Bewerten Sie den Nutzen des Post-Quanten-Schutzes nach der Vertraulichkeitsdauer Ihrer Daten, nicht nach einem geratenen Zukunftsdatum.
„Jetzt sammeln, später entschlüsseln“, kurz HNDL („Harvest now, decrypt later“), bedeutet, dass ein Angreifer heute verschlüsselte Daten sammelt, in der Hoffnung, künftig über die nötigen Mittel zum Lesen zu verfügen. Im Quantenszenario geht es vor allem um bestimmte Public-Key-Verfahren, die ein hinreichend leistungsfähiger Quantencomputer angreifen könnte.
Dieses Risiko bedeutet weder, dass die Verschlüsselung aller heutigen Nachrichten bereits gebrochen ist, noch, dass dafür ein festes Datum bekannt wäre. Seine Bedeutung hängt vom Verschlüsselungsverfahren, den erfassbaren Daten und davon ab, wie lange die Informationen vertraulich bleiben müssen.
Warum ist die „Vertraulichkeitsdauer“ wichtig?
Eine Nachricht zur alltäglichen Abstimmung kann nach wenigen Stunden kaum noch von Wert sein. Ein Vertrag, eine persönliche Akte oder die Identität einer journalistischen Quelle kann dagegen jahrelang sensibel bleiben. Dieser Unterschied sollte bei der Wahl der Schutzmaßnahmen und bei der Migrationsplanung berücksichtigt werden.
NIST weist in seiner Erklärung zur Post-Quanten-Kryptografie auf dieses Risiko für langlebige Daten und den Zeitbedarf der Migration hin. Wann ein Quantencomputer verfügbar sein wird, der bestehende Kryptografie brechen kann, ist unbekannt. Unter Unsicherheit zu planen ist etwas anderes, als einen bestimmten Tag für den Zusammenbruch der Sicherheit zu verkünden.
| Frage zu Ihren Daten | Warum ist sie wichtig? |
|---|---|
| Wie lange müssen sie vertraulich bleiben? | Verdeutlicht den möglichen Wert einer künftigen Offenlegung |
| Wer könnte eine Kopie davon sammeln? | Bezieht die Fähigkeiten und Zugriffsmöglichkeiten des Angreifers in die Bewertung ein |
| Wie werden die zugehörigen Schlüssel erzeugt und aufbewahrt? | Allein der Name des Verfahrens zur Inhaltsverschlüsselung, etwa AES, ist keine vollständige Antwort |
| Welche Kopien liegen in Backups oder auf Geräten vor? | Manche Wege zur Offenlegung erfordern überhaupt keinen Quantencomputer |
Diese Tabelle ist eine Entscheidungshilfe, keine statistische Bewertung und kein Beleg dafür, dass gerade Ihre Daten aufgezeichnet wurden.
Was leistet ML-KEM?
Der Standard FIPS 203 definiert ML-KEM als Mechanismus zur Vereinbarung eines gemeinsamen Geheimnisses. ML-KEM-768 ist einer seiner Parametersätze. Das daraus gewonnene Geheimnis kann innerhalb eines Protokolls zur Ableitung eines Schlüssels für die Inhaltsverschlüsselung dienen. ML-KEM ist selbst kein Verfahren, um einen Film oder einen langen Text direkt zu verschlüsseln.
Post-Quanten-Resistenz ist kein Beweis dafür, dass ein Verfahren für immer unknackbar bleibt. Die Sicherheit hängt von mathematischen Annahmen, der richtigen Kombination der Algorithmen, der Implementierung und der Schlüsselverwaltung ab. Wenn auf einer Produktseite ML-KEM steht, ist das keine unabhängige Zertifizierung des gesamten Messengers.
Warum wird ein hybrider Ansatz verwendet?
Ein hybrider Entwurf kombiniert klassisches und Post-Quanten-Schlüsselmaterial mithilfe eines festgelegten Mechanismus, um nicht von einer einzigen Algorithmenfamilie abhängig zu sein. Ein Ziel kann sein, die Vertraulichkeit zu erhalten, wenn eine Komponente versagt. Dieses Ergebnis hängt jedoch vom Entwurf des Kombinators und den Annahmen des Protokolls ab; zwei Namen nebeneinanderzustellen reicht nicht aus.
Vorwärtsgeheimnis und Sicherheit nach einer Kompromittierung sind ebenfalls unterschiedliche Eigenschaften. Ein Protokoll muss deutlich machen, welchen Zeitraum die Offenlegung welches Schlüssels betrifft und welche frischen Eingaben erforderlich sind, um die Sicherheit wiederherzustellen. Allein die Fortschreibung einer deterministischen Kette entfernt keinen Angreifer, der weiterhin auf dem Gerät aktiv ist.
Was bedeutet das für Nutzer von Livara?
Livaras Sicherheitsdokumentation beschreibt für LVR1 den kombinierten Einsatz von P-256 und ML-KEM-768 sowie die Verteilung von Gruppenschlüsseln über paarweise Sitzungen. Das ist die Beschreibung des Herstellers. Prüfen Sie bei der Bewertung die Produktversion, die Abdeckung der einzelnen Gesprächsarten und die technischen Nachweise jeweils gesondert.
Leiten Sie aus dem Schutz einer Nachrichtenart nicht den Schutz sämtlicher Funktionen ab. Für Anrufe, Backups, öffentliche Kanäle und die Wiederherstellung der Identität können unterschiedliche Regeln gelten. Livaras Bedrohungsmodell und der Leitfaden zur Auswahl eines sicheren Messengers sind bessere Ausgangspunkte als ein pauschales Etikett wie „quantensicher“.
Was wird durch quantenresistente Schlüssel nicht gelöst?
- Schadsoftware oder Zugriff auf ein Gerät, das entschlüsselte Inhalte anzeigt.
- Ein Empfänger, der eine Nachricht speichert, fotografiert oder weiterverbreitet.
- Metadaten, die das Produkt absichtlich für die Zustellung aufbewahrt.
- Ein Backup ohne eigenständigen Schutz.
- Die erneute Aufzeichnung von Inhalten, die bereits offengelegt wurden.
Auch verändert eine heutige Aktualisierung keine Kopie des Datenverkehrs, die ein Angreifer bereits zuvor gesammelt hat. Den Unterschied zwischen Inhalten und Begleitinformationen erläutert der Leitfaden zu Messenger-Metadaten.
Wo sollten Sie anfangen?
Ermitteln Sie zunächst die Daten mit einer langen Vertraulichkeitsdauer. Fragen Sie anschließend, in welcher Version und in welchem Ablauf der Post-Quanten-Schutz tatsächlich aktiviert ist, welche Spezifikationen und Bewertungen veröffentlicht wurden und welche Grenzen bei der Wiederherstellung bestehen. Vernachlässigen Sie dabei weder Geräteupdates noch die Überprüfung Ihrer Kontakte oder sichere Backups; diese Risiken bestehen schon heute.
Muss ich davon ausgehen, dass künftig alle meine Nachrichten gelesen werden?
Nein. Ohne Kenntnis des Verschlüsselungsentwurfs und der Fähigkeiten des Angreifers ist diese Schlussfolgerung nicht begründbar. HNDL ist ein Anlass für eine Planung, die der Sensibilität der Daten entspricht, nicht die Gewissheit, dass jede Nachricht offengelegt wird.
Ist Ende-zu-Ende-Verschlüsselung allein schon quantenresistent?
Nein. Ende-zu-Ende-Verschlüsselung beschreibt, wo auf Schlüssel und Inhalte zugegriffen werden kann. Die Widerstandsfähigkeit gegen Quantenangriffe hängt von den Algorithmen und dem Protokoll ab.
