Post-Quanten-Kryptografie: Das Krypto-Inventar wird Pflicht

Im Januar 2026 hat das BSI seine Technische Richtlinie zu kryptografischen Verfahren aktualisiert und dabei etwas getan, was es in dieser Deutlichkeit lange nicht gab: Es hat der alleinigen Nutzung klassischer Schlüsseleinigung ein Enddatum gegeben. Für Unternehmen im DACH-Raum verschiebt das eine Aufgabe aus der Kategorie „irgendwann" in die Kategorie „Projektplan". Der erste Schritt ist dabei weder Kryptografie noch Einkauf, sondern eine Inventur.

1. Was das BSI im Januar 2026 entschieden hat

Die Technische Richtlinie TR-02102-1 des Bundesamts für Sicherheit in der Informationstechnik beschreibt, welche kryptografischen Verfahren und Schlüssellängen als geeignet gelten. Sie hat formal Empfehlungscharakter, wird aber als Grundlage für weitere Vorgaben des Bundes herangezogen und entfaltet dadurch im behördlichen Umfeld und in regulierten Branchen mittelbar verbindliche Wirkung.

Die Fassung vom 23. Januar 2026 unterscheidet sich in einem Punkt grundlegend von ihren Vorgängern: Sie nennt Zeitpunkte. Die alleinige Nutzung klassischer Schlüsseleinigungsverfahren wird nur noch bis zum 31. Dezember 2031 empfohlen. Für klassische Signaturverfahren sieht das BSI eine Abkündigung der alleinigen Nutzung bis Ende 2035 vor. Ein vollständiger Verzicht auf RSA oder ECC wird dabei nicht vorgeschrieben — die Richtlinie setzt auf Kombinationen aus klassischen und quantensicheren Algorithmen.

BSI-Präsidentin Claudia Plattner hat die Migration auf Post-Quanten-Kryptografie im Februar 2026 als zwingend bezeichnet. Parallel verfolgt die Europäische Union einen eigenen Fahrplan, nach dem hochkritische Systeme bis spätestens 2030 abgesichert sein sollen; das BSI hat gemeinsam mit 17 europäischen Partnerbehörden zu einer aktiven Umstellung der sensitivsten Anwendungen bis 2030 aufgerufen.

2. Was betroffen ist — und was nicht

Die verbreitetste Fehlvorstellung lautet, Quantencomputer würden „die Verschlüsselung\" brechen. Tatsächlich ist die Bedrohung sehr genau umrissen und betrifft nur einen Teil der eingesetzten Verfahren.

Diese Unterscheidung ist praktisch wertvoll, weil sie den Umfang des Vorhabens dramatisch reduziert. Ein verschlüsseltes Backup-Archiv muss nicht neu verschlüsselt werden, solange es mit AES gesichert ist — wohl aber der Schlüsselaustausch, über den der Schlüssel dorthin gelangt. Die Migration betrifft Verbindungen, Zertifikate und Signaturen, nicht ruhende Datenblöcke.

Ein Wort zur Größenordnung, weil sie in Budgetgesprächen regelmäßig unterschätzt wird: Asymmetrische Verfahren stecken in weit über neunzig Prozent aller verschlüsselten Internetverbindungen. Sie sind nicht ein Baustein neben anderen, sondern die Schicht, auf der Vertrauen zwischen Systemen überhaupt erst entsteht. Deshalb ist die Migration kein Projekt der IT-Sicherheit allein, sondern berührt Betrieb, Beschaffung, Produktentwicklung und Lieferantenmanagement gleichermaßen.

Ein zweiter Punkt betrifft die Praxis: Quantensichere Schlüssel sind deutlich größer als ihre klassischen Vorgänger. Öffentliche Schlüssel von einigen hundert bis über anderthalbtausend Byte gegenüber wenigen hundert Byte bei RSA verändern Handshake-Größen, Zertifikatsketten und in seltenen Fällen auch die Fragmentierung auf der Netzwerkebene. Für gewöhnliche Web- und VPN-Verbindungen ist das unkritisch. Für Geräte mit knappen Ressourcen oder Protokolle mit engen Paketgrenzen ist es der eigentliche Migrationsaufwand — ein weiterer Grund, den Bestand früh zu kennen.

3. Harvest Now, Decrypt Later

Der Zeitpunkt, zu dem ein kryptografisch relevanter Quantencomputer verfügbar sein wird, ist umstritten; verbreitete Schätzungen liegen zwischen 2030 und 2040. Für die Planung ist diese Frage allerdings zweitrangig. Entscheidend ist die Strategie Harvest Now, Decrypt Later, die das BSI in seiner Begründung ausdrücklich anführt: Heute abgefangene und archivierte Daten lassen sich später entschlüsseln.

Daraus folgt eine einfache Rechenregel für die Priorisierung, die ohne jede Prognose auskommt: Addieren Sie die Schutzbedarfsdauer Ihrer Daten zur heutigen Jahreszahl. Liegt das Ergebnis jenseits von 2035, ist der betreffende Datenfluss bereits heute gefährdet.

4. Die Standards und der Hybrid-Ansatz

Anders als bei vielen Sicherheitsthemen ist die technische Grundlage hier bereits geklärt. Das NIST hat im August 2024 drei finale Standards veröffentlicht: FIPS 203 mit ML-KEM für den Schlüsselaustausch, FIPS 204 mit ML-DSA und FIPS 205 mit SLH-DSA für Signaturen. Ein vierter Standard für ein Verfahren aus der FALCON-Familie befindet sich noch im Prozess.

Das BSI empfiehlt für den Übergangszeitraum ausdrücklich die hybride Schlüsseleinigung: Ein klassisches und ein quantensicheres Verfahren werden gemeinsam ausgeführt und ihre Ergebnisse über eine geeignete Schlüsselableitung zu einem Sitzungsschlüssel verbunden. Die Begründung ist konservativ und überzeugend: Die neuen Verfahren sind noch nicht so lange kryptanalytisch untersucht wie RSA und ECC, insbesondere im Hinblick auf Implementierungsfehler und Seitenkanalangriffe. Ein hybrides Verfahren bleibt sicher, solange mindestens eine der beiden Komponenten hält.

Bemerkenswert ist, wie weit die Umstellung im Hintergrund bereits vorangeschritten ist. Cloudflare hat hybride Schlüsseleinigung für TLS 1.3 im März 2024 produktiv geschaltet, Google Chrome ab Version 124 im April 2024 standardmäßig aktiviert, Firefox folgte im Herbst desselben Jahres. OpenSSL 3.5 hat ML-KEM und ML-DSA im April 2025 nativ integriert. Für viele Unternehmen bedeutet das: Ein Teil des Außenverkehrs ist bereits hybrid abgesichert, ohne dass jemand eine Entscheidung getroffen hätte. Genau deshalb ist die Inventur so wichtig — sie trennt das, was schon läuft, von dem, was liegen geblieben ist.

Am Rande sei die Quantenschlüsselverteilung erwähnt, die in der Diskussion oft mit Post-Quanten-Kryptografie verwechselt wird. Das BSI kommt gemeinsam mit Partnerbehörden aus Frankreich, den Niederlanden und Schweden zu dem Schluss, dass diese Technik wegen technologischer Einschränkungen nur in sehr speziellen Anwendungen einsetzbar und derzeit nicht einsatzreif ist. Die Priorität liegt eindeutig auf der Post-Quanten-Kryptografie.

5. Das Krypto-Inventar

Der eigentliche Aufwand der Migration liegt nicht im Austausch der Algorithmen, sondern darin, ihre Fundstellen zu finden. Für ein größeres Unternehmen kann allein die kryptografische Inventur sechs bis zwölf Monate beanspruchen. Auch im Mittelstand ist sie selten in zwei Wochen erledigt, weil die Verfahren an Orten stecken, die in keiner Softwareliste stehen.

Zwei organisatorische Hinweise haben sich in unseren Projekten als entscheidend erwiesen. Erstens: Das Inventar gehört nicht in eine einmalige Tabelle, sondern an die Stelle, an der ohnehin Assets gepflegt werden. Ein separates Dokument ist nach zwölf Monaten veraltet, ein Feld im bestehenden Asset-Verzeichnis überlebt. Zweitens: Die Zuständigkeit muss benannt sein. Kryptografie fällt in den meisten Mittelständlern zwischen Netzwerkbetrieb, Anwendungsentwicklung und externem Dienstleister — und damit im Zweifel niemandem zu.

Hilfreich ist außerdem, das Inventar von Anfang an mit einer Bewertungsspalte zu versehen: migriert, hybrid im Betrieb, Anbieterfahrplan vorhanden, kein Pfad bekannt. Die vierte Kategorie ist die interessante. Sie enthält typischerweise wenige Positionen, verursacht aber den überwiegenden Teil des späteren Aufwands, weil dort Hardware-Austausch oder Anbieterwechsel dahintersteckt. Wer diese Liste 2026 kennt, kann sie über fünf Budgetjahre verteilen statt über eins.

6. Krypto-Agilität in der Beschaffung

Die wirksamste Einzelmaßnahme im Jahr 2026 ist keine technische, sondern eine vertragliche. Jede Software und jedes Gerät, das ab jetzt beschafft wird, sollte Krypto-Agilität als Anforderung tragen. Andernfalls kauft man heute Systeme, die man vor 2031 noch einmal ersetzen muss.

Diese drei Fragen kosten im Beschaffungsprozess wenige Minuten und ersparen im Zweifel ein sechsstelliges Ersatzprojekt. Sie fügen sich zudem nahtlos in die Sicherheitsanforderungen ein, die über NIS2 ohnehin durch die Lieferkette gereicht werden — wir haben das im Beitrag NIS2 in der Lieferkette beschrieben.

Wer Budget begründen muss, sollte den Zusammenhang zu bestehenden Pflichten herstellen. NIS2 verlangt von regulierten Einrichtungen ausdrücklich Konzepte für den Einsatz von Kryptografie; die naheliegende Referenz für „angemessen" ist im deutschen Raum die TR-02102. Damit ist die Post-Quanten-Migration für betroffene Unternehmen kein Zusatzprojekt neben der Cybersicherheits-Compliance, sondern ein Bestandteil davon — und lässt sich entsprechend aus demselben Budget und mit derselben Governance führen.

7. Migrationsfahrplan bis 2031

1. Phase 1 — 2026: Inventur und Risikobewertung

   Zertifikatsscan, Erfassung von Verbindungen, eingebetteten Systemen und Dienstleistern. Parallel die Bewertung der Datenlebensdauer je Fluss, um die Harvest-Risiken zu identifizieren. Ergebnis ist eine priorisierte Liste, keine Technikentscheidung.

2. Phase 2 — 2026: Krypto-Agilität in Beschaffung und Richtlinien

   Aufnahme der drei Beschaffungsfragen in Ausschreibungen und Vertragsverlängerungen sowie Aktualisierung der internen Kryptografie-Richtlinie mit Bezug auf die TR-02102. Ab hier wächst das Problem nicht weiter.

3. Phase 3 — 2027: Piloten für kritische Verbindungen

   Hybride Schlüsseleinigung für TLS an den wichtigsten Außenschnittstellen, für VPN-Verbindungen zu Partnern und für die interne PKI. Ziel ist Betriebserfahrung mit größeren Schlüsseln und veränderten Handshake-Zeiten.

4. Phase 4 — 2028 bis 2029: Breitenrollout

   Umstellung der übrigen Verbindungen, Erneuerung der Zertifikatshierarchie, Austausch oder Ersatz nicht migrierbarer Hardware. Diese Phase ist die längste und sollte deshalb den größten Puffer erhalten.

5. Phase 5 — 2030 bis 2031: Abschluss der Schlüsseleinigung

   Keine ausschließlich klassische Schlüsseleinigung mehr im produktiven Einsatz, im Einklang mit dem BSI-Zeitpunkt Ende 2031 und dem europäischen Ziel 2030 für hochkritische Systeme. Signaturen folgen bis 2035 in einem eigenen Strang.

Kryptografie ist die einzige Sicherheitsmaßnahme, deren Versagen rückwirkend eintritt. Alles, was heute unzureichend geschützt übertragen wird, bleibt angreifbar — auch nachdem die Systeme längst abgeschaltet sind.

Fazit

Post-Quanten-Kryptografie ist eines der wenigen Sicherheitsthemen, bei denen die technische Unsicherheit gering und die organisatorische Herausforderung groß ist. Die Verfahren sind standardisiert, die Empfehlungen liegen vor, die Browser- und Bibliothekenlandschaft ist bereits umgestellt. Was fehlt, ist in den meisten Unternehmen schlicht die Übersicht — und die lässt sich nicht kaufen, sondern nur erarbeiten.

Die Fristen sind dabei weniger dramatisch, als sie klingen. Ende 2031 für die Schlüsseleinigung und Ende 2035 für Signaturen sind ausreichend lange Zeiträume, wenn man 2026 mit der Inventur beginnt. Sie sind knapp, wenn man 2029 beginnt, und sie sind nicht zu halten, wenn im Bestand Geräte stecken, deren Hersteller keinen Migrationspfad anbietet — was man erst weiß, wenn man gefragt hat.

Unsere Empfehlung für den Mittelstand ist deshalb eng gefasst: Machen Sie 2026 den Zertifikatsscan, bewerten Sie die Schutzbedarfsdauer Ihrer drei wichtigsten Datenflüsse und nehmen Sie die drei Beschaffungsfragen in Ihre Vertragsvorlagen auf. Das sind wenige Tage Arbeit, und sie verhindern, dass aus einem geordneten Übergang eine teure Notmigration wird.

Unsere Expertise vor Ort

Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.

Kontaktanfrage in Ihrer Region starten →

IT Lösungen BerlinIT Lösungen HamburgIT Lösungen MünchenIT Lösungen KölnIT Lösungen Frankfurt am MainIT Lösungen StuttgartIT Lösungen DüsseldorfIT Lösungen LeipzigIT Lösungen DortmundIT Lösungen EssenIT Lösungen BremenIT Lösungen HannoverIT Lösungen NürnbergIT Lösungen WienIT Lösungen GrazIT Lösungen LinzIT Lösungen SalzburgIT Lösungen ZürichIT Lösungen GenfIT Lösungen BaselIT Lösungen Bern

Erweitertes Fachglossar