PQC Quick Win 1: Krypto-Inventur Light – was läuft eigentlich kryptografisch im Haus?

PQC-Sommer-Sprint, Quick Win 1 von 10 – zum Auftakt der Serie

Jede PQC-Migration beginnt mit derselben Frage: Wo wird in unserem Unternehmen überhaupt asymmetrische Kryptografie eingesetzt? Die ehrliche Antwort lautet in den meisten KMU: „Vermutlich überall, aber so richtig wissen wir es nicht.” Das vollständige Inventar ist Aufgabe eines späteren Migrationsprojekts. Für unseren Sprint brauchen wir die Inventur Light: einen guten Überblick in einem Arbeitstag.

Wozu eine Light-Variante reicht

Ein vollständiges Krypto-Inventar listet jede Bibliothek, jeden Schlüssel und jede Konfigurationszeile. Das ist Wochen- bis Monatsarbeit. Für die Strecke der nächsten Wochen reicht eine Übersicht über die Stellen, an denen Sie als Unternehmen aktiv etwas drehen können: die Internet-exponierten Dienste, die wichtigsten internen Server, die genutzten Cloud-Plattformen und die kryptografisch relevanten Endgeräte-Klassen. Diese Light-Inventur ist die Grundlage für jeden weiteren Quick Win dieser Strecke – und sie ist später nicht weggeworfene Arbeit, sondern Startpunkt der vollständigen Inventur.

Die vier Spalten Ihrer Tabelle

Legen Sie eine einfache Tabelle an – Excel, Confluence oder ein gut gepflegtes Markdown-Dokument tun es. Vier Spalten reichen:

Asset: Welcher Dienst, welcher Server, welches Endgerät, welcher Cloud-Tenant?
Wer ist verantwortlich?: Intern (Person/Team) oder extern (Dienstleister/Hersteller)?
Welche Krypto ist im Einsatz?: TLS-Version und Cipher Suite, SSH-Algorithmen, Signaturverfahren des Zertifikats, Hash-Funktionen.
PQC-Stand: Heute noch klassisch / hybrid möglich / hybrid aktiv / unbekannt.

Diese Tabelle ist nichts Schönes – sie ist Arbeitsmaterial für den Rest des Sprints.

Die wichtigsten Quellen für die Light-Inventur

Sie kommen erstaunlich weit, ohne ein einziges kostenpflichtiges Werkzeug:

SSL Labs Server Test für jede öffentlich erreichbare Website und API: zeigt TLS-Versionen, Cipher Suites, Zertifikatsalgorithmen und Hash-Verfahren auf einen Blick.
testssl.sh für internes Scannen, wo Sie SSL Labs nicht hinschicken können (Intranet, interne APIs, Mailserver). Open Source, läuft auf Linux/macOS.
ssh -Q kex und ssh -Q sig auf einem aktuellen OpenSSH zeigen, welche Schlüsselaustausch- und Signaturverfahren der Client kennt – ein erster Indikator für die Versions-Landschaft.
Asset-Inventar des Endpoint-Managements (Intune, Jamf, Workspace ONE oder Vergleichbares) für die Browser- und OS-Versionen Ihrer Endgeräte.
Vertragsunterlagen mit Cloud- und SaaS-Anbietern – mehr für die spätere Quick-Win-Etappe zu Lieferanten-Roadmaps, hier nur einsammeln.

Was Sie an einem Tag realistisch erfassen können

In acht Stunden erreichen Sie typischerweise:

Alle öffentlich erreichbaren Dienste (Website, Webshop, Webmail, Kunden-Portal, Remote-Zugang) mit TLS- und Zertifikatsdaten.
Die drei bis fünf wichtigsten internen Server (Domain Controller, Fileserver, ERP-Frontend, interne CA, Backup-Server).
Die genutzten Cloud-Plattformen, jeweils mit Anbietername, Hauptdiensten und Verantwortlichem im Haus.
Den groben Versionsstand der Standard-Endgeräte (Browser, OS).

Das ist die Light-Variante – und sie reicht für unseren Sprint.

Was Sie diese Woche tun sollten

Tabelle aufsetzen, vier Spalten anlegen, Verantwortlichen für die Inventur benennen.
Eine SSL-Labs-Reihe für alle öffentlich erreichbaren Dienste fahren und Ergebnisse in die Tabelle übernehmen.
testssl.sh auf einem internen Admin-System bereitstellen und gegen die drei bis fünf wichtigsten internen Endpunkte laufen lassen.
Liste der Cloud- und SaaS-Anbieter zusammenstellen – Vertragsdetails kommen später, für jetzt reicht der Name und der Hauptdienst.
Erkenntnisse im IT-Team vorstellen: Wo überrascht es? Wo sind weiße Flecken? Diese Stelle ist ein guter Moment, um die Geschäftsführung in fünf Minuten mitzunehmen.

Fazit

Eine Krypto-Inventur Light ist kein Audit und kein Compliance-Nachweis. Sie ist die Landkarte, mit der Sie die nächsten neun Quick Wins gezielt umsetzen können – und der erste konkrete Beleg dafür, dass PQC in Ihrem Haus angekommen ist.

Wer keine Karte hat, navigiert blind; wer eine Light-Karte hat, sieht zumindest die wichtigen Straßen.

regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.