Eine digitale Signatur wird normalerweise in dem Moment bewertet, in dem sie erstellt wird: Das Zertifikat ist gültig, der Schlüssel stark genug, der Algorithmus empfohlen. Aber viele Aufzeichnungen leben nicht nur im Moment der Signatur. Langfristige Verträge, Patientenakten, Studiendokumentation, technische Entwürfe, Eigentumsurkunden oder regulatorische Archive müssen womöglich jahrzehntelang aufbewahrt und nachgewiesen werden.
In dieser Zeit laufen Zertifikate ab, Zertifizierungsstellen wechseln, Algorithmen altern, und am Horizont zeichnet sich eine tiefere Veränderung ab: die Möglichkeit, dass hinreichend leistungsfähige Quantencomputer die heute am meisten verwendeten Signaturalgorithmen unsicher machen. Dieser Artikel erklärt, was das für die Integrität langlebiger Aufzeichnungen bedeutet und wie sich der Übergang ohne Panik und ohne zu langes Warten vorbereiten lässt.
Was sich durch Quantencomputing ändert
Die meisten digitalen Signaturen im Einsatz beruhen auf RSA oder auf Kryptografie mit elliptischen Kurven wie ECDSA. Die Sicherheit dieser Verfahren hängt von der Schwierigkeit mathematischer Probleme ab, etwa der Faktorisierung großer Zahlen oder dem diskreten Logarithmus, die ein hinreichend großer Quantencomputer mit dem Shor-Algorithmus effizient lösen könnte. Einen Quantencomputer mit dieser Fähigkeit gibt es heute nicht, und es besteht kein Konsens darüber, wann es ihn geben könnte. Doch das Zeitfenster der Sorge bestimmt sich nicht danach, wann eine solche Maschine erscheint; es bestimmt sich danach, wie lange Ihre Aufzeichnungen vertrauenswürdig bleiben müssen.
Bei der Vertraulichkeit ist das Risiko als „jetzt sammeln, später entschlüsseln“ bekannt: Heute abgefangene verschlüsselte Daten könnten in Zukunft entschlüsselt werden. Bei der Integrität ist das Risiko ein anderes, aber ebenso relevant. Wird ein Signaturalgorithmus gebrochen, wird es möglich, Signaturen mit den betroffenen Schlüsseln zu fälschen. Ab diesem Moment ist eine einzelne Signatur für sich allein kein Nachweis mehr, dass ein Dokument von demjenigen signiert wurde, der es angeblich getan hat, und wann.
Die richtige Frage lautet nicht „Wann kommt der Quantencomputer?“, sondern „Wie lange müssen meine Aufzeichnungen noch etwas beweisen?“.
Die neuen Post-Quanten-Standards
Im August 2024 veröffentlichte das NIST die ersten Standards für Post-Quanten-Kryptografie: FIPS 203 (ML-KEM, für den Schlüsselaustausch), FIPS 204 (ML-DSA, gitterbasierte Signaturen) und FIPS 205 (SLH-DSA, hashbasierte Signaturen). Weitere Standards sind in Vorbereitung. In Europa haben die Mitgliedstaaten über die NIS-Kooperationsgruppe einen koordinierten Fahrplan für den Übergang veröffentlicht, der den Beginn der Migration schon kurzfristig und den vorrangigen Schutz der Anwendungsfälle mit dem höchsten Risiko bis zum Ende des Jahrzehnts vorsieht.
Dass es diese Standards gibt, heißt nicht, dass alle Systeme morgen migrieren müssen. Es heißt, dass der Weg festgelegt ist und Organisationen, die langlebige Aufzeichnungen verwalten, mit der Planung beginnen sollten.
Warum Hash-Funktionen besser altern
Nicht jede Kryptografie ist gleichermaßen betroffen. Hash-Funktionen wie SHA-256 beruhen nicht auf den mathematischen Problemen, die der Shor-Algorithmus löst. Der Grover-Algorithmus bietet eine quadratische Beschleunigung bei der Suche nach Urbildern, was in der Praxis die effektive Sicherheitsmarge verringert, sie aber nicht beseitigt: Hash-Funktionen mit 256-Bit-Ausgabe gelten in einem Post-Quanten-Szenario weiterhin als angemessen für die Urbildresistenz.
Das hat eine wichtige Konsequenz für den Archivaufbau. Ein Integritätsnachweis auf Basis eines digitalen Fingerabdrucks (des Hashs des Dokuments), der mit einem Zeitstempel in einem unabhängigen Register versiegelt wird, hängt vor allem von der Robustheit der Hash-Funktion und der Erhaltung des Registers ab und nicht ausschließlich von der Langlebigkeit eines Signaturschlüsselpaars. Den Integritätsnachweis von der Signatur zu trennen, macht das Archiv widerstandsfähiger gegenüber kryptografischer Weiterentwicklung.
Signatur, Zeitstempel und Erneuerung
Die Rolle des Zeitstempels
Lässt sich beweisen, dass ein Dokument und seine Signatur zu einem Zeitpunkt existierten, an dem der Algorithmus noch sicher war, behält die Signatur ihren Beweiswert, auch wenn der Algorithmus später als schwach gilt. Das ist das Prinzip hinter den vom ETSI definierten Langzeit-Signaturformaten und den in RFC 4998 beschriebenen Evidence Records (Evidence Record Syntax): aufeinanderfolgende Zeitstempel hinzuzufügen, die den vorherigen Nachweis „umhüllen“, bevor er an Stärke verliert.
Erneuern, bevor es zu spät ist
Die Erneuerung von Nachweisen muss erfolgen, solange die verwendeten Algorithmen noch vertrauenswürdig sind. Ein Nachweis, der erst erneuert wird, nachdem der zugrunde liegende Algorithmus kompromittiert ist, lässt sich nicht mehr glaubwürdig rekonstruieren. Deshalb brauchen Langzeitarchive eine ausdrückliche Erneuerungsrichtlinie mit Verantwortlichen, Fristen und technischen Kriterien.
Kryptografische Agilität
Die nachhaltigste Lehre aus dem Post-Quanten-Übergang ist der Bedarf an Agilität: Systeme, die den Algorithmus wechseln können, ohne Architekturen umzuschreiben oder frühere Nachweise ungültig zu machen. Aufzeichnungen, die den verwendeten Algorithmus festhalten, statt ihn stillschweigend vorauszusetzen, lassen sich viel leichter migrieren.
Ein praktischer Plan für langlebige Aufzeichnungen
- Inventarisieren. Identifizieren Sie die Aufzeichnungen, die über lange Zeiträume Beweiswert behalten müssen, und die kryptografischen Mechanismen, die sie heute schützen.
- Nach Aufbewahrungshorizont klassifizieren. Eine Aufzeichnung, die jahrzehntelang aufbewahrt werden muss, hat Vorrang vor einer, die nach einem Jahr verworfen wird.
- Integrität von der Signatur trennen. Stellen Sie sicher, dass es zusätzlich zu jeder Signatur einen unabhängig versiegelten, zeitgestempelten digitalen Fingerabdruck jeder Aufzeichnung gibt.
- Jetzt versiegeln. Ein heute angebrachter verlässlicher Zeitstempel ist die beste Verteidigung gegen spätere Zweifel daran, wann ein Dokument existierte.
- Erneuerungszyklen festlegen. Legen Sie fest, wann und wie Nachweise mit neueren Algorithmen erneuert werden.
- Agilität von Anbietern verlangen. Fragen Sie, wie jeder Anbieter plant, die neuen Standards zu unterstützen und die Gültigkeit bereits ausgestellter Nachweise zu bewahren.
- Leitlinien verfolgen. Folgen Sie den Empfehlungen von NIST, ENISA und nationalen Behörden, die sich weiterentwickeln werden.
Wie ROOTKey hilft
ROOTKey trennt den Integritätsnachweis konstruktionsbedingt vom Dokument selbst. Jedes Asset erhält einen eindeutigen digitalen Fingerabdruck, der dauerhaft in einem unabhängigen öffentlichen Register versiegelt wird - ein zeitgestempelter Nachweis seines exakten Zustands. Bei einer individuellen Bereitstellung bleibt der Inhalt in Ihrer Infrastruktur; nur der digitale Fingerabdruck wird erfasst.
Dieser Ansatz gibt langlebigen Aufzeichnungen einen unabhängig verifizierbaren zeitlichen Anker, der bestehende Signaturen ergänzt und Jahre später von jeder Partei über das öffentliche Verifizierungsportal bestätigt werden kann. Die kontinuierliche Überwachung erkennt jede Änderung gegenüber dem versiegelten Zustand, und die Beweiskette liegt bereit, um Prüfern und Aufsichtsbehörden vorgelegt zu werden, wenn sie benötigt wird.