KI löst jahrzehntealte Mathematik für 2.000 Dollar. Was heißt das für Ihre Verschlüsselung?

Am 1. August veröffentlichte OpenAI zehn Ergebnisse zu mathematischen Problemen, die zehn Jahre oder länger ungelöst waren, von Kugelpackungen in hohen Dimensionen bis zu Fragen aus der Komplexitätstheorie. Die Ergebnisse wurden von einem internen Modell (Astra) erzeugt, formal mit Lean-Zertifikaten verifiziert, und die gesamten Rechenkosten betrugen nach eigenen Angaben rund 2.000 Dollar an Token. Was Jahrzehnte menschlicher Forschung nicht hervorbrachten, schaffte eine Maschine in wenigen Tagen für das Budget eines Laptops.

Das Ergebnis, das Ihre Verschlüsselung betrifft

Eines der zehn Ergebnisse berührt unmittelbar die Grundlagen der modernen Kryptographie: ein Härtebeweis für das Closest Vector Problem, ein Kernproblem der Gittertheorie (Lattices). Genau auf solchen Problemen beruht die Post-Quanten-Kryptographie, die neue Generation der Verschlüsselung, die Quantencomputern standhalten soll und die mit den NIST-Standards FIPS 203, 204 und 205 seit 2024 endgültig festgelegt ist.

Wichtig ist, ehrlich zu sein, was dieses Ergebnis bedeutet und was nicht. Es ist ein Beweis, dass das Problem schwer ist. Das stärkt gerade das Vertrauen in gitterbasierte Kryptographie. Es gibt also keinerlei Grund zur Panik, dass „KI Ihre Verschlüsselung knackt“. Wer das behauptet, verkauft Angst.

Warum das trotzdem Ihre Organisation betrifft

Die eigentliche Lehre liegt eine Ebene tiefer. Die Sicherheit jeder Kryptographie beruht auf mathematischen Annahmen, und diese Annahmen werden jetzt in einem Tempo getestet, das vor fünf Jahren undenkbar war. In beide Richtungen: beweisen, dass etwas hart ist, und finden, wo es schwach ist. Die Haltbarkeit solcher Annahmen ist keine Konstante mehr.

Und unabhängig davon tickt bereits eine Uhr, die nichts mit KI zu tun hat:

• Die koordinierte europäische PQC-Roadmap sieht vor, dass Organisationen spätestens Ende 2026 mit der Bestandsaufnahme und einem Migrationsplan beginnen.
• Hochrisikosysteme sollten spätestens Ende 2030 migriert sein, der Rest spätestens 2035.
• „Harvest now, decrypt later“ ist bereits heute ein Risiko: verschlüsselter Verkehr, der jetzt abgefangen und gespeichert wird, kann später entschlüsselt werden. Für Daten mit langer Vertraulichkeitsdauer — man denke an medizinische Akten, juristische Dokumente und Geschäftsgeheimnisse — zählt diese Bedrohung schon heute.

„Die Frage ist nicht, ob die Annahmen hinter Ihrer aktuellen Verschlüsselung jemals fallen. Die Frage ist, ob Sie dann schon wissen, was Sie ersetzen müssen — und in welcher Reihenfolge.“

Man kann nur migrieren, was man sehen kann

Der erste Schritt jeder PQC-Migration ist keine Technik, sondern Inventarisierung: Welche Algorithmen, Protokolle, Zertifikate und Schlüssel laufen eigentlich in Ihrer Organisation, und welche davon sind quantenverwundbar? Das NCSC beschreibt diesen Ansatz zusammen mit TNO und dem AIVD im PQC-Migrationshandbuch. In der Praxis zeigt sich, dass diese Inventarisierung bei den meisten Organisationen nicht existiert. Genau dafür gibt es den SAIG PQC-Readiness Scan: eine Krypto-Inventarisierung mit Risikoklassifizierung und einer priorisierten Migrations-Roadmap, zum Festpreis.