Was ist FN-DSA (FALCON, FIPS 206)?

FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm) ist die Bezeichnung des NIST für das auf FALCON basierende Post-Quanten-Digitalsignaturverfahren, das als FIPS 206 standardisiert werden soll. Es handelt sich um eine gitterbasierte Signatur, die für ihre sehr kompakten Signaturen und öffentlichen Schlüssel bekannt ist, und sie ist mit Stand Mitte 2026 noch ein Entwurfsstandard und noch nicht finalisiert.

FN-DSA ist der vierte Post-Quanten-Algorithmus in der Signatur- und Schlüsselerzeugungssuite des NIST und basiert auf dem FALCON-Vorschlag. Er erzeugt die kleinsten Signaturen und öffentlichen Schlüssel aller Post-Quanten-Signaturverfahren des NIST und ist daher besonders attraktiv bei begrenzter Bandbreite. Im Gegensatz zu ML-KEM, ML-DSA und SLH-DSA ist FN-DSA noch nicht finalisiert: Das NIST reichte den Entwurf 2025 ein, die finale Version (FIPS 206) wird voraussichtlich Ende 2026 oder Anfang 2027 veröffentlicht.

Wichtige Erkenntnisse

• FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm) ist die Bezeichnung des NIST für das FALCON-basierte Post-Quanten-Signaturverfahren, das als FIPS 206 standardisiert werden soll.
• Es handelt sich noch nicht um einen endgültigen Standard. Das NIST reichte den Entwurf am 28. August 2025 zur Genehmigung ein, und die endgültige Fassung von FIPS 206 wird allgemein für Ende 2026 oder Anfang 2027 erwartet.
• Die herausragende Stärke von FN-DSA ist seine Kompaktheit: Es erzeugt die kleinsten Signaturen und öffentlichen Schlüssel unter den Post-Quanten-Signaturstandards des NIST, was für bandbreitenbeschränkte Anwendungen geeignet ist.
• Die größte Herausforderung liegt in der Implementierungsschwierigkeit. Die FN-DSA-Signierung basiert auf der Abtastung mit Gleitkommazahlen und Gaußscher Verteilung, die schwer sicher und in konstanter Zeit zu implementieren ist. Dies ist der Hauptgrund, warum die Standardisierung länger dauerte als bei anderen Verfahren.
• FN-DSA dient derzeit der Planung und Erprobung, nicht dem Produktiveinsatz. ML-DSA (FIPS 204) ist der finale, realisierbare Standard für Gittersignaturen.

Was ist FN-DSA?

FN-DSA ist ein digitaler Signaturalgorithmus, der entwickelt wurde, um Angriffen von Quantencomputern zu widerstehen. Er stammt von FALCON, einem der Verfahren, die das NIST während seines Standardisierungsprozesses nach der Quantenphysik zusammen mit CRYSTALS-Dilithium (jetzt ML-DSA) und SPHINCS+ (jetzt SLH-DSA ) ausgewählt hat.

NIST gab FALCON den Standardnamen FN-DSA, was für FFT over NTRU-Lattice-Based Digital Signature Algorithm steht, und bereitet die Veröffentlichung als FIPS 206 vor.

Wie ML-DSA basiert auch FN-DSA auf Gittern, verwendet aber eine andere Konstruktion. Es basiert auf NTRU-Gittern und folgt einem Hash-dann-Signatur-Design, wobei eine Signatur ein Gitterpunkt nahe einem Zielwert ist, der aus dem Hash der Nachricht abgeleitet wird.

Es nutzt die schnelle Fourier-Transformation und eine Struktur namens FALCON-Baum, um die diskrete Gaußsche Abtastung durchzuführen, die dem Signieren zugrunde liegt. Diese mathematische Grundlage verleiht FN-DSA seine Kompaktheit und macht es gleichzeitig schwierig zu implementieren.

Aktueller Status: Entwurf, noch nicht final

Das ist das Wichtigste, was man über FN-DSA im Jahr 2026 verstehen muss, denn man könnte leicht annehmen, dass alle vier NIST-Post-Quanten-Algorithmen finalisiert sind. Das sind sie nicht.

Algorithmus	Standard	Status (Mitte 2026)
ML-KEM	FIPS203	Finale (August 2024)
ML-DSA	FIPS204	Finale (August 2024)
SLH-DSA	FIPS205	Finale (August 2024)
FN-DSA	FIPS206	Entwurf. Zur Genehmigung eingereicht am 28. August 2025; endgültige Fassung voraussichtlich Ende 2026 oder Anfang 2027.

Das NIST reichte den Entwurf des FN-DSA-Standards am 28. August 2025 zur Genehmigung ein und bereitet seitdem einen ersten öffentlichen Entwurf zur öffentlichen Begutachtung vor. Basierend auf dem Fortschritt anderer Standards wird die Begutachtungsphase voraussichtlich etwa ein Jahr dauern, sodass die endgültige Fassung von FIPS 206 Ende 2026 oder Anfang 2027 veröffentlicht werden dürfte.

Bis dahin kann sich die Spezifikation noch ändern, und Details wie Parameterkodierungen und Objektbezeichner sind noch nicht endgültig festgelegt. Aus diesem Grund haben die großen Zertifizierungsstellen angekündigt, FN-DSA erst dann in der Produktion einzusetzen, wenn der Standard finalisiert ist.

Warum FN-DSA attraktiv ist: Kompaktheit

Der entscheidende Vorteil von FN-DSA liegt in seiner geringen Größe. Unter den Post-Quanten-Signaturverfahren des NIST erzeugt FALCON die kleinste Kombination aus Signatur und öffentlichem Schlüssel. Dies ist besonders wichtig, wenn jedes Byte zählt: bei ressourcenbeschränkten Geräten, Protokollen mit begrenztem Paketbudget und Zertifikaten, die ständig übertragen werden.

Im Vergleich zu SLH-DSA, dessen Signaturen mehrere Kilobyte groß sind, und sogar zu ML-DSA bieten die kompakten Signaturen von FN-DSA einen bedeutenden praktischen Vorteil. In Zertifikatshierarchien ist FN-DSA daher besonders interessant für Root- und Zwischenzertifikate, da kleine Signaturen die Größe jeder nachfolgenden Zertifikatskette reduzieren.

Warum FN-DSA schwierig ist: Gleitkomma-Abtastung

Der Grund dafür, dass die Standardisierung von FN-DSA länger dauerte als bei den anderen drei Verfahren, liegt in der Implementierungsschwierigkeit. Der Signierungsprozess basiert auf der Stichprobenentnahme aus einer diskreten Gaußverteilung, und das Referenzdesign verwendet hierfür Gleitkommaarithmetik.

Gleitkommaoperationen sind bekanntermaßen schwierig auf unterschiedlicher Hardware identisch auszuführen und stellen eine häufige Quelle für Timing-Seitenkanäle dar, bei denen die Laufzeit einer Operation Informationen über den geheimen Schlüssel preisgibt.

Ein Signaturverfahren, das wichtige Informationen durch Zeitmessungen preisgibt, ist gefährlich. Daher müssen FN-DSA-Implementierungen mit größter Sorgfalt entwickelt werden, um in konstanter Zeit ausgeführt zu werden. Das NIST hat an der Bewältigung dieser Herausforderungen gearbeitet, einschließlich der Frage, wie eine mögliche Festkomma-Implementierung zu handhaben ist. Dies ist mit ein Grund dafür, dass die Standardisierung zusätzliche Zeit in Anspruch genommen hat.

Die praktische Konsequenz für Organisationen: FN-DSA sollte nur mit gut geprüften, seitenkanalresistenten Implementierungen eingesetzt werden, idealerweise in kontrollierten Umgebungen wie HSMs.

FN-DSA vs ML-DSA: Zwei Gittersignaturen

Da es sich bei beiden um gitterbasierte Signaturstandards handelt, werden FN-DSA und ML-DSA häufig direkt miteinander verglichen. Sie gehen gegensätzliche Kompromisse ein.

Attribut	ML-DSA (FIPS 204)	FN-DSA (FIPS 206)
Status	Finale (August 2024)	Entwurf; endgültige Fassung voraussichtlich Ende 2026 / Anfang 2027
Basierend auf	KRISTALLE-Dilithium	FALCON (NTRU-Gitter)
Unterschrift und Schlüsselgröße	Größere	Kleinstes der NIST-Signaturverfahren
Umsetzung	Relativ einfach, ganzzahlbasiert	Schwierig; Gleitkomma-Gaußsche Abtastung
Optimale Bildschirmwahl	Universeller Standard, heute baubar	Bandbreitenbeschränkte Fälle, Stamm-/Zwischenzertifikate, sobald endgültig

Die praktische Empfehlung ist heute eindeutig: ML-DSA ist die Gittersignatur, die Sie jetzt verwenden, da sie finalisiert und einfacher und sicherer zu implementieren ist. FN-DSA ist diejenige, die Sie planen und testen sollten. Wählen Sie sie später, wenn ihre kompakten Signaturen den zusätzlichen Aufwand bei der Implementierung rechtfertigen – und erst, wenn FIPS 206 finalisiert ist.

Wo FN-DSA in die vollständige PQC-Suite passt

FN-DSA ist ein Bestandteil des Post-Quanten-Werkzeugkastens des NIST, und das Verständnis der Zusammenhänge zwischen den Bestandteilen hilft bei der Algorithmenauswahl:

• ML-KEM (FIPS 203) Dient der Schlüsseleinrichtung. Dies ist die Standardeinstellung zum Schutz von Daten während der Übertragung.
• ML-DSA (FIPS 204) ist die allgemeine Signatur. Sie ist heutzutage der endgültige Standard für die meisten Signaturen.
• SLH-DSA (FIPS 205) ist die konservative, hashbasierte Signatur für den langfristigen Einsatz mit hoher Sicherheit.
• FN-DSA (FIPS 206) Die kompakte Gittersignatur, die sich noch im Entwurfsstadium befindet, eignet sich nach ihrer endgültigen Fertigstellung am besten für bandbreitenbeschränkte Anwendungen und Zertifikatshierarchien.

Wie Verschlüsselungsberatung hilft

FN-DSA ist ein gutes Beispiel dafür, warum die Migration nach der Quantenkryptographie eine Planungsaufgabe und keine einmalige Umstellung ist. Die Post-Quantenkryptographie-Beratungsdienste von Encryption Consulting unterstützen Sie beim Aufbau kryptographischer Agilität , sodass Sie Algorithmen wie FN-DSA nach deren Fertigstellung ohne grundlegende Architekturänderungen übernehmen können.

Wir erfassen, wo Ihre Signaturen gespeichert sind, identifizieren bandbreitenbeschränkte Anwendungsfälle und Zertifikatshierarchien, in denen die Kompaktheit von FN-DSA von Vorteil ist, und entwickeln Systeme, die Algorithmen im Zuge der Standardisierung austauschen können. So wird aus einem Entwurf von heute morgen eine kontrollierte Implementierung und nicht ein Notfall. Für Ihre aktuellen Anforderungen im Bereich der Produktivsignatur unterstützen wir Sie bei der Implementierung der finalisierten ML-DSA- und SLH-DSA-Standards. Unsere Vorgehensweise basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist FN-DSA?

FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm) ist die Bezeichnung des NIST für das auf FALCON basierende Post-Quanten-Signaturverfahren, das als FIPS 206 standardisiert werden soll. Es handelt sich um eine gitterbasierte Signatur, die sehr kompakte Signaturen und öffentliche Schlüssel erzeugt und sich daher besonders für Anwendungen mit begrenzter Bandbreite eignet. Mitte 2026 war FN-DSA noch ein Entwurf; die finale Version wird Ende 2026 oder Anfang 2027 erwartet.

Ist FN-DSA (FIPS 206) finalisiert?

Nein. Anders als ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205), die alle im August 2024 finalisiert wurden, befindet sich FN-DSA noch im Entwurfsstadium. Das NIST reichte den Entwurf am 28. August 2025 zur Genehmigung ein, und die finale Version FIPS 206 wird voraussichtlich Ende 2026 oder Anfang 2027 veröffentlicht. Da sich die Spezifikation noch ändern kann, haben große Zertifizierungsstellen angekündigt, FN-DSA erst nach der finalen Version produktiv einzusetzen.

Worin besteht der Unterschied zwischen FN-DSA und ML-DSA?

Beide sind gitterbasierte Post-Quanten-Signaturstandards, die jedoch gegensätzliche Vor- und Nachteile aufweisen. ML-DSA (FIPS 204, basierend auf CRYSTALS-Dilithium) ist finalisiert, einfacher zu implementieren und ermöglicht größere Signaturen. FN-DSA (FIPS 206, basierend auf FALCON) befindet sich noch im Entwurfsstadium, ist aufgrund der Gleitkomma-Gauß-Abtastung schwieriger zu implementieren, erzeugt aber die kleinsten Signaturen und Schlüssel. ML-DSA ist derzeit der Standard für die Implementierung; FN-DSA ist die kompakte Option, die für Planung und Tests vorgesehen ist.

Warum ist FN-DSA schwieriger umzusetzen als die anderen PQC-Standards?

Die Signierung mittels FN-DSA erfordert Stichproben aus einer diskreten Gaußverteilung, wobei das Referenzdesign Gleitkommaarithmetik verwendet. Gleitkommaoperationen verhalten sich hardwareabhängig unterschiedlich und sind eine häufige Ursache für Timing-Seitenkanalangriffe, die den privaten Schlüssel preisgeben können. Die sichere Implementierung von FN-DSA erfordert Code mit konstanter Laufzeit und Resistenz gegen Seitenkanalangriffe, was schwierig ist. Diese Implementierungskomplexität ist der Hauptgrund dafür, dass die Standardisierung von FN-DSA länger dauerte als die von ML-DSA und SLH-DSA.

Wofür wird FN-DSA am besten eingesetzt?

Die kompakten Signaturen und öffentlichen Schlüssel von FN-DSA machen es attraktiv für Umgebungen mit begrenzter Bandbreite und innerhalb von Zertifikatshierarchien für Root- und Zwischenzertifikate, da kleine Signaturen allen darunterliegenden Zertifikatsketten zugutekommen. Aufgrund der Komplexität und des langsamen Signiervorgangs ist es weniger geeignet für die häufige Signierung von Endzertifikaten. Organisationen sollten FN-DSA daher als zukünftige Option betrachten, die sie jetzt testen und später implementieren können, sobald FIPS 206 finalisiert ist und geprüfte Implementierungen vorliegen.

Soll ich jetzt FN-DSA verwenden?

Nicht im Produktiveinsatz. Da FIPS 206 noch ein Entwurf ist und sich die Spezifikation ändern kann, empfiehlt es sich, mit FN-DSA zu planen und zu testen, Produktionssysteme aber auf den finalisierten Standards aufzubauen. Verwenden Sie ML-DSA (FIPS 204) heute als universelle Post-Quanten-Signatur und planen Sie Ihre Systeme kryptologisch flexibel, um FN-DSA nach dessen Finalisierung voraussichtlich Ende 2026 oder Anfang 2027 problemlos implementieren zu können.

Plan für FN-DSA ohne Wettproduktion auf einen Draft

FN-DSA wird überall dort relevant, wo kompakte Signaturen wichtig sind, ist aber noch nicht produktionsreif. Nutzen Sie die PQC-Beratungsdienste von Encryption Consulting , um die nötige Krypto-Agilität aufzubauen und FN-DSA sofort nach Veröffentlichung von FIPS 206 einzuführen – und gleichzeitig die heutigen Signaturverfahren auf Basis bereits genehmigter Standards beizubehalten.