Die PQC-Standardisierung ist der Prozess, in dem von NIST geleitete Normungsgremien kryptografische Algorithmen auswählten und veröffentlichten, die Quantenangriffen widerstehen. NIST führte ab 2016 eine mehrstufige Evaluierung durch, gab 2022 die ersten Gewinner bekannt und finalisierte die Standards am 13. August 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA).
Die Standardisierung der Post-Quanten-Kryptographie (PQC) dient dazu, weltweit quantenresistente Algorithmen zu vereinbaren, damit diese von verschiedenen Systemen interoperabel und sicher genutzt werden können. Unter der Leitung des NIST begann der Prozess 2016, gab 2022 die ersten ausgewählten Algorithmen bekannt und veröffentlichte am 13. August 2024 die finalen Standards: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Weitere Standards werden folgen.
Wichtige Erkenntnisse
- Standardisierung ist wichtig, weil Interoperabilität und Sicherheit davon abhängen, dass sich alle auf dieselben geprüften Algorithmen einigen.
- Das NIST begann seinen PQC-Standardisierungsprozess im Jahr 2016 und gab nach einer mehrjährigen, mehrstufigen Evaluierung im Juli 2022 die ersten ausgewählten Algorithmen bekannt.
- Die endgültigen Standards wurden am 13. August 2024 veröffentlicht: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA).
- ML-KEM (von Kyber) übernimmt den Schlüsselaustausch; ML-DSA (von Dilithium) ist der primäre Signaturstandard; SLH-DSA (von SPHINCS+) ist ein hashbasiertes Backup. FN-DSA (von Falcon) wird voraussichtlich als FIPS 206-Standard eingeführt.
- NIST IR 8547 legt den Zeitplan für die Abschaffung fest: Ältere Public-Key-Algorithmen wie RSA und ECC gelten nach 2030 als veraltet und sind nach 2035 nicht mehr zulässig.
Warum Standardisierung wichtig ist
Standardisierung ist sowohl für Interoperabilität als auch für Sicherheit unerlässlich. Damit Geräte verschiedener Hersteller und Benutzer sicher kommunizieren können, müssen sie sich auf dieselben kryptografischen Verfahren einigen. Ohne diese Übereinkunft ist eine sichere Kommunikation nicht möglich, ähnlich wie in einer Stadt, in der jeder seine eigenen Verkehrsregeln hat. Die grundlegenden Bausteine, die diese Übereinkunft benötigen, sind kryptografische Primitive wie AES , SHA, RSA und ECDSA . Da Quantencomputer einige dieser etablierten Public-Key-Standards gefährden, mussten neue, quantenresistente Verfahren ausgewählt und standardisiert werden.
Institutionen wie das NIST in den USA und das BSI in Deutschland treiben diese Arbeit voran. Sie bewerten Anwendungsfälle, die zu schützenden Daten, Fortschritte bei mathematischen Angriffen und das erwartete Wachstum der Rechenleistung und empfehlen anschließend Algorithmen, die für die nächsten 10, 15 und 20 Jahre geeignet sind. Eine zentrale Herausforderung ist die Wahl der Schlüssellänge: Größere Schlüssel erhöhen die Sicherheit, beeinträchtigen aber Leistung und Bandbreite, während kleinere Schlüssel schneller, aber weniger sicher sind. Die richtige Balance unter öffentlicher Kontrolle zu finden, ist genau das, was ein Standardisierungsprozess ermöglicht.
Der Standardisierungszeitplan
Der Weg zur standardisierten Post-Quanten-Kryptographie umfasste fast zwei Jahrzehnte Forschung und Evaluierung:
| Wenn die Funktion | Milestone |
|---|---|
| 2006 | PQCrypto 2006 in Leuven, Belgien, die erste Konferenz, die sich ausschließlich der Post-Quanten-Kryptographie widmete, da die Wissenschaft die Bedrohung durch Quantenkryptographie erkannte. |
| Februar 2016 | Dustin Moody vom NIST präsentiert „Post-Quanten-Kryptographie: Der Plan des NIST für die Zukunft“ und erläutert den Standardisierungsprozess. |
| Dezember 2016 | Das NIST veröffentlicht eine offizielle Aufforderung zur Einreichung von Vorschlägen für quantenresistente Public-Key-Verschlüsselung, KEMs und digitale Signaturen. |
| 2017 | 69 Einsendungen gelten als vollständig und ordnungsgemäß und werden nun bewertet. |
| Juli 2022 | Nach fast sechs Jahren und mehreren Auswahlrunden gibt das NIST seine ersten ausgewählten Algorithmen bekannt (Kyber, Dilithium, Falcon, SPHINCS+). |
| August 2023 | Das NIST veröffentlicht erste öffentliche Entwürfe (IPD) der drei Hauptstandards zur Rückmeldung. |
| 13. August 2024 | Das NIST veröffentlicht die finalisierten Standards: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA). |
Die endgültigen Standards
Die finalen Algorithmen wurden aufgrund ihrer hohen Sicherheit, überschaubaren Schlüssellängen und ihrer langfristigen Stabilität ausgewählt. Ihre ursprünglichen Wettbewerbsnamen wurden im Zuge der Standardisierung aktualisiert.
| Standard | Name (von) | Typ | Zweck |
|---|---|---|---|
| FIPS203 | ML-KEM (KRISTALLE-Kyber) | Gitterbasiert | Schlüsselkapselung / Schlüsselaustausch |
| FIPS204 | ML-DSA (KRISTALLE-Dilithium) | Gitterbasiert | Digitale Signaturen (primär) |
| FIPS205 | SLH-DSA (SPHINCS+) | Hash-basiert | Digitale Signaturen (Backup) |
| FIPS 206 (ausstehend) | FN-DSA (Falcon) | Gitterbasiert | Kompakte digitale Signaturen |
FIPS 203: ML-KEM (von CRYSTALS-Kyber)
ML-KEM (Module-Lattice Key Encapsulation Mechanism) sichert den Austausch geheimer Schlüssel. Es bietet drei Parametersätze: ML-KEM-512, ML-KEM-768 und ML-KEM-1024. Diese bieten einen Kompromiss zwischen Sicherheit und Schlüssel- bzw. Chiffretextgröße: 512 dient als Basiswert, 768 bietet stärkeren Schutz für sensible Anwendungen und 1024 ist auf höchste Sicherheitsanforderungen und langfristige Nutzung ausgelegt. ML-KEM wird voraussichtlich eine wichtige Rolle in TLS, VPNs und verschlüsselten Messaging-Diensten spielen.
FIPS 204: ML-DSA (von CRYSTALS-Dilithium)
ML-DSA (Module-Lattice Digital Signature Algorithm) ist der wichtigste Post-Quanten-Signaturstandard und Nachfolger von RSA und ECDSA für Identitätsprüfung und Datenintegrität. Sein relativ einfacher Aufbau ermöglicht eine sichere Implementierung und eignet sich hervorragend für digitale Zertifikate, Softwaresignaturen, sichere E-Mails und Authentifizierung.
FIPS 205: SLH-DSA (von SPHINCS+)
SLH-DSA (Stateless Hash-Based Digital Signature Algorithm) erzeugt Signaturen, deren Sicherheit ausschließlich auf Hash-Funktionen beruht. Dadurch stellt es eine konservative, mathematisch eigenständige Alternative zu gitterbasierten Verfahren dar. Durch die Zustandslosigkeit entfallen die Betriebsrisiken der Nachverfolgung des Signaturzustands. Im Gegenzug für diese hohe Sicherheit wird eine gewisse Performance und Signaturgröße in Kauf genommen, was SLH-DSA attraktiv für Firmware-Updates, Blockchain und den langfristigen Einsatz in kritischen Infrastrukturen macht.
Ein vierter Algorithmus, FN-DSA (von Falcon), wird voraussichtlich als FIPS 206 folgen. Falcon zeichnet sich durch seine sehr kompakten Signaturen und öffentlichen Schlüssel aus, was insbesondere bei geringer Bandbreite von Vorteil ist, obwohl seine Implementierung komplexer ist. Stand 2026 befindet er sich noch im Entwurfsstadium.
Algorithmenveraltung: Der NIST IR 8547-Zeitplan
Die Standardisierung der neuen Algorithmen ist nur die halbe Miete; die alten müssen ausgemustert werden. Der Entwurf des NIST-Berichts IR 8547 skizziert einen stufenweisen Übergang und listet die veralteten Public-Key-Algorithmen auf, die zunächst als veraltet gelten und dann nicht mehr zulässig sein sollen. Die wichtigsten Daten lauten:
| Algorithmenfamilie | Sicherheitsstärke | Übergang |
|---|---|---|
| RSA (Signaturen und Schlüsselaustausch) | 112-bit | Nach 2030 als veraltet eingestuft, nach 2035 nicht mehr zulässig. |
| 128 Bit und höher | Nach 2035 nicht mehr zulässig | |
| ECDSA / EdDSA | 112 bis 128 Bit und höher | Nach 2030 veraltet (112-Bit); nach 2035 nicht mehr zulässig. |
| DH / MQV für endliche Körper und elliptische Kurven | 112-bit | Nach 2030 als veraltet eingestuft, nach 2035 nicht mehr zulässig. |
| 128 Bit und höher | Nach 2035 nicht mehr zulässig |
Symmetrische Algorithmen werden ganz anders behandelt: AES-128, AES-192 und AES-256 bleiben weiterhin zugelassen (Sicherheitskategorien 1, 3 und 5), da symmetrische Kryptographie nur geringfügig von Quantenangriffen betroffen ist. Die klare Botschaft von IR 8547 lautet, dass die Public-Key-Kryptographie auf ML-KEM und ML-DSA umgestellt werden muss. Das NIST empfiehlt daher die frühzeitige Einführung im Hybridmodus (Kombination eines Post-Quanten-Algorithmus mit einem klassischen Algorithmus), um einen reibungslosen und sicheren Übergang in eine quantensichere Zukunft bis 2035 zu gewährleisten.
Wie Verschlüsselungsberatung hilft
Das Verständnis der Standards ist der erste Schritt; ihre Anwendung in der Praxis die eigentliche Herausforderung. Die PQC-Beratungsdienste von Encryption Consulting bieten Ihnen eine von Experten geleitete kryptografische Bewertung, eine Migrationsstrategie, die auf die finalisierten NIST-Standards (ML-KEM, ML-DSA, SLH-DSA) und den Zeitplan von IR 8547 abgestimmt ist, sowie praktische Implementierungsunterstützung, einschließlich hybrider Bereitstellungen. In Kombination mit kryptografischer Erkennung und Inventarisierung ( CBOM ) helfen wir Ihnen, veraltete Algorithmen zu identifizieren und termingerecht auf quantensichere Kryptografie umzusteigen. Unsere Leistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.
Häufig gestellte Fragen
Was ist PQC-Standardisierung?
Die PQC-Standardisierung ist der Prozess, in dem Normungsorganisationen unter der Leitung des NIST kryptografische Algorithmen bewerten, auswählen und veröffentlichen, die Angriffen von Quantencomputern widerstehen. Die Standardisierung gewährleistet, dass verschiedene Systeme und Hersteller dieselben geprüften Algorithmen verwenden, was sowohl für Interoperabilität als auch für Sicherheit unerlässlich ist. Der Prozess des NIST begann 2016, gab die ersten ausgewählten Algorithmen im Juli 2022 bekannt und veröffentlichte am 13. August 2024 die finalen Standards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA).
Wann hat das NIST die Standards für Post-Quanten-Kryptographie finalisiert?
Das NIST veröffentlichte am 13. August 2024 die ersten finalisierten Post-Quanten-Kryptographiestandards. Dies sind FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Zuvor waren im Juli 2022 die besten Algorithmen ausgewählt und im August 2023 erste öffentliche Entwürfe veröffentlicht worden. Der Prozess selbst begann 2016 mit einer Ausschreibung und umfasste mehrere öffentliche Bewertungsrunden über mehrere Jahre. Ein vierter Algorithmus, FN-DSA (Falcon), wird voraussichtlich als FIPS 206 folgen.
Was sind FIPS 203, 204 und 205?
Es handelt sich um die finalisierten Post-Quanten-Kryptographiestandards des NIST. FIPS 203 ist ML-KEM (von CRYSTALS-Kyber), ein gitterbasiertes Schlüsselkapselungsverfahren für den Schlüsselaustausch. FIPS 204 ist ML-DSA (von CRYSTALS-Dilithium), ein gitterbasierter Algorithmus und der primäre Standard für digitale Signaturen. FIPS 205 ist SLH-DSA (von SPHINCS+), ein hashbasiertes Signaturverfahren, das als konservatives Backup dient. ML-KEM bietet drei Parametersätze (512, 768, 1024), die ein ausgewogenes Verhältnis zwischen Sicherheit und Größe gewährleisten. Ein vierter Standard, FN-DSA (von Falcon), wird voraussichtlich als FIPS 206 veröffentlicht.
Warum hat die Standardisierung von PQC so lange gedauert?
Die Standardisierung kryptografischer Verfahren verläuft bewusst langsam, da die Folgen enorm sind: Ein Algorithmus, der sich nach weltweiter Einführung als schwach erweist, hätte katastrophale Konsequenzen. Das NIST führte ab 2016 einen mehrstufigen, mehrjährigen Prozess mit öffentlicher Analyse durch, in dem viele Kandidaten geknackt oder verworfen wurden – genau die Art von Prüfung, die Vertrauen schafft. Die Balance zwischen Sicherheit, Leistung und Schlüssellänge erhöhte die Komplexität zusätzlich. Das Ergebnis, das im August 2024 finalisiert wurde, ist eine Reihe von Algorithmen, die jahrelanger Expertenprüfung standgehalten haben, bevor sie für den weltweiten Einsatz empfohlen wurden.
Wann werden veraltete Algorithmen wie RSA als veraltet eingestuft?
Laut dem Entwurf IR 8547 des NIST ist die Abschaffung älterer Public-Key-Algorithmen stufenweise vorgesehen: RSA, ECDSA und Diffie-Hellman-Varianten mit 112-Bit-Verschlüsselungsstärke gelten nach 2030 als veraltet und sind nach 2035 nicht mehr zulässig. Ziel ist es, den Übergang zur Post-Quanten-Kryptographie bis 2035 abzuschließen. Symmetrische Algorithmen wie AES-128, AES-192 und AES-256 bleiben weiterhin zugelassen, da symmetrische Kryptographie nur geringfügig von Quantencomputern betroffen ist. Unternehmen sollten jetzt mit der Migration ihrer Public-Key-Kryptographie zu ML-KEM und ML-DSA beginnen.
Was versteht man unter dem Hybridmodus bei der PQC-Einführung?
Der Hybridmodus bedeutet die Verwendung eines Post-Quanten-Algorithmus zusammen mit einem klassischen Algorithmus (beispielsweise die Kombination von ML-KEM mit einem bestehenden elliptischen Kurven-Schlüsselaustauschverfahren), sodass die Verbindung auch dann sicher bleibt, wenn einer der beiden Algorithmen während der Übergangsphase unerwartete Schwächen aufweist. Das NIST empfiehlt diesen Ansatz für eine frühzeitige Anwendung, da er ein Sicherheitsnetz bietet, während die neuen Algorithmen in der Praxis an Reife gewinnen. Er ermöglicht es Unternehmen, bereits jetzt Quantenresistenz zu erlangen, ohne alles auf einen einzigen neuen Algorithmus zu setzen, und erleichtert so eine reibungslose und sichere Migration.
Bereiten Sie sich auf das standardisierte Post-Quantenzeitalter vor
Die Standards sind finalisiert und die Frist für die Abschaffung läuft. Nutzen Sie die PQC-Beratungsdienste von Encryption Consulting , um Ihre Kryptografie zu bewerten und einen Migrationsplan zu erstellen, der auf die finalisierten NIST-Standards und den Zeitplan von IR 8547 abgestimmt ist.