Quantum-Safe AI: Post-Quanten-Kryptografie für KI

Die Bedrohung: Quantencomputer und asymmetrische Kryptografie

Ein ausreichend leistungsfähiger Quantencomputer könnte mit dem Shor-Algorithmus die heute verbreiteten asymmetrischen Verfahren brechen: RSA, Diffie-Hellman und elliptische Kurven (ECDH, ECDSA). Diese Verfahren sichern den Schlüsselaustausch in TLS und VPNs sowie digitale Signaturen. Symmetrische Verschlüsselung wie AES ist weniger betroffen; mit ausreichender Schlüssellänge, etwa AES-256, gilt sie weiterhin als sicher.

Wann solche Quantencomputer verfügbar sind, ist offen. Relevant ist das Problem trotzdem schon heute, wegen „Harvest now, decrypt later“: Angreifer zeichnen verschlüsselten Datenverkehr jetzt auf und entschlüsseln ihn später. Alles, was über viele Jahre vertraulich bleiben muss, ist damit bereits heute gefährdet.

Was das konkret für KI-Systeme bedeutet

• Trainingsdaten: Gesundheitsdaten, Personalakten, Konstruktionsdaten oder Kundenhistorien, die für Training oder Feinabstimmung übertragen werden, haben oft einen langen Schutzbedarf. Werden sie heute über klassisches TLS an einen Cloud-Dienst gesendet, sind sie ein Ziel für spätere Entschlüsselung.
• Modellgewichte: Ein selbst trainiertes oder feinabgestimmtes Modell ist geistiges Eigentum und enthält unter Umständen Informationen aus den Trainingsdaten. Beim Transfer zwischen Rechenzentrum, Cloud und Edge-Geräten müssen die Gewichte vertraulich bleiben.
• Integrität von Modellen und Software: Modelldateien, Container-Images und Updates werden signiert, um Manipulationen zu erkennen. Sind die Signaturverfahren gebrochen, könnten Angreifer ein manipuliertes Modell als echt ausgeben. Das betrifft vor allem langlebige Geräte mit KI-Funktionen, etwa in Produktion oder Medizintechnik.
• KI-Schnittstellen und Agenten: Prompts und Antworten enthalten oft vertrauliche Geschäftsinformationen. KI-Agenten, die über APIs auf Datenbanken und Drittsysteme zugreifen, authentisieren sich mit Zertifikaten oder Tokens, deren Sicherheit auf asymmetrischer Kryptografie beruht.

Nicht jedes KI-Projekt ist gleich betroffen. Ein interner Chatbot für kurzlebige Informationen hat einen anderen Schutzbedarf als ein Modell, das auf zwanzig Jahre Patientendaten trainiert wurde.

Die neuen Standards

Das US-amerikanische NIST hat im August 2024 die ersten drei PQC-Standards veröffentlicht:

• FIPS 203 (ML-KEM): Schlüsselkapselung für den Schlüsselaustausch, abgeleitet von CRYSTALS-Kyber.
• FIPS 204 (ML-DSA): digitale Signaturen auf Gitterbasis, abgeleitet von CRYSTALS-Dilithium.
• FIPS 205 (SLH-DSA): hashbasierte Signaturen, abgeleitet von SPHINCS+, mit konservativeren Sicherheitsannahmen, aber größeren Signaturen.

Das BSI empfiehlt, PQC-Verfahren zunächst hybrid einzusetzen, also in Kombination mit einem klassischen Verfahren. So bleibt die Verbindung sicher, selbst wenn sich eines der beiden Verfahren später als schwach erweist. Für TLS ist die Kombination aus X25519 und ML-KEM bereits in verbreiteten Browsern und Bibliotheken verfügbar.

Vorgehen in der Praxis

1. Kryptografie-Inventar erstellen: Erfassen Sie, wo in Ihren KI-Pipelines Kryptografie eingesetzt wird – Datenübertragung zu Cloud-Diensten, Speicherung von Modellen, Signaturen, API-Authentisierung, Zertifikate von Service-Accounts.
2. Schutzdauer bewerten: Priorisieren Sie Daten und Modelle, deren Vertraulichkeit länger als etwa zehn Jahre gewahrt bleiben muss.
3. Krypto-Agilität herstellen: Algorithmen sollten konfigurierbar sein, nicht fest im Code verankert. Das erleichtert jede künftige Umstellung.
4. Hybride Verfahren aktivieren: Wo Load Balancer, Reverse Proxys und Bibliotheken es unterstützen, sollten hybride Schlüsselaustauschverfahren für KI-Schnittstellen und Datenübertragungen eingeschaltet werden.
5. Ruhende Daten stark symmetrisch verschlüsseln: Trainingsdaten und Modellgewichte mit AES-256 verschlüsseln und die Schlüssel in einem HSM oder Key-Management-Dienst verwalten.
6. Anbieter einbeziehen: Fragen Sie KI- und Cloud-Anbieter nach ihrer PQC-Roadmap und nehmen Sie das Thema in die Lieferantenbewertung auf.

Regulatorischer Bezug

NIS2 verlangt Konzepte für den Einsatz von Kryptografie und Verschlüsselung als Teil des Risikomanagements; in Deutschland gilt dies für betroffene Einrichtungen über das BSIG. Art. 32 DSGVO fordert Maßnahmen nach dem Stand der Technik. Eine konkrete Pflicht zur Umstellung auf PQC ergibt sich daraus derzeit nicht, wohl aber die Erwartung, bekannte Risiken wie „Harvest now, decrypt later“ zu bewerten.

Fazit

Quantum-Safe AI ist kein eigenes Produkt, sondern die konsequente Anwendung von Post-Quanten-Kryptografie auf die Daten- und Modellflüsse von KI-Systemen. Wer heute inventarisiert und auf Krypto-Agilität setzt, kann die Umstellung schrittweise und ohne Zeitdruck umsetzen. SecTepe unterstützt bei Kryptografie-Inventar und Priorisierung im Rahmen des ISMS.

Häufige Fragen

Muss ich jetzt schon handeln?

Für Daten mit langem Schutzbedarf ja, zumindest mit Inventar und Planung. Für kurzlebige Daten reicht es, die Umstellung in den regulären Technologiezyklus einzuplanen.

Sind KI-Modelle selbst durch Quantencomputer bedroht?

Nicht die Modelle als solche, sondern die Kryptografie, die ihre Vertraulichkeit und Integrität schützt – bei Übertragung, Speicherung und Signatur.