Was die Kandidaten der dritten Runde des NIST IR 8610 PQC für Sicherheitsarchitekten bedeuten

Am 14. Mai 2026 veröffentlichte das NIST den NIST IR 8610 und gab damit bekannt, dass neun Kandidaten für digitale Signaturen die dritte Runde des Standardisierungsprozesses für zusätzliche digitale Signaturen erreicht haben. Nach 18 Monaten Evaluierung und dem Ausscheiden von fünf Kandidaten befinden sich noch neun Algorithmen aus vier verschiedenen mathematischen Familien in der Bewertung.

Dies ist kein routinemäßiges Prozessupdate. Dieser Blog bietet einen technischen Einblick in die neun Kandidaten, ihre mathematischen Grundlagen, die kryptanalytischen Ereignisse, die die zweite Runde geprägt haben, und die Erkenntnisse, die Sicherheitsarchitekten und Migrationsplaner daraus gewinnen sollten.

Warum das NIST diesen Prozess überhaupt erst ins Leben gerufen hat

Das NIST hat zwei Post-Quanten-Signaturstandards, ML-DSA (FIPS 204) und SLH-DSA (FIPS 205), finalisiert, während ein dritter Standard, FN-DSA (FIPS 206), derzeit standardisiert wird und voraussichtlich Ende 2026 oder Anfang 2027 veröffentlicht wird. Das klingt nach einer umfassenden Abdeckung, bis man die mathematischen Grundlagen dieser drei Standards genauer betrachtet.

Eine detaillierte Aufschlüsselung der Kategorien 1–5, ihrer AES/SHA-Referenzpunkte und Hinweise zur Implementierung finden Sie unter NIST Post-Quantum Cryptography Security Levels: A Guide to Categories 1–5.

ML-DSA basiert auf Gittern und nutzt die angenommene Schwierigkeit der Module-LWE- und Module-SIS-Probleme. FN-DSA basiert ebenfalls auf Gittern, bezieht seine Sicherheit jedoch aus einer anderen Grundlage: der Schwierigkeit, kurze Vektoren in NTRU-Gittern zu finden. Beide sind strukturierte Gitterverfahren, d. h. sie gehören einer gemeinsamen mathematischen Familie an, basieren aber auf unterschiedlichen Annahmen zur Schwierigkeit. SLH-DSA basiert auf Hash-Funktionen und bietet somit eine unabhängige Sicherheitsgrundlage, allerdings auf Kosten der Performance.

Zum Vergleich: SLH-DSA-SHA2-128s (Parametersatz Kategorie 1) erzeugt Signaturen von 7,856 Byte in der kompakten Variante bis zu 17,088 Byte in der schnellen Variante. Sollte ein kryptanalytischer Durchbruch die Annahmen des strukturierten Gitters kompromittieren, sei es klassisch oder mit einem ausreichend leistungsfähigen Quantencomputer, würden zwei der drei vom NIST angebotenen Signaturoptionen gleichzeitig wegfallen. SLH-DSA bliebe dann als einzige Option übrig – eine Rolle, für die es nie allein konzipiert wurde.

Die Geschichte verleiht dieser Besorgnis Gewicht. Rainbow, ein multivariates Signaturverfahren, das im ursprünglichen NIST PQC-Prozess die Endrunde erreichte, wurde 2022 nach einem überraschenden kryptanalytischen Fortschritt geknackt. SIKE, ein auf Isogenie basierender Schlüsselkapselungsmechanismus, wurde im selben Jahr während der vierten Runde des NIST PQC-Standardisierungsprozesses durch einen klassischen Angriff von Castryck und Decru entschlüsselt. Gitterkryptographie wurde zwar umfassender erforscht als diese beiden Verfahren, doch das alleinige Vertrauen in eine einzige mathematische Familie birgt weiterhin Risiken.

Neben der Portfoliodiversifizierung besteht ein konkretes Leistungsproblem. ML-DSA-44 (der Parametersatz der Kategorie 2) erzeugt Signaturen von 2,420 Byte. FN-DSA-512 erzeugt gemäß der aktuellen Falcon-Spezifikation etwa 666 Byte. Vergleicht man dies mit den 64 Byte von ECDSA P-256 (die sich bei DER-Kodierung auf 71–72 Byte erweitern), wird der Größenanstieg bei der Migration zu Post-Quanten-Signaturen sofort deutlich. Für die meisten Standard-Internetanwendungen (TLS über Hochgeschwindigkeitsverbindungen und Codesignierung für Allzwecksysteme) sind diese Größen zwar umständlich, aber dennoch handhabbar. Für andere stellen sie jedoch ein unüberwindbares Hindernis dar.

DNSSEC ist ein Beispiel dafür. Die DNSSEC-Validierungsketten stapeln Signaturen über Root-, TLD- und Second-Level-Domain-Einträge, und die Antworten wurden traditionell auf 512-Byte-UDP-Pakete ausgelegt. Die Verwendung von ML-DSA-Signaturen in DNSSEC würde nahezu jede Antwort von UDP auf verbindungsorientiertes Transportverfahren verlagern und eine Infrastruktur, die bewusst auf geringe Ressourcenauslastung ausgelegt war, erheblich verkomplizieren.

Beschränkte IoT- und OT-Umgebungen stehen vor demselben Problem, allerdings aus einem anderen Blickwinkel. Herkömmliche Feldbusprotokolle mit festen Nachrichtengrößen, 8-Bit-Mikrocontroller mit begrenztem RAM und sicherheitskritische Steuerungssysteme mit strengen Timing-Anforderungen können nicht einfach eine mehrere Kilobyte große Signatur an jeden Befehl anhängen. Für diese Umgebungen ist eine kompakte Post-Quanten-Signatur keine Leistungsoptimierung, sondern die Voraussetzung dafür, ob ein Einsatz überhaupt möglich ist.

Der Aufruf des NIST zur Einreichung zusätzlicher digitaler Signaturen vom September 2022 legte beide Beweggründe klar dar. Im Rahmen des Verfahrens gingen 50 Einreichungen ein, von denen 40 in die erste Runde aufgenommen, 14 in die zweite Runde und nun neun in die dritte Runde weiterverfolgt wurden.

Die neun Überlebenden und ihre mathematischen Grundlagen

Die neun Kandidaten der dritten Runde lassen sich vier verschiedenen mathematischen Familien zuordnen. Jede Familie bringt eine andere Schwierigkeitsannahme mit sich, und genau diese Vielfalt ist der entscheidende Punkt. Ein Durchbruch in einer Familie lässt die anderen ungenutzt. Die folgende Tabelle bietet einen Überblick über den aktuellen Stand der einzelnen Kandidaten vor der dritten Runde. Sie ist nach mathematischer Familie und nicht alphabetisch geordnet, sodass die strukturellen Beziehungen zwischen den Kandidaten sofort ersichtlich sind.

Algorithmus	Familie	Status Runde 3	Entscheidender Vorteil	Wichtigster Kompromiss	NIST-Vertrauensnote
FAEST	MPC-in-the-Head (VOLEitH)	Selected	Die Sicherheit basiert primär auf etablierten symmetrischen Verfahren (AES); wettbewerbsfähige MPCitH-Leistung	Komplexe Designs und kürzlich aktualisierte Sicherheitsnachweise erfordern eine fortlaufende Überprüfung durch die Community.	Das NIST stellte fest, dass unter den MPCitH-Kandidaten das größte Vertrauen in die Sicherheit von FAEST bestand.
MQOM	MPC-in-the-Head (TCitH)	Selected	Die besten Leistungswerte aller MPCitH-Kandidaten; auf allen drei Sicherheitsstufen bietet es die geringsten Gesamtgrößen für öffentliche Schlüssel und Signaturen in der MPCitH-Kategorie.	Die Sicherheitsnachweise für ROM und QROM gelten möglicherweise noch nicht als ausgereift oder vollständig.	NIST stellte fest, dass MQOM unter den MPCitH-Kandidaten die besten Leistungswerte aufweist.
SDitH	MPC-in-the-Head (VOLEitH)	Selected	Sicherheit basierend auf dem Syndrom-Decodierungsproblem für unstrukturierte lineare Codes über dem Binärkörper, einem der am intensivsten untersuchten Probleme in der MPCitH-Kategorie	Höhere Rechenkosten als bei vergleichbaren Produkten	Die Härteannahme zählt zu den konservativsten unter vergleichbaren Ansätzen.
HAWK	Gitterbasiert	Selected	555-Byte-Signaturen der Kategorie 1; kleiner als Falcon und ML-DSA; Arithmetik nur mit Ganzzahlen.	Weitere Analysen von smLIP in Kreisteilungskörpern sind erforderlich.	Ausgewählt aufgrund hoher Leistungsfähigkeit und einfacher Implementierung.
SQIsign	Isogenie-basiert	Selected	Kleinste kombinierte Schlüssel- und Signaturgrößen aller Kandidaten; Signaturen mit nur 148 Bytes	Höhere Latenzzeit beim Signieren; vollständig zeitkonstantes Signieren bleibt ein Ziel	Zunehmende Reife und einzigartige Kompaktheit rechtfertigten den Fortschritt
UOV	Multivariat	Selected	Signaturen mit nur 96 Bytes; sehr schnelle Verifizierung; jahrzehntelange Forschung	Erweiterte öffentliche Schlüssel überschreiten 200 KB; das NIST ist primär an der Eignung von UOV für bestimmte Anwendungen interessiert und weniger an dessen Eignung als universelles Signaturverfahren.	Die lange Geschichte und das fortwährende Vorhandensein ungebrochener Parametersätze unterstützen eine weitere Auswertung.
MAI	Multivariat	Selected	Kleinere öffentliche Schlüssel als Standard-UOV; ausgewogenes Profil, geeignet für allgemeine Zwecke	Ein Wedge-Angriff verursachte eine 28-Bit-Sicherheitslücke in den MAYO2-Kategorie-1-Parametern.	Attraktive, ausgewogene Leistung, aber die jüngsten Angriffe haben die Risiken der Parameterwahl deutlich gemacht
QR-UOV	Multivariat	Selected	Resistent gegen Wedge-Angriffe, die andere UOV-Varianten betreffen; öffentliche Schlüssel etwa 15–50 % der Standard-UOV	Öffentliche Schlüssel bleiben größer als MAYO und SNOVA.	Während der zweiten Runde wurden keine Angriffe durchgeführt, die die Sicherheit von QR-UOV beeinträchtigten.
SNOVA	Multivariat	Selected	Potenziell sehr kleine öffentliche Schlüssel und Signaturen; konkurrenzfähig mit der Leistung der Falcon-Klasse bei den vorgeschlagenen Parametern	Bedeutende Geschichte der Kryptoanalyse; die meisten ursprünglichen Parametersätze wurden geknackt	Das NIST betrachtet SNOVA noch nicht als stabil und erwartet einen längeren Weg bis zu einer möglichen Standardisierung.

MPC im Kopf: FAEST, MQOM und SDitH

MPCitH-Verfahren beweisen die Kenntnis eines geheimen Schlüssels, indem sie eine Mehrparteienberechnung innerhalb eines Zero-Knowledge-Beweises simulieren und diesen anschließend mittels der Fiat-Shamir-Transformation in eine nicht-interaktive Signatur umwandeln. Die Sicherheit kann auf symmetrischen Primitiven anstatt auf neuartigen algebraischen Annahmen beruhen, die resultierenden Signaturen sind jedoch groß und umfassen in Kategorie 1 mehrere Kilobyte.

FAEST basiert seine Sicherheit auf AES mittels des Vector Oblivious Linear Evaluation in-the-Head (VOLEitH)-Frameworks. Der Signaturschlüssel ist ein AES-Schlüssel; die Signatur beweist die Kenntnis des Schlüssels und ordnet eine öffentliche Eingabe einer öffentlichen Ausgabe zu. Das NIST hat FAEST die höchste Sicherheit aller Kandidaten in der MPCitH-Kategorie bescheinigt. Kompromiss: Die Signaturen variieren in Kategorie 1 je nach Parametersatz zwischen ca. 3.9 KB und 5.9 KB, wobei alle Varianten SLH-DSA übertreffen.

MQOM verwendet Threshold Computation in the Head für das multivariate quadratische (MQ) Problem. Es wies in Runde 2 die geringste kombinierte Größe von öffentlichem Schlüssel und Signatur aller MPCitH-Kandidaten über alle drei Sicherheitsstufen hinweg auf. Allerdings befinden sich die Sicherheitsbeweise im Random Oracle Model und Quantum Random Oracle Model noch in der Entwicklung, wie vom NIST ausdrücklich hervorgehoben wurde.

SDitH wendet MPCitH auf das Syndrom-Decodierungsproblem für zufällige lineare Codes an, eine Annahme, die seit den 1970er Jahren untersucht wird. Unter den MPCitH-Kandidaten kann nur FAEST eine vergleichbar gut analysierte Grundlage vorweisen. Nachteil: langsamer als andere MPCitH-Verfahren.

Multivariat: UOV, MAYO, QR-UOV und SNOVA

Alle vier sind Varianten von Unbalanced Oil and Vinegar (UOV), das 1999 eingeführt wurde. Der Vorteil liegt in der Kompaktheit der Signaturen: UOV erzeugt 96-Byte-Signaturen der Kategorie 1, die sich der Größe von ECDSA -Klassen annähern. Der Nachteil ist die Größe des öffentlichen Schlüssels, die in der klassischen erweiterten Konstruktion in Kategorie 1 etwa 272 KB beträgt; die komprimierte Variante (uov-Ip) ist etwa 43 KB groß. MAYO, QR-UOV und SNOVA sind Komprimierungsvarianten, die unterschiedliche Grade der Reduzierung des öffentlichen Schlüssels gegen verschiedene strukturelle Einschränkungen abwägen.

Die zweite Runde brachte ein bedeutendes kryptanalytisches Ereignis. Der Wedge-Angriff (Ran, 2025) nutzt externe Produkte, um den verborgenen Öl-Unterraum in Charakteristik-2-Feldern offenzulegen. Dadurch wurden drei der vier ursprünglichen Parametersätze von UOV unter ihre Sicherheitsziele gedrückt, und der Kategorie-1-Satz von MAYO verlor genau 28 Bit. SNOVA wurde am stärksten getroffen, die meisten seiner Parametersätze wurden kompromittiert. QR-UOV blieb immun: Seine Felder mit ungerader Charakteristik sind strukturell inkompatibel mit dem Angriff.

Das NIST hat alle vier Kandidaten weiterempfohlen, da bisher kein erfolgreicher Angriff das Kerndesign von UOV kompromittiert hat, die Verwendung von Feldern mit ungerader Charakteristik die Sicherheit zu verbessern scheint und ihr Potenzial für sehr kleine Signaturen unübertroffen ist. Das NIST hat jedoch angemerkt, dass die Standardisierung der multivariaten Familie länger dauern wird und SNOVA noch nicht als vollständig stabil gilt.

Isogeniebasiert: SQIsign

SQIsign erzeugt 148-Byte-Signaturen der Kategorie 1 und bietet damit die kleinste kombinierte Größe von öffentlichem Schlüssel und Signatur aller Kandidaten im Vergleich. Diese Größe ist sogar kleiner als die von RSA -2048-Signaturen. Für bandbreitenbeschränkte Anwendungen wie DNSSEC, Roughtime und die Signierung von IoT-Firmware ist diese Größe von entscheidender Bedeutung.

Die Sicherheit beruht auf der Schwierigkeit, Isogenien zwischen supersingulären elliptischen Kurven zu berechnen und deren Endomorphismenringe zu bestimmen. Für die zweite Runde wurde das System grundlegend überarbeitet und von einem KLPT-basierten Ansatz auf höherdimensionale Isogenien umgestellt. Dadurch konnte die Signiergeschwindigkeit um das 20-Fache und die Verifizierungsgeschwindigkeit um das 6-Fache verbessert werden. Der SIKE-Hack von 2022 wird häufig als Problem genannt; SQIsign vermeidet zwar die strukturelle Schwachstelle, die diesen Angriff ermöglichte, doch das Gebiet der Isogenienforschung ist noch jung und der Pool an Analysten begrenzt.

Zwei Punkte bleiben vor Beginn der dritten Runde noch offen: Die Sicherheitsnachweise bedürfen einer breiteren Überprüfung durch die Community, und eine vollständig kontinuierliche Signatur wurde noch nicht erreicht. Es hat sich gezeigt, dass ein teilweises Auslesen von Seitenkanalinformationen während der Signatur die Wiederherstellung von Schlüsseln ermöglicht.

Gitterbasiert: HAWK

HAWK ist der einzige gitterbasierte Kandidat in diesem Verfahren, doch seine Berechtigung beruht darauf, dass es ein spezifisches Problem löst, das weder ML-DSA noch FN-DSA adressieren. FN-DSA benötigt Gleitkommaarithmetik für die Gaußsche Abtastung, was eine Implementierung in konstanter Zeit auf Hardware ohne Gleitkommaeinheiten erschwert. HAWK verwendet durchgehend Integerarithmetik und erzeugt 555 Byte große Signaturen der Kategorie 1, die kleiner sind als die von FN-DSA-512 und ML-DSA-44.

Der Kompromiss besteht darin, dass die Sicherheit von HAWK auf zwei neueren Annahmen beruht: dem Search Module Lattice Isomorphism Problem (smLIP) und dem One-More-Shortest-Vector-Problem (omSVP). Beide wurden in Runde 2 kryptanalytisch untersucht. Das HAWK-Team hat ein Definitionsproblem in der omSVP-Formulierung gelöst; es wurden Fortschritte bei Angriffen auf smLIP-Varianten erzielt, die jedoch derzeit nicht auf die von HAWK verwendeten Kreisteilungskörper anwendbar sind. Die weitere Analyse beider Annahmen ist die erklärte Priorität für Runde 3.

Damit sind alle neun Kandidaten abgedeckt, die es in die engere Auswahl geschafft haben. Bevor wir uns damit befassen, was diese Weiterentwicklung für die Migrationsplanung bedeutet , lohnt es sich, die fünf Kandidaten zu betrachten, die es nicht geschafft haben, denn die Gründe dafür geben ebenso viel Aufschluss über die Prioritäten des NIST wie die Auswahl selbst.

Was nicht vorankam und warum

Es ist genauso wichtig zu wissen, wer ausgeschieden ist, wie zu wissen, wer es geschafft hat. Die fünf ausgeschiedenen Kandidaten zeigen genau, worauf das NIST in einem hart umkämpften Feld das größte Gewicht gelegt hat. In jedem Fall war die Entscheidung letztendlich eine Kombination aus Sicherheitsunsicherheit, Leistungsdefiziten oder Konsolidierung in einer überfüllten Kategorie.

Kandidat	Familie	Hauptgrund für die Eliminierung gemäß NIST IR 8610
CROSS	Codebasiert (Dekodierung des eingeschränkten Syndroms)	Kleine öffentliche Schlüssel, aber sehr große Signaturen, ähnlich wie bei SLH-DSA. Das zugrundeliegende Sicherheitsproblem ist deutlich weniger erforscht als das von SLH-DSA. Ein zweiter Angriff veranlasste das Team, die Parameter anzupassen, was zu einer geringeren Leistungsfähigkeit und damit zu Sicherheitsunsicherheit führte.
WENIGER	Codebasiert (Lineare Codeäquivalenz)	Kleine Signaturen, aber sehr große öffentliche Schlüssel, und deutlich langsamer als CROSS bei der Schlüsselerzeugung, Signierung und Verifizierung. Ein zweiter Angriff stellte die Sicherheit des Verfahrens infrage.
Nachlass	MPCitH (MinRank, Zusammenschluss von MIRA und MiRitH)	Das Leistungsprofil wies ausreichende Überschneidungen mit konkurrierenden MPCitH-Kandidaten auf. NIST entschied sich, Kandidaten zu priorisieren, die etabliertere Sicherheitsannahmen oder ein im Vergleich zu den übrigen MPCitH-Optionen überlegenes Leistungsprofil bieten.
VORTEIL	MPCitH (Permutierter Kernel)	FAEST bietet eine höhere Geschwindigkeit und basiert ausschließlich auf AES. NIST hat PERK nicht aufgrund praktischer Leistungsabwägungen ausgewählt. NIST merkte an, dass diese Entscheidung nicht als mangelndes Vertrauen in das zugrunde liegende Permuted-Kernel-Problem interpretiert werden sollte.
RYDE	MPCitH (Rank-Syndrom-Dekodierung)	Um die Standardisierung mehrerer Systeme mit sehr ähnlichen betrieblichen Kompromissen zu vermeiden, entschied sich das NIST dafür, Kandidaten zu priorisieren, die die robusteste Kombination aus Leistung und gemeinschaftsweiter Analyse aufwiesen.

Die Auswahl und das Ausscheiden in der dritten Runde spiegeln den aktuellen Stand des Vertrauens der Kryptografie-Community in die Welt der Post-Quantensignaturen wider. Für Sicherheitsteams, die laufende Migrationsprogramme durchführen, stellt sich jedoch die dringendere Frage, welche Auswirkungen diese Änderungen auf die bereits laufenden Arbeiten haben.

Was dies für die PQC-Migrationsplanung bedeutet

Die unmittelbare Priorität hat sich nicht geändert. ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) sind finalisierte Standards. FN-DSA (FIPS 206) ist ausgewählt; ein Entwurf wird Ende 2026 erwartet, die finale Fassung voraussichtlich 2027. Auf diese Standards sollte nun umgestellt werden.

Für Organisationen, die der Commercial National Security Algorithm Suite 2.0 (CNSA 2.0, veröffentlicht im September 2022) der NSA unterliegen, fallen die zusätzlichen Signaturkandidaten der dritten Runde nicht unter die bestehenden Vorgaben. CNSA 2.0 erfordert ML-KEM-1024 für die Schlüsselerzeugung und ML-DSA-87 für digitale Signaturen. Die Zeitpläne reichen von 2027 für neue nationale Sicherheitssysteme bis 2030 bis 2033 für bestehende Infrastrukturen. Regierungsauftragnehmer und Organisationen der Verteidigungsindustrie sollten ihre Migrationsbemühungen auf die Erfüllung dieser Verpflichtungen gemäß dem veröffentlichten Zeitplan konzentrieren und die zusätzlichen Signaturkandidaten als zukünftige Portfolioerweiterungen betrachten.

Die Existenz dieses Prozesses hat praktische Auswirkungen auf die Systemarchitektur: Kryptoagilität gewinnt an Bedeutung. Dass das NIST parallel eine Evaluierung durchführt, um Alternativen zu seinen kürzlich veröffentlichten Standards zu finden, spiegelt eine einfache Realität wider: Das Post-Quanten-Feld entwickelt sich stetig weiter. Systeme, die heute eingesetzt werden, müssen so konzipiert sein, dass sie Algorithmen austauschen können, ohne dass eine grundlegende Architekturänderung erforderlich ist.

Das Problem der Signaturgröße ist real. Sollte SQIsign Signierung in konstanter Zeit ermöglichen, wären seine 148-Byte-Signaturen revolutionär für bandbreitenbeschränkte Protokolle wie DNSSEC und Roughtime. Wenn die neueren Gitterannahmen von HAWK zutreffen, bietet es eine praktikable Alternative mit ganzzahliger Arithmetik für ressourcenbeschränkte Hardware, die FN-DSA nicht sicher ausführen kann. Stabilisiert sich die multivariate Familie durch Reparametrisierung mit ungeraden Charakteristiken, ermöglicht sie Signaturgrößen nahe ECDSA für die Post-Quanten-Ära.

Das sind wichtige offene Fragen. Die Migrationsplanung sollte sich an den aktuellen Standardgrößen orientieren und zukünftige Kompaktoptionen als potenzielle Verbesserungen betrachten, die nach ihrer Standardisierung integriert werden können, und nicht als Abhängigkeiten, auf deren Abgleich man warten muss.

Ein wichtiger Unterschied hinsichtlich der Dringlichkeit: Digitale Signaturen unterliegen nicht dem Bedrohungsmodell „Erst sammeln, später entschlüsseln“ wie Verschlüsselung. Ein Angreifer, der Ihren verschlüsselten Datenverkehr heute aufzeichnet, kann versuchen, ihn später zu entschlüsseln, sobald Quantencomputer ausgereift sind. Er kann Ihre signierten Dokumente jedoch nicht sammeln und nachträglich Signaturen fälschen, sobald Quantencomputer verfügbar sind, da eine Fälschung zum Zeitpunkt der Signierung Echtzeit-Kryptoanalyse erfordern würde.

Die damit verbundene Bedrohung für Signaturen wird mitunter als „Vertrauen Sie jetzt, fälschen Sie später“ bezeichnet: Langlebige Signaturen auf Firmware, Rechtsdokumenten oder Stammzertifikaten, die über Jahrzehnte vertrauenswürdig bleiben müssen, sind durch kryptografisch relevante Quantencomputer anfällig für zukünftige Fälschungen. Die Dringlichkeit der Migration von Signaturverfahren ist real, unterscheidet sich jedoch von der Unmittelbarkeit im Fall der Verschlüsselung.

Was man in der dritten Runde im Auge behalten sollte

Die dritte Runde begann offiziell am 14. Mai 2026 und wird voraussichtlich etwa zwei Jahre dauern. Vier Fragen werden ihren Verlauf bestimmen.

Die wichtigste Frage ist, ob die multivariaten Kandidaten ihre Sicherheit nach dem Wedge-Angriff stabilisieren können. Aktualisierte Parametersätze für Felder mit ungerader Charakteristik werden bis zum 14. August 2026 erwartet. Wie sich diese Parameter bei einer konzentrierten Kryptoanalyse in der dritten Runde bewähren, ist noch nicht bekannt.

Bei SQIsign stellt sich die Frage, ob eine Signatur in konstanter Zeit erreicht werden kann. Die kompakten Signaturgrößen waren für das NIST trotz dieses ungelösten Problems überzeugend genug, um das Verfahren weiterzuentwickeln; die Lösung dieses Problems ist jedoch Voraussetzung für die Standardisierung.

Für die MPCitH-Kandidaten FAEST, MQOM und SDitH stellt sich die Frage, ob die breitere Forschungsgemeinschaft die Sicherheitsbeweise verifizieren und verstärken kann. Sowohl Threshold Computation in the Head als auch VOLE-in-the-Head wurden in der zweiten Runde integriert, und die resultierenden Beweise sind komplex und relativ neu.

Für HAWK stellt sich die Frage, ob die Annahmen von smLIP und omSVP einer eingehenden Überprüfung in der dritten Runde standhalten. Sollte dies der Fall sein, schließt HAWK eine wichtige Lücke: kompakte, auf Ganzzahlarithmetik basierende Gittersignaturen für Hardware, die FN-DSA nicht sicher ausführen kann.

Die neun verbliebenen Kandidaten spiegeln ein methodisches Bemühen um echte kryptografische Tiefe wider. Nicht Redundanz um ihrer selbst willen, sondern echte mathematische Vielfalt, die Alternativen bereithält, während das Post-Quanten-Ökosystem reift.

Wie kann Verschlüsselungsberatung helfen?

Wenn Sie sich fragen, wo und wie Sie Ihre Reise in die Post-Quanten -Verschlüsselung beginnen sollen , steht Ihnen Encryption Consulting zur Seite. Sie können auf uns als Ihren vertrauenswürdigen Partner zählen. Wir begleiten Sie Schritt für Schritt mit Klarheit, Kompetenz und praktischer Erfahrung.

Wir beginnen mit einer kryptografischen Ermittlung und Bestandsaufnahme , bei der wir Ihre gesamte Umgebung scannen, um Zertifikate, Schlüssel, Algorithmen und Protokolle über Endpunkte, Anwendungen, APIs und Infrastruktur hinweg zu identifizieren. Dies schafft die notwendige Grundlage für jede Migration.

Im Anschluss daran führen wir eine PQC- Bewertung durch , um Ihre Gefährdung durch Quantenbedrohungen zu beurteilen, RSA- und ECC-abhängige Systeme zu identifizieren und einen priorisierten Bericht über gefährdete Assets mit Risikoschweregradbewertungen zu erstellen.

Mit dieser Klarheit entwickeln wir eine PQC-Strategie und einen Fahrplan , einen stufenweisen Migrationsplan, der auf Ihre Risikobereitschaft, regulatorischen Anforderungen und langfristigen Sicherheitsziele abgestimmt ist, einschließlich kryptografischer Agilität, damit sich Ihre Systeme an die Weiterentwicklung der Standards anpassen können.

Anschließend unterstützen wir die Anbieterbewertung und Pilotversuche , indem wir Ihnen bei der Auswahl der richtigen Tools helfen, Machbarkeitsstudien durchführen und die Interoperabilität vor einer flächendeckenden Einführung validieren.

Schließlich übernehmen wir die vollständige Implementierung , den Einsatz hybrider klassischer und quantensicherer Modelle, die Einführung von PQC in Ihrer PKI und Infrastruktur sowie die Einrichtung eines Monitorings für die langfristige kryptografische Integrität.

CBOM Secure

Das CBOM Secure- Tool von Encryption Consulting spielt eine Schlüsselrolle bei der Vorbereitung von Unternehmen. Anstatt mit Tabellenkalkulationen, manuellen OpenSSL-Ausgaben oder verstreuten Konfigurationsdateien zu arbeiten, bietet unser CBOM-Tool einen klaren Überblick über die Kryptonutzung in verschiedenen Umgebungen. Es zeigt, welche Algorithmen verwendet werden, welche Änderungen für die Post-Quanten-Sicherheit erforderlich sind und ob die Systeme die Sicherheitsziele erfüllen. Für Unternehmen, die sich auf Vorstandssitzungen, Architekturentscheidungen oder Compliance-Planungen vorbereiten, bietet unser Tool Klarheit und Schnelligkeit.

Unser CBOM Secure ist mehr als nur ein Reporting-Tool; es beschleunigt den gesamten Prozess. Es automatisiert Krypto-Inventare, prüft TLS-Konfigurationen, validiert Algorithmen und gleicht Richtlinien ab, sodass Teams ohne Rätselraten von der Analyse zur Umsetzung übergehen können. In zukünftigen Versionen plant Encryption Consulting die Integration automatisierter Korrekturen, Cloud-nativer Lösungen und die Durchsetzung von Richtlinien, um die Einhaltung der Sicherheitsstandards jederzeit zu gewährleisten.

Jetzt ist der ideale Zeitpunkt für den Einstieg: Testen Sie PQC in einer Testumgebung, erfassen Sie Ihre aktuelle Kryptonutzung und beginnen Sie mit der Erstellung interner Richtlinien. Wenn Ihr Unternehmen quantensichere Projekte pilotieren, Feedback geben oder an der Entwicklung neuer Funktionen mitwirken möchte, kontaktieren Sie uns bei Encryption Consulting . Je früher die Teams beginnen, desto einfacher gestaltet sich die langfristige Zusammenarbeit.

Fazit

Dass NIST neun Kandidaten in der dritten Runde weiterempfohlen hat, ist kein Indiz dafür, dass das Problem der postquantenmechanischen Signatur nahezu gelöst ist. Es ist vielmehr ein Zeichen dafür, dass NIST das Portfoliorisiko ernst genug nimmt, um parallel alternative Anlagen zu prüfen, während die primären Standards noch eingeführt werden.

Die Migrationspriorität bleibt unverändert: Umstellung auf ML-DSA, FN-DSA und SLH-DSA. Nichts in dieser Pipeline ändert daran etwas. Aber entwickeln Sie mit Blick auf Kryptoflexibilität, denn wenn SQIsign sein Problem mit der Signatur in konstanter Zeit löst, die Annahmen von HAWK zutreffen oder sich die multivariate Familie stabilisiert, können Organisationen, die auf Algorithmenaustausch ausgelegt sind, problemlos kompakte Alternativen einführen. Diejenigen, die ein einzelnes Schema fest codiert haben, werden dies nicht können.

Die unmittelbare Maßnahme für Sicherheitsteams besteht nicht darin, diese Kandidaten wöchentlich zu überwachen. Wichtig ist es zu wissen, welche Signaturalgorithmen Ihre Systeme aktuell verwenden, wo sie eingesetzt werden und was für deren Ersetzung erforderlich wäre. Diese Transparenz bildet die Grundlage für jede nachfolgende Migrationsentscheidung.