Post-Quanten-Kryptografie: So bereitest du dein Unternehmen vor

Post-Quanten-Kryptografie ist vom Forschungsthema zur Managementaufgabe geworden. Seit die US-Standardisierungsbehörde NIST im August 2024 die ersten quantensicheren Verfahren als Standards veröffentlicht hat und die EU 2025 einen koordinierten Fahrplan vorgelegt hat, stellt sich in Unternehmen nicht mehr die Frage, ob sie umstellen, sondern wann und in welcher Reihenfolge.

Der Grund ist einfach: Heute verbreitete Verfahren wie RSA und elliptische Kurven gelten als angreifbar, sobald ausreichend leistungsfähige Quantencomputer existieren. Wann das der Fall sein wird, weiß niemand genau. Doch Daten, die heute abgefangen werden, können später entschlüsselt werden.

Dieser Beitrag zeigt dir, was hinter der Post-Quanten-Kryptografie steckt, welche Standards und Fristen es gibt und wie du die Migration in deinem Unternehmen strukturiert angehst, ohne in Aktionismus zu verfallen.

Was ist Post-Quanten-Kryptografie?

Post-Quanten-Kryptografie umfasst Verschlüsselungs- und Signaturverfahren, die auf klassischen Computern laufen, aber auch Angriffen durch künftige Quantencomputer standhalten sollen. Sie ersetzt asymmetrische Verfahren wie RSA und elliptische Kurven, die ein Quantencomputer mit dem Shor-Algorithmus brechen könnte. Neue Hardware braucht sie nicht, nur neue Algorithmen und Software.

Wichtig ist die Abgrenzung zur Quantenkryptografie, etwa der Quantenschlüsselverteilung. Diese nutzt physikalische Quanteneffekte und benötigt spezielle Hardware. Post-Quanten-Kryptografie dagegen ist reine Mathematik und lässt sich in bestehende Protokolle, Bibliotheken und Geräte integrieren.

Symmetrische Verfahren wie AES sind deutlich weniger betroffen. Hier genügen nach heutigem Stand ausreichend lange Schlüssel. Das eigentliche Problem liegt beim Schlüsselaustausch und bei digitalen Signaturen, also genau dort, wo heute RSA und elliptische Kurven arbeiten. Was Quantencomputer jenseits der Kryptografie schon leisten können, beleuchtet unser Beitrag zu Quantencomputing für Unternehmen.

Warum Post-Quanten-Kryptografie schon heute wichtig ist

Auf den ersten Blick wirkt das Thema weit entfernt. Doch zwei Effekte machen Post-Quanten-Kryptografie für Unternehmen bereits jetzt relevant.

Harvest now, decrypt later

Angreifer können verschlüsselte Daten heute speichern und später entschlüsseln, sobald die Technik verfügbar ist. Das Prinzip heißt „Harvest now, decrypt later“. Es betrifft alle Daten, die lange vertraulich bleiben müssen: Konstruktionspläne, Patente, Gesundheitsdaten, Verträge oder strategische Unterlagen.

Lange Lebenszyklen

Der zweite Effekt sind Produkte und Infrastrukturen mit langer Nutzungsdauer. Eine Maschinensteuerung, ein Fahrzeug oder ein Smart Meter, das heute ausgeliefert wird, ist oft 15 Jahre oder länger im Einsatz. Wenn dessen Firmware-Signaturen auf RSA beruhen, lässt sich das später kaum noch ändern.

Die Umstellung selbst dauert erfahrungsgemäß Jahre. Frühere Migrationen, etwa der Abschied von SHA-1, haben gezeigt, wie lange es dauert, bis alle Systeme, Partner und Geräte nachgezogen sind. Wer erst handelt, wenn ein leistungsfähiger Quantencomputer angekündigt wird, ist zu spät.

Standards der Post-Quanten-Kryptografie: Was festgelegt ist

Die Standardisierung ist inzwischen weit fortgeschritten. Das US-amerikanische National Institute of Standards and Technology hat am 13. August 2024 drei Standards veröffentlicht, die heute weltweit als Referenz gelten. Den aktuellen Stand dokumentiert das Post-Quantum-Cryptography-Projekt des NIST.

• FIPS 203 (ML-KEM): ein gitterbasiertes Verfahren für den Schlüsselaustausch, hervorgegangen aus dem Algorithmus Kyber
• FIPS 204 (ML-DSA): ein gitterbasiertes Signaturverfahren, hervorgegangen aus Dilithium
• FIPS 205 (SLH-DSA): ein hashbasiertes Signaturverfahren, hervorgegangen aus SPHINCS+

Im März 2025 hat NIST zusätzlich das Verfahren HQC als weiteren Schlüsselaustausch ausgewählt, der auf einem anderen mathematischen Prinzip beruht und als Rückfalloption dient. Ein Standard für das Signaturverfahren Falcon ist in Arbeit. Prüfe den jeweils aktuellen Stand, bevor du dich auf einzelne Varianten festlegst.

Die Position des BSI

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seiner Technischen Richtlinie TR-02102, Post-Quanten-Kryptografie grundsätzlich hybrid einzusetzen, also in Kombination mit einem klassischen Verfahren. Fällt eines der beiden Verfahren, bleibt die Verbindung durch das andere geschützt. Neben ML-KEM nennt das BSI auch konservativere Alternativen wie FrodoKEM und Classic McEliece. Die aktuellen Fassungen findest du auf der Website des BSI.

Fahrpläne und Fristen: EU und USA

Ein Gesetz, das Unternehmen in Deutschland direkt zur Post-Quanten-Kryptografie verpflichtet, gibt es Stand Oktober 2026 nicht. Die Richtung ist aber klar vorgegeben.

Die NIS-Kooperationsgruppe der EU hat im Juni 2025 einen koordinierten Fahrplan für die Mitgliedstaaten veröffentlicht. Er sieht drei Meilensteine vor:

1. Ende 2026: Die Mitgliedstaaten sollen mit dem Übergang beginnen, Beteiligte identifizieren, Bestandsaufnahmen anstoßen und Bewusstsein schaffen.
2. Ende 2030: Anwendungsfälle mit hohem Risiko sollen auf quantensichere Verfahren umgestellt sein.
3. Ende 2035: Auch Anwendungsfälle mit mittlerem Risiko sollen so weit wie möglich migriert sein.

In den USA hat NIST im Entwurf seines Berichts IR 8547 vorgeschlagen, verbreitete RSA- und ECC-Verfahren ab 2030 als veraltet einzustufen und bis 2035 nicht mehr zuzulassen. Der Bericht lag zunächst als Entwurf vor, Details können sich ändern. Für international tätige Unternehmen und Zulieferer von Behörden setzen diese Daten dennoch den Takt.

Indirekt wirkt die Post-Quanten-Kryptografie zudem über bestehende Regeln. NIS2 und der Cyber Resilience Act verlangen Sicherheit nach dem Stand der Technik. Wer Produkte mit langer Lebensdauer entwickelt, sollte das im Blick behalten, ebenso wie die neuen Meldepflichten nach dem Cyber Resilience Act.

Post-Quanten-Kryptografie im Unternehmen: Wo sie greift

Asymmetrische Kryptografie steckt in fast jedem System. Deshalb betrifft Post-Quanten-Kryptografie weit mehr als die IT-Sicherheitsabteilung.

• Webverbindungen und VPN: TLS, IPsec und SSH nutzen asymmetrische Verfahren für den Schlüsselaustausch.
• Zertifikate und PKI: Interne Zertifizierungsstellen, Smartcards und Gerätezertifikate beruhen auf RSA oder ECC.
• Code- und Firmware-Signaturen: Updates für Software und Geräte werden digital signiert.
• Authentifizierung: Auch moderne Verfahren wie Passkeys basieren derzeit auf klassischer Public-Key-Kryptografie.
• E-Mail und Dokumente: Signierte und verschlüsselte E-Mails sowie elektronische Signaturen auf Verträgen.

Erste Schritte sind bereits sichtbar. Gängige Browser und große Cloud-Anbieter unterstützen inzwischen hybride Schlüsselaustausche mit ML-KEM für TLS. Für viele Unternehmen beginnt Post-Quanten-Kryptografie damit, ohne dass sie aktiv etwas tun. Die schwierigen Fälle liegen in eigenen Anwendungen, Altsystemen und Geräten.

Migration in 6 Schritten

Eine erfolgreiche Umstellung auf Post-Quanten-Kryptografie folgt einem klaren Ablauf. Der Kern ist nicht die Technik, sondern Transparenz darüber, wo welche Kryptografie im Einsatz ist.

1. Verantwortung festlegen: Benenne eine verantwortliche Person oder ein kleines Team mit Mandat der Geschäftsführung.
2. Kryptografie-Inventar erstellen: Erfasse, welche Verfahren, Schlüssellängen, Zertifikate und Bibliotheken in Anwendungen, Netzwerken und Produkten genutzt werden. Fachleute sprechen von einer Cryptographic Bill of Materials.
3. Risiken priorisieren: Bewerte, wie lange Daten vertraulich bleiben müssen und wie lange Systeme im Einsatz sind. Beides zusammen bestimmt die Dringlichkeit.
4. Krypto-Agilität aufbauen: Gestalte Systeme so, dass sich Algorithmen per Konfiguration austauschen lassen, statt sie fest im Code zu verankern.
5. Lieferanten einbinden: Frage Hersteller und Dienstleister nach ihren Fahrplänen für quantensichere Verfahren und verankere Anforderungen in Ausschreibungen und Verträgen.
6. Pilotieren und ausrollen: Teste hybride Verfahren zuerst in unkritischen Bereichen, miss Auswirkungen auf Leistung und Kompatibilität und rolle dann schrittweise aus.

Typische Hürden

Die neuen Verfahren haben teils deutlich größere Schlüssel und Signaturen als RSA oder ECC. Das kann ältere Geräte, eingebettete Systeme und Protokolle mit festen Paketgrößen an Grenzen bringen. Zudem fehlt in vielen Unternehmen schlicht der Überblick, wo überall Kryptografie steckt. Plane für diese Fragen bewusst Zeit und Testkapazität ein.

Krypto-Agilität konkret

Krypto-Agilität bedeutet, dass ein System den Algorithmus wechseln kann, ohne neu entwickelt zu werden. In der Praxis heißt das: Kryptografie läuft über zentrale Bibliotheken oder Dienste, Algorithmen und Schlüssellängen stehen in Konfigurationsdateien, und Zertifikate lassen sich automatisiert erneuern.

Dieser Ansatz zahlt sich doppelt aus. Er erleichtert den Wechsel zu quantensicheren Verfahren, und er macht dich unabhängig, falls sich einer der neuen Algorithmen später als schwächer herausstellt als erwartet. Genau dieses Szenario ist der Grund, warum Fachleute zu hybriden Lösungen und austauschbaren Komponenten raten.

Fragen an Lieferanten und Dienstleister

Ein großer Teil deiner Kryptografie steckt in Produkten, die du nicht selbst entwickelst. Deshalb gehört die Lieferkette früh auf die Agenda. Diese Fragen helfen dir im Gespräch mit Herstellern, Cloud-Anbietern und Systemhäusern:

• Welche quantensicheren Verfahren unterstützt das Produkt heute, und für wann ist die Unterstützung geplant?
• Lassen sich Algorithmen per Update austauschen, oder ist dafür neue Hardware nötig?
• Wie lange erhält das Produkt Sicherheitsupdates, und deckt dieser Zeitraum den Übergang ab?
• Werden hybride Verfahren nach den Empfehlungen von BSI oder NIST eingesetzt?
• Gibt es eine Übersicht der eingesetzten kryptografischen Komponenten und Bibliotheken?

Die Antworten zeigen schnell, welche Partner das Thema ernst nehmen. Halte sie schriftlich fest und nutze sie als Kriterium bei Vertragsverlängerungen und neuen Beschaffungen.

Governance: Wer im Unternehmen zuständig ist

Die Migration berührt IT-Betrieb, Softwareentwicklung, Produktmanagement, Einkauf und Recht. Ohne klare Zuständigkeit versandet das Thema zwischen den Abteilungen. Bewährt hat sich ein kleines Kernteam unter Leitung der Informationssicherheit, das an die Geschäftsführung berichtet.

Dieses Team definiert Standards für neue Projekte, pflegt das Kryptografie-Inventar und verfolgt den Fortschritt anhand weniger Kennzahlen. Dazu zählen etwa der Anteil der Systeme mit bekanntem Kryptografie-Status, die Zahl der Anwendungen mit fest verdrahteten Algorithmen und der Anteil der Lieferanten mit belastbarem Fahrplan.

Wichtig ist auch die Verbindung zum Risikomanagement. Post-Quanten-Kryptografie gehört in das reguläre Risikoregister, mit Eintrittswahrscheinlichkeit, Auswirkung und Maßnahmen. So wird sie regelmäßig bewertet und nicht nur dann diskutiert, wenn eine Schlagzeile über einen neuen Quantenrechner erscheint.

Schließlich braucht das Team Kompetenz. Kryptografie ist ein Spezialgebiet, und viele IT-Abteilungen haben dafür wenig Erfahrung. Gezielte Weiterbildung, der Austausch in Branchenverbänden und punktuelle Unterstützung durch spezialisierte Beratung schließen diese Lücke schneller als Versuch und Irrtum.

Kosten, Aufwand und Chancen

Konkrete Budgets lassen sich pauschal nicht beziffern, weil sie stark von der Systemlandschaft abhängen. Den größten Aufwand verursachen in der Regel nicht Lizenzen, sondern Inventarisierung, Tests, Anpassung eigener Software und der Austausch von Geräten, die sich nicht aktualisieren lassen.

Klug ist es, Post-Quanten-Kryptografie an ohnehin geplante Modernisierungen zu koppeln. Wer ein neues VPN, eine neue PKI oder eine neue Gerätegeneration einführt, sollte quantensichere Verfahren direkt als Anforderung aufnehmen. So vermeidest du doppelte Projekte.

Für Hersteller ist das Thema zugleich ein Wettbewerbsfaktor. Industriekunden und öffentliche Auftraggeber fragen zunehmend nach quantensicheren Updates und Signaturen. Wer früh liefern kann, verschafft sich Vorteile in Ausschreibungen.

Fazit: Post-Quanten-Kryptografie jetzt planen, schrittweise umsetzen

Post-Quanten-Kryptografie ist keine Zukunftsmusik mehr. Die zentralen Standards stehen, das BSI empfiehlt hybride Verfahren, und der EU-Fahrplan nennt 2030 als Zielmarke für Anwendungen mit hohem Risiko. Die größte Gefahr liegt heute nicht im Quantencomputer selbst, sondern in Daten, die bereits jetzt abgegriffen werden, und in Systemen, die zu lange laufen.

Beginne mit einem Kryptografie-Inventar, priorisiere nach Schutzbedarf und Lebensdauer und baue Krypto-Agilität in neue Projekte ein. So machst du die Post-Quanten-Kryptografie zu einem planbaren Modernisierungsprogramm statt zu einem späteren Notfall.

Häufige Fragen zu Post-Quanten-Kryptografie