PQC – Post-Quantum-Kryptografie

Abkürzung: PQC

Post-Quantum-Kryptografie umfasst kryptografische Verfahren, die auch dann sicher bleiben, wenn ein ausreichend leistungsfähiger Quantenrechner zur Verfügung steht. Sie laufen auf gewöhnlichen Prozessoren; der Name ist insofern irreführend, als es nicht um Kryptografie mit Quantenrechnern geht, sondern um Kryptografie gegen sie.

Was ein Quantenrechner bricht und was nicht

Die Bedrohung ist seit 1994 bekannt, als Peter Shor die passenden Quantenalgorithmen veröffentlichte. Sie trifft die eingesetzten Verfahren sehr ungleich.

Shors Algorithmus bricht die asymmetrischen Verfahren vollständig. RSA, Diffie-Hellman und die Verfahren über elliptische Kurven (ECDH, ECDSA) beruhen auf Problemen, die ein Quantenrechner effizient löst. Längere Schlüssel helfen nicht — das Problem selbst fällt weg.

Grovers Algorithmus halbiert die effektive Stärke symmetrischer Verfahren. AES mit 128 Bit wird dadurch geschwächt, AES-256 bleibt unkritisch. Für Hashfunktionen gilt Entsprechendes; SHA-256 und HMAC gelten nicht als gefährdet.

Daraus folgt der Zuschnitt der Umstellung: Es geht um Schlüsseleinigung und Signaturen, nicht um die Verschlüsselung der Nutzdaten.

Warum der Druck schon heute besteht

Verschlüsselter Verkehr lässt sich aufzeichnen und aufbewahren, bis er sich öffnen lässt — Harvest now, decrypt later, in deutschen Behördendokumenten „Store now, decrypt later". Wer den Verbindungsaufbau mitschneidet, kann den Sitzungsschlüssel später nachrechnen.

Vertraulichkeit ist damit rückwirkend angreifbar, Signaturen sind es nicht: Eine Unterschrift muss nur zum Prüfzeitpunkt fälschungssicher sein. Die Umstellung der Schlüsseleinigung ist deshalb dringlicher als die der Signaturverfahren.

Wie viel Zeit bleibt, ist offen. Das BSI geht in seiner zuletzt 2025 aktualisierten Studie zum Entwicklungsstand davon aus, dass ein kryptografisch relevanter Quantenrechner in höchstens fünfzehn Jahren realisierbar ist, also bis 2040 oder früher; die Grundannahmen der Quantenfehlerkorrektur gelten seit 2024 als verifiziert. Im Hochsicherheitsbereich arbeitet die Bundesregierung mit der Annahme, dass es zu Beginn der 2030er Jahre so weit sein könnte.

Die drei NIST-Standards

Das US-amerikanische NIST schloss im August 2024 ein mehrjähriges Auswahlverfahren ab und standardisierte drei Verfahren:

ML-KEM ersetzt Diffie-Hellman, arbeitet aber mit einem anderen Nachrichtenablauf — es wird ein Schlüssel gekapselt und übertragen, nicht beidseitig errechnet. ML-DSA ist die handliche Standardwahl für Signaturen. SLH-DSA kommt ohne zahlentheoretische Annahmen aus und ist als konservative Reserve gedacht: deutlich langsamer, mit erheblich größeren Signaturen, dafür auf anderem Fundament als die beiden Gitterverfahren.

Dass ML-KEM und ML-DSA dieselben Annahmen teilen, ist der Grund, warum eine Reserve überhaupt vorgehalten wird.

Was noch kommt

NIST hat das Signaturverfahren Falcon und den Kapselungsmechanismus HQC für die Fortsetzung ausgewählt. HQC beruht auf Codes und damit auf anderer Mathematik als die Gitterverfahren — dieselbe Überlegung wie bei SLH-DSA, diesmal für die Schlüsseleinigung.

Hybride Verfahren

Hybrid heißt: ein klassisches und ein post-quanten-sicheres Verfahren werden so kombiniert, dass der Schlüssel sicher bleibt, solange eines von beiden hält. Das deckt beide Risiken ab — den Quantenrechner und einen unentdeckten Fehler in den noch jungen PQC-Verfahren.

In TLS 1.3 hat sich eine Gruppe durchgesetzt, die X25519 mit ML-KEM-768 verbindet.

Die deutsche Sicht: BSI TR-02102

Das BSI verlangt in seiner Technischen Richtlinie TR-02102 für alle post-quanten-sicheren Schlüsseleinigungsverfahren die hybride Anwendung. Reines ML-KEM entspricht der Richtlinie nicht. Empfohlen werden FrodoKEM und ML-KEM.

Classic McEliece

Am 1. Oktober 2026 meldete das BSI deutlich verbesserte strukturelle Angriffe auf Classic McEliece. Das Verfahren soll derzeit nicht für Neuentwicklungen eingeplant werden. Bestehende Anwendungen mit den empfohlenen Parametern gelten nach BSI-Einschätzung noch nicht als praktisch angreifbar. FrodoKEM, ML-KEM und HQC sind nicht betroffen. Die nächste Fassung der TR-02102-1 ist für Anfang 2027 angekündigt.

Der Zeitplan für Deutschland

Im Oktober 2026 haben BMDS, BMI und BSI eine gemeinsame Leitlinie veröffentlicht, die die EU-Roadmap vom Juni 2025 national umsetzt. Sie arbeitet mit drei Risikostufen — hoch, mittel, niedrig —, die sich aus der Angreifbarkeit des Verfahrens, dem erwarteten Schadensausmaß und dem geschätzten Umstellungsaufwand ergeben.

• Ende 2026: Vorbereitungs- und Planungsphase abgeschlossen, kryptografisches Inventar erstmals erstellt, erste Umstellungsschritte begonnen.
• Ende 2030: Anwendungsfälle mit hohem Risiko quantensicher.
• Ende 2035: dasselbe für mittleres Risiko. (Zusammenfassung und Abschnitt 4 der Leitlinie formulieren diese Marke weiter, als „nahezu alle Systeme".)

Verbindlich ist das zunächst nicht. Die Leitlinie spricht von „dringenden Empfehlungen"; verbindlich machen sollen die Fristen bis Ende 2026 die zuständigen Gremien, genannt sind der IT-Planungsrat und UP KRITIS. Zwei Ausnahmen bestehen bereits: Für zugelassene VS-IT-Sicherheitsprodukte hat das BSI verbindliche Fristen bis 2030 gesetzt, und § 30 BSIG verpflichtet wichtige und besonders wichtige Einrichtungen, den Stand der Technik für Kryptografie einzuhalten — wozu die Leitlinie PQC nach TR-02102 ausdrücklich zählt.

International läuft die Entwicklung parallel: NIST IR 8547 sieht vor, quantengefährdete Verfahren bis 2035 aus den Normen zu entfernen.

Die Größenfrage

PQC-Schlüssel und -Signaturen sind erheblich größer als die abgelösten. Das macht Ärger überall dort, wo Platz knapp oder fest eingeplant ist: in Zertifikaten und ihren Ketten, in DNS-Antworten, in Firmware-Signaturen und auf eingebetteten Geräten. Protokolle mit festen Feldbreiten nehmen die neuen Werte schlicht nicht auf.

Ob ein System den Wechsel überhaupt mitmacht, entscheidet sich damit weniger an der Rechenleistung als an seiner Kryptoagilität — und bevor etwas ausgetauscht werden kann, muss bekannt sein, was eingesetzt wird; dafür steht das Cryptographic Bill of Materials.

Normen

• FIPS 203 – ML-KEM, Module-Lattice-Based Key-Encapsulation Mechanism
• FIPS 204 – ML-DSA, Module-Lattice-Based Digital Signature Algorithm
• FIPS 205 – SLH-DSA, Stateless Hash-Based Digital Signature Algorithm
• NIST IR 8547 – Transition to Post-Quantum Cryptography Standards
• BSI TR-02102-1 – Kryptographische Verfahren: Empfehlungen und Schlüssellängen
• BSI TR-02102-2 – Verwendung von Transport Layer Security