PQC Quick Win 7: PQC-Roadmaps Ihrer Cloud-Anbieter einholen und dokumentieren
Im typischen KMU steckt heute ein zweistelliger Anteil der eingesetzten Kryptografie nicht im eigenen Rechenzentrum, sondern in der Cloud: Identitäts-Dienste, Mail, Datei-Ablage, Backups, ERP, Buchhaltung, Branchenanwendungen. Welche Verfahren dort verwendet werden, entscheidet nicht die eigene IT, sondern der Anbieter. Quick Win 7 macht aus diesem blinden Fleck eine geordnete Lieferanten-Akte – mit drei Standardfragen pro Anbieter und einem belastbaren Dokument am Ende der Woche.
Warum die Roadmap-Frage zentral ist
PQC in der Cloud ist geteilte Verantwortung. Der Anbieter hat das Mandat, seine Plattform-Verschlüsselung (Transport, Speicherung, KMS, Identitätsdienste) auf quantenresistente Verfahren zu heben. Sie haben die Aufgabe, das zu wissen, in Ihren Compliance-Berichten abzubilden und die Schnittstellen, an denen Sie selbst Krypto-Entscheidungen treffen (z. B. eigene Schlüssel mit BYOK, Verschlüsselung in der Anwendung), passend dazu auszurichten. Ohne dokumentierte Anbieter-Roadmap ist keine dieser drei Aufgaben sauber lösbar – und C5-/ISO-27001-Berichte verlieren ihre Aussagekraft im Krypto-Bereich.
Die drei Standardfragen an jeden Cloud-Anbieter
Drei Fragen reichen für eine erste belastbare Übersicht:
- Frage 1 – Plattform-Transport: “Welche Ihrer öffentlich erreichbaren Endpunkte unterstützen heute hybrides ML-KEM im TLS-Handshake, und welche sind bis Q4/2026 dafür vorgesehen?”
- Frage 2 – Schlüsselmanagement: “Welche Verfahren bietet Ihr Key Management Service (KMS / HSM-Dienst) heute für quantenresistente Schlüsselableitung und Signaturen an, und welcher konkrete Algorithmus-Mix (ML-KEM, ML-DSA, SLH-DSA) ist auf der Roadmap?”
- Frage 3 – Compliance-Nachweis: “In welchem Testat / welcher SOC2- oder C5-Berichtsfassung adressieren Sie die PQC-Migration, und wie unterstützen Sie Kundennachweise (z. B. Audit-Reports, Statements of Applicability)?”
Diese drei Fragen sind bewusst eng gefasst. Sie zwingen die Anbieterseite, von Marketing-Beiteuerungen (“wir nehmen das Thema sehr ernst”) auf konkrete Aussagen umzuschalten.
Welche Antworten Sie heute realistisch erhalten
Ein grober Orientierungsrahmen, gegen den Sie die Antworten einordnen:
- Microsoft 365 / Azure: Aktive PQC-Initiativen, dokumentierte Public Previews für hybride TLS-Verbindungen, ML-KEM in Schlüsselbestätigungspfaden auf der Roadmap. Antworten sollten konkret nach Diensten differenzieren (Exchange Online, SharePoint, Azure Key Vault, Microsoft Entra).
- Google Workspace / Google Cloud: Lange aktive PQC-Beteiligung in NIST und IETF, hybride Schlüsselverfahren in einigen Diensten produktiv. Antwort sollte mindestens Gmail-Transport, Drive-Verschlüsselung und Cloud KMS adressieren.
- AWS: Hybride Verfahren in mehreren Diensten verfügbar (z. B. KMS, ACM, Transit Gateway), differenziert nach Region und Service. Antwort sollte einen Dienst-Status enthalten.
- Hetzner / Strato / IONOS / OVH: Antworten sind hier heterogener; PQC im Eingang ihrer Web- und Mail-Strecken kommt häufig über vorgelagerte Stacks (z. B. nginx-/OpenSSL-Versionen), eigene KMS-Angebote sind seltener. Genau das ist Teil der Inventur.
- Branchen-SaaS (Buchhaltung, CRM, DMS, Branchenlösungen): Wahrscheinlich die schwächsten Antworten – und genau deshalb wichtig zu erheben. Eine schlechte Antwort ist eine relevante Information.
Wie Sie die Antworten dokumentieren
Eine Cloud-Roadmap-Akte in zwei Schichten:
- Tabelle (eine Zeile pro Anbieter): Name, Dienst, Verantwortliche im Haus, Datum der Anfrage, Antworten zu den drei Standardfragen in Stichworten, Datum der nächsten Wiedervorlage.
- Original-Antworten als Ablage: PDF/Mail-Export ungekürzt zu jedem Anbieter, mit Datum. Das ist Ihr Beweismittel im Audit und der Rückbezug für die nächste Quartals-Sichtung.
Drei einfache Status-Werte reichen für die schnelle Übersicht: “PQC heute produktiv”, “PQC auf Roadmap mit konkretem Termin”, “PQC ohne Termin / Antwort offen”.
Was Sie aus den Antworten ableiten
Die Roadmap-Akte ist mehr als ein Sammelordner – sie informiert mehrere Entscheidungen:
- Vertragsverlängerungen: Bei kritischen Diensten ohne PQC-Roadmap wird die Verlängerungsentscheidung anders bewertet.
- Datenklassifizierung: Für besonders langlebige Geheimnisse (Strategiepapiere, F&E, Personalakten, M&A-Unterlagen) kann die Antwort dazu führen, dass diese Daten kurzfristig nicht über bestimmte Dienste laufen.
- Eigene Krypto-Verantwortung: Wo der Anbieter “nicht heute” sagt, kommt Anwendungsverschlüsselung mit eigenen Schlüsseln (BYOK) oder Client-seitige Verschlüsselung als kompensierende Maßnahme in den Blick.
Was Sie diese Woche tun sollten
- Liste der Cloud- und SaaS-Anbieter aus Quick Win 1 erweitern; mindestens die zehn wichtigsten Dienste erfassen.
- Drei-Fragen-Anschreiben (am besten in einem kurzen Standard-Template) an alle Account-Manager bzw. Support-Kanäle versenden.
- Antworten in der Roadmap-Akte ablegen und in der Inventur-Tabelle den Status setzen.
- Eine kurze Auswertung für die Geschäftsführung: “An welchen Stellen sind wir gut versorgt, wo nicht?”
- Wiedervorlage in sechs Monaten setzen – die Antworten von heute sind in zwei Quartalen veraltet.
Fazit
PQC ist in der Cloud zu einem großen Teil Hausaufgabe der Anbieter – aber die Verantwortung, deren Hausaufgaben nachzuhalten, liegt bei Ihnen. Eine geordnete Roadmap-Akte ist das günstigste und gleichzeitig wirkungsvollste Instrument der Lieferantensteuerung im PQC-Kontext. Wer sie hat, redet mit Auditoren, Geschäftsleitung und Anbietern auf Augenhöhe.
Quellen
- Microsoft – Post-Quantum Cryptography at Microsoft https://www.microsoft.com/en-us/research/project/post-quantum-cryptography/
- Google Cloud – Post-Quantum Cryptography (Übersicht) https://cloud.google.com/security/encryption/post-quantum-cryptography
- AWS – Migrating AWS services to post-quantum cryptography https://aws.amazon.com/security/post-quantum-cryptography/
- BSI – Cloud Computing Compliance Criteria Catalogue (C5) https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Anforderungen-und-Empfehlungen/C5/c5_node.html
pqconsult: Ihre Partner bei der PQC-Migration
Wir liefern Anfrage-Templates, eine herstellerübergreifende Vergleichsmatrix der wichtigsten Cloud-Anbieter und unterstützen die Übersetzung der Anbieter-Antworten in Ihr internes Risiko- und Compliance-Bild. Sprechen Sie uns an.