Seminar Post-Quantum Cryptography – Intensiv: Kryptoinventar, Crypto Agility und Migration

Das Intensivseminar führt die technischen und organisatorischen Bausteine einer PQC-Migration in einem durchgängigen Vorgehensmodell zusammen. Es ist für Organisationen gedacht, die nicht nur einen Überblick, sondern eine belastbare Grundlage für Inventarisierung, Priorisierung, Pilotierung und Programmsteuerung benötigen.

Alle Themen der spezialisierten Seminare werden in verdichteter Form behandelt. Die Übungen bauen auf einem gemeinsamen Unternehmensszenario auf, sodass aus Einzelerkenntnissen ein konsistenter Migrationsentwurf entsteht.

Bedrohungsmodell und Standards

• Quantenbedrohung für RSA, Diffie-Hellman und elliptische Kurven bewerten
• Vertraulichkeits-, Signatur-, Identitäts- und Vertrauensrisiken unterscheiden
• ML-KEM, ML-DSA und SLH-DSA einschließlich Parameter- und Einsatzprofilen einordnen
• FN-DSA, HQC und die weiteren Signaturkandidaten entsprechend ihrem noch nicht abgeschlossenen Standardisierungsstand behandeln
• Empfehlungen für die sichere Verwendung von KEMs und Crypto Agility in Architekturentscheidungen übernehmen
• Klassische, hybride und reine PQC-Ansätze mit ihren Vertrauensannahmen vergleichen

Kryptoinventar und Crypto Discovery

• Erfassungsbereich für Anwendungen, Netze, PKI, HSM, KMS, Endgeräte, Cloud, SaaS und OT festlegen
• Aktive Scans, passive Beobachtung, Konfigurationsanalyse, Codeanalyse und Lieferantendaten kombinieren
• Algorithmen, Parameter, Protokolle, Zertifikate, Schlüssel, Bibliotheken und Datenflüsse normalisieren
• CBOM-Datenmodell, Evidenz, Aktualisierung, Eigentümerschaft und Qualitätsregeln entwerfen
• Blindstellen, Fehlalarme, verschachtelte Abhängigkeiten und Schatten-IT behandeln

Risikoanalyse und Roadmap

• Schutzdauer, Migrationsdauer, Systemlebenszyklus und Unsicherheitsreserve bewerten
• Harvest-now-decrypt-later, Signaturgültigkeit, Vertrauensanker und Betriebsfolgen gewichten
• Lieferantenreife, Standardreife, technische Machbarkeit und Abhängigkeiten einbeziehen
• Migrationswellen, Pilotkandidaten, Übergangskontrollen und Ausnahmen planen
• Arbeitspakete, Verantwortliche, Budget, Meilensteine und Kennzahlen festlegen

Anwendungen und Crypto Agility

• Kryptografische Funktionen kapseln und Richtlinien von Implementierungen entkoppeln
• Versionierbare Datenformate, Algorithmuskennungen und austauschbare Schlüsseltypen gestalten
• Hybridbetrieb, Feature Flags, gestaffelte Einführung und sicheren Rollback entwerfen
• CI/CD-Prüfungen, Testvektoren, Interoperabilitäts- und Negativtests integrieren
• Performance, Paketgrößen, Speicherbedarf, Fehlerbilder und Telemetrie berücksichtigen

PKI und digitale Signaturen

• CA-Hierarchien, Vertrauensanker, Zertifikatsprofile, Sperrinformationen und HSM-Abhängigkeiten inventarisieren
• Standardisierte Profile für ML-DSA in X.509 und CMS, SLH-DSA in X.509 sowie ML-KEM in X.509 und CMS von noch laufenden Composite- und Hybridprofilen unterscheiden
• ML-DSA und SLH-DSA für Zertifikate, Code Signing, Dokumente und Langzeitvalidierung bewerten
• Hybride oder parallele Vertrauensmodelle und Koexistenzphasen planen
• Zertifikats- und Signaturgrößen sowie Kettenverarbeitung praktisch testen
• Wurzelwechsel, Schlüsselzeremonien, Archivierung und Nachsignierung strukturieren

TLS, VPN und SSH

• Hybride TLS-1.3-Schlüsselvereinbarung mit ML-KEM und klassischen Komponenten untersuchen
• Handshake-Größen, MTU, Fragmentierung, Latenz, Middleboxes und Kompatibilität messen
• PQC-Optionen und Standardisierungsstände für SSH und IKEv2 fachgerecht bewerten
• Schlüsselvereinbarung und Authentisierung getrennt migrieren
• Fallback- und Downgrade-Risiken durch Tests und Telemetrie kontrollieren

Infrastruktur, Cloud und OT

• Betriebssysteme, Appliances, Load Balancer, Identitätsdienste, Storage und Backup einbeziehen
• Cloud-Verantwortlichkeiten, verwaltete Dienste und Schlüsselkontrolle prüfen
• OT-Lebenszyklen, Wartungsfenster, begrenzte Ressourcen und Herstellerabhängigkeit behandeln
• HSM-, KMS-, TPM-, Smartcard- und Firmwarefähigkeit bewerten
• Pilot, Parallelbetrieb, Abnahme, Rückfall und Außerbetriebnahme planen

Governance und Beschaffung

• Rollen, Richtlinien, Entscheidungswege und Ausnahmebehandlung festlegen
• PQC- und Crypto-Agility-Anforderungen in Ausschreibungen und Lieferantenbewertungen aufnehmen
• Nachweise, Kennzahlen und regelmäßige Neubewertung organisieren
• Technische Roadmap mit Portfolio-, Budget- und Risikosteuerung verbinden

Durchgängige Praxisarbeit

• Kryptoinventar und CBOM für das Seminarszenario erstellen
• Risikoscoring und priorisierte Migrationswellen entwickeln
• Eine hybride Protokoll- und PKI-Pilotarchitektur prüfen
• Crypto-Agility-Anforderungen und automatisierte Tests formulieren
• Eine umsetzbare PQC-Roadmap mit Governance, Kennzahlen und Abnahmekriterien ausarbeiten