Deutschlands Roadmap zur Quantensicherheit: Orientierung zwischen BSI-Empfehlungen, PQC und Krypto-Agilität

Hinweis zur Veröffentlichung: Dieser Beitrag bietet eine technische und strategische Einschätzung; er stellt weder eine Rechtsberatung noch eine verbindliche Compliance-Aussage dar.

Das Wichtigste für Entscheider

Deutschlands Agenda zur Quantensicherheit hat die Forschungslabore und den engen Fachbereich der Kryptografie-Spezialisten längst verlassen. Die Fortschritte im Quantencomputing stellen die langfristigen Sicherheitsannahmen hinter den Public-Key-Verfahren infrage, auf denen digitales Vertrauen heute beruht. Post-Quanten-Kryptografie (PQC) wird damit in Deutschland zu einem strategischen Transformationsfeld an der Schnittstelle von Cybersicherheit, Resilienz kritischer Infrastrukturen, regulatorischer Compliance, Lieferkettensicherheit und digitaler Souveränität.

Die zentrale Frage lautet nicht mehr: „Wann genau kommt Q-Day?“ Relevanter ist: Bleibt die kryptografische Infrastruktur, die wir heute einsetzen, so lange verlässlich, wie die Daten geschützt bleiben müssen?

Für Organisationen beginnt der Weg nicht mit der sofortigen Wahl eines neuen Algorithmus. Er beginnt mit Transparenz: zu verstehen, welche Algorithmen, Protokolle, Zertifikate, Schlüssel, HSM/KMS-Komponenten und Lieferantenabhängigkeiten derzeit im Einsatz sind. Deshalb bilden das Krypto-Inventar und die Cryptography Bill of Materials (CBOM) das erste operative Fundament jedes ernsthaften PQC-Umstellungsprogramms.

Kernthese

Quantensicherheit ist nicht in erster Linie die Geschichte eines künftigen Angriffs. Sie ist eine Disziplin, die das Verhältnis zwischen Datenlebensdauer und Risikohorizont steuert. PQC-Bereitschaft ist daher nicht bloß technische Modernisierung, sondern ein GRC-Problem, das sich in kryptografischer Architektur ausdrückt.

1. Warum Quantensicherheit schon heute ein Thema ist

Quantencomputer tauchen in den alltäglichen Bedrohungsmodellen der meisten Organisationen noch nicht als aktives Angriffswerkzeug auf. Quantenrisiken als fernes Zukunftsthema zu behandeln, wäre strategisch dennoch irreführend. Es geht nicht nur darum, wann ein kryptoanalytisch relevanter Quantencomputer entsteht, sondern auch um ein passives Angriffsmodell, das schon heute tragfähig ist: Harvest Now, Decrypt Later.

In diesem Szenario sammelt ein Angreifer Datenverkehr oder archivierte Daten, die heute durch klassische Algorithmen geschützt sind, um sie später zu entschlüsseln, sobald ausreichende Quantenkapazität verfügbar ist. Die Daten mögen heute unlesbar sein und doch in einigen Jahren offenliegen. Die eigentliche Wirkung des Angriffs kann lange nach der ursprünglichen Erfassung eintreten.

Besonders relevant ist dieses Risiko für Gesundheits- und genetische Daten, Akten der öffentlichen Verwaltung und Bürgerdaten, Verteidigungs- und Nachrichtendienstinformationen, strategische F&E-Ergebnisse, langfristige Finanzverträge, geistiges Eigentum, kritische Lieferketteninformationen und die Architekturen kritischer Infrastrukturen.

Eine technische Unterscheidung ist dabei wesentlich: Der zentrale Bruch durch Quantencomputer wird bei Public-Key-Verfahren wie RSA, Diffie-Hellman und elliptischer Kurvenkryptografie erwartet. Symmetrische Kryptografie ist nicht in derselben Lage; Grovers Algorithmus kann das effektive Sicherheitsniveau zwar senken, doch mit ausreichend langen Schlüsseln bleibt das Risiko beherrschbar. Die Priorität liegt daher auf Public-Key-Infrastrukturen, Zertifikatsketten, den Verfahren zum Schlüsselaustausch in TLS, VPN und SSH sowie auf langlebigen digitalen Signaturen.

Leitfrage

Bleiben die Daten, die heute als sicher gelten, über den gesamten Zeitraum geschützt, in dem sie vertraulich bleiben müssen?

2. Deutschlands strategischer Rahmen: BSI, technologische Souveränität und KRITIS

Deutschland versteht Quantentechnologien nicht nur als wissenschaftliches Forschungsfeld. Sie werden zunehmend als Frage der Industriepolitik, der technologischen Souveränität und der Sicherheitsfähigkeit behandelt. Diese Einordnung macht Quantensicherheit zu einem strategischen Thema mit zwei Seiten.

Die erste Seite ist defensiv. Die möglichen Auswirkungen von Quantencomputern auf die heutige Public-Key-Kryptografie erfordern eine Neubewertung der langfristigen Annahmen, auf denen digitales Vertrauen beruht. Die zweite Seite ist der Aufbau eigener Fähigkeiten. Deutschland und Europa wollen Quantentechnologien nicht nur nutzen, sondern auch herstellen, standardisieren und einsetzen. PQC liegt am Schnittpunkt beider Linien: Sie deckt den defensiven Bedarf und stützt zugleich die technischen Grundlagen digitaler Souveränität.

Die Rolle des BSI ist zentral. Es ist nicht bloß eine Stelle, die technische Empfehlungen herausgibt, sondern einer der wichtigsten Bezugspunkte, an denen sich die Sicherheitserwartungen für den öffentlichen Sektor, kritische Infrastrukturen und Hochsicherheitssysteme in Deutschland ausrichten.

Auch die Unterscheidung zwischen QKD und PQC sollte klar bleiben. Quantenschlüsselverteilung kann auf ausgewählten physischen Punkt-zu-Punkt-Verbindungen als ergänzende Schicht sinnvoll sein, ersetzt PQC aber nicht in großen Unternehmensnetzen, Internetprotokollen, Cloud-Anbindungen, Software-Signaturprozessen oder in der Lieferkettensicherheit. QKD kann spezialisierte physische Verbindungen bedienen; PQC ist der skalierbare Umstellungsmechanismus für die bestehende digitale Infrastruktur.

3. Standards und Regulierung: Was ist verbindlich, was ist Empfehlung, was ist Planungshorizont?

Deutschlands Roadmap zur Quantensicherheit lässt sich nicht als rein nationale Agenda lesen. Die technischen Empfehlungen des BSI, die PQC-Politik der EU, die Algorithmenstandards des NIST, die Integrationsarbeit der ENISA und die Protokollstandardisierung bei IETF und ETSI müssen gemeinsam betrachtet werden.

Die Ausgabe 2026-01 der BSI TR-02102-1 setzt einen wichtigen Empfehlungshorizont für den alleinigen Einsatz klassischer asymmetrischer Schlüsseleinigungsverfahren: Ende 2030 für Anwendungen mit hohem Schutzbedarf und Ende 2031 für allgemeine Systeme. Das ist nicht als einheitliches gesetzliches Verbotsdatum zu verstehen, sondern als starke technische Referenz für die Bewertung des Stands der Technik im deutschen Markt.

Auf EU-Ebene forderte die Empfehlung der Kommission von 2024 die Mitgliedstaaten auf, eine koordinierte Strategie und eine Umsetzungsroadmap für die Umstellung auf PQC zu entwickeln. Die koordinierte Umsetzungsroadmap von 2025 setzte dann einen konkreteren politischen Horizont: Die Mitgliedstaaten sollen die Umstellung bis Ende 2026 beginnen, und Anwendungsfälle mit hohem Risiko, insbesondere kritische Infrastrukturen, sollen spätestens Ende 2030 auf PQC umgestellt sein. Diese Ziele sind keine automatischen gesetzlichen Fristen für jede einzelne Organisation. Es sind politische Koordinierungsziele, die eine starke Compliance-Erwartung an Prüfbarkeit, Lieferkettensicherheit und ein Risikomanagement nach dem Stand der Technik erzeugen.

Auf globaler Ebene prägen die NIST-Standards FIPS 203, FIPS 204 und FIPS 205 inzwischen das Produkt- und Protokoll-Ökosystem. FIPS 203 standardisiert ML-KEM für Schlüsselkapselung und Schlüsselaustausch. FIPS 204 standardisiert ML-DSA für digitale Signaturen. FIPS 205 standardisiert SLH-DSA als zustandsloses, hashbasiertes Signaturverfahren.

Bei DORA ist besonders vorsichtige Formulierung geboten. Der DORA-Text erwähnt „Post-Quanten“ oder „PQC“ nicht ausdrücklich. Sein Rahmen für IKT-Risikomanagement, Schutz und Prävention, operationale Resilienz und IKT-Drittparteienrisiko verlangt von Finanzunternehmen jedoch, kryptografische Schwachstellen proaktiv zu steuern. PQC ist daher nicht als eigens benannte DORA-Klausel zu behandeln, sondern als mittelbare Erwartung an technische Compliance und Resilienz, die sich aus dem IKT-Risikomanagement ableitet.

NIS2 verdient dieselbe Sorgfalt. PQC-Bereitschaft ist unter NIS2 kein ausdrücklich benannter, eigenständiger Auftrag für jede Einrichtung. Zusammen gelesen mit Risikomanagement, Lieferkettensicherheit und den Erwartungen an den Stand der Technik sowie mit der PQC-Roadmap der EU dürfte sie jedoch Teil von Audit- und Governance-Diskussionen werden.

Bedeutung für Entscheider: In einer Budgetdiskussion 2027 lautet die Frage: Welche Systeme, Lieferanten und langlebigen Datenklassen müssen vor 2030 sichtbar werden?

4. 2026–2035: das kritische Planungsfenster

Die Roadmap sollte nicht auf ein einzelnes Datum verkürzt werden. Die Jahre 2026, 2030, 2031 und 2035 haben nicht alle denselben rechtlichen oder technischen Charakter. Einige sind Ziele der EU-Roadmap, andere Empfehlungshorizonte des BSI, wieder andere strategische Planungsfenster, die Organisationen nutzen sollten, um nicht in Rückstand zu geraten.

Die zentrale Schlussfolgerung ist eindeutig: Zwischen 2026 und 2030 geht es bei der PQC-Bereitschaft vor allem um Transparenz, Inventarisierung und Piloten. Nach 2030 wird sie zur Frage der Resilienz im Produktivbetrieb, der Prüfbarkeit und der Compliance in der Lieferkette.

5. Auswirkungen je Sektor: Eine Einheitsmigration reicht nicht

Die organisatorischen Auswirkungen der PQC-Migration sind nicht in allen Sektoren gleich. Eine auf Deutschland ausgerichtete Strategie sollte daher auf sektorspezifischem Risiko und entsprechender Priorisierung beruhen, nicht auf einem generischen technischen Migrationsplan.

6. CBOM und Krypto-Agilität: von Transparenz zu Steuerbarkeit

Die erste Frage einer PQC-Umstellung lautet nicht: „Welchen Algorithmus sollen wir wählen?“ Die erste Frage lautet: Weiß die Organisation, welche Algorithmen sie derzeit nutzt, und wo? Ohne dieses Wissen lassen sich Umstellungszeitpläne, Budgets, Lieferantenabhängigkeiten, regulatorische Auswirkungen und technische Prioritäten nicht belastbar bestimmen.

Ein CBOM ist nicht bloß eine Liste von Softwarebibliotheken. Es ist ein umfassenderes Modell kryptografischer Transparenz: eingesetzte Algorithmen, Schlüssellängen, Zertifikatsketten, Konfigurationen von TLS, IPsec, SSH, S/MIME und VPN, HSM/KMS-Infrastruktur, SaaS- und Open-Source-Abhängigkeiten sowie die Vertraulichkeitsdauer der Daten.

Ein Nebenprodukt der CBOM-Arbeit mit hohem Wert ist Krypto-Hygiene. Bei der Vorbereitung auf PQC stoßen Organisationen häufig auf veraltete TLS-Versionen, schwache Cipher-Suites, vergessene Zertifikate, verbliebene SHA-1-Nutzung oder undokumentierte kryptografische Abhängigkeiten bei Dritten. In diesem Sinne ist das CBOM nicht nur ein Werkzeug für den Post-Quanten-Übergang, sondern auch ein Messinstrument für den heutigen Reifegrad der Cybersicherheit.

Krypto-Agilität ist die Fähigkeit, kryptografische Algorithmen von starren, fest verdrahteten Architekturelementen in austauschbare, beobachtbare und steuerbare Sicherheitskomponenten zu verwandeln. Das ist nicht nur ein Merkmal technischer Architektur. Es ist eine GRC-Fähigkeit: Managemententscheidungen, Lieferantenverträge, Produkt-Roadmaps, Auditvorbereitung und Budgetplanung sollten sich daran ausrichten.

7. Hybride PQC-Migration: die Architektur eines kontrollierten Übergangs

In der Übergangszeit ist für viele Anwendungsfälle mit hohem Schutzbedarf eine hybride Architektur der realistischste Ansatz. Die hybride PQC-Migration kombiniert klassische und Post-Quanten-Verfahren innerhalb derselben Sicherheitsoperation. Ihr praktischer Zweck ist, PQC-Algorithmen einzuführen, ohne sich vollständig von den ausgereiften Sicherheitsannahmen des bestehenden Ökosystems zu lösen.

TLS 1.3, IPsec/IKEv2 und SSH gehören zu den ersten Schichten, in denen der Übergang sichtbar wird. IETF RFC 10024 definiert drei hybride Schlüsseleinigungsverfahren für TLS 1.3: X25519MLKEM768, SecP256r1MLKEM768 und SecP384r1MLKEM1024. Standardisierung bedeutet jedoch nicht, dass Produktivumgebungen in Unternehmen automatisch bereit sind; Betriebssysteme, TLS-Bibliotheken, Netzwerksicherheitsprodukte, HSM/KMS-Plattformen und die Release-Zyklen der Hersteller müssen gesondert verfolgt werden.

PQC-Algorithmen können größere Schlüssel, Chiffrate oder Signaturen erzeugen als ihre klassischen Gegenstücke. Das kann MTU, Paketfragmentierung, Handshake-Dauer, Gerätespeicher, Logvolumen und die Auswertung durch Monitoring-Werkzeuge beeinflussen. Die hybride Migration sollte daher als kontrolliertes Programm angelegt werden: Labortests, Piloten, begrenzter Produktiveinsatz und stufenweiser Rollout.

8. GRC, Datenschutz und Ethik: warum Quantensicherheit nicht rein technisch ist

Quantensicherheit beginnt technisch in der Kryptografie, muss auf Organisationsebene aber über GRC gesteuert werden. Welche Datenklassen über viele Jahre vertraulich bleiben müssen, welche Systeme kritische Geschäftsprozesse tragen, welche Lieferanten kryptografische Abhängigkeiten schaffen und welche Risiken an die Geschäftsleitung berichtet werden sollten – das sind keine Fragen, die technische Teams allein beantworten können.

Es ist zugleich eine Frage der Ethik und des Datenschutzes. Wenn eine Gesundheitsakte, eine Bürgerakte oder ein langfristiges öffentliches Archiv, das heute erhoben wird, künftig entschlüsselbar wird, ist die Folge nicht nur eine technische Sicherheitslücke. Auch die Privatsphäre Einzelner, institutionelles Vertrauen, die öffentliche Sicherheit und das Vertrauen in eine demokratische digitale Infrastruktur können betroffen sein.

Die bessere Frage ist daher nicht nur: „Welcher Algorithmus ist sicher?“ Die vollständige Frage lautet: Welche Daten müssen geschützt werden, wie lange, gegenüber welchem Bedrohungshorizont und unter wessen organisatorischer Verantwortung?

9. Handlungsfahrplan für Organisationen

1. Verankern Sie die Verantwortung für PQC-Risiken auf Managementebene; das Thema darf nicht auf technische Forschungsteams beschränkt bleiben.
2. Starten Sie eine organisationsweite CBOM-Erhebung, die Algorithmen, Protokolle, Zertifikate, HSM/KMS-Komponenten und Abhängigkeiten von Dritten sichtbar macht.
3. Analysieren Sie die Vertraulichkeitsdauer Ihrer Daten und priorisieren Sie Gesundheits-, Verwaltungs-, Finanz-, F&E- und strategische Vertragsdaten, die dem HNDL-Risiko ausgesetzt sind.
4. Messen Sie den Reifegrad Ihrer Krypto-Agilität und legen Sie Zielniveau, Budget und Roadmap als Managemententscheidung fest.
5. Wählen Sie risikoarme Pilotanwendungen für TLS, IPsec/VPN, SSH, PKI sowie Code- und Firmware-Signatur.
6. Prüfen Sie Hersteller für Hersteller, ob HSM/KMS- und CA-Infrastruktur für ML-KEM, ML-DSA und hybride Abläufe bereit ist.
7. Nehmen Sie Klauseln zu PQC-Bereitschaft, Krypto-Agilität, CBOM-Weitergabe und der Beseitigung schwacher Algorithmen in kritische Lieferantenverträge auf.
8. Wenn Ihre Organisation unter NIS2 oder DORA fällt, integrieren Sie PQC-Risiken in das reguläre Risikoreporting und in die Cyber-Resilienz-Agenda auf Vorstandsebene.
9. Entwickeln Sie getrennte Schulungsmodule für technische Teams, ISMS-Teams und Führungskräfte; das Thema sollte nicht auf Kryptografie-Spezialisten verengt werden.

Fazit: Deutschlands strategisches Fenster ist offen

Deutschlands Roadmap zur Quantensicherheit wird von den kryptografischen Empfehlungen des BSI geprägt, von den koordinierten PQC-Umstellungszielen der EU, von den globalen Algorithmenstandards des NIST und von Europas umfassender Agenda für digitale Souveränität.

Die Richtung ist eindeutig: Der langfristig ausschließliche Einsatz klassischer asymmetrischer Kryptografie läuft aus, während PQC, hybride Architekturen und Krypto-Agilität Teil der Sicherheitsplanung in Unternehmen werden.

Entscheidend für Organisationen ist, dass sich dieser Übergang nicht als Produktupdate in letzter Minute erledigen lässt. Ohne CBOM ist der Umfang der Umstellung unbekannt. Ohne Krypto-Agilität lässt sich ein Algorithmenwechsel nicht steuern. Ohne Pilotprojekte lassen sich Leistungs- und Kompatibilitätsrisiken nicht messen.

Der größte organisatorische Bedarf im deutschen PQC-Übergangsfenster ist keine komplexe algorithmische Erzählung, sondern eine klare Risikolandkarte, die Entscheider verstehen, und ein konkreter Umstellungsplan, den technische Teams umsetzen können. Quantensicherheit hat den engen Fachbereich der Kryptografie-Spezialisten verlassen. Sie wird Teil nationaler Resilienz, des unternehmerischen Risikomanagements, des Schutzes kritischer Infrastrukturen und der digitalen Souveränität im europäischen Maßstab.

Quellen

Dieser Blogbeitrag beruht auf dem technischen Whitepaper „Germany’s Quantum Security Roadmap“ von Quantum-Safe Dynamics und den folgenden Primärquellen.

1. BSI — TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen, Version 2026-01.
2. BSI — BSI empfiehlt Ende klassischer asymmetrischer Verschlüsselungsverfahren, 11.02.2026.
3. BSI / ANSSI / NLNCSA / Swedish NCSA — Position Paper on Quantum Key Distribution, Januar 2024.
4. Europäische Kommission — Recommendation on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography, 11.04.2024.
5. Europäische Kommission / NIS-Kooperationsgruppe — Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, 23.06.2025.
6. NIST — FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard.
7. NIST — FIPS 204: Module-Lattice-Based Digital Signature Standard.
8. NIST — FIPS 205: Stateless Hash-Based Digital Signature Standard.
9. ENISA — Post-Quantum Cryptography: Integration Study.
10. ETSI — TS 103 744 V1.2.2: Quantum-Safe Cryptography; Quantum-safe Hybrid Key Establishment.
11. IETF / RFC Editor — RFC 9794: Terminology for Post-Quantum Traditional Hybrid Schemes.
12. IETF / RFC Editor — RFC 10024: Post-Quantum Traditional Hybrid Key Agreement Mechanisms for TLS 1.3.
13. Verordnung (EU) 2022/2554 — Digital Operational Resilience Act (DORA).