NIST-Kandidat verlor in 60 Stunden die Hälfte seiner Sicherheit

Sechzig Stunden gegen zwei Jahre Prüfung

Am 27. Juli veröffentlichte Anthropic die Ergebnisse eines Forschungslaufs, in dem das Modell Claude Mythos Preview auf HAWK angesetzt wurde, ein Post-Quanten-Signaturverfahren in der dritten Runde der NIST-Suche nach zusätzlichen Signaturalgorithmen. HAWK war seit zwei Jahren öffentlich und hatte zwei vollständige Runden fachlicher Kryptoanalyse überstanden, ohne dass jemand einen besseren Angriff fand. Claude fand einen in etwa 60 Stunden.

Die Zahlen sind konkret. Für HAWK-256 sinken die erwarteten Kosten eines Schlüsselwiederherstellungsangriffs von 2^64 auf 2^38 Operationen, weil Claude eine Symmetrie in der Gitterstruktur fand, die kein Prüfer genutzt hatte. Anthropic beziffert die Rechnung auf rund 100.000 Dollar, etwa 85.000 Euro an API-Gebühren, und schreibt, einer der Forscher habe eine Woche lang mit dem Modell daran gearbeitet.

Ein zweiter Forscher baute ein Gerüst, das Claude drei Tage lang unbeaufsichtigt gegen AES laufen ließ. Heraus kam ein Meet-in-the-Middle-Angriff auf die Sieben-Runden-Version von AES-128, der zwischen 200- und 800-mal schneller läuft als der bisher beste, mit einer Fingerabdrucktechnik, die das Modell Möbius Bridge nannte. Anthropic hält ausdrücklich fest, dass keines der Ergebnisse heutige Systeme betrifft.

Was tatsächlich brach und was nicht

Nichts, was Sie heute betreiben, ist schwächer als vergangene Woche. HAWK ist ein Kandidat, kein Standard, und wird nirgends eingesetzt. Das AES-Ergebnis greift eine bewusst reduzierte Variante mit sieben Runden an, während das vollständige AES-128 zehn Runden hat und unberührt bleibt. Anthropic schreibt selbst, dass sich dadurch keine Produktivsoftware ändern muss und eine Skalierung des AES-Angriffs weiterhin Hunderte Millionen Dollar kosten würde.

Der Rest der Ausbeute zeigt die Spannweite. Mythos lieferte außerdem einen praktischen Angriff auf LEA mit 13 Runden, der weniger als 2^30 bekannte Klartexte braucht und in unter einer Stunde läuft, eine vollständige Schlüsselwiederherstellung gegen Serpent-128 mit sechs Runden sowie kleinere Verbesserungen von unter dem Zehnfachen gegen Salsa20, Poseidon und SHA-1. Menschliche Kryptografen brauchten mehrere Hundert Stunden, um die AES-Arbeit zu bestätigen.

Ein Detail lohnt sich zu behalten. Claude verweigerte die AES-Aufgabe zunächst und erklärte den Forschern, Angriffe auf AES seien nicht möglich; der neue Ansatz erschien erst, nachdem sie es zum Weitermachen drängten. Zurück kam keine Wiedergabe veröffentlichter Kryptoanalyse, sondern ein Verfahren, das niemand kannte. Genau deshalb musste es von Hand geprüft werden.

Die Reparatur nimmt den Grund für die Auswahl

Hier folgt der Teil, der nicht in der Ankündigung steht. NIST hob HAWK im Mai aus zwei genannten Gründen in die dritte Runde: kompakte Signaturen und algorithmische Vielfalt, da es auf anderen Annahmen beruht als ML-DSA und FN-DSA. Anthropics angegebene Abhilfe gegen den neuen Angriff lautet, HAWK müsse seine vorgeschlagenen Schlüsselgrößen verdoppeln, um das angestrebte Sicherheitsniveau zu halten.

Das Verdoppeln der Schlüsselgrößen verbraucht genau die Kompaktheit. Ein Verfahren, das wegen seiner geringen Größe weiterkam und dann doppelt so groß wird, konkurriert auf dem Feld, das es vermeiden sollte. Auch der Zeitplan ist eng: Die dritte Runde läuft etwa zwei Jahre, und aktualisierte Einreichungen sind am 14. August 2026 fällig, siebzehn Tage nach der Veröffentlichung dieses Ergebnisses.

Der weitere Punkt überdauert HAWK. Seine Sicherheitsannahme beruhte auf vergangener Prüfzeit, zwei Jahre und zwei Runden ohne besseren Angriff, und dieser Nachweis fiel für ungefähr den Preis eines mittelgroßen Penetrationstests. Zwei Jahre Prüfzeit gegen sechzig Stunden Maschinenarbeit. Prüfzeit war immer ein Hilfsmaß für Sorgfalt, und sie ist kein verlässliches mehr.

Wovon ein Migrationsplan 2026 jetzt ausgehen sollte

Halten Sie produktive Migrationen innerhalb des standardisierten Satzes. ML-KEM, ML-DSA und SLH-DSA sind veröffentlichte Standards; die zusätzlichen Signaturkandidaten einschließlich HAWK sind es nicht, und NISTs eigener Zeitplan setzt endgültige Standards für sie etwa auf 2028 bis 2030. Nichts aus dem laufenden Auswahlverfahren gehört in einen Plan, den Sie dieses Jahr umsetzen.

Kalkulieren Sie den Austausch ein, nicht die Auswahl. Das entscheidende Ergebnis ist ein Verzeichnis, wo jeder Algorithmus in Ihrer Landschaft tatsächlich sitzt, samt der Fähigkeit, einen davon ohne Neubau zu ersetzen, denn verändert hat sich diese Woche das Tempo, mit dem eine Sicherheitsschätzung kippen kann. Das BSI benennt in seinen technischen Richtlinien bereits die Verfahren, die es für geeignet hält, und HAWK zählt nicht dazu.

Fragen Sie Ihre Lieferanten, auf welches Verfahren sie sich in Firmware und in Hardware-Sicherheitsmodulen festgelegt haben, denn dort ist der Austausch am langsamsten. In Software ist ein herabgestufter Algorithmus eine Konfigurationsänderung. Fest in ein Gerät mit sieben Jahren Austauschzyklus eingebrannt, wird dieselbe Herabstufung zu einem Beschaffungsproblem, das Sie noch lange begleitet.

Weiterlesen: Der Crawler-Block hat Ihre Chats veröffentlicht  |  Eine Nachricht erreichte die SSH-Schlüssel