Heute abfangen, später entschlüsseln: Das Quantenrisiko beginnt jetzt

Auch unlesbare Daten können ein Ziel sein

Eine verschlüsselte Nachricht muss für Angreifer nicht sofort lesbar sein, um wertvoll zu sein. Sie können die Kommunikation heute abfangen und aufbewahren, wenn sie darauf setzen, dass ein künftiger Quantencomputer die verwendeten Schutzverfahren überwinden kann. Bei diesem als 'Harvest now, decrypt later' bekannten Szenario beginnt das Sammeln, bevor die erforderliche Rechenfähigkeit verfügbar ist.

Entscheidend ist damit nicht nur, ob eine Nachricht heute geschützt ist, sondern ob ihr Inhalt über den gesamten erforderlichen Zeitraum vertraulich bleibt. Ein Zahlungsauftrag ist in Sekunden erledigt. Finanzdaten eines Kunden, vertrauliche Verhandlungen oder der Entwurf eines Verteidigungssystems können dagegen jahrelang schutzbedürftig bleiben. Der Abschluss eines Vorgangs beendet nicht die Pflicht zur Vertraulichkeit.

Für die Planung zählen deshalb sowohl die Dauer der Migration als auch der anschließende Schutzbedarf der Informationen. Wer auf Gewissheit über die Quantenhardware wartet, kann wertvolle Vorbereitungszeit verlieren. Ein späteres Update schützt neue Kommunikation besser, holt aber keine Kopien zurück, die Angreifer bereits abgefangen haben.

Welche kryptografischen Verfahren sind betroffen?

Quantencomputing macht nicht jede Verschlüsselung leicht angreifbar. Das deutlichste strukturelle Risiko betrifft weit verbreitete Public-Key-Verfahren: RSA und Verfahren auf elliptischen Kurven, die für Schlüsselvereinbarung und digitale Signaturen eingesetzt werden. Shors Algorithmus könnte ihre mathematischen Grundlagen auf einem hinreichend großen, fehlertoleranten Quantencomputer überwinden.

Bei symmetrischer Verschlüsselung wie AES ist die Lage anders. Grovers Algorithmus ermöglicht theoretisch eine quadratische Beschleunigung der vollständigen Schlüsselsuche; einer praktischen Umsetzung stehen erhebliche Einschränkungen gegenüber. Nach den Leitlinien des US-amerikanischen National Institute of Standards and Technology (NIST) kann AES weiterhin eingesetzt werden. Diese Frage ist vom Austausch quantenverwundbarer Public-Key-Verfahren zu unterscheiden. Die Behauptung, jede Verschlüsselung werde wertlos, verdeckt die tatsächlichen Prioritäten.

Vertraulichkeit ist zudem nur ein Teil der Aufgabe. Digitale Signaturen ermöglichen die Prüfung von Softwareupdates, Identitäten, Zahlungsfreigaben und Geräten. Eine Migration, die Datenverschlüsselung modernisiert, diese Vertrauensmechanismen aber unverändert lässt, bleibt unvollständig.

Die Forschung verändert den angenommenen Ressourcenbedarf

Öffentlich zugängliche Forschung zeigt, weshalb eine Sicherheitsstrategie nicht an einer festen Qubit-Zahl hängen sollte. Craig Gidney schätzte 2025, dass sich eine RSA-2048-Zahl unter bestimmten Annahmen zur Fehlerkorrektur und Steuerung mit weniger als einer Million verrauschter physischer Qubits in unter einer Woche faktorisieren ließe. Das war eine Ressourcenabschätzung, kein ausgeführter Angriff.

Google-Forscher veröffentlichten im März 2026 eine gesonderte Abschätzung für das diskrete Logarithmusproblem auf elliptischen Kurven mit 256 Bit: weniger als 500.000 physische Qubits und eine Laufzeit von Minuten unter dem angenommenen Hardwaremodell. Die beiden Arbeiten behandeln unterschiedliche mathematische Probleme. Ihre Zahlen sind nicht austauschbar; keine der Arbeiten belegt, dass heute verfügbare Maschinen diese Angriffe ausführen können.

Für Entscheider zählt, dass Fortschritte bei Algorithmen und Fehlerkorrektur den erforderlichen Hardwareaufwand senken können. Die Roadmaps der Hardwarehersteller allein bieten daher keine verlässliche Grundlage dafür, wie lange bestehende Kryptografie ausreichen wird.

Die neuen Verfahren laufen auf klassischen Rechnern

Post-Quanten-Kryptografie, kurz PQC, verwendet mathematische Konstruktionen, die bekannten klassischen und Quantenangriffen standhalten sollen. Sie läuft auf klassischer Recheninfrastruktur. Für ihre Einführung ist kein eigener Quantencomputer erforderlich. Sie ist auch nicht mit Quantenschlüsselverteilung gleichzusetzen, die eine andere Kommunikationsarchitektur benötigt.

NIST veröffentlichte im August 2024 die ersten drei Standards: ML-KEM nach FIPS 203 zur Herstellung gemeinsamer geheimer Schlüssel sowie ML-DSA und SLH-DSA nach FIPS 204 und 205 für digitale Signaturen. Ein Schlüsselverkapselungsmechanismus stellt einen Schlüssel bereit; er ersetzt nicht das symmetrische Verfahren, das anschließend den Datenstrom verschlüsselt.

Damit verändert sich die Investitionsfrage. Es geht nicht mehr allein darum, ob ein resistentes Verfahren entwickelt werden kann. Eine Institution muss geeignete Implementierungen in Protokolle, Zertifikate, Hardware, Lieferketten und Betriebsabläufe integrieren können, ohne neue Schwachstellen zu schaffen.

Banken, Netze, KI und Verteidigung: dieselbe Vertrauensfrage

Im Bankwesen betrifft die Umstellung vertrauliche Aufzeichnungen, signierte Zahlungsnachrichten, Verbindungen zwischen Banken und die Freigabe von Transfers. Der verlässliche Betrieb ist genauso wichtig wie die Mathematik. Wenn ein stärkeres Signaturverfahren die Verarbeitungskapazität eines Systems überlastet, ist die Einführung noch nicht erfolgreich.

Telekommunikation und digitale Infrastruktur benötigen vertrauenswürdige Geräteidentitäten, abgesichertes Netzmanagement, sichere Softwareverteilung und geschützte Verbindungen zwischen Betreibern und Dienstleistern. Ein erneuerter Browser-Handshake modernisiert die dahinterliegenden Geräte, Verwaltungskanäle und Vertrauensanker nicht automatisch.

KI vergrößert die Zahl wertvoller Datenflüsse. Proprietäre Trainingsdaten, Modelldateien, Eingaben und sensible Ergebnisse überschreiten Organisationsgrenzen. Das Quantenrisiko liegt hier in der Kryptografie, die diese Flüsse und ihre Infrastruktur schützt. Allein die Nutzung von KI macht ein Modell nicht automatisch für einen neuen mathematischen Angriff verwundbar.

Verteidigung, Luft- und Raumfahrt, Behörden und Forschungseinrichtungen müssen zusätzlich lange Schutz- und Nutzungszeiträume berücksichtigen. In Hardware verankerte Vertrauensmechanismen lassen sich mitunter nur teuer oder gar nicht aus der Ferne ersetzen. Die Priorisierung muss diese Lebenszyklen abbilden und darf sich nicht auf einen einheitlichen Einführungskalender beschränken.

Eine geschützte Teilstrecke schützt noch nicht das gesamte System

Die Bank für Internationalen Zahlungsausgleich (BIZ) veröffentlichte im Dezember 2025 den Bericht zur zweiten Phase ihres Projekts Leap. Er beschreibt Experimente, bei denen traditionelle Signaturen während Liquiditätstransfers in einem bestehenden Zahlungssystem durch Post-Quanten-Signaturen ersetzt wurden. Die erfolgreichen Tests belegten die technische Machbarkeit und zeigten zugleich weiteren Bedarf bei Leistung und Interoperabilität. Sie dokumentierten Experimente, keine abgeschlossene Migration des Finanzsystems.

Cloudflare berichtete im Oktober 2025, dass mehr als die Hälfte des von Menschen ausgelösten Datenverkehrs zum eigenen Netz durch Post-Quanten-Verfahren geschützt war. Dagegen unterstützten nur 3,7 Prozent der angebundenen Ursprungsserver eine Post-Quanten-Schlüsselvereinbarung. Die Zahlen beschreiben unterschiedliche Gruppen zu diesem Zeitpunkt. Sie sind weder ein Maß für die Bereitschaft des gesamten Internets noch ein Beleg dafür, dass jede Verbindung zu einem unterstützenden Server entsprechend geschützt war.

Aus unserer Sicht zeigen diese Ergebnisse, dass Fortschritt an einer Schnittstelle erhebliche Lücken an anderer Stelle nicht ausschließt. Eine durch Post-Quanten-Verfahren geschützte Verbindung vom Browser zum Netzrand sagt noch nichts über den Schutz der Verbindung zum Ursprungsserver, interner Dienste oder digitaler Signaturen aus. Unternehmen müssen die gesamte Vertrauenskette betrachten. Ein einzelnes Etikett 'quantensicher' reicht dafür nicht.

Eigene Kompetenz ist eine Voraussetzung für digitale Souveränität

Jedes Land hat ein strategisches Interesse daran, diesen Übergang selbst verstehen und steuern zu können. Dafür braucht es eigene kryptografische Forschung, Implementierungskompetenz, unabhängige Bewertung und Sicherheitstechnik. Ebenso wichtig sind Institutionen, die Erkenntnisse in Beschaffung und Betrieb übersetzen. Wo Fachkräfte knapp sind, kann vertrauenswürdige regionale Zusammenarbeit diese Fähigkeiten stärken.

Ein nationaler Algorithmus, der hinter verschlossenen Türen entsteht, ist nicht automatisch sicherer als ein internationaler Standard. Die NIST-Standards gingen aus internationalen Beiträgen und öffentlichen Prüfverfahren hervor. Nationale Teams sollten sich an dieser Prüfung beteiligen, Annahmen hinterfragen und überprüfbare Implementierungen entwickeln. Die Geheimhaltung eines Algorithmus ersetzt keinen belastbaren Sicherheitsnachweis.

Die konkreten Fragen lauten: Wer kontrolliert die Schlüssel? Wer kann die kryptografischen Komponenten prüfen? Lässt sich ein Lieferant ersetzen? Wer erhält kritische Systeme während der Umstellung betriebsfähig? Ein Land kann international standardisierte Mathematik einsetzen und dennoch starke eigene Kontrolle über Implementierung, Schlüsselverwaltung, Tests und Lebenszyklusmanagement aufbauen.

Das erfordert einen langfristigen Kompetenzaufbau zwischen Hochschulen, nationalen Laboren, Netzbetreibern, Banken, Verteidigungsunternehmen und qualifizierten lokalen Anbietern. Ein gekauftes Produkt liefert eine Funktion. Die Fähigkeit, es zu beurteilen und bei Bedarf auszutauschen, schafft strategischen Handlungsspielraum.

Resilienz bedeutet, erneut wechseln zu können

Quantenresistenz ist keine dauerhafte Immunität gegen jede künftige Entdeckung. NIST hielt in seiner Aktualisierung vom Juli 2026 fest, dass das Signaturverfahren HAWK nach einer gemeldeten Schwachstelle aus dem Kandidatenprozess zurückgezogen wurde. Die Behörde erklärte ausdrücklich, dass ihre finalisierten PQC-Standards davon nicht betroffen sind. Das Ausscheiden eines Kandidaten und der Bruch eines verabschiedeten Standards sind unterschiedliche Ereignisse.

Die übergeordnete Konsequenz ist kryptografische Agilität: erkennen, wo welche Verfahren verwendet werden, und sie kontrolliert austauschen können. Starke Mathematik benötigt korrekte Implementierungen, verlässliche Zufallsquellen, sichere Schlüsselverwaltung und Schutz vor Seitenkanalangriffen. Auch das Verhalten bei Fehlern muss geprüft sein. Ein Algorithmusname in einer Ausschreibung weist diese Eigenschaften noch nicht nach.

Eine belastbare Migration prüft geeignete, begutachtete hybride Ansätze und die Auswirkungen größerer Schlüssel und Signaturen. Kompatibilitätsmechanismen dürfen nicht unbemerkt zu verwundbaren Verfahren zurückführen. Ziel ist eine Infrastruktur, die auch bei veränderter Erkenntnislage steuerbar bleibt.

Migrationstermine sind Planungsziele, keine Quantenprognosen

Das britische National Cyber Security Centre (NCSC) empfiehlt Bestandsaufnahme und Erstplanung bis 2028, prioritäre Umstellungen bis 2031 und den Abschluss bis 2035. Der koordinierte EU-Fahrplan empfiehlt Mitgliedstaaten den Beginn der Umstellung bis Ende 2026; Anwendungen mit hohem Risiko sollen möglichst früh, spätestens bis Ende 2030, umgestellt werden. Das sind regionale Planungsrahmen, weder eine weltweit einheitliche Rechtsfrist noch eine Prognose für die Verfügbarkeit eines angriffsgeeigneten Quantencomputers.

Die gemeinsame Richtung ist dennoch eindeutig: Behörden behandeln die Migration als mehrjährige Infrastrukturaufgabe. Unternehmensführungen sollten ein Verzeichnis kryptografischer Abhängigkeiten, Verantwortliche für sensible Daten und Systeme, belastbare Lieferantenpläne und gestufte Umsetzungsbudgets verlangen. Fortschritt bemisst sich an konkret verringerten Risiken und überprüften Vertrauensketten, nicht an der Zahl gestarteter Pilotprojekte.

Die Maschine kommt später. Die Entscheidung steht heute an.

'Harvest now, decrypt later' verändert die Folgen des Abwartens. Eine Organisation kann ihre Migration verschieben. Ein Angreifer, der mit verwundbaren Verfahren geschützte Kommunikation abfängt, muss mit dem Sammeln nicht warten. Für Informationen, die jahrelang vertraulich bleiben sollen, ist das Versprechen einer späteren Umstellung kein ausreichender Schutz.

Langfristig schutzbedürftige Informationen zu identifizieren, kryptografische Abhängigkeiten zu erfassen, interoperable Alternativen zu testen und eigene Kompetenz aufzubauen, erfordert keinen exakten Termin für den Quantencomputer. Staaten und Unternehmen müssen die Grundlagen ihres digitalen Vertrauens prüfen und bei Bedarf verändern können. Die entscheidende Frage lautet nicht nur, wann die Maschine kommt, sondern welche Informationen bis dahin keinesfalls unzureichend geschützt bleiben dürfen.