Die Idee, Nachrichten zu verschlüsseln oder zu signieren, ist uralt. So möchte man verhindern, dass die falschen Personen Nachrichten mitlesen oder verändern. Fast ebenso alt wie die Kryptografie selbst ist der Versuch, sie zu brechen. Zwischen diesen beiden Feldern gibt es also ein Wettrennen zwischen immer sichereren Kryptografie-Verfahren und immer besseren Möglichkeiten, diese Verfahren zu brechen.

Neu ist der Ansatz, diesen ewigen Wettlauf zwischen Angriffen und Schutz von vornherein mitzubedenken. Dieser Ansatz nennt sich Krypto-Agilität. Das beinhaltet, dass überall dort, wo Kryptografie genutzt wird, ein Austausch oder ein Update der kryptografische Verfahren schnell und einfach möglich sein muss. Krypto-agil sind also Systeme, die jederzeit anpassungsfähig sind. Auf dieser Seite zeigen wir, wo eigentlich überall Kryptografie genutzt wird, und wie Organisationen krypto-agil werden. 

Für die praktische Umsetzung von Krypto-Agilität müssen unterschiedliche Bereiche von Management über den Einkauf bis in die IT möglichst reibungslos ineinander greifen. Das Ziel ist eine gute Vorbereitung, um im Fall des Falles – also wenn ein kryptografisches Verfahren an Sicherheit verliert – schnelle Änderungen in der genutzten Kryptografie umsetzen zu können. Im Idealfall stehen sogar verschiedene kryptografische Verfahren zur Auswahl, sodass man schnell auf ein anderes wechseln kann, wenn eines zu unsicher geworden ist.

Auf dem Weg zur Umsetzung von Krypto-Agilität unterscheiden wir fünf Handlungsfelder:

1. Wissen über Krypto-Agilität – In der Organisation ist Wissen verfügbar zu verschiedenen heute verwendeten kryptografischen Verfahren und Alternativen, auch der Post-Quanten-Kryptografie, genauso wie theoretisches und praktisches Wissen zu Krypto-Agilität und wie sie umgesetzt werden kann.

Ziel: Es können fundierte Entscheidungen im Bereich der Kryptografie getroffen werden. 

2. Systemwissen – es ist geklärt, bekannt und dokumentiert, wer wie verantwortlich ist für welche Teile des Systems, wie sie upgedatet werden können und welche Zugänge dafür nötig sind. Es ist bekannt, wo Kryptografie eingesetzt wird, wie diese aufgerufen wird und welche kryptografischen Algorithmen verwendet werden.

Ziel: Die Organisation ist im eigenen System handlungsfähig mit Blick auf Kryptografie

3. Agilität im Prozess – in der Einrichtung gibt es ein zentrales Gremium, das Entscheidungen zur IT-Sicherheit treffen kann. Es arbeitet anhand von Guidelines, zum Beispiel vom Bundesamt für Sicherheit in der Informationstechnik (BSI), die festlegen, welche kryptografischen Verfahren genutzt werden. Es existieren Prozesse für Updates, die umfangreiches Testen beinhalten.

Ziel: Entscheidungsprozesse sind so aufgebaut, dass sie agiles Handeln in der Kryptografie unterstützen.

4. Agilität im System – auch die Hardware ist modular aufgebaut. Einzelne Komponenten können ohne großen Aufwand ausgetauscht werden. Insbesondere sind Hard- und Software unabhängig voneinander austauschbar. Rechenleistung, Speicher, Schnittstellen – alle Bestandteile des Systems haben genügend Puffer für komplexere Berechnungen und größere Schlüssel, verschlüsselte Nachrichten und Signaturen.

Ziel: Im System sind genügend Kapazitäten für die Nutzung anderer kryptografischer Verfahren vorhanden – auch quantenresistenter Verfahren.

5. Agilität der Algorithmen – die Software ist modular aufgebaut. Einzelne Komponenten können ohne großen Aufwand ausgetauscht werden. Kryptografie wird über abstrakte Schnittstellen genutzt. Es ist möglich, schnell und unkompliziert kryptografische Algorithmen hinzuzufügen und zu entfernen.

Ziel: Es stehen softwareseitig verschiedene kryptografische Algorithmen zur Verfügung, die flexibel genutzt werden können.