Über den Autor
Mehmet Ali Yagis ist Mitgründer und Director General bei QSD mit den Schwerpunkten Strategie, Risikoarchitektur, KI-Governance und Fahrpläne für Quantenresilienz.
Realitätsabgleich 2026
Die Planungsdiskussion ist deutlich konkreter geworden. Die koordinierte Roadmap der EU sieht vor, dass die Mitgliedstaaten die Umstellung auf PQC bis Ende 2026 beginnen und dass kritische Infrastruktur so bald wie möglich, spätestens bis Ende 2030, migriert. Das UK NCSC nutzt ein anderes, aber ergänzendes Planungsmodell: Erfassung und ein erster Plan bis 2028, höchstpriorisierte Migration bis 2031 und Abschluss bis 2035. Keines dieser Daten sagt Q-Day voraus. Ihr Wert ist ein steuernder: Sie übersetzen Unsicherheit in Handlungsfenster und unterstreichen, warum langlebige vertrauliche Daten nicht auf eine Durchbruchsmeldung warten können.
Die falsche Frage: „Wann ist Q-Day?"
Q-Day wird oft diskutiert, als wäre er ein Kalenderereignis: ein künftiges Datum, an dem ein hinreichend leistungsfähiger Quantencomputer die heutige Public-Key-Kryptografie plötzlich unsicher macht. Diese Sichtweise ist attraktiv, weil sie eine Frist erzeugt. Sie ist zugleich operativ irreführend. Organisationen brauchen keine präzise Vorhersage, um eine rationale Sicherheitsentscheidung zu treffen. Sie müssen verstehen, wie lange ihre sensiblen Daten geschützt bleiben müssen, wie lange ihre kryptografische Migration dauern wird und wie viel Unsicherheit sie tragen können.
Harvest Now, Decrypt Later verschiebt den Zeitplan
Ein Angreifer muss Verschlüsselung heute nicht brechen, um künftigen Schaden anzurichten. Verschlüsselter Verkehr oder verschlüsselte Daten können jetzt gesammelt und aufbewahrt werden, bis künftige Fähigkeiten die Entschlüsselung ermöglichen. Das bedeutet: Informationen mit langer Vertraulichkeitsdauer können bereits heute einer künftigen Kompromittierung ausgesetzt sein, selbst wenn die aktuelle Verschlüsselung rechnerisch stark bleibt. Für Führungsteams wird Quantenrisiko damit von einer fernen Technologieprognose zu einer Frage des Datenlebenszyklus und der Umstellungsplanung.
Rückwärts von der Datenlebensdauer planen
Eine praxistaugliche Bewertung der Quantenbereitschaft beginnt mit drei Zeithorizonten: der Schutzdauer der Daten, der erwarteten Migrationszeit der Systeme, die sie schützen, und dem Unsicherheitsfenster rund um kryptoanalytische oder quantentechnische Fortschritte. Reicht die Vertraulichkeitsdauer über den Zeitraum hinaus, in dem die Organisation die Migration glaubhaft abschließen kann, ist die Exponierung bereits strategisch relevant. Deshalb sollten Erfassung und Priorisierung bei Geschäftsservices und Datenklassen beginnen und nicht bei einer Debatte über ein vorhergesagtes Q-Day-Datum.
Migration dauert länger als die Algorithmusauswahl
Die Auswahl eines standardisierten Post-Quanten-Algorithmus ist nur ein Teil der Umstellung. Reale Umgebungen enthalten PKI, HSMs, Zertifikate, VPNs, TLS-Endpunkte, Anwendungsbibliotheken, eingebettete Geräte, Lieferantenprodukte, Signaturprozesse und Altplattformen. Jedes davon hat eigene Lebenszyklen, Interoperabilitätsgrenzen und Änderungsfenster. Wer wartet, bis die Dringlichkeit offensichtlich wird, stellt womöglich fest, dass die langsamste Abhängigkeit — oft ein Lieferant oder eine Altplattform — den Zeitplan bestimmt.
Die bessere Managementfrage
Statt zu fragen „Wann brechen Quantencomputer unsere Verschlüsselung?", sollte man fragen: „Welche Informationen und Vertrauensdienste würden wir bereuen, nicht fünf Jahre früher migriert zu haben?" Diese Frage führt zu messbarem Handeln: ein kryptografisches Inventar aufbauen, langlebige sensible Daten identifizieren, die Bereitschaft der Lieferanten bewerten, Anforderungen an Krypto-Agilität festlegen und eine gestufte Umstellungs-Roadmap erstellen. Q-Day wird deshalb am besten als Planungshorizont behandelt — nicht als Vorhersage.
Kernaussage
Sicht von QSD: Beginnen Sie mit der Erfassung der Exponierung und einer risikobasierten Umstellungs-Roadmap und halten Sie den Fortschritt danach durch kontinuierliche Governance aufrecht statt durch ein einmaliges Migrationsprojekt.