Einführung in die Post-Quanten-Kryptographie

Post-Quanten-Kryptographie (PQC) ist eine Kryptographie, die entwickelt wurde, um Angriffen sowohl klassischer als auch Quantencomputer zu widerstehen. Sie ersetzt Algorithmen wie RSA und ECC, die ein zukünftiger Quantencomputer knacken könnte, durch neue quantenresistente Standards: ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205).

Post-Quanten-Kryptographie (PQC) ist eine neue Generation kryptografischer Algorithmen, die entwickelt wurden, um Angriffen von Quantencomputern standzuhalten. Heutige Public-Key-Algorithmen wie RSA und Elliptische-Kurven-Kryptographie könnten von einem leistungsstarken Quantencomputer, der Shors Algorithmus ausführt, geknackt werden. Im Jahr 2024 finalisierte das NIST die ersten PQC-Standards ML-KEM, ML-DSA und SLH-DSA, und Organisationen migrieren nun auf diese.

Wichtige Erkenntnisse

• Post-Quanten-Kryptographie (PQC) ist eine Kryptographie, die entwickelt wurde, um Angriffen von Quantencomputern zu widerstehen und quantenanfällige Algorithmen wie RSA und ECC zu ersetzen.
• Quantencomputer verwenden Qubits und könnten mit Shors Algorithmus die Public-Key-Kryptographie knacken, die heute den größten Teil des Internets sichert.
• Im August 2024 finalisierte das NIST die ersten drei PQC-Standards: ML-KEM (FIPS 203) für die Schlüsselkapselung, ML-DSA (FIPS 204) für digitale Signaturen und SLH-DSA (FIPS 205) für hashbasierte Signaturen.
• Die Bedrohung ist real, nicht nur zukünftiger Natur: Verschlüsselte Daten, die heute erfasst werden, könnten später entschlüsselt werden, sobald Quantencomputer ausgereift sind – ein Angriff nach dem Motto „Jetzt sammeln, später entschlüsseln“.
• Symmetrische Kryptographie (AES-256) und Hashing (SHA-384 und höher) bleiben sicher; bei der Migration geht es in erster Linie um den Ersatz von Public-Key-Algorithmen.

Warum Quantencomputer die heutige Kryptographie bedrohen

Moderne digitale Sicherheit basiert auf einer kleinen Anzahl von Public-Key-Algorithmen, hauptsächlich RSA und Elliptische-Kurven-Kryptographie ( ECC ). Ihre Sicherheit beruht auf mathematischen Problemen, wie der Faktorisierung sehr großer Zahlen, die klassische Computer in praktischer Zeit nicht lösen können. Ein klassischer Computer bräuchte länger als das Alter des Universums, um einen 2048-Bit-RSA-Schlüssel zu faktorisieren.

Quantencomputer verändern dies. Ein ausreichend leistungsstarker, fehlertoleranter Quantencomputer, der Shors Algorithmus ausführt, könnte dieselben Probleme effizient lösen und dabei RSA und ECC knacken. Dies würde die Vertraulichkeit und Authentifizierung untergraben, die Webverkehr, Finanztransaktionen, digitale Signaturen und gespeicherte Daten schützen. Es geht nicht darum, dass die heutige Mathematik falsch war, sondern darum, dass ein grundlegend anderer Computertyp die Möglichkeiten der Datenverarbeitung erweitert.

Eine kurze Einführung in Qubits

Klassische Computer speichern Informationen in Bits, die entweder 0 oder 1 sind. Quantencomputer verwenden Quantenbits, sogenannte Qubits, die sich gleichzeitig in einer Superposition beider Zustände befinden können. Qubits können auch verschränkt werden, sodass ihre Zustände auf eine Weise korreliert sind, die bei klassischen Bits nicht möglich ist. Superposition und Verschränkung ermöglichen es einem Quantencomputer, viele Möglichkeiten gleichzeitig zu erkunden. Dadurch werden bestimmte Probleme, darunter die, die RSA und ECC zugrunde liegen, lösbar, die zuvor unlösbar waren. Das Konzept geht auf Richard Feynman zurück, der 1981 vorschlug, Quantensysteme zur Simulation physikalischer Phänomene zu verwenden, die klassische Maschinen nur schwer modellieren können.

Was ist Postquantenkryptographie?

Post-Quanten-Kryptographie (PQC), auch quantenresistente oder quantensichere Kryptographie genannt, ist eine Familie kryptographischer Algorithmen, die sowohl gegenüber klassischen als auch gegenüber Quantencomputern sicher sind. Entscheidend ist, dass PQC auf den üblichen Computern, Servern und Geräten läuft, die wir bereits verwenden; sie benötigt keinen Quantencomputer. Sie basiert lediglich auf anderen mathematischen Problemen, die weder klassische noch Quantencomputer effizient lösen können.

Dies unterscheidet PQC von der Quantenkryptographie (wie etwa der Quantenschlüsselverteilung), die Quantenphysik selbst zum Schutz von Daten nutzt und spezielle Hardware erfordert. PQC ist der praktische, sofort einsetzbare Weg zum Schutz bestehender Systeme und steht daher im Mittelpunkt der globalen Standardisierung.

Die NIST PQC-Standards (Finalisiert 2024)

Nach einem achtjährigen globalen Wettbewerb, der 2016 begann, finalisierte das Nationale Institut für Standards und Technologie ( NIST ) im August 2024 die ersten Post-Quanten-Kryptographiestandards. Es handelt sich dabei nicht mehr um Forschungsvorschläge, sondern um veröffentlichte Bundesstandards, die von Organisationen aktiv übernommen werden. Die ersten drei sind:

Standard	Algorithmus	Zweck	Basierend auf
FIPS203	ML-KEM (ehemals Kyber)	Schlüsselkapselung und Schlüsselaustausch	Gitter (Modullernen mit Fehlern)
FIPS204	ML-DSA (ehemals Dilithium)	Allgemeine digitale Signaturen	Gitter
FIPS205	SLH-DSA (ehemals SPHINCS+)	Hashbasierte digitale Signaturen	Hash-Funktionen

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) ist der primäre Ersatz für RSA- und ECC-Schlüsselaustausch. ML-DSA (Module-Lattice-Based Digital Signature Algorithm) ist der primäre Ersatz für RSA- und ECDSA- Signaturen. SLH-DSA (Stateless Hash-Based Digital Signature Algorithm) bietet eine Signaturoption auf Basis einer völlig anderen mathematischen Grundlage und gilt als konservative Alternative. Ein vierter Standard, FN-DSA (FIPS 206), basierend auf dem FALCON-Algorithmus, wird voraussichtlich folgen. Weitere Informationen finden Sie in den Erläuterungen der Europäischen Kommission zu ML-KEM, ML-DSA und SLH-DSA.

Die Familien der Post-Quanten-Kryptographie

PQC-Algorithmen beziehen ihre Sicherheit aus verschiedenen Familien schwieriger mathematischer Probleme. Diese Diversität ist beabsichtigt: Sollte eine Familie später geschwächt werden, bleiben andere bestehen. Die wichtigsten Familien sind:

• Gitterbasierte Kryptographie: Es basiert auf der Schwierigkeit von Problemen in hochdimensionalen Gittern. Es bietet ein gutes Gleichgewicht zwischen Sicherheit und Leistung, weshalb ML-KEM und ML-DSA, die wichtigsten NIST-Standards, gitterbasiert sind.
• Hash-basierte Kryptographie: SLH-DSA erstellt Signaturen ausschließlich auf Basis der Sicherheit von Hash-Funktionen – einer der konservativsten und am besten verstandenen Grundlagen. SLH-DSA basiert auf Hash-Funktionen, ebenso wie die zustandsbehafteten Verfahren LMS und XMSS, die für die Firmware-Signierung verwendet werden.
• Codebasierte Kryptographie: Es basiert auf der Schwierigkeit, allgemeine Fehlerkorrekturcodes zu dekodieren, ein Problem, das seit den 1970er Jahren untersucht wird. Es hat tendenziell große Schlüssel, aber eine lange Erfolgsgeschichte.
• Multivariate Kryptographie: Aufgrund der Schwierigkeit, Systeme multivariater Polynomgleichungen zu lösen. Ein aktives Forschungsgebiet, obwohl bereits mehrere Lösungsansätze gescheitert sind.

Die Bedrohung ist bereits da: Jetzt ernten, später entschlüsseln.

Ein weit verbreiteter Irrglaube ist, dass die Bedrohung durch Quantencomputer bis zur Entwicklung solcher Systeme warten kann. Aufgrund der bereits vorhandenen Datenerfassung können spätere Angriffe jedoch nicht entschlüsselt werden. Ein Angreifer kann verschlüsselte Daten heute abfangen, speichern und einfach warten, bis ein Quantencomputer existiert, der die Verschlüsselung knacken kann, um die Daten dann zu entschlüsseln. Alle Daten, deren Sensibilität die Entwicklung von Quantencomputern überdauert – wie Gesundheitsdaten, Finanzdaten, Staatsgeheimnisse und geistiges Eigentum – sind bereits jetzt gefährdet. Daher wird Organisationen dringend empfohlen, mit der Migration ihrer Daten zu beginnen, lange bevor ein kryptografisch relevanter Quantencomputer gebaut ist.

Was bleibt sicher

Nicht alle Kryptographiearten sind gleichermaßen bedroht. Die Auswirkungen auf Quantenkryptographie sind je nach Art der Kryptographie sehr unterschiedlich:

• Public-Key-Kryptographie (gefährdet): RSA, ECC, Diffie-Hellman und ECDSA werden durch Shors Algorithmus nicht mehr unterstützt und müssen ersetzt werden. Dies ist der Schwerpunkt der PQC-Migration.
• Symmetrische Verschlüsselung (weitgehend sicher): AES wird nur geringfügig beeinträchtigt. Grovers Algorithmus halbiert die effektive Schlüsselstärke, sodass AES-256 etwa 128 Bit Sicherheit beibehält und weiterhin sicher bleibt.
• Hashfunktionen (weitgehend sicher): SHA-256, SHA-384 und SHA-3 bleiben bei angemessenen Ausgabegrößen sicher, wobei SHA-384 und höher für höchste Sicherheit empfohlen werden.

Herausforderungen beim Übergang zu PQC

Die Migration zur Post-Quanten-Kryptographie ist ein bedeutendes Unterfangen, das mit mehreren Herausforderungen verbunden ist:

• Größere Schlüssel und Signaturen: PQC-Algorithmen haben im Allgemeinen größere Schlüssel und Signaturen als RSA oder ECC, was sich auf Bandbreite, Speicherplatz und Leistung in ressourcenbeschränkten Umgebungen auswirken kann.
• Eigenschaften: Einige PQC-Operationen sind rechenintensiver und müssen daher vor der Implementierung in realen Arbeitslasten getestet werden.
• Ermittlung und Bestandsaufnahme: Die meisten Organisationen wissen nicht, wo überall sie anfällige Kryptografie einsetzen. Was man nicht sieht, kann man nicht migrieren; daher ist ein kryptografisches Inventar der unerlässliche erste Schritt.
• Krypto-Agilität: Systeme müssen so konzipiert sein, dass Algorithmen ohne Neuentwicklung ausgetauscht werden können, da sich Standards ständig weiterentwickeln. Hybridmodi, die einen klassischen und einen Post-Quanten-Algorithmus kombinieren, sind während des Übergangs üblich.
• Migrationskomplexität: Die bestehende Infrastruktur ist stark mit klassischen Algorithmen verknüpft, daher erfordert der Übergang eine sorgfältige, priorisierte Planung über viele Systeme hinweg.

Wie Verschlüsselungsberatung hilft

Der Übergang zur Post-Quanten-Kryptographie ist einer der größten kryptographischen Umbrüche der letzten Jahrzehnte und wird mit einem klaren Fahrplan deutlich erleichtert. Die Post-Quanten-Kryptographie-Beratungsdienste von Encryption Consulting umfassen Risikoanalyse, kryptographische Datenanalyse und eine priorisierte Migrationsstrategie, die sich an den finalisierten NIST-Standards orientiert. Wir unterstützen Sie dabei, die Verwendung von RSA und ECC zu identifizieren, Prioritäten nach Risiko und Datenlebensdauer festzulegen und ML-KEM, ML-DSA und SLH-DSA mit der nötigen kryptographischen Agilität einzuführen , um sich kontinuierlich anzupassen. Den detaillierten Ablauf finden Sie in unserem Post-Quanten-Migrationsleitfaden. Unsere Dienstleistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist Post-Quanten-Kryptographie in einfachen Worten?

Post-Quanten-Kryptographie (PQC) ist eine neue Reihe von Verschlüsselungs- und Signaturverfahren, die selbst gegenüber Quantencomputern sicher sind. Heutige Schutzmechanismen wie RSA könnten von einem leistungsstarken Quantencomputer geknackt werden. Daher ersetzt PQC diese durch Algorithmen, die auf mathematischen Problemen basieren, die Quantencomputer nach aktuellem Kenntnisstand nicht lösen können. Wichtig ist, dass PQC auf den herkömmlichen Computern und Geräten läuft, die wir bereits verwenden; es ist keine Quantenhardware erforderlich.

Was sind die NIST-Standards für Post-Quanten-Kryptographie?

Im August 2024 finalisierte das NIST seine ersten drei PQC-Standards. FIPS 203 ist ML-KEM (ehemals Kyber) und dient der Schlüsselkapselung und dem Schlüsselaustausch. FIPS 204 ist ML-DSA (ehemals Dilithium) und wird für allgemeine digitale Signaturen verwendet. FIPS 205 ist SLH-DSA (ehemals SPHINCS+), ein Hash-basiertes Signaturverfahren. ML-KEM und ML-DSA basieren auf Gitterstrukturen und sind die wichtigsten Nachfolger von RSA und ECC. Ein vierter Standard, FN-DSA (FIPS 206), basierend auf FALCON, wird voraussichtlich folgen.

Warum ist Post-Quanten-Kryptographie jetzt nötig, wenn Quantencomputer noch keine Verschlüsselung knacken können?

Aufgrund von Angriffen, bei denen Daten erst gesammelt und dann entschlüsselt werden, kann ein Angreifer verschlüsselte Daten abfangen und speichern, bis ein Quantencomputer zur Entschlüsselung verfügbar ist. Anschließend kann er die Daten nachträglich knacken. Alle Daten, die über Jahre vertraulich bleiben müssen, wie beispielsweise Gesundheits-, Finanz- oder Regierungsdaten, sind bereits heute gefährdet. Die Migration dauert in großen Organisationen zudem Jahre. Daher ist ein frühzeitiger Start unerlässlich, um vorbereitet zu sein, bevor ein kryptografisch relevanter Quantencomputer verfügbar ist.

Kann Quantencomputing jede Verschlüsselung knacken?

Nein. Quantencomputing bedroht primär Public-Key-Kryptographie wie RSA, ECC und Diffie-Hellman, die Shors Algorithmus knacken kann. Symmetrische Verschlüsselung wie AES ist deutlich widerstandsfähiger: Grovers Algorithmus halbiert lediglich die effektive Schlüssellänge, sodass AES-256 sicher bleibt. Auch Hashfunktionen wie SHA-256 und SHA-384 bleiben bei angemessener Schlüssellänge sicher. Die Migration nach der Quantentechnologie konzentriert sich daher hauptsächlich auf den Ersatz von Public-Key-Algorithmen, nicht auf symmetrische Verschlüsselung oder Hashing.

Worin besteht der Unterschied zwischen Post-Quanten-Kryptographie und Quantenkryptographie?

Post-Quanten-Kryptographie (PQC) nutzt neue mathematische Algorithmen, die auf herkömmlichen Computern laufen und Quantenangriffen widerstehen; sie ist der praktikable Weg zum Schutz heutiger Systeme. Quantenkryptographie, wie beispielsweise die Quantenschlüsselverteilung (QKD), verwendet die Prinzipien der Quantenphysik selbst, um Daten zu sichern, und erfordert spezielle Quantenhardware. PQC ist softwarebasiert und breit einsetzbar, während Quantenkryptographie hardwareabhängig ist und in speziellen Hochsicherheitsumgebungen Anwendung findet.

Wie können Organisationen mit der Migration zur Post-Quanten-Kryptographie beginnen?

Der erste Schritt ist eine kryptografische Bestandsaufnahme: Dabei wird ermittelt, wo RSA, ECC und andere anfällige Algorithmen in Systemen, Anwendungen und Geräten eingesetzt werden. Anschließend priorisieren Unternehmen die Migration anhand von Risiko und Datenlebensdauer, implementieren die NIST-Standards (ML-KEM, ML-DSA, SLH-DSA), nutzen während der Umstellung häufig hybride klassische und Quanten-Verschlüsselungsverfahren und entwickeln eine flexible Krypto-Architektur, um Algorithmen später aktualisieren zu können. Eine strukturierte Bewertung und ein Fahrplan, wie beispielsweise die PQC Advisory Services von EC, machen den Prozess überschaubar.

Beginne deine Reise nach dem Quantenzeitalter

Die NIST-Standards sind final, die Bedrohung ist vorhanden und die Migration benötigt Zeit. Nutzen Sie die PQC-Beratungsdienste von Encryption Consulting für eine Risikoanalyse und einen Migrationsfahrplan, der auf ML-KEM, ML-DSA und SLH-DSA abgestimmt ist, oder lesen Sie unseren Leitfaden zur Post-Quanten-Migration, um Ihre ersten Schritte zu planen.