Niemand hat der SPS von Post-Quanten-Kryptografie erzählt

Die neue Steuerung soll eine Pumpe regeln. Zuverlässig, möglichst zwanzig Jahre lang. Im Lastenheft stehen Schnittstellen, Ersatzteile und Wartung. Doch eine Frage verdient denselben Platz: Lassen sich ihre kryptografischen Verfahren während dieser Zeit austauschen?

Eine speicherprogrammierbare Steuerung, kurz SPS, wäre bei Inbetriebnahme 2026 erst 2046 am geplanten Betriebsende. Ihre kryptografischen Sicherheitsfunktionen könnten vorher veralten. Post-Quanten-Kryptografie wird damit für industrielle Betriebs- und Prozessleittechnik, die Operational Technology (OT), zur Investitionsfrage.

Die Anlage läuft länger als der Algorithmus

Ausreichend leistungsfähige Quantencomputer könnten asymmetrische Verfahren wie RSA und Verfahren auf Basis elliptischer Kurven brechen. Wann solche Rechner verfügbar sein werden, ist ungewiss. Post-Quanten-Kryptografie (PQC) soll nach heutigem Kenntnisstand auch diesen Angriffen standhalten und läuft auf herkömmlicher Hardware. Symmetrische Verfahren wie AES sind nicht in gleicher Weise gefährdet.

Das US-Standardisierungsinstitut NIST hat 2024 drei zentrale PQC-Standards veröffentlicht: ML-KEM zur Schlüsseletablierung sowie ML-DSA und SLH-DSA für digitale Signaturen. Der Entwurf NIST IR 8547 sieht vor, quantenverwundbare Signatur- und Schlüsseleinigungsverfahren nach 2035 gemäß NIST-Vorgaben nicht mehr zuzulassen. Varianten mit 112 Bit klassischer Sicherheitsstärke sollen bereits nach 2030 als veraltet gelten.

Die EU-Roadmap von 2025 empfiehlt den Mitgliedstaaten, bis Ende 2026 mit der Umstellung zu beginnen. Hochrisikoanwendungen sollen möglichst früh, spätestens Ende 2030, migriert sein. Das ist keine pauschale gesetzliche Austauschfrist für jede SPS. Neue Anlagen werden weit über diese Zieltermine hinaus betrieben.

Auch Firmware braucht einen Herkunftsnachweis

„Harvest now, decrypt later“ beschreibt ein bekanntes Risiko: Angreifer greifen heute verschlüsselte Daten ab, um sie später zu entschlüsseln. Das betrifft etwa langfristig wertvolle Rezepturen und Konstruktionsunterlagen. In der OT kommt eine zweite Frage hinzu: Kann die Anlage ihrer Software künftig noch vertrauen?

Digitale Signaturen sollen belegen, dass ein Firmwarepaket vom berechtigten Herausgeber stammt und unverändert ist. Würde ein Angreifer das zugrunde liegende Signaturverfahren künftig brechen, könnte er diesen Nachweis fälschen. Gelangt ein solches Paket auf ein Gerät und greifen keine weiteren Schutzmaßnahmen, kann daraus ein Eingriff in den physischen Prozess werden.

Auch eine SPS, die selbst wenig Kryptografie nutzt, hängt möglicherweise von Zertifikaten, Fernwartungsgateways oder signierten Herstellerupdates ab. Betreiber müssen deshalb die gesamte Kette vom Wartungszugang bis zur Firmwareprüfung im Gerät betrachten.

Das Inventar muss mehr als die IP kennen

Ein Anlagenverzeichnis mit Modell, IP-Adresse und Firmwarestand beantwortet diese Fragen noch nicht. Zusätzlich nötig sind Algorithmus, Schlüssellänge und Einsatzzweck, etwa die Firmwareprüfung. Wer darf das Verfahren ändern, und genügt dafür ein Update? Hinzu kommen Betriebsende und dokumentierter Migrationsweg des Herstellers.

Vorrang haben Anlagen mit besonders hohen Ausfall- oder Manipulationsfolgen, einschließlich ihrer Engineering-Systeme und Fernzugänge. Herstellerunterlagen, Konfigurationen und passive Netzanalyse liefern erste Hinweise. Aktive Prüfungen gehören in abgestimmte Testfenster.

Bestätigt der Hersteller die Umstellung der Firmwareprüfung nicht, bleibt dieser Punkt offen. Solche Lücken gehören ins bestehende Asset-Management. Änderungen an Anlage oder Firmware erfordern eine erneute Bewertung.

Ein Updateversprechen reicht nicht

Kryptoagilität bezeichnet die Fähigkeit, kryptografische Verfahren auszutauschen und dabei Sicherheit und Betriebsfähigkeit zu erhalten. Was nach Softwarepflege klingt, kann in einer Industrieanlage ein Umbauprojekt werden.

Das BSI empfiehlt in seinem Migrationsleitfaden grundsätzlich hybride Ansätze: klassische und Post-Quanten-Verfahren werden kombiniert. Produkt und Protokoll müssen die vorgesehene Kombination unterstützen.

Ist ein Verfahren unveränderbar im Chip implementiert, kann ein Gerätewechsel nötig werden. PQC-Verfahren können größere Schlüssel, Signaturen oder Nachrichten erfordern. Ob Speicher, Rechenleistung und Kommunikationswege ausreichen, müssen Hersteller und Betreiber am konkreten Produkt prüfen. Auch die Zusammenarbeit mit anderen Komponenten und betriebliche Zeitvorgaben müssen erhalten bleiben.

Selbst ein technisch mögliches Update kann Tests, Herstellerfreigaben und ein Stillstandsfenster erfordern. Ein quantenresistentes Gateway kann geeignete Verbindungen schützen. Es ersetzt jedoch keine verwundbare Signaturprüfung, die weiterhin im nachgelagerten Gerät stattfindet.

Fünf Fragen für das Lastenheft

Vor der nächsten Beschaffung sollten Einkauf, OT-Betrieb und Informationssicherheit diese Fragen mit dem Anbieter klären:

• Welche kryptografischen Verfahren nutzt das Gerät, und wofür?
• Welche lassen sich per Update ändern, welche erfordern einen Hardwaretausch?
• Für welche Produkt- und Firmwarestände ist die PQC-Migration vorgesehen?
• Wie werden Ressourcenbedarf, Zusammenspiel und Wiederherstellung getestet?
• Wie lange gilt der Support, wer trägt die Kosten, und welche Ersatzlösung gibt es?

Die Antworten müssen zum angebotenen Gerät passen. Migrationsweg, Supportdauer und Kosten gehören in prüfbare Herstellerunterlagen und vertragliche Vereinbarungen; die zugesagte Funktion in die Abnahme. Bei Bestandsanlagen bestimmen Kritikalität, Restlaufzeit und Umstellungsaufwand die Priorität in der Modernisierungsplanung.

Für die Pumpe aus dem Eingangsbeispiel bedeutet das zunächst eine zusätzliche Anforderung im Lastenheft. Später kann es den Unterschied zwischen einem planbaren Update und einem ungeplanten Austausch ausmachen. Der nächste Quantencomputer ist für den Betreiber kaum kalkulierbar. Die nächste Bestellung ist es.