NIST IR 8547 und SP 800-131A: Der Zeitplan für den Algorithmenübergang

NIST IR 8547 ist ein NIST-Entwurfsbericht, der den voraussichtlichen Zeitplan für die Abschaffung von quantenanfälligen Public-Key-Algorithmen festlegt, sie nach 2030 als veraltet einstuft und sie nach 2035 verbietet, während SP 800-131A die zugehörige NIST-Veröffentlichung ist, die den formalen Genehmigungsstatus bestimmter Algorithmen und Schlüssellängen definiert.

NIST IR 8547 und SP 800-131A beantworten gemeinsam eine praktische Frage: Wann müssen föderale Systeme die Verwendung von RSA, ECDSA und anderen klassischen Public-Key-Algorithmen einstellen? IR 8547 gibt die Richtung vor: Quantenanfällige Public-Key-Algorithmen gelten ab 2030 als veraltet und ab 2035 als unzulässig. SP 800-131A definiert den Zulassungsstatus von Algorithmen und Schlüssellängen detailliert. Beide Dokumente machen die abstrakte Bedrohung durch Quantenangriffe zu konkreten Konformitätsdaten.

Wichtige Erkenntnisse

• NIST IR 8547, „Übergang zu Post-Quanten-Kryptographiestandards“, ist ein erster öffentlicher Entwurf vom 12. November 2024. Er legt den von NIST erwarteten Zeitplan für den Übergang fest, ist aber lediglich eine Richtlinie und kein verbindlicher Bundesstandard und war Mitte 2026 noch nicht finalisiert.
• Der in IR 8547 vorgeschlagene Zeitplan sieht vor, dass quantenanfällige Public-Key-Algorithmen (RSA, ECDSA, ECDH, DH für endliche Körper) nach 2030 als veraltet gelten und nach 2035 nicht mehr zulässig sind.
• Hybridmodi, die einen zugelassenen Post-Quanten-Algorithmus mit einem klassischen Algorithmus kombinieren, fallen nicht unter das Verbot von 2035, was eine schrittweise Migration unterstützt.
• SP 800-131A definiert den formalen Genehmigungsstatus von Algorithmen und Schlüssellängen. Die aktuelle finale Version ist Revision 2 (2019); Revision 3 ist ein erster öffentlicher Entwurf (Oktober 2024), der die minimale Sicherheitsstärke von 112 auf 128 Bit erhöht und den asymmetrischen Übergang in den Post-Quanten-Übergang integriert.
• AES-256 sowie die Hash-Familien SHA-2 und SHA-3 sind nicht im Abschaffungsplan für Public-Key-Verschlüsselung gemäß IR 8547 aufgeführt. Die Schwachstelle konzentriert sich auf Public-Key-Kryptographie, die durch Shors Algorithmus angreifbar ist.

Was ist NIST IR 8547?

Der NIST IR 8547 mit dem Titel „Übergang zu Post-Quanten-Kryptographiestandards“ ist ein interner (behördenübergreifender) Bericht des NIST, der den geplanten Ansatz des NIST für die Umstellung föderaler Systeme von quantenanfälliger Kryptographie auf die im Jahr 2024 finalisierten Post-Quanten-Standards beschreibt. Das NIST veröffentlichte ihn am 12. November 2024 als ersten öffentlichen Entwurf; die öffentliche Kommentierungsfrist ist inzwischen abgelaufen.

Es ist wichtig, den Status des Berichts genau zu definieren. Als interner Bericht und – Stand Mitte 2026 – noch Entwurf stellt IR 8547 eher eine richtungsweisende Empfehlung als eine verbindliche Vorgabe dar. Die darin vorgeschlagenen Daten können sich in der endgültigen Fassung noch ändern. Dennoch ist es das bisher deutlichste Signal des NIST hinsichtlich des Zeitpunkts, zu dem die klassische Public-Key-Kryptographie außer Kraft gesetzt werden muss, und es deckt sich mit dem übergeordneten Ziel der US-Bundesregierung, bis 2035 eine quantenresistente Sicherheitsarchitektur zu etablieren. Organisationen, die Migrationen planen, nutzen diesen Zeitplan als Grundlage für ihre Arbeit.

Zeitleiste des IR 8547-Übergangs

IR 8547 schlägt eine zweistufige Abschaffung von quantenanfälligen Public-Key-Algorithmen vor. Das Verständnis des Unterschieds zwischen den beiden Stufen ist der Kernpunkt des Dokuments.

Praktikum	Datum	Was es bedeutet
Veraltete	Nach 2030	Der Algorithmus ist zwar weiterhin zulässig, seine Verwendung wird jedoch nicht empfohlen. In der Praxis ist er für Neuinstallationen auf föderalen Systemen nicht mehr akzeptabel.
Nicht erlaubt	Nach 2035	Der Algorithmus darf nicht mehr für den angegebenen Zweck verwendet werden. Ein unzulässiges Signaturverfahren gilt als fälschungsanfällig; ein unzulässiges Schlüsselaustauschverfahren gilt als anfällig für die Schlüsselwiederherstellung.

Die in diesem Zeitplan aufgeführten Algorithmen sind die Arbeitspferde der heutigen Public-Key-Verschlüsselung im Internet: RSA und elliptische Kurvensignaturen ( ECDSA , EdDSA, RSA-PSS, RSA PKCS#1 v1.5) sowie Schlüsselaustauschverfahren wie RSA-Schlüsseltransport, Elliptic-Curve Diffie-Hellman (ECDH) und Finite-Field Diffie-Hellman. Alle diese Verfahren sind auf einem ausreichend leistungsstarken Quantencomputer durch Shors Algorithmus angreifbar. Daher löst ein Wechsel von RSA zu ECC das Problem nicht: Beide Verfahren sind demselben Angriff ausgesetzt.

Veraltet ist nicht dasselbe wie nicht erlaubt.
Die praktische Bedeutung: Nach 2030 sind RSA und ECDH für Neuinstallationen auf US-Bundessystemen nicht mehr zulässig. Bestehende Systeme haben jedoch bis 2035 Zeit, die Migration abzuschließen. Dieser Zeitraum zwischen den beiden Daten dient als Migrationsphase. Die alleinige Festlegung auf 2035 als Stichtag greift zu kurz, da sich die Verfahren für Beschaffung, Prüfung und Cyberversicherung tendenziell um das Jahr 2030, dem Datum der Abschaffung der Standards, verschärfen, nicht um das Jahr 2035, dem Datum der Nichtzulassung.

Wie Hybridmodi sich einfügen

IR 8547 unterstützt während der Übergangsphase ausdrücklich hybride Kryptographie. Ein hybrides Verfahren kombiniert einen klassischen Algorithmus mit einem Post-Quanten-Algorithmus, sodass das Ergebnis sicher bleibt, solange nicht beide Algorithmen gebrochen werden. Das NIST hat klargestellt, dass das Verbot quantenanfälliger Algorithmen ab 2035 nicht hybride Verfahren untersagt, die einen zugelassenen Post-Quanten-Algorithmus zusammen mit einem klassischen Algorithmus in einem Gesamtverfahren verwenden.

Dies ist deshalb wichtig, weil es Organisationen einen gesetzeskonformen Weg bietet, Post-Quanten-Schutz jetzt einzuführen und gleichzeitig klassische Algorithmen für Interoperabilität beizubehalten, ohne gegen das Verbotsdatum zu verstoßen.

Was SP 800-131A hinzufügt

Wenn IR 8547 den strategischen Zeitplan darstellt, ist SP 800-131A das operative Regelwerk. Es definiert den formalen Genehmigungsstatus (genehmigt, akzeptabel, veraltet, eingeschränkt, nicht zulässig oder Legacy-Nutzung) spezifischer Algorithmen und Schlüssellängen und dient als Grundlage für die Bewertung einer FIPS-validierten Implementierung.

Die aktuelle finale Version ist SP 800-131A Revision 2, veröffentlicht im März 2019. Das NIST veröffentlichte im Oktober 2024 einen ersten öffentlichen Entwurf von Revision 3. Revision 3 schlägt vor, die minimale klassische Sicherheitsstärke Ende 2030 von 112 Bit auf 128 Bit zu erhöhen, den ECB-Vertraulichkeitsmodus und die DSA-Signaturerzeugung abzuschaffen und die Abschaffung von SHA-1 und 224-Bit-Hashfunktionen zu planen.

Um Organisationen nicht zu zwei separaten Umstellungen zu zwingen, plant das NIST, die Umstellung auf asymmetrische Algorithmen in die Post-Quanten-Umstellung zu integrieren, anstatt einen separaten 128-Bit-Schritt für Public-Key-Algorithmen vorzuschreiben. Mitte 2026 war Revision 3 noch ein Entwurf; daher ist Revision 2 die aktuell gültige Version.

Was nicht im Zeitplan steht

Ein häufiges Missverständnis ist, dass sich alles Kryptografische ändern müsse. Das ist nicht der Fall. Der Zeitplan für die Abschaffung und das Verbot betrifft speziell die Public-Key-Kryptografie.

AES-256 ist nicht geplant: Grovers Algorithmus bietet nur eine quadratische Beschleunigung gegenüber symmetrischen Verschlüsselungsverfahren, sodass AES-256 über eine effektive Quantensicherheit von etwa 128 Bit verfügt, was für die absehbare Zukunft akzeptabel ist.

SHA-2 und SHA-3 sind nicht im Public-Key-Schema enthalten: Diese Hash-Familien bleiben bei angemessenen Ausgabegrößen sicher gegen Quantenangriffe. (SHA-1 und 224-Bit-Hashes werden aus anderen Gründen, die mit der klassischen Sicherheit zusammenhängen, außer Betrieb genommen.)

Die größte Gefahr besteht bei Public-Key-Verfahren: Bei der Schlüsselerzeugung und den Signaturen von RSA- , ECC- und Diffie-Hellman-Schlüsseln liegen das eigentliche Quantenrisiko und die Übergangsfristen.

Warum dies schwer einzuhalten ist: Man muss es erst einmal finden.

Die Fristen sind nur die halbe Miete. Die größere Herausforderung besteht darin, herauszufinden, wo genau in einem Unternehmen quantenanfällige Algorithmen eingesetzt werden. RSA und ECDSA sind in TLS-Konfigurationen, VPNs, Codesignierungs-Pipelines, Zertifizierungsstellen , Datenbanken, Anwendungsbibliotheken und Hardware eingebettet. Die meisten Organisationen verfügen nicht über eine aktuelle und genaue Übersicht darüber, wo die einzelnen Algorithmen und Schlüssellängen verwendet werden.

Hier beginnt die praktische Umsetzung der Vorgaben von IR 8547 und SP 800-131A. Was man nicht einsehen kann, lässt sich nicht als veraltet kennzeichnen, und Fortschritte im Hinblick auf ein Datum wie 2030 oder 2035 lassen sich nicht ohne ein kryptografisches Bestandsverzeichnis messen. Eine Kryptografie-Stückliste ( CBOM ), die Algorithmen, Schlüssellängen, Zertifikate und Protokolle katalogisiert, bildet die Grundlage für die Nachvollziehbarkeit des restlichen Übergangs.

Wie Verschlüsselungsberatung hilft

Der CBOM Secure-Service von Encryption Consulting adressiert direkt das Compliance-Problem, das IR 8547 und SP 800-131A mit sich bringen. Er scannt Ihre Umgebung und erstellt eine Kryptografie-Stückliste mit allen verwendeten Algorithmen, Schlüssellängen, Zertifikaten und Protokollen. Anschließend kennzeichnet er die quantenanfälligen Public-Key-Algorithmen, die unter die Fristen für die Abschaffung ab 2030 und die Sperrfrist ab 2035 fallen.

Dieses Inventar wandelt eine abstrakte Frist in eine konkrete, priorisierte Aufgabenliste um: Welche Systeme nutzen RSA-2048 oder ECDSA, wo befinden sie sich und welche müssen zuerst migriert werden? Es bildet die Messebene, die die Übergangsplanung, die Fortschrittsberichterstattung und die Beantwortung von Auditfragen ermöglicht. Es basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist NIST IR 8547?

Der NIST-IR 8547 „Übergang zu Post-Quanten-Kryptographiestandards“ ist ein interner Bericht des NIST, der den erwarteten Zeitplan des NIST für die Abschaffung quantenanfälliger Public-Key-Algorithmen wie RSA und ECDSA und den Übergang zu Post-Quanten-Standards darlegt. Er wurde am 12. November 2024 als erster öffentlicher Entwurf veröffentlicht. Es handelt sich um eine richtungsweisende Empfehlung und nicht um eine verbindliche Vorgabe. Mitte 2026 war er noch nicht finalisiert, obwohl die darin genannten Daten 2030 und 2035 von vielen Organisationen als Planungsgrundlage betrachtet werden.

Worin besteht der Unterschied zwischen „depreferred“ und „disallowed“ in den NIST-Richtlinien?

Nach NIST-Vorgaben ist ein veralteter Algorithmus zwar weiterhin zulässig, seine Verwendung jedoch nicht mehr empfehlenswert. Daher ist er in der Praxis für neue Implementierungen nicht mehr akzeptabel. Ein unzulässiger Algorithmus darf für seinen ursprünglichen Zweck überhaupt nicht mehr verwendet werden: Ein unzulässiges Signaturverfahren gilt als fälschungsanfällig, und ein unzulässiges Schlüsselaustauschverfahren gilt als anfällig für Schlüsselwiederherstellung. Gemäß NIST IR 8547 gelten quantenanfällige Public-Key-Algorithmen nach 2030 als veraltet und nach 2035 als unzulässig.

Welche Fristen setzt das NIST für 2030 und 2035?

Gemäß dem Entwurf des NIST IR 8547 sollen quantenanfällige Public-Key-Algorithmen (RSA, ECDSA, ECDH, Diffie-Hellman für endliche Körper) nach 2030 als veraltet gelten und somit für neue Implementierungen im öffentlichen Sektor nicht mehr zulässig sein. Nach 2035 sollen sie endgültig verboten werden und somit nicht mehr für ihren vorgesehenen Zweck verwendet werden können. Der Zeitraum zwischen diesen beiden Daten dient als geplante Übergangsfrist. Diese Daten sind als Entwurf vorgeschlagen und können sich in der endgültigen Fassung noch ändern.

Ist SP 800-131A Revision 3 in Kraft?

Noch nicht. Die aktuell finale Version ist SP 800-131A Revision 2, veröffentlicht im März 2019. Revision 3 wurde im Oktober 2024 als erster öffentlicher Entwurf veröffentlicht und ist Mitte 2026 weiterhin ein Entwurf. Revision 3 schlägt vor, die minimale klassische Sicherheitsstärke Ende 2030 von 112 auf 128 Bit zu erhöhen und den Übergang zu asymmetrischen Algorithmen in den Post-Quanten-Übergang zu integrieren. Bis zur Finalisierung von Revision 3 gilt Revision 2.

Muss ich AES und SHA-256 ersetzen, um die Konformität zu gewährleisten?

Nein. Der Zeitplan für die Abschaffung und Nichtzulassung gemäß IR 8547 betrifft Public-Key-Kryptographie (RSA, ECC, Diffie-Hellman), nicht symmetrische Verschlüsselung oder die wichtigsten Hash-Algorithmen. AES-256 bleibt sicher gegen Quantenangriffe, da Grovers Algorithmus die effektive Sicherheit nur halbiert. SHA-2 und SHA-3 sind bei angemessenen Bitgrößen weiterhin akzeptabel. SHA-1 und 224-Bit-Hashes werden zwar abgeschafft, jedoch aus Gründen der klassischen Sicherheit, die nicht mit dem Übergang zu Quanten-Public-Key-Verschlüsselung zusammenhängen.

Wie kann ich mit der Einhaltung von NIST IR 8547 und SP 800-131A beginnen?

Beginnen Sie mit einem kryptografischen Inventar. Sie können Algorithmen, die Sie nicht kennen, weder als veraltet einstufen noch deren Verwendung untersagen. Ebenso wenig können Sie den Fortschritt im Hinblick auf die Ziele 2030 und 2035 messen, ohne zu wissen, wo RSA, ECDSA und andere quantenanfällige Algorithmen eingesetzt werden. Erstellen Sie eine Stückliste für Kryptografie (CBOM), die Algorithmen, Schlüssellängen, Zertifikate und Protokolle katalogisiert, und priorisieren Sie anschließend die Migration nach Datenlebensdauer und Systemkritikalität. Das Inventar ermöglicht die Nachvollziehbarkeit des Übergangs.

Die Fristen für 2030 und 2035 in eine Arbeitsliste umwandeln

Die Einhaltung von NIST IR 8547 und SP 800-131A beginnt mit der Kenntnis der Standorte Ihrer quantenanfälligen Kryptografie. Erfahren Sie, wie CBOM Secure Ihr kryptografisches Inventar erstellt und den Übergangszeitplan in einen priorisierten, auditierbaren Migrationsplan umwandelt.