Resistent gegen mögliche Angriffe von Quantencomputern aus DORA und die Auswirkungen von Quantum Computing

Anbieter zum Thema

DigiCert

PANDUIT

Schneider Electric GmbH

Kentix GmbH

Die DORA-Gesetzgebung der EU zwingt Finanzunternehmen und Drittanbieter von IKT-Dienstleistungen zu strengeren Sicherheitsanforderungen. Ziel ist es, die Widerstandsfähigkeit des Finanzsektors insgesamt zu stärken. Dabei müssen Organisationen auch ihre Planungen zur Abwehr von Quantenbedrohungen vorantreiben.

Mit dem Inkrafttreten der DORA-Verordnungen in der EU sind Finanzunternehmen und kritische Drittanbieter von IKT-Dienstleistungen zu neuen Sicherheitsanforderungen verpflichtet. Die rechtlichen Neuerungen zielen darauf ab, die Widerstandsfähigkeit des Finanzsektors insgesamt zu stärken, etwa durch den Einsatz von Lösungen für die sichere Datenübertragung, das Verhindern von Datenverlusten und den Schutz vor Sicherheitsverletzungen.

Kriminelle lauern, ernten jetzt, um später zu entschlüsseln

Quantenrisiken treffen auf Plan- und Ahnungslose

Klar ist. Der Beginn des Quantenzeitalters wird erhebliche Auswirkungen bringen. Schließlich ziehen Quantencomputer neben begrüßenswerten Innovationen auch neue Risiken nach sich. Mit ihrer überlegenen Rechenleistung können sie asymmetrische und symmetrische Verschlüsselungsmethoden überwinden, auf deren Sicherheit moderne IT-Umgebungen bauen.

DORA-Compliance

Das wird in den nächsten Jahren auch die Einhaltung der DORA-Bestimmungen erschweren. Organisationen müssen den Einsatz von Verschlüsselungstechnologien grundsätzlich neu gestalten und auch die Sicherheit von Drittanbietern und externen Partnern im Auge behalten. Aus diesem Blickwinkel werden Unternehmen mit der Einhaltung völlig neuer Compliance-Regeln rechnen müssen.

Bei Nichteinhaltung dieser Verpflichtungen wird mit empfindlichen Strafen zu rechnen sein, die von den nationalen Regulierungsbehörden festgelegt werden. Sie dürften ähnlich hoch ausfallen wie bei anderen EU-Regelungen zur digitalen Resilienz, welche Geldbußen von bis zu zwei Prozent des Jahresumsatzes oder zehn Mio. EUR vorsehen — je nachdem, welcher Betrag höher ist.

Das betrifft über 22.000 Finanzinstitute in der Europäischen Union und im Europäischen Wirtschaftsraum. Dazu zählen Banken, Versicherungsunternehmen, Wertpapierfirmen oder Zahlungsplattformen, aber auch Drittanbieter als kritische Dienstleister wie beispielsweise im Finanzsektor tätige Software- oder Cloud-Unternehmen.

Besser jetzt auf Post Quantum Cryptography wechseln

Die PQC-Dringlichkeit lässt keinen Raum für Zweifel, die Fahr­lässig­keit auch nicht

Quantencomputer und Verschlüsselung

Warum Quantenresistenz jetzt auch juristisch Pflicht wird

Laut einer aktuellen Branchenumfrage stufen 94 Prozent der befragten Finanzdienstleister DORA-Compliance als hohe Priorität ein und 40 Prozent sogar als höchste Priorität. Diese zweifellos große Aufgabe fällt bei Tausenden Unternehmen an, deren implementierte Technologien und Prozesse an die veränderten Voraussetzungen angepasst werden müssen. Und mit dem Beginn des Quantenzeitalters zeichnet sich am Horizont bereits eine noch größere Herausforderung für Finanzdienstleistungsunternehmen und andere Organisationen ab.

Kryptodämmerung im Quantenzeitalter

Die technischen Möglichkeiten durch Quantencomputing wurden bereits vor Jahrzehnten in der Theorie beschrieben. Aktuelle Entwicklungen zeigen nachdrücklich, dass diese Szenarien nunmehr konkret werden. Es vergeht kein Monat, ohne dass eine neue Entdeckung oder bahnbrechende Designs neuer Quantencomputer angekündigt werden.

Zahlreiche Innovationen sorgen für Gesprächsstoff, welche Chancen sich mit Quantencomputing bieten. Es gibt aber auch Risiken durch technologisch bahnbrechende Möglichkeiten. So wird erwartet, dass Quantencomputing zukünftig in der Lage ist, die meisten RSA- und ECC-Verschlüsselungsalgorithmen zu überwinden, auf die sich Regierungen, Unternehmen und Anwender verlassen. Dabei gehen die

Schätzungen auseinander, wann Quantencomputer in den kommenden Jahren die erforderliche Marktreife erlangen. Einige Experten gehen davon aus, dass der Wechsel in einem Jahrzehnt erfolgen wird. Andere Marktforscher rechnen mit einem früheren Zeitpunkt. In jedem Fall bedeutet der Übergang, dass die große Mehrheit privater Daten, Informationen und Kommunikationsprozesse nach diesem Technologieschub weltweit verwundbar sein wird.

Bitkom AIDAQ Konferenz 2025

Quantum Computing als Schlüssel zur digitalen Souveränität

Durch ihre Leistungsstärke könnten Quantenrechner eine ernsthafte Bedrohung für Finanzdienstleistungen werden. Der Finanzsektor verantwortet gewaltige Mengen an Geldmitteln und sensiblen Daten, die für technologisch führende Bedrohungsakteure zu einer leichten Beute werden können. Aus dieser neuen Bedrohungslage ergibt sich auch die hohe Dringlichkeit, DORA-Anforderungen neu aufzustellen und umzusetzen.

Anpassungen an die Post-Quanten-Kryptographie

Organisationen, die bereits jetzt mit der Einhaltung von DORA-Pflichten kämpfen, stehen in der Quantum-Computing-Epoche vor noch größeren Schwierigkeiten. So fordert der Gesetzgeber von DORA-konformen Organisationen unter anderem ein, dass alle kryptografischen Abhängigkeiten abgebildet werden; die meisten Firmen können das bereits jetzt schon nicht vollständig leisten. Darüber hinaus müssen sie (potenzielle) Quantenbedrohungen in ihre Risikobewertung mit einbeziehen und nachhaltige Resilienz durch Audits und Tests dokumentieren.

Standards für „Post-Quantum Cryptography“ (PQC) werden seit Jahren unter der Leitung des US-amerikanischen National Institute of Standards and Technologies (NIST) entwickelt. Mehrere PQC-Algorithmen wurden bereits genehmigt und weitere sind auf dem Weg. Ihre Implementierung zählt zu den drängendsten Aufgaben, vor denen gerade Finanzdienstleister stehen, um DORA-konform bleiben zu können.

Vorbereitung auf das Quantencomputing

NIST veröffentlicht Post-Quantum-Kryptographie-Standards

Quantum Computing wird einen grundlegenden Wandel beim Einsatz von Verschlüsselungstechnologien erfordern. Kryptografische Algorithmen sollen beispielsweise aufgrund von Einschränkungen der zugrunde liegenden Hardware und Software aktualisiert oder ausgetauscht werden.

Ohne größeren Aufwand lässt sich das aber nicht schnell und problemlos umsetzen. Denn aktuelle Krypto-Management-Strategien bauen zumeist darauf, dass kryptografische Systeme über Monate und Jahre hinweg konstant verwendet werden.

Neuartige Quantenbedrohungen bewirken, dass Unternehmen im laufenden Betrieb zwischen verschiedenen PQC-Algorithmen wechseln und sie austauschen müssen. Bei der Abwehr kryptografischer Gefahren dürfen vernetzte Systeme indes nicht grundlegend neu gestaltet werden. Erforderlich ist daher, einen Großteil der bisher eingesetzten Verschlüsselungsinfrastruktur neu aufzusetzen.

Es beginnt wie immer: Mit dem ersten Schritt

Der erste Schritt im Rahmen dieser notwendigen Umstellung ist eine Bestandsaufnahme des kryptografischen Ist-Zustandes. Schon dabei handelt es sich um einen zeitaufwendigen Prozess. Der „Post Quantum Cryptography Report 2023“ von Digicert, eine Umfrage unter Sicherheitsexperten, ergab, dass die meisten betroffenen Organisationen nicht einmal über einen vollständigen Katalog ihrer aktuell eingesetzten, kryptografischen Assets verfügten.

Nur 40 Prozent der untersuchten Unternehmen konnten ihre kryptographischen Ressourcen vollständig zuordnen und dokumentieren. Darüber hinaus hatte ein Viertel der Befragten keine zentralisierte Krypto-Management-Strategie. Das muss sich ändern.

Der sichere Übergang zur gesetzeskonformen Quantencomputing-Zukunft

DORA-Konformität in einer Post-Quanten-Welt erfordert, dass sich Unternehmen mit der schwierigen Aufgabe befassen, die geforderte Krypto-Agilität durch entsprechende Maßnahmen darzustellen. Krypto-Agilität, also die Fähigkeit zur effizienten Aktualisierung von kryptographischen Algorithmen, Parametern, Prozessen und Technologien, lässt sich über skalierbare und automatisierte Management-Tools erreichen.

Das beginnt mit der Erfassung und Inventarisierung aller kryptografischen Assets und Abhängigkeiten — ohnehin eine regulatorische Vorgabe. Diese transparente Sicht muss im gesamten Unternehmen weiter aktualisiert und zentral verwaltet werden. IT-Compliance beginnt mit der Implementierung von PQC-Algorithmen und setzt sich über Incident-Response-Pläne und Risikobewertungen fort, die potenzielle Risiken durch Quantenbedrohungen aufdecken und begrenzen.

Der Digital Operational Resilience Act (DORA) für den EU-Finanzsektor trat Anfang 2025 in Kraft. In puncto Zeit- und Kostenaufwand stellen die Vorbereitungen auf das Quantenzeitalter einen vergleichbar aufwendigen Arbeitsprozess dar. Es ist sinnvoll, beide Prozesse miteinander zu kombinieren, da beide Aufgaben ein vergleichbares Verständnis und Management der eingesetzten Verschlüsselungsverfahren im Unternehmen erfordern.

Bei einer ausschließlich auf DORA-Vorgaben fokussierten Vorgehensweise droht die Gefahr, dass sie zu einem späteren Zeitpunkt mit quantenspezifischen Anforderungen kollidiert. Unnötige Kosten für einen erneut aufzusetzenden Konformitätsprozess wären schmerzhaft, lassen sich aber durch eine rechtzeitige, kombinierte und vorausschauende Planungsstrategie vermeiden.

(ID:50580954)