Post-Quanten-Kryptografie: die NIST-Standards und wie die Migration funktioniert

Wie NISTs erste Post-Quanten-Standards zusammenpassen, warum die Migration vor dem Q-Day beginnen muss und welche praktischen Schritte Organisationen jetzt bewältigen müssen.

Diese Seite wurde aus dem Englischen übersetzt. Unternehmens- und Produktnamen sowie Quellenlinks bleiben unverändert. Original auf Englisch lesen

Post-Quanten-Kryptografie bezeichnet den Versuch, die heute verwundbare Public-Key-Kryptografie durch Alternativen zu ersetzen, die Angriffen künftiger Quantencomputer standhalten sollen. Mit NISTs ersten drei finalisierten Standards, die 2024 veröffentlicht wurden, ist der Übergang von der Forschung in die Praxis eingetreten: Von Organisationen wird nun erwartet, zu erfassen, wo anfällige Algorithmen eingesetzt werden, zu entscheiden, was zuerst ersetzt werden soll, und eine mehrjährige Migration zu beginnen.

Warum Post-Quanten-Kryptografie nötig ist

Das Problem ist nicht, dass Quantencomputer alles knacken können. Die Hauptsorge ist enger gefasst und wichtiger: Weit verbreitete Public-Key-Systeme beruhen auf mathematischen Problemen wie der Primfaktorzerlegung ganzer Zahlen, diskreten Logarithmen und diskreten Logarithmen auf elliptischen Kurven. Ein hinreichend leistungsfähiger Quantencomputer, der Shor’s algorithm ausführt, könnte diese Probleme effizient lösen und damit Systeme wie RSA, Diffie–Hellman über endlichen Körpern und elliptic-curve Diffie–Hellman untergraben.

Diese Bedrohung ist weiterhin Zukunftsmusik. Stand 2026 verfügen Quantencomputer nicht über die Rechenleistung, um breit eingesetzte kryptografische Systeme zu brechen, und Labordemonstrationen von Shor’s algorithm haben bislang nur mit sehr kleinen Zahlen funktioniert. Das praktische Hindernis ist nicht die theoretische Möglichkeit, sondern die technische Skalierung: Wikipedia weist darauf hin, dass Maschinen mit Millionen von Qubits nötig sein könnten, um klassische Verfahren zu übertreffen, weil die Fehlerkorrektur einen hohen Overhead verursacht.

Trotzdem wäre es ein Fehler, auf einen voll leistungsfähigen Quantencomputer zu warten. Die Migration dauert Jahre, und manche Daten müssen über lange Zeit vertraulich bleiben. Deshalb ist „harvest now, decrypt later“ zu einem zentralen Planungskonzept geworden. Ein Angreifer kann heute verschlüsselten Datenverkehr oder gespeicherte Chiffrate sammeln und aufbewahren, bis künftige Fortschritte eine Entschlüsselung ermöglichen. Bei E-Mail-Archiven, Gesundheitsdaten, geistigem Eigentum, Regierungsunterlagen oder Protokollen kritischer Infrastrukturen kann der Schaden lange nach dem ersten Abfangen der Daten eintreten.

Was sich durch Quanten verändert — und was nicht

Ein verbreitetes Missverständnis ist, dass Quantencomputing jede Kryptografie obsolet macht.

Die meisten heutigen symmetrischen kryptografischen Verfahren und Hash-Funktionen gelten gegenüber Quantenangriffen als vergleichsweise sicher. Grover’s algorithm kann die Brute-Force-Suche gegen symmetrische Chiffren beschleunigen, doch dieser Effekt lässt sich in der Praxis durch größere Schlüssellängen ausgleichen, etwa durch eine Verdopplung der Schlüssellänge. Die größte Umwälzung betrifft daher die Public-Key-Kryptografie, insbesondere:

Schlüsselerzeugung und Schlüsselaustausch
Public-Key-Verschlüsselung und Schlüsselverkapselung
digitale Signaturen

Deshalb konzentriert sich NISTs PQC-Programm auf Key Encapsulation Mechanisms (KEMs) und digitale Signaturalgorithmen, statt alles im Stack auf einmal zu ersetzen.

Was NIST zuerst standardisiert hat

NIST startete seine formale Standardisierungsinitiative Ende 2016 nach einem Aufruf zur Einreichung von Vorschlägen. Laut dem Standardisierungsprotokoll gingen 69 vollständige und ordnungsgemäße Einreichungen in die erste Runde ein, und sieben Kandidaten erreichten die dritte Runde, die im Juli 2020 bekanntgegeben wurde. Nach jahrelanger Evaluierung finalisierte NIST am 13. August 2024 seine ersten drei Standards.

Diese Standards sind:

FIPS 203: ML-KEM, der Module-Lattice-Based Key-Encapsulation Mechanism, basierend auf CRYSTALS-Kyber
FIPS 204: ML-DSA, der Module-Lattice-Based Digital Signature Algorithm, basierend auf CRYSTALS-Dilithium
FIPS 205: SLH-DSA, der Stateless Hash-Based Digital Signature Algorithm, basierend auf SPHINCS+

NIST beschreibt ML-KEM als den primären Standard für allgemeine Verschlüsselung und hebt dabei die vergleichsweise kleinen Verschlüsselungsschlüssel und die hohe Geschwindigkeit hervor. ML-DSA ist der primäre Standard für digitale Signaturen. SLH-DSA basiert auf einem anderen mathematischen Ansatz und ist als Absicherung gedacht, falls sich ML-DSA später als verwundbar erweisen sollte.

NISTs eigene Leitlinien sind eindeutig: Diese drei Standards sind sofort einsatzbereit, und Organisationen sollten jetzt mit ihrer Anwendung beginnen.

Warum es mehrere Standards gibt und nicht einen Sieger

Im Post-Quanten-Bereich gibt es keine einzelne dominierende mathematische Grundlage. Unterschiedliche Familien haben unterschiedliche Stärken, Implementierungseigenschaften und Risikoprofile. NISTs Auswahl folgt einem Portfolio-Ansatz.

Lattice-based cryptography trägt derzeit einen großen Teil der praktischen Einsatzlast. NISTs erste standardisierte gitterbasierte Algorithmen sind ML-KEM und ML-DSA. Sie sind unter anderem wegen ihrer Leistung und handhabbaren Schlüsselgrößen attraktiv.

Aber Diversifizierung ist wichtig. NIST wählte SLH-DSA, ein hashbasiertes Signaturverfahren, als Absicherung zur primären gitterbasierten Signatur. Dann wählte NIST am 11. März 2025 HQC als Backup-KEM für allgemeine Verschlüsselung. HQC ist code-based, nicht gitterbasiert, und NIST erklärte, dass genau dieser unterschiedliche mathematische Ansatz der Grund dafür sei, es als Rückfalloption bereitzuhalten.

Die strategische Botschaft lautet: Setze die Zukunft digitalen Vertrauens nicht auf nur eine Annahme.

Die nächsten Standards in der Pipeline

NISTs PQC-Arbeit endete nicht mit der Veröffentlichung von 2024.

Auf der CSRC-Projektseite heißt es, dass NIST die Standardisierungsarbeit an folgenden Verfahren fortsetzt:

Falcon, ein Algorithmus für digitale Signaturen
HQC, ein Schlüsselverkapselungsmechanismus

Das Standardisierungsprotokoll besagt, dass der auf Falcon basierende Standard FN-DSA in FIPS 206 heißen wird. Mitte 2026 befand er sich weiterhin im Entwurfsstatus. Als Grund für den langsameren Zeitplan wird die Komplexität der Implementierung genannt: FN-DSA stützt sich beim Signaturprozess auf Gaußsches Sampling mit Gleitkommazahlen, das laut NIST schwerer sicher und in konstanter Zeit zu implementieren ist als die drei bereits finalisierten Standards.

Für HQC erklärte NIST im März 2025, dass ein Standardentwurf in etwa einem Jahr erwartet werde und nach öffentlicher Kommentierung 2027 ein finaler Standard folgen solle.

Dieser gestaffelte Zeitplan ist operativ relevant. Organisationen müssen nicht auf jede künftige Option warten, bevor sie handeln. NIST erwartet, dass ML-KEM, ML-DSA und SLH-DSA die Grundlage für die meisten Implementierungen bilden, und sagt, dass sie bereits jetzt eingesetzt werden sollten.

Eine schnelle Übersicht über die ersten Standards

Standard	Algorithmusname	Hauptaufgabe	Mathematische Familie	Rollenbeschreibung von NIST
FIPS 203	ML-KEM	Schlüsselaufbau / Unterstützung allgemeiner Verschlüsselung	Gitterbasiert	Primärstandard für allgemeine Verschlüsselung
FIPS 204	ML-DSA	Digitale Signaturen	Gitterbasiert	Primärstandard für Signaturen
FIPS 205	SLH-DSA	Digitale Signaturen	Hashbasiert	Backup-Signaturmethode
Kommend	FN-DSA	Digitale Signaturen	NTRU-gitterbasiert	Zusätzlicher Signaturstandard in Entwicklung
Kommend	HQC	Schlüsselaufbau / Unterstützung allgemeiner Verschlüsselung	Code-basiert	Backup-KEM für ML-KEM

Wie Migration tatsächlich funktioniert

Bei der Migration geht es weniger darum, eine Bibliothek auszutauschen, als vielmehr darum, kryptografische Abhängigkeiten systemübergreifend neu zu gestalten.

NISTs Migrationsleitfaden besagt, dass Organisationen ermitteln müssen, wo verwundbare Algorithmen eingesetzt werden, und Updates oder Ersatz für Produkte, Dienste und Protokolle planen müssen. Das bedeutet, Kryptografie auch an Stellen aufzuspüren, an denen sie oft schlecht dokumentiert ist:

TLS-Terminierung und interne Service-zu-Service-Verbindungen
VPNs und Systeme für den Fernzugriff
PKI und Zertifikats-Workflows
Code-Signing und Dokumentsignatur
Hardware-Sicherheitsmodule und Firmware-Update-Systeme
Werkzeuge für Identitäts-, Zugriffs- und Schlüsselmanagement
eingebettete Geräte und Betriebstechnik
langlebig gespeicherte Daten, die durch alte Verfahren zum Schlüsselaufbau geschützt sind

Der erste Schritt ist meist die Krypto-Inventarisierung: Wo werden RSA, Diffie–Hellman oder elliptische-Kurven-Verfahren eingesetzt, direkt oder über Produkte von Drittanbietern? Der zweite ist die Priorisierung: Welche Systeme sind besonders riskant, weil sie langlebige Geheimnisse verarbeiten oder schwer aufzurüsten sind? Der dritte ist die Umsetzung: Tests, Interoperabilitätsarbeit, stufenweise Einführung und Anpassungen von Richtlinien.

NISTs Zeitplan erhöht den Handlungsdruck. Laut dem auf der CSRC-Seite genannten Übergangszeitplan plant NIST, quantenanfällige Algorithmen bis 2035 aus seinen Standards herabzustufen und schließlich zu entfernen; Systeme mit höherem Risiko sollen deutlich früher umgestellt werden.

Die größten technischen Zielkonflikte

Die Post-Quanten-Migration ist nicht nur eine Compliance-Übung. Sie bringt reale technische Kompromisse mit sich.

Ein grundlegender Zielkonflikt ist Größe versus Effizienz. NISTs PQC-Materialien weisen darauf hin, dass viele PQC-Algorithmen größere Schlüssel als Public-Key-Systeme aus der Zeit vor Quantencomputern verwenden. Sie beschreiben außerdem Zielkonflikte zwischen Schlüsselgröße, Recheneffizienz und der Größe von Chiffraten oder Signaturen. Bei internetnahen Protokollen und ressourcenbeschränkten Geräten können sich diese Unterschiede auf Bandbreite, Latenz, Speicherbedarf und Implementierungskomplexität auswirken.

Ein weiterer Zielkonflikt ist Reife versus Diversität. Gitterbasierte Systeme dominieren derzeit die ersten Standards, weil sie in NISTs Evaluierungen gut genug abschnitten, um die primären Optionen zu werden. Aber Konzentrationsrisiken sind real, weshalb Backup-Standards auf Grundlage anderer Mathematik entwickelt werden.

Die Sicherheit der Implementierung ist ein drittes Thema. Im Standardisierungsprotokoll werden Side-Channel-Bedenken bei Falcon erwähnt, und es wird darauf hingewiesen, dass mögliche Gegenmaßnahmen die Leistung beeinträchtigen können. Allgemeiner gesagt kann ein kryptografisches Design auf dem Papier stark aussehen und sich in der Praxis dennoch nur schwer sicher implementieren lassen.

Was die Standards nicht klären

Die Existenz eines Standards beweist keine ewige Sicherheit. Man nimmt an, dass Post-Quanten-Algorithmen Quantenangriffen standhalten, bewiesen ist das nicht. Dieser Vorbehalt ist im Feld selbst angelegt.

Aus dem NIST-Prozess lassen sich zudem Lehren ziehen. Einige Kandidaten wurden während der Evaluierung gebrochen. Wikipedia nennt zwei besonders sichtbare Beispiele: Rainbow wurde in der dritten Runde auf einem klassischen Computer gebrochen, und SIKE wurde in der vierten Runde gebrochen. Diese Fehlschläge entwerten PQC insgesamt nicht; sie zeigen, warum öffentliche Kryptanalyse und konservative Standardisierung Zeit brauchen.

Offene Fragen bestehen weiterhin bei:

langfristigem Vertrauen in die gewählten mathematischen Probleme
Implementierungsqualität bei Anbietern und in Open-Source-Stacks
Side-Channel-Resistenz in realer Hardware und Software
Interoperabilität in Protokollen und Zertifikatsökosystemen
der Frage, wie stark Organisationen über verschiedene Algorithmusfamilien diversifizieren sollten

Eine praktische Denkweise für die Frage „Wann umsteigen?“

Für die meisten Organisationen lautet die richtige Frage nicht „Ist Q-Day schon nächstes Jahr?“, sondern „Wie lange wird unsere Migration dauern, und wie lange müssen unsere Daten sicher bleiben?“

Wenn Ihre Systeme tief eingebettet, reguliert, weltweit verteilt oder von Anbietern abhängig sind, kann der Übergang langsam verlaufen. Wenn Ihre Daten auch noch in Jahren sensibel wären, macht das Harvest-now-Risiko Verzögerungen kostspieliger. Diese Logik erklärt, warum NIST zur sofortigen Einführung der Standards von 2024 drängt, obwohl Quantencomputer die erforderliche Größenordnung noch nicht erreicht haben.

Kurz gesagt ist die PQC-Migration ein klassischer Infrastrukturobergang: Man beginnt vor dem Notfall, denn sobald der Notfall offensichtlich ist, ist es zu spät für einen reibungslosen Umstieg.

Wichtigste Erkenntnisse

Bei Post-Quanten-Kryptografie geht es vor allem darum, verwundbare Public-Key-Systeme zu ersetzen, nicht darum, alle bestehende Kryptografie zu verwerfen.
Ein hinreichend leistungsfähiger Quantencomputer, der Shor’s algorithm ausführt, könnte RSA, Diffie–Hellman und elliptic-curve Diffie–Hellman brechen.
NIST finalisierte am 13. August 2024 seine ersten drei PQC-Standards: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA).
NIST sagt, dass diese Standards jetzt einsatzbereit sind und Organisationen sofort mit der Migration beginnen sollten.
ML-KEM ist der primäre Standard für allgemeinen schlüsselbasierten Aufbau im Zusammenhang mit Verschlüsselung; ML-DSA ist der primäre Signaturstandard; SLH-DSA ist eine Backup-Signaturmethode.
Im März 2025 wählte NIST HQC als Backup-KEM, das auf anderer Mathematik als ML-KEM basiert.
Die Migration beginnt damit, aufzudecken, wo verwundbare Algorithmen eingesetzt werden, dann Hochrisikosysteme zu priorisieren und einen stufenweisen Ersatz zu planen.
Wichtige Zielkonflikte sind größeres Schlüsselmaterial, Kosten bei Leistung und Bandbreite, Implementierungskomplexität sowie der Wert mathematischer Diversität.
PQC-Standards verringern künftige Risiken, beseitigen aber keine Unsicherheit; fortlaufende Kryptanalyse, Überprüfung der Implementierung und operative Tests bleiben essenziell.
Die eigentliche Dringlichkeit ergibt sich aus langen Übergangszeiten und der Möglichkeit von harvest now, decrypt later-Angriffen auf Daten, die über Jahre vertraulich bleiben müssen.