Wie resilient sind wir?

Nun startet bald das Zeitalter des Quantencomputing. Was kommt da auf uns zu?

Der Quantencomputer bietet riesige Chancen, ist aber zugleich auch eine High-End-Bedrohung, da er unsere aktuellen asymmetrischen Verschlüsselungen rasch entschlüsseln kann. Deshalb ist die Quantenverschlüsselung ein großes Zukunftsthema – besonders auch für den Standort Europa. Die Europäische Kommission hat hierzu das große Sicherheitsprogramm EuroQCI (European Quantum Communication Infrastructure) initiiert. Das Ziel dabei ist, den höchsten Sicherheitsstandard und die modernste Verschlüsselungstechnik in den Markt zu bringen. Die Basis dafür wurde schon geschaffen. Nun geht es darum, die erste europäische Industrielösung zu bauen. Das AIT arbeitet an diesem europäischen Projekt in allen Kernbereichen mit, um damit auch einen Beitrag für die digitale Souveränität zu leisten, die in Europa leider schon ein wenig verloren gegangen ist. Dazu muss ich im Sicherheitsbereich auch die Technik beherrschen, sie selbst bauen und auch richtig einsetzen können. Wir brauchen hier starke Anbieter mit hoher Kompetenz. Damit erreichen wir auch, dass europäische Anbieter auf gleicher Augenhöhe im globalen Wettbewerb mithalten können.

Kürzlich wurden in Österreich erstmals die „QCI Days Vienna 2024“ abgehalten, die Einblicke in die Entwicklung der Quantenkommunikation in Europa gaben, samt Vorstellung europäischer Quantenprojekte und -initiativen sowie Workshops rund um Themen wie der Implementierung der Euro-QCI-Architektur sowie Zertifizierungs- und Standardisierungsaktivitäten. Welche Rolle nimmt hier das AIT ein?

Als Veranstalter hatten wir eine sehr wichtige Rolle. Kurz zum Hintergrund. Das große Bedrohungsszenario, das in den letzten Jahren noch belächelt wurde und jetzt im Raum steht und immer wahrscheinlicher wird, da weltweit massiv investiert wird, sind wie schon gesagt die Quantencomputer. Auch in Österreich haben wir in dieser Zukunftstechnologie einige Start-ups wie etwa in Innsbruck. IBM, Google und viele andere IT-Größen arbeiten daran, natürlich auch China. Es gibt schon tausende Patente in diesem Bereich, die künftig ein ganz neues Rechnen erlauben. Auf der anderen Seite kann man die Quanteneffekte in der Physik aber auch dazu verwenden, um über Distanzen quantenphysikalisch gesicherte Schlüssel zu erzeugen. Das ist unser Schwerpunkt am AIT. Für die ersten Übertragungsexperimente hat Anton Zeilinger bekanntlich den Nobelpreis bekommen. Mittlerweile haben wir die Labortechnik der Quantenphysik am AIT zur Industriereife gebracht. Wir beherrschen heute „Photonics on the Chip“ und bieten Softwarelösungen für Systemhersteller der Quantentechnik an. Die Technik ist somit da. Ihr großer Vorteil: Bei der Quantenverschlüsselung wird kein Schlüssel im klassischen Sinne übertragen, sondern aufgrund der physikalischen Effekte direkt auf beiden Seiten generiert. Somit ist die Kommunikation absolut abhörsicher.

Wer kam zu den QCI-Days?

Wir haben die europäischen Projektkonsortien des EuroQCI-Programms aus den unterschiedlichen EU-Mitgliedstaaten eingeladen, damit sie der Community ihre Arbeit vorstellen. Die QCI-Days dienen vor allem dazu, dass sich Industrie, Behörden und Forschende untereinander austauschen können. Diese Art von Veranstaltung ist neu und war sofort ausgebucht. Österreich stand im Kontext der Frage der Umsetzung einer der modernsten Hochsicherheitstechnologien im Mittelpunkt der Welt. Wir sehen unsere Kernkompetenz vor allem auch in der Rolle als Brücke für die Wissenschaft und Industrie für die Anwendung neuer Technologien. Dazu bringen wir alle Stakeholder zusammen und können große Projekte aufsetzen.

Welche Programme gibt es in der EU zur Quantenkommunikation- und verschlüsselung?

Da gibt es einmal EuroQCI, dass die terrestrische Seite abdeckt. Da werden etwa die Landeshauptstädte in Österreich über Glasfaser nun an ein Quantenkommunikationsnetzwerk angeschlossen. Bei großen Distanzen benötigt man hingegen Satellitenübertragungen. Dazu dient das neue europäische Satellitennetz IRIS² für hochsichere Kommunikation. Aktuell wird schon an unterschiedlichen Einsatzmöglichkeiten und Use Cases für die Quantenkommunikation gearbeitet.

Für die Einführung sind wohl auch neue Standards erforderlich?

Für eine hochsichere Kommunikation, etwa zwischen den Behörden in der EU, bedarf es hochsicherer, zertifizierter Systeme. Dazu sind Geräte und Chips erforderlich, die nachweislich nicht kompromittiert sind, was bei irgendwo zugekauften Produkten nicht garantiert werden kann. Für die Zertifizierung im Hochsicherheitsbereich muss der Hersteller darlegen, wie er das Produkt gebaut hat und wie und nach welchen Vorschriften es getestet worden ist. Auch wenn etwa mit vorhandenen asiatischen Produkten vieles rascher ginge, brauchen wir im Hochsicherheitsbereich Produkte „made in EU“. Hierzu wurden bereits erste Projekte auf EU-Ebene gestartet, damit die notwendigen Kompetenzen in der EU aufgebaut werden können. Auch dabei spielt das AIT eine wichtige Rolle in der EU. Mittlerweile ist die erste Generation solcher Quanten- Geräte in der Testphase. Mit dem österreichischen EU-Projekt QCI-CAT leistet das AIT einen Beitrag, bei dem unsere Behörden und Betreiber kritischer Infrastruktur eingebunden werden, um erste Anwendungen konkret zu erproben. Da geht es nicht mehr um Forschung, sondern darum, wie man die Technik für die IT-Security einsetzt. Hier gibt es noch einige Fragen zu klären.

Die Europäische Kommission hat kürzlich ein Konsortium, das sich Nostradamus nennt, zum Aufbau einer Testinfrastruktur für Quantenkommunikation in der EU beauftragt. Mit dabei sind neben der Deutschen Telekom als Leiter und Thales auch das AIT. Was ist hier geplant?

Es geht um den Aufbau einer Testinfrastruktur für die Quantenschlüsselverteilung (QKD) und die Evaluierung von QKD-Geräten. In diesem Pilotprojekt werden Geräte von Herstellern und Zulieferern aus der EU genommen, in die IT-Systeme bei uns und in den Ministerien eingebettet, um sie zu prüfen und Kriterien für eine Zertifizierung zu finden. Die Frage ist, welche Punkte wirklich wichtig sind. Wir gehen dabei alle möglichen theoretischen Angriffsszenarien durch. Das sind schon ein paar 100. Diese werden analysiert, evaluiert und Testprozeduren dafür entwickelt. Wenn das Produkt alle Angriffsszenarien bestanden hat, wird es zertifiziert. Es geht also um den Aufbau eines Test- und Validierungszentrums für Europa. In Summe steht hier die ganze europäische Quantenkommunikations-Community dahinter.

Ein großes Thema, auch in der Sicherheit, ist KI. Was ändert sich dadurch?

Die Künstliche Intelligenz verschärft das Bedrohungsszenario massiv. Man kann wahrscheinlich ChatGPT überlisten und fragen, wie ich ein bestimmtes Unternehmen am besten erpressen kann. Irgendwo stehen die Schwachstellen solcher Systeme beschrieben. Es wird also dem Angreifer noch einfacher gemacht. Anleitungen, wie man Unternehmen angreift, hat es im Grunde schon immer gegeben. Jetzt hat aber eine Demokratisierung der Angriffstechnik stattgefunden. Ein weiterer Punkt ist, dass nun täuschend echt gefälschte E-Mails möglich sind, bis hin zu mittels Deep Fake manipulierten Bildern.

Was kommt da auf uns zu?

Insbesondere neue hybride Bedrohungen, um Unternehmen oder Behörden lahmzulegen. Hier werden die klassischen Angriffe etwa mit einer Fake-News-Kampagne begleitet. Dadurch bekommt Cyberkriminalität eine neue Dimension. Bislang waren vor allem Unternehmen betroffen. Nun müssen sich auch Staaten darauf vorbereiten. Eine gezielte Verschwörungskampagne, die überall in den Medien auftaucht, kombiniert mit einem kleinen Cyberangriff, der die Tankstellen lahmlegt, kann in einem ganzen Staat ein Chaos auslösen. Das sind neue Formen der Bedrohung.

Ist das Thema Sicherheit in den Unternehmen schon angekommen?

Offensichtlich nicht immer ausreichend. Sicherheit sollte allen mehr wert sein. Was hilft es, wenn man Geräte und Systeme zum halben Preis einkauft, aber sich nicht darauf verlassen kann, was mit den Daten passiert oder ob man abgehört wird? Wenn wir hohe Standards in Europa schaffen, kostet dies sicher etwas. Mit den neuen Initiativen wollen wir uns vom globalen Markt nicht abschotten, sondern einen Mindeststandard an Sicherheit schaffen. Hier kann der Rest der Welt natürlich mitmachen und anbieten, wenn er die Kriterien erfüllt. Eines sollte auch dem Endkunden bewusst sein: Eine höhere Sicherheit kostet zwar etwas, ist es das aber auch wert.

Lesen Sie diesen Artikel ab Seite 9 der aktuellen Ausgabe 1-24 oder am Austria Kiosk!