Post-Quanten-Kryptografie umfasst kryptografische Verfahren, die auch dann sicher bleiben, wenn leistungsfähige Quantencomputer verfügbar sind. Sie ersetzt die heute verbreiteten Verfahren RSA, Diffie-Hellman und elliptische Kurven, deren mathematische Grundlage ein Quantencomputer brechen könnte. Post-Quanten-Verfahren laufen auf gewöhnlicher Hardware und sind seit 2024 in ersten internationalen Standards festgeschrieben; ihre Einführung erfolgt derzeit meist in Kombination mit klassischen Verfahren.

Was ist Post-Quanten-Kryptografie?

Post-Quanten-Kryptografie ist keine Kryptografie mit Quantentechnik, sondern klassische Kryptografie mit neuen mathematischen Grundlagen. Die Verfahren laufen auf denselben Servern, Endgeräten und Chipkarten wie bisher. Verändert wird ausschließlich das zugrunde liegende mathematische Problem: An die Stelle von Faktorisierung und diskreten Logarithmen treten Probleme, für die auch mit einem Quantencomputer kein wirksamer Lösungsweg bekannt ist.

Betroffen ist ausschließlich die asymmetrische Kryptografie. Sie sorgt heute für Schlüsselaustausch, digitale Signaturen und Zertifikate – also für den Vertrauensanker praktisch jeder gesicherten Verbindung, jeder Softwaresignatur und jeder Ausweisfunktion. Symmetrische Verfahren wie AES und Hashfunktionen wie SHA-2 bleiben grundsätzlich nutzbar, benötigen aber größere Schlüssel- beziehungsweise Ausgabelängen.

Der Begriff wird häufig mit Quantenkryptografie verwechselt. Post-Quanten-Kryptografie schützt vor Quantencomputern, verwendet dafür aber keine Quantenphysik. Diese Unterscheidung ist für Beschaffungsentscheidungen wichtig, weil beide Ansätze völlig unterschiedliche Voraussetzungen und Reifegrade haben.

Warum bedrohen Quantencomputer die heutige Verschlüsselung?

Quantencomputer bedrohen die heutige Verschlüsselung, weil zwei bekannte Quantenalgorithmen die Sicherheitsannahmen gängiger Verfahren untergraben. Der Shor-Algorithmus löst Faktorisierung und diskrete Logarithmen effizient – genau jene Probleme, auf denen RSA, Diffie-Hellman und die Verfahren auf elliptischen Kurven beruhen. Ein hinreichend großer, fehlerkorrigierter Quantencomputer würde diese Verfahren nicht schwächen, sondern vollständig brechen.

Der Grover-Algorithmus wirkt anders: Er beschleunigt die erschöpfende Suche und halbiert damit näherungsweise das effektive Sicherheitsniveau symmetrischer Verfahren. Die Antwort darauf ist vergleichsweise einfach – längere Schlüssel und längere Hashwerte.

Verfahren	Wirkung eines Quantencomputers	Konsequenz
RSA, Diffie-Hellman, ECC/ECDSA	Vollständig gebrochen durch den Shor-Algorithmus	Ersatz durch Post-Quanten-Verfahren erforderlich
AES und andere symmetrische Verfahren	Effektive Sicherheit näherungsweise halbiert (Grover)	Schlüssellänge erhöhen, etwa AES-256 statt AES-128
Hashfunktionen wie SHA-2 und SHA-3	Sicherheitsniveau reduziert, kein Bruch	Längere Ausgaben verwenden, etwa SHA-384 oder SHA-512

Wann ein kryptografisch relevanter Quantencomputer existiert, ist offen. Seriöse Einschätzungen bewegen sich in einer Spanne von etwa einem bis mehreren Jahrzehnten, und die Unsicherheit ist selbst Teil des Risikos: Der Zeitpunkt lässt sich nicht planen, die Umstellung schon.

Was bedeutet „Harvest now, decrypt later“?

„Harvest now, decrypt later“ bezeichnet die Strategie, verschlüsselte Daten heute abzufangen und zu speichern, um sie später mit einem Quantencomputer zu entschlüsseln. Für Organisationen ist das der entscheidende Grund, warum Post-Quanten-Kryptografie kein Zukunftsthema ist: Der Angriff findet in der Gegenwart statt, nur die Auswertung liegt in der Zukunft.

Betroffen sind alle Daten, deren Vertraulichkeit über Jahre oder Jahrzehnte gewahrt bleiben muss – Verschlusssachen und Material der Einstufung VS-NfD, Gesundheits- und Patientendaten, Ermittlungs- und Einsatzunterlagen, Konstruktionsdaten, Verträge, Personalakten und Kommunikation über Interna. Für Daten mit kurzer Relevanz – etwa eine Terminabstimmung – ist das Szenario dagegen bedeutungslos.

Aus dieser Überlegung folgt eine einfache Priorisierungsregel, die in der Fachliteratur als Ungleichung formuliert wird: Wenn die geforderte Schutzdauer der Daten plus die benötigte Umstellungsdauer größer ist als die Zeit bis zum ersten leistungsfähigen Quantencomputer, muss heute gehandelt werden. Da die Umstellung großer Infrastrukturen erfahrungsgemäß Jahre dauert, trifft diese Bedingung auf viele Organisationen bereits zu.

Welche Verfahren gehören zur Post-Quanten-Kryptografie?

Zur Post-Quanten-Kryptografie zählen mehrere Verfahrensfamilien mit unterschiedlichen mathematischen Grundlagen. Am weitesten verbreitet sind gitterbasierte Verfahren, die auf schwer lösbaren Problemen in hochdimensionalen Gittern beruhen und ein günstiges Verhältnis aus Geschwindigkeit und Schlüsselgröße bieten. Codebasierte Verfahren nutzen fehlerkorrigierende Codes und gelten als besonders gut untersucht, arbeiten aber mit sehr großen öffentlichen Schlüsseln. Hashbasierte Signaturverfahren stützen sich ausschließlich auf die Sicherheit von Hashfunktionen und sind dadurch konservativ, erzeugen aber vergleichsweise große Signaturen. Hinzu kommen multivariate und isogeniebasierte Ansätze.

Die Vielfalt ist kein Selbstzweck, sondern Risikostreuung. Zwei prominente Kandidaten des Standardisierungsverfahrens wurden während des laufenden Prozesses gebrochen – ein multivariates Signaturverfahren und ein isogeniebasiertes Schlüsselaustauschverfahren, letzteres innerhalb weniger Stunden auf einem gewöhnlichen Rechner. Beide Fälle sind der wichtigste Praxisbefund dieses Feldes: Post-Quanten-Verfahren sind jünger und weniger lange erprobt als RSA oder elliptische Kurven, und genau daraus leitet sich die Empfehlung hybrider Verfahren ab.

Welche Standards gibt es für Post-Quanten-Kryptografie?

Die maßgeblichen Standards für Post-Quanten-Kryptografie stammen vom US-amerikanischen NIST, das 2024 nach einem mehrjährigen offenen Auswahlverfahren die ersten drei Verfahren veröffentlicht hat (Stand der Übersicht 08/2026):

Standard	Verfahren	Einsatzzweck
FIPS 203	ML-KEM (aus CRYSTALS-Kyber)	Schlüsselaustausch, gitterbasiert – das voraussichtlich meistgenutzte Verfahren
FIPS 204	ML-DSA (aus CRYSTALS-Dilithium)	Digitale Signaturen, gitterbasiert, als Standardwahl vorgesehen
FIPS 205	SLH-DSA (aus SPHINCS+)	Digitale Signaturen, hashbasiert, konservative Rückfalloption

Ergänzend hat das NIST ein codebasiertes Schlüsselaustauschverfahren als Absicherung gegen mögliche Schwächen der gitterbasierten Familie ausgewählt; ein weiterer Signaturstandard befindet sich in Vorbereitung. In Deutschland konkretisiert das Bundesamt für Sicherheit in der Informationstechnik die Empfehlungen in seiner Technischen Richtlinie zu kryptografischen Verfahren und Schlüssellängen und spricht sich für konservative, besonders gut untersuchte Verfahren sowie für den hybriden Einsatz aus. Für Anwendungen mit hohem Schutzbedarf und im Bereich von Verschlusssachen ist die hybride Nutzung derzeit die Erwartung, nicht die Ausnahme.

Was sind hybride Verfahren und warum werden sie empfohlen?

Hybride Verfahren kombinieren ein klassisches und ein Post-Quanten-Verfahren so, dass die Verbindung nur unsicher wird, wenn beide gebrochen sind. Beim Schlüsselaustausch werden dafür zwei Schlüssel gleichzeitig ausgehandelt und ihre Ergebnisse zu einem gemeinsamen Sitzungsschlüssel verrechnet. Ein Angreifer müsste sowohl das klassische als auch das neue Verfahren überwinden.

Der Grund für diese Vorsicht liegt in der Reife. Die klassischen Verfahren sind seit Jahrzehnten der Kryptoanalyse ausgesetzt, die neuen erst seit wenigen Jahren; die gebrochenen Kandidaten aus dem Auswahlverfahren zeigen, dass diese Sorge berechtigt ist. Umgekehrt schützt das klassische Verfahren allein nicht gegen Quantenangriffe. Die Kombination bringt beide Stärken zusammen, zum Preis von etwas mehr Rechenaufwand und deutlich größeren Handshake-Daten.

In der Praxis ist der hybride Schlüsselaustausch bereits verbreiteter, als viele annehmen. Gängige Browser, große Content-Delivery-Netze, aktuelle Versionen verbreiteter Fernzugriffs-Software und mehrere Messenger nutzen ihn im Rahmen von TLS beziehungsweise ihrer eigenen Protokolle bereits im Regelbetrieb. Bei Signaturen ist die Entwicklung dagegen langsamer, weil Zertifikatsketten, Zeitstempeldienste und Langzeitarchive daran hängen.

Wann muss auf Post-Quanten-Kryptografie umgestellt werden?

Für die Umstellung auf Post-Quanten-Kryptografie existieren inzwischen politische Zeitpläne mit gestuften Meilensteinen. Auf europäischer Ebene sieht eine gemeinsam abgestimmte Umsetzungsplanung vor, dass Mitgliedstaaten und Einrichtungen zunächst Bestandsaufnahme und Planung abschließen, anschließend Anwendungsfälle mit hohem Risiko umstellen und die Migration danach breit abschließen. Vergleichbare Vorgaben existieren im US-amerikanischen Behördenumfeld, dort mit einem Endhorizont in den frühen 2030er-Jahren.

Für einzelne Organisationen ist der politische Zeitplan allerdings nur die Untergrenze. Maßgeblich ist die eigene Schutzdauer: Wer Daten verarbeitet, die zehn oder mehr Jahre vertraulich bleiben müssen, hat rechnerisch keinen Puffer mehr. Hinzu kommt der regulatorische Druck aus dem allgemeinen Sicherheitsrecht: Wo der „Stand der Technik“ verlangt wird – etwa in Art. 32 DSGVO, in den Anforderungen an Betreiber kritischer Infrastrukturen oder in den Risikomanagementpflichten nach NIS-2 –, verschiebt sich dieser Maßstab mit der Verfügbarkeit standardisierter Verfahren. Die DSGVO-Konformität einer Verarbeitung wird also mittelfristig auch davon abhängen, ob eine Organisation die Umstellung wenigstens geplant hat.

Wie läuft die Migration zur Post-Quanten-Kryptografie ab?

Die Migration beginnt nicht mit dem Austausch von Algorithmen, sondern mit einem Krypto-Inventar. Erfasst wird, wo überall kryptografische Verfahren zum Einsatz kommen: in Anwendungen und Protokollen, in Zertifikaten und Zeitstempeln, in Signaturen für Software und Firmware, in Datenbanken, Archiven und Backups, in Chipkarten und eingebetteten Geräten sowie bei Dienstleistern. Dieses Inventar ist erfahrungsgemäß der aufwendigste Schritt, weil kryptografische Abhängigkeiten selten dokumentiert sind und häufig tief in Bibliotheken und Produkten stecken.

Auf das Inventar folgt die Priorisierung nach Schutzdauer und Kritikalität, nicht nach technischer Einfachheit. Verfahren, deren Daten lange vertraulich bleiben müssen, werden zuerst umgestellt; kurzlebige Daten können warten. Anschließend erfolgt die Umstellung selbst, in der Regel hybrid und beginnend beim Schlüsselaustausch, weil dort der Nutzen gegen „Harvest now, decrypt later“ unmittelbar eintritt. Parallel dazu gehören Anforderungen an Lieferanten in Verträge und Ausschreibungen – die eigene Umstellung nützt wenig, wenn zugekaufte Komponenten sie nicht unterstützen. Ein nach BSI IT-Grundschutz aufgebautes Sicherheitskonzept bietet dafür den passenden Rahmen, weil Zielobjekte und Schutzbedarf dort bereits erfasst sind.

Das eigentliche Ziel der Migration ist allerdings nicht ein bestimmter Algorithmus, sondern Kryptoagilität: die Fähigkeit, kryptografische Verfahren auszutauschen, ohne Anwendungen neu zu bauen. Wer Algorithmen fest verdrahtet, wiederholt die heutige Situation beim nächsten Verfahrenswechsel.

Welche technischen Herausforderungen bringt Post-Quanten-Kryptografie mit sich?

Die größte technische Herausforderung sind die Datenmengen. Post-Quanten-Schlüssel und -Signaturen sind erheblich größer als ihre klassischen Gegenstücke – bei gitterbasierten Verfahren um etwa eine Größenordnung, bei hashbasierten Signaturen und codebasierten Schlüsseln um mehrere. Das wirkt sich auf Handshake-Größen, Paketfragmentierung, Latenz in Mobilfunknetzen, Zertifikatsketten und Speicherbedarf aus. Besonders betroffen sind Umgebungen mit knapper Bandbreite oder Rechenleistung: eingebettete Systeme, Chipkarten, Sensorik und mobile Anwendungen in schlechten Netzen.

Hinzu kommen Abhängigkeiten außerhalb der eigenen Kontrolle. Hardware-Sicherheitsmodule, Trusted Platform Modules, Chipkarten und kryptografische Beschleuniger müssen die neuen Verfahren unterstützen; wo das nicht der Fall ist, entscheidet der Austauschzyklus der Hardware über den Zeitplan. Ähnlich verhält es sich mit Protokollen und Zertifizierungsstellen: Signaturverfahren wirken sich auf die gesamte Vertrauenskette aus, weshalb ihre Umstellung länger dauert als die des Schlüsselaustauschs. Für die Datenintegrität langlebiger Signaturen – Archive, Urkunden, Nachweise – braucht es zusätzlich ein Konzept für die Nachsignierung bestehender Bestände.

Wie unterscheidet sich Post-Quanten-Kryptografie von Quantenkryptografie?

Post-Quanten-Kryptografie und Quantenkryptografie sind zwei grundverschiedene Ansätze mit demselben Ziel. Post-Quanten-Kryptografie ist Mathematik auf gewöhnlicher Hardware: Sie lässt sich per Software-Update ausrollen, über bestehende Netze betreiben und beliebig skalieren. Quantenkryptografie, insbesondere die Quantenschlüsselverteilung (Quantum Key Distribution, QKD), nutzt dagegen physikalische Eigenschaften einzelner Photonen und benötigt dedizierte Hardware sowie in der Regel eine direkte optische Verbindung oder Vertrauensknoten.

Für die Praxis der meisten Organisationen ist die Antwort eindeutig: Der Weg führt über Post-Quanten-Kryptografie. Nationale Sicherheitsbehörden mehrerer Länder haben sich zurückhaltend zu QKD als Ersatz für klassische Verfahren geäußert – wegen Reichweitenbegrenzungen, Kosten, fehlender Authentifizierung auf Protokollebene und dem Umstand, dass Hardware neue Angriffsflächen schafft. QKD bleibt ein Forschungs- und Nischenthema für einzelne Hochsicherheitsstrecken; die Breitenlösung ist Post-Quanten-Kryptografie.

Was bedeutet Post-Quanten-Kryptografie für sichere Kommunikation?

Für sichere Kommunikation ist Post-Quanten-Kryptografie besonders dringlich, weil Kommunikationsinhalte typischerweise lange schutzbedürftig sind und der Übertragungsweg leicht mitgeschnitten werden kann. Genau diese Kombination macht Messenger und Kollaborationsdienste zum Musterfall für „Harvest now, decrypt later“. Bei Ende-zu-Ende-Verschlüsselung betrifft die Umstellung vor allem den initialen Schlüsselaustausch zwischen den Geräten; die eigentliche Nachrichtenverschlüsselung beruht auf symmetrischen Verfahren und ist weniger betroffen.

Mehrere verbreitete Kommunikationsprotokolle haben den Schlüsselaustausch deshalb bereits um Post-Quanten-Anteile ergänzt, meist hybrid und schrittweise: zunächst für den erstmaligen Verbindungsaufbau, später für die fortlaufende Schlüsselerneuerung. Für Organisationen mit langen Aufbewahrungs- und Geheimhaltungsfristen ist das ein konkretes Auswahlkriterium – nicht in Form der Frage „ist das Produkt quantensicher?“, sondern präziser: Welche Verfahren werden für den Schlüsselaustausch eingesetzt, sind sie hybrid, welche Bibliotheken kommen zum Einsatz, und wie ist der Zeitplan für die Umstellung der Signaturen?

Organisationen behandeln diese Fragen zunehmend als festen Bestandteil der Beschaffung: Sie verlangen von Anbietern eine dokumentierte Migrationsplanung, prüfen die Kryptoagilität der Lösung und nehmen entsprechende Zusagen in Verträge auf, statt sich auf allgemeine Sicherheitsversprechen zu verlassen.

Welche typischen Fehler treten bei der Umstellung auf?

Der häufigste Fehler bei der Post-Quanten-Kryptografie ist, sie als Zukunftsthema einzuordnen, obwohl das Abfangen von Daten heute stattfindet. Weitere Schwachstellen aus der Praxis:

kein Krypto-Inventar, sodass unbekannt bleibt, wo überall asymmetrische Verfahren im Einsatz sind
Priorisierung nach technischer Machbarkeit statt nach Schutzdauer der betroffenen Daten
ausschließlicher Einsatz neuer Verfahren ohne klassischen Anteil, obwohl hybride Kombinationen empfohlen werden
Algorithmen fest in Anwendungen verdrahtet, wodurch der nächste Wechsel erneut zum Großprojekt wird
Signaturen, Zertifikatsketten und Langzeitarchive ausgeklammert, weil der Fokus auf dem Schlüsselaustausch liegt
Hardwareabhängigkeiten übersehen, sodass der Austauschzyklus von Chipkarten und Sicherheitsmodulen den Zeitplan unbemerkt bestimmt
Anforderungen nicht in Verträge und Ausschreibungen übernommen, sodass zugekaufte Komponenten die eigene Planung blockieren
Marketingaussagen wie „quantensicher“ ungeprüft übernommen, ohne nach konkreten Verfahren und Umsetzungsstand zu fragen

Zusammenfassung: Wichtige Punkte zur Post-Quanten-Kryptografie

Post-Quanten-Kryptografie umfasst Verfahren, die auch gegen Angriffe mit Quantencomputern sicher bleiben, dabei aber auf gewöhnlicher Hardware laufen.
Betroffen ist die asymmetrische Kryptografie: RSA, Diffie-Hellman und elliptische Kurven gelten durch den Shor-Algorithmus als vollständig brechbar.
Symmetrische Verfahren und Hashfunktionen bleiben nutzbar, benötigen aber längere Schlüssel beziehungsweise Ausgaben, etwa AES-256 statt AES-128.
„Harvest now, decrypt later“ macht das Thema gegenwärtig: Verschlüsselte Daten werden heute abgefangen und gespeichert, um sie später zu entschlüsseln.
Handlungsbedarf besteht, wenn Schutzdauer der Daten plus Umstellungsdauer die Zeit bis zum ersten leistungsfähigen Quantencomputer übersteigt.
Das NIST hat 2024 die ersten Standards veröffentlicht: ML-KEM (FIPS 203) für den Schlüsselaustausch sowie ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) für Signaturen.
Hybride Verfahren kombinieren klassische und neue Kryptografie, sodass ein Angreifer beide brechen müsste – derzeit die empfohlene Einführungsform.
Die Migration beginnt mit einem Krypto-Inventar und einer Priorisierung nach Schutzdauer, nicht nach technischer Einfachheit.
Eigentliches Ziel ist Kryptoagilität: die Fähigkeit, Verfahren auszutauschen, ohne Anwendungen neu zu bauen.
Post-Quanten-Kryptografie ist nicht Quantenkryptografie: Sie ist Mathematik auf bestehender Hardware, während Quantenschlüsselverteilung dedizierte physikalische Infrastruktur benötigt.