Post-Quanten-Kryptographie (PQC) bezeichnet kryptographische Verfahren, die auf gew\u00f6hnlicher Hardware laufen und auch dann sicher bleiben sollen, wenn leistungsf\u00e4hige Quantencomputer verf\u00fcgbar sind. F\u00fcr IT-Verantwortliche in deutschen Unternehmen ist PQC im Jahr 2026 kein Zukunftsthema mehr, sondern eine Migrationsaufgabe mit konkreten Fristen. Die Standards des US-amerikanischen National Institute of Standards and Technology (NIST) liegen seit August 2024 vor, die EU-Mitgliedstaaten haben im Juni 2025 einen gemeinsamen Zeitplan bis 2030 beschlossen, und das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) hat im Februar 2026 das Ende der alleinigen Nutzung klassischer asymmetrischer Verfahren eingeleitet. In diesem Beitrag erfahren Sie, was PQC ist, warum der Umstieg dr\u00e4ngt und welche Schritte jetzt anstehen.<\/p>\n
Post-Quanten-Kryptographie umfasst Verfahren, von denen nach heutigem Kenntnisstand angenommen wird, dass sie auch mithilfe eines Quantencomputers nicht effizient zu brechen sind. Anders als die heute verbreiteten Verfahren st\u00fctzt sich PQC auf mathematische Probleme, f\u00fcr die bislang kein effizienter Quantenalgorithmus bekannt ist. Zu den wichtigsten Ans\u00e4tzen geh\u00f6ren die gitterbasierte Kryptographie, die codebasierte Kryptographie und hash-basierte Signaturverfahren.<\/p>\n
Ein Punkt wird h\u00e4ufig missverstanden: Post-Quanten-Kryptographie l\u00e4uft nicht auf einem Quantencomputer. Sie bezeichnet Verschl\u00fcsselung, die auf klassischen Rechnern implementiert wird und einem Angriff mit einem Quantencomputer standhalten soll. Sie l\u00e4sst sich deshalb per Software-Update ausrollen und \u00fcber bestehende Netze betreiben. Im deutschsprachigen Raum finden Sie sowohl die Schreibweise \u201eKryptographie\u201c als auch die gleichwertige Variante \u201eKryptografie\u201c; beide bezeichnen denselben Sachverhalt.<\/p>\n
Die heute verbreiteten asymmetrischen Verfahren wie RSA, die Kryptographie auf Basis elliptischer Kurven (ECC) und der Diffie-Hellman-Schl\u00fcsselaustausch beruhen auf mathematischen Problemen wie der Primfaktorzerlegung und der Berechnung diskreter Logarithmen. F\u00fcr klassische Computer sind diese Probleme praktisch unl\u00f6sbar. Ein ausreichend leistungsf\u00e4higer Quantencomputer k\u00f6nnte sie jedoch mit dem 1994 von Peter Shor vorgestellten Algorithmus effizient l\u00f6sen. Damit w\u00fcrde der heutigen Public-Key-Kryptographie die Grundlage entzogen.<\/p>\n
Wie gro\u00df ein solcher Rechner sein m\u00fcsste, zeigt eine vielbeachtete Arbeit von Craig Gidney (Google Quantum AI) aus dem Mai 2025. Er sch\u00e4tzt, dass sich ein 2048-Bit-RSA-Schl\u00fcssel mit weniger als einer Million verrauschter Qubits in weniger als einer Woche faktorisieren lie\u00dfe. Eine solche Maschine existiert bislang nicht; die Sch\u00e4tzung liegt aber deutlich unter fr\u00fcheren Annahmen. Wie ein Quantencomputer grunds\u00e4tzlich funktioniert, erkl\u00e4ren wir im Beitrag Quantencomputer und Quantenmechanik: Ist das unsere Zukunft?<\/a><\/p>\n Nicht alle Verfahren sind gleich stark betroffen. Symmetrische Verschl\u00fcsselung wie AES und Hashfunktionen werden durch Shors Algorithmus nicht gebrochen. Der Grover-Algorithmus beschleunigt zwar die Suche nach einem Schl\u00fcssel, dieser Effekt l\u00e4sst sich aber durch gr\u00f6\u00dfere Parameter ausgleichen. Wer AES mit 256 Bit einsetzt und Hashfunktionen mit ausreichender Ausgabel\u00e4nge verwendet, ist hier gut aufgestellt. Das eigentliche Problem liegt bei den asymmetrischen Verfahren, die den Kern von PKI, TLS, VPN, E-Mail-Verschl\u00fcsselung, digitalen Signaturen und Code Signing bilden.<\/p>\n Besonders brisant ist das Prinzip \u201eHarvest now, decrypt later\u201c, im deutschsprachigen Raum auch als \u201eStore now, decrypt later\u201c bekannt. Angreifer speichern schon heute verschl\u00fcsselte Daten in der Erwartung, sie in einigen Jahren mit einem Quantencomputer entschl\u00fcsseln zu k\u00f6nnen. F\u00fcr Informationen mit langer Schutzdauer beginnt das Risiko damit bereits heute und nicht erst an dem Tag, an dem der erste kryptographisch relevante Quantencomputer existiert. Betroffen sind etwa Gesch\u00e4ftsgeheimnisse, Konstruktionsdaten, Gesundheitsdaten und vertrauliche Vertr\u00e4ge.<\/p>\n Das NIST hat am 13. August 2024 die ersten drei Standards f\u00fcr Post-Quanten-Kryptographie ver\u00f6ffentlicht. Sie sind das Ergebnis eines mehrj\u00e4hrigen internationalen Auswahlverfahrens und bilden heute die technische Grundlage der Migration.<\/p>\n Zwei weitere Verfahren befinden sich in der Standardisierung. Das kompakte Signaturverfahren FN-DSA, hervorgegangen aus Falcon, soll als FIPS 206 folgen, befand sich im September 2026 aber noch in der Standardisierung; ein Initial Public Draft war zu diesem Zeitpunkt nach Angaben des NIST noch nicht ver\u00f6ffentlicht. Als zus\u00e4tzliches Verfahren zur Schl\u00fcsseleinigung hat das NIST am 11. M\u00e4rz 2025 den codebasierten Algorithmus HQC ausgew\u00e4hlt. Er dient als Reserve zu ML-KEM auf einer anderen mathematischen Grundlage; ein Entwurf war f\u00fcr 2026 angek\u00fcndigt, die finale Fassung f\u00fcr 2027. Beide Zeitpl\u00e4ne k\u00f6nnen sich verschieben und sollten vor Migrationsentscheidungen gegen die aktuellen Angaben des NIST gepr\u00fcft werden.<\/p>\n F\u00fcr die Praxis ist eine Aussage des NIST entscheidend: Unternehmen sollen mit der Migration nicht auf die Reserveverfahren warten. F\u00fcr neue Systeme sind ML-KEM und ML-DSA bereits heute die richtige Wahl.<\/p>\n Beim Schl\u00fcsselaustausch ist Post-Quanten-Kryptographie bereits Alltag. Das hybride Verfahren X25519MLKEM768 kombiniert den klassischen Schl\u00fcsselaustausch X25519 mit dem quantensicheren ML-KEM-768. Google hat Chrome mit Version 131 im November 2024 auf dieses Verfahren umgestellt, und auch Firefox sowie gro\u00dfe Content-Delivery-Netze wie Cloudflare setzen es standardm\u00e4\u00dfig ein. Laut dem Cloudflare Radar 2025 Year in Review war Anfang Dezember 2025 rund die H\u00e4lfte (52 Prozent) des von Menschen erzeugten Web-Traffics im Cloudflare-Netz post-quantum-verschl\u00fcsselt; zu Beginn des Jahres 2025 lag der Anteil noch bei 29 Prozent.<\/p>\n Bei den Zertifikaten selbst ist die Lage noch im Fluss. Stand September 2026 akzeptiert kein Browser-Root-Programm quantensichere X.509-Zertifikate im \u00f6ffentlichen WebPKI. Im CA\/Browser Forum wird \u00fcber die Zulassung von ML-DSA beraten, und Google verfolgt mit sogenannten Merkle Tree Certificates einen Ansatz, der die deutlich gr\u00f6\u00dferen PQC-Signaturen handhabbar machen soll. F\u00fcr Unternehmen bedeutet das: Der quantensichere Schl\u00fcsselaustausch ist bereits Realit\u00e4t, die quantensichere Authentifizierung \u00fcber Zertifikate steht dagegen erst am Anfang.<\/p>\n F\u00fcr deutsche Unternehmen ist die Position des BSI besonders relevant, weil sie in der Praxis den Stand der Technik pr\u00e4gt. Das BSI hat seine Technische Richtlinie TR-02102-1 \u201eKryptographische Verfahren: Empfehlungen und Schl\u00fcssell\u00e4ngen\u201c in der Version 2026-01 mit Stand vom 23. Januar 2026 ver\u00f6ffentlicht und darin erstmals konkrete Fristen f\u00fcr die Abkehr von rein klassischen Verfahren festgelegt.<\/p>\n Am 11. Februar 2026 hat das BSI diese Neuausrichtung \u00f6ffentlich gemacht. BSI-Pr\u00e4sidentin Claudia Plattner erkl\u00e4rte dazu: \u201eMit der Abk\u00fcndigung der klassischen Verschl\u00fcsselungsverfahren setzen wir neue Ma\u00dfst\u00e4be. Die Umstellung auf Verfahren der Post-Quanten-Kryptographie ist alternativlos, die Technische Richtlinie gibt nun konkreten Handlungsbedarf vor.\u201c RSA und ECC werden damit nicht sofort verboten. Das BSI verlangt aber ab bestimmten Fristen, dass klassische Verfahren nicht mehr allein, sondern nur noch in Kombination mit Post-Quanten-Kryptographie eingesetzt werden.<\/p>\n Das BSI empfiehlt bewusst mehrere quantensichere Verfahren, damit f\u00fcr unterschiedliche Einsatzszenarien jeweils ein passendes zur Verf\u00fcgung steht:<\/p>\n Das BSI empfiehlt, Post-Quanten-Kryptographie grunds\u00e4tzlich hybrid einzusetzen, also in Kombination mit einem klassischen Verfahren. Ausgenommen sind die hash-basierten Signaturverfahren, deren Sicherheit als sehr gut verstanden gilt und die auch allein verwendet werden d\u00fcrfen. Der hybride Ansatz hat einen klaren Vorteil: Die Verbindung bleibt gesch\u00fctzt, solange mindestens eines der beiden kombinierten Verfahren sicher ist. Damit sind Sie auch gegen bislang unentdeckte Schw\u00e4chen der noch jungen PQC-Verfahren abgesichert.<\/p>\n Der Zeitplan wird von mehreren Institutionen gleichzeitig vorangetrieben. Die folgende \u00dcbersicht trennt bereits erreichte Meilensteine von den noch offenen Terminen.<\/p>\n NIST IR 8547 hatte im September 2026 noch den Status eines Entwurfs und gilt damit als Orientierung, nicht als verbindlicher Standard. Einzelne Termine k\u00f6nnen sich verschieben.<\/p>\n Die Umstellung auf Post-Quanten-Kryptographie ist kein kurzfristiges Projekt, sondern ein Prozess, der sich je nach Gr\u00f6\u00dfe und Komplexit\u00e4t der Infrastruktur \u00fcber mehrere Jahre erstrecken kann. Die folgenden Schritte haben sich als sinnvolle Reihenfolge etabliert.<\/p>\n Verschaffen Sie sich einen vollst\u00e4ndigen \u00dcberblick dar\u00fcber, welche kryptographischen Verfahren, Protokolle, Schl\u00fcssel und Zertifikate in Ihrem Unternehmen im Einsatz sind, etwa in TLS, VPN, E-Mail, Webanwendungen, Ger\u00e4ten und internen Diensten. Ohne dieses Inventar l\u00e4sst sich kein belastbarer Migrationsplan erstellen. Welche Folgen der Umstieg f\u00fcr Zertifikatsinfrastrukturen hat, vertiefen wir im Beitrag Quantencomputer und Verschl\u00fcsselung: neue Herausforderungen f\u00fcr PKI-Systeme<\/a>.<\/p>\n Bewerten Sie Ihre Datenbest\u00e4nde nach Schutzdauer und Sensibilit\u00e4t. Daten, die \u00fcber viele Jahre vertraulich bleiben m\u00fcssen, sollten wegen \u201eHarvest now, decrypt later\u201c zuerst umgestellt werden. Daten mit kurzer Lebensdauer k\u00f6nnen sp\u00e4ter folgen.<\/p>\n Schaffen Sie eine Infrastruktur, in der sich kryptographische Verfahren austauschen lassen, ohne dass Anwendungen neu entwickelt werden m\u00fcssen. Diese Krypto-Agilit\u00e4t ist das eigentliche Ziel der Migration. Wer Algorithmen fest in Anwendungen verankert, steht beim n\u00e4chsten Verfahrenswechsel erneut vor demselben Problem.<\/p>\n Erproben Sie hybride Verfahren zun\u00e4chst in Testumgebungen. Pr\u00fcfen Sie dabei die Performance, die Kompatibilit\u00e4t und die Auswirkungen der gr\u00f6\u00dferen Schl\u00fcssel und Signaturen. Der hybride Schl\u00fcsselaustausch setzt TLS 1.3 voraus; \u00e4ltere Protokollversionen unterst\u00fctzen ihn nicht.<\/p>\n Kl\u00e4ren Sie mit Softwareherstellern, Cloud-Anbietern und Ihrer Zertifizierungsstelle, welche PQC-Unterst\u00fctzung wann verf\u00fcgbar ist. Ber\u00fccksichtigen Sie die PQC-F\u00e4higkeit au\u00dferdem bei jeder neuen IT-Beschaffung mit langer Nutzungsdauer.<\/p>\n Mit k\u00fcrzeren Laufzeiten und der anstehenden Umstellung steigt die Zahl der zu verwaltenden Zertifikate deutlich. Ein automatisiertes Certificate Lifecycle Management<\/a> reduziert Fehler und schafft die n\u00f6tige Reaktionsf\u00e4higkeit f\u00fcr einen sp\u00e4teren Verfahrenswechsel. Hintergr\u00fcnde zu den sinkenden Laufzeiten finden Sie im Beitrag zur Laufzeit von SSL-Zertifikaten<\/a>, einen \u00dcberblick \u00fcber geeignete Werkzeuge im Beitrag Zertifikatsverwaltung im Vergleich<\/a>.<\/p>\n Beide Begriffe werden h\u00e4ufig verwechselt, bezeichnen aber grundverschiedene Ans\u00e4tze. Post-Quanten-Kryptographie ist Mathematik auf gew\u00f6hnlicher Hardware. Sie l\u00e4sst sich per Software ausrollen, \u00fcber bestehende Netze betreiben und in gro\u00dfem Umfang einsetzen. Deshalb ist sie f\u00fcr die allermeisten Unternehmen der relevante Weg.<\/p>\n Die Quantenkryptographie, insbesondere die Quantenschl\u00fcsselverteilung (Quantum Key Distribution, QKD), nutzt dagegen quantenphysikalische Effekte zur Verteilung von Schl\u00fcsseln. Sie erfordert spezielle Hardware und in der Regel eigene Glasfaserstrecken. F\u00fcr die meisten Unternehmen ist QKD damit nicht der praktikable Weg zur Quantensicherheit. Eine ausf\u00fchrliche Einordnung finden Sie im Beitrag Quantencomputing: Wie sicher ist die Quantenverschl\u00fcsselung?<\/a><\/p>\n Der Q-Day, also der Zeitpunkt, an dem ein Quantencomputer g\u00e4ngige Verschl\u00fcsselung brechen kann, l\u00e4sst sich nicht auf ein Jahr festlegen. Der Quantum Threat Timeline Report 2025 des Global Risk Institute beziffert die Wahrscheinlichkeit eines kryptographisch relevanten Quantencomputers innerhalb von zehn Jahren auf 28 bis 49 Prozent und innerhalb von 15 Jahren auf 51 bis 70 Prozent. Wegen \u201eHarvest now, decrypt later\u201c ist die Bedrohung f\u00fcr langlebige Daten jedoch schon heute gegeben.<\/p>\n Ja, langfristig sind Zertifikate auf Basis von RSA oder ECC quantenanf\u00e4llig. Beim Schl\u00fcsselaustausch sch\u00fctzt der hybride Standard in aktuellen Browsern bereits heute. Die Signaturen in den Zertifikaten selbst sind dagegen noch klassisch, weil quantensichere Zertifikate im \u00f6ffentlichen WebPKI derzeit nicht zugelassen sind.<\/p>\n Bei hybriden Verfahren werden ein klassisches und ein quantensicheres Verfahren kombiniert. Die Verbindung bleibt gesch\u00fctzt, solange mindestens eines der beiden Verfahren sicher ist. Das BSI empfiehlt diesen Ansatz f\u00fcr den \u00dcbergang ausdr\u00fccklich.<\/p>\n Das BSI empfiehlt in der TR-02102-1 (Version 2026-01) quantensichere Verfahren wie ML-KEM, FrodoKEM, Classic McEliece, ML-DSA, SLH-DSA sowie XMSS und LMS\/HSS, grunds\u00e4tzlich in hybrider Form. Klassische Schl\u00fcsseleinigung soll ab Ende 2031 nicht mehr allein eingesetzt werden, bei sehr hohem Schutzbedarf bereits ab Ende 2030. F\u00fcr klassische Signaturverfahren gilt Ende 2035.<\/p>\n Ja. Die Umstellung dauert mehrere Jahre, und die ersten Fristen liegen bei 2030 und 2031. Das Jahr 2026 ist deshalb der richtige Zeitpunkt, um mit dem Kryptoinventar und der Planung zu beginnen.<\/p>\n Krypto-Agilit\u00e4t ist die F\u00e4higkeit, kryptographische Verfahren und Zertifikate schnell auszutauschen, ohne Anwendungen neu entwickeln zu m\u00fcssen. Sie ist die Voraussetzung daf\u00fcr, auf neue Standards oder entdeckte Schwachstellen zeitnah reagieren zu k\u00f6nnen.<\/p>\n Die Standards liegen vor, die Fristen stehen fest, und der hybride Schl\u00fcsselaustausch ist im Internet bereits weit verbreitet. Die Umstellung auf Post-Quanten-Kryptographie ist damit vom Forschungsthema zur konkreten Managementaufgabe geworden. Wer 2026 mit einem Kryptoinventar beginnt, seine Daten nach Schutzdauer priorisiert und Krypto-Agilit\u00e4t aufbaut, kann den Umstieg strukturiert und ohne Zeitdruck gestalten.<\/p>\n Die PSW GROUP unterst\u00fctzt Sie dabei mit ihrer Managed PKI<\/a> und mit L\u00f6sungen f\u00fcr das automatisierte Zertifikatsmanagement<\/a>. Sprechen Sie uns an, wenn Sie Ihre eingesetzten Verfahren und SSL-Zertifikate<\/a> auf ihre Quantensicherheit pr\u00fcfen lassen m\u00f6chten.<\/p>\nHarvest now, decrypt later<\/h3>\n
Die NIST-Standards<\/h2>\n
\n
Wo PQC heute schon im Einsatz ist<\/h3>\n
Die Empfehlungen des BSI zur Post-Quanten-Kryptographie<\/h2>\n
Vom BSI empfohlene Verfahren<\/h3>\n
\n
Warum das BSI auf hybride Verfahren setzt<\/h3>\n
Die Fristen des BSI<\/h3>\n
\n
Zeitplan bis 2030<\/h2>\n
Bereits erfolgt<\/h3>\n
\n
Noch offen<\/h3>\n
\n
So werden Sie quantum safe: Was Unternehmen jetzt tun sollten<\/h2>\n
1. Ein Kryptoinventar erstellen<\/h3>\n
2. Daten mit langer Schutzdauer priorisieren<\/h3>\n
3. Krypto-Agilit\u00e4t herstellen<\/h3>\n
4. Hybride Verfahren testen<\/h3>\n
5. Lieferanten und Zertifikatsanbieter einbeziehen<\/h3>\n
6. Den Zertifikats-Lifecycle automatisieren<\/h3>\n
Post-Quanten-Kryptographie oder Quantenkryptographie?<\/h2>\n
H\u00e4ufige Fragen zur Post-Quanten-Kryptographie<\/h2>\n
Wann kommt der Q-Day?<\/h3>\n
Sind meine SSL-Zertifikate betroffen?<\/h3>\n
Was bedeutet hybride Kryptographie?<\/h3>\n
Was empfiehlt das BSI zur Post-Quanten-Kryptographie?<\/h3>\n
Muss ich jetzt handeln?<\/h3>\n
Was ist Krypto-Agilit\u00e4t?<\/h3>\n
Fazit<\/h2>\n