KI und Kryptografie : Die Ära der industrialisierten Kryptoanalyse beginnt

Kryptografische Sicherheit entsteht nicht dadurch, dass jemand einen Algorithmus für sicher erklärt. Denn sie kann letztlich nicht mathematisch bewiesen werden. Kryptografische Sicherheit entsteht vielmehr durch einen oft jahrelangen wissenschaftlichen Prozess aus Diskurs, Implementierung und Zertifizierung.

Die Situation ähnelt dem ungleichen Wettlauf in der Grimmschen Erzählung „Der Hase und der Igel“, bei dem es auf langen Atem und die richtige Strategie ankommt: Neue Verfahren werden veröffentlicht, analysiert, angegriffen, verbessert oder verworfen. Standardisierungsprozesse – wie für die Post-Quantum-Cryptography-Verfahren der US-Behörde NIST – leben davon, dass möglichst viele Wissenschaftler versuchen, die vorgeschlagenen Algorithmen zu brechen. Das ist kein Fehler des Systems, sondern eines seiner wichtigsten Qualitätsmerkmale. Sprich: Es ist ein Feature des Systems, kein Bug.

Kryptoanalyse war bislang eine hoch spezialisierte Tätigkeit, die mathematische Kreativität und Jahre intensiver Forschung erforderte. KI-Systeme automatisieren nun Teile davon. Wenn ein solches System innerhalb kurzer Zeit Angriffsmöglichkeiten auf Verfahren findet, die bereits intensiv von Experten untersucht wurden, verändert sich das Verhältnis zwischen Entwicklung und Analyse kryptografischer Verfahren. Wir treten möglicherweise in eine Ära der industrialisierten Kryptoanalyse ein.

Von der einzelnen Analyse zur Skalierung

Entscheidend ist die Skalierbarkeit: Ein menschliches Team kann nur begrenzt viele kryptografische Verfahren gleichzeitig untersuchen. KI-Agenten könnten dagegen künftig hunderte Varianten und Angriffshypothesen parallel analysieren. Darin liegt eine enorme Chance: Neue kryptografische Verfahren ließen sich vor ihrer Standardisierung intensiver testen, etwa durch systematische Suche nach ungewöhnlichen algebraischen Strukturen.

Was jedoch zur Prüfung neuer Verfahren eingesetzt werden kann, lässt sich ebenso zur Suche nach Schwachstellen in bestehenden Verfahren, Protokollen und Implementierungen nutzen. Damit verändert sich auch das Bedrohungsmodell. Die Frage lautet künftig nicht mehr: Welche kryptoanalytischen Fähigkeiten besitzt ein Team? Sondern: Welche kryptoanalytischen Fähigkeiten lassen sich mit KI automatisieren, parallelisieren und skalieren?

Sicherheit wird zur kontinuierlichen Evidenzfrage

Ein Algorithmus war und ist nie einfach „sicher“. Seine Sicherheit entspricht dem jeweils aktuellen Stand unseres Wissens über mögliche Angriffe, verfügbare Rechenleistung und neue mathematische Methoden. KI beschleunigt genau diesen Erkenntnisprozess; Sicherheitsbewertungen werden sich künftig schneller ändern.

Für Betreiber digitaler Infrastrukturen bedeutet das: Organisationen müssen wissen, welche kryptografischen Verfahren sie einsetzen, wo diese implementiert sind und wie schnell sie ausgetauscht werden können. Kryptoagilität wird damit vom langfristigen Architekturprinzip zu einer operativen Notwendigkeit – gerade mit Blick auf die Migration zu quantensicheren Algorithmen.

Governance muss mit der Geschwindigkeit der KI mithalten

Noch wichtiger erscheint mir jedoch ein anderer Fragenkomplex: Was geschieht, wenn ein KI-System eine gravierende Schwachstelle in einem weltweit eingesetzten Verfahren entdeckt? Wer validiert das Ergebnis und wann werden Hersteller, Gremien oder Sicherheitsbehörden informiert?

Diese Fragen kennen wir aus der sogenannten Coordinated Vulnerability Disclosure, bei der Sicherheitslücken vorab dem Hersteller gemeldet werden. Doch KI verändert auch hier Zeithorizont und Skalierbarkeit. Produzieren KI-Systeme künftig Findings – also potenzielle Sicherheitslücken oder Schwachstellen –, reicht eine Einzelfallbearbeitung nicht mehr aus.

Wir brauchen entsprechend eine Governance für KI-gestützte Sicherheitsforschung mit vier Elementen:

1. Validierung: Ergebnisse müssen unabhängig reproduziert und wissenschaftlich validiert werden. Ein vom Modell vorgeschlagener Angriff ist noch kein bestätigter Angriff.
2. Disclosure: Wir brauchen nachvollziehbare Verfahren für Responsible beziehungsweise Coordinated Disclosure, die auch mit deutlich mehr Findings umgehen können.
3. Standardisierung: Organisationen sollten KI systematisch in ihre Evaluierungsprozesse integrieren, um neue Angriffsmöglichkeiten früh zu erkennen.
4. Transparenz über Evidenzlage: Es muss klar unterscheidbar bleiben, ob eine theoretische Schwäche, ein Angriff unter reduzierten Parametern oder ein praktisch relevanter Angriff vorliegt.

Kryptografische Souveränität bekommt neue Bedeutung

Für Europa ergibt sich daraus auch eine industrie- und sicherheitspolitische Dimension. Digitale Souveränität wird häufig mit eigenen Cloud-Infrastrukturen, europäischen KI-Modellen oder souveränen digitalen Identitäten verbunden. Wir sollten den Begriff zukünftig weiter fassen: Ein souveräner Wirtschaftsraum muss die Sicherheit der Technologien, auf denen seine digitale Infrastruktur beruht, selbstständig beurteilen können. Dafür braucht es auch kryptografische Kompetenz und künftig ebenso KI-Kompetenz.

Europa darf nicht ausschließlich Konsument leistungsfähiger KI-Systeme zur Sicherheitsanalyse werden. Wir benötigen eigene Forschungskompetenzen an der Schnittstelle von Mathematik, Kryptografie und KI – insbesondere für staatliche Stellen und Betreiber kritischer Infrastrukturen.

Denn Vertrauen in einer zunehmend von KI geprägten Welt hängt nicht allein von sicheren Algorithmen ab, sondern davon, ob wir die Fähigkeiten haben, ihre Sicherheit kontinuierlich selbst zu überprüfen.

Dr. Kim Nguyen ist Senior Vice President Innovation bei der Bundesdruckerei. Zuvor war er zwölf Jahre in der Geschäftsführung der Bundesdruckerei-Tochter D-Trust, einem Anbieter von Vertrauensdiensten.