Harvest now, decrypt later: Die unterschätzte Gefahr für eure Daten

Heute verschlüsselt heißt nicht automatisch, dass Daten auch in zehn Jahren noch geheim bleiben. Was passiert, wenn Angreifer Informationen bereits heute abgreifen und erst später entschlüsseln? Und wie schnell könnte ein Unternehmen seine Verschlüsselungsverfahren austauschen, wenn genau das notwendig wird?

In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico Freitag und Ann-Katrin Lange über Post-Quanten-Kryptografie, das Risiko „Harvest now, decrypt later“ und die Frage, warum Unternehmen sich mit der Zukunft ihrer Verschlüsselung beschäftigen sollten, bevor daraus ein akutes Problem wird.

Dabei geht es bewusst um die unternehmerische Perspektive: Welche Daten müssen wie lange vertraulich bleiben? Wo steckt Kryptografie überhaupt im Unternehmen? Wer trägt die Verantwortung dafür? Und wie lässt sich ein weiteres Sicherheitsthema angehen, wenn IT und Geschäftsführung bereits mit Tagesgeschäft, KI und regulatorischen Anforderungen beschäftigt sind?

Ein zentraler Gedanke zieht sich durch das Gespräch: Es reicht nicht, auf ein vermeintlich für immer sicheres Verfahren zu warten. Unternehmen müssen in der Lage sein, kryptografische Verfahren, Schlüssel und Zertifikate kontrolliert zu wechseln. Ann-Katrin beschreibt das mit einem einfachen Bild: Das Schloss soll sich austauschen lassen, ohne dafür die gesamte Tür ersetzen zu müssen. Genau darum geht es bei Kryptoagilität.

Konkret wird die Diskussion bei der sogenannten Drei-Zeiten-Regel. Wie lange müssen Informationen geheim bleiben? Wie lange dauert eine Umstellung? Und welcher Zeitraum wird bis zu einem kryptografisch relevanten Quantencomputer angenommen? Diese Perspektive macht deutlich, warum ein zukünftiges Risiko bereits heute Entscheidungen auslösen kann – gerade bei Betriebsgeheimnissen oder langfristig schützenswerten Daten.

Als praktischer Einstieg kommen Datenklassifizierung und Krypto-Inventur zur Sprache. Am Beispiel eines Krankenhauses zeigen Nico und Ann-Katrin, wie schnell sich die Fragen vervielfachen: Welche Daten liegen wo? Welche Systeme und Hersteller sind beteiligt? Wie werden die Informationen geschützt und wer kann Änderungen tatsächlich umsetzen? Eine Richtlinie allein beantwortet diese Fragen noch nicht.

Auch aus der OT bringt Nico Beispiele mit. Zertifikate mit jahrzehntelanger Laufzeit wirken im Alltag bequem, verschieben aber die Frage, wie ein Austausch im Ernstfall funktionieren soll. Damit führt das Gespräch zurück zu Security by Design: Wechselmöglichkeiten müssen von Anfang an mitgedacht werden, statt sie erst unter Zeitdruck nachzurüsten.

Zum Schluss geht es um Kosten, begrenzte Ressourcen und die Rolle externer Partner. Gerade Unternehmen, deren Kerngeschäft nicht die IT ist, brauchen einen realistischen Einstieg und klare Zuständigkeiten. Die Frage nach künftiger Verschlüsselung betrifft deshalb auch die Geschäftsführung: Sie muss Prioritäten, Budget und langfristigen Schutzbedarf zusammenbringen.

Im Gespräch geht es unter anderem um:

Was hinter „Harvest now, decrypt later“ steckt
Warum langfristig vertrauliche Daten schon heute in die Planung gehören
Weshalb Betriebsgeheimnisse auch nach vielen Jahren noch wertvoll sein können
Warum die Diskussion über Quantencomputer für Unternehmen oft schwer greifbar bleibt
Was Kryptoagilität bedeutet und weshalb Austauschbarkeit so wichtig ist
Wie die Drei-Zeiten-Regel Schutzbedarf, Migrationsdauer und Zukunftsrisiko verbindet
Warum eine Krypto-Inventur ein konkreter erster Schritt sein kann
Welche Rolle Datenklassifizierung für die Priorisierung spielt
Wie Abhängigkeiten von Software, Maschinen und Herstellern eine Migration erschweren
Weshalb Schlüsselverwaltung und Verantwortlichkeiten mit auf die Agenda gehören
Warum digitale Signaturen und die Prüfung von Echtheit ebenfalls relevant sind
Was das Beispiel Krankenhaus über die Komplexität gewachsener Systeme zeigt
Weshalb Verschlüsselung im Alltag häufig unsichtbar bleibt
Welche Probleme sehr lange Zertifikatslaufzeiten im OT-Umfeld schaffen können
Wie Security by Design spätere Wechsel erleichtern kann
Warum neue Anforderungen auf begrenzte Budgets und knappe IT-Ressourcen treffen
Welche Rolle Dienstleister und externe Expertise für den Mittelstand spielen
Weshalb Vorbereitung auf Post-Quanten-Kryptografie eine Führungsaufgabe ist

Der rote Faden der Folge: Unternehmen brauchen einen Überblick über ihre Daten und die eingesetzte Kryptografie und einen realistischen Weg, diese weiterzuentwickeln. Wer Schutzbedarf, Abhängigkeiten und Wechselmöglichkeiten frühzeitig kennt, kann eine Migration planen, bevor Zeitdruck entsteht.

Eine Folge für Geschäftsführungen, CISOs, IT- und OT-Verantwortliche, Informationssicherheitsbeauftragte und alle, die verstehen möchten, was Post-Quanten-Kryptografie für ihr Unternehmen bedeutet und wie ein sinnvoller Einstieg aussehen kann.

____________________________________________

👤 Mehr Informationen

Nico Freitag - LinkedIn Profil

Ann-Katrin Lange - LinkedIn Profil

📚 Zum Weiterlesen

BSI - Kryptografie quantensicher gestalten

NIST - What Is Post-Quantum Cryptography?

____________________________________________

🎧 Reinschauen lohnt sich!

🎙Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache

🎙Podcast - Cybersecurity shall be C-Level priority: @cybersec_clevel_priority

🎙Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber