Was der HAWK-Rückzug für die PQC-Migration bedeutet

30. Juli 2026

EN | DE

HAWK ist aus dem NIST-Standardisierungsverfahren ausgeschieden. Das Post-Quanten-Signaturverfahren hatte zwei Runden fachlicher Prüfung über zwei Jahre überstanden, bevor Anthropic diese Woche einen verbesserten Angriff zur Schlüsselwiederherstellung veröffentlichte, gefunden in etwa sechzig Stunden vom eingeschränkt verfügbaren Modell Claude Mythos Preview, bei rund 100.000 US-Dollar Rechenkosten. Das Verfahren wurde innerhalb eines Tages zurückgezogen.

Was der Angriff leistet

Die Sicherheit von HAWK beruht auf dem Lattice Isomorphism Problem. Die besten klassischen Angriffe arbeiten damit, Automorphismus-Symmetrien im Gitter zu finden. Mythos hat eine Symmetrie gefunden, die die bisherige Analyse ungenutzt gelassen hatte. Das Ergebnis halbiert das Sicherheitsniveau des Verfahrens in etwa. Der Angriffscode stellt Schlüssel innerhalb von Stunden gegen die Challenge-Instanz wieder her, die die Entwickler von HAWK zur gegnerischen Prüfung veröffentlicht hatten. Gegen die vorgeschlagenen Einsatzparameter bleibt der Angriff exponentiell.

Der Schaden ist wirtschaftlich. Eine Verdopplung der Schlüsselgrößen würde den Sicherheitsabstand wiederherstellen, und Effizienz war der gesamte Grund für die Existenz von HAWK. Sophie Schmieg von Google sagt es direkt: „Basically with this paper, HAWK is dead.“

Die Methode ist wichtiger als das Ziel. Die Durchsicht von Matthew Green weist darauf hin, dass der Angriff keine neue Mathematik enthält. Er setzt bekannte Werkzeuge aus der Literatur gründlicher zusammen, als es ein menschliches Team getan hatte. Ein Mitarbeiter von Anthropic ohne kryptographische Ausbildung hat das Modell gesteuert. Literaturrecherche, mathematisches Schlussfolgern, rechnerische Experimente und eine durchgängige Verifikationspipeline liefen alle innerhalb der agentischen Umgebung.

Was der Angriff nicht leistet

Kein ausgerolltes System ist betroffen. HAWK war ein Kandidat. Der Angriff überträgt sich nicht auf Falcon (FN-DSA), das auf einem anderen schweren Problem beruht. ML-KEM, ML-DSA und SLH-DSA sind unberührt.

Das begleitende AES-Ergebnis ist kleiner, als die Schlagzeilen vermuten lassen. Es verbessert einen Meet-in-the-Middle-Angriff gegen eine Variante der Chiffre mit 7 Runden um einen konstanten Faktor gegenüber Arbeiten von 2012 und 2013. AES nach Spezifikation läuft mit 10 bis 14 Runden. Der Angriff benötigt etwa 2105 gewählte Klartexte und 289 Operationen, er existiert also auf dem Papier. Greens Einschätzung: interessante Technik, keine praktische Relevanz.

Was sich diese Woche geändert hat

Die Kostenstruktur der Kryptoanalyse. Der Entwurf von HAWK hat Jahre an Spezialistenarbeit verbraucht, aufbauend auf einem Jahrzehnt Gitterforschung. Der Angriff, der ihn beendet hat, kostete 100.000 US-Dollar und ein langes Wochenende. Dieser Preis fällt mit jeder Modellgeneration. Nur die Angriffsseite der Bilanz wird billiger.

Green zieht den nützlichen Schluss. Public-Key-Kryptographie hängt von einer kleinen Menge günstig strukturierter schwerer Probleme ab, und bei keinem davon sind genug Analystenstunden eingesetzt worden, um weitere Angriffe auszuschließen. Maschinelle Kryptoanalyse liefert diese Stunden in der Breite. Kandidaten werden nun schneller und gründlicher belastet, als es die menschliche Prüfung je geschafft hat. Ein Verfahren, das dieses Umfeld übersteht, verdient mehr Vertrauen als eines, das Kommissionen überstanden hat. Dass HAWK vor dem Ausrollen gebrochen wird, zeigt das Verfahren bei der Arbeit.

Was das für die Migrationsplanung bedeutet

Die Algorithmenauswahl ist gerade vorläufiger geworden. Ein Kandidat der dritten Runde hat seinen Stand in einem Nachrichtenzyklus verloren. Die Standards, die Sie heute ausrollen, ML-KEM und ML-DSA, haben eine tiefere Analyse hinter sich, und sie beruhen weiterhin auf Gitterannahmen, die die maschinelle Prüfung weiter abklopfen wird. BSI TR-02102-1 verlangt aus diesem Grund hybriden Schlüsselaustausch: eine klassische Komponente schützt Sie, wenn die Post-Quanten-Komponente früh ausfällt.

Der dauerhafte Wert in diesem Umfeld ist die Fähigkeit zum Austausch. Eine Organisation, die weiß, welche Algorithmen wo laufen, auf jedem Protokoll und jedem Port, kann ein Verfahren ersetzen, wenn die Literatur sich bewegt. Eine Organisation ohne dieses Inventar kann das nicht, bei keinem Budget. [PQ]probe misst die erste Bedingung: was ausgerollt ist, wo, und ob der Verlauf gegen Ihre Frist hält. Die Zeitpläne von CNSA 2.0 und BSI sind unverändert, und das Tempo der kryptoanalytischen Prüfung um sie herum hat zugenommen.

Quellen:

← Alle [PQ]files