Post-Quanten-Kryptographie: Warum es jetzt um Wechselfähigkeit geht

Wer seit Jahren hört, der Quantencomputer stehe kurz vor der Tür, darf skeptisch sein. Wann ein Quantencomputer RSA und elliptische Kurven tatsächlich brechen kann, weiß niemand; auch das BSI spricht seine Empfehlungen ausdrücklich nur für einen Zeitraum bis Ende 2032 aus, weil längere Prognosen unsicher sind.

Was sich geändert hat, sind die Fristen. NIST hat im August 2024 die ersten Post-Quanten-Standards veröffentlicht, und das BSI nennt seit Januar 2026 konkrete Termine für die Umstellung. Die Frage ist deshalb weniger, ob der Quantencomputer kommt, als ob Ihre Systeme das Verfahren wechseln können, wenn es so weit ist.

Verschlüsselter Verkehr lässt sich heute mitschneiden und ablegen. Lesen kann ihn niemand, solange der Schlüsselaustausch hält. Beruht dieser auf RSA oder elliptischen Kurven, könnte ein ausreichend großer Quantencomputer ihn später brechen. Das BSI hält dazu fest: „Da ein Angreifer Daten speichern und später entschlüsseln kann, bleibt ein grundsätzliches Risiko für den langfristigen Schutz der Vertraulichkeit.“

Ob und von wem solche Daten heute gesammelt werden, ist öffentlich nicht belegt. Das Risiko entsteht aber im Moment der Übertragung und lässt sich danach nicht mehr beheben. Es betrifft Daten, die lange vertraulich bleiben müssen: Verträge, Patente, Personaldaten, Konstruktionsunterlagen.

Wie dringend die Umstellung für Sie ist, ergibt sich aus einer Rechnung, die auf den Kryptographen Michele Mosca zurückgeht: Wie lange müssen die Daten geschützt bleiben, und wie lange dauert die Umstellung? Reicht die Summe über den Zeitpunkt hinaus, an dem ein Quantencomputer verfügbar sein könnte, kommt ein Beginn erst dann für diese Daten zu spät. Mehr dazu in Heute abgefangen, morgen entschlüsselt.

• ML-KEM (FIPS 203, hervorgegangen aus CRYSTALS-Kyber): Schlüsselkapselung, also die Vereinbarung eines gemeinsamen Schlüssels
• ML-DSA (FIPS 204, aus CRYSTALS-Dilithium): digitale Signaturen
• SLH-DSA (FIPS 205, aus SPHINCS+): hashbasierte Signaturen, ohne Gitterannahmen

Nach heutigem Wissen halten diese Verfahren auch Angriffen mit Quantencomputern stand. Das BSI empfiehlt, ML-KEM und ML-DSA hybrid einzusetzen, also in Kombination mit einem klassischen Verfahren. Hashbasierte Signaturen wie SLH-DSA dürfen nach der TR-02102-1 auch allein eingesetzt werden.

Die Technische Richtlinie TR-02102-1 in der Fassung vom Januar 2026 setzt Termine:

• Klassische Schlüsseleinigung allein, etwa mit RSA oder ECDH, wird nur noch bis Ende 2031 empfohlen, danach nur in Kombination mit einem quantensicheren Verfahren.
• Für Anwendungen mit sehr hohem Schutzbedarf sollte die Umstellung bis Ende 2030 erfolgen.
• Klassische Signaturverfahren werden voraussichtlich nur noch bis Ende 2035 empfohlen, im Einklang mit der Roadmap der EU.
• Produkte, die über 2030 hinaus im Einsatz sein sollen, sollen sich auf quantensichere Verfahren aktualisieren lassen, einschließlich ihres Update-Mechanismus.

Empfehlungen des BSI sind kein Gesetz. Sie beschreiben aber, woran sich der Stand der Technik in Deutschland ausrichtet.

Alle Fristen mit Quelle und Status, dazu eine Checkliste für bestehende Anwendungen, pflegen wir unter BSI TR-02102 und Post-Quanten-Fristen.

Artikel 21 der NIS2-Richtlinie, in Deutschland § 30 Abs. 2 Nr. 8 BSIG, verlangt Konzepte und Prozesse für den Einsatz kryptographischer Verfahren. Eine Pflicht, heute auf ML-KEM oder ML-DSA umzustellen, folgt daraus nicht; verlangt ist eine risikobasierte Kryptographie-Politik. Genau deshalb ist die entscheidende Frage nicht, welches Verfahren Sie heute einsetzen, sondern ob Sie es wechseln können, ohne die Anwendung neu zu bauen. Wie Sie das bei Ihren Lieferanten einfordern, beschreibt unsere Reihe Post-Quanten-Sicherheit in der Lieferkette.

Wir bauen Krypto-Agilität in bestehende Anwendungen ein: einen hybriden Schlüsselaustausch, Verfahren nach TR-02102 und den NIST-Standards. Wo ein zertifiziertes Kryptomodul verlangt ist, binden wir eines an; das Zertifikat stellt die Prüfstelle aus, nicht wir.

Mehr zu unserer Kryptographie-Expertise | Das geförderte Vorhaben zu postquantensicherer Verschlüsselung | NIS2-Check | Kontakt aufnehmen

Rechtsstand: 29.10.2026 · zuletzt fachlich geprüft am 29.10.2026; was danach gilt, sagt die Primärquelle
Quellen: Richtlinie (EU) 2022/2555, Artikel 21 · § 30 BSIG · Durchführungsverordnung (EU) 2024/2690 · NIST FIPS 203, FIPS 204, FIPS 205 · BSI TR-02102-1, Version 2026-01