Sicherheit ist ein Pakt. Aber wer schreibt die Klauseln?
Die moderne Kryptographie beruht auf einem stillschweigenden Pakt: Die Benutzer vertrauen darauf, dass die technischen Institutionen — NIST, die Forschungsgemeinschaft, die Standardisierungsgremien — die Algorithmen, die ihre Geheimnisse schützen werden, korrekt ausgewählt haben. Aber was geschieht, wenn der Pakt nicht zwischen Gleichen geschlossen wird?
Hobbes beschrieb den Leviathan als den Souverän, dem die Individuen ihre Macht im Austausch für kollektive Sicherheit abtreten. In der Kryptographie hat der Leviathan einen Namen: NIST. Die Behörde, die nach acht Jahren öffentlichen Prozesses ein einziges gitterbasiertes Schlüsseleinkapselungsschema — Kyber — als FIPS-203-Standard ausgewählt hat.
Es ist nicht das erste Mal, dass NIST einen kryptographischen Standard festlegt. Es tat es mit DES im Jahr 1977, mit AES im Jahr 2001, mit SHA-1, SHA-2 und SHA-3. Aber es gibt einen grundlegenden Unterschied: DES, AES und SHA sind symmetrische oder Hash-Primitive — Konstruktionen, deren Härtevermutungen nicht miteinander verknüpft sind. Kyber repräsentiert die Wette, dass eine bestimmte Familie von Problemen — LWE über Gittern — die richtige Grundlage für die globale Post-Quanten- asymmetrische Kryptographie ist.
Keine andere mathematische Familie hat einen FIPS-Standard für KEM. Das gesamte Ökosystem — TLS, Signal, iMessage, AWS KMS, Cloudflare — baut seine Post-Quanten-Zukunft auf einer einzigen Vermutung auf.
Was auf der Strecke blieb
Der NIST-Prozess erhielt 82 ursprüngliche Vorschläge. In der Endrunde wurde Kyber als der einzige KEM ausgewählt. Aber es gab qualitativ unterschiedliche Alternativen mit unabhängigen mathematischen Grundlagen:
| Schema | Grundlage | Öffentlicher Schlüssel | Analysejahre | Status |
|---|---|---|---|---|
| Kyber-768 | Module-LWE (Gitter) | 1184 B | ~20 | FIPS 203 (Standard) |
| Classic McEliece | Goppa-Codes | ~1 MB | 48 | Finalist, nicht standardisiert |
| NTRU | Gitter (NTRU) | ~1 KB | 30 | Finalist, nicht standardisiert |
| Saber | Module-LWR (Gitter) | ~1 KB | ~10 | Mit Kyber fusioniert |
| HQC | Codes (HCQC) | ~2 KB | ~10 | Runde 4 ausgewählt |
Classic McEliece ist der aufschlussreichste Fall. Veröffentlicht 1978 von Robert McEliece — ein Jahr nach RSA — hat es 48 Jahre Kryptoanalyse überstanden, ohne dass ein effizienter Angriff gefunden wurde, nicht einmal ein quantenbasierter. Seine Sicherheit beruht nicht auf einer neuartigen Vermutung, sondern auf einem Problem — der Decodierung linearer Codes — das seit den 70er Jahren als NP-vollständig bekannt ist. Seine Sicherheitsnachweise sind objektiv die solidesten aller Kandidaten.
Aber seine Schlüssel von ~1 MB machen es für die meisten Anwendungen unpraktikabel:
Classic McEliece
Öffentlicher Schlüssel: 1.049.600 Bytes (~ 1 MB)
Übertragungszeit in 5G: ~8 ms
Speicherung in Firmware: nicht durchführbar
Verwendung im TLS-Handshake: nicht durchführbar (der gesamte Handshake passt in ~5 KB)
Kyber-768
Öffentlicher Schlüssel: 1.184 Bytes (~ 1 KB)
Übertragungszeit in 5G: ~0.01 ms
Speicherung in Firmware: trivial
Verwendung im TLS-Handshake: natürlich
Kryptographie wählt nicht das Sicherste. Sie wählt, was ausreichend sicher ist und funktioniert.
NTRU, 1996 veröffentlicht, ist mehr als zwei Jahrzehnte älter als Kyber. Es verwendet ebenfalls Gitter, aber mit einer anderen Struktur — dem ursprünglichen NTRU-Kryptosystem, nicht LWE. Es war Finalist, wurde aber nicht ausgewählt; seine Techniken wurden teilweise von der Evolution der Kyber-Parameter absorbiert (wie die Änderung des Moduls q auf 3329, inspiriert vom NTRU-Design).
HQC, in Runde 4 des NIST-Prozesses (2024) als Reserveschema ausgewählt, basiert auf Codes, nicht auf Gittern. Wenn LWE bricht, bleibt HQC bestehen. Aber HQC ist noch kein FIPS-Standard — es ist im Prozess — und seine Adoption ist im Vergleich zu Kyber marginal.
Die Monokultur
Das Risiko der Zentralisierung ist nicht theoretisch. Wenn in 20 Jahren ein Angriff gegen LWE entdeckt wird — quantenbasiert oder klassisch — bedeutet die globale Abhängigkeit von Kyber, dass alles gleichzeitig fällt:
Angriff gegen Module-LWE / LWE
│
├─► ML-KEM-512 → gebrochen
├─► ML-KEM-768 → gebrochen (mit mehr Ressourcen)
├─► ML-KEM-1024 → gebrochen (mit vielen Ressourcen)
├─► ML-DSA → gebrochen (gleiche Familie, gleiche Grundlage)
│
└─► Jedes auf LWE-Gittern basierende Schema → gebrochen
(Kyber, Dilithium, NewHope, etc.)
Es ist kein wahrscheinliches Szenario. Aber es ist möglich. Und die Geschichte der Kryptographie — MD5 (1991→2004), SHA-1 (1995→2017), RC4 (1987→2015), Dual_EC_DRBG (2006→2013) — ist voll von Schemata, die sicher waren, bis sie es nicht mehr waren.
Die Frage der Monokultur:
Wenn wir weltweit eine einzige Kultur (LWE-Gitter) anpflanzen
und eine Plage kommt (Angriff gegen LWE), was essen wir dann?
Diversifizierung hat ihren Preis: Komplexität, Interoperabilität, Leistung. Es ist nicht offensichtlich, dass die Industrie zwei KEMs gleichzeitig implementieren sollte. Aber es ist offensichtlich, dass sie es können sollte, wenn nötig. Und heute ist die globale Post-Quanten-Infrastruktur auf einer einzigen mathematischen Grundlage aufgebaut.
Vertrauen und Institutionen
Im Jahr 2013 zeigte die Snowden-Enthüllung, dass die NSA die Auswahl des Pseudozufallsgenerators Dual_EC_DRBG als NIST-Standard beeinflusst hatte, mit dem begründeten Verdacht, dass er eine Hintertür enthielt. Der Skandal erschütterte das Vertrauen in den Standardisierungsprozess. NIST reagierte mit Transparenz: Der PQC-Prozess war öffentlich, offen, dokumentiert, mit offenen Sitzungen, öffentlichen Kommentaren und internationalen Peer-Reviews.
Aber Transparenz beseitigt nicht die Zentralisierung. Der Leviathan kann wohlwollend, informiert, technisch einwandfrei sein — er bleibt der Leviathan. Die Entscheidung, auf Gitter zu setzen, war vernünftig, vielleicht richtig. Aber sie konzentriert das Risiko der globalen Post-Quanten-Sicherheit auf eine einzige mathematische Familie.
Vertrauen in den NIST PQC-Prozess:
Dafür: Dagegen:
• 8 Jahre öffentliche Analyse • Gitter-Monokultur
• 82 evaluierte Vorschläge • Classic McEliece wegen Größe
• Offener und dokumentierter verworfen, nicht wegen Sicherheit
Prozess • Keine Alternative mit demselben
• Internationale Beteiligung Bereitstellungsniveau
• HQC als Reserve (Runde 4) • Institutionelles Vertrauen ist
• Gestaffelte Migration bis eine Anforderung, kein Luxus
2035
Der Same
In der Kryptographie ist der Seed — der Same — der zufällige Wert, von dem alles andere abgeleitet wird: Schlüssel, Nonces, Parameter. Ein kompromittierter Same macht jede abgeleitete Sicherheit ungültig.
Die Analogie zum Standardisierungsprozess ist verlockend: Der "Same" der Post-Quanten-Sicherheit ist die Entscheidung, auf LWE zu vertrauen. Wenn diese Entscheidung richtig ist, funktioniert alles andere. Wenn sie falsch ist, ist nichts von Bedeutung.
Aber die Analogie hat eine Grenze: In der Kryptographie können wir mehrere Samen erzeugen. In der Standardisierung hat Diversität Kosten, die der Markt nicht immer zu zahlen bereit ist.
Hobbes schrieb, dass der Naturzustand der Krieg aller gegen alle ist. Die Post-Quanten-Kryptographie ist in gewissem Sinne ein Versuch, diesem Zustand zu entkommen — eine Ordnung zu schaffen, in der Geheimnisse zirkulieren können, ohne Angst vor zukünftiger Abfangung. Aber die Ordnung erfordert einen Souverän, und der Souverän erfordert Vertrauen.
Die Frage, die diese Serie von Anfang an gestellt hat — "Wann können wir sagen, dass etwas sicher ist?" — hat keine endgültige Antwort. Aber sie hat eine praktische Konsequenz: Das Vertrauen in Kyber ist keine mathematische Gewissheit. Es ist eine kollektive Entscheidung, informiert durch die verfügbaren Beweise und durch die Glaubwürdigkeit der Institutionen, die es unterstützen.
Es ist kein blinder Glaube. Es ist ein Pakt.
In VI: Das Wissen und das Tun werden wir den Kreis schließen mit dem, was die Implementierung von Kyber in Dart lehrt: die Distanz zwischen theoretischem Wissen und praktischem Tun, und warum Kryptographie sowohl das Paper als auch den Code erfordert.
Querverweise zur Forschung:
- Standardisierung — Der NIST-Prozess, die Auswahlkriterien, die Kontroversen
- Grundlagen von LWE — Die Härtevermutung im Vergleich zu den Alternativen
- Angriffe — Das Risiko eines zukünftigen Angriffs gegen LWE
- Schlussfolgerungen — Abschließende Synthese der Serie: Indikatoren, keine Beweise