Post-Quanten-Sicherheit: Wer die Anforderungen bereits festgelegt hat und was sie von Ihnen verlangen
NIST, EU, BSI, ANSSI, NCSC und NSA haben Post-Quanten-Zeitpläne veröffentlicht. Worin sie übereinstimmen, wo die Fristen liegen und was das für eine verschlüsselte Dokumentenplattform heißt.
Post-Quanten-Kryptografie hat die Forschungsphase hinter sich. Zwischen 2022 und 2026 haben die Behörden, die kryptografische Anforderungen für Verwaltungen, Banken, Betreiber kritischer Infrastrukturen und deren Lieferanten festlegen, jeweils eine Position veröffentlicht, die meisten davon mit Fristen. Wer vertrauliche Dokumente speichert, fragt sich nicht mehr, ob er sich vorbereiten soll, sondern welches Dokument er zuerst lesen muss und was es konkret verlangt.
Dieser Artikel liefert diese Leseliste. Er zeigt, wer Anforderungen festgelegt hat, was die einzelnen Stellen verlangen, auf welche Jahreszahlen sie zulaufen und welche wenigen Forderungen überall vorkommen. Zum Schluss ordnen wir Sapherbox in diese Liste ein.
Warum es überhaupt Fristen gibt
Einen Quantencomputer, der RSA oder Elliptische-Kurven-Kryptografie bricht, gibt es heute nicht. Die Fristen gibt es wegen eines bestimmten Angriffs, der ihn noch nicht braucht. Wer heute verschlüsselten Datenverkehr mitschneidet oder verschlüsselte Speicher kopiert, kann das Material aufbewahren und entschlüsseln, sobald eine ausreichend leistungsfähige Maschine existiert. Verträge, Patientenakten, Personalunterlagen oder anwaltliche Korrespondenz müssen oft zehn oder zwanzig Jahre vertraulich bleiben. Für solche Daten beginnt das Risiko mit der Aufzeichnung, nicht erst mit der Entschlüsselung. Alle unten aufgeführten Behörden begründen mit diesem Risiko („Harvest now, decrypt later“), warum zuerst der Schlüsselaustausch umgestellt werden soll und erst danach die Signaturen. Die technischen Hintergründe haben wir separat beschrieben. Hier geht es darum, wer die Umstellung verlangt.
NIST: die Algorithmen und die Endtermine
Das US-amerikanische National Institute of Standards and Technology hat den Wettbewerb ausgerichtet, aus dem die Algorithmen hervorgegangen sind, auf die sich heute alle anderen beziehen. Im August 2024 veröffentlichte es die ersten drei Standards: FIPS 203 mit dem Schlüsselkapselungsverfahren ML-KEM (früher Kyber), FIPS 204 mit dem Signaturverfahren ML-DSA (früher Dilithium) und FIPS 205 mit dem hashbasierten Signaturverfahren SLH-DSA. Wenn eine europäische Leitlinie oder Behördenempfehlung von „einem standardisierten Post-Quanten-KEM“ spricht, ist genau das gemeint.
Im November 2024 folgte der Entwurf von NIST IR 8547, dem Übergangsplan. Ab 2030 gilt das 112-Bit-Sicherheitsniveau, zu dem RSA-2048 und die Kurve P-256 gehören, als veraltet. Neue Einsätze sind dann nicht mehr vorgesehen. Ab 2035 sind alle quantenanfälligen Public-Key-Verfahren unzulässig, auch RSA-3072 und P-384. Formal ist das Dokument noch ein Entwurf. Die US-Bundesverwaltung plant aber bereits mit seinen Terminen, und Anbieter in regulierten Märkten weltweit haben sie als faktischen Horizont übernommen.
Die Europäische Union: ein koordinierter Fahrplan mit drei Meilensteinen
Die Europäische Kommission hat am 11. April 2024 eine Empfehlung veröffentlicht, die die Mitgliedstaaten zu einem abgestimmten Vorgehen auffordert. Die NIS-Kooperationsgruppe, das Gremium, in dem die Mitgliedstaaten die Umsetzung der NIS2-Richtlinie koordinieren, hat eine Arbeitsgruppe für Post-Quanten-Kryptografie eingerichtet und im Juni 2025 ihren Fahrplan „A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography“ veröffentlicht. Er sieht drei Meilensteine vor.
Bis Ende 2026 soll jeder Mitgliedstaat einen nationalen Umstiegsfahrplan haben und Pilotprojekte für Anwendungsfälle mit hohem und mittlerem Risiko begonnen haben. Als Vorarbeiten für diese Phase nennt der Fahrplan eine Quantenrisikoanalyse, ein Kryptografie-Inventar und die Einbindung der Lieferanten.
Bis Ende 2030 soll der Umstieg für alle Anwendungsfälle mit hohem Risiko abgeschlossen sein. Genannt werden Regierungskommunikation, Public-Key-Infrastrukturen und Systeme für Software- und Firmware-Updates, darüber hinaus jeder Anwendungsfall, bei dem Daten lange vertraulich bleiben müssen oder eine Kompromittierung schwere Folgen hätte.
Bis Ende 2035 sollen auch die Anwendungsfälle mit mittlerem Risiko umgestellt sein, mit hybrider oder standardisierter Post-Quanten-Kryptografie überall dort, wo das technisch und wirtschaftlich machbar ist.
Der Fahrplan bevorzugt ausdrücklich hybride Verfahren. Dabei werden ein klassischer und ein Post-Quanten-Algorithmus so kombiniert, dass beide gebrochen werden müssten. Das ist keine Besonderheit dieses Fahrplans, sondern die Position jeder europäischen Behörde, die sich zu dem Thema geäußert hat.
BSI, ANSSI und die gemeinsame Erklärung
Am 30. November 2024 haben das deutsche BSI, die französische ANSSI und die niederländischen Behörden, unterstützt von fünfzehn weiteren Mitgliedstaaten, eine gemeinsame Erklärung mit dem Titel „Securing Tomorrow, Today“ veröffentlicht. Sie ist kurz und lohnt die vollständige Lektüre. Sie nennt den Umstieg dringlich, empfiehlt nachdrücklich den hybriden Einsatz statt reiner Post-Quanten-Verfahren und benennt dieselben Vorarbeiten wie der EU-Fahrplan: eine Quanten-Bedrohungsanalyse, einen risikoorientierten Umstiegsplan und Kryptoagilität, also Systeme, in denen sich ein Algorithmus austauschen lässt, ohne das Produkt neu zu entwerfen.
Die Technische Richtlinie BSI TR-02102-1 „Kryptographische Verfahren: Empfehlungen und Schlüssellängen“ ist das Dokument, auf das sich deutsche Prüfer stützen, wenn sie Kryptografie bewerten. Das BSI hat sie im Januar 2026 aktualisiert. Sie empfiehlt hybriden Schlüsselaustausch aus klassischem und Post-Quanten-Verfahren für jeden Anwendungsfall mit langfristigem Vertraulichkeitsbedarf, nennt ML-KEM, FrodoKEM und Classic McEliece als geeignete Post-Quanten-Verfahren und setzt eine eigene Frist: Rein klassischer Schlüsselaustausch wird nur noch bis Ende 2031 empfohlen. Für eine deutsche Organisation, die unter NIS2 fällt, KRITIS-Pflichten hat oder ein BSI-C5-Testat besitzt, macht dieser Satz aus einer Empfehlung eine Prüfungsfeststellung.
Vereinigtes Königreich und USA
Das britische National Cyber Security Centre hat seinen Zeitplan für die Migration im März 2025 veröffentlicht. Bis 2028 soll eine Organisation die Bestandsaufnahme für ihre gesamte IT abgeschlossen und einen ersten Migrationsplan haben. Bis 2031 sollen die Dienste mit der höchsten Priorität umgestellt und der Plan verfeinert sein. Bis 2035 soll die Migration abgeschlossen sein. Der Leitfaden hat keine Gesetzeskraft, gibt aber Vorständen, Prüfern und Versicherern Jahreszahlen, an denen sie ihre Fragen festmachen können.
Die Commercial National Security Algorithm Suite 2.0 der amerikanischen NSA, im September 2022 für Systeme der nationalen Sicherheit veröffentlicht, ist die präziseste der Vorgaben. Sie schreibt ML-KEM-1024 für den Schlüsselaustausch und ML-DSA-87 für Signaturen vor. Neue Software und Firmware müssen ab 2025 mit Post-Quanten-Verfahren signiert sein, alle eingesetzte Software bis 2030. Webbrowser, Server und Cloud-Dienste müssen die neuen Algorithmen ab 2025 unterstützen und bevorzugen und sie bis 2033 ausschließlich verwenden. Außerhalb dieses Geltungsbereichs ist kaum jemand daran gebunden. Ihre Termine bestimmen aber, worauf Lieferanten der US-Regierung ihre Produkte ausrichten, und damit auch, was der übrige Markt kaufen kann.
Die Regeln, die keinen Algorithmus nennen
Eine zweite Gruppe von Anforderungen erwähnt ML-KEM nie und bindet mehr Organisationen als alle oben genannten zusammen. Die DSGVO verlangt eine dem Risiko angemessene Sicherheit unter Berücksichtigung des Stands der Technik. NIS2 und DORA verlangen Konzepte für Kryptografie und Schlüsselverwaltung, die dem Stand der Technik entsprechen und im Hinblick auf neue Bedrohungen regelmäßig überprüft werden. ISO 27001 und BSI C5 verlangen eine Kryptografierichtlinie und Maßnahmen, die aktuell gehalten werden.
Keine dieser Regeln sagt „Post-Quanten bis 2030“. Was „Stand der Technik“ bedeutet, ergibt sich bei allen aus genau den oben aufgeführten Dokumenten. Fragt ein Prüfer im Rahmen eines dieser Regelwerke, wie eine Organisation mit der Quantenbedrohung umgeht, ist die akzeptable Antwort im Jahr 2026 ein Inventar, eine Risikobewertung, die zwischen langfristiger und kurzfristiger Vertraulichkeit unterscheidet, und ein Plan mit Terminen, die zum EU-Fahrplan oder zur TR-02102-1 des BSI passen. Nur eine Antwort wird nicht mehr akzeptiert: „Es gibt doch noch keinen Quantencomputer.“
Was alle verlangen
Zusammen gelesen laufen die Dokumente auf fünf Forderungen hinaus.
Erfassen Sie, wo Sie Kryptografie einsetzen. Jeder Fahrplan beginnt mit einem Inventar: welche Systeme, welche Algorithmen, welche Schlüssellängen, welche Protokolle, welche Lieferanten. Was nicht aufgelistet ist, lässt sich nicht umstellen.
Ordnen Sie Ihre Daten danach, wie lange sie vertraulich bleiben müssen. Daten, die über die frühen 2030er-Jahre hinaus vertraulich bleiben müssen, bilden die Gruppe mit hohem Risiko und werden zuerst umgestellt. Sitzungsschlüssel einer Videokonferenz gehören nicht dazu, archivierte Verträge schon.
Stellen Sie den Schlüsselaustausch vor den Signaturen um. Aufgezeichnetes Chiffrat ist das akute Risiko. Eine gefälschte Signatur nützt nur einem Angreifer, der den Quantencomputer jetzt hat.
Setzen Sie auf hybride Verfahren. Kombinieren Sie einen klassischen und einen Post-Quanten-Algorithmus, damit ein Fehler im jungen Verfahren nicht wieder öffnet, was das alte noch schützt. EU, BSI, ANSSI und NCSC sagen das alle, NIST lässt es zu.
Bleiben Sie kryptoagil. Was heute ausgerollt wird, muss austauschbar sein, denn auch die Post-Quanten-Algorithmen selbst werden überarbeitet werden.
Die Termine liegen eng beieinander. Planung und Inventar sind zwischen 2026 und 2028 fällig, Anwendungsfälle mit hohem Risiko bis 2030 oder 2031, alles Übrige bis 2035.
Wo Sapherbox an dieser Liste steht
Wir haben die Schlüsselschicht so gebaut, dass sie die ersten vier Forderungen erfüllt, und so entworfen, dass sie die fünfte erfüllen kann.
Jeder Schlüssel, den Sapherbox verpackt, wird hybrid verpackt: RSA-4096 und ML-KEM-768 zusammen, wobei der Verpackungsschlüssel aus beiden Verfahren abgeleitet wird, sodass keines der beiden allein etwas öffnet. Das gilt für den Schlüssel jeder Datei, für die Schlüsselbündel der Ordner, für den Account Master Key, der für die Wiederherstellung im Escrow hinterlegt ist, und für den persönlichen Suchschlüssel jeder Person. Einen reinen RSA-Pfad gibt es im Produkt nicht mehr. Der Server lehnt eine Verpackung ohne Post-Quanten-Anteil ab, und der Desktop-Sync-Client und der macOS-Client setzen dasselbe Verfahren um. In der Sprache der Fahrpläne sind gespeicherte Dokumente in Sapherbox ein Anwendungsfall mit hohem Risiko und langem Vertraulichkeitsbedarf, der bereits standardisierten hybriden Schlüsselaustausch nutzt. Die Konstruktion haben wir im Detail beschrieben.
Signaturen sind klassisch. Freigaben werden mit Ed25519 signiert. Gegen „Harvest now, decrypt later“ reicht das, denn eine Signatur lässt sich nicht nachträglich fälschen. Auf ML-DSA wechseln wir, sobald Signaturgröße und verfügbare Bibliotheken den Einsatz im Browser praktikabel machen. In jedem Client liegen die Algorithmen hinter einer einzigen Schnittstelle, und genau das bedeutet Kryptoagilität in der Praxis.
Für Ihr eigenes Inventar lautet die Zeile für Sapherbox also: Inhalte und Schlüsselaustausch hybrid post-quantum auf der Ende-zu-Ende-Schicht, Signaturen klassisch. Die Algorithmen pro Schicht listet unser Whitepaper für Sicherheitsteams auf. So können Sie die Zeile übernehmen, statt sie herleiten zu müssen.
Was Sie dieses Jahr tun sollten
Wenn Sie diejenige Person sind, die dem Prüfer antworten muss, decken drei Schritte den Meilenstein 2026 aller oben genannten Fahrpläne ab.
Erstellen Sie das Inventar, und beziehen Sie Ihre Lieferanten ein. Schreiben Sie für jedes System mit vertraulichen Daten auf, welche Schicht welchen Algorithmus nutzt, und lassen Sie sich das vom Anbieter schriftlich bestätigen. Ein Anbieter, der den Algorithmus pro Schicht nicht nennen kann, hat sein eigenes Inventar nicht erstellt.
Kennzeichnen Sie die Daten, die über 2030 hinaus vertraulich bleiben müssen. Diese Daten sollen nach dem EU-Fahrplan und der TR-02102-1 zuerst umgestellt werden. Liegen sie auf einer Plattform ohne hybriden Schlüsselaustausch, ist das schon heute eine Prüfungsfeststellung.
Stellen Sie zu jedem Verschlüsselungsprodukt drei Fragen: Welche Schicht ist post-quantum, der Transport oder die gespeicherten Daten? Ist es hybrid? Welcher standardisierte Algorithmus, und wie würden Sie ihn austauschen? Die Antworten sagen mehr als jedes Siegel.
Fragen?
Wenn Sie ein Kryptografie-Inventar vorbereiten, den EU-Fahrplan oder die TR-02102-1 des BSI auf Ihre Dokumentenablage abbilden oder unsere Algorithmenliste pro Schicht schriftlich für ein Audit brauchen, schreiben Sie uns an hello@sapherbox.com.