Post-Quanten-Transition: Warum sich Organisationen jetzt vorbereiten müssen
Von SPIE ICS AG
An unserem Webinar am 9. Dezember teilnehmen
Post-Quanten-Kryptografie: PQC verstehen und die Migration vorbereiten
Post-Quanten-Kryptografie (Post-Quantum Cryptography, PQC) bezeichnet die Gesamtheit der Algorithmen, die Angriffen eines Quantencomputers standhalten sollen und dabei auf heutigen klassischen Prozessoren laufen. Sie löst schrittweise RSA, Diffie-Hellman und elliptische Kurven ab, deren Sicherheit auf mathematischen Problemen beruht, die ein ausreichend leistungsfähiger Quantenrechner lösen könnte.
Das Thema ist keine Zukunftsmusik mehr. Das NIST hat im August 2024 seine ersten drei PQC-Standards veröffentlicht, und die FINMA hat am 9. Juli 2026 ihre Aufsichtsmitteilung 05/2026 publiziert, die Schweizer Finanzinstituten empfiehlt, bis Mitte 2027 über eine Roadmap zu verfügen. Dieser Artikel, verfasst von den Cybersecurity-Teams von SPIE ICS, erklärt, was PQC ist, warum die Bedrohung bereits real ist und wie sich eine realistische Transition strukturieren lässt.
Was ist Post-Quanten-Kryptografie (PQC)?
Post-Quanten-Kryptografie umfasst Verschlüsselungs-, Schlüsselaustausch- und Signaturalgorithmen, deren Sicherheit nicht mehr auf der Faktorisierung oder dem diskreten Logarithmus beruht, sondern auf Problemen, die selbst für einen Quantencomputer als schwer lösbar gelten, etwa Gitterprobleme oder Hashfunktionen. Sie läuft auf bestehender Hardware.
Der Begriff wird manchmal mit Quantenkryptografie (QKD) verwechselt, die physikalische Eigenschaften des Lichts nutzt, um Schlüssel über eine dedizierte Glasfaser zu verteilen. PQC bleibt rein softwarebasiert: Sie lässt sich in TLS, IPsec, SSH, PKI oder HSM integrieren, ohne besondere optische Infrastruktur. Genau diese Kompatibilität macht sie zum Migrationspfad, den das NIST, das deutsche BSI und die FINMA gewählt haben.
Man begegnet auch den Bezeichnungen quantum-safe und quantum-resistant sowie auf Deutsch «quantensicher» oder «quantenresistent». Sie bezeichnen dasselbe: Mechanismen, deren Sicherheit durch keinen bekannten Angriff, weder klassisch noch quantenbasiert, praktisch geschwächt wird.
Was die FINMA-Aufsichtsmitteilung 05/2026 empfiehlt
Die am 9. Juli 2026 veröffentlichte Aufsichtsmitteilung 05/2026 der FINMA stützt sich auf eine Umfrage bei 60 Schweizer Finanzinstituten. Sie empfiehlt den Instituten, bis Mitte 2027 über eine von der Geschäftsleitung genehmigte PQC-Roadmap zu verfügen, und hält fest, dass die FINMA das Thema aktiv verfolgen und seinen Stellenwert in der Aufsicht stärken will.
Die Umfrage bei 60 Schweizer Finanzinstituten zeigt deutlichen Nachholbedarf: Gemäss den von der FINMA am 9. Juli 2026 veröffentlichten Ergebnissen haben 72 % der befragten Institute weder Massnahmen geplant noch begonnen, und nur 8 % verfügen über eine konkrete Roadmap. Gleichzeitig messen 76 % der Befragten dem kryptografischen Inventar einen hohen oder sehr hohen Wert bei, und 73 % halten Krypto-Agilität für wichtig oder sehr wichtig. Die Lücke zwischen Risikobewusstsein und Umsetzung ist die zentrale Feststellung der Aufsichtsmitteilung.
Die FINMA empfiehlt den beaufsichtigten Instituten, die folgenden sieben Punkte anzugehen:
- Eine von der Geschäftsleitung genehmigte PQC-Strategie festlegen;
- Eine Roadmap mit konkreten Meilensteinen erstellen, die spätestens Mitte 2027 vorliegen muss;
- Eine Risikoanalyse durchführen, die das Szenario Harvest Now, Decrypt Later ausdrücklich einbezieht;
- Ein Inventar der kryptografischen Anwendungen erstellen, das sämtliche Applikationen und Infrastrukturen abdeckt;
- Den Schutz kritischer Daten nach ihrer erforderlichen Vertraulichkeitsdauer priorisieren;
- Krypto-Agilität in Architekturen und Beschaffung verankern;
- PQC-Anforderungen gegenüber externen Dienstleistern beurteilen und vertraglich festhalten.
Der empfohlene Analyseumfang umfasst intern betriebene, ausgelagerte oder als Service bezogene Applikationen und Infrastrukturen (SaaS, Cloud). Die FINMA hält fest, dass sie das Thema aktiv verfolgen und seinen Stellenwert in der laufenden Aufsicht über die Institute stärken will.
Warum bedrohen Quantencomputer die heutige Kryptografie?
Ein kryptografisch relevanter Quantencomputer würde den Shor-Algorithmus ausführen, der grosse Zahlen faktorisiert und den diskreten Logarithmus in polynomieller Zeit löst und damit RSA, Diffie-Hellman und ECC bricht. Der Grover-Algorithmus schwächt symmetrische Verschlüsselung, allerdings nur um die Hälfte der Sicherheitsbits, was der Umstieg auf AES-256 und auf Hashes mit 384 Bit oder mehr ausgleicht.
Eine solche Maschine existiert bis heute nicht, und niemand kann den «Q-Day» mit Sicherheit datieren. Genau diesen Punkt betont die FINMA: Die Unsicherheit über den Zeitpunkt rechtfertigt keine Untätigkeit, denn eine kryptografische Migration in einer grossen Organisation dauert Jahre, nicht Quartale.
Das Risiko Harvest Now, Decrypt Later besteht bereits
Beim Szenario HNDL (Harvest Now, Decrypt Later) werden verschlüsselte Datenströme heute abgefangen und gespeichert, um sie zu entschlüsseln, sobald die Quantenkapazität verfügbar ist. Jeder 2026 aufgezeichnete RSA- oder ECDH-Schlüsselaustausch ist daher potenziell exponiert, unabhängig davon, wie robust die nachfolgende symmetrische Verschlüsselung ist. Die FINMA-Aufsichtsmitteilung 05/2026 empfiehlt, dieses Szenario ausdrücklich in die Risikoanalyse einzubeziehen.
Die richtige Frage lautet nicht «Wann kommt der Q-Day?», sondern «Wie lange müssen diese Daten vertraulich bleiben?». Patientendossiers, Patente, Infrastrukturverträge oder industrielle Steuerungskommunikation behalten ihren Wert über zehn bis dreissig Jahre, also weit über den vorsichtigsten Zeithorizont hinaus, der für die Quantenbedrohung genannt wird.
Post-Quanten-Algorithmen: NIST-Standards und wichtigste Kandidaten
Das NIST hat im August 2024 drei Standards verabschiedet: FIPS 203 ML-KEM (ehemals Crystals-Kyber) für den Schlüsselaufbau, FIPS 204 ML-DSA (ehemals Crystals-Dilithium) und FIPS 205 SLH-DSA (ehemals Sphincs+) für Signaturen. Falcon folgt unter dem Namen FN-DSA (FIPS 206), und HQC wurde im März 2025 als Ausweich-Kapselungsverfahren ausgewählt.
Das 2016 gestartete Standardisierungsverfahren des NIST hat unterwegs mehrere Kandidaten ausgeschieden, darunter SIKE, das 2022 durch einen klassischen Angriff gebrochen wurde. Diese Geschichte erklärt, warum die Behörden eine Diversität der mathematischen Familien empfehlen und warum Krypto-Agilität zur Architekturanforderung wird.
In der Praxis basieren die Deployments 2026 vor allem auf ML-KEM im Hybridmodus, kombiniert mit ECDH im selben TLS-Handshake. Browser und mehrere CDN aktivieren X25519MLKEM768 bereits standardmässig: Lehnt ein Gateway oder ein Applikations-Proxy diese Verbindungen ab, ist das ein erster Hinweis auf kryptografische Altlasten.
Unterschiede zwischen Post-Quanten-Kryptografie und klassischer Kryptografie
Die klassische asymmetrische Kryptografie stützt sich auf Faktorisierung und diskreten Logarithmus, mit kurzen Schlüsseln und ausgereiften Bibliotheken. Post-Quanten-Algorithmen beruhen auf Gittern, Hashes oder Codes, erzeugen deutlich grössere Schlüssel und Signaturen und erfordern eine Überprüfung von Protokollen, Zertifikaten und Netzwerkperformance.
Diese Grössenunterschiede sind für eine kritische Infrastruktur keine Nebensache. Eine Industriesteuerung oder ein intelligenter Zähler, ausgelegt für Datenrahmen von wenigen hundert Byte, kann eine ML-DSA-Zertifikatskette nicht ohne Firmware-Anpassung oder gar Geräteersatz verarbeiten. Das ist einer der Gründe, warum die Energie- und die Verkehrsbranche mit der kryptografischen Bewertung früher beginnen müssen als der Dienstleistungssektor, dessen Erneuerungszyklen kürzer sind.
Drei verbreitete Irrtümer über Post-Quanten-Kryptografie
Die häufigsten Missverständnisse betreffen den vermeintlichen Ersatz von AES, die Verwechslung von QPU und GPU sowie die Überzeugung, ein Hersteller-Update genüge. In allen drei Fällen führt die technische Realität zum selben Schluss: PQC ist ein Architekturprogramm, kein Software-Patch.
PQC ersetzt AES nicht. AES und die Hashfunktionen SHA-2 oder SHA-3 werden durch den Shor-Algorithmus nicht gebrochen. Der Grover-Algorithmus halbiert theoretisch ihre Sicherheit, was der Umstieg auf AES-256 und auf Hashes mit 384 Bit oder mehr ausgleicht. PQC betrifft ausschliesslich die asymmetrische Ebene: Schlüsselaustausch, Signaturen, Zertifikate und Authentifizierung. Eine Post-Quanten-TLS-Session verschlüsselt die Anwendungsdaten weiterhin mit AES-GCM oder ChaCha20.
Eine QPU ersetzt keine GPU. Ein Quantenprozessor ist bei einer eng begrenzten Klasse von Problemen überlegen, darunter Faktorisierung und Molekülsimulation. Für das Training von Modellen, Grafik-Rendering oder gängige Vektorberechnungen bietet er keinen Vorteil. Quantum Computing bedroht Rechenzentren nicht als solche, sondern eine bestimmte Komponente ihrer Sicherheit.
Hersteller-Updates reichen nicht aus. Die Hersteller werden tatsächlich kompatible Bibliotheken liefern. Diese Updates lösen jedoch weder die Frage der intern ausgestellten Zertifikate noch jene der OT-Geräte, die von ihren Herstellern nicht mehr gewartet werden, noch jene der Lieferantenverträge, die ohne Krypto-Agilitäts-Klausel abgeschlossen wurden. Gemäss der FINMA-Umfrage vom Juli 2026 haben 72 % der Schweizer Finanzinstitute weder Massnahmen geplant noch begonnen, was das Risiko verdeutlicht, von der Agenda der Hersteller abhängig zu bleiben.
Quantum-Readiness-Assessment und Migrationsprogramm
Ein Quantum-Readiness-Vorgehen gliedert sich in vier Schritte: Governance und Scoping, kryptografisches Inventar in Form einer CBOM, Risikoanalyse mit HNDL-Priorisierung und schliesslich eine Roadmap mit Meilensteinen und hybriden Pilotprojekten. Die FINMA-Aufsichtsmitteilung 05/2026 empfiehlt den beaufsichtigten Instituten, bis Mitte 2027 über eine von der Geschäftsleitung genehmigte Roadmap zu verfügen.
Das kryptografische Inventar (CBOM) aufbauen
Die erste Schwierigkeit besteht nicht darin, einen Algorithmus zu ersetzen, sondern zu wissen, wo er sich befindet. Eine Cryptographic Bill of Materials (CBOM) erfasst Algorithmen, Protokolle, Zertifikate, Schlüssel, Bibliotheken und Abhängigkeiten und ordnet sie den Applikationen und Geschäftsservices zu. Gemäss der FINMA-Umfrage vom Juli 2026 messen 76 % der befragten Institute diesem Inventar einen hohen oder sehr hohen Wert bei, und 73 % halten Krypto-Agilität für wichtig oder sehr wichtig. Diese beiden Prioritäten schlagen sich derzeit jedoch selten in konkreten Projekten nieder.
Die CBOM muss intern betriebene, ausgelagerte oder als SaaS bezogene Systeme abdecken, entsprechend dem von der FINMA empfohlenen Analyseumfang. Zu klären sind insbesondere folgende Fragen: Welche Algorithmen und Protokolle werden auf welchen Systemen, mit welchen Zertifikaten, Schlüsseln und Bibliotheken eingesetzt? Welche Applikationen hängen von Lieferanten ab, die noch keine PQC-Migration anbieten? Welche verarbeiteten Daten müssen länger als zehn Jahre vertraulich bleiben?
Im Ansatz von SPIE ICS ist dieses Inventar kein einmaliges Deliverable. Cryptographic Posture Management bedeutet, kryptografische Informationsquellen (Netzwerkscans, PKI, Code-Repositories, CMDB, Lieferantenberichte) laufend zu erfassen, zu korrelieren und die Abweichung von der Zielrichtlinie zu messen. So gelangt die Organisation von verstreuten kryptografischen Komponenten zu einer messbaren Sicherheitslage, wie auf unserer Seite zur Quantentransition und Post-Quanten-Kryptografie für den Finanzsektor beschrieben.
Migrationsablauf entlang öffentlicher Meilensteine
Zwei öffentliche Meilensteine strukturieren den Zeitplan jeder Organisation. Erstens der FINMA-Meilenstein Mitte 2027, der Schweizer Finanzinstituten eine von der Geschäftsleitung genehmigte Roadmap empfiehlt. Zweitens der Entwurf NIST IR 8547, der die Abkündigung von Algorithmen mit 112 Bit Sicherheit (RSA-2048, ECC-224) für 2030 und ihre Ausserbetriebnahme für 2035 vorsieht. Diese beiden Horizonte definieren das Handlungsfenster für alle Organisationen, ob sie der FINMA-Aufsicht unterstehen oder nicht.
Der logische Ablauf sieht wie folgt aus: einen Sponsor in der Geschäftsleitung bestimmen und den Umfang abgrenzen; die CBOM prioritär für Datenströme mit langer Vertraulichkeitsdauer und HNDL-Exposition aufbauen; die Risikoanalyse durchführen und blockierende Lieferanten erfassen; hybride TLS- und VPN-Pilotprojekte umsetzen und interne PKI erneuern; Krypto-Agilitäts-Anforderungen in Beschaffung und Architekturen verankern; die Ausserbetriebnahme von RSA und ECC auf den Zeitplan von NIST IR 8547 abstimmen.
Beispiele nach Organisationstyp
Für einen Industriebetrieb mit ICS/SCADA-Netzen liegt die Priorität bei den Fernwirk-Tunneln und bei Geräten mit einer Lebensdauer von über fünfzehn Jahren; SLH-DSA eignet sich hier zur Signierung langlebiger Firmware. Für eine Organisation im Dienstleistungssektor konzentriert sich die Herausforderung auf die interne PKI, Remote-Zugänge und Cloud-Verträge, wo eine Krypto-Agilitäts-Klausel teure Nachverhandlungen vermeidet. Für eine öffentliche Institution oder ein Spital macht es die gesetzliche Schutzdauer von Personendaten erforderlich, HNDL zuerst anzugehen, noch vor der Frage der Performance.
Die Erfahrungsberichte der Konferenz Quantentransition: von der Erkenntnis zur Umsetzung (auf Französisch) veranschaulichen diesen Schritt von der Feststellung zum Programm.
Häufige Fragen zur Post-Quanten-Kryptografie
Was genau ist Post-Quanten-Kryptografie?
Post-Quanten-Kryptografie ist eine Gruppe von Algorithmen für Schlüsselaustausch und digitale Signatur, die Quantencomputern standhalten sollen und dabei auf klassischen Prozessoren laufen. Die Referenzstandards sind ML-KEM (FIPS 203), ML-DSA (FIPS 204) und SLH-DSA (FIPS 205), die das NIST im August 2024 veröffentlicht hat.
Ist PQC ein vollständiger Ersatz für AES und die heutigen Algorithmen?
Nein. PQC ersetzt nur die asymmetrischen Verfahren, die für den Shor-Algorithmus anfällig sind, also RSA, Diffie-Hellman und elliptische Kurven. AES-256 und die Hashfunktionen SHA-2 oder SHA-3 bleiben gegenüber dem Grover-Algorithmus sicher und verschlüsseln weiterhin die Anwendungsdaten.
Was empfiehlt die FINMA Schweizer Finanzinstituten in Bezug auf PQC?
Die am 9. Juli 2026 veröffentlichte Aufsichtsmitteilung 05/empfiehlt jedem Institut, bis Mitte 2027 über eine von der Geschäftsleitung genehmigte PQC-Roadmap zu verfügen. Die Umfrage bei 60 Schweizer Finanzinstituten zeigt, dass 72 % weder Massnahmen geplant noch begonnen haben und nur 8 % über eine konkrete Roadmap verfügen. Die FINMA hat angekündigt, ihre Aufsicht in diesem Bereich zu verstärken.
Welche Quantenangriffe gibt es auf klassische Kryptografie?
Der Shor-Algorithmus bricht RSA, Diffie-Hellman und ECC, indem er Faktorisierung und diskreten Logarithmus in polynomieller Zeit löst. Der Grover-Algorithmus beschleunigt die vollständige Schlüsselsuche bei symmetrischen Verfahren und halbiert damit deren effektive Sicherheit. Das Szenario Harvest Now, Decrypt Later (HNDL) nutzt diese künftigen Angriffe auf Daten, die heute erfasst werden.
Wie lässt sich die Quantum Readiness meiner ICT-Infrastruktur bewerten?
Die Bewertung stützt sich auf ein kryptografisches Inventar (CBOM), das den Geschäftsservices zugeordnet ist, eine Klassifizierung der Daten nach Vertraulichkeitsdauer, eine Analyse der Lieferantenabhängigkeiten und eine Messung der Krypto-Agilität der Architekturen. Gemäss der FINMA-Umfrage vom Juli 2026 anerkennen 76 % der befragten Finanzinstitute den hohen Wert dieses Inventars. Das Ergebnis ist ein Quantum-Readiness-Score und eine priorisierte Roadmap.
Welche Organisationen treiben die Einführung der Post-Quanten-Kryptografie voran?
Das US-amerikanische NIST definiert die Standards (FIPS 203, 204, 205, 206). Das deutsche BSI und die französische ANSSI veröffentlichen Empfehlungen für hybride Deployments. Die IETF integriert PQC in TLS und IPsec. Die PQCA (Post-Quantum Cryptography Alliance) koordiniert die Open-Source-Implementierungen. In der Schweiz setzt die FINMA mit ihrer Aufsichtsmitteilung 05/2026 vom 9. Juli 2026 den aufsichtsrechtlichen Rahmen.
Fazit: zuerst die eigene kryptografische Sicherheitslage kennen
Drei Entscheidungen ermöglichen es, die Transition anzustossen, ohne auf den Ernstfall zu warten. Einen Sponsor in der Geschäftsleitung bestimmen und einen klaren Umfang definieren, denn die FINMA empfiehlt, bis Mitte 2027 über eine auf oberster Ebene genehmigte Strategie zu verfügen. Ein kontinuierlich gepflegtes kryptografisches Inventar (CBOM) aufbauen, denn keine Migration lässt sich planen, ohne die eigene Abhängigkeit von Kryptografie zu kennen. Nach der Schutzdauer der Daten priorisieren statt nach einem hypothetischen Q-Day: Das ist der richtige Ausgangspunkt, unabhängig von jedem Zeitplan für den Einsatz von Quantencomputern.
SPIE ICS begleitet Banken, Industrieunternehmen und öffentliche Institutionen bei der Bewertung ihrer Quantenexposition und beim Aufbau ihres PQC-Transitionsprogramms. Um Ihre Ausgangslage zu besprechen und eine erste Einschätzung Ihrer Quantum Readiness zu erhalten, kontaktieren Sie die Cybersecurity-Spezialisten von SPIE ICS.