Post-Quanten-Kryptografie: Läuft Ihrem Unternehmen die Zeit davon?

Die digitale Sicherheit steht vor einer Revolution: Quantencomputer bedrohen bald unsere etablierten Schutzverfahren. 

Überblick

• Durch Quantencomputer werden kryptografische Verfahren bald unsicher. Organisationen müssen dringend auf quantensichere Verschlüsselungsmethoden umsteigen.
• Die Umstellung erfordert Planung, Hybridverfahren, Kryptoagilität und Kryptokataster, da jetzt abgegriffene Daten später entschlüsselt werden könnten.
• Der Finanz- und Versicherungssektor sowie Betreiber kritischer Infrastrukturen müssen zeitnah handeln, um rechtzeitig zukunftssicher aufgestellt zu sein. 

Die digitale Sicherheit, wie wir sie heute kennen, steht vor einem grundlegenden Wandel. Mit dem rasanten Fortschritt in der Entwicklung von Quantencomputern geraten viele bisher verlässliche Schutzmechanismen ins Wanken. Das ist längst nicht mehr nur eine Diskussion unter Fachleuten, sondern betrifft jede Organisation, die digital arbeitet.

Worum geht es konkret?

Viele Systeme schützen Daten mit Verfahren, die mathematisch schwer zu knacken sind. Doch Quantencomputer werden in naher Zukunft die nötige Rechenleistung haben, um diese Schutzmechanismen innerhalb kürzester Zeit auszuhebeln. Das bedeutet: Was heute noch als sicher gilt, kann morgen schon angreifbar sein. Aus diesem Grund hat das National Institute of Standards and Technology (NIST) in den USA bereits neue Verfahren identifiziert, die auch in Zukunft für eine sichere Kommunikation geeignet sind.

Die Empfehlungen des NIST münden in konkreten Zeitplänen. Ab 2030 sollen ältere Verfahren nicht mehr empfohlen, ab 2035 in sicherheitsrelevanten Anwendungen gar nicht mehr genutzt werden. Diese Fristen markieren einen klaren Wendepunkt. Auch die Europäische Union bereitet sich mit Nachdruck auf diesen Wandel vor. Die Agentur der Europäischen Union für Cybersicherheit und das Europäische Institut für Telekommunikationsnormen arbeiten bereits an Vorgaben und Empfehlungen für Unternehmen.

Das European Telecommunications Standards Institute (ETSI) empfiehlt: „Organisationen sollten umgehend damit beginnen, sich auf den Übergang zur Post-Quanten-Kryptografie vorzubereiten, insbesondere bei Systemen mit langen Lebenszyklen und hoher Sicherheitsrelevanz.“ 

Die European Network and Information Security Agency (ENISA) stellt fest, dass je nach Komplexität der eingesetzten Datenverarbeitungssysteme der Wechsel zur Post-Quanten-Kryptografie fünf bis zehn Jahre dauern kann. Vor allem Organisationen mit komplexen und stark vernetzten IT-Landschaften – etwa im Finanzsektor – stehen vor langwierigen Transformationsprozessen.

Das Zeitfenster schließt sich schneller als gedacht

Andere Länder ziehen nach. In Australien bewertet das nationale Cybersicherheitszentrum ältere Verfahren bereits seit 2023 als nicht zukunftssicher. In Großbritannien empfiehlt das National Cyber Security Centre (NCSC), bereits jetzt   sogenannte Hybridansätze einzuplanen: „Man sollte davon ausgehen, dass Verfahren im Lauf ihrer Lebenszeit ersetzt werden müssen – Systeme müssen diese Austauschfähigkeit unterstützen.“ 

Wie ernst die Lage einzuschätzen ist, zeigt eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte Umfrage unter Industrie- und Behördenvertreter:innen:

• 89 Prozent der befragten Organisationen gehen davon aus, dass die Migration zu einer kryptografisch zukunftssicheren Infrastruktur („PQC-ready“) mehr Zeit benötigt, als viele ihrer sensiblen Informationen vertraulich bleiben müssen.
• 75 Prozent gehen von einer Umstellungsdauer von fünf oder mehr Jahren aus.
• Über 50 Prozent haben bislang keine Maßnahmen eingeleitet.

Diese Einschätzungen verdeutlichen ein reales und oft unterschätztes Risiko: Bereits heute werden verschlüsselte Daten gezielt abgegriffen und aufbewahrt, um sie zu einem späteren Zeitpunkt – etwa mit künftigen Quantencomputern – erfolgreich zu entschlüsseln. Dieses Vorgehen wird als „Harvest now, decrypt later“ bezeichnet. Wer den Umstieg auf quantensichere Verfahren nicht rechtzeitig schafft, setzt damit nicht nur zukünftige, sondern auch bereits erfasste und gespeicherte Informationen einem erheblichen Risiko aus.

Im Jahr 2025 beginnt sich das Zeitfenster spürbar zu schließen. Für die vollständige Umstellung auf eine „PQC-ready“-Infrastruktur stehen realistisch betrachtet lediglich fünf bis sieben Jahre zur Verfügung – inklusive Evaluierung, Planung, Pilotierung, Migration und Auditierung. Unternehmen, die jetzt nicht mit dieser Umstellung beginnen, werden voraussichtlich nicht in der Lage sein, die regulatorischen und operativen Anforderungen rechtzeitig zu erfüllen.