Harvest Now, Decrypt Later: Warum Dashlane die Wahrheit schönt
Verschlüsselt heißt nicht „sicher für immer". Angreifer sammeln heute Tresor-Daten, um sie in 5–12 Jahren mit Quantencomputern zu entschlüsseln. Wasacon zeigt, warum das echte Bad News für KMU sind.
Dashlane hat ein Datenleck bestätigt, betont aber, der verschlüsselte Tresor sei nicht betroffen. Technisch korrekt – aber unvollständig: Angreifer können verschlüsselte Datenbestände heute kopieren und in 5 bis 15 Jahren mit ausreichend leistungsfähigen Quantencomputern entschlüsseln. Diese Strategie heißt Harvest Now, Decrypt Later und ist für langlebige Geheimnisse wie Passwörter, Verträge, Krankendaten oder Quellcode die zentrale Bedrohung dieses Jahrzehnts.
Der Dashlane-Vorfall: Was wirklich passiert ist
Dashlane gehört seit Jahren zu den meistgenutzten Passwortmanagern weltweit. Anfang 2026 wird bekannt, dass Nutzerdaten mit Dashlane-Bezug in einem Datenleck aufgetaucht sind. Dashlane betont in seiner Stellungnahme: Die verschlüsselten Tresore (Passwörter, Notizen, Karten) seien nicht abgeflossen, die Zero-Knowledge-Architektur halte.
Im engeren Sinn stimmt das. Was es jedoch verschweigt: Selbst wenn nur E-Mail-Adressen, Metadaten und Account-Identifier abgeflossen sind, eröffnet das gezielten Angreifern eine perfekte Zielliste – und sobald sie es einmal in einen verschlüsselten Tresor schaffen, beginnt der eigentliche Wettlauf. Nicht gegen die Mathematik von heute. Sondern gegen die Mathematik der nächsten 10 Jahre.
Harvest Now, Decrypt Later – in Bewegung
Was Angreifer heute kopieren, lesen sie morgen. Diese Simulation zeigt die drei Phasen in Echtzeit: Daten klauen, jahrelang warten, mit Quantenrechner entschlüsseln.
Das sind echte Bad News – und sie kommen mit Verzögerung
Das tückische an Harvest-Now-Angriffen: Sie verursachen jetzt keinen spürbaren Schaden. Es gibt keine Lösegeldforderung, keine gesperrten Systeme, keine Schlagzeile. Die Datenbank liegt einfach in einem Cloud-Storage eines Geheimdienstes oder einer kriminellen Organisation – und wartet. In 5, 8, vielleicht 12 Jahren wird sie wieder relevant. Dann allerdings fallen Passwörter, Verträge, Krankendaten und Quellcode auf einen Schlag. Wer heute glaubt, „verschlüsselt = sicher", schreibt Briefe an seine eigene Zukunft.
Dashlane-Aussagen vs. Realität
Die Kommunikation rund um den Vorfall ist juristisch sauber und beruhigend gehalten. Wir übersetzen die zentralen Aussagen in das, was sie technisch wirklich bedeuten.
Wie sicher sind heutige Verschlüsselungsverfahren wirklich?
Passwortmanager setzen typischerweise auf AES-256 für den Tresor und auf PBKDF2 oder Argon2 zur Ableitung des Schlüssels aus dem Master-Passwort. Schlüsselaustausch und Zertifikate im Hintergrund laufen über RSA oder Elliptische Kurven (ECC). Gegen klassische Rechner ist all das praktisch unknackbar – gegen Quantenrechner mit den richtigen Algorithmen sieht das Bild völlig anders aus.
Werte vereinfacht – „klassisch" = Sicherheit gegen heutige Rechner, „quantum" = verbleibende Sicherheit gegen ausreichend große, fehlerkorrigierte Quantencomputer.
Roadmap: Wann wird das gefährlich?
Niemand weiß auf den Tag genau, wann der „Q-Day" – der Tag, an dem klassische asymmetrische Krypto fällt – kommt. Aber niemand seriöses sagt mehr „nie". Die Migration auf Post-Quantum-Krypto hat begonnen – und sie dauert mindestens 10 Jahre. Wer erst beginnt, wenn der Q-Day in den Medien ist, ist zu spät.
Welche Daten sind besonders gefährdet?
Faustregel: Je länger die Vertraulichkeitsdauer, desto höher das Harvest-Now-Risiko.
Wasacon-Checkliste für KMU im Kreis Heinsberg
- Datenklassifizierung nach Vertraulichkeitsdauer: Welche Daten müssen 10+ Jahre geheim bleiben?
- Crypto-Agility verankern: Verschlüsselung modular kapseln, damit Algorithmen austauschbar sind.
- Hybrid-TLS aktivieren, wo Cloud-Provider es schon anbieten (Google, Cloudflare, AWS).
- Passwortmanager mit langem Master-Passwort (>16 Zeichen), Argon2id und 2FA wählen.
- Backup-Verschlüsselung auf AES-256 + PQC-Roadmap setzen – nicht auf RSA-Wrapping verlassen.
- Lieferanten und SaaS-Anbieter aktiv nach ihrer PQC-Migration fragen (Vertragsklausel).
- Awareness: Mitarbeitende verstehen, dass verschlüsselt = gestohlen, aber später lesbar sein kann.
- Inventar führen: Wo läuft RSA/ECC heute überall? Zertifikate, VPNs, SSH-Keys, Code-Signaturen.
Fazit: Das Problem ist nicht heute. Das Problem ist 2035.
Dashlane hat formal recht: Der Tresor ist heute nicht offen. Aber Sicherheits-Kommunikation, die nur auf den aktuellen Status schaut, ist 2026 zu kurz gesprungen. Wer Passwörter, Verträge, Patientenakten oder Quellcode verwaltet, muss in Jahrzehnten denken – nicht in News-Zyklen. Harvest Now, Decrypt Later macht heutige Datenlecks zu zeitverzögerten Sprengsätzen. Der einzige wirksame Schutz: jetzt mit der Krypto-Migration beginnen, sensible Daten klassifizieren und Anbieter konsequent danach auswählen, wie sie auf Post-Quantum reagieren.
Häufige Fragen
Wasacon in Ihrer Region
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Krypto-Migration & Passwortmanagement absichern?
Wasacon analysiert Ihre eingesetzten Verschlüsselungsverfahren, identifiziert Harvest-Now-Risiken und erstellt eine umsetzbare Roadmap Richtung Post-Quantum-Kryptografie.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Mehr aus dieser Themenwelt
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
