Das Quantencomputing steht vor der Tür, und es könnte am Ende buchstäblich ein Loch in die Staatskasse reißen.
Die revolutionäre Technologie wird exponentiell höhere Rechengeschwindigkeiten als heutige Computer erreichen, indem sie Qubits zur Ausführung mehrdimensionaler Quantenalgorithmen nutzt.
Qubits? Darauf werden wir gleich noch eingehen. Entscheidend ist hierbei, dass die heutigen primitiven Quantencomputer vermutlich etwa 100 logische Qubits nutzen. Wenn sie jedoch so weit fortgeschritten sind, dass sie 3 000 bis 4 000 dieser digitalen Informationseinheiten verarbeiten können – was nach Ansicht vieler innerhalb von etwa einem Jahrzehnt geschehen könnte –, könnte dies ein goldenes Zeitalter der Entdeckungen für die Medizin, die Materialwissenschaften, die Verteidigung, die Stadtplanung, die Hochtechnologie und andere Disziplinen einläuten. Doch wie bei den meisten bahnbrechenden Innovationen gibt es auch hier eine Kehrseite: Die Technologie könnte ebenfalls von Cyberkriminellen missbraucht werden, und Banken werden dabei ein vorrangiges Ziel sein.
Im Bankwesen beispielsweise wird erwartet, dass künftige Quantencomputer so leistungsfähig werden, dass sie die meisten kryptografischen Algorithmen knacken können, die Finanzinstitute derzeit zum Schutz privater und sensibler Kundendaten, Online-Transaktionen und Konten einsetzen.
Das soll jedoch nicht heißen, dass ein gewöhnlicher Hacker Quantencomputer problemlos als Waffe einsetzen könnte, um Unternehmen wie die BofA oder die Citigroup anzugreifen. Quantensysteme werden für die meisten Cyberkriminellen weitaus zu kostspielig sein. Nein, die Sorge besteht darin, dass feindlich gesinnte Nationalstaaten oder gut finanzierte Hackergruppen Quantencomputer stehlen, erwerben oder entwickeln und Angriffe auf Finanzinstitute und Märkte starten könnten, bevor es jemand bemerkt.
Was ist Quantencomputing und warum müssen Banken jetzt Maßnahmen ergreifen?
Falls Ihnen der Begriff noch nicht geläufig ist: Ein Qubit (ausgesprochen „KYOO-bit“, kurz für „Quantenbit“) bezeichnet eine Grundeinheit der Information in der Quanteninformatik, vergleichbar mit einem Bit oder einer Binärziffer in der klassischen Informatik, die die Verarbeitung von Informationen in einem Bruchteil der Zeit ermöglicht, die bei der herkömmlichen Datenverarbeitung benötigt wird. Es wird oft als sich drehende Kugel dargestellt, im Gegensatz zu den binären Einsen und Nullen der traditionellen Informatik. In den kommenden Jahren werden Sie noch mehr über Qubits hören, da sich die Quantentechnologie weiterentwickelt und Cyberkriminelle deren Potenzial nutzen, um den Finanzdienstleistungssektor und andere Ziele anzugreifen.
„Selbst wenn [Quantencomputing] erst in einem weiteren Jahrzehnt Realität wird, muss bereits jetzt mit der Planung der Veränderungen begonnen werden, die erforderlich sind, um potenzielle Bedrohungen abzuwenden.“Matthew Mittelsteadt, wissenschaftlicher Mitarbeiter am Mercatus Center
Diese Bedrohung veranlasste Präsident Biden im vergangenen Jahr dazu, eine „ “-Verordnung ( ) zu erlassen, in der Anforderungen an Bundesbehörden festgelegt wurden, ihre kryptografischen Systeme quantenresistent zu gestalten (post-quantum). Das Mandat wurde anschließend im „Quantum Computing Cybersecurity Preparedness Act“ formell verankert, der im vergangenen Dezember unterzeichnet wurde.
Die Banken ihrerseits wissen schon seit einiger Zeit, dass sie angreifbar sind, und sie gehen davon aus, dass sie Milliarden Dollar aufwenden müssen, um dieser Bedrohung entgegenzuwirken. Beobachter befürchten jedoch, dass viele Banken größere Maßnahmen erst kurz vor diesem Zeitpunkt ergreifen werden, da das volle Potenzial der Quantencomputer noch mindestens sieben bis 10 Jahre entfernt ist. Schließlich konzentrieren sie sich auf dringende Angelegenheiten wie die Wirtschaft , die zunehmenden Verluste und das schwindende Vertrauen der Einleger .
Dennoch wäre es laut Branchenbeobachtern ein schwerwiegender Fehler, Maßnahmen gegen die Quantenbedrohung aufzuschieben.
Zum einen könnten die heutigen Daten bereits durch Quantencomputer entschlüsselt werden – nur nicht so, wie Sie vielleicht denken. Da Daten noch eine gewisse Zeit lang nutzbar bleiben, könnten Nationalstaaten bereits jetzt verschlüsselte Informationen von Gegnern sammeln, in der Hoffnung, diese mithilfe von Quantentechnologie zu entschlüsseln, sobald dies möglich wird. Dieser „Zeitkapsel“-Ansatz ist als „Harvest Now, Decrypt Later (HNDL)-Angriff“ bekannt, und mehr als die Hälfte (50,2 %) der quantenbewussten Unternehmen sind der Ansicht, dass sie dadurch „gefährdet“ sind, wie aus einer Umfrage von Deloitte im Rahmen des „ “ hervorgeht:.
Der „existentiellen Bedrohung“ durch Quantencomputer entgegenwirken
Angesichts all dessen bezeichnet Matthew Mittelsteadt, wissenschaftlicher Mitarbeiter am Mercatus Center, einem in Virginia ansässigen Thinktank, Quantencomputer als „eine existenzielle Bedrohung für die Banksicherheit“ und warnt davor, den Zeit- und Kostenaufwand zu unterschätzen, der erforderlich ist, um dieser Bedrohung angemessen zu begegnen.
„Selbst wenn dies erst in einem Jahrzehnt eintreten sollte, muss bereits jetzt mit der Planung der Veränderungen begonnen werden, die erforderlich sind, um potenzielle Bedrohungen abzuwenden, denn diese Veränderungen werden ziemlich einschneidend sein“, sagt Mittelsteadt. „Wenn man sich ansieht, was von diesem Problem betroffen sein wird, dann ist das im Grunde alles. „Es wird unsere Mobiltechnologie sein, unsere Datenbanken … Im wahrsten Sinne des Wortes könnte alles, was digital kommuniziert und Verschlüsselung nutzt, betroffen sein und unsicher werden.“
Um den Bankern gerecht zu werden, hängt ihre Vorbereitungsarbeit davon ab, dass die Regierungen sich auf solide, quantenresistente Alternativen zu gängigen Systemen der Public-Key-Kryptografie (PKC) wie RSA, Diffie-Hellman und der Kryptografie auf elliptischen Kurven (ECC) einigen. Diese Bemühungen, die vom National Institute of Standards and Technology (NIST) des US-Handelsministeriums geleitet werden, laufen bereits seit 2015 und dauern bis heute an.
Langsame, aber stetige Fortschritte in der Quanten-Cybersicherheit
Tatsächlich hat das NIST erst im vergangenen Jahr unter die Liste „“ veröffentlicht und damit begonnen, öffentliche Stellungnahmen zu einer Liste von vier „Finalisten“ unter den Verschlüsselungsalgorithmen einzuholen –CRYSTALS-Kyber für die allgemeine Verschlüsselung sowie CRYSTALS-Dilithium, FALCON und SPHINCS+ für digitale Signaturen –, die voraussichtlich um das Jahr 2024 Teil seines Post-Quanten-Kryptografie-Standards (PQC) werden sollen.
„Man könnte [die aktuellen Algorithmen zur Cybersicherheit] den meisten Schülern der Oberstufe im Mathematikunterricht erklären.“ Die Mathematik, die wir für diese neuen Post-Quanten-Algorithmen verwenden, ist jedoch weitaus komplexer, und es wird viel Wissen und Übung erfordern, um sie zu verstehen.”Dustin Moody, Mathematiker in der Abteilung für Computersicherheit, NIST
Der Weg zur Verabschiedung dieser Standards ist jedoch ungewiss, da Sicherheitsforscher die Algorithmen eingehend unter die Lupe nehmen. So gelang es beispielsweise Anfang dieses Jahres schwedischen Forschern, eine Implementierung von CRYSTALS-Kyber mithilfe eines durch den „ “- unterstützten Seitenkanalangriffs vom Typ „ “ zu knacken. Bei Seitenkanalangriffen werden sensible Informationen wie kryptografische Schlüssel erfasst, indem zufällige Hardware-Emissionen gemessen werden, anstatt direkt auf den Code abzuzielen.
Angesichts der Komplexität von Quantenalgorithmen seien solche Hürden jedoch zu erwarten gewesen, sagt Dustin Moody, Mathematiker in der Abteilung für Computersicherheit am NIST.
„Das ist ein sehr komplexes Gebiet“, sagt Moody. „RSA zum Beispiel ist ein Algorithmus, den man den meisten Schülern der Oberstufe im Mathematikunterricht erklären könnte.“ Die Mathematik, die wir für diese neuen Post-Quanten-Algorithmen verwenden, ist jedoch wesentlich komplexer, und es wird viel Wissen und Übung erfordern, um sie zu verstehen. Es wird also Herausforderungen geben. „Und es könnten Schwachstellen entstehen, wenn wir all dies nicht äußerst sorgfältig umsetzen.“
Moody rät den Banken, mit der Einführung von Post-Quantum-Algorithmen in den Produktivbetrieb zu warten, bis die Standards im Jahr 2024 veröffentlicht werden; andere Experten betonen jedoch nach wie vor, wie wichtig es ist, bereits jetzt einige Vorbereitungsmaßnahmen zu ergreifen.
Zunächst empfehlen sie Folgendes:
1. Erstellen Sie eine Bestandsaufnahme Ihrer Kryptografie
Graham Steel, Produktleiter in der Quanten-Sicherheitsgruppe bei SandboxAQ, einem Start-up-Ableger der Google-Muttergesellschaft Alphabet Inc., erklärt gegenüber Focal Point , dass Sie eine gründliche Bestandsaufnahme durchführen müssen, um zu erfahren, an welchen Stellen in Ihrem Unternehmen quantenanfällige Kryptografie zum Einsatz kommt.
Anschließend müssen Sie die Risikobewertung unter berücksichtigen und ermitteln, welche Daten in fünf bis 10 Jahren vertraulich bleiben müssen. Dies kann dazu beitragen, HNDL-Angriffe in Zukunft zu verhindern.
Sie können auch mit den im Entwurf vorliegenden NIST-Quantenalgorithmen in Ihrer Umgebung experimentieren, um zu sehen, wie sich diese auf Ihre wichtigsten Anwendungen auswirken könnten, fügt er hinzu.
2. Finanzielle Mittel für die Quantensicherheit bereitstellen
Mittelsteadt sagt, dass nur wenige Banken erkennen, wie zeitaufwendig und kostspielig es sein wird, die gesamte Kryptografie, die ihren digitalen Systemen zugrunde liegt, zu entfernen und zu ersetzen.
„. Das Risiko, dies nicht zu tun, besteht darin, hinter Ihre Wettbewerber zurückzufallen, die schon bald über ihre Fortschritte berichten werden.“Graham Steel, Produktleiter in der Abteilung für Quantensicherheit bei SandboxAQ
„Man muss sich Gedanken darüber machen, welche Infrastruktur davon betroffen sein könnte“, sagt er. „Dies ist eine sehr komplexe Aufgabe. „Es wird viele Systeme geben, von denen Sie nicht wissen, dass sie unsicher sind.“
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Er warnt davor, dass viele Systeme nicht ordnungsgemäß dokumentiert sind.
„Sie werden wahrscheinlich jemanden beauftragen müssen, der alle Ihre Unternehmenseinheiten und Niederlassungen durchgeht, um vor Ort festzustellen, welche Systeme vorhanden sind, zu dokumentieren, ob diese möglicherweise betroffen sein könnten, und einen Plan für die Anpassung Ihrer Software zu erstellen, um sich besser gegen Quantenangriffe zu schützen“, sagt er. „Das wird nicht einfach sein.“
3. Gestalten Sie Ihre Software neu
Mittelsteadt merkt an, dass es noch ein langer Weg sein könnte, bis die NIST-Algorithmen standardisiert werden. Im Vorfeld rät er den Banken, mit der Neugestaltung ihrer „monolithischen“ Software zu beginnen, um Veränderungen leichter umsetzen zu können.
„Sie möchten Methoden zur Cyber-Agilität einführen“, sagt er. „Das bedeutet, dass Systeme modular konzipiert werden müssen, damit Komponenten – insbesondere Sicherheitskomponenten – problemlos ausgetauscht werden können.“ „Wenn Sie heute solche Systeme entwickeln, sind Sie bereit, sobald diese NIST-Standards offiziell festgelegt werden.“
Niemand weiß, wann die Quantenbedrohung voll zum Tragen kommen und zu einem ernsteren Problem für den Bankensektor werden wird, doch Experten raten davon ab, abzuwarten, bis dies geschieht. Indem die Banken jetzt kleine Schritte unternehmen, können sie die damit verbundenen Kosten und den Aufwand über einen langen Zeitraum verteilen und so die damit verbundenen Belastungen abmildern.
„Es muss nicht unbedingt zu kostspielig sein, wenn man es strategisch als Teil der allgemeinen Modernisierung Ihrer IT betrachtet“, sagt Steel. „Das Risiko, dies nicht zu tun, besteht darin, hinter Ihre Wettbewerber zurückzufallen, die schon bald über ihre Fortschritte berichten werden, und zudem dem Druck der Aufsichtsbehörden ausgesetzt zu sein, die Migration innerhalb von Fristen durchzuführen, die möglicherweise nicht realisierbar sind (weil Sie nicht früh genug damit begonnen haben), wodurch Sie das Risiko von Bußgeldern wegen Nichteinhaltung der Vorschriften eingehen.“
