemen und Daten auf, da fortschreitende Quantencomputer weit verbreitete öffentliche Kryptosysteme gefährden könnten. Für deutsche KMUs, die auf Managed Services, Cloud-Lösungen oder kryptographieabhängige Produkte von Drittanbietern angewiesen sind – insbesondere in Bereichen wie Industrieautomatisierung (ICS) und IoT – ist es jetzt entscheidend, sich mit der Transition zu Post-Quanten-Kryptographie (PQC) auseinanderzusetzen. Was ist passiert? CISA, das australische Cyber Security Centre (ACSC) und die National Security Agency (NSA) haben gemeinsam Leitlinien und eine Quick-Reference-Liste veröffentlicht, um Organisationen bei der Bewertung der Bereitschaft ihrer Lieferanten zur Umstellung auf PQC zu unterstützen. Wer könnte betroffen sein? Deutsche KMUs, die von Drittanbietern abhängig sind, die Managed Services, Cloud-Dienste oder kryptographieabhängige Produkte und Dienstleistungen anbieten. Dies betrifft insbesondere Unternehmen mit Legacy-Systemen wie Industrieanlagenautomatisierung (ICS) und IoT-Geräten. Was sollte ein Unternehmen prüfen? * Bewertung der eigenen Abhängigkeit von kryptographiebasierten Produkten und Services von Drittanbietern. * Ermittlung, ob der jeweilige Lieferant die Risiken im Zusammenhang mit Quantencomputing versteht. * Überprüfung der Transparenz des Lieferanten bezüglich seiner kryptographischen Implementierungen. * Anfrage nach Unterstützung bei einer sicheren, kosteneffizienten und zeitnahen Umstellung auf PQC. Gibt es akuten Handlungsbedarf? Ja. Die frühzeitige und strukturierte Zusammenarbeit mit den eigenen Lieferanten ist entscheidend, um die Transition zu planen und sicherzustellen, dass Systeme und Daten auch zukünftig vor Quanten-basierten Angriffen geschützt sind.