Im Juni 2025 hat die NIS-Kooperationsgruppe unter zentraler Mitwirkung des Bundesamts für Sicherheit in der Informationstechnik die ‚Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography‘ veröffentlicht. Das Dokument beantwortet eine Frage, die in europäischen Sicherheitsbehörden längst als geklärt gilt, in vielen Unternehmen jedoch noch immer diskutiert wird: Ja, Quantencomputer stellen eine reale Bedrohung für heutige Verschlüsselungsverfahren dar. Und ja, der Handlungsdruck ist akut. Die Roadmap markiert einen Wendepunkt, an dem aus theoretischen Warnungen verbindliche Zeitvorgaben werden.
Die Roadmap entstand in einer Arbeitsgruppe, die das BSI gemeinsam mit dem Bundesinnenministerium, der französischen Agence Nationale de la Sécurité des Systèmes d’Information sowie den Niederlanden leitet. Sie baut auf einem Impulspapier auf, das Sicherheitsbehörden aus 21 europäischen Staaten im November 2024 unterzeichnet haben. Dessen Titel ‚Securing Tomorrow, Today‘ fasst die Dringlichkeit prägnant zusammen.
Ein Fahrplan mit Meilensteinen
Die EU-Roadmap gibt Organisationen einen gestuften Zeitrahmen vor. Bis Ende 2026 sollen nationale Roadmaps stehen, Pilotprojekte anlaufen und vor allem ein vollständiges Krypto-Inventar existieren, das eine risikobasierte Priorisierung ermöglicht. Bis Ende 2030 soll die Umstellung für Hochrisiko-Anwendungen abgeschlossen sein. Bis Ende 2035 schließlich müssen alle relevanten Systeme migriert werden.
Diese Fristen mögen auf den ersten Blick großzügig erscheinen. Das BSI warnt jedoch vor einer Unterschätzung des Aufwands. Die Umstellung auf Post-Quantum-Kryptographie ist komplexer als eine bloße Anhebung von Schlüssellängen, wie sie in der Vergangenheit der gestiegenen Rechenleistung konventioneller Computer Rechnung trug. Es handelt sich um einen vollständigen Austausch der Algorithmen, der Neuimplementierungen erfordert. Bevor ein flächendeckendes Ausrollen möglich wird, muss die Integration in zahlreiche Protokolle und Standardanwendungen erfolgen.
Store now, decrypt later ist in vollem Gange
Die Dringlichkeit erklärt sich aus einem Bedrohungsszenario, das unter dem Begriff Harvest now, decrypt later bekannt geworden ist. Verschlüsselte Kommunikation, die heute abgefangen und gespeichert wird, lässt sich künftig entschlüsseln, sobald entsprechende Quantenkapazitäten verfügbar sind. Für Daten mit langen Schutzfristen – staatliche Geheimnisse, Gesundheitsdaten, geistiges Eigentum – bedeutet das, dass der Zeitpunkt für den Schutz nicht in der Zukunft liegt, sondern in der Gegenwart.
Eine aktuelle BSI-Studie zum Entwicklungsstand von Quantencomputern unterstreicht diese Einschätzung. Die Fortschritte der Jahre 2024 und 2025 – insbesondere das Erreichen des Break-Even-Punkts in der Quantenfehlerkorrektur auf drei verschiedenen Plattformen – deuten auf einen kürzeren Zeitraum bis zur Entwicklung kryptanalytisch relevanter Quantencomputer hin, als viele Prognosen noch vor wenigen Jahren nahelegten.
Quantum Key Distribution
Bemerkenswert ist die klare Positionierung der europäischen Behörden gegenüber vermeintlichen Alternativansätzen. Quantum Key Distribution, von manchen Anbietern als zukunftssichere Lösung vermarktet, wird vom BSI in einem gemeinsamen Positionspapier mit europäischen Partnerbehörden als nicht einsatzreif eingestuft. Die Technologie sei nur in sehr speziellen Anwendungen einsetzbar und erfülle die Anforderungen aus Sicherheitssicht nicht. Ein gemeinsames Positionspapier europäischer Partnerbehörden zeigt die technologischen Einschränkungen auf.
Diese Einschätzung deckt sich mit der Position des US-Verteidigungsministeriums, das in einem November-Memorandum ebenfalls QKD als Ersatz für standardbasierte Post-Quantum-Kryptographie ausgeschlossen hat. Die transatlantische Übereinstimmung in dieser Frage sollte Unternehmen, die auf entsprechende Marketingversprechen setzen, zu denken geben.
Was ist nun zu tun?
Das BSI empfiehlt Organisationen, den Migrationsprozess unverzüglich einzuleiten. Der erste Schritt besteht in einer vollständigen Bestandsaufnahme aller kryptographischen Verwendungen. Das klingt trivialer, als es ist, denn neben offensichtlichen Anwendungen wie TLS-Zertifikaten für Webserver umfasst ein solches Inventar auch eingebettete Schlüssel in IoT-Geräten, Code-Signing-Zertifikate, Machine-to-Machine-Kommunikation und Verschlüsselung in Legacy-Systemen, deren Dokumentation oft lückenhaft ist.
Auf Basis dieser Bestandsaufnahme folgt eine Risikoanalyse. Dabei gilt es zu klären, welche Daten lange Schutzfristen haben, welche Systeme besonders exponiert sind und welche Abhängigkeiten zu externen Dienstleistern und deren Migrationsplänen bestehen. Die Antworten auf diese Fragen bestimmen die Priorisierung.
Das BSI betont zudem die Bedeutung von Krypto-Agilität als Architekturprinzip. Systeme sollten so konzipiert sein, dass sie neue Algorithmen aufnehmen können, ohne grundlegende Umbauten zu erfordern. Wer heute noch mit fest codierten Algorithmen arbeitet, baut technische Schulden auf, die sich später nur schwer abtragen lassen.
Für den Übergangszeitraum empfehlen das BSI und andere europäische Behörden hybride Systeme, die klassische und quantenresistente Verfahren kombinieren. Dieser Ansatz verspricht Schutz, solange die jeweiligen Verfahren nicht gleichzeitig gebrochen werden.
Standardisierung kommt voran
Die Sorge, man müsse auf finale Standards warten, ist inzwischen weitgehend unbegründet. Das amerikanische National Institute of Standards and Technology hat im August 2024 die ersten drei Post-Quantum-Verschlüsselungsstandards finalisiert. Das BSI hat seine Technische Richtlinie TR-02102 im März 2025 entsprechend aktualisiert und empfiehlt nun die NIST-Standards ML-KEM für den Schlüsselaustausch sowie ML-DSA und SLH-DSA als Signaturverfahren. Ergänzend bleiben die bereits seit 2020 empfohlenen Verfahren FrodoKEM, Classic McEliece, XMSS und LMS gültig, die unter aktiver BSI-Beteiligung bei der ISO standardisiert werden. Gute Gründe, sich besser früher als später mit Post-Quantum-Kryptographie zu befassen.
