Autor: Salman Dolatpanah Gortlar
Stand: Oktober 2026
Quantencomputer sind noch nicht in der Lage, die weltweit eingesetzte Public-Key-Kryptografie im großen Stil zu brechen. Trotzdem ist Post-Quantum Cryptography (PQC) 2026 kein Zukunftsthema mehr. NIST formuliert es inzwischen sehr deutlich: Unternehmen sollen mit der Migration auf quantenresistente Verfahren beginnen.
Der Grund ist nicht nur die Frage, wann ein ausreichend leistungsfähiger Quantencomputer existiert. Sensible Daten können heute abgegriffen und jahrelang gespeichert werden, um sie später mit leistungsfähigeren Systemen zu entschlüsseln. Dieses Risiko wird häufig als Harvest Now, Decrypt Later bezeichnet.
Warum heutige Public-Key-Verfahren langfristig gefährdet sind
Viele heutige Sicherheitsprotokolle basieren auf mathematischen Problemen, die für klassische Computer sehr schwer zu lösen sind. Dazu gehören insbesondere RSA und elliptische Kurvenverfahren. Ein ausreichend leistungsfähiger, fehlertoleranter Quantencomputer könnte bestimmte dieser Probleme mit Shors Algorithmus wesentlich effizienter lösen.
Symmetrische Kryptografie wie AES ist anders betroffen. Dort reduziert Grovers Algorithmus vereinfacht betrachtet die effektive Sicherheitsmarge, lässt sich aber durch ausreichend große Schlüssel besser kompensieren.
NIST hat die ersten PQC-Standards bereits finalisiert
Im August 2024 veröffentlichte NIST die ersten drei finalen Post-Quantum-Standards:
- FIPS 203 – ML-KEM für Key Encapsulation,
- FIPS 204 – ML-DSA für digitale Signaturen,
- FIPS 205 – SLH-DSA als hashbasiertes Signaturverfahren.
NIST erklärt 2026, dass diese Standards bereits implementiert werden können und die Grundlage für die meisten zukünftigen PQC-Deployments bilden sollen.
Was ist ML-KEM?
ML-KEM basiert auf dem früher als CRYSTALS-Kyber bekannten Verfahren. Es wird verwendet, um über einen unsicheren Kommunikationskanal ein gemeinsames Geheimnis zu etablieren. Dieses Geheimnis kann anschließend für symmetrische Verschlüsselung eingesetzt werden.
Damit adressiert ML-KEM genau einen zentralen Bereich heutiger Public-Key-Kryptografie: den sicheren Schlüsselaustausch.
Was ist ML-DSA?
ML-DSA ist ein Post-Quantum-Signaturverfahren, das aus CRYSTALS-Dilithium hervorgegangen ist. Digitale Signaturen werden überall dort benötigt, wo Authentizität und Integrität nachweisbar sein müssen – beispielsweise bei Software-Updates, Zertifikaten, Dokumenten oder Code Signing.
SLH-DSA als hashbasierte Alternative
SLH-DSA basiert auf hashbasierten Konstruktionen und verfolgt damit einen anderen mathematischen Ansatz. Unterschiedliche Verfahren sind wichtig, weil kryptografische Diversität verhindert, dass die gesamte Zukunftsstrategie von nur einer mathematischen Problemklasse abhängt.
2026 geht es nicht mehr nur um Standardisierung, sondern um Migration
NIST arbeitet inzwischen intensiv an der praktischen Umstellung bestehender Systeme. Das NCCoE-Projekt zur PQC-Migration konzentriert sich auf zwei große Bereiche:
- Cryptographic Visibility and Risk Management – also ein Inventar der tatsächlich verwendeten Kryptografie,
- Interoperability and Benchmarking – also die Frage, wie neue Verfahren in reale Produkte und Protokolle integriert werden.
Das zeigt, wo Unternehmen beginnen sollten: nicht mit einem einzelnen neuen Algorithmus, sondern mit Sichtbarkeit.
Das Kryptografie-Inventar wird zum neuen Asset Inventory
Viele Organisationen wissen relativ genau, welche Server und Clients sie besitzen. Deutlich schwieriger ist die Frage: Wo verwenden wir überall RSA, ECC oder andere Public-Key-Verfahren?
Die Antwort kann viele Bereiche umfassen:
- TLS-Zertifikate und HTTPS,
- VPN-Verbindungen,
- SSH,
- PKI und interne Zertifizierungsstellen,
- Code Signing,
- E-Mail-Verschlüsselung und S/MIME,
- Hardware Security Modules,
- IoT- und Embedded-Geräte,
- Backups und Langzeitarchive.
Ohne Inventar lässt sich keine belastbare Migrationsreihenfolge erstellen.
Welche Daten müssen besonders früh geschützt werden?
Nicht jede Information muss 20 Jahre geheim bleiben. Ein temporäres Monitoring-Log hat eine andere Schutzdauer als Gesundheitsdaten, Forschungsdaten oder Geschäftsgeheimnisse.
Priorität sollten Daten erhalten, deren Vertraulichkeitsbedarf länger ist als die erwartete Zeit bis zur Verfügbarkeit eines kryptografisch relevanten Quantencomputers. Genau hier wird Harvest-Now-Decrypt-Later besonders relevant.
Crypto Agility: Der unterschätzte Teil der PQC-Migration
NIST betont zunehmend Cryptographic Agility. Darunter versteht man die Fähigkeit, kryptografische Algorithmen, Parameter und Zertifikate austauschen zu können, ohne komplette Anwendungen neu entwickeln zu müssen.
Ein System, in dem ein RSA-Verfahren tief im Quellcode fest verdrahtet ist, wird später schwerer zu migrieren sein als eine Architektur mit sauberer Crypto-Abstraktion.
Hybridverfahren während der Übergangszeit
In der Praxis werden klassische und post-quantenresistente Verfahren für eine Übergangszeit häufig parallel verwendet. Ziel ist, die Sicherheit nicht vollständig von einem neuen Algorithmus abhängig zu machen, solange Implementierungen und Ökosystem noch reifen.
Solche hybriden Designs müssen standardkonform umgesetzt werden. Eigenentwickelte Kryptografie ist auch im PQC-Zeitalter keine gute Idee.
Was bedeutet PQC für Microsoft-, Linux- und Cloud-Umgebungen?
Unternehmen sollten nicht versuchen, einzelne Systeme isoliert zu „quantum-proofen“. Betriebssysteme, Browser, TLS-Bibliotheken, Cloud-Dienste, Netzwerkgeräte und PKI-Komponenten werden nach und nach Unterstützung integrieren.
Die Aufgabe der IT besteht deshalb zunächst darin, Abhängigkeiten zu kennen, Hersteller-Roadmaps zu verfolgen und Testszenarien aufzubauen.
Ein praktischer PQC-Fahrplan für Unternehmen
1. Kryptografie inventarisieren: Wo werden Public-Key-Algorithmen verwendet?
2. Schutzdauer bewerten: Welche Daten müssen viele Jahre vertraulich bleiben?
3. Externe Abhängigkeiten dokumentieren: Welche Produkte, Appliances und SaaS-Dienste sind betroffen?
4. Crypto Agility erhöhen: Algorithmen und Zertifikate austauschbar machen.
5. Hersteller-Roadmaps beobachten: PQC-Unterstützung in Betriebssystemen, VPNs, PKI und Cloud verfolgen.
6. Interoperabilität testen: Neue Verfahren zuerst in Testumgebungen einführen.
7. Kritische Systeme priorisieren: Langfristig sensible Daten zuerst migrieren.
2035 ist keine Einladung zum Warten
NIST beschreibt in seiner Transition Roadmap das Ziel, quantenverwundbare Algorithmen bis 2035 aus den Standards zu entfernen, wobei Hochrisikosysteme deutlich früher migrieren sollen. In großen Unternehmen benötigen PKI-, Netzwerk- und Applikationsmigrationen häufig viele Jahre.
Deshalb ist 2035 nicht der Startpunkt. Es ist ein Endpunkt, auf den Organisationen vorbereitet sein müssen.
Fazit: Der erste Schritt ist nicht ML-KEM – sondern Sichtbarkeit
Post-Quantum Cryptography klingt nach hochspezialisierter Mathematik. Für IT-Verantwortliche beginnt die Arbeit jedoch sehr praktisch: Welche Kryptografie nutzen wir, wo befindet sie sich, wie lange müssen die geschützten Daten sicher bleiben und können wir den Algorithmus später austauschen?
Wer 2026 ein sauberes Kryptografie-Inventar und Crypto-Agility aufbaut, reduziert den zukünftigen Migrationsdruck erheblich. Unternehmen, die erst reagieren, wenn alte Algorithmen unmittelbar abgeschaltet werden müssen, werden deutlich größere operative Risiken haben.
Quellen und weiterführende Informationen
NIST: Post-Quantum Cryptography
NIST CSRC: PQC Project and migration guidance
NIST NCCoE: Migration to Post-Quantum Cryptography