Seminar Post-Quantum Cryptography – Risikoanalyse und Migrationsroadmap

Ein Kryptoinventar zeigt, wo Kryptografie eingesetzt wird. Es beantwortet noch nicht, was zuerst geändert werden muss. Das Seminar entwickelt aus technischen Befunden, Schutzbedarf, Zeitfaktoren und Abhängigkeiten eine begründete Reihenfolge, die Ressourcen auf die tatsächlich kritischen Risiken konzentriert.

Zielsetzung

Die Teilnehmenden erstellen ein transparentes Bewertungsmodell und überführen priorisierte Risiken in Migrationswellen, Pilotvorhaben, Übergangskontrollen und steuerbare Arbeitspakete.

Risikomodell aufbauen

• Vertraulichkeit, Authentizität, Integrität, Identität und Nichtabstreitbarkeit getrennt bewerten
• Harvest-now-decrypt-later für Datenflüsse und gespeicherte Daten erfassen
• Schutzdauer, Schlüssellebensdauer, Beweiszeitraum und Systemlebenszyklus unterscheiden
• Erwartete Migrationsdauer und Unsicherheitsreserve in den Handlungszeitpunkt einbeziehen
• Exponierung, Angreiferinteresse, Wiederherstellbarkeit und Schadensausmaß berücksichtigen

Technische und externe Faktoren

• Algorithmus, Parameter, Protokoll, Implementierung und Schlüsselverwaltung bewerten
• PQC-, Hybrid- und Crypto-Agility-Fähigkeit des Systems feststellen
• Lieferantenroadmap, Supportende, Hardwaretausch und Abkündigungen berücksichtigen
• Standardreife, Protokollreife, Produktreife und eigene Betriebsreife getrennt bewerten
• Abhängigkeiten zu PKI, HSM, KMS, Identitäten, Netzwerk und Datenformaten aufnehmen

Priorisierung

• Sofortmaßnahmen für lange Vertraulichkeit und besonders kritische Vertrauensfunktionen bestimmen
• Berücksichtigen, dass nachträgliche Schutzmaßnahmen bereits abgegriffene verschlüsselte Daten nicht zurückholen können
• Für langfristige Signaturen Erneuerung, Zeitstempelung und Nachsignierung getrennt vom Vertraulichkeitsrisiko planen
• Quick Wins von strukturellen Vorbedingungen und langlebigen Blockern trennen
• Bewertungsskalen, Gewichtungen und Schwellenwerte nachvollziehbar gestalten
• Unsichere oder unvollständige Inventardaten sichtbar in die Priorität einbeziehen
• Risikobündel auf Geschäftsservices und Migrationsprogramme aggregieren

Migrationsroadmap

• Zielprofile und zulässige Übergangsprofile je Anwendungsfall definieren
• Foundations wie Inventar, PKI, Schlüsselverwaltung und Testumgebung zuerst einplanen
• Piloten, Migrationswellen, Parallelbetrieb und Außerbetriebnahme strukturieren
• Arbeitspakete mit Verantwortlichen, Lieferanten, Budget und Terminabhängigkeiten versehen
• Ausnahmen und kompensierende Kontrollen mit Ablaufdatum und Prüftermin führen
• Kennzahlen für Inventarabdeckung, Risikoreduktion, Pilotfortschritt und Restabhängigkeiten festlegen

Praxisübungen

• Beispielbefunde anhand von Zeit-, Schutz- und Technikfaktoren bewerten
• Ein Scoring-Modell auf Konsistenz und Fehlanreize prüfen
• Migrationsabhängigkeiten in eine sinnvolle Wellenfolge überführen
• Eine Roadmap mit Pilot, Entscheidungspunkten, Kennzahlen und Ausnahmen erstellen