Einführung in Post-Quantum-Cryptography: Grundlagen, Algorithmen und erste Schritte

Das Wichtigste im Überblick

• Betroffen sind die quantenanfälligen asymmetrischen Verfahren. RSA und klassisches Diffie-Hellman lassen sich mit einem hinreichend großen, fehlerkorrigierten Quantencomputer brechen (Quelle: Shor, Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms); für ECDH, ECDSA und EdDSA auf elliptischen Kurven gilt dasselbe, gezeigt von Proos und Zalka (Quelle: Proos/Zalka, 2003). Symmetrische Verfahren und Hashfunktionen bleiben nutzbar, weil für sie kein Shor-artiger Angriff existiert: Der Grover-Algorithmus beschleunigt nur die unstrukturierte Suche und senkt die Sicherheitsstärke asymptotisch von 2 hoch k auf etwa 2 hoch k halbe (Quelle: Grover, A fast quantum mechanical algorithm for database search). Das BSI empfiehlt AES mit 128, 192 und 256 Bit sowie SHA-256, SHA-512/256, SHA-384, SHA-512, SHA3-256, SHA3-384 und SHA3-512, die NSA verlangt für National Security Systems AES-256 und SHA-384 oder SHA-512 (Quellen: BSI, TR-02102-1, Version 2026-01, Tabellen 3.1 und 4.1; NSA, CNSA 2.0 FAQ).
• Drei Standards sind final. NIST hat FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) am 13. August 2024 veröffentlicht; in Kraft sind sie seit dem 14. August 2024 (Quellen: NIST, FIPS 203; Federal Register vom 14.08.2024). Weitere Standards sind in Arbeit, darunter FIPS 206 für FN-DSA und ein zusätzlicher KEM auf Basis von HQC (Quellen: NIST, Post-Quantum Cryptography News; NIST, Auswahl von HQC).
• Die Dringlichkeit ist bei der Schlüsseleinigung höher als bei kurzlebigen Signaturen. Ein heute mitgeschnittener Datenstrom kann später entschlüsselt werden, sobald ein kryptografisch relevanter Quantencomputer verfügbar ist; Mosca hat daraus die Rechnung aus Schutzdauer und Migrationsdauer abgeleitet (Quelle: Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy 16(5), 2018). Bei Signaturen mit kurzer Lebensdauer entsteht erst dann Schaden, wenn die Hardware existiert. Langlebige Signaturen in Firmware, Secure Boot, Codesignatur, Wurzelzertifikaten und archivierten Dokumenten müssen dagegen früh migriert werden, weil sich Vertrauensanker nicht kurzfristig austauschen lassen.
• Die Zieltermine liegen als Empfehlung vor. Das BSI empfiehlt den alleinigen Einsatz klassischer Schlüsseleinigungsverfahren nur noch bis Ende 2031; für Anwendungen mit sehr hohem Schutzbedarf soll die Umstellung bereits bis Ende 2030 erfolgen. Klassische Signaturverfahren werden nach aktuellem Kenntnisstand voraussichtlich nur bis Ende 2035 empfohlen. Gemeint ist der Übergang zu hybriden Verfahren, nicht das Abschalten (Quellen: BSI, TR-02102-1, Version 2026-01, Abschnitt 2.1; BSI, Pressemitteilung vom 11.02.2026). Die Roadmap der EU-Mitgliedstaaten sieht für Hochrisiko-Anwendungen eine Umstellung bis Ende 2030 vor (Quelle: EU-Kommission, Roadmap).
• Ein Teil ist bereits passiert. Wer aktuelle Browser, OpenSSH oder OpenSSL ab 3.5 einsetzt, nutzt in vielen Verbindungen bereits eine hybride Schlüsselaushandlung aus X25519 und ML-KEM, kein reines ML-KEM (Quelle: OpenSSL 3.5). OpenSSH verhandelt seit Version 9.0 standardmäßig hybrid, seit Version 10.0 ist die ML-KEM-Variante der Standard (Quellen: OpenSSH 9.0; OpenSSH 10.0). Post-quantensicher ist damit der Schlüsselaustausch. Zertifikate und Signaturen im Web sind weiterhin klassisch.

Was ist Post-Quantum-Cryptography?

Post-Quanten-Kryptografie, englisch Post-Quantum Cryptography, bezeichnet kryptografische Verfahren, die auf mathematischen Problemen beruhen, für die auch mit einem Quantencomputer kein effizienter Lösungsweg bekannt ist. Sie laufen auf gewöhnlicher Hardware und benötigen keine besondere Physik, werden aber ebenso in Hardware-Sicherheitsmodulen, Chipkarten und Beschleunigern umgesetzt. Der auffälligste Praxisunterschied sind die Größen: Schlüssel und Signaturen werden deutlich größer, was Protokolle, Speicher und Hardware betrifft.

Damit unterscheidet sie sich von der Quantenkryptografie. Deren praktisch relevante Anwendung ist die Quantenschlüsselverteilung (Quantum Key Distribution, QKD): Zwei Stationen vereinbaren über physikalische Eigenschaften einzelner Photonen einen gemeinsamen Schlüssel, wofür eigene optische Strecken nötig sind. QKD überträgt keinen vorhandenen Schlüssel und leistet keine Signaturen, sondern ausschließlich Schlüsselaustausch. Die beiden Begriffe werden häufig verwechselt. Für Unternehmen ist in nahezu allen Fällen Post-Quanten-Kryptografie die richtige Antwort. Eine ausführliche Gegenüberstellung finden Sie im Beitrag Post-Quantum-Kryptografie oder Quantenkryptografie.

Die mathematischen Grundlagen sind unterschiedlich, aber nicht gleich verteilt. Die beiden Primärverfahren ML-KEM und ML-DSA beruhen beide auf Gitterproblemen. Als Alternativen mit anderer Grundlage stehen SLH-DSA für Signaturen und HQC für die Schlüsseleinigung bereit, hashbasiert beziehungsweise codebasiert; FrodoKEM beruht ebenfalls auf Gittern, allerdings auf unstrukturierten, und gilt dem BSI deshalb als die konservativere Wahl (Quelle: BSI, TR-02102-1, Version 2026-01, Abschnitt 2.4.1). Das codebasierte Classic McEliece führt die Technische Richtlinie weiterhin mit empfohlenen Parametersätzen; am 1. Oktober 2026 hat das BSI jedoch ergänzt, es derzeit nicht für Neuentwicklungen zu verwenden: Fortschritte in der Kryptoanalyse deuten auf ein wesentlich geringeres Sicherheitsniveau als bislang angenommen hin, ein praktischer Angriff auf die empfohlenen Parametersätze ist aktuell noch nicht möglich, und die Aussagen der Technischen Richtlinie dazu sollen Anfang 2027 überarbeitet werden (Quelle: BSI, Meldung vom 01.10.2026). Multivariate Verfahren stehen nicht gleichwertig daneben, weil es dafür keinen NIST-Standard gibt: Der Kandidat Rainbow und das isogeniebasierte SIKE wurden 2022 mit klassischen Angriffen gebrochen. Fällt eine Grundlage weg, gibt es also Ausweichverfahren, aber keinen gleichwertigen Ersatz in derselben Reife.

Warum sind RSA und ECC gefährdet, AES aber nicht?

Die Antwort liegt in zwei Quantenalgorithmen mit sehr unterschiedlicher Wirkung.

Der Shor-Algorithmus löst Faktorisierung und diskrete Logarithmen auf einem hinreichend großen, fehlerkorrigierten Quantencomputer in polynomieller Zeit, während klassische Verfahren dafür exponentiellen Aufwand benötigen (Quelle: Shor, Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms). Darauf beruhen RSA und Diffie-Hellman; die Übertragung auf elliptische Kurven und damit auf ECDH, ECDSA und EdDSA haben Proos und Zalka gezeigt (Quelle: Proos/Zalka, 2003). Längere Schlüssel helfen hier nicht: Der Aufwand des Quantenangriffs wächst nur polynomiell mit der Schlüssellänge. Die offene Frage ist die Hardware und dafür liegen Ressourcenschätzungen vor, etwa unter einer Million verrauschter Qubits für RSA-2048 (Quelle: Gidney, arXiv:2505.15917, 21.05.2025).

Der Grover-Algorithmus beschleunigt die Suche in unstrukturierten Suchräumen quadratisch (Quelle: Grover, A fast quantum mechanical algorithm for database search). Bei symmetrischen Verfahren sinkt die Suchkomplexität asymptotisch von 2 hoch k auf etwa 2 hoch k halbe, als Faustregel also eine halbierte Brute-Force-Sicherheitsstärke. Als Praxisaussage ist das zu einfach: Grover lässt sich schlecht parallelisieren, eine sequenzielle Ausführung wäre nicht durchführbar und mehr Parallelität erhöht die Gesamtkosten. NIST rechnet deshalb nicht damit, im Rahmen der Post-Quanten-Migration von den symmetrischen Standards abrücken zu müssen, und führt AES-128 weiterhin mit 128 Bit Sicherheitsstärke in Kategorie 1 (Quelle: NIST IR 8547, Entwurf vom 12.11.2024). Das BSI empfiehlt AES mit 128, 192 und 256 Bit sowie SHA-256, SHA-512/256, SHA-384, SHA-512, SHA3-256, SHA3-384 und SHA3-512; die NSA legt sich für National Security Systems auf AES-256 und SHA-384 oder SHA-512 fest (Quellen: BSI, TR-02102-1, Version 2026-01, Tabellen 3.1 und 4.1; NSA, CNSA 2.0 FAQ).

Quellen: Shor; Grover; BSI, TR-02102-1, Version 2026-01; NSA, CNSA 2.0 FAQ

Praktisch heißt das: Die Aufgabe konzentriert sich auf Schlüsseleinigung und Signaturen. Die Verschlüsselung des eigentlichen Datenstroms bleibt, wie sie ist.

Was bedeutet „harvest now, decrypt later“?

Der Begriff beschreibt ein Angreiferverhalten: verschlüsselten Datenverkehr heute mitschneiden und speichern, um ihn später zu entschlüsseln, sobald ein kryptografisch relevanter Quantencomputer verfügbar ist. Wie dringlich das für eine Organisation ist, beantwortet die Ungleichung von Mosca: Schutzdauer der Daten plus Migrationsdauer gegenüber der Zeit bis zu einem solchen Rechner (Quelle: Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy 16(5), 2018).

Ein öffentlich dokumentierter, forensisch belegter Fall ist nicht bekannt. Das hat zwei Gründe: Das Mitschneiden hinterlässt beim Opfer keine Spur, und der Entschlüsselungsschritt setzt einen Rechner voraus, den es noch nicht gibt. Drei Beobachtungen stützen das Szenario trotzdem, jede auf einer anderen Ebene.

• Die massenhafte staatliche Erfassung von Telekommunikation ist gerichtlich festgestellt. Das Bundesverfassungsgericht hat 2020 die Regelungen zur Ausland-Ausland-Fernmeldeaufklärung des Bundesnachrichtendienstes für verfassungswidrig erklärt; Gegenstand war die strategische Überwachung von Telekommunikationsverkehren in großem Umfang (Quelle: BVerfG, Urteil vom 19.05.2020, 1 BvR 2835/17). Der Europäische Gerichtshof für Menschenrechte hat 2021 das britische System zur massenhaften Erfassung von Kommunikation geprüft und in Teilen Verstöße gegen die Europäische Menschenrechtskonvention festgestellt (Quelle: EGMR, Große Kammer, Big Brother Watch und andere gegen Vereinigtes Königreich, 25.05.2021). Dass Verkehr in großem Umfang erfasst wird, ist damit festgestellt. Dass er zur späteren Entschlüsselung aufbewahrt wird, ist es nicht.
• Die Speicherkosten sind kein Ausschlussgrund. Ein Preprint in der ersten Fassung vom 1. März 2026, soweit ersichtlich nicht begutachtet, modelliert die vollständige Speicherung des globalen Internetverkehrs und kommt in Tabelle 2 für eine Erfassung von 100 Prozent auf 8.800 Exabyte jährlich und rund 107 Milliarden US-Dollar pro Jahr, im Text als Größenordnung von 10 hoch 11 US-Dollar (Quelle: Blanco-Romero et al., arXiv:2603.01091v1). Die Rechnung beruht auf kommerziellen Cloud-Preisen von 12,16 bis 14,74 US-Dollar pro Terabyte und Jahr, mit 5,25 US-Dollar pro Terabyte für Bandmedien als Untergrenze. Die Kosten für das Abgreifen des Verkehrs schließt die Arbeit ausdrücklich aus, um die reine Speicherung zu isolieren, und sie weist darauf hin, dass eine vollständige Erfassung die geschätzten Kapazitäten bekannter Einrichtungen wie des NSA-Rechenzentrums in Utah historisch übersteigt. Es handelt sich um eine Modellrechnung, nicht um einen Nachweis tatsächlicher Massenspeicherung.
• Die Behörden nennen das Szenario als Grund für eine frühe Migration. Das BSI schreibt in seiner Technischen Richtlinie, die Bedrohung sei für Daten mit längerfristigem Schutzbedarf schon heute relevant, „da verschlüsselte Daten bereits jetzt zur späteren Entschlüsselung gespeichert werden können (‚Store Now, Decrypt Later‘)“ (Quelle: BSI, TR-02102-1, Version 2026-01, Abschnitt 2.1). NIST begründet mit der Unsicherheit über den Zeitpunkt eines kryptografisch relevanten Quantencomputers den frühen Beginn der Umstellung (Quelle: NIST IR 8547, Entwurf).

Für die Praxis folgt daraus eine Reihenfolge. Beginnen Sie beim Schlüsselaustausch, und dort zuerst, wo Daten mit langer Schutzdauer über Netze oder Dienstleister laufen, die Sie nicht kontrollieren. Ebenso gehören Sicherungen und Archive dazu, deren Schlüssel asymmetrisch geschützt sind: Wird eine solche Sicherung kopiert oder entwendet, liegt sie beim Angreifer, bis die Entschlüsselung möglich wird. Die Signaturseite folgt danach, mit Ausnahme langlebiger Vertrauensanker in Firmware, Secure Boot und Codesignatur, die wegen ihrer Lebensdauer früh eingeplant werden. Ob eine Datenklasse in die erste Welle gehört, entscheidet die Rechnung aus Schutzdauer und Migrationsdauer; ein einzelnes Jahr genügt dafür nicht.

Welche Algorithmen gibt es und wofür sind sie gedacht?

Die Faustregel für den Einstieg: ML-KEM-768 für die Schlüsseleinigung, ML-DSA-65 oder ML-DSA-87 für Signaturen, LMS oder XMSS für Firmwaresignaturen. Das BSI empfiehlt ML-KEM-768 und ML-KEM-1024 sowie ML-DSA-65 und ML-DSA-87, jeweils in der „hedged“-Variante. Darüber hinaus führt es konservativere Alternativen zu den strukturierten Gittern: FrodoKEM-976 und FrodoKEM-1344 auf unstrukturierten Gittern und das codebasierte Classic McEliece mit den Parametersätzen mceliece460896, mceliece6688128 und mceliece8192128. Bei den Signaturen kommen SLH-DSA sowie die zustandsbehafteten Verfahren LMS/HSS und XMSS/XMSS-MT hinzu (Quelle: BSI, TR-02102-1, Version 2026-01, Tabellen 2.5 bis 2.7, 5.6 und 5.7). Für Classic McEliece gilt der Hinweis des BSI vom 1. Oktober 2026, es derzeit nicht für Neuentwicklungen einzusetzen (Quelle: BSI, Meldung vom 01.10.2026). Die quantensicheren Verfahren sollen hybrid eingesetzt werden, also in Kombination mit einem klassischen Verfahren, und das gilt für die Schlüsseleinigung wie für Signaturen. Hashbasierte Signaturen können bei sorgfältiger Implementierung auch allein verwendet werden (Quelle: BSI, TR-02102-1, Abschnitte 2.2 und 5.3.4).

Ein Unterschied fällt in der Praxis sofort auf: die Größen. Ein ECDSA-Schlüssel (P-256) misst 65 Byte, eine Signatur bis zu 72 Byte (Quellen: SEC 1; RFC 3279). Bei ML-DSA-65 sind es 1.952 Byte für den Schlüssel und 3.309 Byte für die Signatur (Quelle: NIST, FIPS 204). Beim Schlüsselaustausch fällt der Zuwachs geringer aus: ML-KEM-768 bringt 1.184 Byte öffentlichen Schlüssel und 1.088 Byte Chiffretext mit, gegenüber je 32 Byte bei X25519 (Quelle: NIST, FIPS 203). Bei Zertifikatsketten summieren sich Schlüssel und Signaturen mehrfach, was Datenmenge und Latenz im Verbindungsaufbau erhöht. Deshalb beginnt die Migration beim Schlüsselaustausch: Dort ist der Zuwachs beherrschbar, und dort liegt das Risiko der nachträglichen Entschlüsselung aus dem vorigen Abschnitt.

Was heißt Krypto-Agilität?

Krypto-Agilität ist die Fähigkeit, kryptografische Verfahren in Protokollen, Anwendungen, Software, Hardware, Firmware und Infrastrukturen zu ersetzen und anzupassen, ohne Sicherheit und Betrieb zu unterbrechen. So beschreibt es NIST im White Paper CSWP 39 vom 19. Dezember 2025, aktualisiert am 29. Juni 2026 (Quelle: NIST, CSWP 39upd1). Den Anlass liefert derzeit die Post-Quanten-Migration, weil sie einen Verfahrenswechsel in großer Breite erzwingt. Die Fähigkeit selbst ist davon unabhängig: Sie wird bei jedem künftigen Wechsel gebraucht, etwa wenn ein Verfahren abgekündigt wird oder sich Vorgaben ändern.

Praktisch bedeutet das fünf Dinge:

• Algorithmen stehen in der Konfiguration, nicht im Quellcode.
• Anwendungen nutzen zentrale Krypto-Bibliotheken statt eigener Implementierungen.
• Zertifikate werden automatisiert ausgestellt und erneuert.
• Es existiert ein Verzeichnis darüber, wo welches Verfahren im Einsatz ist.
• Ein Prozess erkennt neue Schwächen und löst den Austausch aus.

Diese Fähigkeit ist nicht nur für die Post-Quanten-Migration nützlich. Sie ist auch die Antwort auf die verkürzten Zertifikatslaufzeiten: Das CA/Browser Forum hat beschlossen, die maximale Laufzeit öffentlich vertrauenswürdiger TLS-Zertifikate auf 200 Tage seit März 2026, 100 Tage ab März 2027 und 47 Tage ab März 2029 zu senken (Quelle: CA/Browser Forum, Ballot SC-081v3). Und sie ist regulatorisch hinterlegt: Die Durchführungsverordnung (EU) 2024/2690 zu NIS2 verlangt in Anhang Ziffer 9.2 Buchstabe b, gegebenenfalls einem Ansatz der Krypto-Agilität zu folgen, im englischen Wortlaut „following, where appropriate, a cryptographic agility approach“, und in Ziffer 9.3 eine regelmäßige Überprüfung der Kryptografie-Richtlinie unter Berücksichtigung des Stands der Technik (Quelle: Durchführungsverordnung (EU) 2024/2690). Es handelt sich um eine technische und methodische Anforderung mit Angemessenheitsvorbehalt, nicht um eine ausnahmslose Pflicht, und sie gilt nur für die im nächsten Abschnitt genannten Kategorien von Anbietern.

Wer muss wann handeln?

Wichtig: Das BSI verbietet RSA und ECC nicht. Es empfiehlt, sie nicht mehr allein einzusetzen, sondern in Kombination mit einem Post-Quanten-Verfahren (Quellen: BSI, Pressemitteilung vom 11.02.2026; BSI, TR-02102-1, Version 2026-01, Abschnitt 2.1).

Für deutsche Unternehmen gibt es außerdem einen regulatorischen Weg, der über zwei Schritte führt. Erster Schritt: NIS2 verlangt über Artikel 21 Absatz 2 Buchstabe h, im deutschen Recht § 30 Absatz 2 Nummer 8 BSIG, Konzepte und Prozesse für den Einsatz kryptographischer Verfahren (Quellen: NIS2-Richtlinie; § 30 BSIG). Das deutsche Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, die Pflichten gelten seitdem (Quelle: BSI, Pressemitteilung vom 05.12.2025). Eine Pflicht zur Post-Quanten-Kryptografie steht weder in der Richtlinie noch im BSIG. Zweiter Schritt: Verlangt ist ein dokumentiertes Kryptografiekonzept nach dem Stand der Technik, und dieser Stand verschiebt sich gerade in Richtung quantensicherer Verfahren. Erst aus dieser Verschiebung ergibt sich die Relevanz von PQC, nicht aus dem Gesetzestext selbst. Konkretisiert wird die Anforderung durch die Durchführungsverordnung (EU) 2024/2690, die abschließend für bestimmte Kategorien gilt: Anbieter von DNS-Diensten, TLD-Namenregister, Cloud-Computing-, Rechenzentrums- und CDN-Dienste, Managed Service Provider und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter (Quelle: Durchführungsverordnung (EU) 2024/2690). Den Stand der Technik beschreibt in Deutschland BSI TR-02102-1 (Quelle: BSI, TR-02102-1, Version 2026-01).

Wie fangen Sie an?

1. Schutzdauer klären. Bestimmen Sie für Ihre wichtigsten Datenbestände, wie viele Jahre sie vertraulich bleiben müssen. Ob daraus Handlungsdruck entsteht, zeigt die Rechnung von Mosca: Schutzdauer plus Migrationsdauer gegenüber der Zeit bis zu einem kryptografisch relevanten Quantencomputer (Quelle: Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy 16(5), 2018; frei zugänglich als Preprint).
2. Bestand aufnehmen. Erfassen Sie, welche Algorithmen, Protokolle, Zertifikate und Bibliotheken wo im Einsatz sind. Nach unserer Projekterfahrung lohnt der Start in einem abgegrenzten Bereich: Wählen Sie ihn nach der Schutzdauer aus Schritt eins und danach, ob der Verkehr über Netze läuft, die Sie nicht kontrollieren.
3. Verantwortung benennen. Kryptografie hat in vielen Organisationen keinen Eigentümer. Ohne benannte Rolle bleibt das Thema erfahrungsgemäß liegen.
4. Lieferanten fragen. Drei Fragen an die wichtigsten Hersteller: Welche Post-Quantum-Algorithmen, ab welcher Version, ab welchem Datum.
5. Die einfachen Strecken umstellen. Aktualisieren Sie OpenSSL auf eine unterstützte Fassung ab 3.5 und OpenSSH möglichst auf Version 10 oder höher und aktivieren Sie den hybriden Schlüsselaustausch dort, wo Sie beide Seiten kontrollieren (Quelle: OpenSSL 3.5). Schon Version 9.0 verhandelt standardmäßig hybrid, allerdings mit sntrup761x25519, einem Verfahren außerhalb der NIST-Standardisierung (Quelle: OpenSSH 9.0). Seit Version 9.9 steht mlkem768x25519-sha256 zur Verfügung, seit Version 10.0 ist es der Standard; damit beruht der Schlüsselaustausch auf dem standardisierten ML-KEM nach FIPS 203 (Quellen: OpenSSH 9.9; OpenSSH 10.0; NIST, FIPS 203). Der Sicherheitsgewinn entsteht also bereits mit 9.0, die Standardkonformität erst mit 10.0.

Die Schritte eins bis vier kosten in vielen Fällen vor allem Arbeitszeit. In großen, heterogenen Umgebungen können für die Bestandsaufnahme Werkzeuge oder externe Unterstützung nötig werden. Schritt fünf kostet einen Wartungszyklus. Die teuren Teile kommen später: der Umbau der Signatur- und Zertifikatsinfrastruktur, der Austausch oder die Nachrüstung von Hardware-Sicherheitsmodulen und die Anpassung von Altanwendungen und Feldgeräten. Belastbar planen lassen sie sich, sobald die Schritte eins bis vier weit genug gediehen sind; auf ein vollständiges Inventar müssen Sie dafür nicht warten, kritische Systeme können Sie vorziehen.

Fazit: Post-Quantum-Kryptografie ist ein Infrastrukturprojekt

Post-Quanten-Kryptografie ist eine Eigenschaft, die Systeme über Jahre aufrechterhalten müssen, weil Verfahren weiter ausgetauscht werden. Infrastrukturprojekt heißt dabei: Die Arbeit liegt im Inventar, in den Prozessen und im Betrieb, nicht in der Einführung eines Produkts. Den größten Aufwand verursachen die Bestandsaufnahme, die Priorisierung und die Fähigkeit, Verfahren künftig ohne eigenes Projekt zu wechseln. Der Einstieg über die fünf Schritte in diesem Beitrag ist einfacher, als das Thema zunächst wirkt; für die Migration insgesamt gilt das nicht. Ein Teil der Umstellung ist mit Betriebssystem- und Bibliotheksaktualisierungen bereits geschehen.

Wie können die nächsten Schritte aussehen?

1. Eine Bestandsaufnahme. Prüfen Sie, welche OpenSSL- und OpenSSH-Versionen im Einsatz sind. Das ist nach unserer Erfahrung die schnellste verwertbare Aussage über Ihren Stand.
2. Die wichtigsten Datenklassen einordnen. Notieren Sie für Ihre wichtigsten Datenbestände die geforderte Schutzdauer in Jahren und stellen Sie sie der geschätzten Migrationsdauer gegenüber. Das ist die Rechnung von Mosca aus dem Abschnitt zu „harvest now, decrypt later“: Übersteigt die Summe aus beiden den Zeitraum, der nach plausiblen Szenarien bis zu einem kryptografisch relevanten Quantencomputer verbleibt, gehört der Bestand in die erste Welle (Quelle: Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy 16(5), 2018).
3. Die Krypto-Richtlinie sichten. Fehlt eine Aussage zu Krypto-Agilität und zur regelmäßigen Überprüfung, ist das eine Lücke gegenüber Anhang Ziffer 9 der Durchführungsverordnung (EU) 2024/2690 für die dort genannten Anbieter und gegenüber Artikel 21 Absatz 2 Buchstabe h NIS2 für alle übrigen Einrichtungen (Quellen: Durchführungsverordnung (EU) 2024/2690; NIS2-Richtlinie).
4. Tiefer einsteigen. Für die Methodik: Risikobewertung des Quantencomputer-Risikos und Migrationsplanung. Für die Technik: Umsetzung der NIST-PQC-Standards in Unternehmensnetzwerken. Für den Überblick: Quantum Computing und Post-Quantum Security.