Post-Quantum-Kryptographie — Vorbereitung auf Q-Day

Was ist Post-Quantum-Kryptographie?

Post-Quantum-Kryptographie (PQC) bezeichnet kryptographische Verfahren, die auch gegen Angriffe mit Quantencomputern sicher sind. Heutige asymmetrische Verschlüsselungsverfahren wie RSA, Elliptic Curve Cryptography (ECC) und Diffie-Hellman basieren auf mathematischen Problemen — der Faktorisierung großer Zahlen und dem diskreten Logarithmus —, die klassische Computer nicht effizient lösen können. Ein kryptographisch relevanter Quantencomputer (Cryptographically Relevant Quantum Computer, CRQC) kann diese Probleme jedoch mit Shors Algorithmus in polynomialer Zeit lösen und damit RSA-2048, ECC-256 und alle darauf aufbauenden Protokolle brechen.

Der Zeitpunkt, an dem Quantencomputer diese Fähigkeit erreichen — oft als Q-Day bezeichnet —, wird von Experten zwischen 2030 und 2040 erwartet. Aktuelle Schätzungen gehen davon aus, dass ein CRQC rund 4.000 fehlerkorrigierte logische Qubits benötigt, um RSA-2048 zu brechen. Stand 2026 arbeiten IBM, Google und andere Hersteller mit Systemen im Bereich von 1.000–1.500 physischen Qubits — der Weg zum CRQC ist noch weit, aber die Entwicklung beschleunigt sich exponentiell.

Die größte unmittelbare Bedrohung ist jedoch nicht der Q-Day selbst, sondern die „Harvest Now, Decrypt Later“-Strategie (HNDL): Staatliche Akteure und fortgeschrittene Angreifer sammeln bereits heute verschlüsselte Daten — diplomatische Kommunikation, Geschäftsgeheimnisse, medizinische Daten, Regierungsdokumente —, um sie zu speichern und später mit Quantencomputern zu entschlüsseln. Für Daten mit einer Schutzfrist von 10+ Jahren ist die Bedrohung daher bereits real. Das BSI stuft HNDL in seiner technischen Richtlinie TR-02102 als konkrete Bedrohung ein und empfiehlt, besonders schützenswerte Daten bereits jetzt mit quantensicheren Verfahren oder hybriden Ansätzen zu sichern.

PQC-Verfahren basieren auf mathematischen Problemen, die auch Quantencomputer nicht effizient lösen können. Die wichtigsten Ansätze sind:

• Gitter-basierte Kryptographie (Lattice-based): Basiert auf dem „Learning with Errors“-Problem (LWE) und dem „Module Learning with Errors“-Problem (MLWE). Bietet sowohl Schlüsselaustausch als auch digitale Signaturen. Bildet die Grundlage für ML-KEM (FIPS 203) und ML-DSA (FIPS 204) — die beiden primären NIST-Standards.
• Hash-basierte Kryptographie: Nutzt ausschließlich kryptographische Hash-Funktionen und gilt als besonders konservativ und gut erforscht. Grundlage für SLH-DSA (FIPS 205). Nachteil: Größere Signaturen und langsamere Performance.
• Code-basierte Kryptographie: Basiert auf fehlerkorrigierenden Codes (z. B. Hamming-Codes). HQC als NIST-Backup-Algorithmus fällt in diese Kategorie und bietet Diversität gegenüber Gitter-basierten Verfahren.
• Multivariate Kryptographie: Basiert auf der Schwierigkeit, multivariate quadratische Gleichungssysteme zu lösen. Im NIST-Wettbewerb waren multivariate Kandidaten vertreten, allerdings wurde keiner für die Standardisierung ausgewählt — einige wurden während des Prozesses gebrochen.

NIST-Standards: FIPS 203, 204, 205

Das National Institute of Standards and Technology (NIST) hat im August 2024 nach einem achtjährigen Evaluierungsprozess drei Post-Quantum-Kryptographie-Standards finalisiert. Diese Standards bilden das Fundament für die weltweite Migration zu quantensicherer Kryptographie und werden von Behörden, Industrie und dem BSI gleichermaßen als Referenz herangezogen.

Der NIST-PQC-Standardisierungsprozess begann 2016 mit einem öffentlichen Aufruf, an dem 82 Kandidaten teilnahmen. Nach vier Evaluierungsrunden — in denen mehrere Kandidaten kryptoanalytisch gebrochen wurden — wurden die folgenden Algorithmen ausgewählt und als finale Standards veröffentlicht:

• FIPS 203 — ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism): Basierend auf CRYSTALS-Kyber ist ML-KEM der primäre Standard für den Schlüsselaustausch. Er ersetzt klassische Verfahren wie RSA-KEM und ECDH in TLS-Handshakes, VPN-Tunneln und S/MIME. ML-KEM zeichnet sich durch kompakte Schlüsselgrößen (ca. 1.568 Bytes für ML-KEM-768) und hohe Performance aus. Chrome und Firefox unterstützen ML-KEM bereits in TLS 1.3 als X25519MLKEM768-Hybrid-Schlüsselaustausch seit Ende 2024.
• FIPS 204 — ML-DSA (Module-Lattice-Based Digital Signature Algorithm): Basierend auf CRYSTALS-Dilithium ist ML-DSA der primäre Standard für digitale Signaturen. Er kommt bei Code-Signing, Zertifikaten, Dokumentensignaturen und Authentifizierung zum Einsatz. ML-DSA-65 bietet ein Sicherheitsniveau vergleichbar mit AES-192 bei Signaturlängen von ca. 3.309 Bytes — größer als klassische ECDSA-Signaturen, aber für die meisten Anwendungen praktikabel.
• FIPS 205 — SLH-DSA (Stateless Hash-Based Digital Signature Algorithm): Basierend auf SPHINCS+ bietet SLH-DSA eine konservative Alternative für digitale Signaturen, die ausschließlich auf Hash-Funktionen basiert. Während Gitter-basierte Verfahren wie ML-DSA als mathematisch sicher gelten, bietet SLH-DSA eine zusätzliche Sicherheitsmarge: Selbst wenn Gitter-Kryptographie unerwartet gebrochen würde, bliebe SLH-DSA sicher. Der Nachteil sind deutlich größere Signaturen (bis zu 49.856 Bytes bei SLH-DSA-256f) und langsamere Performance.
• FIPS 206 — FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm): Basierend auf FALCON befindet sich FN-DSA noch in der Standardisierungsphase (voraussichtlich spät 2025 / früh 2026). FN-DSA bietet besonders kompakte Signaturen (ca. 666 Bytes für FN-DSA-512), was es ideal für Anwendungen mit begrenzter Bandbreite macht — etwa IoT-Geräte, eingebettete Systeme und Blockchain-Protokolle.
• HQC (Hamming Quasi-Cyclic) als Backup: NIST hat im März 2025 HQC als Backup-Algorithmus für den Schlüsselaustausch ausgewählt. HQC basiert auf fehlerkorrigierenden Codes (nicht auf Gittern wie ML-KEM) und dient als Absicherung für den Fall, dass sich Gitter-basierte Verfahren als angreifbar erweisen. Die Standardisierung als FIPS-Standard wird für 2027 erwartet.

NIST-Migrationsplan (IR 8547)

Im November 2024 veröffentlichte NIST den Internal Report 8547 „Transition to Post-Quantum Cryptography Standards“, der einen verbindlichen Zeitplan für die Migration von klassischer zu quantensicherer Kryptographie festlegt. Dieser Plan ist für alle US-Bundesbehörden bindend und dient weltweit — einschließlich in der EU und Deutschland — als maßgebliche Orientierung.

Der Migrationsplan baut auf der National Security Memorandum 10 (NSM-10) von 2022 auf, in der die US-Regierung die Bedrohung durch Quantencomputer als nationale Sicherheitspriorität einstufte. IR 8547 konkretisiert diese Vorgabe mit klaren Zeitlinien und technischen Anforderungen:

• Sofort (ab 2024): Organisationen sollen mit der Inventarisierung ihrer kryptographischen Assets beginnen, Prioritäten setzen und Migrationspläne erstellen. Der Einsatz von PQC-Algorithmen in neuen Systemen wird empfohlen, hybride Ansätze (klassisch + PQC) sind ausdrücklich erlaubt und empfohlen.
• Nach 2030 — Deprecation: RSA, ECC (ECDSA, ECDH, EdDSA), DSA, DH und alle Verfahren mit Schlüssellängen unter 112 Bit Sicherheitsniveau werden als deprecated eingestuft. Das bedeutet: Sie dürfen noch verwendet werden, aber nur in Kombination mit PQC-Verfahren (hybride Konfiguration). Reine RSA- oder ECC-Implementierungen sind ab diesem Zeitpunkt nicht mehr konform.
• Nach 2035 — Disallowed: Alle klassischen asymmetrischen Verfahren werden verboten. Systeme, die noch RSA, ECC oder DH in jeglicher Form verwenden, sind ab diesem Zeitpunkt nicht mehr NIST-konform. Dies betrifft TLS-Zertifikate, VPN-Konfigurationen, Code-Signing, S/MIME, SSH und alle weiteren kryptographischen Anwendungen.
• September 2026 — FIPS 140-2 wird historisch: FIPS 140-2-Zertifikate werden in den Status „Historical“ verschoben. Nur noch FIPS 140-3-validierte Module werden akzeptiert. Unternehmen, die kryptographische Hardware oder Software mit FIPS-140-Zertifizierung einsetzen, müssen ihre Produkte auf FIPS 140-3-Konformität prüfen und gegebenenfalls ersetzen.
• Symmetrische Kryptographie: AES-128, AES-256 und SHA-256/SHA-384/SHA-512 sind von der Quantenbedrohung weniger betroffen. Grovers Algorithmus halbiert die effektive Schlüssellänge, wodurch AES-128 auf 64-Bit-Sicherheit fällt — nicht mehr ausreichend. AES-256 bietet mit 128 Bit effektiver Sicherheit weiterhin angemessenen Schutz. NIST empfiehlt daher AES-256 als Standard für symmetrische Verschlüsselung.

Für Unternehmen bedeutet der NIST-Migrationsplan: Die Übergangsphase (2024–2030) ist die Zeit für Planung, Pilotierung und schrittweise Migration. Ab 2030 wird der Druck massiv steigen, da reine klassische Kryptographie nicht mehr konform sein wird. Wer erst 2030 mit der Migration beginnt, hat nur 5 Jahre bis zum vollständigen Verbot — bei einer Migration, die für große Organisationen typischerweise 3–5 Jahre dauert. Die Botschaft ist klar: Die Migration muss jetzt beginnen.

Handlungsempfehlungen für Unternehmen

Die Migration zu Post-Quantum-Kryptographie ist kein Sprint, sondern ein strategisches Mehrjahresprojekt. Das BSI empfiehlt in seiner technischen Richtlinie TR-02102 sowie im Positionspapier zur Quantensicherheit einen stufenweisen Ansatz, der auf Krypto-Agilität aufbaut — die Fähigkeit, kryptographische Algorithmen schnell und ohne größere Systemumbauten austauschen zu können.

• Kryptographisches Inventar erstellen: Der erste und wichtigste Schritt ist eine vollständige Bestandsaufnahme aller kryptographischen Verfahren im Unternehmen. Dazu gehören: TLS-Zertifikate und deren Algorithmen, VPN-Konfigurationen (IPsec, WireGuard), SSH-Schlüssel, Code-Signing-Zertifikate, E-Mail-Verschlüsselung (S/MIME, PGP), Festplattenverschlüsselung, Datenbankverschlüsselung, API-Token und -Signaturen sowie Hardware-Security-Module (HSM). Tools wie IBM Quantum Safe Explorer, Keyfactor Command oder Open-Source-Lösungen wie cbomkit können bei der automatisierten Inventarisierung unterstützen.
• Daten nach Schutzfrist priorisieren: Nicht alle Daten erfordern sofortige Migration. Priorisieren Sie nach der Schutzfrist der Daten: Geheimhaltungspflichtige Regierungsdaten (30+ Jahre), Patentanmeldungen und Geschäftsgeheimnisse (10–20 Jahre), medizinische Daten (Lebensdauer des Patienten), Finanztransaktionen (5–10 Jahre). Daten mit Schutzfristen über 10 Jahren sind durch HNDL-Angriffe bereits heute gefährdet und sollten prioritär migriert werden.
• Hybride Kryptographie einsetzen: Das BSI und NIST empfehlen für die Übergangsphase hybride Ansätze, bei denen klassische und PQC-Verfahren parallel eingesetzt werden. Beispiel: TLS 1.3 mit X25519MLKEM768 kombiniert X25519 (ECDH) mit ML-KEM-768. Der Vorteil: Selbst wenn eines der beiden Verfahren gebrochen wird, bleibt die Verbindung durch das andere geschützt. Chrome, Firefox, Cloudflare und AWS setzen hybride TLS-Handshakes bereits produktiv ein.
• Krypto-Agilität verankern: Entwerfen Sie Systeme so, dass kryptographische Algorithmen als austauschbare Module behandelt werden. Vermeiden Sie Hard-Coding von Algorithmen. Nutzen Sie Konfigurationsdateien oder Abstraktionsschichten, um den Wechsel von z. B. RSA-2048 auf ML-KEM-768 ohne Code-Änderungen zu ermöglichen. Das BSI bezeichnet Krypto-Agilität als „die wichtigste einzelne Maßnahme“ zur Vorbereitung auf die Post-Quantum-Ära.
• BSI-Leitlinien beachten: Das BSI veröffentlicht regelmäßig aktualisierte Empfehlungen in der TR-02102-Reihe (Kryptographische Verfahren) und im Positionspapier zur Quantum-Safe-Kryptographie. Für NIS2-betroffene Unternehmen ist die Einhaltung dieser Empfehlungen de facto Pflicht, da das BSI sie als Stand der Technik ansieht. Darüber hinaus empfiehlt das BSI, bereits jetzt PQC-Pilotprojekte zu starten — etwa die Migration eines internen VPN-Gateways auf hybride Kryptographie —, um Erfahrungen zu sammeln und Kompatibilitätsprobleme frühzeitig zu erkennen.
• Zertifikats- und PKI-Migration planen: Die Migration von Public-Key-Infrastrukturen (PKI) zu PQC-Algorithmen ist besonders komplex. Bestehende X.509-Zertifikatsketten müssen auf ML-DSA-Signaturen umgestellt werden, was Änderungen an Root-CAs, Intermediate-CAs und allen ausgestellten Endentitäts-Zertifikaten erfordert. Die Internet Engineering Task Force (IETF) arbeitet an Standards für hybride Zertifikate (Composite Certificates), die gleichzeitig klassische und PQC-Signaturen tragen — ein Ansatz, der die schrittweise Migration ermöglicht, ohne die Kompatibilität mit älteren Systemen zu brechen.
• Firmware und eingebettete Systeme nicht vergessen: Besonders kritisch ist die PQC-Migration bei IoT-Geräten und eingebetteten Systemen mit begrenzten Ressourcen (Speicher, Rechenleistung, Bandbreite). ML-KEM und ML-DSA sind zwar performant, erfordern aber größere Schlüssel und Signaturen als klassische Verfahren. Für extrem ressourcenbeschränkte Geräte kann FN-DSA (FIPS 206) mit seinen kompakten Signaturen eine bessere Wahl sein. Planen Sie Firmware-Updates und testen Sie die PQC-Kompatibilität frühzeitig.

Praxis-Empfehlung: Beginnen Sie mit einem PQC-Readiness-Assessment: Erstellen Sie das kryptographische Inventar, identifizieren Sie die kritischsten Systeme und starten Sie ein Pilotprojekt — idealerweise mit einer hybriden TLS-Konfiguration für interne Dienste. Planen Sie 12–24 Monate für die initiale Bestandsaufnahme und Pilotierung, 3–5 Jahre für die vollständige Migration. Wer früh beginnt, vermeidet den Zeitdruck vor 2030.

Regulatorischer Kontext: Die PQC-Migration ist nicht nur eine technische Frage, sondern zunehmend auch eine regulatorische. Die NIS2-Richtlinie verlangt von betroffenen Unternehmen den Einsatz von Kryptographie nach dem „Stand der Technik“ — und dieser Stand verschiebt sich mit der Finalisierung der NIST-PQC-Standards. Das BSI hat in seiner aktualisierten TR-02102 (2025) hybride Kryptographie als empfohlene Übergangsmaßnahme aufgenommen. Für den Finanzsektor fordert DORA (Digital Operational Resilience Act) eine regelmäßige Überprüfung der eingesetzten kryptographischen Verfahren. Unternehmen, die PQC-Migration heute ignorieren, riskieren nicht nur Datendiebstahl durch HNDL-Angriffe, sondern auch regulatorische Nicht-Konformität ab 2030.

Der Weg zur Quantensicherheit ist lang, aber die Richtung ist eindeutig. Die NIST-Standards stehen, die BSI-Empfehlungen sind klar, und die Browser- und Cloud-Anbieter implementieren bereits hybride PQC-Verfahren. Unternehmen, die jetzt mit der Inventarisierung und Pilotierung beginnen, werden die Migration als geplantes Projekt durchführen können — statt unter Zeitdruck reagieren zu müssen, wenn die Deprecation-Fristen näherrücken.