Post-Quanten-Kryptografie: Was sie heute schützt

Angenommen, eine Kanzlei schickt einem Mandanten heute den Entwurf eines Gesellschaftsvertrags, und unterwegs kopiert jemand die verschlüsselte Übertragung. Mit der Kopie kann er nichts anfangen, denn kein heutiger Computer bricht die Kryptografie, die sie schützt. Der Vertrag kann aber 2040 noch eine Rolle spielen, und niemand weiß, was Computer bis dahin können. Um diese Lücke zwischen der Lebensdauer eines Geheimnisses und der seines Schutzes geht es bei Post-Quanten-Kryptografie.

Verschlüsselte Kommunikation nutzt zwei Arten von Kryptografie. Ein symmetrisches Verfahren wie AES verschlüsselt die Daten selbst. Public-Key-Verfahren wie RSA und elliptische Kurven übernehmen den schwierigeren Teil: Sie lassen zwei Seiten, die sich nie begegnet sind, über ein offenes Netz einen AES-Schlüssel vereinbaren, und sie machen digitale Signaturen für alle prüfbar.

1994 zeigte Peter Shor (öffnet in neuem Tab), dass ein ausreichend großer Quantencomputer die mathematischen Probleme hinter RSA und elliptischen Kurven effizient lösen könnte. Mitgeschnittene Schlüsselaustausche ließen sich dann zurückrechnen und Signaturen fälschen. Symmetrische Verfahren kommen deutlich besser davon: Das NIST erwartet, dass AES-256 noch sehr lange sicher bleibt.

Einen solchen Rechner gibt es nicht, und niemand weiß, wann es ihn geben wird. In der Befragung für die Quantum Threat Timeline 2023, auf die sich Partner aus 21 europäischen Staaten in einer gemeinsamen Erklärung stützen, schätzten 17 von 37 Fachleuten die Wahrscheinlichkeit, dass er binnen zehn Jahren kommt, auf über 5 Prozent. Fundierte Vermutungen also. Für die Planung reichen sie, weil der Angriff, auf den es ankommt, viel früher beginnt.

Wer verschlüsselten Datenverkehr heute mitschneidet oder verschlüsselte Dateien mitsamt ihrem Schlüsselaustausch kopiert, kann alles aufbewahren und abwarten. Das NIST nennt das „harvest now, decrypt later“, die europäische Erklärung „store now, decrypt later“.

Der Forscher Michele Mosca hat daraus eine Rechnung gemacht, die auch der Übergangsbericht des NIST aufgreift: Ist X die Zahl der Jahre, die Daten geheim bleiben müssen, und Y die Dauer einer Umstellung, muss man beginnen, bevor X plus Y größer wird als Z, die Jahre bis zu einem leistungsfähigen Quantencomputer. Z kennt niemand. X kennen Sie.

In der Arbeit mit Mandanten ist X lang. Ein Gesellschaftsvertrag, eine Personalakte oder die Pläne eines Gebäudes können zehn Jahre und länger heikel bleiben, lange nachdem sich niemand mehr an die Verbindung erinnert, über die sie liefen.

Nach einem offenen, internationalen Auswahlverfahren, das 2016 begann, veröffentlichte das NIST am 13. August 2024 seine ersten drei Post-Quanten-Standards: FIPS 203 (ML-KEM), mit dem zwei Seiten über einen öffentlichen Kanal einen gemeinsamen geheimen Schlüssel vereinbaren, FIPS 204 (ML-DSA) als wichtigsten Standard für Signaturen und FIPS 205 (SLH-DSA), ein hashbasiertes Signaturverfahren auf anderer mathematischer Grundlage, als Rückfalloption. Im März 2025 wählte das NIST mit HQC eine Rückfalloption für ML-KEM aus; die Standardisierung läuft noch.

RSA und elliptische Kurven haben Jahrzehnte an Angriffen überstanden, die neuen Algorithmen erst einige Jahre und ihre Implementierungen noch weniger. Die europäische Erklärung, die auch A-SIT und das österreichische Bundeskanzleramt unterzeichnet haben, empfiehlt deshalb nachdrücklich, Post-Quanten-Kryptografie in den meisten Fällen hybrid einzusetzen: ein bewährtes und ein Post-Quanten-Verfahren, so kombiniert, dass das Ergebnis sicher bleibt, selbst wenn eines davon gebrochen wird. Der koordinierte EU-Fahrplan rät, wo immer machbar, zu standardisierten und erprobten hybriden Lösungen.

Stellen Sie sich eine Tür mit zwei Schlössern verschiedener Hersteller vor. Wer lernt, das eine zu knacken, steht immer noch vor dem anderen.

Post-Quanten-Schutz ist bei Encloq von Anfang an Teil der Ende-zu-Ende-Verschlüsselung. Schlüssel vereinbart Encloq mit ML-KEM-1024 und zugleich mit Diffie-Hellman auf der elliptischen Kurve P-521, Signaturen kombinieren ML-DSA-87 mit ECDSA auf P-521. Datei- und Nachrichteninhalte verschlüsselt AES-256-GCM.

Diese Parametersätze haben wir bewusst gewählt. Sie gehören zur höchsten Sicherheitskategorie des NIST, der Kategorie 5: Sie zu brechen, soll mindestens so viel Aufwand kosten wie die Schlüsselsuche bei AES-256. Das NIST empfiehlt das kleinere ML-KEM-768 als Standardwahl, hält in FIPS 203 aber auch fest, dass beim erstmaligen Schutz von Daten der stärkste mögliche Parametersatz verwendet werden sollte. Mandantenakten müssen mitunter Jahrzehnte vertraulich bleiben, deshalb nehmen wir größere Schlüssel und Nachrichten in Kauf. Der Schutz gehört zu jedem Tarif, einen Schalter dafür gibt es nicht.

Zum Beispiel die Anmeldung. Der Übergangsbericht des NIST hält fest, dass eine Authentifizierung nur in dem Moment sicher sein muss, in dem sie stattfindet: Eine heute mitgeschnittene Anmeldung enthält nichts, was sich später entschlüsseln ließe. Passkeys brauchen trotzdem Post-Quanten-Signaturen, spätestens wenn es leistungsfähige Quantencomputer gibt; wie sie heute funktionieren, erklärt unser Beitrag zu Passkeys.

Oder die Verbindung. Im August 2026 hat die IETF hybriden Post-Quanten-Schlüsselaustausch für TLS 1.3 als RFC 10024 veröffentlicht; ob eine Verbindung ihn nutzt, hängt von Browser und Server ab. Für Ende-zu-Ende-verschlüsselte Inhalte ist TLS der äußere Umschlag und schützt vor allem Metadaten.

Metadaten und Geräte liegen ganz außerhalb. Stärkere Inhaltsverschlüsselung verbirgt nicht, wer wann mit wem Dateien austauscht; welche Metadaten sichtbar bleiben, zeigt unsere Architekturseite. Und lesbar sind Inhalte dort, wo sie entschlüsselt werden. Gegen Schadsoftware oder einen entsperrten Laptop hilft kein Algorithmus.

Der koordinierte EU-Fahrplan vom Juni 2025 sieht vor, dass die Mitgliedstaaten bis Ende 2026 mit ihrer nationalen Umstellung beginnen und Anwendungsfälle mit hohem Risiko bis Ende 2030 umgestellt sind. Bis 2035 soll die Umstellung für so viele Systeme wie praktisch machbar abgeschlossen sein; ab dann sollen quantenanfällige Public-Key-Verfahren auch bei mittlerem Risiko nicht mehr allein eingesetzt werden.

In den USA erklärt der im Oktober 2026 fertiggestellte Übergangsbericht des NIST quantenanfällige Public-Key-Verfahren nach 2030 für veraltet und lässt sie nach 2035 in NIST-Standards nicht mehr zu. Bundessysteme mit den sensibelsten Daten müssen schneller sein: Post-Quanten-Schlüsselaustausch bis Ende 2030, Signaturen bis Ende 2031.

Diese Fristen richten sich an Staaten, Betreiber und Hersteller. Für eine Kanzlei mit fünf Leuten sind sie ein brauchbarer Maßstab für die eigenen Werkzeuge.

1. 1

   Langlebige Geheimnisse finden.

   Welche Dateien und Unterhaltungen müssen zehn Jahre oder länger vertraulich bleiben? Sie kommen zuerst.

2. 2

   Anbieter fragen.

   Ist der Schlüsselaustausch heute schon post-quantensicher oder nur geplant? Ist er hybrid? Wofür genau gilt die Aussage?

3. 3

   Absolutem misstrauen.

   Kein seriöser Anbieter verspricht, dass seine Verschlüsselung niemals gebrochen werden kann. Achten Sie auf benannte Standards und einen klaren Geltungsbereich.

4. 4

   Grundlagen pflegen.

   Passkeys, aktuelle Geräte und sorgfältiges Teilen halten die Angriffe auf, die heute passieren.