Quantencomputer sind längst nicht mehr nur ein Forschungsthema. Regierungen und Unternehmen legen nun konkrete Migrationszeitpläne für ihre Kryptografie fest. Angesichts dieser Entwicklung wollen Sicherheitsteams eine klare Antwort darauf, ob SHA-256 auch dann noch sicher ist, wenn Quantencomputer leistungsstark genug sind, um relevant zu werden.
Hier die Kurzfassung: SHA-256 ist eine kryptografische Hash-Funktion und gilt derzeit als sicher gegenüber Quantencomputern. Der bekannteste Quantenangriff reduziert die Sicherheit lediglich von 256 Bit auf 128 Bit, was immer noch weit über dem liegt, was ein Quantencomputer realistischerweise knacken kann.
Diese Frage ist wichtig, weil SHA-256 allgegenwärtig ist. Es schützt TLS-Zertifikate, Codesignaturen, Blockchain-Transaktionen, Passwort-Hashing und digitale Signaturen. Wäre es anfällig für Quantenangriffe, müssten die meisten modernen Sicherheitssysteme dringend überarbeitet werden. Die gute Nachricht ist komplexer als ein einfaches Ja oder Nein und beginnt mit dem Verständnis der Funktionsweise von SHA-256.
So funktioniert SHA-256
SHA-256 verarbeitet beliebige Eingaben, von einzelnen Wörtern bis hin zu ganzen Dateien, und liefert stets einen festen 256-Bit-Wert, den sogenannten Hash oder Digest. Der von NIST gemäß FIPS 180-4 standardisierte Algorithmus zerlegt die Eingabe in 512-Bit-Blöcke und führt für jeden Block bitweise Operationen und modulare Addition durch.
Stellen Sie sich einen Hashwert wie ein Wachssiegel auf einem Brief vor. Ändert sich auch nur ein einziges Wort im Brief, bricht das Siegel, und Sie wissen, dass etwas anders ist. SHA-256 funktioniert genauso. Ein einziges geändertes Zeichen erzeugt einen völlig anderen Hashwert – ein Phänomen, das als Lawineneffekt bekannt ist. Außerdem lässt sich der ursprüngliche Eingabewert nicht ohne Weiteres vom Hashwert zurückverfolgen.
Diese Eigenschaften erklären, warum SHA-256 in so vielen Systemen, denen Sie bereits vertrauen, zum Einsatz kommt. Es wird für TLS-Zertifikat-Fingerabdrücke verwendet, für Git-Commits zur Nachverfolgung von Änderungen und für Passwort-Speichersysteme. Softwareanbieter nutzen es, um die Unversehrtheit heruntergeladener Dateien zu überprüfen. Sobald Sie die Funktionsweise dieses Hashing-Prozesses verstanden haben, liegt es nahe, zu untersuchen, ob ein Quantencomputer ihn knacken kann.
Shors Algorithmus vs. Grovers Algorithmus
Quantencomputer stellen durch zwei verschiedene Algorithmen eine Bedrohung für die Kryptographie dar, und der häufigste Fehler in dieser Diskussion ist deren Verwechslung. Shors Algorithmus löst die mathematischen Probleme der Public-Key-Kryptographie, wie beispielsweise die Faktorisierung großer Zahlen. Er bedroht direkt RSA, Diffie-Hellman und die elliptische Kurvenkryptographie (ECC). Ein ausreichend leistungsstarker Quantencomputer, der Shors Algorithmus ausführt, könnte diese Systeme vollständig knacken.
Grovers Algorithmus funktioniert anders. Er beschleunigt die Brute-Force-Suche, ohne die zugrundeliegende Mathematik zu verändern. Dieser Algorithmus wird für symmetrische Verschlüsselungsverfahren wie AES und Hashfunktionen wie SHA-256 verwendet. Shors Algorithmus hingegen bricht die mathematischen Grundlagen vollständig. Grovers Algorithmus bietet lediglich eine Geschwindigkeitssteigerung, und diese ist recht begrenzt. Genau dieser Unterschied ist der Grund, warum SHA-256 deutlich sicherer ist als RSA oder ECC. Es ist jedoch hilfreich, die konkreten Zahlen hinter dieser Aussage zu betrachten.
Grovers Algorithmus und SHA-256
Ein klassischer Brute-Force-Angriff auf SHA-256 benötigt etwa 2<sup>256</sup> Versuche, um eine passende Eingabe zu finden. Grovers Algorithmus bietet eine quadratische Beschleunigung für diese Art von Suche und halbiert die effektive Sicherheit annähernd. Bei SHA-256 sinkt die Preimage-Resistenz gegenüber einem Quantenangreifer von 256 Bit auf etwa 128 Bit.
Das klingt nach einem deutlichen Rückschritt, und technisch gesehen ist es das auch. Doch 2 hoch 128 ist immer noch eine enorme Zahl, weit jenseits dessen, was ein Quantencomputer realistischerweise leisten kann. Die meisten glaubwürdigen Schätzungen gehen davon aus, dass ein Quantencomputer, der 2048-Bit-RSA knacken kann, zwischen 2030 und 2035 entwickelt sein wird, und selbst diese Maschine könnte die Sicherheit von 128-Bit-Hashes nicht annähernd gefährden.
Grovers Algorithmus benötigt zudem einen vollständig fehlerkorrigierten Quantencomputer, der lange, ununterbrochene Operationssequenzen ausführen kann. Heutige Quantencomputer sind noch fehleranfällig und weit von dieser Zuverlässigkeit entfernt. Daher gilt SHA-256 heute als quantensicher und wird voraussichtlich auch in Zukunft so bleiben. Allerdings ist die heutige Quantensicherheit an einige Bedingungen geknüpft, die es zu verstehen gilt.
Quantensicher unter bestimmten Bedingungen
Die Aussage, SHA-256 sei quantensicher, ist korrekt, unterliegt aber bestimmten Bedingungen. Es ist sicher gegen die aktuell bekannten Quantenalgorithmen, jedoch nicht gegen noch unbekannte. Die NIST- Richtlinie SP 800-131A legt bereits Auslaufdaten für schwächere Schlüssellängen fest und gibt damit einen Ausblick darauf, wie RSA und ECC nach dem Ende der Quantentechnologie abgelöst werden.
SHA-256 selbst ist sicher, die darauf aufbauenden Systeme jedoch nicht immer. Digitale Signaturen kombinieren üblicherweise eine Hash-Funktion mit einem Public-Key-Algorithmus wie RSA oder ECC. Daher kann der Hash selbst sicher sein, während das zugehörige Signaturverfahren unsicher ist. Hinzu kommt das Risiko des sogenannten „Harvesting now, decrypt later“. Angreifer sammeln verschlüsselte oder signierte Daten und warten auf leistungsfähigere Quantenhardware, um sie später anzugreifen. Das bedeutet, dass langlebige Daten bereits jetzt gefährdet sind, obwohl der passende Quantencomputer noch nicht existiert. Dieses Risiko liegt fast ausschließlich bei den Public-Key-Algorithmen, die mit SHA-256 verwendet werden, und nicht beim Hash selbst.
Das eigentliche Risiko: RSA und ECC
Die meisten Diskussionen über Quantenrisiken sollten sich auf Public-Key-Kryptographie konzentrieren, nicht auf Hash-Funktionen. RSA und ECC schützen TLS-Handshakes, Codesignaturschlüssel, VPN-Tunnel und Zertifikatsketten in nahezu jedem Unternehmensnetzwerk. Genau diese Algorithmen gefährdet Shors Algorithmus durch einen vollständigen Zusammenbruch.
Aus diesem Grund konzentrierte sich das Post-Quanten-Kryptographie-Projekt des NIST auf neue Public-Key-Algorithmen. Im August 2024 finalisierte das NIST drei Standards: FIPS 203 für ML-KEM, FIPS 204 für ML-DSA und FIPS 205 für SLH-DSA. Das NIST musste SHA-256 in diesem Zusammenhang nicht ersetzen, da Hash-Funktionen nie im Vordergrund standen.
Die Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) der NSA legt einen praktischen Zeitplan fest, an den sich viele Unternehmen – auch außerhalb nationaler Sicherheitssysteme – halten. Sie empfiehlt Organisationen, ab etwa 2025 Post-Quanten-Algorithmen zu bevorzugen; die vollständige Migration ist je nach Systemtyp zwischen 2030 und 2033 erforderlich. Wenn Sie PQC-fähige HSMs oder Bibliotheken evaluieren, prüfen Sie auch deren FIPS-140-3-Validierungsstatus, da die Unterstützung von Algorithmen allein keine vollständige Validierung eines Moduls garantiert. Angesichts des Zeitplans und der realen Risikobereiche besteht der nächste Schritt darin, daraus einen praktischen Aktionsplan zu entwickeln.
Maßnahmen zur Verbesserung der Sicherheit
- Verwenden Sie für neue Systeme weiterhin SHA-256 oder SHA-384 und geben Sie SHA-1 und MD5 vollständig auf, da diese bereits durch klassische Angriffe geknackt wurden.
- Erstellen Sie ein vollständiges kryptografisches Inventar für Ihre gesamte Umgebung, das Hash-Funktionen, Schlüssellängen und Signaturalgorithmen in jeder Anwendung, Bibliothek und jedem Gerät umfasst.
- Setzen Sie auf Krypto-Agilität. Wählen Sie Bibliotheken, HSMs und Protokolle, die es Ihnen ermöglichen, Algorithmen auszutauschen, ohne den Anwendungscode neu schreiben zu müssen, insbesondere für Ihre Public-Key-Schicht.
- Achten Sie auf hybride Signaturverfahren, die klassische Algorithmen wie ECDSA mit Post-Quanten-Algorithmen wie ML-DSA kombinieren, da viele Zertifizierungsstellen diese bereits erproben.
- Langlebige Daten und Signaturen sollten einer genaueren Überprüfung unterzogen werden, da alles, was zehn Jahre oder länger vertraulich oder überprüfbar bleiben muss, einer erneuten Prüfung seines gesamten kryptografischen Aufbaus bedarf.
Ein häufiger Fehler besteht darin, eine quantensichere Hash-Funktion als Beweis für die Quantensicherheit eines gesamten Systems zu betrachten. Ein signiertes Dokument oder eine TLS-Verbindung ist nur so sicher wie ihr schwächster Algorithmus, und das ist in der Regel der öffentliche Schlüssel, nicht der Hash. Ein weiterer häufiger Fehler ist die Verwechslung von Shors und Grovers Algorithmus in internen Risikoberichten. Dies führt dazu, dass Teams entweder unnötigerweise in Panik geraten, was SHA-256 betrifft, oder das tatsächliche Risiko für RSA und ECC unterschätzen. Mit der richtigen Beratung im Rahmen Ihres Migrationsplans lassen sich diese Fallstricke deutlich leichter vermeiden.
Wie Verschlüsselungsberatung helfen kann
Den meisten Organisationen ist bewusst, dass sie sich auf die Bedrohung durch Quantenverschlüsselung vorbereiten müssen. Die größere Herausforderung besteht darin, den richtigen Einstieg zu finden, Prioritäten zu setzen und einen Migrationsplan zu entwickeln, der den regulatorischen Anforderungen standhält. Die PQC-Beratungsdienste von Encryption Consulting sind genau darauf ausgerichtet, diese Fragen zu beantworten.
Durch kryptografische Erkennung, gezielte Risikominderung und NIST-konforme Planung hilft Ihnen unser Team beim Aufbau einer quantenresistenten, revisionssicheren Infrastruktur, ohne dass Sie alles intern herausfinden müssen.
Folgendes umfasst die Verpflichtung:
Kryptografische Ermittlung und Inventarisierung: Wir erfassen alle kryptografischen Ressourcen in Ihrer Umgebung, einschließlich Zertifikate, Verschlüsselungsbibliotheken, TLS-Konfigurationen, Schlüsselverwaltungssysteme und Integrationen von Drittanbietern. Dies ist die Grundlage jeder Post-Quanten-Migration und ein Schritt, der von den meisten Unternehmen unterschätzt wird.
Risikobewertung und Priorisierung: Nicht alle Systeme sind gleich stark gefährdet. Wir bewerten Ihre Umgebung anhand der Datensensibilität und -speicherdauer und helfen Ihnen, sich zunächst auf die Bereiche zu konzentrieren, in denen die Bedrohung „Jetzt sammeln, später entschlüsseln“ am relevantesten ist.
NIST-konformer Migrationsfahrplan: Wir erstellen einen strukturierten Migrationsplan, der auf die NIST PQC-Standards, einschließlich ML-KEM und ML-DSA, abgestimmt ist und klare Meilensteine und eine Abfolge enthält, die zum Zeitplan und den Compliance-Verpflichtungen Ihrer Organisation passen.
Implementierung hybrider Kryptographie: Während der Übergangsphase unterstützen wir Sie bei der Implementierung hybrider kryptographischer Ansätze, die die Kompatibilität mit bestehenden Systemen gewährleisten und gleichzeitig quantenresistente Algorithmen einführen.
Ermöglichung kryptografischer Agilität: Wir konzipieren Ihre Systeme so, dass Algorithmen aktualisiert werden können, ohne dass alles von Grund auf neu aufgebaut werden muss. Dies bietet Ihnen Flexibilität, während sich die postquantenmechanische Landschaft weiterentwickelt.
Das Zeitfenster für entspannte Vorbereitung schließt sich. Wer jetzt anfängt, kann planen. Wer später anfängt, gerät in Hektik.
Fazit
SHA-256 ist auch heute noch quantensicher und wird es voraussichtlich auch lange bleiben. Grovers Algorithmus halbiert die effektive Sicherheit lediglich auf 128 Bit, was immer noch weit über dem liegt, was ein realistischer Quantencomputer angreifen kann. Das eigentliche Quantenrisiko besteht bei RSA und ECC, wo Shors Algorithmus einen vollständigen Zusammenbruch und nicht nur eine teilweise Schwächung droht.
Für Sicherheitsteams ist es am klügsten, nicht in Panik zu geraten, wenn es um SHA-256 geht. Vielmehr sollten sie ein übersichtliches kryptografisches Inventar erstellen, Public-Key-Algorithmen für die Migration nach der Quantencomputer-Ära priorisieren und Systeme von Anfang an auf Kryptoagilität ausrichten. Wenn Sie den aktuellen Stand Ihrer Organisation in Bezug auf die Post-Quantencomputer-Bereitschaft bewerten möchten, unterstützt Sie unser Team von Encryption Consulting gerne bei der Planung der nächsten Schritte.
