Warum „Wir wissen nicht, wann“ kein Grund zum Abwarten ist

Die meisten Gespräche über Quantencomputer und Cybersicherheit beginnen mit der falschen Frage:

„Wann wird ein Quantencomputer unsere Verschlüsselung tatsächlich brechen?“

Die Frage ist berechtigt. Als Anker für die Planung in Unternehmen taugt sie trotzdem wenig.

Weder das NIST noch nationale Sicherheitsbehörden noch die Forschung können ein verlässliches Datum für Q-Day (siehe unten) nennen. Mit weit größerer Sicherheit lässt sich dagegen sagen: Die Migration der Kryptografie in einem großen Unternehmen dauert Jahre. In vielen Umgebungen kann sie fast ein Jahrzehnt beanspruchen, in manchen Branchen noch länger.

Sobald diese Realität angekommen ist, ändert sich die Frage. Sie lautet nicht mehr: „Wann kommt die Bedrohung?“

Sondern: „Bleibt uns genug Zeit, um bereit zu sein, wenn sie kommt?“

Dieser Beitrag eröffnet unsere Reihe zur Post-Quanten-Bereitschaft. Bevor wir über Inventare, Migrations-Governance, PQC-Algorithmen oder Krypto-Agilität sprechen, müssen wir die Vorstellung hinterfragen, dass Abwarten auf Q-Day eine tragfähige Strategie sei.

Sirris [1] beschreibt das Problem ähnlich: Kryptografisch relevante Quantencomputer (CRQCs) müssen heute noch nicht existieren, damit Vorbereitung wichtig ist. Die eigentliche Herausforderung ist, sich auf einen Übergang vorzubereiten, der Jahre dauern kann.

Das ist längst kein reines Thema für Kryptografie-Spezialisten mehr. Auch die G7 Cybersecurity Working Group [2] fordert, die Quantenbedrohung nicht länger als fernes Zukunftsproblem zu sehen, sondern als kurzfristige Aufgabe, die Handeln in allen Sektoren verlangt – nicht nur in kritischen Infrastrukturen.

Was „Q-Day“ tatsächlich bedeutet

Q-Day ist der Zeitpunkt, an dem ein fehlertoleranter Quantencomputer groß genug ist, um Algorithmen wie den Shor-Algorithmus gegen kryptografische Schlüssellängen aus der Praxis einzusetzen.

Am stärksten exponiert sind die Public-Key-Verfahren, die einen Großteil der heutigen digitalen Infrastruktur zusammenhalten:

• RSA
• Diffie-Hellman
• Schlüsselaustausch auf Basis elliptischer Kurven
• Signaturen auf Basis elliptischer Kurven

Qubit-Zahlen in Schlagzeilen können in die Irre führen. Ein Chip mit mehr physischen Qubits ist nicht automatisch eine Maschine, die Kryptografie brechen kann. Verlässliche logische Qubits, Fehlerkorrektur und Engineering im großen Maßstab sind weit wichtiger als die reine Zahl der Qubits.

Wie nah sind wir also?

• Das NIST NCCoE [3] hält fest, dass viele Fachleute einen CRQC innerhalb von 15 bis 20 Jahren erwarten, andere dagegen erst in 30 Jahren oder später – nicht zuletzt, weil Fehlertoleranz so schwer zu erreichen ist. Das NIST betont außerdem, dass bei Skalierung und Fehlerkorrektur noch erhebliche Fortschritte nötig sind.
• Das deutsche BSI [4] nimmt eine ähnlich vorsichtige Haltung ein und schätzt am konservativen Ende rund 15 Jahre, weist aber darauf hin, dass der tatsächliche Zeitrahmen kürzer sein könnte.
• Bart Preneel [5] hat darauf hingewiesen, dass die Schätzungen der physischen Qubits, die zum Brechen von RSA-2048 nötig sind, in den letzten Jahren deutlich gesunken sind – vor allem dank Verbesserungen bei der Fehlerkorrektur und der algorithmischen Effizienz, nicht allein durch größere Hardware.

Selbst der konservative Zeitrahmen kann sich verschieben. Die Unsicherheit ist real, aber Unsicherheit ist keine Strategie. Wer mit der Migration wartet, bis ein CRQC existiert, kommt bereits zu spät.

Harvest-Now, Decrypt-Later: Das Risiko besteht schon heute

Angreifer können die heute eingesetzte Public-Key-Kryptografie noch nicht mit Quantencomputern brechen. Die Entschlüsselung in Echtzeit ist aber nicht das unmittelbare Problem.

Das unmittelbare Problem heißt Harvest-Now, Decrypt-Later (HNDL). Die Logik ist einfach:

1. Heute: Ein Angreifer fängt verschlüsselten Datenverkehr ab und speichert ihn.
2. Künftig: Ein CRQC bricht den quantenanfälligen Schlüsselaustausch und legt die Sitzungsgeheimnisse offen.
3. Rückwirkender Bruch: Historischer Datenverkehr kann lesbar werden.

Der G7-Aufruf beschreibt das Risiko genauso: Der Angriff ist überall relevant, wo Vertraulichkeit länger geschützt werden muss, als die Entwicklung eines CRQC dauert. Wenn Sie Daten halten, die länger vertraulich bleiben müssen (Gesundheitsakten, geistiges Eigentum, Finanzarchive, Identitätsdaten, Behördeninformationen, langlebige Geschäftsgeheimnisse), kann das Risiko in dem Moment beginnen, in dem die verschlüsselten Daten abgegriffen werden – nicht erst an Q-Day.

Digitale Signaturen bergen ein verwandtes, aber anderes Risiko. Hier geht es nicht um rückwirkende Entschlüsselung. Ist ein Signaturverfahren erst gebrochen, können Angreifer künftig Firmware-Updates fälschen, vertrauenswürdige Identitäten vortäuschen oder Software-Lieferketten kompromittieren. Das G7-Dokument hebt dasselbe Authentisierungsrisiko hervor: Künftige CRQC-Fähigkeiten könnten es Angreifern erlauben, sich als vertrauenswürdige Stellen auszugeben, Geräte zu kompromittieren und vertrauenswürdige Daten zu fälschen.

Warum gerade Public-Key-Kryptografie?

Nicht jede Kryptografie ist gleich betroffen [6]. Präzision ist hier wichtig, weil sie sowohl Unter- als auch Überreaktion verhindert.

• Public-Key-Kryptografie (RSA, Diffie-Hellman und ECC): Diese Verfahren beruhen auf der Faktorisierung ganzer Zahlen und dem diskreten Logarithmus. Der Shor-Algorithmus hebelt diese Annahmen vollständig aus. Systeme, die auf diesen Verfahren beruhen, brauchen einen Migrationspfad zu Post-Quanten-Alternativen.
• Symmetrische Verschlüsselung (zum Beispiel AES): Vor allem durch den Grover-Algorithmus betroffen, der die Schlüsselsuche quadratisch beschleunigt. Für viele Anwendungsfälle stellen längere Schlüssel wie AES-256 die beabsichtigte Sicherheitsmarge wieder her, ohne das Verfahren auszutauschen.
• Hashfunktionen (zum Beispiel SHA-256): Hier gelten verwandte, aber differenziertere Überlegungen zur Quantensuche. Die Auswirkung ist nicht vergleichbar mit dem vollständigen Bruch von RSA, Diffie-Hellman und elliptischer Kurvenkryptografie durch Shor.

Die praktische Botschaft lautet:

Public-Key-Kryptografie muss migriert werden. Symmetrische Kryptografie und Hashfunktionen brauchen vor allem eine Überprüfung und passend gewählte Parameter.

Zwei Uhren, ein Planungsproblem: Moscas Ungleichung

Dr. Michele Mosca hat das Problem in eine einfache Entscheidungsregel gefasst:

X + Y > Z, wobei gilt:

• X ist die Zahl der Jahre, die Ihre Daten vertraulich bleiben müssen.
• Y ist die Zahl der Jahre, die die Migration Ihrer Infrastruktur dauert.
• Z ist die geschätzte Zahl der Jahre, bis ein CRQC existiert.

Wenn X + Y > Z, sind Sie bereits zu spät – und der richtige Zeitpunkt zu beginnen ist jetzt.

Nehmen wir konservative Zahlen. Angenommen, Ihre sensiblen Daten müssen 10 Jahre vertraulich bleiben, und eine realistische Migration im Unternehmen dauert 5 Jahre. Dann brauchen Sie einen Vorlauf von 15 Jahren.

Gemessen an der eigenen 15-Jahres-Schätzung des BSI für Z bleibt damit genau null Spielraum.

Y ist die Größe, die am häufigsten unterschätzt wird.

Migration bedeutet nicht, eine Konfigurationszeile zu ändern. Sie umfasst Erfassung, Krypto-Inventar, Abstimmung mit Herstellern, Tests, Zertifizierung und den Rollout in Produktivsystemen. Kryptografische Migration ist auch ohne Quantendruck langsam: Die Umstellungen bei SSL/TLS und in der Zahlungsinfrastruktur haben im gesamten Ökosystem jeweils ein Jahrzehnt oder länger gedauert.

Warum das so ist, beleuchten wir in Teil 2.

Das vierstufige Bereitschaftsmodell

Post-Quanten-Bereitschaft ist kein einzelnes Patch-Update. Sie ist ein Architektur- und Governance-Prozess.

Ein praxistaugliches Bereitschaftsmodell hat vier Stufen:

1. Sensibilisierung: Verstehen, welche Systeme gefährdet sind und warum Public-Key-Kryptografie im Mittelpunkt steht. (Dieser Beitrag.)
2. Transparenz: Ein Krypto-Inventar aufbauen: Schlüssel, Zertifikate, Algorithmen, HSMs, Protokolle und Lieferantenabhängigkeiten. (Folgt in Kürze.)
3. Priorisierung: Assets nach Datenlebensdauer, Geschäftskritikalität und Migrationsaufwand ordnen.
4. Migrations-Governance: Planen, wie der Übergang getestet, ausgerollt, überwacht und gepflegt wird – und festlegen, wer die Umsetzung verantwortet.

An den Standards fehlt es nicht mehr. Das NIST [7] hat FIPS 203, FIPS 204 und FIPS 205 im August 2024 finalisiert und damit ML-KEM, ML-DSA und SLH-DSA standardisiert. Das britische NCSC [8] hat zudem einen konkreten Migrationszeitplan vorgegeben:

• 2028: Erfassung und erste Migrationsplanung abschließen.
• 2031: Migrationen mit höchster Priorität abschließen.
• 2035: den umfassenden Übergang abschließen.

Doch ein Standard auf dem Papier ist nicht dasselbe wie Code im Produktivbetrieb.

Genau in dieser Lücke liegt Stufe 4. Die Verantwortung verteilt sich auf Security Engineering, Unternehmensarchitektur, Infrastruktur, Produktteams, Einkauf und Risikomanagement. PQC braucht deshalb ausdrückliche Unterstützung durch die Geschäftsleitung.

Schwer zu finanzieren ist sie außerdem, weil ein migriertes Produkt für Kunden genauso aussehen kann wie vorher: Die Website lädt, das VPN verbindet sich, die Zahlung funktioniert.

Das G7-Papier bringt es auf den Punkt: Quantenrisiko ist ein wirtschaftliches und unternehmerisches Risiko, nicht nur ein kryptografisches. Organisationen, die zögern, können Wettbewerbsvorteile verlieren oder von Aufträgen ausgeschlossen werden – auch bei öffentlichen Vergaben.

Fragen, die jetzt in Architektur-Reviews gehören

Sie müssen nicht über Nacht Ihren gesamten Technologie-Stack neu schreiben. Aber Sie sollten beginnen, die richtigen Fragen in Architektur-Reviews, Lieferantenbewertungen und Risikodiskussionen einzubringen [9]:

• Wo setzen wir in Netzwerk und Anwendungen auf RSA, Diffie-Hellman oder ECC?
• Welche Systeme verarbeiten Daten, die über 2035 hinaus vertraulich bleiben müssen?
• Welche Lieferanten treffen kryptografische Entscheidungen in unserem Namen?
• Haben unsere Anbieter für Cloud, PKI, Identität und HSM glaubwürdige PQC-Roadmaps?
• Wo gibt es fest verdrahtete kryptografische Primitive in Altsoftware oder eingebetteter Firmware?
• Haben wir überhaupt ein Krypto-Inventar?

Das Ziel ist nicht, morgen alles zu migrieren.

Das Ziel ist, nicht zu spät festzustellen, dass die am schwersten zu ändernden Systeme zugleich die kritischsten sind.

Die Bedrohung liegt in der Zukunft. Die Migration beginnt jetzt.

Der Zeitplan der Bedrohung ist ungewiss.

Den Zeitplan der Migration können Sie schon heute steuern.

In Teil 2 zeigen wir, warum diese Migration so viel schwieriger ist, als sie klingt: Public-Key-Kryptografie hat jahrzehntelang so gut funktioniert, dass sie unsichtbar geworden ist – tief eingebettet in nahezu alles, was wir bauen.

Genau dieser Erfolg macht ihre Ablösung so langsam.

Quellen und weiterführende Literatur

1. Sirris, „Post-quantum security starts with migration, not quantum computers“
2. G7 Cybersecurity Working Group unter Vorsitz der ANSSI, Preparing for the Post-Quantum Era: A Call to Action, September 2026
3. NIST NCCoE, Migration to Post-Quantum Cryptography FAQ
4. BSI, Empfehlungen zu quantensicherer Kryptografie und kryptografischen Verfahren
5. Bart Preneel, COSIC, KU Leuven: Vorträge zur Quantenbedrohung und zur Post-Quanten-Migration
6. Alfred Menezes, Post-Quantum Cryptography Explained
7. NIST, FIPS 203, FIPS 204 und FIPS 205
8. UK NCSC, Timelines for migration to post-quantum cryptography
9. CISA, NSA und NIST, Quantum-Readiness: Migration to Post-Quantum Cryptography