Jetzt quantensicher: Warum kritische Infrastrukturen nicht länger warten können
Quantensicherheit wird häufig als Herausforderung der Zukunft diskutiert. Viele Organisationen treffen jedoch bereits heute Entscheidungen, die ihre langfristige Sicherheit beeinflussen werden. Wo sehen Sie aktuell den größten Handlungsdruck für Regierungen, Verteidigungsorganisationen und Betreiber kritischer Infrastrukturen?
Anna: Wenn staatliche Geheimdienstinformationen, militärische Telemetriedaten, Gesundheitsdaten oder Baupläne kritischer Infrastrukturen für zehn, 20 oder 50 Jahre geheim bleiben müssen, sind Systeme bereits heute gefährdet, wenn sie auf herkömmlicher Public-Key-Verschlüsselung beruhen.
Angreifer verfolgen bereits heute sogenannte „Harvest Now, Decrypt Later“-Strategien (HNDL). Dabei sammeln sie verschlüsselten Datenverkehr aus Glasfaser-Backbones, Satellitenverbindungen und Cloud-Infrastrukturen, um ihn rückwirkend entschlüsseln zu können, sobald skalierbare Quantencomputer verfügbar sind.
Hinzu kommt, dass eingebettete operative Technologien in Verteidigung, Energienetzen und Weltraumsystemen häufig Lebenszyklen von 15 bis 20 Jahren haben. Wird heute ein Satellit, ein Marineschiff oder ein Stromverteilungsnetz in Betrieb genommen, ohne Krypto-Agilität und quantenresistente Verfahren bereits in der Firmware zu berücksichtigen, kann dieses System während eines großen Teils seiner Einsatzdauer verwundbar bleiben.
QSECDEF arbeitet an der Schnittstelle von Quantentechnologien, Cybersicherheit und Verteidigung. Welche Missverständnisse begegnen Ihnen besonders häufig, wenn sich Organisationen erstmals mit Quantensicherheit beschäftigen?
Anna: Da ich überwiegend mit hochrangigen Verteidigungsstrategen und Kryptografie-Experten spreche, liegt das Missverständnis nur selten bei der Physik oder bei der Realität von „Harvest Now, Decrypt Later“-Angriffen. Das Bewusstsein ist definitiv vorhanden.
Der „DigiCert Quantum Readiness Outlook 2026“ vom 23. Juli 2026 zeigt, dass 87 Prozent der Organisationen bereits Post-Quanten-Kryptografie-Initiativen planen, testen oder umsetzen. Gleichzeitig berichten lediglich sieben Prozent, dass mehr als die Hälfte ihrer digitalen Zertifikate bereits quantensichere oder hybride Kryptografie verwendet. Als größte Hürde wurde mit 26 Prozent die Komplexität bestehender Legacy-Systeme genannt, gefolgt von Performance-Auswirkungen und Budgetbeschränkungen mit jeweils 19 Prozent. Zehn Prozent nannten fehlende Kompetenzen als Problem. Genau bei diesem Kompetenzaufbau setzen wir mit QSECDEF an und beobachten ein deutlich wachsendes Interesse ganzer Organisationen an unseren Angeboten.
Das derzeit gefährlichste Missverständnis ist jedoch strategischer Natur und entsteht auf Ebene der Budgetverteilung. Vorstände und Verteidigungsministerien investieren aktuell sehr stark in Künstliche Intelligenz, weil sie als unmittelbar wettbewerbsrelevant wahrgenommen wird. Quantum wird dagegen häufig als Problem von morgen betrachtet, das noch warten könne. Doch die bevorstehende Konvergenz von Quantencomputing und generativer KI verändert die Grundlagen unserer heutigen Cyberabwehr.
Milliarden in KI zu investieren und gleichzeitig das kryptografische Fundament zu vernachlässigen, bedeutet letztlich, eine Festung auf Sand zu bauen. Ein leistungsfähiger Quantencomputer wird die heute verbreiteten Public-Key-Verschlüsselungsverfahren gefährden, die Webverkehr, digitale Signaturen und kritische Datenströme absichern.
Gleichzeitig verändert generative KI die ökonomischen Rahmenbedingungen für Cyberangriffe. Moderne KI-Modelle verfügen zunehmend über die Fähigkeit, Software-Schwachstellen automatisiert und in einer Geschwindigkeit und Größenordnung zu identifizieren und auszunutzen, die menschliche Experten übertreffen kann.
Wenn sich die Kosten für die Entwicklung von Angriffen drastisch reduzieren und die Suche nach Schwachstellen automatisiert wird, reichen klassische, stark auf menschliche Kontrolle ausgerichtete Sicherheits- und Governance-Modelle immer weniger aus. Die schiere Anzahl möglicher Angriffe erhöht die Wahrscheinlichkeit erfolgreicher Attacken erheblich.
Deshalb muss Kryptografie dafür sorgen, dass gestohlene Daten für Angreifer möglichst wertlos bleiben und Netzwerkarchitekturen die Auswirkungen erfolgreicher Angriffe begrenzen. Nationale Sicherheitsbehörden weltweit empfehlen entsprechende Maßnahmen bereits heute. Auch wenn die Migration auf Post-Quanten-Kryptografie weniger Aufmerksamkeit erzeugt als KI, darf sie nicht länger aufgeschoben werden.
Post-Quanten-Kryptografie und Quantum Key Distribution werden häufig in einem Atemzug genannt, lösen aber unterschiedliche Probleme. Wie sollten Entscheidungsträger das Verhältnis zwischen PQC, QKD und umfassenderen quantensicheren Architekturen verstehen?
Anna: Der gefährlichste Fehler wäre, PQC und QKD als konkurrierende Lösungen zu betrachten, die um dasselbe Budget kämpfen. Das sind sie nicht. Es handelt sich um grundsätzlich unterschiedliche, aber hochgradig komplementäre Ebenen einer mehrschichtigen Sicherheitsstrategie.
PQC wird eingesetzt, um skalierbare, alltägliche Datenübertragungen über große Netzwerke und verteilte Endpunkte abzusichern. Da sie mathematisch und softwarebasiert ist, bietet sie die notwendige Flexibilität für eine breite Implementierung in Unternehmen.
Bei besonders kritischen Anwendungen – etwa Nachrichtendienstkommunikation, Transaktionen von Zentralbanken oder souveränen Satellitenverbindungen – kann die Sicherheit zusätzlich durch QKD abgesichert werden. QKD basiert auf physikalischen Prinzipien statt auf rechnerischer Komplexität und ermöglicht es, Manipulations- beziehungsweise Abhörversuche bei der Schlüsselübertragung festzustellen.
Genau diese Kombination ist der Grund, weshalb große Telekommunikationsanbieter bereits daran arbeiten, QKD-Verbindungen als kommerziell verfügbare Premium-Dienste für kritische Infrastrukturen anzubieten. Nokias mehrschichtige quantensichere Architektur ist ein Beispiel für diesen Ansatz: algorithmische PQC sorgt für Skalierbarkeit im Netzwerk, physikbasierte QKD für die zusätzliche Absicherung besonders kritischer Punkt-zu-Punkt-Verbindungen.
Es geht also nicht darum, sich zwischen Mathematik und Physik zu entscheiden – sondern beide Ebenen miteinander zu kombinieren.
In Verteidigung und Sicherheit gewinnt technologische Souveränität zunehmend an Bedeutung. Welche Rolle können Quantentechnologien dabei spielen, Resilienz, sichere Kommunikation und strategische Autonomie in Europa zu stärken?
Anna: Strategische Autonomie bedeutet letztlich operative Handlungsfähigkeit. Europa sollte in der Lage sein, unabhängig zu agieren, ohne geblendet, gestört oder abgehört zu werden – und ohne auf Technologien, Komponenten oder Fachwissen aus anderen Regionen angewiesen zu sein, deren Verfügbarkeit durch politische Krisen, Exportbeschränkungen oder Katastrophen plötzlich eingeschränkt werden könnte.
Quantentechnologien können zu dieser Autonomie beitragen, indem sie bestehende Fähigkeiten erheblich verbessern oder Möglichkeiten eröffnen, die mit klassischen Systemen nicht erreichbar sind.
Auf operativer Ebene beginnt dies beispielsweise bei einer störungsresistenten Navigation. Quantum Positioning, Navigation and Timing (PNT) kann Verteidigungsplattformen und autonome Systeme unabhängiger von störanfälligen Satellitennavigationssystemen machen und so präzise Navigation auch in elektronisch umkämpften Umgebungen ermöglichen.
Bei der Kommunikation schaffen Initiativen wie EuroQCI und die IRIS²-Konstellation neue Voraussetzungen für sichere Führungs- und Kommunikationsstrukturen. Gleichzeitig können Quantengravimetrie und Quantenmagnetometrie zusätzliche Fähigkeiten eröffnen, beispielsweise bei der Detektion von Unterwasser- oder unterirdischen Strukturen ohne aktive Emissionen.
Ebenso entscheidend ist die wirtschaftliche Resilienz. Souveräne Post-Quanten-Kryptografie kann Energienetze, Telekommunikation und Finanzinfrastrukturen vor systemischen Risiken schützen. Gleichzeitig kann Europa durch Investitionen in eigene Quantencomputing-Kompetenzen verhindern, bei zukünftigen Durchbrüchen in Materialwissenschaften, Halbleitern oder Bio-Defence vollständig von ausländischen Hyperscalern abhängig zu werden.
Wenn wir Technologien nicht selbst beherrschen und frühzeitig einsetzen, bleibt strategische Autonomie letztlich eine Illusion.
Quantentechnologien sind nicht nur für Verteidigungsorganisationen relevant, sondern auch für Betreiber kritischer Infrastrukturen und stark regulierte Branchen. Welche Sektoren sollten sich bereits heute vorbereiten – und welche Risiken entstehen, wenn sie zu lange warten?
Anna: Für kritische Infrastrukturen besteht das Risiko des Abwartens nicht lediglich in einem klassischen Datenleck, sondern in möglichen physischen Störungen.
Neben „Harvest Now, Decrypt Later“ könnte mit leistungsfähigen Quantencomputern eine weitere Bedrohung entstehen: „Trust Now, Forge Later“. Wenn Quantencomputer Public-Key-Kryptografie kompromittieren können, geht es nicht mehr nur um die Offenlegung vertraulicher Daten. Auch digitale Signaturen und damit zentrale Mechanismen für Authentizität und Integrität wären betroffen.
Wenn Energieversorger oder Industrieunternehmen Legacy-Steuerungssysteme einsetzen, die keine quantensicheren Signaturen unterstützen, könnten Angreifer theoretisch authentifiziert erscheinende Befehle fälschen, Leistungsschalter manipulieren, chemische Prozesse verändern oder Stromnetze beeinträchtigen.
Im Finanzwesen würde eine Kompromittierung kryptografischer Signaturen, mit denen Interbankentransaktionen und Clearing-Prozesse validiert werden, das Vertrauen in zentrale Transaktionssysteme gefährden. Letztlich steht jede Ebene digitaler Identität auf dem Spiel – von industrieller Hardware und Software bis hin zu menschlichen Identitäten.
Ein Angriff auf grundlegende Kryptografie ist kein Sicherheitsvorfall, der sich innerhalb eines Wochenendes beheben lässt. Organisationen könnten für Wochen oder sogar Monate beeinträchtigt sein. Für Unternehmen kann eine derart lange operative Unterbrechung im Extremfall existenzbedrohend werden. Bei kritischen Infrastrukturen können Ausfälle von Stromversorgung, Zahlungsverkehr oder Krankenhäusern weitreichende gesellschaftliche Folgen haben.
Es wäre deshalb ein Fehler anzunehmen, das Problem ließe sich später mit einem kurzfristig bereitgestellten Notfallbudget lösen. Wer wartet, riskiert eine chaotische und erheblich teurere Migration unter akutem Handlungsdruck, anstatt heute eine kontrollierte, planbare technische Transformation einzuleiten.
Hinzu kommt: Sobald die Bedrohung konkret wird, werden Energieversorger, Banken und Telekommunikationsunternehmen weltweit gleichzeitig nach zertifizierter Hardware, sicheren Chips und qualifizierten Kryptografie-Fachkräften suchen. Wer zu spät beginnt, könnte zusätzlich mit erheblichen Engpässen in Lieferketten und beim Fachpersonal konfrontiert werden.
Viele Organisationen wissen, dass Quantentechnologien Auswirkungen auf die Cybersicherheit haben werden, tun sich jedoch schwer damit, eine konkrete Roadmap zu entwickeln. Wie könnte ein realistischer erster Schritt in Richtung Quantum Readiness aussehen?
Anna: Ein wirkungsvoller erster Schritt besteht darin, sich an etablierten Standards wie dem ETSI-Rahmenwerk für die PQC-Migration – ETSI TR 103 619 – zu orientieren. Noch bevor jedoch technische Veränderungen an der Infrastruktur vorgenommen werden, sollten Organisation und Weiterbildung im Mittelpunkt stehen.
Unternehmen und Institutionen sollten zunächst ein bereichsübergreifendes Team aufstellen, das von einer klar verantwortlichen Person für die Migration geführt wird. Dieses Team benötigt ein doppeltes Mandat: die strategische Abstimmung mit der Führungsebene und gleichzeitig die technische Befähigung der operativen Teams.
Vorstände und Management benötigen kontinuierlich aktuelle strategische Informationen, um Investitionsentscheidungen fundiert treffen zu können. Bei Quantum Security Defense bieten wir deshalb beispielsweise auf Führungsebenen zugeschnittene Briefings und Trendanalysen an.
Parallel müssen technische und operative Teams weitergebildet werden, um die Strategie tatsächlich umsetzen und interne Krypto-Agilität aufbauen zu können. Unsere Trainingsplattform bei QSECDEF richtet sich deshalb sowohl an Entscheidungsträger als auch an technische Spezialisten und vermittelt praktische Einblicke und Roadmaps.
Im Rahmen unseres QSECDEF Business Bootcamps haben wir beispielsweise den gesamten ETSI-Migrationsstandard Schritt für Schritt aus operativer Perspektive behandelt. Dieses Training steht inzwischen on demand mit entsprechender Zertifizierung zur Verfügung.
Solange dieses Fundament aus Governance, Verantwortlichkeiten und Kompetenzen nicht vorhanden ist, besteht die Gefahr, dass jede technische Migration ins Stocken gerät.
Deine Session auf der Quantum Effects 2026 beschäftigt sich mit dem Schutz kritischer Infrastrukturen vor Cyberangriffen. Welche Entwicklungen und Risiken sollten Entscheidungsträger aus Industrie, Verteidigung und kritischer Infrastruktur deiner Ansicht nach besonders dringend verstehen?
Anna: Meine zentrale Botschaft auf der Quantum Effects 2026 lautet, dass wir es mit einer Verwundbarkeit von miteinander vernetzten „Systemen von Systemen“ zu tun haben.
Unsere Energienetze, Telekommunikationsnetze, Finanzinfrastrukturen und Verteidigungslogistik sind heute vollständig voneinander abhängig. Ein kryptografisches Versagen bei einem nachgelagerten Telekommunikationsanbieter bleibt deshalb nicht isoliert. Seine Auswirkungen können sich unmittelbar auf militärische Lieferketten und zivile Stromnetze übertragen.
Der Bankensektor ist dafür ein gutes Beispiel. Eine moderne Bank arbeitet längst nicht mehr isoliert. Ihre digitale Lieferkette ist hochkomplex und umfasst Hunderte externe APIs, Cloud-Umgebungen und spezialisierte FinTech-Anbieter.
Wenn nur ein weit verbreiteter Softwareanbieter oder Zahlungsdienstleister nicht rechtzeitig auf quantensichere Kryptografie migriert, kann genau dieser Punkt zum systemischen Schwachpunkt werden. Die Folgen könnten gleichzeitig die Integrität von Transaktionen und Abwicklungssystemen mehrerer großer Banken beeinträchtigen. Ein kryptografisches Problem bei einem einzelnen Zulieferer kann sich so durch ganze Wirtschaftsstrukturen fortpflanzen.
Aufgrund dieser starken Vernetzung darf die Einführung von Post-Quanten-Kryptografie nicht als isoliertes IT-Projekt betrachtet werden. Sie muss Teil einer umfassenden „Quantum-Safe Zero Trust“-Architektur sein.
Dabei sollte grundsätzlich davon ausgegangen werden, dass der Perimeter bereits kompromittiert sein könnte. Netzwerke müssen daher so gestaltet werden, dass jedes Gerät, jede Verbindung zu einem externen Anbieter und jeder Datenfluss kontinuierlich authentifiziert wird – unter Einsatz quantenresistenter Verfahren und ohne implizites Vertrauen.
Entscheidungsträger müssen zudem die Veränderungen der rechtlichen und regulatorischen Rahmenbedingungen verstehen. In Europa erhöhen Regelwerke wie NIS2, DORA und der Cyber Resilience Act die Anforderungen an den Umgang mit systemischen Cyberrisiken und Schwachstellen in Lieferketten deutlich.
Die Bedrohung durch Quantencomputing ist daher aus unserer Sicht nicht länger rein theoretisch. Die Risiken werden zunehmend quantifizierbar und die Zeit für die Vorbereitung kritischer Infrastrukturen wird knapper. Unsere Aufgabe bei QSECDEF besteht darin, diese Botschaft überall dort zu vermitteln, wo heute die entsprechenden Entscheidungen getroffen werden müssen.
back to overview