Noch gelten die meisten modernen Verschlüsselungsverfahren als ziemlich sicher. Doch manche der heute gängigen Algorithmen können durch hinreichend leistungsstarke Quantencomputer nicht nur geschwächt, sondern geradezu nutzlos werden, beispielsweise RSA. Denn Quantencomputer eignen sich hervorragend, um mathematische Probleme wie die Primfaktorzerlegung extrem effizient zu lösen.

Dass es solche Rechner jemals geben wird, ist zwar noch nicht zu hundert Prozent ausgemacht. Nach aktuellem Forschungsstand ist aber davon auszugehen, dass der „Q-Day“ keine Frage des „ob“ mehr ist, sondern nur noch eine des „wann“. Sowohl Banken und Versicherungskonzerne als auch Behörden und andere staatliche Institutionen tun also gut daran, sich auf dieses Szenario vorzubereiten. Sie müssen die Verschlüsselung ihrer Kommunikation auf Algorithmen umstellen, die nach heutigem Kenntnisstand auch von Quantencomputern nicht gebrochen werden können. „Post Quantum Cryptography“ ist das Schlagwort dazu, kurz PQC. Das klingt nach Raketenwissenschaft (ist es auch irgendwie), doch es gibt auch eine gute Nachricht: PQC-Algorithmen existieren durchaus und werden in einigen Bereichen auch schon in der Breite eingesetzt.

Im c’t uplink sprechen wir über allerhand Fragen zu PQC und Quantencomputern. Vor welchen praktischen Herausforderungen stehen etwa Banken? Warum sind manche Algorithmen gefährdet und andere nicht? Wie rechnet ein Quantencomputer? Wie kann man sich Qubits vorstellen – und wie sieht die Hardware eines Quantencomputers eigentlich aus?

Zu Gast im Studio: Wilhelm Drehling, Markus Montz, Sabrina Patsch
Host: Jan Schüßler
Produktion: Gordon Hof

► Unseren Schwerpunkt zu Post-Quanten-Kryptographie lesen Sie bei heise+:

► sowie in c’t 23/2025:

In unserem WhatsApp-Kanal sortieren Torsten und Jan aus der Chefredaktion das Geschehen in der IT-Welt, fassen das Wichtigste zusammen und werfen einen Blick auf das, was unsere Kollegen gerade so vorbereiten.

► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!

(jss)

Häufig sind es Fehlkonfigurationen, die Angreifern den Zugang zu Cloud-Umgebungen erleichtern, auch bei AWS. Entwicklungsfehler, unzureichende Härtung sowie Standardeinstellungen, die eher auf Funktionalität als auf Sicherheit ausgerichtet sind, erhöhen das Risiko, dass Angreifer einzelne Anwendungen, Ressourcen und Identitäten kompromittieren können.

Lernen von den Angreifern

In dem Workshop Angriffe auf und Absicherung von Amazon Web Services (AWS) lernen Sie die Techniken der Angreifer kennen und erfahren, mit welchen Sicherheitsmaßnahmen Sie Ihre AWS-Dienste und Cloud-Identitäten besser schützen und so potenzielle Angriffe frühzeitig erkennen und abwehren können.

Dabei setzen Sie sich mit verschiedenen Angriffsszenarien und Sicherheitsstrategien auseinander. Sie werden in die wichtigsten Methoden wie unautorisierte Informationsbeschaffung, initiale Kompromittierung von AWS Identitäten und Privilegieneskalation eingeführt. Sie erfahren auch, wie wichtig es ist, die Angriffspfade zwischen lokalen Umgebungen und der AWS-Cloud zu verstehen. Beim Aufspüren von Fehlkonfigurationen lernen Sie, wie Sie diese beheben und Sicherheitsfunktionen aktivieren können. Frank Ully zeigt Ihnen, wie Sie Angriffe auf Ihre AWS-Umgebung erkennen und wie Sie CloudTrail, CloudWatch und GuardDuty konfigurieren und einsetzen, um Sicherheitsprotokolle zu analysieren und auf Sicherheitsvorfälle zu reagieren.

Die Schulung richtet sich an Administratoren, IT-Sicherheitsverantwortliche und Security-Fachleute, die sich intensiver mit Angriffen auf und Absicherung von Amazon Web Services (AWS) auseinandersetzen wollen. Referent ist Frank Ully, erfahrener Pentester und Principal Consultant Cybersecurity bei der Corporate Trust Business Risk & Crisis Management GmbH in München.

(ilk)

Die Cybergang cl0p bleibt umtriebig und stiehlt weiter Daten bei vielen Unternehmen und Einrichtungen. Jetzt sind die namhafteren Carglass.de, Fluke.com und die britische Gesundheitsverwaltung NHS dazugekommen.

Die Bande cl0p ist dafür bekannt, durch Schwachstellen etwa in Datenübertragungssoftware Daten bei Unternehmen abzuzweigen und sie im Anschluss damit um Geld zu erpressen. Wer nicht zahlt, dessen Daten landen dann im Darknet. Es ist unklar, auf welchem Wege cl0p nun an die Daten gekommen sein will. Zuletzt scheint jedoch öfter eine Sicherheitslücke in Oracles E-Business-Suite (EBS) als Einfallstor gedient zu haben.

Datenabfluss bislang unbestätigt

Auf den Webseiten der nun betroffenen Einrichtungen finden sich keine Hinweise zu den Datenabflüssen. Carglass ist eine bekannte deutsche Werkstatt-Kette mit Spezialisierung auf Reparaturen von Steinschlägen in Autoscheiben. Sie war am Freitagnachmittag telefonisch nicht erreichbar, und auf die diesbezügliche E-Mail-Anfrage haben alle drei betroffenen Organisationen noch nicht umgehend reagiert.

Fluke ist einer der größten und renommiertesten Messegerätehersteller aus den USA. Der NHS England ist der dortige nationale Gesundheitsdienst. Gegenüber The Register wollte der NHS weder bestätigen noch abstreiten, dass es zu einem solchen IT-Vorfall gekommen ist. Ein Sprecher des NHS sagte dem Medium jedoch: „Wir sind uns bewusst, dass der NHS auf einer Website für Cyberkriminalität als von einem Cyberangriff betroffen aufgeführt wurde, aber es wurden keine Daten veröffentlicht. Unser Cybersicherheitsteam arbeitet eng mit dem National Cyber Security Centre zusammen, um dies zu untersuchen.“ Das steht jedoch im Widerspruch zu einem BitTorrent-Link, den cl0p inzwischen veröffentlicht hat, der zum Download der gestohlenen Daten führen soll.

Derzeit ist unklar, ob tatsächlich sensible Daten abgeflossen sind und wer alles davon betroffen ist. Ende Februar hatte die kriminelle Vereinigung cl0p insgesamt 230 neue Einträge zu Datendiebstählen bei Unternehmen aufgelistet, darunter auch bekanntere Unternehmen wie HP und HPE.

(dmk)