Die Y2Q-Krise: Warum Hacker wertlose Daten stehlen

Derzeit stehlen unsichtbare Eindringlinge in Rechenzentren in Virginia, Frankfurt und Singapur Müll.

Sie exfiltrieren Petabytes an verschlüsseltem Datenverkehr – VPN-Sitzungen, diplomatische Telegramme, Banküberweisungen und Geschäftsgeheimnisse. Wenn ein Analyst diese Daten heute betrachten würde, würden sie wie weißes Rauschen aussehen. Es ist mathematisch nicht zu entziffern, da es hinter der RSA-2048- oder Elliptic Curve-Verschlüsselung (ECC) steckt und ein herkömmlicher Supercomputer das Alter des Universums brauchen würde, um es zu knacken.

Aber die Diebe versuchen heute nicht, es zu lesen. Sie lagern es in riesigen Kühlhäusern und warten auf ein bestimmtes Datum im Kalender.

Experten nennen es Y2Q (Years to Quantum). Die Geheimdienstgemeinschaft nennt es HNDL: „Jetzt ernten, später entschlüsseln.“

Die Wette ist einfach: Irgendwann zwischen 2026 und 2030 wird ein kryptografisch relevanter Quantencomputer (CRQC) online gehen. Wenn dies der Fall ist, verwandelt es diesen Berg „wertloser“ verschlüsselter Daten in ein offenes Buch und enthüllt sofort das letzte Jahrzehnt globaler Geheimnisse.

Die Physik des Zusammenbruchs

Um zu verstehen, warum ein Bankkonto in Gefahr ist, muss man die Mathematik verstehen, die es schützt.

Der größte Teil des Internets läuft auf Public-Key-Kryptographie (wie RSA). Dies beruht auf einer mathematischen Falltür: Es ist unglaublich einfach, zwei große Primzahlen miteinander zu multiplizieren, aber es ist fast unmöglich, aus dem Ergebnis herauszufinden, durch welche beiden Primzahlen es entstanden ist (Ganzzahlfaktorisierung).

$N = p \times q$

Wenn $p$ und $q$ groß genug sind (Hunderte Stellen lang), ist es für die klassische Physik ein „schwieriges Problem“, sie zu finden. Diese Asymmetrie ist die Grundlage des Vertrauens im Web.

Geben Sie Shors Algorithmus ein. 1994 bewies der Mathematiker Peter Shor, dass ein Quantencomputer dieses Primfaktorisierungsproblem nicht in Milliarden von Jahren, sondern in Stunden lösen kann.

Die Magie liegt in der Quantenüberlagerung und Interferenz.

• Klassische Computer müssen versuchen, Zahlen durch Versuch und Irrtum (Brute Force) zu faktorisieren und jeweils eine Möglichkeit nach der anderen zu prüfen.
• Quantencomputer nutzen Qubits, die gleichzeitig in mehreren Zuständen existieren können. Shors Algorithmus verwendet eine Unterroutine namens „Period Finding“. Es richtet ein Quantenregister ein, das eine Überlagerung aller möglichen Eingaben enthält. Durch die Anwendung einer Quanten-Fourier-Transformation (QFT) interferieren die falschen Antworten destruktiv (heben sich gegenseitig auf), während die richtige Antwort (die Periode der Funktion) konstruktiv interferiert (verstärkt).

Dadurch kann der Computer die verborgene Struktur der Primfaktoren in polynomieller Zeit finden. Wenn ein Quantencomputer mit ausreichend stabilen Qubits (schätzungsweise rund 4.000 logische Qubits) online geht, wird die RSA-Verschlüsselung nicht nur geschwächt; es wird 0 % wirksam sein. Es wird so sein, als ob das Passwort im Klartext gesendet würde.

Das neue Schild: NIST FIPS 203, 204 und 205

Der Himmel stürzt nicht ein – noch nicht. Seit sechs Jahren veranstaltet das National Institute of Standards and Technology (NIST) einen globalen Wettbewerb, um neue mathematische Probleme zu finden, die nicht einmal ein Quantencomputer lösen kann.

Ende 2024 stellte NIST die ersten drei Standards fertig. Dies sind die Instrumente, mit denen die Branche Y2Q bekämpfen wird.

1. FIPS 203 (ML-KEM): Der Schlüsselaustausch

Früher bekannt als CRYSTALS-Kyber. Dies ist der Algorithmus, der den „Handshake“ schützt, wenn ein Browser eine Verbindung zu einer Website herstellt (HTTPS). Es ersetzt den Diffie-Hellman-Austausch. Es ist effizient, relativ schnell und wurde von Kryptographen seit Jahren kampferprobt. Es ist als „Key Encapsulation Mechanism“ (KEM) konzipiert – es verschlüsselt große Dateien nicht direkt, sondern transportiert den für die Sitzung verwendeten temporären symmetrischen Schlüssel sicher.

2. FIPS 204 (ML-DSA): Die digitale Signatur

Früher bekannt als CRYSTALS-Dilithium. Dies beweist die Identität. Es ersetzt RSA-Signaturen und ECDSA. Wenn ein iPhone überprüft, ob ein Update tatsächlich von Apple stammt, verwendet es eine Signatur. Zukünftig wird ML-DSA verwendet. Es bietet ein ausgewogenes Verhältnis von Sicherheit und Leistung, erzeugt jedoch deutlich größere Signaturen als die aktuellen ECC-Standards.

3. FIPS 205 (SLH-DSA): Das Backup

Früher bekannt als SPHINCS+. Dies ist eine zustandslose Hash-basierte Signatur. Es ist langsamer und erzeugt größere Signaturen als Dilithium, verwendet jedoch eine völlig andere Mathematik (Hash-Funktionen vs. Lattices). Es handelt sich um die Versicherungspolice. Wenn ein Mathematiker einen schwerwiegenden Fehler in der neueren „Lattice“-Mathematik von Kyber und Dilithium findet, kann die Welt auf die Brute-Force-Zuverlässigkeit Hash-basierter Signaturen zurückgreifen.

Wie es funktioniert: Die „Gitter“-Falle

Sowohl FIPS 203 als auch 204 basieren auf gitterbasierter Kryptographie. Dies ist das wichtigste Konzept der modernen Sicherheit.

Stellen Sie sich ein massives, mehrdimensionales Gitter (ein Gitter) vor. Wenn jemand auf einen bestimmten Schnittpunkt auf einer Gitterlinie zeigt und nach dem nächstgelegenen anderen Schnittpunkt fragt, ist das in 2D (Millimeterpapier) einfach.

Aber stellen Sie sich vor, dieses Gitter hat 1.000 Dimensionen. Und stellen Sie sich vor, der Herausforderer fügt dem Punkt eine bestimmte Menge an zufälligem „Rauschen“ hinzu, sodass er nicht perfekt auf einer Linie liegt. Die Aufforderung an den Computer, den ursprünglichen Gitterpunkt zu finden, wird als Learning With Errors (LWE)-Problem bezeichnet.

$\mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e}$

• $\mathbf{A}$ ist eine öffentliche Matrix (die Karte).
• $\mathbf{s}$ ist der geheime Vektor (die Antwort).
• $\mathbf{e}$ ist der Fehler (das Rauschen).

Es ist unglaublich schwierig, das Geheimnis $\mathbf{s}$ zu finden, wenn nur das öffentliche $\mathbf{A}$ und das verrauschte Ergebnis $\mathbf{b}$ gegeben sind. Es wird als NP-schweres Problem kategorisiert. Selbst für einen Quantencomputer ist die Rechenleistung erschöpfend. Shors Algorithmus (der RSA zerstört) ist gegen Lattices nutzlos, da er auf der Suche nach „Perioden“ (sich wiederholenden zyklischen Mustern) in Zahlen beruht. In der Kryptographie verwendete Gitter sind so konzipiert, dass sie „unstrukturiert“ sind, um diese periodische Ausnutzung zu verhindern.

Der Infrastruktur-Albtraum

Sollte es also ausreichen, einfach die Software zu aktualisieren? Leider nein. Die Migration zur Post-Quantum-Kryptographie (PQC) wird für jeden CTO auf der Welt ein chaotisches und kostspieliges Problem darstellen. Das Problem ist die Physik: Quantenresistente Schlüssel sind schwer.

Das Größenproblem Aktuelle Verschlüsselungsschlüssel sind winzig. Ein öffentlicher ECC-Schlüssel ist nur 32 Bytes. Es passt problemlos in ein einzelnes TCP-Datenpaket.

• Ein Kyber-1024 (FIPS 203)-Schlüssel ist 1.568 Bytes.
• Eine Dilithium-5 (FIPS 204)-Signatur umfasst 4.595 Bytes.

Das hört sich im Zeitalter der Gigabit-Glasfaser vielleicht nicht nach viel an, aber in der Mikrowelt der Netzwerk-Handshakes ist es eine gewaltige Aufblähung.

1. Paketfragmentierung: Diese Schlüssel überschreiten häufig die Standard-MTU (Maximum Transmission Unit) von 1500 Bytes. Das bedeutet, dass jetzt für jeden Handshake mehrere Pakete erforderlich sind. Wenn ein Router das zweite Fragment verwirft, schlägt die gesamte Verbindung fehl.
2. Die „HelloRetryRequest“-Schleife: In TLS 1.3 sendet der Client ein „ClientHello“-Paket, um die Verbindung zu starten. Wenn der PQC-Schlüssel zu groß ist, um in dieses erste Hallo zu passen, oder wenn der Server die spezifische angebotene Hybridgruppe nicht unterstützt, sendet der Server eine „HelloRetryRequest“ und erzwingt einen zweiten Roundtrip. Dies führt bei jeder neuen Verbindung zu einer erheblichen Latenz.
3. Fest codierte Middleboxen: Tausende von älteren Firewalls, Load Balancern und IoT-Geräten haben fest codierte Grenzwerte für die Header-Größe. Wenn ein Client einen 4-KB-Header sendet, kennzeichnen diese „Middleboxes“ dies möglicherweise als DoS-Angriff oder Pufferüberlaufversuch und unterbrechen die Verbindung.
4. Leistungseinbußen: Die Überprüfung dieser Signaturen erfordert mehr CPU-Leistung. Für einen Server, der Millionen von Verbindungen verwaltet (wie Google oder Cloudflare), bedeutet dieser CPU-Overhead Millionen von Dollar an Strom und neuer Hardware.

Der „Jetzt ernten“-Realitätscheck

Der gruseligste Aspekt von Y2Q ist nicht die Zukunft; es ist die Gegenwart.

Wenn eine Bank oder eine Regierungsbehörde heute Daten übermittelt und diese Daten länger als fünf Jahre geheim bleiben müssen, sind sie bereits gefährdet.

• Sozialversicherungsnummern? Kompromittiert.
• Geschäftsgeheimnisse für eine Produkteinführung im Jahr 2030? Kompromittiert.
• Diplomatische Depeschen zur Atompolitik? Kompromittiert.

Aus diesem Grund hat das Weiße Haus NSM-10 herausgegeben, das anordnet, dass alle Bundesbehörden sofort mit der Umstellung auf PQC beginnen. Sie wissen, dass die Ernte stattfindet. Geheimdienste bauen derzeit riesige „Data Lakes“ mit verschlüsseltem Datenverkehr auf. Sie müssen es jetzt nicht lesen. Sie müssen ihn nur festhalten, bis sich der Schlüssel dreht.

Was Entwickler tun müssen

Wenn ein IT-Leiter noch nicht mit der Planung begonnen hat, ist er bereits im Rückstand. Der Übergang wird Jahre und nicht Wochen dauern.

1. Krypto-Assets inventarisieren: Sie können nicht reparieren, was Sie nicht wissen. Verwenden Sie Scan-Tools (wie CBOMs – Cryptography Bill of Materials), um jede Instanz von RSA, ECDSA und Diffie-Hellman in der Codebasis zu finden.
2. Hybridmodi testen: Wechseln Sie nicht zum PQC-Cold-Truthahn. Verwenden Sie Hybridverschlüsselung (z. B. X25519 + Kyber). Dies vereint die bewährte Sicherheit klassischer Algorithmen mit der Quantenresistenz der neuen. Im Idealfall wird der KEM von beiden Schlüsselbörsen abgeleitet. Wenn sich herausstellt, dass Kyber einen mathematischen Fehler aufweist (was bei neuen Kryptowährungen der Fall ist), schützt die klassische Schicht die Daten immer noch vor klassischen Angriffen.
3. Überprüfen Sie die Lieferkette: AWS, Cloudflare und Signal führen bereits PQC-Unterstützung ein. Wenn ein VPN- oder Datenbankanbieter „FIPS 203“ nicht auf seiner Roadmap erwähnt hat, beginnen Sie, Fragen zu stellen.

Die Tür zur Quantenzukunft öffnet sich. Die Frage ist nur, ob die Schlösser ausgetauscht werden, bevor die Diebe hereinspazieren.

Quellen (5)

• insightsfromanalytics.com One year until Q-Day? The post-quantum cryptography crisis explained
• postquantum.com Q-Day / Y2Q: What Will Happen?
• quera.com Preparing for Y2Q: The Ultimate Guide
• deloitte.com Tech Trends 2025: Quantum Computing and Cybersecurity
• nist.gov NIST Release of First Three PQC Standards