Die PQC-Migration beginnt mit einer Bewertung, nicht mit einem Algorithmus.

Als das NIST seine ersten Post-Quanten-Kryptographiestandards finalisierte , erhielten viele Organisationen eine einfache Anweisung: RSA- und Elliptische-Kurven-Kryptographie sollten durch die neuen quantenresistenten Algorithmen ersetzt werden. Diese Darstellung wirkt verlockend, da sie wie eine Beschaffungsentscheidung mit einem klar definierten Ziel klingt. Sie ist jedoch falsch oder zumindest gefährlich unvollständig. Man kann nicht ersetzen, was man nicht findet, und die meisten Unternehmen wissen nicht, wo, wie und warum sie Kryptographie in ihren Systemen einsetzen.

Dieser Artikel argumentiert, dass die Migration nach der Quantencomputertechnologie (PQC) mit einer Bewertung und nicht mit einem Algorithmus beginnt. Die Standards sind wichtig, die Fristen sind real, und die Bedrohung durch das Sammeln und spätere Entschlüsseln von Daten ist bereits im Gange. Der erste konkrete Schritt, den jede seriöse Instanz empfiehlt, ist jedoch derselbe: Erstellen Sie ein kryptografisches Inventar und bewerten Sie Ihre Gefährdungslage. Wir erläutern, warum der Zeitplan dringlich geworden ist, was der Ansatz der ersten Bewertung beinhaltet, welche Risiken ein Überspringen dieses Schrittes birgt und wie eine Migration strukturiert werden kann, die auf Fakten und nicht auf einem Algorithmusnamen basiert.

Warum das jetzt wichtig ist

Drei Faktoren haben die Migration nach der Quantentechnologie von einem Forschungsthema zu einem kurzfristig umsetzbaren Programm gemacht: Die Standards sind finalisiert, die Abschaffungsfristen haben nun politische Bedeutung, und die Gefahr, sensible Daten vorschnell zu sammeln und zu entschlüsseln, bedeutet, dass diese bereits offengelegt sind. Zusammengenommen machen sie den Zeitplan konkret statt hypothetisch.

Die Standards sind endgültig.

Die Wartezeit ist vorbei. Am 13. August 2024 veröffentlichte das NIST die finalen Versionen seiner ersten drei Post-Quanten-Standards: FIPS 203 , FIPS 204 und FIPS 205. FIPS 203 spezifiziert ML-KEM , einen Modulgitter-Schlüsselkapselungsmechanismus, der von CRYSTALS-Kyber abgeleitet ist und als primärer Standard für allgemeine Verschlüsselung vorgesehen ist. FIPS 204 spezifiziert ML-DSA für digitale Signaturen, abgeleitet von CRYSTALS-Dilithium, und FIPS 205 spezifiziert das zustandslose Hash-basierte Signaturverfahren SLH-DSA, abgeleitet von SPHINCS+.

Sie traten am 14. August 2024 in Kraft. Die Algorithmen sind nicht länger Gegenstand der Forschung, sondern veröffentlichungsfähige und validierbare Standards. Die Marktakzeptanz ist uneinheitlich: ML-KEM für die Schlüsselerzeugung ist bereits in den wichtigsten Cloud-Plattformen und Browsern verfügbar, während die Unterstützung für ML-DSA-Signaturen hinterherhinkt. Dies führt zu einer unvollständigen Migration, in der Daten während der Übertragung zwar dem Abfangen und späteren Entschlüsseln widerstehen, die Authentifizierung aber weiterhin auf klassischen RSA- und ECC-Verfahren basiert.

Die Fristen haben nun Konsequenzen.

Die Standards wurden mit einem Zeitplan versehen. Im November 2024 veröffentlichte das NIST den ersten öffentlichen Entwurf von NISTIR 8547, „Übergang zu Post-Quanten-Kryptographiestandards“. Dieser Entwurf legt fest, wie quantenanfällige Algorithmen außer Betrieb genommen werden. Demnach sollen klassische Public-Key-Algorithmen mit 112 Bit Sicherheit, wie beispielsweise RSA-2048 , nach 2030 als veraltet gelten und nach 2035 nicht mehr zulässig sein. Ziel ist es, die gesamte quantenanfällige Public-Key-Kryptographie bis 2035 schrittweise abzuschaffen. Für nationale Sicherheitssysteme ist der Zeitplan noch ambitionierter: Die CNSA 2.0- Suite der NSA sieht 2030 als verbindliches Migrationsziel für diese Umgebungen vor.

Die Richtlinien haben den technischen Zeitplan untermauert. Mit der im Juni 2025 erlassenen Executive Order 14306 wurde die CISA angewiesen, eine Liste von Produktkategorien zu veröffentlichen, für die PQC-fähige Produkte weit verbreitet sind. Die CISA veröffentlichte diese Liste im Januar 2026, um Behörden bei der Beschaffung von PQC-fähigen Produkten zu unterstützen. Die Richtung für den gesamten Markt ist eindeutig.

Jetzt ernten, später entschlüsseln bedeutet, dass die Uhr bereits gelaufen ist.

Der wichtigste Grund, nicht zu warten, ist, dass Angreifer es nicht müssen. Gemäß der Bedrohungsstrategie „Erbeuten und Entschlüsseln – später“ erfassen Angreifer bereits heute verschlüsselte Daten und entschlüsseln sie, sobald ein kryptografisch geeigneter Quantencomputer verfügbar ist. Langlebige sensible Daten wie regulierte Gesundheitsdaten, Finanzhistorien und mehrjährige Verträge, die heute mit RSA oder ECC verschlüsselt sind, sind bereits jetzt von einer zukünftigen Entschlüsselung bedroht . Für alle Daten, deren Vertraulichkeit auch nach der Einführung von Quantencomputern erhalten bleiben muss, ist die Migration kein Zukunftsprojekt, sondern eine Entscheidung über die aktuelle Datensicherheit.

Warum die Beurteilung an erster Stelle steht

Bevor man sich für Algorithmen entscheidet, ist es hilfreich zu verstehen, warum jede seriöse Roadmap die Entdeckungsphase in den Vordergrund stellt. Die Migration nach der Quantencomputer-Ära ist ein umfassendes Ersatzprogramm und keine bloße Behebung von Problemen. Die maßgebliche Empfehlung lautet einhellig, dass sie mit einer kryptografischen Bestandsaufnahme beginnt, die zunehmend in einer strukturierten kryptografischen Stückliste erfasst wird. Die folgenden Abschnitte behandeln jeden dieser Punkte einzeln.

Migration ist ein komplettes Austauschprogramm, keine Behebung des Problems.

Der Umfang der PQC-Migration unterscheidet sich deutlich von früheren kryptografischen Umstellungen. Jeder verwendete asymmetrische Algorithmus muss letztendlich ersetzt werden, und die neuen Algorithmen sind keine direkten Alternativen. PQC-Schlüssel, -Signaturen und -Handshake-Nachrichten sind im Allgemeinen umfangreicher als ihre RSA- oder ECC- Äquivalente, was sich auf Zertifikatsketten, Bandbreite, Latenz und HSM-Kapazität auswirkt.

Konkret umfasst eine ML-DSA-65-Signatur etwa 3.3 KB und ein ML-KEM-768-Schlüssel etwa 1.2 KB, verglichen mit einer 64 Byte großen ECDSA -P-256-Signatur und einem 256 Byte großen RSA-2048-Schlüssel. Der Overhead summiert sich daher bei großen Zertifikatsbeständen. Das NIST selbst weist darauf hin, dass frühere Übergänge, wie beispielsweise die Abkehr von SHA-1, Jahre und in manchen Fällen sogar mehr als ein Jahrzehnt dauerten und dass der PQC-Übergang umfangreicher ist, da alle kryptografischen Algorithmen einbezogen werden. Ein Programm dieser Größenordnung kann nicht mit der Algorithmusauswahl beginnen; es muss zunächst den vorhandenen Algorithmus kennen.

Jeder maßgebliche Fahrplan beginnt mit einer Bestandsaufnahme.

Dies ist keine Auslegungsfrage. Die gemeinsame Leitlinie von CISA, NSA und NIST zur Quantenbereitschaft stellt klar, dass die Erstellung eines Fahrplans zur Quantenbereitschaft und die Anfertigung eines kryptografischen Inventars es einer Organisation ermöglichen, mit der Quantenrisikobewertung zu beginnen und Einblick in die Abhängigkeiten von Anwendungen und Funktionen von Public-Key-Kryptografie zu gewinnen. Das Migrationsprojekt des NIST NCCoE ist analog aufgebaut: Der erste Arbeitsschritt befasst sich mit der kryptografischen Analyse und konzentriert sich darauf, mithilfe von Inventarisierungstools zu ermitteln, wo und wie Kryptografie zum Schutz von Daten und Systemen eingesetzt wird.

Das Bundesmandat folgt derselben Logik. Das OMB-Memorandum M-23-02 wies die Behörden an, im Rahmen des Übergangs ihre kryptografischen Systeme zu inventarisieren, und NISTIR 8547 bekräftigt, dass das Verständnis der aktuellen kryptografischen Nutzung durch eine Inventarisierung unerlässlich ist, bevor Aktualisierungen priorisiert werden. Vereinfacht gesagt: Die empfohlene Vorgehensweise ist überall: erfassen, bewerten, priorisieren und migrieren.

Warum Entdeckungen wirklich schwierig sind

Kryptografie lässt sich nicht einfach katalogisieren. Sie ist im Anwendungscode verborgen, in Bibliotheken eingebettet, wird zur Laufzeit in Protokollsitzungen ausgehandelt, in Bereitstellungsdateien konfiguriert und in Hardware integriert. Ein kryptografisches Asset kann ein Algorithmus mit einer bestimmten Schlüssellänge und einem bestimmten Modus, ein Schlüssel oder ein Zertifikat, ein Protokoll wie TLS oder SSH oder die zugehörige Bibliothek sein. Um diese Vielfalt zu erfassen, benötigt man Werkzeuge, die Quellcode, Binärdateien, Container, Netzwerkdienste und Cloud-Konfigurationen scannen können – keine einmalige Befragung. Genau deshalb ist die Bewertung der schwierigste und die Algorithmusauswahl der einfachste Teil. Der größte Aufwand des Programms entfällt auf die Ermittlung, nicht auf die Algorithmusauswahl.

Materialliste für Kryptographie

Der sich abzeichnende Standard zur Darstellung dieses Inventars ist die Cryptography Bill of Materials ( CBOM) . Eine CBOM ist für die Kryptografie das, was eine Software-Bill of Materials für Softwarekomponenten ist: ein strukturiertes, maschinenlesbares Verzeichnis aller kryptografischen Assets und ihrer Beziehungen. Das Konzept wurde vom OWASP-Projekt CycloneDX als Erweiterung des SBOM-Standards vorangetrieben, und die native kryptografische Unterstützung wurde mit CycloneDX 1.6 eingeführt, das nun als ECMA-424-Standard veröffentlicht ist. Da eine CBOM ein CycloneDX-Dokument ist, lässt sie sich nahtlos in die Tools und Pipelines integrieren, die bereits SBOMs verarbeiten.

Ein CBOM erfasst typischerweise vier Kategorien von Assets: Algorithmen mit Schlüssellänge, Modus und Kurve; Schlüssel und Zertifikate mit Länge, Format und Speicherort; Protokolle wie TLS und SSH; sowie die Bibliotheken oder Anbieter, die diese implementieren. CycloneDX unterscheidet zwischen Bibliotheken, die einen Algorithmus implementieren, und Anwendungen, die ihn verwenden. Dadurch kann ein Sicherheitsteam die tatsächliche Gefährdung und nicht nur die bloße Präsenz bewerten. Agile Kryptografie erfordert ein Verständnis der verwendeten Kryptografie, was ein Kryptoinventar voraussetzt, das Speicherort und zugehörige Schwachstellen erfasst. Das CBOM ist das Ergebnis der Bewertung und die Grundlage für die weitere Migration.

Risiken des Auslassens der Bewertung

Wenn PQC als bloßer Algorithmenaustausch und nicht als bewertungsorientiertes Programm behandelt wird, sind vorhersehbare Fehler vorprogrammiert.

Risiko des algorithmischen Denkens	Was ist loss	Folge
Blinde Flecken bleiben	Die Kryptographie in Bibliotheken, Protokollen und Hardware wird vernachlässigt.	Quantenanfällige Systeme überstehen die Migration unbemerkt.
Fehlgeleitete Anstrengungen	Teams migrieren sichtbare Systeme, während risikoreiche Daten unbeachtet bleiben.	Das Budget wurde ausgegeben, ohne die wichtigsten Risiken zu reduzieren.
Keine risikobasierte Priorität	Ohne Expositionsdaten erscheint alles gleichermaßen dringlich.	Lähmung oder Migration in der falschen Reihenfolge.
Die Daten zur Ernte wurden ungeschützt gelassen.	Langlebige Geheimnisse werden nicht zuerst identifiziert und geschützt.	Heute erfasste Daten bleiben auch in Zukunft entschlüsselbar.
Die Einhaltung kann nicht nachgewiesen werden.	Fehlendes Inventar bedeutet keinen Nachweis über die gebotene Sorgfaltspflicht.	Prüfungs- und behördliche Feststellungen im Vorfeld der Abgabetermine.

Krypto-Agilität ist das eigentliche Ziel

Es besteht auch ein strategisches Risiko, die Migration als einmaliges Ereignis zu betrachten. PQC selbst entwickelt sich stetig weiter; das NIST evaluiert fortlaufend zusätzliche Signatur- und Schlüsselerzeugungsalgorithmen. Im März 2025 wählte das NIST das codebasierte HQC als alternativen Schlüsselkapselungsmechanismus aus, und FN-DSA (FALCON) wird voraussichtlich als FIPS 206 aufgenommen. Somit wächst die Anzahl der standardisierten Verfahren stetig.

Eine Organisation, die eine einzelne Lösung fest im Code verankert, ohne die notwendigen Strukturen und Abstraktionen für zukünftige Änderungen aufzubauen, wird beim nächsten Übergang vor denselben Problemen stehen. Die Bewertung ist die Grundlage für Krypto-Agilität, denn sie liefert die Grundlage, um Kryptografie bedarfsgerecht zu lokalisieren und anzupassen, anstatt sie jedes Mal neu zu entdecken. Das NIST hat sogar ein Reifegradmodell für Krypto-Agilität veröffentlicht, das auf dem Cybersecurity Framework 2.0 basiert und Organisationen dabei unterstützt, ihre Fortschritte auf dem Weg zu diesem Ziel zu messen.

Ein Migrationspfad mit Fokus auf Bedarfsanalyse

Die folgende Abfolge spiegelt den Konsens in den Richtlinien von NIST, CISA und NSA wider und wurde für die Umsetzung in Unternehmen angepasst.

1. Governance und Eigentumsverhältnisse festlegen: Benennen Sie einen leitenden Sponsor und einen PQC-Programmleiter, in der Regel den CISO oder CTO, und berufen Sie eine funktionsübergreifende Gruppe ein, die die Bereiche Sicherheitsarchitektur, Risikomanagement, Beschaffung und die Geschäftsbereiche umfasst, da der Übergang alle diese Bereiche betrifft.
2. Erstellen Sie das kryptografische Inventar: Setzen Sie Erkennungstools für Quellcode, Abhängigkeiten, Container, Netzwerkdienste und die Cloud ein und integrieren Sie Scans routinemäßig in Ihre CI/CD-Pipeline, anstatt sie nur einmalig durchzuführen. Speichern Sie die Ergebnisse als CBOM-Datei, damit sie maschinenlesbar und wiederverwendbar sind. (Encryption Consulting) CBOM Secure automatisiert diese Erkennung über Quellcode, Abhängigkeiten, Container und Cloud hinweg und erstellt so das CBOM anstelle eines einmaligen Fragebogens.
3. Gefährdung einschätzen und nach Risiko priorisieren: Die Assets werden nach der Sensibilität und Lebensdauer der geschützten Daten geordnet, wobei Assets mit der Option „Jetzt sichern, später entschlüsseln“ und solche mit langer Vertraulichkeitsdauer ganz oben stehen. Ein kurzlebiges Zertifikat birgt ein deutlich geringeres Risiko als derselbe Algorithmus, der Daten schützt, die jahrzehntelang vertraulich bleiben müssen. Eine PQC-Bewertung wandelt das Inventar in diese risikobasierte Roadmap um.
4. Lieferanten und die Lieferkette einbeziehen: Erkundigen Sie sich bei Hardware-, Software- und Cloud-Anbietern nach ihren PQC-Roadmaps und Produktversionen und beziehen Sie diese Informationen in Ihre Beschaffungs- und Risikoentscheidungen ein. Die Migrationszeitpläne der Anbieter vereinfachen oft Ihre eigene Bestandsverwaltung, da eine bekannte PQC-fähige Version Ihnen zeigt, was sich wann ändert.
5. Plan für Hybridität und Interoperabilität: Es ist mit Übergangslösungen zu rechnen, die einen klassischen und einen Post-Quanten-Mechanismus kombinieren und diese zunächst in Nicht-Produktionsumgebungen testen. Die hybride Schlüsselerzeugung, die einen klassischen Austausch mit ML-KEM verbindet, ist der weithin empfohlene Übergangsansatz, während das Ökosystem reift.
6. Pilot, dann nacheinander skalieren: Der Übergang von Entwicklung und Tests zu begrenzten Produktionspilotprojekten und schließlich zum skalierten Rollout erfolgt mit Fokus auf die Systeme mit dem höchsten Risiko der sofortigen Datenerfassung und den längsten Vertraulichkeitsanforderungen. Die Leistungsannahmen zu Schlüssellängen, Latenz und HSM-Kapazität werden in Pilotprojekten validiert, bevor eine breite Einführung erfolgt. HSM-as-a-Service kann für diese Pilotprojekte PQC-fähige Kapazität ohne neue Hardware bereitstellen.
7. Auf Agilität setzen und ständig überwachen: Das Inventar muss kontinuierlich gepflegt werden, Aktualisierungen von NIST, CISA und NSA müssen verfolgt werden, sobald weitere Algorithmen und Profile veröffentlicht werden, und die Systeme müssen so konzipiert sein, dass die Kryptographie ohne erneute vollständige Überarbeitung geändert werden kann.

Wie Verschlüsselungsberatung helfen kann

Encryption Consulting ermöglicht eine Migration mit Fokus auf die Bewertung durch automatisierte kryptografische Erkennung. CBOM Secure erkennt, inventarisiert und verwaltet zentral kryptografische Assets in Ihrer gesamten IT-Landschaft. Dabei werden Algorithmen, Schlüssel, Zertifikate und die zugehörigen Protokolle katalogisiert und das maschinenlesbare CBOM-Format erstellt, das für eine risikobasierte Migration benötigt wird. Eine PQC-Bewertung wandelt dieses Inventar anschließend in eine priorisierte, risikobasierte Roadmap um, die auf die Bedrohung durch „Erfassen und später Entschlüsseln“ (Harvest Now – Decrypt-Later) und den NIST-Abkürzungsplan abgestimmt ist. PKI-as-a-Service und HSM-as-a-Service führen die Umstellung von Zertifikaten, Schlüsseln und Hardware durch. Um genau zu ermitteln, wo in Ihrer IT-Landschaft quantenanfällige Kryptografie vorhanden ist, sprechen Sie mit Encryption Consulting über eine kryptografische Erkennung und eine PQC-Readiness-Bewertung.

Fazit

Die Versuchung, die Migration nach dem Quantenzeitalter als bloßen Algorithmuswechsel zu betrachten, ist verständlich, da die Algorithmusauswahl feststeht und die Standards endgültig sind. ML-KEM und ML-DSA sind jedoch das Ziel, nicht der Weg dorthin. Jeder maßgebliche Leitfaden, von den gemeinsamen Empfehlungen von CISA, NSA und NIST bis hin zum Migrationsprojekt des NCCoE und den Vorgaben der Bundesregierung zur Bestandsaufnahme, beginnt am selben Punkt: Ermitteln Sie, wo die Kryptografie ihren Platz hat, bewerten Sie Ihr Risiko und priorisieren Sie die Maßnahmen anhand des Risikos für Daten, die auch nach dem Aufkommen des Quantencomputings Bestand haben müssen.

Um der Bedrohung durch Quantencomputer zu trotzen, beginnen Sie mit einer Analyse, nicht mit einem Algorithmus. Erstellen Sie ein kryptografisches Inventar, erfassen Sie es als CBOM (Cryptographic Observation Model), priorisieren Sie Ihre Gefährdung anhand von Daten, die Sie zunächst erfassen und später entschlüsseln, und planen Sie Ihre Systeme so, dass sie flexibel auf sich ändernde Standards reagieren können. Die Organisationen, die die Fristen von 2030 und 2035 erfolgreich meistern werden, sind nicht diejenigen, die am schnellsten einen Algorithmus ausgewählt haben, sondern diejenigen, die genau wussten, was sie ändern mussten und die Änderungen in der richtigen Reihenfolge vorgenommen haben.