Quantensicherheit in der Finanzbranche: Warum die Infrastruktur jetzt in den Fokus rückt

Post-Quanten-Kryptografie, Quantum Key Distribution und Crypto Agility sind Schlüsseltechnologien auf dem Weg ins Quantenzeitalter. Für Banken und Versicherer stellt sich hier die nächste Frage: Wie lassen sich diese Technologien in bestehende IT- und Netzwerkinfrastrukturen integrieren? Gerade bei besonders sensiblen Verbindungen zwischen Rechenzentren wird deutlich, dass Quantensicherheit nicht nur eine Frage der Kryptografie, sondern auch der physischen Infrastruktur ist.

von Hans Jayatissa, Quantum Technology Expert bei GlobalConnect

Die Finanzbranche muss ihre Sicherheitsarchitekturen langfristig auf eine Welt vorbereiten, in der leistungsfähige Quantencomputer existieren. Dabei wird Post-Quantum Cryptography (PQC) eine zentrale Rolle spielen. Die Einführung neuer Algorithmen allein reicht allerdings nicht aus.
Aber wo werden kryptografische Verfahren in dieser Branche heute überhaupt eingesetzt?

Zertifikate, Anwendungen, APIs, VPNs, Hardware Security Modules, Identitätssysteme, Netzwerkkomponenten und Dienste von Drittanbietern können von kryptografischen Komponenten abhängen, die künftig aktualisiert werden müssen.“

Damit gewinnt Crypto Agility an Bedeutung: Systeme sollten so aufgebaut sein, dass sich Algorithmen und Schlüssel­management­mechanismen austauschen lassen, ohne dass die gesamte Infrastruktur neu gestaltet werden muss. Während der Migration können zudem hybride Ansätze sinnvoll sein, bei denen etablierte klassische Kryptografie und Post-Quanten-Verfahren kombiniert eingesetzt werden.

Für besonders sensible Kommunikations­verbindungen kann Quantum Key Distribution (QKD) eine zusätzliche Sicherheitsebene schaffen.“

QKD nutzt quantenphysikalische Eigenschaften, um kryptografische Schlüssel zwischen zwei Standorten auszutauschen. Diese Schlüssel können anschließend von konventionellen symmetrischen Verschlüsselungssystemen genutzt werden, um den Datenverkehr zu schützen.
Es geht nicht um ein Entweder-oder zwischen PQC und QKD. PQC lässt sich breit über Anwendungen und digitale Infrastrukturen hinweg einsetzen. Wo Informationen besonders wertvoll sind oder langfristig geschützt werden müssen, kann QKD interessant werden als Ergänzung, etwa bei Verbindungen zwischen strategisch wichtigen Rechenzentren oder kritischen Finanzinfrastrukturen.
So ergibt sich ein Defense-in-Depth-Ansatz, bei dem die Sicherheit nicht von einem einzigen kryptografischen Mechanismus vollständig abhängt.

Warum bei QKD jeder Kilometer Glasfaser zählt

Bei der praktischen Umsetzung von QKD rückt die physische Netzinfrastruktur unmittelbar in den Mittelpunkt.
Während konventionelle optische Signale verstärkt werden können, lassen sich unbekannte Quantenzustände nicht wie gewöhnliche Datensignale kopieren oder regenerieren.

Mit jedem Kilometer Glasfaser sowie jeder Spleißstelle und jedem Steckverbinder nimmt die Dämpfung zu. Dadurch sinkt die sogenannte Secret Key Rate – also die Menge an tatsächlich nutzbarem Schlüsselmaterial.“

Terrestrische QKD-Systeme werden häufig für Verbindungslängen von etwa 50 bis 100 Kilometern ausgelegt. Entscheidend ist jedoch weniger die reine Entfernung als das optische Verlustbudget. Streckenlänge, Spleißstellen, Patchpanels, Detektoren und die erforderliche Schlüsselrate bestimmen gemeinsam, welche Verbindung technisch realisierbar ist.
Damit wird die Qualität und Architektur des Glasfasernetzes selbst zu einem Faktor der Cybersecurity.

Dark Fiber kann zum Sicherheitsbaustein werden

Besonders interessant für QKD ist Dark Fiber, also eine dedizierte, unbeleuchtete Glasfaser. Zwar lassen sich Quantensignale und klassische Nutzdaten grundsätzlich auf unterschiedlichen Wellenlängen derselben Glasfaser übertragen. Wechselwirkungen wie Raman-Streuung und Crosstalk können die empfindlichen Quantensignale jedoch beeinträchtigen.

Für besonders kritische Rechen­zentrums­verbindungen kann eine dedizierte Glasfaser für QKD deshalb Vorteile bieten.“

Das verändert den Blick auf die Netzinfrastruktur: Bei der Planung hochsicherer Verbindungen geht es künftig nicht mehr ausschließlich um Bandbreite, Latenz, Redundanz und Verfügbarkeit. Auch Fragen wie Faserführung, optische Verluste und die Verfügbarkeit dedizierter Glasfaserstrecken können sicherheitsrelevant werden.

Trusted Nodes für größere Distanzen

Eine weitere Herausforderung entsteht bei größeren Entfernungen. Ist eine Strecke für eine direkte QKD-Verbindung zu lang, kann sie mithilfe sogenannter Trusted Nodes in einzelne Segmente unterteilt werden.
Der Quantenkanal endet an jedem dieser Knotenpunkte, wo das Schlüsselmaterial sicher verarbeitet und weitergeleitet wird. Damit lassen sich größere Distanzen überbrücken. Allerdings entsteht dadurch eine neue Sicherheitsanforderung: Jeder Zwischenknoten muss physisch geschützt, mit sicherer Hardware ausgestattet und klaren operativen Verantwortlichkeiten zugeordnet sein.
Auch hier zeigt sich, dass Quantensicherheit weit über Kryptografie hinausgeht. Standortwahl, physischer Schutz und Netzarchitektur werden Teil des Sicherheitskonzepts.

Schlüsselrate ist nicht Datenrate

Ein häufiges Missverständnis betrifft die Leistungsfähigkeit von QKD. Die Secret Key Rate ist nicht mit der Datenrate einer Verbindung gleichzusetzen.
Wird beispielsweise ein 256-Bit-AES-Schlüssel einmal pro Sekunde ausgetauscht, benötigt ein Tunnel mindestens 256 Bit Schlüsselmaterial pro Sekunde – zuzüglich entsprechender Reserven. Der symmetrisch verschlüsselte Datenstrom kann gleichzeitig viele Gigabit pro Sekunde übertragen.

QKD wird daher typischerweise eingesetzt, um symmetrische Schlüssel regelmäßig zu erneuern.“

Entscheidend ist, ob genügend Schlüsselmaterial für die gewünschte Frequenz des Schlüsselaustauschs zur Verfügung steht – auch unter realen Betriebsbedingungen und beispielsweise während eines Failovers.
Gerade deshalb sollten Finanzinstitute nicht allein auf Leistungswerte einzelner Geräte schauen. Entscheidend ist die End-to-End-Performance der gesamten Verbindung.

Vom Labor in den Finanzbetrieb

Der nächste Schritt besteht deshalb darin, Quantensicherheit unter realistischen Bedingungen zu testen. Bei PQC betrifft dies unter anderem Handshakes, Verarbeitungskapazitäten, Hardware Security Modules und mögliche Auswirkungen auf bestehende Anwendungen und Netzwerke.

Bei QKD sollten Institute Schlüsselraten, Puffer, optische Verlustbudgets und das Verhalten beim Failover untersuchen.“

Für besonders sensible Verbindungen kann beispielsweise geprüft werden, ob eine direkte Site-to-Site-QKD-Verbindung oder perspektivisch ein hybrides QKD-PQC-Netzwerk sinnvoll ist.
Dabei sollten Banken und Versicherer auch ihre bestehende physische Infrastruktur analysieren:
Welche Glasfaserstrecken verbinden kritische Standorte und Rechenzentren?
Wie hoch sind deren optische Verlustbudgets?
Ist Dark Fiber für besonders sensible Verbindungen verfügbar?
Wo wären Trusted Nodes erforderlich?
Lassen sich redundante und physisch getrennte Übertragungswege realisieren?

Quantensicherheit wird zur Infrastrukturfrage

PQC wird eine zentrale Rolle bei der Migration von kryptografischen Verfahren spielen, die künftig durch Quantencomputer gefährdet sein könnten. QKD kann für ausgewählte, besonders schützenswerte Verbindungen eine zusätzliche Sicherheitsebene schaffen.

Beides macht deutlich: Quantensicherheit endet nicht bei Algorithmen und Schlüsseln.
Sie hängt auch davon ab, ob Netze und Rechen­zentrums­verbindungen neue Sicherheitstechnologien zuverlässig in den laufenden Betrieb integrieren können, ohne Durchsatz, Latenz oder Verfügbarkeit zu beeinträchtigen.

Für die Finanzbranche bedeutet das: Wer sich auf das Quantenzeitalter vorbereitet, sollte nicht nur seine Kryptografie inventarisieren. Er sollte auch wissen, auf welcher physischen Infrastruktur seine kritischsten Daten tatsächlich unterwegs sind.“

Hans Jayatissa, GlobalConnect