Die digitale Welt steht vor einer fundamentalen Umstellung. Während heute noch klassische RSA‑ und ECC‑Algorithmen die Grundlage für sichere Kommunikation bilden, ist absehbar, dass ein ausreichend großer, fehlerkorrigierter Quantencomputer diese Verfahren brechen könnte. 2026 wird die Post‑Quantum‑Kryptographie (PQK) deshalb vom Forschungsthema zur Planungsaufgabe: Die EU hat Mitgliedstaaten und Betreiber kritischer Infrastrukturen aufgefordert, bis Ende 2026 mit der Migration zu beginnen. In diesem Beitrag beleuchten wir, warum PQK unverzichtbar ist, wie real die Bedrohung heute ist, welche Standards bereits definiert sind und wie du als Unternehmen sowie als Privatanwender deine Verschlüsselung anpassen kannst.
1. Warum Post‑Quantum‑Kryptographie?
Die Notwendigkeit von PQK ergibt sich aus dem Shor‑Algorithmus: Auf einem genügend großen, fehlerkorrigierten Quantencomputer könnte er Primfaktorzerlegung und diskrete Logarithmen in polynomialer Zeit lösen – genau die mathematischen Probleme, auf denen RSA und ECC beruhen. Post‑Quantum‑Verfahren setzen dagegen auf Probleme, für die auch Quantencomputer nach heutigem Wissen keinen effizienten Angriff kennen, etwa Gitterprobleme (lattice‑basiert), fehlerkorrigierende Codes (code‑basiert) oder Hash‑Funktionen.
Die Weltwirtschaft ist stark digitalisiert. Finanztransaktionen, Gesundheitsdaten, Regierungsgeheimnisse und persönliche Kommunikation verlassen sich auf kryptografische Sicherheit. Besonders heikel ist das Szenario „Harvest now, decrypt later“: Angreifer können verschlüsselten Datenverkehr schon heute mitschneiden und speichern, um ihn zu entschlüsseln, sobald ein leistungsfähiger Quantencomputer verfügbar ist. Für Daten, die viele Jahre vertraulich bleiben müssen, ist die Umstellung deshalb schon jetzt dringlich – PQK bietet Verfahren, die nach heutigem Kenntnisstand auch Quantenangriffen standhalten.
2. Die Bedrohung durch Quantencomputer
Quantencomputer nutzen Überlagerung und Verschränkung von Qubits. Das macht sie nicht pauschal „exponentiell schneller“, sondern nur für bestimmte Probleme – darunter leider genau die, auf denen RSA und ECC beruhen. Um einen RSA‑2048‑Schlüssel mit Shor zu brechen, bräuchte man nach aktuellen Schätzungen (Craig Gidney, 2025) knapp eine Million fehleranfälliger physikalischer Qubits, die rund eine Woche lang fehlerkorrigiert zusammenarbeiten. Die größten heutigen Quantenprozessoren haben etwa tausend physikalische Qubits mit deutlich höheren Fehlerraten.
Bislang hat kein Quantencomputer einen real eingesetzten RSA‑ oder ECC‑Schlüssel gebrochen; die größten echten Shor‑Demonstrationen faktorisieren winzige Zahlen wie 21. Meldungen über „geknackte Verschlüsselung“ betrafen bisher Spielzeuggrößen oder hybride Tricks, die nicht auf echte Schlüssellängen skalieren. Wann ein kryptografisch relevanter Quantencomputer existiert, ist offen – Schätzungen reichen von Anfang der 2030er‑Jahre bis deutlich später. Weil eine Krypto‑Migration aber erfahrungsgemäß viele Jahre dauert und mitgeschnittene Daten rückwirkend gefährdet sind, empfehlen BSI, NIST und EU, jetzt mit der Umstellung zu beginnen.
3. Standards und Algorithmen
Das US‑amerikanische NIST hat nach einem mehrjährigen öffentlichen Wettbewerb im August 2024 die ersten drei PQK‑Standards veröffentlicht: FIPS 203 (ML‑KEM, früher CRYSTALS‑Kyber) für den Schlüsselaustausch sowie FIPS 204 (ML‑DSA, früher CRYSTALS‑Dilithium) und FIPS 205 (SLH‑DSA, früher SPHINCS+) für digitale Signaturen. Die Signatur FN‑DSA (Falcon) folgt, und im März 2025 wurde HQC als code‑basiertes Reserve‑Verfahren für den Schlüsselaustausch ausgewählt. Wie wichtig dieser lange Prüfprozess ist, zeigte 2022 SIDH/SIKE: Das isogenie‑basierte Verfahren galt als aussichtsreicher Kandidat und wurde dann mit einem klassischen Angriff auf einem normalen PC in rund einer Stunde gebrochen. Das deutsche BSI empfiehlt zusätzlich die konservativen Verfahren FrodoKEM und Classic McEliece.
Die Auswahl des richtigen PQK‑Algorithmus hängt von den Anforderungen ab. Gitterbasierte Verfahren wie ML‑KEM und ML‑DSA bieten die beste Kombination aus Sicherheit und Performance und sind deshalb der Standardfall. Code‑basierte Verfahren gelten als sehr gut untersucht, Classic McEliece hat aber öffentliche Schlüssel von mehreren hundert Kilobyte bis über ein Megabyte – für Systeme mit begrenzten Ressourcen ist es daher eher ungeeignet. Hash‑basierte Signaturen (SLH‑DSA) sind besonders konservativ, aber groß und langsam. Multivariate Verfahren haben einen Dämpfer erhalten, seit der Kandidat Rainbow 2022 gebrochen wurde. In der Übergangszeit empfiehlt sich ein hybrider Einsatz, bei dem ein klassisches und ein PQK‑Verfahren kombiniert werden – die Verbindung bleibt dann sicher, solange eines der beiden hält.
4. Implementierung in Unternehmen
Die Migration zu PQK erfordert einen strukturierten Ansatz. Zunächst sollten Unternehmen ein Krypto‑Inventar erstellen: Wo werden welche Verfahren, Schlüssellängen und Zertifikate eingesetzt? Danach folgt die Auswahl geeigneter PQK‑Algorithmen und die Integration in Protokolle wie TLS, SSH und VPN. Wichtige Bausteine sind bereits verfügbar: OpenSSL unterstützt ML‑KEM, ML‑DSA und SLH‑DSA seit Version 3.5 (April 2025), BoringSSL und die großen Browser nutzen den hybriden Schlüsselaustausch X25519MLKEM768, und OpenSSH verwendet seit Version 10.0 standardmäßig einen hybriden ML‑KEM‑Schlüsselaustausch. Wer Verfahren später austauschen können will, sollte auf „Krypto‑Agilität“ achten, also Algorithmen nicht fest im Code verdrahten.
Die Implementierung sollte schrittweise erfolgen, um Kompatibilitätsprobleme zu minimieren. Unternehmen können zunächst PQK in kritischen Bereichen wie Finanztransaktionen, Cloud‑Speicher und IoT‑Geräten einsetzen. Parallel dazu sollten Mitarbeitende geschult werden, um die neuen Verfahren zu verstehen und korrekt zu nutzen. Ein zentraler Bestandteil ist die kontinuierliche Überwachung der Schlüsselverwaltung, um sicherzustellen, dass Schlüssel nicht kompromittiert werden und dass die Algorithmen stets auf dem neuesten Stand bleiben.
5. Praktische Schritte für Endnutzer
Für Privatanwender passiert ein großer Teil der Umstellung automatisch über Updates: Aktuelle Versionen von Chrome, Edge und Firefox handeln mit vielen Websites bereits einen quantenresistenten hybriden Schlüssel aus, Signal nutzt seit 2023 das Protokoll PQXDH und Apples iMessage seit 2024 PQ3. Wichtig ist deshalb vor allem, Betriebssysteme, Browser und Messenger aktuell zu halten.
Für Passwörter und Zwei-Faktor-Authentifizierung ändert sich durch Quantencomputer wenig: Symmetrische Verfahren und Hashfunktionen werden durch den Grover-Algorithmus nur moderat geschwächt, AES-256 gilt weiterhin als sicher. Gute, einzigartige Passwörter, ein Passwortmanager und 2FA oder Passkeys bleiben die wichtigsten Schutzmaßnahmen. Für sehr langlebige, sensible Daten lohnt es sich, bei Cloud- und Backup-Anbietern nachzufragen, ob und wann sie PQK einsetzen.
6. Ausblick und Fazit
Die Einführung von Post‑Quantum‑Kryptographie ist kein ferner Traum, sondern ein bereits laufender Wandel. Die Standards stehen, die ersten Implementierungen sind im Alltag angekommen, und Behörden geben Zeitpläne vor: Die EU sieht vor, kritische Systeme bis spätestens 2030 umzustellen, und NIST will die alten Verfahren RSA und ECC bis 2035 ganz auslaufen lassen. Unternehmen und Privatanwender, die frühzeitig handeln, schützen ihre Daten auch gegen das „Harvest now, decrypt later“‑Risiko.
Die Herausforderung besteht darin, die Komplexität der PQK‑Implementierung zu bewältigen und gleichzeitig die Benutzerfreundlichkeit zu erhalten. Durch die Zusammenarbeit von Regierungen, Industrie und Forschung können wir sicherstellen, dass die Übergangsphase reibungslos verläuft und die digitale Welt für die kommenden Jahrzehnte sicher bleibt.
Neueste Kommentare