NIST IR 8547 erläutert: Die PQC-Fristen 2030 und 2035 in einen Aktionsplan umsetzen

Kurz gesagt: NIST IR 8547 ist der erste öffentliche Entwurf (veröffentlicht am 12. November 2024) des von NIST vorgeschlagenen Zeitplans zur Abschaffung quantenanfälliger Public-Key-Algorithmen wie RSA, ECDSA, ECDH und Diffie-Hellman für endliche Körper. Er schlägt vor, diese Algorithmen nach 2030 als veraltet zu kennzeichnen und nach 2035 vollständig zu verbieten. Mitte 2026 war es noch ein Entwurf und kein endgültiger Standard, doch die Vorgaben der US-Bundesregierung, darunter OMB M-26-15, verwenden die darin enthaltenen Daten bereits als Grundlage für die Arbeitsplanung. Für Betreiber von PKI, Codesignaturen, TLS, VPN, IAM und HSM bedeutet dies, dass die Bestandsaufnahme und Migration jetzt beginnen muss, nicht erst 2029.

In Präsentationen zur Post-Quanten-Planung werden immer wieder zwei Daten genannt: 2030 und 2035. Nur wenige können genau sagen, was an diesen Tagen geschieht, welche Algorithmen betroffen sind oder was „veraltet“ im praktischen Kontext im Gegensatz zu „nicht zulässig“ bedeutet. Die Daten stammen ursprünglich aus dem NIST-IR-8547-Dokument und sind präziser und bedingter, als es die Präsentationsfolien vermuten lassen.

Dieser Leitfaden übersetzt den algorithmischen Zeitplan von IR 8547 in konkrete Maßnahmen für die Teams, die für PKI, Codesignierung, TLS- und VPN-Infrastruktur, Identitäts- und Zugriffsmanagement sowie HSMs verantwortlich sind.

Wichtige Erkenntnisse

• NIST IR 8547 ist ein erster öffentlicher Entwurf vom 12. November 2024 und war Mitte 2026 noch nicht finalisiert. Daher sollten die darin enthaltenen Angaben als vorläufige Basis und nicht als verbindliche Vorgabe betrachtet werden.
• Der Kernvorschlag: Quantenanfällige Public-Key-Algorithmen, die 112-Bit-Sicherheit bieten (RSA-2048, ECC P-256 und ähnliche), werden nach 2030 als veraltet eingestuft und nach 2035 nicht mehr zugelassen.
• „Veraltet“ bedeutet, dass von der Verwendung abgeraten wird, sie aber technisch noch unter Auflagen zulässig ist; „nicht erlaubt“ bedeutet, dass die Verwendung in NIST-konformen Systemen überhaupt nicht mehr zugelassen ist.
• Die Bundespolitik entwickelt sich bereits schneller, als die im Entwurf selbst enthaltene Unsicherheit vermuten lässt. OMB M-26-15 weist die Behörden an, ihre Migrationspläne an IR 8547 anzupassen und legt 2035 als Datum für die vollständige Migration fest.
• Das Jahr 2035 erscheint noch weit entfernt, doch die Erneuerungszyklen von PKI, HSM und eingebetteten Systemen dauern in der Regel Jahre. Daher ist 2030 und nicht 2035 das Datum, das die meisten Migrationspläne tatsächlich einschränkt.

Was NIST IR 8547 tatsächlich aussagt

Der interne Bericht NIST IR 8547 mit dem Titel „Übergang zu Post-Quanten-Kryptographiestandards“ ist kein FIPS-Standard (Federal Information Processing Standard). Er beschreibt den geplanten Ansatz des NIST zur Ablösung quantenanfälliger digitaler Signaturalgorithmen und Schlüsselaustauschverfahren durch FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Der erste öffentliche Entwurf wurde am 12. November 2024 veröffentlicht. Die eingegangenen Kommentare fließen in einen überarbeiteten Übergangsplan sowie in zusätzliche algorithmen- und anwendungsspezifische Leitlinien ein.

Der vorgeschlagene Zeitplan basiert auf zwei Schwellenwerten, die an eine Mindestsicherheitsstärke gekoppelt sind:

Status	Vorgeschlagener Zeitpunkt	Was es in der Praxis bedeutet
Veraltete	Nach 2030	Die Verwendung wird nicht empfohlen; der Algorithmus sollte nicht für neue Systeme ausgewählt werden, und für bestehende Systeme sollte ein dokumentierter Migrationsplan vorliegen.
Nicht erlaubt	Nach 2035	Der Algorithmus ist unter keinen Umständen mehr für die Verwendung in NIST-konformen Systemen zugelassen.

Die betrachteten Algorithmen sind die klassischen Public-Key-Primitive, die ein kryptografisch relevanter Quantencomputer mithilfe von Shors Algorithmus knacken könnte: RSA (Verschlüsselung und Signaturen), ECDSA, ECDH und Diffie-Hellman für endliche Körper. Symmetrische Algorithmen wie AES-256 und Hashfunktionen mit ausreichender Ausgabelänge sind von diesem Übergang nicht betroffen; das NIST betrachtet sie bereits als ausreichend quantenresistent, abgesehen von Grovers Algorithmus, den AES-256 bereits unterstützt.

Ein wichtiger Punkt: IR 8547 ist eine Leitlinie, keine verbindliche Norm, und blieb bis Mitte 2026 ein erster öffentlicher Entwurf. Dieser Status ist relevant für die interne Kommunikation innerhalb einer Organisation bezüglich dieser Daten. Sie stellen zwar die verlässlichste Planungsgrundlage dar, doch sie als unumstößliche rechtliche Vorgabe zu präsentieren, wird dem Dokument nicht gerecht.

Warum ein Entwurf bereits Maßnahmen auf Bundesebene auslöst

Der Entwurfsstatus eines Dokuments hat nicht verhindert, dass es als Grundlage für andere Bundesrichtlinien dient. Die Richtlinien des OMB weisen die Behörden an, ihre Migrationspläne an IR 8547 anzupassen und legen 2035 als Zieldatum für die vollständige Migration der verbleibenden Systeme fest, was mit dem im Entwurf vorgeschlagenen Zeitpunkt für die Außerkraftsetzung übereinstimmt. Unabhängig davon legte das National Security Memorandum 10 2035 als Ziel für die Quantenresistenz von Bundessystemen fest und untermauerte damit das in IR 8547 vorgeschlagene Datum für die Außerkraftsetzung durch eine separate Präsidialdirektive, anstatt es lediglich als Stellungnahme des NIST zu belassen.

Das praktische Ergebnis: Organisationen, die mit der Migration warten, bis IR 8547 endgültig verabschiedet ist, optimieren für das falsche Risiko. Die darin enthaltenen Daten dienen bereits jetzt, unabhängig vom formalen Status des Dokuments, als Bezugspunkte für Compliance und Beschaffung in Gesprächen über öffentliche Aufträge und Audits.

Was der Zeitplan für jeden Systembesitzer bedeutet

IR 8547 legt die Frist auf Algorithmusebene fest. Sie gibt jedoch keine Anweisungen für PKI-Verantwortliche oder Netzwerktechniker, was am Montagmorgen zu tun ist. Die Umsetzung hängt davon ab, wo der Algorithmus tatsächlich ausgeführt wird.

Systeminhaber	Wo die Frist greift	Prioritäres Handeln vor 2030
PKI- und Zertifizierungsstellenteams	Root- und ausstellende CA-Signaturalgorithmen, Zertifikatvorlagen	Sequenzielle CA-Hierarchiemigration zu ML-DSA-Root-First; Validierung, ob nachgelagerte Anwendungen PQC- oder Hybridzertifikate verwenden können.
Inhaber von Codesignaturen	Langlebige Signaturen auf Firmware und Software, die auch Jahre nach 2030 noch verifizierbar bleiben müssen	Verschieben Sie die Signaturpipelines auf ML-DSA und priorisieren Sie dabei Artefakte mit der längsten Verifizierungslebensdauer.
TLS- und Netzwerkteams	Schlüsselaustausch bei TLS-Handshakes, VPN-Tunneln, Load Balancern	Pilotieren Sie hybride Schlüsselaustauschverfahren wie X25519MLKEM768 und messen Sie die Handshake-Größe, die Latenz und das Verhalten der Middlebox.
IAM- und Identitätsteams	Zertifikatsbasierte Authentifizierung, Smartcards, Verbundsignaturschlüssel	Authentifizierungsabläufe für Inventardaten, die auf RSA- oder ECDSA-Signaturen basieren, und Planung der Neuausstellung von Anmeldeinformationen
HSM und wichtige Managementteams	Firmware-Unterstützung für PQC-Signatur- und Schlüsselgenerierungsvorgänge	Prüfen Sie, ob die aktuelle HSM-Firmware ML-KEM und ML-DSA unterstützt, und planen Sie gegebenenfalls ein Update ein.
Anwendungsbesitzer	Fest codierte Algorithmenreferenzen, TLS-Bibliotheken, eingebettete Kryptografie	Prüfen Sie Code und Konfiguration auf fest codierte RSA- oder ECDSA-Referenzen, die nicht automatisch durch einen Bibliothekspatch aktualisiert werden.

Der gemeinsame Nenner aller Punkte ist, dass keine dieser Maßnahmen verantwortungsvoll ergriffen werden kann, ohne zu wissen, wo RSA, ECDSA, ECDH und Diffie-Hellman aktuell tatsächlich eingesetzt werden. Die meisten Organisationen können diese Frage nicht sicher beantworten. Daher ist die Erstellung eines kryptografischen Inventars, nicht die Auswahl eines Algorithmus, der realistische erste Meilenstein auf jeder an IR 8547 ausgerichteten Roadmap.

Warum 2030 und nicht 2035 die eigentliche Beschränkung darstellt

Neun Jahre erscheinen wie ein langer Zeitraum, bis man ihn mit den Austauschzyklen vergleicht, die nie mit Blick auf das Jahr 2030 konzipiert wurden. Eingebettete Systeme, industrielle Steuerungstechnik und langlebige Hardware-Sicherheitsmodule können Beschaffungs- und Zertifizierungszyklen von mehreren Jahren aufweisen, bevor überhaupt Migrationsarbeiten beginnen. HSM-Firmware-Updates erfordern Validierung und Änderungskontrolle. PKI-Root-Zeremonien sind bewusst seltene, aufwändige Ereignisse und lassen sich nicht reaktiv planen. Eine Organisation, die erst 2029 mit der Bestandsaufnahme beginnt, hat praktisch keine realistische Chance, bis 2030 eine Umgebung ohne veraltete Algorithmen zu erreichen – unabhängig vom Budget.

Organisationen, die dies richtig handhaben, arbeiten rückwärts von 2030 als sinnvoller Beschränkung und verwenden 2035 als äußere Grenze für alles, was vernünftigerweise nicht früher abgeschlossen werden kann, anstatt umgekehrt.

Wie Verschlüsselungsberatung helfen kann

Jeder Aktionspunkt in der obigen Tabelle setzt die Beantwortung einer zentralen Frage voraus: Wo genau werden RSA, ECDSA, ECDH und Diffie-Hellman aktuell in Ihrer Umgebung eingesetzt? CBOM Secure erstellt und pflegt dieses Inventar kontinuierlich, indem es Zertifikate, Schlüssel, Bibliotheken und Protokolle in On-Premise-, Cloud- und Hybridsystemen scannt und jeden Befund einem Verantwortlichen und einer Kritikalitätsstufe zuordnet. Dieses Ergebnis macht die in IR 8547 festgelegten Termine 2030 und 2035 von einer abstrakten Frist zu einer priorisierten, Verantwortlichen zugewiesenen Arbeitsliste.

Aus diesem Bestandsverzeichnis erstellen unsere PQC Advisory Services den gestaffelten Fahrplan selbst: Sequenzierung der PKI-Root-First-Migration, der HSM-Firmware-Bereitschaft und des hybriden Rollouts mit Blick auf das Abschaffungsdatum 2030 anstatt des weiter entfernten Datums der Nichtzulassung 2035, sodass der Plan die Einschränkung widerspiegelt, die die meisten Organisationen tatsächlich bindet.

Sobald der Fahrplan festgelegt ist, führt CertSecure Manager die Migration auf Zertifikatsseite durch und orchestriert einen Root-First-Wechsel zu ML-DSA über Microsoft AD CS, andere Enterprise-CA-Plattformen und öffentliche CAs hinweg, wobei hybride und zusammengesetzte Zertifikatsformate für das Übergangsfenster unterstützt werden.

Verabredungen in einen Plan verwandeln

Die in NIST IR 8547 genannten Daten 2030 und 2035 sind Vorschläge und noch nicht endgültig festgelegt. Sie dienen jedoch bereits als Grundlage für die Entwicklung von Bundesrichtlinien, Vergabevorschriften und Prüfungsanforderungen. Organisationen, die für 2030 am besten aufgestellt sind, betrachten die Abschaffung – nicht die Nichtanerkennung – als eigentlichen Stichtag und die Bestandsaufnahme kryptografischer Technologien – nicht die Algorithmenauswahl – als ersten Meilenstein. Das Dokument beschreibt einen Algorithmenübergang. Um diesen Übergang erfolgreich zu meistern, sind die PKI-Sequenzierung, die HSM-Bereitschaft und ein genaues Verständnis des aktuellen Status klassischer Kryptografie erforderlich.

Häufig gestellte Fragen

Ist NIST IR 8547 ein endgültiger Standard?

Nein. Es handelt sich um einen ersten öffentlichen Entwurf vom 12. November 2024, der Mitte 2026 noch nicht finalisiert war. Es ist eine Leitlinie, die den erwarteten Übergangsansatz des NIST beschreibt, kein verbindlicher Bundesstandard für die Informationsverarbeitung.

Worin besteht der Unterschied zwischen „veraltet“ und „nicht zulässig“?

„Veraltet“ bedeutet, dass von der Verwendung abgeraten wird und der Algorithmus nicht in neuen Systemen eingesetzt werden sollte. Die bestehende Verwendung kann jedoch mit einem dokumentierten Migrationsplan fortgesetzt werden. „Nicht zulässig“ bedeutet, dass der Algorithmus gemäß den NIST-Richtlinien nicht mehr zur Verwendung zugelassen ist.

Welche Algorithmen umfasst NIST IR 8547?

Quantenanfällige Public-Key-Algorithmen: RSA, ECDSA, ECDH und Diffie-Hellman für endliche Körper. Symmetrische Algorithmen wie AES-256 und ausreichend lange Hashfunktionen werden nicht betrachtet, da sie bereits als ausreichend resistent gegen Quantenangriffe gelten.

Wenn der Entwurf noch nicht endgültig ist, warum sollten wir jetzt mit der Migration beginnen?

Da andere Bundesrichtlinien, darunter die Vorgaben des OMB und das National Security Memorandum 10, die in IR 8547 vorgeschlagenen Termine bereits als Grundlage für die Migrationsplanung verwenden und da PKI-, HSM- und Embedded-System-Austauschzyklen üblicherweise Jahre dauern, besteht die Gefahr, dass uns vor 2030 die Zeit ausgeht, wenn wir auf die endgültige Fassung des Entwurfs warten.

Was sollte der erste Schritt zur Einhaltung der IR 8547-Vorschriften sein?

Erstellen Sie ein präzises kryptografisches Inventar, das die tatsächliche Verwendung von RSA, ECDSA, ECDH und Diffie-Hellman dokumentiert und diese den jeweiligen Systemverantwortlichen und Datensensibilitäten zuordnet. Jede nachfolgende Migrationsentscheidung basiert auf der Korrektheit dieses Inventars.