Einblicke
Beiträge zu IT-Sicherheit, NIS2, Access-Anwendungen, der Modernisierung von Bestandssoftware und Post-Quanten-Kryptografie.
Der verschlüsselte Kanal allein macht Ihre Lieferantenanbindung nicht quantensicher
Ausgabe 11 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Netzwerk- und Integrationsarchitekten sowie alle, die Anforderungen an Lieferantenanbindungen formulieren.
Der Dienstleister meldet Vollzug: „Ihr Lieferantenportal unterstützt jetzt hybriden Schlüsselaustausch mit ML-KEM.“ Die Verbindung vom Browser des slowenischen Lieferanten bis zum Content-Delivery-Netz ist damit auf dem Stand der Technik. Vom Content-Delivery-Netz zum Rechenzentrum läuft sie über eine zweite TLS-Verbindung, klassisch. Von dort zum Integrationsserver über eine dritte. Die Bestellung, die der Lieferant hochlädt, liegt außerdem eine Nacht lang unverschlüsselt im Eingangsordner.
Ihre Zertifikate laufen ab. Ihre Vertrauensarchitektur bleibt.
Ausgabe 10 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Infrastruktur, Identitäts- und Zugriffsmanagement und alle, die eine Public-Key-Infrastruktur verantworten.
„Zertifikate tauschen wir ohnehin alle zwei Jahre, das ist Routine.“ Stimmt, für die Zertifikate. Die Stammzertifizierungsstelle, die sie ausstellt, stammt aus dem Jahr 2015, ist bis 2035 gültig und hat einen RSA-Schlüssel. Das Hardware-Sicherheitsmodul, in dem dieser Schlüssel liegt, kennt kein Post-Quanten-Verfahren. Und die Geräte, die den Zertifikaten vertrauen, wissen nicht, wie eine ML-DSA-Signatur aussieht.
Post-Quanten-Kryptographie: Warum es jetzt um Wechselfähigkeit geht
Wer seit Jahren hört, der Quantencomputer stehe kurz vor der Tür, darf skeptisch sein. Wann ein Quantencomputer RSA und elliptische Kurven tatsächlich brechen kann, weiß niemand; auch das BSI spricht seine Empfehlungen ausdrücklich nur für einen Zeitraum bis Ende 2032 aus, weil längere Prognosen unsicher sind.
Was sich geändert hat, sind die Fristen. NIST hat im August 2024 die ersten Post-Quanten-Standards veröffentlicht, und das BSI nennt seit Januar 2026 konkrete Termine für die Umstellung. Die Frage ist deshalb weniger, ob der Quantencomputer kommt, als ob Ihre Systeme das Verfahren wechseln können, wenn es so weit ist.
NIS2 in der Praxis: Was jetzt nicht nur Betreiber kritischer Infrastruktur umsetzen müssen
Die EU-Frist zur Umsetzung der NIS2-Richtlinie endete im Oktober 2024. In deutsches Recht überführt wurde sie später: Das neue BSI-Gesetz wurde am 2. Dezember 2025 ausgefertigt.
Wer NIS2 bisher für ein Thema von Energieversorgern und Kliniken gehalten hat, lag nicht ganz falsch: Die kritische Infrastruktur gehört dazu. Das Gesetz reicht aber weiter. Es erfasst nach Branche und Größe auch mittelständische Unternehmen, die sich nie als KRITIS gesehen haben. Für sie bedeutet es Registrierung, Meldepflichten, Mindestmaßnahmen und Bußgelder bei Verstößen. Wir fassen zusammen, was das Gesetz verlangt, etwas kürzer als das Gesetz selbst.
Eine Software-Stückliste ist noch kein Kryptoinventar
Ausgabe 09 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für IT-Revision, Enterprise-Architektur und alle, die von Lieferanten Software-Stücklisten anfordern.
Die Software-Stückliste des Lieferanten ist vorbildlich: 412 Komponenten, maschinenlesbar, mit Versionen und Lizenzen. Darin steht auch: OpenSSL 3.5. Die Revision hakt ab: „Post-Quanten-fähige Bibliothek vorhanden.“ Ob die Anwendung damit jemals einen Post-Quanten-Schlüsselaustausch aushandelt, steht nirgends. Die Stückliste kann es auch nicht wissen.
Quantensichere Lieferketten beginnen nicht mit Vertragsstrafen
Ausgabe 08 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Rechtsabteilung und Einkauf, die Verträge mit Lieferanten von Software, Geräten und IT-Leistungen gestalten.
Der Entwurf ist sauber formuliert: „Für jeden angefangenen Monat Verzug bei der Umstellung auf quantensichere Verfahren schuldet der Auftragnehmer eine Vertragsstrafe von 0,5 % des Jahresauftragswerts.“ Drei Wochen später kommt die Antwort des Lieferanten. Die Klausel ist gestrichen, daneben steht ein Kommentar: „Leistung nicht bestimmt.“ Der Lieferant hat recht.
Wer ist für die Umstellung verantwortlich: Ihre IT, der Integrator oder der Softwarehersteller?
Ausgabe 07 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für IT-Leitung und Einkauf in Unternehmen, deren Systeme von mehreren Partnern gebaut und betrieben werden.
Eine einzige Frage, drei Antworten. „Wer stellt die Signatur unserer EDI-Bestellungen um?“ Die eigene IT sagt: „Das macht der Hersteller.“ Der Hersteller sagt: „Das ist Konfiguration beim Kunden.“ Der Integrator sagt: „Dafür sind wir nicht beauftragt.“ Alle drei haben recht. Deshalb passiert nichts.
PQC-Anforderungen an Lieferanten: Ohne Zielvorgaben entsteht nur Bürokratie
Ausgabe 06 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Einkauf und Informationssicherheit, die Anforderungen an Lieferanten formulieren.
„Der Auftragnehmer gewährleistet die Quantensicherheit sämtlicher im Rahmen dieses Vertrags eingesetzten Systeme.“ Der Satz steht in einem Anforderungskatalog, er klingt entschlossen, und er wird unterschrieben. Was er bewirkt: nichts, außer vielleicht einem Risikoaufschlag im nächsten Angebot, den niemand einer Leistung zuordnen kann.
PQC lässt sich nicht einfach an den Dienstleister delegieren
Ausgabe 05 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Auftraggeber von IT-Dienstleistungen: Geschäftsführung, IT-Leitung, Einkauf.
Die Mail an den IT-Dienstleister ist schnell geschrieben: „Bitte machen Sie uns post-quanten-fähig. Angebot bis Monatsende.“ Das Angebot kommt pünktlich. Es enthält ein Firmware-Update für die Firewalls und einen Workshop. Es ist korrekt, es ist bezahlbar, und es löst den Teil des Problems, der am leichtesten umzustellen ist.
Sie fordern Quantensicherheit von Lieferanten. Kennen Sie Ihre eigenen kryptografischen Abhängigkeiten?
Ausgabe 04 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Enterprise-Architektur, IT-Governance und die Verantwortlichen für Lieferantenanforderungen.
Ein Fragebogen geht an zweihundert Lieferanten. Frage 14: „Setzen Sie quantensichere Verfahren ein?“ Die Antworten kommen zurück, und niemand im Haus kann sie bewerten. Denn niemand weiß, welche Verfahren auf der eigenen Seite der Verbindungen laufen, um die es geht.