Quantenschlüsselverteilung vs. Post-Quanten-Kryptografie: wogegen beide jeweils schützen

Wie sich Quantenschlüsselverteilung und Post-Quanten-Kryptografie in Zielen, Annahmen, Einführungs-Trade-offs und den jeweils adressierten Bedrohungen unterscheiden.

Diese Seite wurde aus dem Englischen übersetzt. Unternehmens- und Produktnamen sowie Quellenlinks bleiben unverändert. Original auf Englisch lesen

Quantenschlüsselverteilung und Post-Quanten-Kryptografie werden oft gemeinsam als „quantenresistente“ Technologien eingeordnet, lösen aber auf unterschiedliche Weise unterschiedliche Probleme. QKD ist ein Verfahren zur Erzeugung gemeinsamer geheimer Schlüssel, dessen Sicherheit an quantenmechanisches Verhalten gebunden ist, während PQC eine Familie überwiegend asymmetrischer Algorithmen ist, die heutige digitale Systeme gegen künftige Quantencomputer absichern soll.

In der Praxis lautet die Wahl meist nicht entweder/oder. Bei QKD geht es um den Schlüsselaustausch mit Erkennung von Abhörversuchen unter bestimmten physikalischen und Netzannahmen; bei PQC geht es darum, verwundbare kryptografische Bausteine in bestehender Infrastruktur zu ersetzen. Zu verstehen, wogegen beides jeweils schützt, beginnt mit genau dieser Unterscheidung.

Zwei unterschiedliche Antworten auf die Quantenbedrohung

Das Grundproblem hinter beiden Ansätzen ist, dass Quantencomputer viele weit verbreitete Public-Key-Systeme bedrohen. Laut Wikipedias Zusammenfassung zur Post-Quanten-Kryptografie beruhen die meisten eingesetzten Public-Key-Algorithmen auf Ganzzahlfaktorisierung, diskreten Logarithmen oder elliptischen Kurven über diskreten Logarithmen, und ein hinreichend leistungsfähiger Quantencomputer könnte mit Shor’s Algorithmus diese Probleme effizient lösen.

Das bedeutet nicht, dass schlagartig die gesamte Kryptografie bricht. In der Wikipedia-Zusammenfassung heißt es auch, dass heutige symmetrische Kryptografie und Hash-Funktionen gegenüber Quantenangriffen als relativ sicher gelten, obwohl Grover’s Algorithmus die Brute-Force-Suche beschleunigen kann und sich das in der Praxis durch eine Verdopplung der Schlüssellänge abmildern lässt.

Von hier aus trennen sich die Wege von QKD und PQC:

QKD soll es zwei Parteien ermöglichen, mithilfe von Quantenzuständen einen gemeinsamen zufälligen geheimen Schlüssel zu erzeugen.
PQC soll verwundbare klassische Public-Key-Algorithmen durch neue Verfahren ersetzen, von denen derzeit angenommen wird, wenn auch nicht bewiesen, dass sie Quantenangriffen standhalten.

Dieser Unterschied im Umfang ist wichtig. QKD verschlüsselt Ihre Anwendungsdaten nicht selbst; es verteilt Schlüssel. PQC dagegen soll genau dort eingesetzt werden, wo Public-Key-Kryptografie bereits heute für Schlüsselaustausch und digitale Signaturen verwendet wird.

Wogegen QKD schützt

QKD ist ein sicheres Kommunikationsverfahren auf Basis der Quantenmechanik, einschließlich des Messstörungsprinzips und des No-Cloning-Theorems. Sein Zweck ist es, zwei Parteien die Erzeugung eines gemeinsamen geheimen Schlüssels zu ermöglichen, den nur sie kennen.

Seine besondere Sicherheitseigenschaft ist die Erkennung von Abhörversuchen. Allgemein gilt: Die Messung eines Quantensystems stört dieses System. Wenn also eine dritte Partei versucht, den Schlüssel durch Messen der übertragenen Quantenzustände zu erfahren, erzeugt dieser Eingriff Anomalien, die die legitimen Parteien erkennen können. Liegt die beobachtete Störung unterhalb eines Schwellenwerts, können sie unter Umständen dennoch einen sicheren Schlüssel ableiten; ist sie zu hoch, brechen sie ab.

Der Wikipedia-Artikel zur Quantenschlüsselverteilung beschreibt die Sicherheit von QKD als auf Physik statt auf der angenommenen Schwierigkeit mathematischer Probleme beruhend. Er beschreibt QKD außerdem als beweisbar sicher auf informationstheoretischer Grundlage und als Verfahren mit Forward Secrecy.

Allerdings schützt QKD nur einen engeren Teil des Problems, als viele annehmen:

Es schützt den Prozess der Schlüsselverteilung.
Es überträgt nicht direkt die Nachrichtendaten.
Der resultierende Schlüssel muss weiterhin mit einem Verschlüsselungsverfahren wie einem One-Time Pad oder einem symmetrischen Algorithmus wie AES verwendet werden.

Wenn also die Frage lautet „Wogegen schützt QKD?“, dann ist die Antwort: Es schützt die Vertraulichkeit des Schlüsselaustauschs selbst unter den Annahmen des Protokolls und der Implementierung, indem es Abhören auf dem Quantenkanal erkennbar macht.

Wie QKD auf hoher Ebene funktioniert

Der Wikipedia-Artikel zur Quantenschlüsselverteilung beschreibt zwei große Familien von QKD-Protokollen.

Prepare-and-measure

In diesem Modell präpariert eine Partei Quantenzustände und sendet sie über einen unsicheren Quantenkanal. Der Empfänger misst sie. Später vergleichen beide Seiten über einen authentifizierten klassischen Kanal begrenzte Informationen, um zu prüfen, ob die Messungen mit einer ungestörten Übertragung konsistent sind.

Ist das nicht der Fall, schließen sie auf mögliches Abhören oder übermäßiges Rauschen und brechen gegebenenfalls ab.

Das bekannteste Beispiel ist BB84, eingeführt von Charles H. Bennett und Gilles Brassard im Jahr 1984. Bei BB84 kodiert der Sender zufällige Bits in einer von zwei möglichen Basen, und der Empfänger misst jeden eingehenden Quantenzustand mit einer zufällig gewählten Basis. Anschließend vergleichen sie öffentlich ihre Basiswahl und verwerfen die Positionen, an denen sie unterschiedliche Basen verwendet haben. Danach testen sie eine Teilmenge der verbleibenden Bits auf Fehler; zu viele Fehler bedeuten, dass Sicherheit nicht garantiert werden kann.

Verschränkungsbasiert

Diese Protokolle verwenden verschränkte Zustände, die zwischen den beiden Parteien geteilt werden. Wikipedia erklärt, dass die Messung einer Hälfte eines verschränkten Paars das Gesamtsystem beeinflusst und dass ein Abfangen die Korrelationen auf erkennbare Weise verändert. Ein genanntes Beispiel ist E91, vorgeschlagen von Artur Ekert im Jahr 1991.

Für Nicht-Spezialisten ist der entscheidende Punkt, dass beide Familien dasselbe Ziel verfolgen: einen gemeinsamen geheimen Schlüssel zu erzeugen und dabei Abfangen sichtbar zu machen.

QKDs versteckte Abhängigkeit: Authentifizierung

Das zentrale Merkmal von QKD kann eine entscheidende Voraussetzung verdecken. Der Wikipedia-Artikel zur Quantenschlüsselverteilung erklärt, dass QKD in der Regel auf einen authentifizierten klassischen Kanal angewiesen ist. So wissen die beiden Parteien in der Phase der öffentlichen Diskussion, dass sie tatsächlich miteinander sprechen und nicht mit einem Angreifer, der sich als jemand anderes ausgibt.

Daraus ergibt sich eine wichtige praktische Einschränkung:

Um diesen klassischen Kanal zu authentifizieren, benötigen die Parteien bereits eine vertrauenswürdige kryptografische Grundlage, etwa einen zuvor ausgetauschten symmetrischen Schlüssel oder hinreichend sichere Public Keys.

Das bedeutet, dass QKD das Authentifizierungsproblem nicht beseitigt. Es löst die Schlüsselverteilung unter der Annahme, dass Authentifizierung bereits verfügbar ist.

Der Wikipedia-Artikel ist in der Folge ungewöhnlich deutlich: Wenn man bereits über das verfügt, was für eine sichere Authentifizierung nötig ist, dann kann man in der Praxis unter Umständen auch ohne QKD sichere Kommunikation erreichen, mithilfe konventioneller symmetrischer Kryptografie. Dort wird QKD sogar als Verfahren charakterisiert, das die Aufgabe einer Stromchiffre zu deutlich höheren Kosten erfüllt.

Das ist einer der zentralen Trade-offs in der QKD-Debatte. Das Sicherheitsmodell ist attraktiv, aber die Last auf Systemebene bei der Einführung ist erheblich.

Wogegen PQC schützt

PQC adressiert eine andere Angriffsfläche. Gemeint ist die Entwicklung kryptografischer Algorithmen, meist Public-Key-Algorithmen, von denen derzeit angenommen wird, dass sie auch Angriffen durch Quantencomputer standhalten.

Das Hauptziel ist das künftige Versagen heutiger Public-Key-Systeme. Wikipedias Zusammenfassung zur Post-Quanten-Kryptografie hebt außerdem zwei Gründe hervor, warum eine Migration schon vor dem Vorhandensein großer Quantencomputer dringend ist:

Migration braucht Zeit.
Harvest now, decrypt later ist eine reale Sorge: Heute gesammelte Daten können auch in vielen Jahren noch sensibel sein.

PQC schützt daher vor zwei miteinander verbundenen Risiken:

Künftiger Entschlüsselung von Daten, die heute mit quantenanfälligen Public-Key-Verfahren geschützt werden.
Künftiger Fälschung oder dem Versagen von Authentizitätsmechanismen, die auf denselben verwundbaren Verfahren beruhen.

Anders als QKD basiert PQC nicht auf Quantenkommunikationshardware. Es ist ein klassischer kryptografischer Übergang: Algorithmen in Software, Hardware, Protokollen und Standards werden ersetzt.

PQC ist breiter als nur eine Verfahrensfamilie

Wikipedias Zusammenfassung zur Post-Quanten-Kryptografie nennt mehrere Forschungsrichtungen innerhalb von PQC, darunter gitterbasierte, multivariate, hashbasierte, codebasierte und isogeniebasierte Kryptografie sowie Ansätze mit symmetrischen Schlüsseln und hinreichend großen Schlüssellängen.

Eine zentrale Nuance ist, dass PQC nicht pauschal als bewiesen sicher gilt. Wikipedia beschreibt diese Systeme wiederholt als derzeit als sicher eingeschätzt und weist darauf hin, dass einige Kandidaten gescheitert sind. Ein markantes Beispiel ist SIDH/SIKE, das 2022 gebrochen wurde.

Das untergräbt PQC als Ganzes nicht, zeigt aber, dass „quantenresistent“ kein dauerhaftes Etikett ist. Es handelt sich um einen Forschungs- und Standardisierungsprozess, der auf fortlaufender Kryptoanalyse beruht.

Einige Familien verfügen über stärkere formale Reduktionen als andere, und einige bringen praktische Trade-offs wie größere Schlüssel, Signaturen oder Chiffrate mit sich. Wikipedia weist darauf hin, dass viele PQC-Algorithmen größere Schlüsselgrößen benötigen als Public-Key-Systeme aus der Vor-Quanten-Ära und dass dies Trade-offs bei Übertragungsgröße und Recheneffizienz verursachen kann.

Standardisierung und Realität bei der Einführung

Das deutlichste Signal zum praktischen Status von PQC kommt von NIST.

NIST erklärt, dass es seine wichtigsten PQC-Standards im Jahr 2024 veröffentlicht hat und dass Organisationen jetzt mit der Migration beginnen sollten. Aufgelistet sind folgende Standards:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST sagt außerdem, diese Standards sollten die Grundlage für die meisten Einführungen bilden, und weitere Standards seien in Arbeit, darunter Falcon und HQC. Weiter heißt es, dass nach dem Übergangszeitplan in NIST IR 8547 quantenanfällige Algorithmen bis 2035 in NIST-Standards zurückgestuft und schließlich entfernt werden, wobei Systeme mit höherem Risiko früher betroffen sind.

Das ist ein wichtiger Unterschied zu QKD. Unabhängig davon, wie man die langfristigen Vorzüge des einen oder anderen Ansatzes bewertet, befindet sich PQC bereits auf einem standardbasierten Migrationspfad, der auf eine breite Einführung in gewöhnlicher digitaler Infrastruktur abzielt.

Direktvergleich: Wogegen beide jeweils schützen

Aspekt	Quantenschlüsselverteilung	Post-Quanten-Kryptografie
Primärer Zweck	Einen gemeinsamen geheimen Schlüssel erzeugen	Verwundbare Public-Key-Algorithmen ersetzen
Sicherheitsgrundlage	Quantenmechanik und erkennbare Störung	Klassische Algorithmen, die als resistent gegen Quantenangriffe gelten
Was direkt geschützt wird	Die Vertraulichkeit der Schlüsselverteilung	Schlüsselaustausch, Signaturen und andere Public-Key-Funktionen in digitalen Systemen
Erkennung von Abhörversuchen	Ja, als eingebaute Protokolleigenschaft	Keine gleichwertige physikalische Erkennungseigenschaft
Hardware-Anforderung	Erfordert einen Quantenkanal plus klassischen Kanal	Läuft auf klassischer digitaler Infrastruktur
Authentifizierungsbedarf	Erfordert einen authentifizierten klassischen Kanal	Bietet selbst Authentifizierungsmechanismen über Signatur-/KEM-Standards
Einführungsmodell	Spezialisierte Verbindungen und Protokoll-Setup	Migration von Software, Hardware und Protokollen über bestehende Systeme hinweg
Wichtigster belegter Trade-off	Hohe Kosten und Abhängigkeit von vorheriger Authentifizierung	Größere Schlüssel/Signaturen und fortlaufendes Risiko bei der Algorithmusbewertung

Also was schützt „mehr“?

Keines von beiden schützt pauschal mehr; sie schützen unterschiedlich.

QKD bietet einen besonderen Sicherheitsanspruch für die Schlüsselverteilung: Ein Abfangversuch auf dem Quantenkanal ist prinzipiell erkennbar. Für Anwendungen, in denen genau diese Eigenschaft entscheidend ist, kann QKD attraktiv sein. Dem stehen jedoch anspruchsvolle Annahmen gegenüber, insbesondere die Notwendigkeit eines authentifizierten klassischen Kanals und spezialisierter Kommunikationsinfrastruktur.

PQC adressiert das breitere und unmittelbarere Systemproblem: den Ersatz von Public-Key-Kryptografie, die ein künftiger Quantencomputer brechen könnte. PQC bietet nicht die physikbasierte Erkennung von Abhörversuchen wie QKD, ist aber darauf ausgelegt, genau die kryptografischen Funktionen im großen Maßstab abzusichern, von denen moderne Netze tatsächlich abhängen.

Anders formuliert:

Wenn Ihre Sorge darin besteht, wie zwei Endpunkte über einen quantenbeobachtbaren Kanal Schlüssel austauschen, dann ist QKD das relevante Werkzeug.
Wenn Ihre Sorge darin besteht, wie das Internet, Software-Lieferketten, Identitätssysteme und langlebig verschlüsselte Daten die Ankunft von Quantenangriffen überstehen, dann ist PQC die zentrale Antwort.

Offene Fragen und Trade-offs

Eine ausgewogene Sicht sollte mehrere Unsicherheiten im Blick behalten.

Für QKD:

Seine Sicherheitsargumentation ist in der Theorie stark, hängt aber von korrekter Implementierung ab.
Es beseitigt nicht die Notwendigkeit von Authentifizierung.
Wikipedia stellt ausdrücklich die praktische Frage, ob die zusätzlichen Kosten gerechtfertigt sind, wenn klassische authentifizierte Verschlüsselung den Bedarf möglicherweise bereits erfüllt.

Für PQC:

Von diesen Algorithmen wird angenommen, nicht bewiesen, dass sie gegen Quantenangriffe sicher sind.
Einige Kandidatenfamilien oder Verfahren sind unter Kryptoanalyse gescheitert.
Die praktische Einführung kann größere Schlüssel und andere Performance-Trade-offs mit sich bringen.

Dennoch verweist NIST auf einen aktuellen operativen Konsens: jetzt in Richtung standardisierter PQC migrieren, weil ein Warten auf vollständig ausgereifte Quantencomputer zu wenig Zeit lassen könnte, um langlebige Vertraulichkeit und Authentizität zu schützen.

Die wichtigsten Punkte

QKD und PQC sind nicht in einem einfachen Sinn austauschbar. QKD verteilt geheime Schlüssel; PQC ersetzt verwundbare Public-Key-Kryptografie.
Das herausragende Merkmal von QKD ist die erkennbare Abhörung auf dem Quantenkanal, die auf Messstörung in der Quantenmechanik beruht.
QKD verschlüsselt Nachrichten nicht selbst und erfordert gewöhnlich einen authentifizierten klassischen Kanal, was bedeutet, dass bereits irgendeine Vertrauensgrundlage vorhanden sein muss.
PQC zielt auf das breitere Migrationsproblem, das durch Quantenbedrohungen für heutige Public-Key-Systeme entsteht.
Heutige symmetrische Kryptografie wird durch Quantencomputing weniger stark beeinträchtigt als heutige Public-Key-Kryptografie, auch wenn größere Schlüssellängen sinnvoll sein können.
PQC hält bereits Einzug in Mainstream-Standards. NIST hat FIPS 203, 204 und 205 im Jahr 2024 veröffentlicht und sagt, Organisationen sollten jetzt mit der Migration beginnen.
Keiner der Wege ist kostenlos. QKD bringt Infrastruktur- und Authentifizierungsaufwand mit sich; PQC bringt algorithmische Unsicherheit und Performance-Trade-offs wie größere Schlüssel.
Für die meisten Organisationen ist PQC die primäre kurzfristige Antwort auf Quantenrisiken, während QKD ein enger gefasstes und stärker spezialisiertes Sicherheitsziel adressiert.