Migrationsrisiko nach der Quantenzeit: Warum hybride Kryptographie der sicherere Weg ist

Die meisten Organisationen, die eine Post-Quantum-Migration planen , verfallen instinktiv demselben Ansatz: Sie identifizieren alle RSA- und ECC-Abhängigkeiten, ersetzen sie durch ML-KEM und ML-DSA und halten die Sache für erledigt. Das ist zwar logisch, führt aber auch zu Ausfällen, denn Migrationen, die man wie einen Software-Patch behandelt, gehen oft schief.

NIST , NSA und alle großen Cloud- und Browseranbieter, die bereits Post-Quanten-Kryptographie (PQC) eingeführt haben, sind sich einig, dass hybride Kryptographie eine sicherere Lösung darstellt. Das bedeutet, klassische und quantenresistente Algorithmen während der Übergangsphase parallel zu betreiben. Dies ist nicht nur zusätzliche Vorsicht, sondern eine bewusste Entscheidung, die auf den Erfahrungen mit der Zuverlässigkeit neuer kryptographischer Verfahren in der Praxis basiert.

Dieser Blog erklärt, warum eine vollständige PQC-Migration riskanter ist, als es aussieht, was hybride Kryptographie tatsächlich bringt und wie man einen Migrationsplan erstellt, der hybride Kryptographie als Standard und nicht als nachträgliche Überlegung behandelt.

Warum man die Algorithmen nicht einfach durch PQC ersetzen kann

Frühere kryptografische Verbesserungen, wie der Wechsel von SHA-1 zu SHA-256 oder von 1024-Bit- zu 2048-Bit- RSA , waren geringfügige Änderungen. Dabei wurde lediglich ein Parameter oder eine Hash-Funktion innerhalb einer bekannten Algorithmenfamilie ausgetauscht. PQC stellt hingegen eine grundlegendere Veränderung dar. ML-KEM und ML-DSA basieren auf neuen mathematischen Grundlagen, hauptsächlich strukturierten Gittern, und verhalten sich anders als RSA und ECC. Diese Unterschiede wirken sich auf reale Systeme aus.

Laut den Richtlinien des NIST ist die neue Kryptografie kein direkter Ersatz für die bisherigen Verfahren. Unternehmen müssen mit veränderter Performance, höheren Rechenkosten und einer höheren betrieblichen Komplexität rechnen. Schlüssel und Signaturen sind umfangreicher. Die Fehlerbehandlung funktioniert anders. Die damit verbundenen Schritte stellen Neuland für die Bibliotheken, Hardware und Protokolle dar, die in den letzten drei Jahrzehnten um RSA und ECC herum entwickelt wurden.

Genau deshalb geht das NIST davon aus, dass während des Übergangs Hybridkonfigurationen, die klassische und PQC-Algorithmen kombinieren, notwendig sein werden. Hybrid ist kein vorsichtiger zusätzlicher Schritt, der der eigentlichen Migration überlagert wird. Es ist die Migrationsstrategie, die alle seriösen Normungsorganisationen und Großimplementierer tatsächlich anwenden.

Drei Risiken einer einstufigen PQC-Migration

Eine Umstellung auf einen einzigen Algorithmus bündelt drei verschiedene Arten von Risiken in einem einzigen, irreversiblen Schritt:

• Risiko mangelnder Algorithmenreife: Gitterbasierte PQC-Algorithmen wurden deutlich weniger öffentlich getestet als RSA oder ECC. Auch das NIST setzt nicht auf einen einzelnen Algorithmus.
• Protokoll- und Ökosystembereitschaftsrisiko: Schlüsselaustausch und Bescheinigung Die Standards entwickeln sich nicht im gleichen Tempo. Eine einzelne Umstellung stößt auf Lücken, die das Ökosystem noch nicht geschlossen hat.
• Betriebs- und Leistungsrisiko: Größere PQC-Schlüssel und -Signaturen verändern die Paketgröße, den Speicherverbrauch und die CPU-Auslastung auf eine Weise, die sich möglicherweise erst nach der Einführung bemerkbar macht.

Lassen Sie uns im Folgenden jeden einzelnen Punkt genauer betrachten.

1. Risiko der Unreife des Algorithmus

Gitterbasierte Kryptographie ist deutlich weniger erprobt als RSA und ECC. RSA und ECC haben rund 40 Jahre öffentlicher Angriffe und Überprüfungen überstanden. ML-KEM und ML-DSA wurden hingegen weit weniger eingehend geprüft, selbst nach der mehrjährigen Evaluierung durch das NIST. ML-KEM, standardisiert in FIPS 203 , ist derzeit das einzige standardisierte Post-Quanten-Schlüsselkapselungsverfahren und basiert auf einem Gitter.

Um sich gegen die Möglichkeit abzusichern, dass gitterbasierte Verfahren sich als schwächer als erwartet erweisen, wählte das NIST im März 2025 HQC, einen anderen, auf Codes und nicht auf Gittern basierenden Algorithmus, als Backup aus. Ein endgültiger Standard für HQC befindet sich noch in der Entwicklung. Die Tatsache, dass das NIST vorsorglich ein strukturell unterschiedliches Backup entwickelt, verdeutlicht, warum ein vollständiger Wechsel zu einem einzigen Algorithmus verfrüht ist.

Wenn Sie heute erst auf PQC umsteigen und morgen eine Schwachstelle in gitterbasierten Verfahren auftaucht, ist jedes System, das Sie angegriffen haben, erneut angreifbar. Schlimmer noch: Es ist nun auch den klassischen Angriffen ausgesetzt, gegen die Sie den Schutz bereits aufgehoben haben. Hybride Verfahren vermeiden dieses Alles-oder-Nichts-Risiko. Sollte eine Hälfte des Paares – klassisch oder postquantenmechanisch – jemals gebrochen werden, bleibt die andere Hälfte weiterhin gültig.

2. Protokoll- und Ökosystembereitschaftsrisiko

Schlüsselaustausch und digitale Signaturen entwickeln sich nicht im gleichen Tempo. Diese Diskrepanz birgt Risiken, wenn man versucht, beides gleichzeitig zu erzwingen. Die meisten Organisationen stehen daher vor zwei separaten Migrationen nach der Quantentechnologie: eine für den Schlüsselaustausch und eine für Signaturen und Zertifikate. Der Schlüsselaustausch ist dabei weiter fortgeschritten.

Zertifikate und Signaturen sind ein anderes Thema. Mitte 2026 arbeitete die IETF noch immer an der Kombination klassischer und Post-Quanten-Signaturen in X.509-Zertifikaten . Dabei wurden zwei Ansätze verfolgt: Kompositzertifikate (ein Zertifikat, das beide Algorithmen enthält) und Dualzertifikate (zwei separate Zertifikate, die gemeinsam ausgestellt werden). Diese Arbeit befindet sich noch im Entwurfsstadium und ist noch nicht als endgültiger RFC veröffentlicht.

Wenn Ihr Migrationsplan auf einer einzigen großen Umstellung basiert, werden Sie auf Probleme stoßen, sobald Sie mit der Migration der Zertifikate beginnen. Die Standards, die den Zertifikaten zugrunde liegen, und die darauf aufbauenden Zertifizierungsstellen, Browser und Validierungssysteme befinden sich für reines PQC noch in der Entwicklung. Hybridzertifikate und hybrider Schlüsselaustausch ermöglichen Ihnen eine Migration in der Geschwindigkeit, die jede Ebene Ihres Stacks tatsächlich zulässt.

3. Betriebs- und Leistungsrisiko

Größere Schlüssel und Signaturen sind kein unwichtiges Detail. Sie verändern die Paketgröße, den Speicherverbrauch und die CPU-Auslastung so, dass sich dies auch nach einer scheinbar erfolgreichen Implementierung noch auf Produktionssysteme auswirken kann. Die FIPS-204- Spezifikation des NIST nennt die genauen Zahlen: ML-DSA-65, der Parametersatz der NIST-Sicherheitskategorie 3, verwendet einen 1,952 Byte großen öffentlichen Schlüssel und eine 3,309 Byte große Signatur. RSA-2048-Schlüssel und -Signaturen umfassen etwa 256 Byte, und ECDSA-P-256-Schlüssel und -Signaturen etwa 64 bis 72 Byte.

Das ist bei ML-DSA etwa eine Größenordnung höher und wirkt sich spürbar auf die Größe des TLS-Handshakes und die Zertifikatsübertragung aus, insbesondere in langsameren Netzwerken. Eine vollständige Umstellung auf PQC birgt dieses Risiko direkt für den Produktivbetrieb, ohne klassischen Fallback bei Problemen. Ein hybrider Einsatz hingegen hält einen bewährten und gut verstandenen Algorithmus parallel zum neuen in Betrieb. So führt ein Leistungsproblem oder ein Fehler im PQC-Teil nicht zwangsläufig zum Verbindungsabbruch.

Leitfaden von NIST und NSA zur hybriden Kryptographie

Der Begriff „Hybrid“ wird oft missverstanden. Die CNSA-2.0-Richtlinien der NSA für nationale Sicherheitssysteme (NSS) sind jedoch hinsichtlich hybrider Ansätze vorsichtiger, als viele annehmen. Die NSA vertraut den CNSA-2.0-Algorithmen und schreibt für die NSS-Sicherheit keine hybriden Konfigurationen vor. Hybride Lösungen können aus Kompatibilitäts- oder technischen Gründen weiterhin eingesetzt werden. Die NSA stellt außerdem klar, dass hybride Kryptografie die Implementierung und das Testen komplexer gestaltet und somit das Risiko von Fehlern und Konfigurationsfehlern erhöht. Darüber hinaus können hybride Konfigurationen die Standardisierung verlangsamen, da sich die Protokolle auf die Kombination und Verwaltung mehrerer Algorithmen einigen müssen.

Diese Unterscheidung ist wichtig. Bei klassifizierten Systemen mit strengen Validierungsregeln bevorzugt die NSA nach der Validierung einen direkten Wechsel zu den CNSA-2.0-Algorithmen. Hybride Verfahren betrachtet die NSA als temporäre Lösung für spezifische Protokollbeschränkungen, nicht als Endziel. Beispielsweise unterstützt die NSA bei IKEv2, einem VPN-Protokoll, aufgrund von Größenbeschränkungen für öffentliche Schlüssel einen hybriden Ansatz: Zuerst wird ein kleinerer Schlüssel verwendet, anschließend ein größerer, verschlüsselter.

Für das breitere kommerzielle Internet sieht die Lage anders aus. Hybride Bereitstellungen werden voraussichtlich in den nächsten Jahren zum Standardansatz. Bis 2030 empfiehlt die NSA selbst Dual-Algorithmus- oder Hybrid-Bereitstellungen, die klassische und Post-Quanten-Algorithmen parallel ausführen können, obwohl bis 2035 mit einer vollständigen Umstellung gerechnet wird. Die Richtlinien des National Cybersecurity Center of Excellence des NIST bestätigen dies: Organisationen sollten Kompatibilitätsprobleme einplanen und hybride Ansätze wie Dual-Use-Zertifikate, die klassische und PQC-Algorithmen kombinieren, testen, um den Systembetrieb während der Übergangsphase aufrechtzuerhalten.

Zusammenfassend lässt sich also sagen: Ein Hybridmodell ist nicht überall erforderlich, aber für fast alle außerhalb der strengsten Geheimhaltungssysteme ist es der praktische und empfehlenswerte Weg.

CNSA 2.0 und NIST-Zeitpläne für die Post-Quanten-Migration

Manche Teams betrachten die Migration nach der Quantenmigration als ein Problem, das irgendwann einmal auftreten wird. Die tatsächlichen Zeitpläne sprechen jedoch eine andere Sprache und sind verbindlicher, als die meisten erwarten. Die folgende Tabelle zeigt die gestaffelten Fristen für CNSA 2.0, die die NSA für NSS festgelegt hat:

Systemkategorie	Unterstützung und Bevorzugung von CNSA 2.0 durch	Exklusive Nutzung durch CNSA 2.0
Software- und Firmware-Signatur	Sofort / 2025	2030
Webbrowser, Server und Cloud-Dienste	2025	2033
Netzwerkgeräte (VPNs, Router)	2026	2030
Betriebssysteme	2027	2033
Nischenausrüstung (beschränkte Geräte, große PKI)	2030	2033
Kundenspezifische Anwendungen und Altsysteme	-	2033 (Aktualisierung oder Ersetzung)

Auf Bundesebene sieht das National Security Memorandum 10 das Jahr 2035 als Ziel für die Umstellung der Bundessysteme weg von quantenanfälligen Algorithmen vor. Der Entwurf der Übergangsleitlinie des NIST, derzeit als erster öffentlicher Entwurf (Initial Public Draft, NIST IR 8547 ) veröffentlicht , enthält einen detaillierteren Zeitplan, der dieses Ziel unterstützt und unter anderem einen früheren Zeitpunkt für die Abschaffung weniger sicherer klassischer Algorithmen vorsieht. Dieses Dokument ist jedoch noch nicht finalisiert.

Eines steht außer Frage: die Bedrohung, die all dem zugrunde liegt. Sie wird als „Ernten jetzt, Entschlüsseln später “ (HNDL) bezeichnet. Angreifer speichern heute verschlüsselte Daten und planen, sie zu entschlüsseln, sobald ein ausreichend leistungsstarker Quantencomputer verfügbar ist. Wenn Ihre Organisation Daten speichert, die ein Jahrzehnt oder länger vertraulich bleiben müssen, besteht dieses Risiko bereits jetzt – unabhängig davon, in welchem ​​Jahr ein bestimmter klassischer Algorithmus offiziell verboten wird.

Das bedeutet nicht, dass Sie die Migration morgen abschließen müssen. Es bedeutet, dass Sie deutlich vor diesen Terminen eine funktionierende Hybridlösung benötigen. Tests, Beschaffung und Validierung dauern Monate, selbst nachdem Sie sich für einen Ansatz entschieden haben.

Wie man einen Hybrid-First-PQC-Migrationsplan erstellt

Ein praxisorientierter Migrationsplan durchläuft branchenunabhängig in der Regel dieselben fünf Phasen. Reihenfolge und Tempo sollten sich an einer hybriden Bereitstellung orientieren, nicht an einem einzigen Umstellungstermin.

Beginnen Sie mit einer kryptografischen Bestandsaufnahme: Was man nicht sieht, kann man nicht migrieren. Ermitteln Sie, wo Public-Key-Algorithmen verwendet werden: Anwendungen, Protokolle wie TLS und SSH, digitale Zertifikate, HSMs und Dienste von Drittanbietern. Nutzen Sie Scanning-Tools, um quantenanfällige Algorithmen in Ihren Systemen, Ihrer Software und Ihren Pipelines zu erkennen und integrieren Sie diese Scans regelmäßig in Ihren CI/CD-Prozess.

Priorisieren Sie Daten nach Lebensdauer und Gefährdung: Erstellen Sie einen risikobasierten Plan, der wertvolle oder langlebige Daten priorisiert, insbesondere solche, die jetzt erfasst und später entschlüsselt werden könnten. Kundendaten, geistiges Eigentum und alle Daten, die mehrjährige Vertraulichkeit erfordern, sollten höchste Priorität haben.

Testen Sie zunächst den hybriden Schlüsselaustausch: Dies ist die ausgereifteste Ebene mit umfassender Bibliotheks- und Browserunterstützung, die bereits produktiv eingesetzt wird. Nutzen Sie sie als risikoärmste Testumgebung für Krypto-Agilitätstools , bevor Sie Zertifikate oder Signaturen verwenden.

Sprechen Sie direkt mit Ihren Lieferanten: Fragen Sie Hardware-, Software- und Cloud-Anbieter nach ihren PQC-Plänen und berücksichtigen Sie deren Bereitschaft bei Ihren Beschaffungs- und Risikoentscheidungen. Eine Hybridstrategie ist nur so stark wie ihr schwächstes Glied in der Lieferkette.

Setzen Sie auf Krypto-Agilität: Das NIST arbeitet noch an Backup-Algorithmen wie HQC, und die IETF standardisiert weiterhin Zertifikatsformate. Die heutigen Hybrid-Paarungen werden voraussichtlich nicht dauerhaft sein. Systeme, die ohne grundlegende Neuentwicklung den Algorithmus wechseln können, lassen sich im Zuge der Standardentwicklung deutlich einfacher und kostengünstiger aktualisieren.

Wie Verschlüsselungsberatung helfen kann

Wenn Sie sich fragen, wo und wie Sie Ihre Reise in die Post-Quanten-Verschlüsselung beginnen sollen, unterstützt Sie Encryption Consulting mit seinen PQC-Beratungsleistungen . Sie können auf uns als Ihren vertrauenswürdigen Partner zählen. Wir begleiten Sie Schritt für Schritt mit Klarheit, Zuversicht und praktischer Expertise.

Wir beginnen mit einer kryptografischen Ermittlung und Bestandsaufnahme , bei der wir Ihre gesamte Umgebung scannen, um Zertifikate, Schlüssel, Algorithmen und Protokolle über Endpunkte, Anwendungen, APIs und Infrastruktur hinweg zu identifizieren. Dies schafft die notwendige Grundlage für jede Migration.

Im Anschluss daran führen wir eine PQC-Bewertung durch , um Ihre Gefährdung durch Quantenbedrohungen zu beurteilen, RSA- und ECC-abhängige Systeme zu identifizieren und einen priorisierten Bericht über gefährdete Assets mit Risikoschweregradbewertungen zu erstellen.

Mit dieser Klarheit entwickeln wir eine PQC-Strategie und einen Fahrplan , einen stufenweisen Migrationsplan, der auf Ihre Risikobereitschaft, regulatorischen Anforderungen und langfristigen Sicherheitsziele abgestimmt ist, einschließlich kryptografischer Agilität, damit sich Ihre Systeme an die Weiterentwicklung der Standards anpassen können.

Anschließend unterstützen wir die Anbieterbewertung und Pilotversuche , indem wir Ihnen bei der Auswahl der richtigen Tools helfen, Machbarkeitsstudien durchführen und die Interoperabilität vor einer flächendeckenden Einführung validieren.

Schließlich übernehmen wir die vollständige Implementierung , den Einsatz hybrider klassischer und quantensicherer Modelle, die Einführung von PQC in Ihrer PKI und Infrastruktur sowie die Einrichtung eines Monitorings für die langfristige kryptografische Integrität.

CBOM Secure

CBOM Secure von Encryption Consulting bietet Sicherheitsteams eine zentrale, stets aktuelle Übersicht über alle kryptografischen Algorithmen, Bibliotheksversionen und Zertifikate im gesamten Unternehmen. Die Lösung identifiziert Systeme mit anfälligen Algorithmen, verfolgt den Migrationsfortschritt in Echtzeit und deckt Abweichungen auf, bevor diese zu Compliance-Lücken führen. Für Unternehmen, die zwischen tatsächlich migrierungsbedürftigen und von den vom Anbieter vorgegebenen Migrationsanforderungen unterscheiden möchten, liefert CBOM Secure die faktische Grundlage für eine klare Entscheidung.

Wenn Ihr Unternehmen bereit ist, ein PQC-Migrationsprogramm auf Basis von Fakten statt auf Basis von Zufallsdaten zu entwickeln, können Sie uns kontaktieren . Die PQC-Beratungsdienste und Lösungen für die kryptografische Erkennung und Inventarisierung von Encryption Consulting basieren genau auf dieser Art von schrittweiser, hybrider Migration.

Fazit

Eine reine Post-Quanten-Migration mag zwar richtungsweisend erscheinen, birgt aber alle Risiken – algorithmische, ökologische und operative – in einem einzigen, unumkehrbaren Schritt. Und das genau zu einem Zeitpunkt, an dem Standards, Werkzeuge und die Unterstützung des Ökosystems für PQC noch in der Entwicklung sind. Hybride Kryptografie verteilt dieses Risiko auf zwei unabhängig voneinander vertrauenswürdige Algorithmen. Sie verschafft Ihnen Zeit, während Zertifikatsformate und Backup-KEMs standardisiert werden, und entspricht dem Vorgehen von NIST, NSA und Organisationen, die PQC bereits im großen Stil einsetzen.

Die bereits festgelegten Fristen – 2027 für neue CNSA 2.0-Beschaffungen, 2030 und 2033 für verschiedene Gerätekategorien, 2035 für das Bundesziel der vollständigen Umstellung weg von quantenanfälligen Algorithmen – sind nicht mehr weit entfernt, um sie zu ignorieren. Sie sind aber auch nicht mehr nah genug, um einen überstürzten Sprung hin zu einem einzigen Algorithmus zu rechtfertigen. Ein hybrider Ansatz ist der beste Weg, diese Zeit sinnvoll zu nutzen.

Wenn Sie Ihr kryptografisches Inventar aufbauen oder herausfinden möchten, wo eine hybride Bereitstellung in Ihre bestehende PKI und Ihren Zertifikatslebenszyklus passt, dann ist das genau die Art von Arbeit, für die eine PQC-Bereitschaftsprüfung konzipiert wurde.