⚛️ quantum physics

Cyber Risk Scoring with QUBO: A Quantum and Hybrid Benchmark Study

Diese Studie stellt ein skalierbares QUBO-Modell zur quantitativen Bewertung von Cyberrisiken vor und zeigt durch einen umfassenden Vergleich, dass hybride Quanten-Klassische-Lösungen aufgrund ihrer besseren Skalierbarkeit und Lösungssuche im Vergleich zu reinen Quanten-Annealing-Ansätzen vielversprechend für komplexe Infrastrukturen sind.

Ursprüngliche Autoren: Remo Marini, Riccardo Arpe

Veröffentlicht 2026-04-22

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Remo Marini, Riccardo Arpe

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🛡️ Cyber-Risiko: Ein Quanten-Experiment zur Sicherheit von IT-Systemen

Stellen Sie sich ein riesiges, modernes Unternehmen wie einen riesigen, lebendigen Organismus vor. Dieses „Gehirn" besteht aus Tausenden von Computern, Servern und Netzwerken, die alle miteinander verbunden sind. Das Problem? Wenn eine kleine Zelle (ein Computer) infiziert wird, kann sich das Virus über die Nervenbahnen (das Netzwerk) ausbreiten und das ganze System lahmlegen.

Bisher haben Sicherheits-Experten oft wie Stempelführer gearbeitet: Sie haben einzelne Computer einzeln geprüft und gesagt: „Der hier ist sicher, der dort ist gefährlich." Aber das ignoriert, wie alles zusammenhängt. Wenn der Chef-Computer infiziert ist, ist es egal, wie sicher die Schreibtisch-Computer sind – das Risiko springt über.

Diese Studie von Remo Marini und Riccardo Arpe fragt: Wie können wir das Risiko für das ganze System berechnen, wenn alles miteinander vernetzt ist? Und können wir dabei die neue, magische Technologie des Quantencomputers nutzen?

1. Das Problem: Das Labyrinth der Verbindungen

Stellen Sie sich das IT-Netzwerk als ein riesiges, dunkles Labyrinth vor.

Die alten Methoden: Sie gehen durch das Labyrinth und schauen nur auf die Wände direkt neben sich. Sie sehen nicht, dass eine Tür im dritten Stock zu einer Falle führt, die Sie von hier aus nicht sehen können.
Das neue Modell (QUBO): Die Forscher haben eine mathematische Landkarte erstellt, die alle Türen, Gänge und Fallen gleichzeitig betrachtet. Sie nennen dies QUBO (eine Art mathematisches Puzzle, bei dem man die beste Lösung sucht, indem man den „Energieverbrauch" minimiert).

In diesem Modell hat jeder Computer einen „Risiko-Wert". Aber dieser Wert ändert sich, je nachdem, wer sein Nachbar ist. Ein sicherer Computer neben einem unsicheren wird automatisch riskanter, weil das Risiko „überspringen" kann.

2. Der Test: Ein simuliertes IT-Universum

Um ihr Modell zu testen, bauten die Forscher eine simulierte Welt mit 255 Computern (später bis zu 800).

Es gab verschiedene Ebenen: Schreibtisch-PCs, Server, Datenbanken und dazwischen Sicherheits-Feuerwände (wie Schutzwälle).
Sie steckten einen „Bösen" (einen infizierten Computer) hinein.
Das Ergebnis: Das Modell zeigte etwas Überraschendes. Das Risiko breitete sich nicht nur direkt zu den Nachbarn aus, sondern nahm krumme, unsichtbare Pfade. Es fand Wege durch das System, die mit bloßem Auge nicht zu sehen waren, genau wie ein Virus, der durch Lüftungsschächte wandert, statt durch die Haupttüren.

3. Der Wettlauf: Wer findet den besten Weg?

Jetzt kam der spannende Teil: Wer kann dieses riesige mathematische Puzzle am besten lösen? Die Forscher ließen drei Teams gegeneinander antreten:

Team A: Der klassische Rechner (Der erfahrene Wanderer)
- Wie es funktioniert: Ein normaler Computer läuft durch das Labyrinth, probiert Wege aus, merkt sich, wo es Sackgassen gab, und sucht weiter.
- Ergebnis: Bei kleinen Labyrinthen ist er super schnell. Aber je größer das Labyrinth wird, desto mehr Zeit braucht er. Bei 800 Computern wird er langsam müde und steckenbleiben.
Team B: Der Quanten-Annealer (Der magische Tunnelbauer)
- Wie es funktioniert: Ein Quantencomputer nutzt „Quanten-Tunneln". Statt über einen Berg klettern zu müssen, gräbt er sich direkt hindurch. Theoretisch sollte er das Labyrinth in Sekunden durchqueren.
- Das Problem: Der Quantencomputer hat eine sehr seltsame Bauweise. Seine „Tunnel" sind nicht überall verbunden. Um das IT-Puzzle darauf zu legen, muss man es erst in eine Form „verpacken" (ein sogenanntes Embedding). Das ist wie der Versuch, einen riesigen Elefanten in einen kleinen VW Käfer zu zwängen.
- Ergebnis: Bei kleinen Puzzles funktioniert es gut. Aber sobald das Netzwerk zu groß und zu dicht wird, platzt der „Elefanten-Käfer". Der Quantencomputer schafft es gar nicht erst, das Problem zu sehen.
Team C: Das Hybrid-Team (Der kluge Manager mit dem Magier)
- Wie es funktioniert: Hier arbeiten beide zusammen. Der klassische Computer macht den schweren, langweiligen Teil der Arbeit. Wenn es an einer besonders schwierigen Stelle (einem tiefen Tal im Labyrinth) hakt, ruft er kurz den Quantencomputer, der mit seinem Tunneln einen schnellen Weg findet.
- Ergebnis: Der große Gewinner! Das Hybrid-Team ist schnell, schafft auch die großen Labyrinthe (bis 800 Knoten) und findet Lösungen, die stabiler und sicherer sind als die des klassischen Wanderers.

4. Die wichtigste Entdeckung: Stabilität

Die Forscher machten einen weiteren Test: Sie ließen die Lösungen immer wieder neu berechnen (wie ein Pendel, das hin und her schwingt).

Die klassischen Lösungen wurden immer instabiler. Das Risiko stieg bei jeder Runde an, bis das ganze System „explodierte" (maximales Risiko).
Die Hybrid-Lösungen beruhigten sich. Sie fanden einen stabilen Zustand, in dem das System sicher bleibt, auch wenn man es immer wieder prüft.

Fazit: Was bedeutet das für uns?

Alles hängt zusammen: Cyber-Risiko ist nicht nur eine Summe von Einzelteilen. Es ist ein lebendiges System, das sich ausbreitet. Man muss das ganze Netz betrachten, nicht nur einzelne Computer.
Quanten ist noch nicht ganz bereit: Die reine Quanten-Technologie ist wie ein Rennwagen, der noch nicht auf der Straße fahren kann, weil die Brücken (die Hardware-Verbindungen) noch zu schmal sind.
Die Hybrid-Lösung ist der Schlüssel: Die beste Strategie heute ist eine Mischung aus klassischer Rechenkraft und quanten-magischen Tricks. Das ist wie ein Team aus einem erfahrenen Piloten und einem Navigator mit einer futuristischen Karte.

Kurz gesagt: Diese Studie zeigt uns, wie wir in Zukunft nicht nur einzelne Computer schützen, sondern das gesamte digitale Ökosystem verstehen und stabilisieren können – und dass die Zukunft der Sicherheit in der Zusammenarbeit von klassischer und Quanten-Technologie liegt.

1. Problemstellung

Die Bewertung von Cyberrisiken in komplexen IT-Infrastrukturen ist aufgrund der dynamischen und vernetzten Natur digitaler Systeme eine enorme Herausforderung. Herkömmliche Methoden leiden unter folgenden Mängeln:

Statische und qualitative Ansätze: Viele Organisationen verlassen sich auf Checklisten oder subjektive Ratings (niedrig/mittel/hoch), die inkonsistent sind und keine systemischen Abhängigkeiten erfassen.
Fehlende Skalierbarkeit: Standardisierte Systeme wie CVSS bewerten einzelne Schwachstellen, ignorieren aber die Netzwerktopologie und die Ausbreitung von Risiken zwischen Komponenten.
Unterschätzung systemischer Vulnerabilitäten: Reale Infrastrukturen zeigen, dass Risiken durch Interaktionen von Komponenten entstehen und sich über Kontroll- und Informationsflüsse ausbreiten. Ohne die Erfassung dieser Interdependenzen werden kaskadierende Ausfälle und systemische Schwachstellen unterschätzt.
Skalierungsprobleme bei klassischen Optimierungen: Mit wachsender Infrastruktur explodiert die Anzahl der Abhängigkeiten, was eine brute-force-Modellierung rechnerisch prohibitiv macht.

2. Methodik

Die Autoren schlagen einen vollständig quantitativen Ansatz vor, der auf Quadratic Unconstrained Binary Optimization (QUBO) basiert. Dieser Ansatz ist kompatibel mit klassischem Rechnen, Quanten-Annealing und hybriden Workflows.

Infrastruktur-Modell:

Es wurde eine realistische, mehrschichtige IT-Architektur mit 255 Knoten (Workstations, Netzwerkkomponenten, Server, Datenbanken und Sicherheits-Schichten) simuliert.
Jeder Knoten erhält einen initialen Risikoscore (IS) und Attribute wie „Internet-Exposure" oder „Fehlende Updates".
Die Topologie ist flexibel und erlaubt die Modellierung von Sicherheitsbarrieren (z. B. Firewalls) zwischen den Schichten.

QUBO-Formulierung:
Das Ziel ist die Minimierung einer Hamilton-Funktion $H(x)$ , die als gewichtete Summe von fünf Komponenten definiert ist:
$H = \lambda_1 H_1 + \lambda_2 H_2 + \lambda_3 H_3 + \lambda_4 H_4 + \lambda_5 H_5$

$H_1$ (Stabilität): Straft große Abweichungen vom initialen Risikoscore eines Knotens ab.
$H_2$ (Konnektivität): Bestraft Knoten mit vielen Verbindungen, da diese inhärent riskanter sind.
$H_3$ (Nachbar-Einfluss): Sorgt dafür, dass der finale Score eines Knotens vom Durchschnitt der Scores seiner Nachbarn beeinflusst wird (Risikoverbreitung).
$H_4$ (Exposure-Strafe): Bestraft Verbindungen zwischen Knoten mit kritischen Exposure-Flags (z. B. nicht gepatcht oder internet-exponiert).
$H_5$ (Kritische Knoten): Isolierender Term, der starke Abnahmen bei bereits hochriskanten Knoten (IS $\ge$ 7) bestraft, um zu verhindern, dass diese fälschlicherweise als sicher eingestuft werden.

Lösungsverfahren (Solver):
Der Vergleich umfasste drei Ansätze, die auf der D-Wave-Cloud-Plattform getestet wurden:

Klassisch: Tabu-Suche (Metaheuristik), die lokale Minima durch Gedächtnismechanismen zu vermeiden versucht.
Quantum: Reines Quanten-Annealing (QPU), das Quantenfluktuationen nutzt, um Energiebarrieren zu durchtunneln.
Hybrid: Eine Kombination, bei der der Großteil der Optimierung klassisch erfolgt, während schwierige Teilprobleme an den Quanten-Annealer delegiert werden, um die Embedding-Beschränkungen zu umgehen.

3. Wichtige Beiträge

Ein generalisierbares QUBO-Modell: Entwicklung eines rigorosen, justierbaren Modells, das lokale Schwachstellen, Netzwerktopologie und Risikoverbreitung in einer einzigen mathematischen Formulierung vereint.
Erster Benchmark-Vergleich: Der erste umfassende Vergleich von klassischen, reinen Quanten- und hybriden Solvern für Cyber-Risk-Scoring in großem Maßstab (bis zu 800 Knoten).
Stabilitätsanalyse: Einführung einer rekursiven Minimierungsmethode, um die Stabilität der gefundenen Lösungen zu testen (ob sich das System bei wiederholter Optimierung stabilisiert oder divergiert).
Erkennung nicht-trivialer Pfade: Demonstration, dass das Modell Risikoverbreitungspfade identifiziert, die für visuelle Inspektionen unsichtbar sind.

4. Ergebnisse

Risikoverteilung und Dynamik:

Das Modell zeigt, dass sich Risiken tendenziell auf zentrale, stark vernetzte Knoten konzentrieren.
In einem Baseline-Szenario wird das Risiko durch das Netzwerk „ausgeglichen": Hochriskante Knoten werden etwas sicherer, während ihre Nachbarn ein leicht erhöhtes Risiko tragen. Dies führt zu einer homogenisierten Risikolandschaft.
In einem „gestressten" Szenario (verstärkte Konnektivität eines kritischen Knotens) entstehen sekundäre Hotspots und nicht-triviale Ausbreitungswege, die durch die Topologie bedingt sind und nicht durch lokale Attribute allein erklärbar sind.

Skalierbarkeit und Solver-Leistung:

Klassisch (Tabu-Suche): Funktioniert effizient bei kleinen bis mittleren Instanzen, zeigt aber bei wachsender Dichte und Größe (bis 800 Knoten) eine fast exponentielle Laufzeitsteigerung.
Quantum (Rein): Scheitert bereits bei ca. 50 Knoten. Der Grund ist nicht die Annealing-Zeit selbst, sondern das Embedding: Die Abbildung der hochvernetzten QUBO-Probleme auf die eingeschränkte Hardware-Topologie (Pegasus-Graph) ist ein NP-hartes Problem und wird zum Flaschenhals.
Hybrid: Zeigt die vielversprechendste Skalierbarkeit. Da nur Teilprobleme an die QPU gesendet werden, bleibt die Laufzeit stabil und unabhängig von der Problemgröße (innerhalb des vom Nutzer definierten Zeitbudgets).

Stabilitätsanalyse (Rekursive Minimierung):

Klassische Lösungen: Neigen dazu, bei wiederholter Minimierung zu divergieren. Der mittlere Risikoscore steigt iterativ an, bis das gesamte Netzwerk das Maximum erreicht. Dies deutet auf das Finden von instabilen, flachen Minima hin.
Hybride Lösungen: Finden häufig stabile Konfigurationen, bei denen sich das System bei wiederholter Minimierung nicht weiter verändert. Dies legt nahe, dass hybride Solver tiefere, robustere Minima im Energielandschaftsraum finden.

5. Bedeutung und Fazit

Praktische Machbarkeit: QUBO ist ein viable Framework für Cyber-Risk-Scoring, das systemische Vulnerabilitäten dynamisch und quantitativ erfasst.
Rolle der Quantentechnologie: Unter aktuellen Hardware-Beschränkungen ist reines Quanten-Annealing für dichte Cyber-Risk-Probleme aufgrund des Embedding-Overheads noch nicht überlegen.
Empfehlung: Hybride Quanten-Klassische Solver stellen die derzeit praktikabelste Option dar. Sie kombinieren die Skalierbarkeit klassischer Methoden mit der verbesserten Exploration des Lösungsraums durch Quantenfluktuationen, was zu stabileren und konservativeren (sichereren) Risikobewertungen führt.
Zukunftsperspektiven: Das Modell ist flexibel genug, um auf verschiedene Infrastrukturen (IoT, Cloud, CPS) angewendet zu werden. Zukünftige Arbeiten sollten reale Produktionsdaten einbeziehen und die Integration mit Echtzeit-Monitoring-Systemen untersuchen.

Zusammenfassend demonstriert die Studie, dass hybride Ansätze den aktuellen Stand der Technik für die skalierbare und robuste Bewertung von Cyberrisiken in komplexen Netzwerken darstellen, wobei reine Quantenansätze noch durch Hardware-Limitationen eingeschränkt sind.