«Fehlende Priorität ist das grösste Hindernis, nicht die Technologie»

Computerworld (CW): «Harvest now, decrypt later» klingt für viele IT-Verantwortliche noch abstrakt. Wie real und konkret ist diese Bedrohung heute – und welche Rolle spielen hier Daten und Speicher, wenn es um Quantenverschlüsselung geht?

Marc Ender: Die Bedrohung ist sehr real und sie läuft bereits. Cyberkriminelle und staatliche Akteure greifen heute verschlüsselte Daten ab und «lagern» sie, um sie später mit Quantencomputern zu entschlüsseln, sobald diese ausreichend verfügbar sind. Brisant ist, dass viele sensible Daten wie Geschäftsgeheimnisse, Finanzdaten oder klassifizierte Informationen aus dem Verteidigungs- und Sicherheitsbereich auch in zwanzig Jahren noch relevant sind. Und genau da kommt Storage ins Spiel: Hier liegt ein Grossteil der sensiblen Daten wie Patientenakten, Verträge oder Konstruktionspläne – und genau dieser greift als letzte Verteidigungslinie, wenn Angreifer vorgelagerte Schutzmechanismen umgehen. Moderne Dateninfrastrukturen können Verschlüsselung direkt am Speicher verankern, etwa über selbstverschlüsselnde Laufwerke und ein dynamisches Schlüsselmanagement, das traditionelle Verfahren schrittweise durch PQC ersetzt. Wer seine Storage-Schicht nicht quantensicher macht, liefert Angreifern die Daten quasi auf Vorrat.

CW: NIST hat 2024 verbindliche PQC-Standards zertifiziert, europäische Behörden empfehlen deren Einsatz explizit. Trotzdem haben die meisten Unternehmen keine quantenresistenten Massnahmen eingeführt. Woran scheitert die Umsetzung? 

Ender: Das ist ehrlich gesagt vor allem eine Herausforderung auf Führungsebene. Die Standards liegen seit 2024 auf dem Tisch. NIST hat geliefert, europäische Behörden fordern die Migration bis 2030 und auch das Schweizer Bundesamt für Cybersicherheit (BACS) stuft PQC als relevanten Lösungsansatz ein. Aber in vielen Unternehmen ist das Thema noch nicht auf Vorstandsebene angekommen. Dabei ist die Rechnung einfach: Eine Migration kann bei grossen Organisationen bis zu 15 Jahre dauern, vor allem, wenn man die Bestandsaufnahme sämtlicher Bereiche, in denen kryptographische Verfahren genutzt werden, einbezieht. Wer heute noch nicht beginnt, wird die Deadline realistisch nicht schaffen. Fehlende Priorität ist das grösste Hindernis, nicht die Technologie.

CW: Sie sprechen davon, dass Storage die letzte Verteidigungslinie ist. Gleichzeitig positionieren Sie NetApp als »most secure storage on the planet». Was steckt konkret dahinter und wie unterscheidet sich ein wirklich intelligentes, quantensicheres Speichersystem von einem, dass auf traditionelle Verschlüsselung setzt?

Ender: Stellen Sie sich Defense-in-Depth vor: Firewalls, Netzwerksegmentierung und Zugriffskontrollen bilden konzentrische Schutzringe um die Daten. Wenn ein Angreifer all das überwindet, hat er direkten Zugriff auf den Storage und die dort gespeicherten Daten. Deshalb muss genau hier die Verschlüsselung sitzen, die auch Quantenangriffen standhält. Der Speicher wird so zur letzten Verteidigungslinie. «most secure storage» bedeutet für uns konkret: NIST-zertifizierte PQC-Algorithmen, nativ integriert für Daten im Ruhezustand (at rest), während der Übertragung (in transit) und während der Nutzung (in use), FIPS-zertifizierte selbstverschlüsselnde Laufwerke und ein krypto-agiles Schlüsselmanagement, das Algorithmen jederzeit wechseln kann, ohne den Betrieb auch nur eine Sekunde zu unterbrechen. Und genau das bieten wir.

CW: Die EU-Kommission will PQC explizit in NIS2 verankern, 21 europäische Partnerbehörden fordern die Migration bis 2030. Gleichzeitig sprechen Experten von Migrationszeiträumen von bis zu 15 Jahren bei grossen Organisationen. Wie soll das funktionieren und welche Rolle spielen Storage-Anbieter dabei, diesen Widerspruch aufzulösen?

Ender: Der Widerspruch ist real, und wir sollten ihn nicht schönreden. Aber er lässt sich auflösen, indem man jetzt anfängt, klug priorisiert und die Umstellung als sukzessive Transformation betrachtet, bei der kryptographische Protokolle nach und nach über die gesamte Infrastruktur hinweg aktualisiert oder ersetzt werden. Storage-Anbieter spielen dabei eine zentrale Rolle, weil es für die Erneuerung von Speichersystemen in praktisch jedem Unternehmen bereits etablierte Prozesse und Ansprechpartner gibt. Man muss das Rad nicht neu erfinden. Wer mit einem Pilotprojekt im Storage beginnt, sammelt Erfahrung und kann die Migration schrittweise auf kritischere Systeme ausweiten – ohne den laufenden Betrieb zu gefährden.

CW: Welches Vorgehen empfehlen Sie Unternehmen für die Umstellung auf Post-Quantum-Kryptographie? Auf welche Stolpersteine müssen sie achten?

Ender: Wir empfehlen drei Schritte: Erstens ein Krypto-Inventar erstellen – also transparent machen, wo überall Verschlüsselung im Einsatz ist. Das dauert bei grossen Organisationen oft schon Jahre. Zweitens Risiken priorisieren: Nicht alle Daten sind gleich sensibel und schutzbedürftig. Daten mit langer Aufbewahrungspflicht werden vorrangig behandelt. Drittens mit einem Pilotprojekt im Storage starten und dann ausweiten. Der häufigste Stolperstein? Unternehmen warten auf bessere Standards – oder behandeln PQC als reines IT-Thema. Dabei müssen Datenschutz, Compliance und Einkauf von Anfang an mit am Tisch sitzen.