Ein Kryptografieinventar für die Post-Quanten-Migration aufbauen und pflegen

Ziel

Stand: 25. Oktober 2026. Ein durch Nachweise gestütztes Inventar aufbauen, das Migrationsentscheidungen unterstützt und auch nach Deployment-Änderungen nützlich bleibt. Die fortlaufend gepflegten Migrations-FAQ von NIST und das für den Austausch gewählte CycloneDX-Schema erneut prüfen. Dieses Verfahren schlägt eine im Betrieb gepflegte Dokumentation vor, statt zu behaupten, ein Scanner könne jede kryptografische Abhängigkeit entdecken.

NIST beschreibt ein Inventar, das Systeme, Anwendungen, Dienste, Geräte und Datenflüsse umfasst. CycloneDX bietet ein Modell für Algorithmen, Schlüssel, Zertifikate und deren Beziehungen zu Softwarekomponenten. Diese technischen Beziehungen liefern nützliche Grundlagen; Zuständigkeiten und Migrationsentscheidungen müssen weiterhin festgehalten werden.

Voraussetzungen

Einen klar abgegrenzten Dienst und eine dafür verantwortliche Stelle auswählen. Seine Architektur, Software- und Hardwareinventare, Zertifikatsaufzeichnungen, Konfiguration und autorisierte Laufzeitbeobachtungen beschaffen. Lieferanten einbeziehen, wenn eine Abhängigkeit extern verwaltet wird. Unbekanntes ausdrücklich festhalten, statt aus einem fehlenden Ergebnis auf das Fehlen von Kryptografie zu schliessen.

Schritte

1. Die Datenflüsse und Vertrauensgrenzen des Dienstes abbilden. Separate Einträge für extern terminierte Verbindungen, interne Verbindungen, gespeicherte Daten und die Signaturprüfung anlegen. Ermitteln, welche Daten langfristig vertraulich bleiben müssen und welche Signaturen weiterhin überprüfbar sein müssen.
2. Den kryptografischen Zweck, den exakten Algorithmus oder Parametersatz, gegebenenfalls die Schlüssellänge, das Protokoll und die ausgehandelte Gruppe festhalten. Zwischen einer implementierten Fähigkeit, einer aktivierten Einstellung und beobachteter Nutzung unterscheiden. Ein einzelnes Ja/Nein-Feld für Post-Quanten-Unterstützung eines gesamten Dienstes vermeiden.
3. Den Implementierungskontext ergänzen: Bibliotheks- und Laufzeitversionen, Paket- oder Imagekennung, Provider, Konfigurationsort, Zertifikatskette und Algorithmus des öffentlichen Schlüssels. Hardwaremodell und Firmwareabhängigkeiten erfassen, wenn ein HSM oder eine Appliance Upgrades einschränkt. Schlüsselkennungen und Metadaten zur Schlüsselverwahrung speichern, niemals private Schlüssel, gemeinsame Geheimnisse oder Wiederherstellungsmaterial.
4. Nachweise und Zuständigkeiten ergänzen. Für jeden Eintrag die Erhebungsmethode, den Beobachtungszeitpunkt, die Umgebung, das verantwortliche Team und die Quellenreferenz aufbewahren. Kennzeichnen, ob der Nachweis aus einer Quellcodeprüfung, einer Konfiguration, Lieferantendokumentation oder einer beobachteten Verbindung stammt. Widersprüche als zu bearbeitende Aufgaben behandeln, statt Werte stillschweigend zusammenzuführen.
5. Technische Bestandsdaten und Beziehungen als CycloneDX-CBOM mit einem Schema exportieren, das die empfangenden Werkzeuge unterstützen. Den Export gegen dieses Schema validieren. Mit dem Softwareinventar verknüpfen und ein begleitendes Register für fachliche Zuständigkeiten, Aufbewahrungsanforderungen, Lieferantenbeschränkungen, Ausnahmen und die vorgeschlagene Migrationsmassnahme pflegen.
6. Die Aufzeichnungen bei Änderungen an Software, Firmware, Zertifikaten, Richtlinien oder Terminierungspfaden aktualisieren. Die Unterschiede bei der Deployment-Freigabe prüfen. Jeder ungeklärten Abhängigkeit eine verantwortliche Stelle und einen nächsten Prüfzeitpunkt zuweisen; die Nachweise aufbewahren, die eine frühere Migrationsentscheidung erklären.

Erwartetes Ergebnis

Die verantwortliche Stelle kann geschützte Daten einem Protokoll, einer Implementierung und einer zuständigen Partei zuordnen, bestätigte Beobachtungen von Annahmen unterscheiden und die nächste praktisch umsetzbare Migrationsaufgabe bestimmen. Eine neue Version führt zu überprüfbaren Änderungen am Inventar.

Grenzen und Prüfbasis

Für diesen Artikel wurden weder ein Erfassungswerkzeug noch eine Systemlandschaft getestet. Eine erfolgreiche Schemaprüfung belegt die Dokumentstruktur, nicht Vollständigkeit oder kryptografische Korrektheit. Netzwerknachweise können nicht sämtliche Abläufe beim Offline-Signieren oder Speichern belegen. Den Zugriff auf das Inventar beschränken, weil seine Metadaten sensible Infrastruktur beschreiben, auch wenn es kein geheimes Material enthält.