Europol: Quantencomputing-Kriminalität gibt es schon heute

• Die Europol-Meldung zur „Priorität der Migration von Post‑Quanten‑Kryptografie in Finanzdienstleistungen“ ist klassisches Beamten-Kauderwelsch und verharmlost, wie dringend Finanz-Institutionen ihre Sicherheitssysteme runderneuern müssen – jetzt.
• Zwar haben Quantencomputer noch lange nicht die nötige Rechenleistung, um gängige Verschlüsselungsverfahren zu brechen, aber um die künftig zu hackenden Daten schon heute zu stehlen und illegal zu speichern, braucht man keine Quantencomputer.

Die Zeit, in der Banken und andere Finanzdienstleister die Bedrohung durch Quantencomputing als Zukunftsszenario betrachten konnten, ist vorbei. Zwar existieren heute noch keine Quantencomputer, die eine klassische Verschlüsselung in Echtzeit brechen könnten, doch das Risiko einer kriminellen „Harvest now, decrypt later“-Strategie wächst.

Angreifer sammeln bereits verschlüsselte Finanzdaten, um sie später mit leistungsfähigeren Maschinen zu entschlüsseln. Für eine Branche, deren Geschäftsmodell auf Vertrauen und Datensicherheit basiert, entsteht daraus ein unmittelbarer Handlungszwang.

Potenziell betroffene Institutionen müssen heute handeln

Die meisten derzeit eingesetzten kryptografischen Verfahren – etwa RSA und elliptische Kurven – sind gegenüber einem ausreichend starken Quantencomputer nicht sicher. Doch Europol betont, dass Finanzinstitute nicht erst reagieren dürfen, wenn Quantenangriffe in der Praxis möglich sind. Es geht dabei hauptsächlich um Stammdaten, die ein ganzes Menschenalter aktuell sein können und zwar gleichzeitig in mehreren Kontexten.

Die Umstellung auf Post‑Quanten‑Kryptografie (PQC) ist komplex, betrifft vor allem Mid-Range-Systeme und erfordert lange Vorlaufzeiten. Zudem müssen Unternehmen sicherstellen, dass ihre Daten auch rückwirkend geschützt bleiben. Die Bedrohungslage verschärft sich dadurch, dass Kriminelle, aber auch staatliche Akteure bereits jetzt in großem Stil verschlüsselte Daten abgreifen, deren Kryptografie zwar heute noch sicher ist, aber morgen oder übermorgen entschlüsselt werden wird.

Die Finanzbranche muss daher frühzeitig Strategien entwickeln, um Integrität, Vertraulichkeit und Verfügbarkeit ihrer Systeme langfristig zu sichern.

Maßnahmen

Finanzdienstleister können bereits jetzt Schritte einleiten, um gegen künftige Quantenangriffe gerüstet zu sein. Dazu gehört zunächst die umfassende Bestandsaufnahme aller kryptografischen Verfahren im Unternehmen.

Nur wer weiß, wo welche Algorithmen eingesetzt werden, kann die künftigen Risiken realistisch einschätzen. Die Institute sollten hybride Verschlüsselungsmodelle testen, die klassische und post‑quantenfeste Verfahren kombinieren. Solche Übergangslösungen erlauben es , die Systeme schrittweise zu modernisieren, ohne die operative Stabilität zu gefährden. Ebenso wichtig ist die Einführung eines Ansatzes der „Krypto‑Agilität“.

Das bedeutet: Sicherheitsarchitekturen müssen so gestaltet sein, dass Algorithmen flexibel austauschbar sind, sobald neue Standards feststehen. Ergänzend empfiehlt sich die enge Zusammenarbeit mit Regulierungsbehörden, Technologieanbietern und Brancheninitiativen, um frühzeitig von Best Practices und Zertifizierungsprozessen zu profitieren.

Und schließlich sollten Unternehmen ihr Personal ab sofort weiterbilden, denn der Übergang in die Post‑Quanten‑Ära muss jetzt beginnen, und er ist nicht nur eine technische, sondern auch eine organisatorische Umstellung, die gleichzeitig und bei laufendem operativen Betrieb erfolgen muss.