Post-Quanten-Kryptografie: Was zu tun ist, bevor es darauf ankommt

Einen großen, fehlertoleranten Quantencomputer gibt es 2026 nicht, und es kann sein, dass es ihn noch jahrelang nicht gibt. Genau deshalb ist die Post-Quanten-Kryptografie ein Problem von heute und kein Problem von irgendwann. Verschlüsselte Daten, die Sie heute Morgen senden, lassen sich aufzeichnen, kostengünstig speichern und in dem Moment entschlüsseln, in dem die Hardware aufholt. Die Uhr für einige Ihrer Geheimnisse läuft also bereits.

Warum Quanten schon jetzt zählen, auch ohne Quantencomputer

Das Bedrohungsmodell, das Ihnen den Schlaf rauben sollte, ist keine Zaubermaschine, die alles augenblicklich knackt. Es ist ein geduldiger Angreifer, der eine Strategie verfolgt, die als "jetzt sammeln, später entschlüsseln" bekannt ist. Er fängt heute Ihre TLS-Sitzungen, Ihren VPN-Verkehr, Ihre Datenbank-Backups und Ihre signierte Firmware ab, verwahrt den Chiffretext und wartet. Wenn ein kryptografisch relevanter Quantencomputer eintrifft, wendet er die Mathematik erneut auf das Archiv an.

Das rückt die Frist in ein neues Licht. Die Frage lautet nicht "Wann werden Quantencomputer RSA brechen?" Sie lautet "Wie lange müssen diese Daten geheim bleiben, und wie lange dauert es, bis sie entschlüsselt werden können?" Wenn Sie Patientenakten, Finanzdaten, Quellcode, Regierungsverträge oder langlebige Zugangsdaten besitzen, die bis in die 2030er-Jahre und darüber hinaus vertraulich bleiben müssen, ist das Zeitfenster der Gefährdung genau jetzt geöffnet.

Aus unserer Erfahrung in der Beratung von Teams ist die schädlichste Annahme, dies sei ein rein zukünftiges Anliegen. Vertraulichkeit, die das kommende Jahrzehnt überdauern muss, ist bereits gefährdet. Signaturen und Authentifizierung haben mehr Spielraum, denn Sie können keine Signatur für eine Nachricht fälschen, die in der Vergangenheit verifiziert wurde. Die Vertraulichkeit jedoch kennt keine solche Schonfrist.

Was sich tatsächlich ändert und was nicht

Nicht die gesamte Kryptografie ist gleichermaßen gefährdet. Diese Unterscheidung richtig zu treffen, bewahrt Sie vor einer panischen, verschwenderischen Neufassung.

Die Public-Key-Kryptografie ist die eigentliche Angriffsfläche

Die Algorithmen, die das Quantencomputing tatsächlich bedroht, beruhen auf Problemen, die der Shor-Algorithmus effizient löst:

• RSA, verwendet für Schlüsselaustausch und Signaturen
• Elliptische-Kurven-Kryptografie (ECDSA, ECDH, Curve25519)
• Diffie-Hellman-Schlüsselaustausch in all seinen klassischen Formen

Diese bilden die Grundlage von TLS-Handshakes, SSH, Code-Signierung, Zertifizierungsstellen und dem Großteil der Public-Key-Infrastruktur des Internets. Hier gehört der Migrationsaufwand hin.

Symmetrische Kryptografie und Hashing halten weitgehend stand

AES und moderne Hashfunktionen sind weit weniger betroffen. Der Grover-Algorithmus bietet nur eine quadratische Beschleunigung, die durch ausreichende Schlüssel- und Prüfsummengrößen abgeschwächt wird:

• AES-256 bleibt stark. AES-128 ist geschwächt, aber in keinem praktischen Sinne gebrochen.
• SHA-256 und SHA-3 bleiben für die meisten Zwecke akzeptabel.

Die praktische Erkenntnis: Wenn Sie AES-128 noch irgendwo an sensibler Stelle einsetzen, ist der Wechsel zu AES-256 eine günstige, sinnvolle Absicherung, die Sie noch in diesem Quartal ohne Wartezeit umsetzen können.

Die Standards, auf denen Sie tatsächlich aufbauen sollten

Das Rätselraten ist vorbei. 2024 hat das NIST den ersten Satz an Post-Quanten-Standards fertiggestellt, und bis 2026 sind sie das, was seriöse Anbieter implementieren. Merken Sie sich diese Namen, denn sie werden in Anbieterfragebögen und Audit-Checklisten auftauchen:

• FIPS 203 (ML-KEM): ein Schlüsselkapselungsmechanismus, abgeleitet von Kyber, der zum Aufbau gemeinsamer Geheimnisse dient. Dies ist Ihr Ersatz für den klassischen Schlüsselaustausch.
• FIPS 204 (ML-DSA): ein digitales Signaturverfahren, abgeleitet von Dilithium, der Allzweck-Standard für Signaturen.
• FIPS 205 (SLH-DSA): ein zustandsloses, hashbasiertes Signaturverfahren, abgeleitet von SPHINCS+, langsamer und umfangreicher, aber auf sehr konservativen Annahmen aufgebaut, nützlich für Firmware und Root-Signierung, wo Langlebigkeit wichtiger ist als Geschwindigkeit.

Ein entscheidendes Detail für reale Bereitstellungen im Jahr 2026: Das vorherrschende Muster ist hybrid, nicht rein post-quantisch. Große Browser und CDN verhandeln bereits einen hybriden Schlüsselaustausch wie X25519 kombiniert mit ML-KEM-768 in TLS. Hybrid bedeutet, dass die Sitzung sicher bleibt, wenn entweder die klassische oder die post-quantische Komponente hält. Dieser doppelt abgesicherte Ansatz schützt Sie sowohl vor einem künftigen Quantendurchbruch als auch vor jeder unentdeckten Schwäche in den neueren Algorithmen. Für die meisten Teams ist hybrid der richtige Zielzustand und keine Zwischenstufe, die Sie überhastet hinter sich lassen.

Krypto-Agilität ist das eigentliche Ziel

Hier ist der Sinneswandel, der mehr zählt als jede einzelne Algorithmenwahl. Die Standards werden sich weiterentwickeln, Parameter werden angepasst, und neue Angriffe werden auftauchen. Wenn Ihre Systeme ein bestimmtes Chiffrierverfahren tief im Code fest verankern, wird jede künftige Änderung zu einer weiteren Notfallmigration.

Das eigentliche Ergebnis ist Krypto-Agilität: die Fähigkeit, kryptografische Primitive auszutauschen, ohne Ihre Anwendung neu zu strukturieren. Das bedeutet:

• Kryptografie, auf die über eine Abstraktionsschicht zugegriffen wird, niemals als rohe Aufrufe über den Code verstreut
• Algorithmuskennungen, die als Konfiguration und Metadaten gespeichert werden, sodass Chiffretext und Signaturen festhalten, welches Verfahren sie erzeugt hat
• Zertifikat- und Schlüssellebenszyklen, die kurz genug sind, dass die Rotation zur Routine statt zur Heldentat wird
• Ein automatisiertes Inventar, damit Sie die Frage "Was verwenden wir und wo" in Minuten statt in Wochen beantworten können

Teams, die jetzt Agilität aufbauen, behandeln die Post-Quanten-Migration als den ersten von vielen kontrollierten Wechseln und nicht als einmalige Feuerübung pro Generation. Es ist dieselbe Disziplin, die einer gesunden Zero-Trust-Architektur zugrunde liegt: nichts als dauerhaft voraussetzen, kontinuierlich verifizieren und Veränderung günstig machen.

Ein Migrationsplan, den Sie in diesem Quartal beginnen können

Sie müssen nicht alles auf einmal bewältigen. Sie brauchen einen abgestuften, ehrlichen Plan. Hier ist die Reihenfolge der Schritte, die wir empfehlen und mit Kunden anwenden.

1. Erstellen Sie ein kryptografisches Inventar. Sie können nicht schützen, was Sie nicht sehen. Katalogisieren Sie jede Stelle, an der Sie Public-Key-Kryptografie einsetzen: TLS-Endpunkte, VPNs, SSH-Schlüssel, Code-Signierung, Zertifizierungsstellen, eingebettete Geräte, Datenbankverschlüsselung und Drittanbieterbibliotheken. Werkzeuge, die Binärdateien und Datenverkehr scannen, helfen, aber ebenso das schlichte Lesen Ihrer Abhängigkeitsmanifeste.
2. Klassifizieren Sie Daten nach Haltbarkeit. Fragen Sie sich für jeden Datenfluss, wie lange er vertraulich bleiben muss. Alles, was über etwa 2032 hinaus Bestand haben muss und über aufzeichenbare Kanäle läuft, hat für Sie höchste Priorität. Kurzlebige Sitzungsdaten können warten.
3. Priorisieren Sie nach Gefährdung und Aufwand. Setzen Sie die Langlebigkeit ins Verhältnis zur Änderungsschwierigkeit des Systems. Langlebige Geheimnisse auf leicht aktualisierbaren Systemen sind Ihre schnellen Erfolge. Langlebige Geheimnisse, die in schwer patchbarer Firmware vergraben sind, sind Ihre kniffligen Probleme, planen Sie diese daher früh, auch wenn Sie sie zuletzt abschließen.
4. Erproben Sie den hybriden Schlüsselaustausch. Schalten Sie hybrides TLS (X25519 plus ML-KEM) bei einem unkritischen Dienst ein. Messen Sie den Mehraufwand des Handshakes und stellen Sie sicher, dass Ihre Lastverteiler, Proxys und Clients mit umfangreicherem Schlüsselmaterial zurechtkommen.
5. Refaktorieren Sie in Richtung Krypto-Agilität. Leiten Sie kryptografische Operationen über eine einzige interne Bibliothek oder einen einzigen internen Dienst, damit künftige Wechsel eine Konfigurationsänderung und keine Neufassung sind.
6. Aktualisieren Sie Ihre Lieferanten- und Beschaffungscheckliste. Verlangen Sie von Lieferanten, ihren Post-Quanten-Fahrplan darzulegen. Ihre Sicherheit ist nur so stark wie die schwächste Bibliothek in Ihrer Lieferkette.
7. Führen Sie das Inventar nach einem Zeitplan erneut durch. Migration ist kein einmaliges Projekt. Binden Sie die kryptografische Überprüfung in Ihren regelmäßigen Sicherheitsrhythmus ein, idealerweise zusammen mit Ihrem Penetrationstest-Programm.

Abwägungen und Fallstricke, die Sie einplanen sollten

Post-Quanten-Algorithmen sind keine Eins-zu-eins-Ersatzlösungen mit identischen Eigenschaften. Wer mit offenen Augen herangeht, vermeidet hässliche Überraschungen im Produktivbetrieb.

• Größere Schlüssel und Signaturen. ML-KEM und ML-DSA erzeugen größere Artefakte als ihre klassischen Pendants, und SLH-DSA-Signaturen sind erheblich größer. Das bläht Handshake-Größen, Zertifikatsketten und Speicherbedarf auf. Systeme mit knappen Paketbudgets oder ressourcenbeschränkte Geräte spüren dies am stärksten.
• Die Leistung ist meist in Ordnung, aber messen Sie. Für die meisten Web-Workloads ist der zusätzliche CPU-Aufwand hybrider Handshakes gering. Setzen Sie das jedoch nicht voraus. Führen Sie Benchmarks auf Ihrer tatsächlichen Hardware durch, besonders bei API mit hohem Durchsatz und IoT-Endpunkten.
• Protokoll- und Puffergrenzen. Umfangreicheres Schlüsselmaterial bringt gelegentlich unterdimensionierte Puffer, alte Middleboxes oder starre Protokollannahmen aus dem Tritt. Deshalb ist die vorherige Erprobung an einem risikoarmen Dienst nicht verhandelbar.
• Die Regulierung kommt. Regulierungsbehörden und Rahmenwerke ergänzen stetig Post-Quanten-Erwartungen, und einige Branchen fragen bereits nach Migrationszeitplänen. Ihren Plan jetzt zu dokumentieren, ist weitaus günstiger, als ihn während eines Audits unter Zeitdruck zu erstellen.
• Entwickeln Sie keine eigene Kryptografie. Verwenden Sie geprüfte, standardkonforme Bibliotheken. Neuartige oder selbstgebaute Implementierungen dieser jungen Algorithmen sind ein Risiko, kein Alleinstellungsmerkmal.

Die realistische Botschaft für 2026 ist weder Panik noch Selbstzufriedenheit. Es ist Vorbereitung. Organisationen, die mit einem Inventar und einer Refaktorierung hin zur Krypto-Agilität beginnen, werden in den kommenden Jahren in Ruhe migrieren. Wer auf eine Schlagzeile über einen funktionierenden Quantencomputer wartet, wird unter Druck migrieren, zu höheren Kosten und mit bereits abgeschöpften Daten.

Wie Innovation T helfen kann

Bei Innovation T behandeln wir die Post-Quanten-Bereitschaft als Ingenieursdisziplin, nicht als Angstkampagne. Unsere Teams für Sicherheit und Cloud-Engineering beginnen dort, wo es zählt: bei einem klaren kryptografischen Inventar, einer Bewertung der Datenhaltbarkeit und einem priorisierten Fahrplan, der zu Ihren tatsächlichen Systemen und Ihrem Budget passt. Von dort aus implementieren wir den hybriden Schlüsselaustausch, refaktorieren die Kryptografie hinter sauberen Abstraktionsschichten, damit künftige Wechsel schmerzlos sind, und härten den Lebenszyklus Ihrer Zertifikate und Schlüssel, sodass die Rotation zur Routine wird.

Weil wir die zugrunde liegenden Plattformen auch selbst bauen und betreiben, können wir Krypto-Agilität in Ihre Webanwendungen, Ihre Softwarelösungen und Ihre Cloud-Infrastruktur einweben, statt sie nachträglich anzuschrauben. Dazu gehört das Überprüfen von Drittanbieter-Abhängigkeiten, das Aktualisieren Ihrer Lieferantenanforderungen und das Einbinden kryptografischer Prüfungen in Ihre laufenden Sicherheitstests.

Wenn Ihre Daten bis in die 2030er-Jahre privat bleiben müssen, ist der kluge Schritt, jetzt mit dem Inventar zu beginnen. Entdecken Sie unsere Leistungen, um zu sehen, wie unsere Arbeit in den Bereichen Web, Software, Cloud und Sicherheit ineinandergreift, oder kontaktieren Sie uns für eine praxisnahe Bewertung Ihrer Post-Quanten-Bereitschaft, zugeschnitten auf Ihren Stack. Der Quantencomputer ist noch nicht da. Ihr Vorbereitungsfenster schon, und es wird nicht für immer offen bleiben.