Seminar Post-Quantum Cryptography – Kompakt: Kryptoinventar und Migrationsplan

Das Kompaktseminar konzentriert sich auf die entscheidenden Schritte zwischen Erkenntnis und Umsetzung: Welche Kryptografie ist vorhanden, welche Risiken sind zuerst zu behandeln und wie wird daraus ein realistisch ausführbarer Plan? Theorie wird nur so weit vertieft, wie sie für belastbare Inventar- und Migrationsentscheidungen erforderlich ist.

Zielsetzung

Die Teilnehmenden entwickeln ein Mindestdatenmodell für das Kryptoinventar, ein transparentes Priorisierungsschema und eine erste Roadmap mit Pilot, Verantwortlichkeiten und überprüfbaren Meilensteinen.

PQC-Grundlagen für die Migration

• Betroffene asymmetrische Verfahren und verbleibende symmetrische Sicherheitsreserven unterscheiden
• Harvest-now-decrypt-later und Risiken langfristiger Signaturen einordnen
• ML-KEM, ML-DSA und SLH-DSA in Schlüsselvereinbarung und Signatur einordnen
• Hybride und reine PQC-Ansätze sowie Crypto Agility vergleichen
• Standard-, Produkt- und Protokollreife getrennt bewerten

Kryptoinventar aufbauen

• Systeme, Anwendungen, Datenflüsse, Zertifikate, Schlüssel, Bibliotheken und externe Dienste in den Geltungsbereich aufnehmen
• Aktive, passive, statische und organisatorische Erhebungsmethoden kombinieren
• Inventarfelder für Algorithmus, Parameter, Zweck, Eigentümer, Schutzdauer, Lebenszyklus und Evidenz definieren
• CBOM-Ansatz, Normalisierung und Verknüpfung mit CMDB, Asset- und Schwachstellenmanagement gestalten
• Datenqualität, Abdeckung, Aktualisierung und offene Befunde steuern

Risiken priorisieren

• Schutzdauer und Migrationsdauer mit einer Unsicherheitsreserve verbinden
• Kritikalität, Exponierung, Authentizitätsbedarf und Wiederherstellbarkeit bewerten
• Lieferantenabhängigkeit, End-of-Life und fehlende PQC-Unterstützung berücksichtigen
• Quick Wins, Pilotkandidaten, langfristige Abhängigkeiten und kompensierende Maßnahmen unterscheiden
• Entscheidungen mit nachvollziehbaren Kriterien dokumentieren

Migrationsplan erstellen

• Zielprofile für Schlüsselvereinbarung, Signaturen und Zertifikate festlegen
• Abhängigkeiten und Reihenfolge von PKI, HSM, Protokollen, Anwendungen und Infrastruktur ordnen
• Hybride Übergangsphasen, Kompatibilität, Tests und Rollback planen
• Verantwortliche, Lieferanten, Budget, Meilensteine und Abnahmekriterien zuordnen
• Kennzahlen für Inventarabdeckung, Risikoreduktion und technische Einführung definieren

Praxisübungen

• Ein Kryptoinventar für eine Beispielumgebung aufbauen
• Befunde mit einem nachvollziehbaren Risikomodell priorisieren
• Eine Pilotentscheidung mit Erfolgs- und Abbruchkriterien treffen
• Eine kompakte Migrationsroadmap und ein Management-Statusbild erstellen