Supercomputer – Warum sich Banken schon jetzt rüsten müssen

EU-Sicherheitsbehörden, immer häufiger aber auch die BaFin warnen vor den Gefahren von „Quantencomputing“. Wir haben Sie dafür sensibilisiert, zuletzt in unseren Briefen v. 6.12.24 und 28.1.25. Jetzt haben wir uns hierzu „Risiken im Fokus“, wo die Bankenaufsicht jährlich die aus ihrer Sicht wichtigsten Risiken für den deutschen Finanzmarkt aufgreift, nochmals etwas genauer angesehen.

Tatsächlich sieht die BaFin in dieser neuen Generation von Supercomputern eine große und vor allem unterschätzte Gefahr für die Integrität des Finanzsystems. Vor allem, weil diese das Potenzial haben, sämtliche kryptografischen Verschlüsselungen, die heute genutzt werden, zu knacken. „Der Finanzsektor müsse bereits jetzt Schutzmaßnahmen ergreifen, um sicherheitsrelevante Daten langfristig zu schützen.“ Nur dann sei er für die Zukunft gewappnet.

Quantencomputer, die tatsächlich zur Gefahr für die Verschlüsselungstechnologien des Finanzwesens werden könnten, gibt es bisher zwar noch nicht. Der berüchtigte Shor-Algorithmus, der aktuelle Verfahren wie das RSA-System vermutlich hinfällig machen würde, braucht einen Quantencomputer mit mehreren Millionen Qubits (dem Quantencomputer-Äquivalent zu Bits). Zur Einordnung: IBM will dieses Jahr einen Computer mit 10.000 Qubits auf den Markt bringen. Das ist deutlich mehr als noch vor ein paar Jahren, aber immer noch weit von den notwendigen Fähigkeiten entfernt.

Auf den zweiten Blick ist aber festzustellen: Auch wenn die richtig gefährlichen Quantencomputer noch lange auf sich warten lassen, bis die Geldhäuser ihre Systeme wirklich quantenresistent gemacht haben, wird es ebenfalls noch dauern. Bei vielen Häusern dürfte schon die Vorarbeit ordentlich Zeit fressen. „Kurzfristig sollten Banken drei Maßnahmen ergreifen“, erklärt Jan Rosam von der Unternehmensberatung EY. Viele Banken müssten erst mal eine Risikoanalyse durchführen. Welche Daten, die sie haben, sind überhaupt sensibel und müssen entsprechend geschützt werden. „Da gibt es einiges: Transaktionsdaten, die Kommunikation mit Aufsicht und Zentralbanken“, sagt er.

Im zweiten Schritt müssten sich Banken dann anschauen, welche Verschlüsselungsverfahren sie benutzen. Was selbstverständlich klingt, ist gar nicht so einfach. Denn für einen wirklichen Überblick müssen alle Filialen sowie sämtliche Soft- und Hardware-Dienstleister durchleuchtet werden. „Das ist relativ komplex, im Idealfall holt man sich dazu Hilfe von außen“, empfiehlt Rosam.

Erst dann können sich Banken – drittens – tatsächlich überlegen, wie sich ihre bestehenden Sicherheitsmaßnahmen quantenresistent machen lassen, etwa durch längere Schlüssel oder andere Verfahren. Und weil das alles dauert, gilt wohl die alte Weisheit: lieber Vorsicht als Nachsicht. So ungefähr sieht es zumindest die BaFin.