Quantensichere Lieferketten beginnen nicht mit Vertragsstrafen

Ausgabe 08 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Rechtsabteilung und Einkauf, die Verträge mit Lieferanten von Software, Geräten und IT-Leistungen gestalten.

Der Entwurf ist sauber formuliert: „Für jeden angefangenen Monat Verzug bei der Umstellung auf quantensichere Verfahren schuldet der Auftragnehmer eine Vertragsstrafe von 0,5 % des Jahresauftragswerts.“ Drei Wochen später kommt die Antwort des Lieferanten. Die Klausel ist gestrichen, daneben steht ein Kommentar: „Leistung nicht bestimmt.“ Der Lieferant hat recht.

In diesem Beitrag: Warum Strafen hier nicht wirken · Drei Regelwerke · Sieben Bausteine · Wo eine Sanktion passt · Beispiel · Was sich ändert · In fünf Schritten · Die Frage an Ihren Lieferanten · Anhang: Musterklauseln

Eine Vertragsstrafe wirkt, wenn drei Bedingungen erfüllt sind: Die Leistung ist bestimmt, ihre Erfüllung liegt in der Hand dessen, der sie schuldet, und der Verzug lässt sich eindeutig feststellen. Bei der Umstellung auf Post-Quanten-Kryptografie fehlen meist alle drei:

• Die Leistung ist offen. „Quantensicher“ ist keine Eigenschaft eines Unternehmens, sondern einzelner Mechanismen für einzelne Zwecke. Ohne Geltungsbereich, Zielbild und Nachweis (Ausgabe 06) gibt es nichts, womit Verzug gemessen werden könnte.
• Die Erfüllung hängt an Dritten. Ob ein Lieferant hybriden Schlüsselaustausch anbieten kann, entscheidet oft der Hersteller seines Gateways oder seiner Fachanwendung. Für dessen Zeitplan kann er nicht einstehen.
• Der Verzug liegt oft auf Ihrer Seite. Eine Verbindung hat zwei Enden. Ist Ihr Endpunkt nicht bereit, kann der Lieferant liefern, was er will.

Dazu kommt ein Nebeneffekt, der schwerer wiegt: Eine Strafe belohnt das Erklären, nicht das Offenlegen. Ein Lieferant, der fürchten muss, für jede Lücke zu zahlen, meldet keine Lücken. Für eine Umstellung, die von ehrlicher Auskunft über Abhängigkeiten lebt, ist das der falsche Anreiz.

In Vertragsentwürfen zur Post-Quanten-Kryptografie tauchen drei Regelwerke auf, die unterschiedliche Adressaten haben:

Der Cyber Resilience Act ist keine Verordnung zur Post-Quanten-Kryptografie. Er verlangt Verschlüsselung nach dem Stand der Technik, wo sie relevant ist, und eine Update-Fähigkeit über den Unterstützungszeitraum. Was der Stand der Technik ist, entwickelt sich weiter; daraus lässt sich heute keine Pflicht ableiten, bis 2027 bestimmte Post-Quanten-Verfahren einzusetzen. Wer im Vertrag „CRA-konform einschließlich Quantensicherheit“ verlangt, vermischt eine gesetzliche Herstellerpflicht mit einer eigenen Erwartung. Besser: beides getrennt benennen.

1. Geltungsbereich mit technischer Anlage. Der Vertrag benennt die Verbindungen und Produkte, die Anlage das abgestimmte Profil. Die Anlage kann geändert werden, ohne den Vertrag neu zu verhandeln.
2. Auskunftspflicht. Der Lieferant gibt auf Anfrage innerhalb einer Frist Auskunft über die kryptografischen Verfahren in den vereinbarten Komponenten, gern in einem strukturierten Format wie einer CBOM.
3. Mitwirkung des Auftraggebers. Ihre Pflichten stehen im selben Vertrag: Bereitstellung Ihres Endpunkts, Testumgebung, Termine.
4. Änderungsverfahren. Eine kryptografische Änderung wird angekündigt, abgestimmt, getestet und dokumentiert. Keine Seite ändert ein gemeinsames Profil allein.
5. Kryptoagilität bei Neulieferungen. Was neu geliefert wird, muss Verfahren ohne Umbau der Anwendung wechseln können. Die EU-Roadmap empfiehlt das für Produkte mit einer Lebensdauer über 2030 hinaus.
6. Meilensteine mit Abnahme. Fristen werden an Abhängigkeiten geknüpft und mit einem Abnahmekriterium versehen, nicht mit einem Datum allein.
7. Ausnahme- und Eskalationsweg. Kann ein Meilenstein wegen Dritter nicht erreicht werden, meldet der Lieferant das früh, begründet und mit neuem Termin. Sie entscheiden über Ausweichmaßnahmen oder Restrisiko.

Eine achte Frage stellt sich immer: Wer trägt die Kosten? Eine Umstellung, die aus Ihrer neuen Anforderung folgt, ist eine Leistungsänderung. Eine, die ein Hersteller im Rahmen der bezahlten Wartung liefert, ist es nicht. Der Vertrag sollte das unterscheiden.

Sanktionen sind nicht grundsätzlich falsch. Sie passen dort, wo die Pflicht klar bestimmt ist und allein beim Lieferanten liegt: eine Auskunft, die nicht fristgerecht kommt; eine Änderung am gemeinsamen Profil ohne Abstimmung; Signaturschlüssel, die entgegen der Vereinbarung außerhalb der vereinbarten Umgebung verwahrt werden. Das sind Pflichten, deren Verletzung messbar ist und die kein Hersteller verhindert.

Für die eigentliche Umstellung gilt dagegen: Ein Meilenstein, der verfehlt wird, ist zunächst eine Information. Ob er ein Vertragsbruch ist, hängt davon ab, wer ihn verfehlt hat und warum. Der Eskalationsweg klärt das, eine Pauschale nicht.

Ein Landmaschinenhersteller in Niedersachsen zum Beispiel bezieht von einem slowenischen Elektronikunternehmen ein Telematikmodul: Hardware, Firmware und den Dienst, über den Maschinendaten übertragen und Updates eingespielt werden. Die Maschinen laufen fünfzehn bis zwanzig Jahre.

Der erste Vertragsentwurf enthält eine Klausel zur „vollständigen Quantensicherheit bis 31. 12. 2027“ mit Vertragsstrafe. Nach dem Register und einem gemeinsamen Termin entsteht eine andere Struktur:

• Update-Signatur: Das Modul prüft Firmware-Updates künftig mit einem Post-Quanten-Signaturverfahren, zusätzlich zum bisherigen. Die EU-Roadmap nennt abgesicherte Updates ausdrücklich als Hochrisiko-Fall. Meilenstein: Muster bis Ende 2027, Serie mit der nächsten Modulgeneration.
• Datenübertragung: hybrider Schlüsselaustausch, sobald der Server des Herstellers ihn anbietet. Mitwirkung des Auftraggebers: Bereitstellung bis Mitte 2027.
• Bestandsgeräte: Der Lieferant legt bis Ende 2026 dar, welche Gerätegenerationen per Update umstellbar sind und welche nicht. Für Letztere entscheidet der Auftraggeber über Weiterbetrieb, Isolierung oder Austausch.
• Auskunft: jährlich und auf Anfrage innerhalb von 20 Arbeitstagen, strukturiert.

Eine Vertragsstrafe bleibt im Vertrag, aber an anderer Stelle: für Änderungen am Signaturschlüssel ohne Abstimmung. Dort ist sie sinnvoll.

• Technik und Recht schreiben gemeinsam. Die Rechtsabteilung kann keine Leistung bestimmen, die technisch niemand beschrieben hat. Die Technik kann keine Klausel formulieren, die einer Prüfung standhält. Beide wissen das voneinander; an einem Tisch sitzen sie trotzdem selten.
• Rahmen und Anlage trennen. Der Rahmenvertrag bleibt stabil, die technische Anlage wird gepflegt.
• Eigene Pflichten aufnehmen. Ein Vertrag, der nur den Lieferanten verpflichtet, obwohl die Leistung zwei Enden hat, ist im Streitfall schwach.
• Laufzeiten mit 2030 abgleichen. Verträge, die über den Meilenstein der EU-Roadmap hinausreichen, brauchen einen Änderungsweg für Kryptografie.

1. Hochrisiko-Zeilen aus Matrix und Register auswählen, die den Lieferanten betreffen.
2. Mit dem Formular aus Ausgabe 06 die Anforderung klären.
3. Musterklauseln aus dem Anhang anpassen; nicht übernehmen, was nicht passt.
4. Mit dem Lieferanten besprechen, bevor die Rechtsabteilung den Text finalisiert.
5. Technische Anlage als lebendes Dokument mit Verantwortlichem und Prüftermin anlegen.

„Welche dieser Pflichten können Sie aus eigener Kraft erfüllen, und wo hängen Sie von wem ab?“

Die Antwort zeigt Ihnen, welche Teile eines Vertrags durchsetzbar sind und welche nur Hoffnung. Ein Lieferant, der seine Abhängigkeiten offen benennt, verhandelt nicht schwach. Er verhandelt ehrlich.

Die slowenische Ausgabe richtet sich an Lieferanten, die solche Verträge unterschreiben sollen: »PQC v pogodbi: ste prevzeli odgovornost, ki je ne morete izpolniti?« (auf Slowenisch). Vorherige Ausgabe: Wer ist für die Umstellung verantwortlich?

Wichtig: Die folgenden Formulierungen sind Muster für die fachliche und rechtliche Prüfung, keine Rechtsberatung und kein fertiger Vertragstext. Sie müssen an Vertragsart, anwendbares Recht und den Einzelfall angepasst werden. In der slowenischen Ausgabe stehen dieselben Klauseln mit Erläuterungen.

Prüfhinweise: Fristen (20 Arbeitstage, 30 Tage) sind Beispiele. Ziffer 3 ist nach unserer Erfahrung der Teil, den Auftraggeber am ehesten streichen wollen, und der, ohne den die übrigen am wenigsten taugen.

Alle erschienenen Ausgaben der Reihe: Übersicht „Post-Quanten-Sicherheit in der Lieferkette“

Nächste Ausgabe (2. 3. 2026): „Eine Software-Stückliste ist noch kein Kryptoinventar“

Quellen (Stand 2. 2. 2026): Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 71 und Anhang I; NIS2UmsuCG, § 30 BSIG; NIS Cooperation Group, „A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography“, Version 1.1 (Juni 2025), Abschnitte 4.2 und 6.3.

Wenn ein Vertragsentwurf auf Ihrem Tisch liegt, der eine dieser Fragen offenlässt: Schreiben Sie uns.