Ein sicherer Weg in eine Post-Quanten-Welt

Durch die Nutzung der Gesetzmäßigkeiten der Quantenmechanik eröffnen leistungsfähige, fehlertolerante Quantencomputer die Aussicht, bestimmte Problemklassen zu lösen, die selbst die modernsten heutigen Computersysteme an ihre Grenzen bringen.

Besonders großes Potenzial wird ihnen bei kombinatorischen Optimierungsaufgaben zugeschrieben. Sie könnten hochgradig effiziente Lieferketten ermöglichen oder optimale Anlagestrategien berechnen. Als klassisches Beispiel gilt das sogenannte Traveling-Salesperson-Problem. Dabei geht es darum, für eine festgelegte Anzahl geografisch verteilter Städte die kürzeste Reiseroute zu ermitteln. Sind lediglich fünf Städte zu besuchen, existieren 24 mögliche Routen. Mit jeder weiteren Station wächst die Zahl der Kombinationen jedoch exponentiell. Bereits bei 20 Städten müssen mehr als sechs Billiarden mögliche Routen berücksichtigt werden. Für klassische Computer ist eine solche Berechnung praktisch nicht zu bewältigen, während sie ein Quantencomputer theoretisch in kurzer Zeit lösen könnte.¹

Neben der kombinatorischen Optimierung versprechen Quantencomputer erhebliche Fortschritte bei der Lösung von Differentialgleichungen. Dadurch lassen sich komplexe Systeme deutlich präziser modellieren, von chemischen Reaktionen bis hin zur Dynamik des Klimas. Auch in der linearen Algebra eröffnen sich neue Möglichkeiten. Das könnte unter anderem das Training von KI-Modellen beschleunigen und die Erkennung komplexer Betrugsmuster erheblich verbessern.

Die Technologie birgt jedoch auch erhebliche Risiken. Quantencomputer sind besonders leistungsfähig bei der Faktorisierung, also der Zerlegung großer Zahlen in ihre Primfaktoren. Genau darauf beruht jedoch die Sicherheit eines Großteils der heutigen Public-Key-Kryptografie, insbesondere des RSA Verfahrens. Dessen Schutzmechanismus basiert darauf, dass die Faktorisierung großer Zahlen für herkömmliche Computer praktisch nicht lösbar ist.

Auch ein weiteres weit verbreitetes Verfahren der Public Key Kryptografie, die Elliptic Curve Cryptography (ECC), gilt durch Quantencomputer als gefährdet. Ihre Sicherheit beruht auf der Schwierigkeit, das sogenannte diskrete Logarithmusproblem auf elliptischen Kurven zu lösen. Auch diese mathematische Hürde könnte leistungsfähige Quantencomputer künftig überwinden.

Kurz gesagt: Quantencomputer werden voraussichtlich in der Lage sein, die heute eingesetzten Verschlüsselungsverfahren zu brechen, die digitale Werte und Kommunikationssysteme in Wirtschaft, Staat und Privatleben schützen.

Besonders zwei Bedrohungsszenarien stehen dabei im Mittelpunkt. Das erste ist als „Harvest now, decrypt later“ bekannt. Dabei zeichnen Angreifer bereits heute verschlüsselte Daten auf, um sie zu einem späteren Zeitpunkt mit leistungsfähigen Quantencomputern zu entschlüsseln und auszuwerten.

Wann dieser Zeitpunkt erreicht sein wird, oft als „Q Day“ bezeichnet, wird unterschiedlich eingeschätzt. Viele Fachleute gehen davon aus, dass zwischen 2030 und 2040 Quantencomputer verfügbar sein werden, die leistungsfähig genug sind, gängige Public Key Verschlüsselungsverfahren zu kompromittieren. Regulierungsbehörden und staatliche Stellen weltweit fordern Unternehmen und Organisationen deshalb auf, ihre Systeme bis spätestens 2035 vollständig auf Post-Quantum-Cryptography (PQC) umzustellen.

Die zweite große Herausforderung ergibt sich aus den langen Lebenszyklen vieler sicherheitskritischer Systeme. Ein Personalausweis, ein Führerschein oder ein Reisepass muss über zehn Jahre oder länger vertrauenswürdig bleiben. Deshalb ist es entscheidend, diese Systeme bereits heute gegen künftige Angriffe durch Quantencomputer abzusichern.

Die Herausforderung Post-Quantum-Kryptografie meistern

Die gute Nachricht lautet: Weltweit arbeiten Forschung, Industrie und Standardisierungsgremien mit Hochdruck daran, standardisierte Verschlüsselungsverfahren zu entwickeln und einzuführen, die Daten und Systeme sowohl heute als auch im Quantenzeitalter schützen.

Harald Vater, Leiter der Abteilung Kryptografie bei G+D, ordnet die Entwicklungen ein: „Der überwiegende Teil der heutigen IT-Sicherheit basiert auf Public-Key-Cryptography. Sie ermöglicht Verschlüsselung und Authentifizierung. Die wichtigsten Verfahren sind RSA und ECC. Beide beruhen auf mathematischen Problemen, die mit den heute verfügbaren Computersystemen praktisch nicht lösbar sind.“

RSA basiert auf der Schwierigkeit, das Produkt zweier großer Primzahlen wieder in seine Faktoren zu zerlegen, der sogenannten ganzzahligen Faktorisierung. ECC (Elliptic Curve Cryptography) wiederum nutzt die algebraische Struktur elliptischer Kurven über endlichen Körpern.

„Jedes Mal, wenn wir unsere Identität nachweisen, eine Finanztransaktion durchführen oder eine E-Mail versenden, verlassen wir uns darauf, dass diese kryptografischen Verfahren sensible Informationen schützen und deren Integrität gewährleisten. Solange die zugrunde liegenden mathematischen Probleme für klassische Computer unlösbar bleiben, gelten die Verfahren als sicher“, erklärt Vater.

Noch sind vollständig fehlertolerante Quantencomputer Zukunftsmusik. „Die heutige Generation von Quantencomputern verfügt noch nicht über die notwendige Leistungsfähigkeit. Die derzeitige Generation von störanfälligen Quantencomputern stellt keine Bedrohung für die Kryptografie mit öffentlichen Schlüsseln dar.“, sagt Vater.

Sollten Quantencomputer jedoch bei Fehlertoleranz und Skalierbarkeit entscheidende Fortschritte machen und große Zahlen effizient faktorisieren können, entsteht ein gravierendes Problem. Dann wären sämtliche durch IT-Sicherheit geschützten Systeme angreifbar, von Smartcards über Unternehmensdatenbanken bis hin zur gesamten Internetkommunikation.

„Falls – und viele würden inzwischen sagen: sobald – ein leistungsfähiger Quantencomputer Realität wird, ist es zu spät, erst dann über geeignete Gegenmaßnahmen nachzudenken. Wir müssen vorbereitet sein. Für Unternehmen und Behörden, die sich noch nicht mit Post-Quantum-Kryptografie beschäftigen, ist jetzt der richtige Zeitpunkt zu handeln“, sagt Vater.

Mehrere strukturelle Faktoren unterstreichen die Dringlichkeit:

Mehrjährige Migration über zahlreiche Systeme hinweg: Kryptografie ist tief in nahezu allen digitalen Architekturen verankert. Der Umstieg auf quantensichere Algorithmen erfordert umfassende Bestandsaufnahmen, die Priorisierung kritischer Systeme und eine schrittweise Einführung. Dieser Prozess wird sich voraussichtlich über mehrere Jahre erstrecken.

Langlebige Infrastrukturen: Viele heute eingesetzte Systeme und Geräte, von industriellen Anlagen bis zu Reisepässen, bleiben zehn Jahre oder länger im Einsatz. Deshalb müssen bereits heute installierte Systeme gegen zukünftige Angriffe durch Quantencomputer geschützt sein.

Harvest now, decrypt later: Angreifer können verschlüsselte Daten schon heute abfangen, um sie später mit Quantencomputern auszuwerten. Organisationen müssen deshalb nicht nur neue kryptografische Verfahren einführen, sondern auch bereits gespeicherte sensible Daten mit Post-Quantum-Algorithmen neu verschlüsseln.

Immer mehr Regierungen und Sicherheitsbehörden treiben weltweit den großflächigen Umstieg auf quantensichere Kryptografie voran. Die PQC-Roadmap der Europäischen Union empfiehlt beispielsweise für besonders kritische Anwendungsbereiche eine Migration bis 2030 und, soweit technisch möglich, eine vollständige Umstellung bis 2035. Eine kürzlich erlassene Verordnung der US-Regierung legt Zeitpläne für die Umstellung bei besonders wichtigen Systemen fest: 2030 für die Einführung von Schlüsseln und 2031 für digitale Signaturen. Andere Länder sehen ähnliche Fristen vor.

Der Weg zu einer quantensicheren IT

Der Weg zur Entwicklung und Einführung von Post-Quantum-Kryptografie ist bereits geebnet.

Das US-amerikanische National Institute of Standards and Technology (NIST) startete bereits 2016 einen weltweiten Auswahlprozess für quantensichere kryptografische Verfahren. Mitte 2024 veröffentlichte das Institut die ersten drei Standards, ein vierter soll in Kürze folgen. Gemeinsam bilden sie die Grundlage für die meisten künftigen PQC-Implementierungen. Führende internationale Standardisierungsgremien wie GSMA, 3GPP und ICAO integrieren diese Verfahren bereits in interoperable Protokolle für globale Anwendungsfelder, etwa in der Telekommunikation oder im internationalen Reiseverkehr.

Nach Ansicht von Harald Vater ist die weltweite Akzeptanz dieser Standards entscheidend. „In einer global vernetzten Welt brauchen wir globale Standards. Nur wenn alle Beteiligten dieselben Algorithmen verwenden, ist eine sichere Kommunikation zwischen Systemen und Geräten gewährleistet.“

Zu den vom NIST verabschiedeten PQC-Standards gehören ML-KEM für den Schlüsselaustausch, ML-DSA für digitale Signaturen sowie SLH-DSA als hashbasiertes Backupverfahren für digitale Signaturen. Mit FN-DSA befindet sich derzeit ein weiteres Verfahren in der Standardisierung. Es verspricht kleinere Signaturen und kürzere Laufzeiten, stellt jedoch höhere Anforderungen an eine sichere Implementierung.²

Warum mehrere Algorithmen erforderlich sind, erläutert Vater so: „ML-KEM benötigen wir beispielsweise für die Verschlüsselung, ML-DSA für die Erzeugung und Prüfung digitaler Signaturen. Jeder Algorithmus hat seine eigenen Stärken und Schwächen. Manche benötigen viel Speicherplatz, andere kommen mit sehr begrenzten Ressourcen auf dem Zielhalbleiter aus. Einige eignen sich nur für wenige Signaturen, andere für sehr viele. Deshalb gibt es nicht die eine Lösung für alle Anwendungen.“

PQC für Smartcards

G+D untersucht seit Jahren, welche quantensicheren Verfahren sich für die unterschiedlichen Sicherheitsanwendungen am besten eignen. Smartcards gelten dabei als besonders ausgereiftes Beispiel für den praktischen Einsatz.

„Als führender Anbieter von Smartcards definieren wir, welche Post-Quantum-Algorithmen unter welchen Bedingungen eingesetzt werden können. Dabei betrachten wir Rechenzeit, Speicherbedarf, notwendige Anpassungen am Zielhalbleiter und viele weitere Faktoren“, erklärt Vater. „Aufgrund ihrer begrenzten Ressourcen benötigen Smartcards Algorithmen, die sowohl beim Speicherverbrauch als auch bei der Laufzeit besonders effizient sind. Deshalb eignen sich ML-KEM und ML-DSA hier sehr gut.“

Der Umstieg auf Post-Quantum-Kryptografie ist allerdings weit mehr als der Austausch einzelner Algorithmen.

„Quantensichere Verfahren besitzen andere Schnittstellen, benötigen unterschiedlich viel Speicher und arbeiten mit anderen Schlüssellängen sowie einer anderen Schlüsselstruktur. Man kann den klassischen Algorithmus deshalb nicht einfach ersetzen. Das gesamte System muss angepasst werden. Bei einer Smartcard betrifft das das Backend, den Halbleiter, das Kartenlesegerät, sämtliche Kommunikationsprotokolle und weitere Komponenten.“

In den meisten Anwendungsumgebungen wird die Einführung deshalb zunächst in Form hybrider Lösungen erfolgen. Klassische und quantensichere Verfahren werden parallel eingesetzt. Das gewährleistet einerseits die Kompatibilität mit bestehenden Systemen. Andererseits entsteht eine zusätzliche Sicherheitsebene, da sich die neuen PQC-Verfahren im praktischen Einsatz erst langfristig bewähren müssen.

Neue Standards für sichere Identitäten im Quantenzeitalter

Die Entwicklung eines hybriden Sicherheitsprotokolls stand auch im Mittelpunkt eines gemeinsamen Projekts von G+D und der Bundesdruckerei. Ziel war ein PQC-fähiger Demonstrator für die nächste Generation des deutschen Personalausweises.

Der Proof-of-Concept entstand im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI), das für die Sicherheit deutscher Ausweisdokumente verantwortlich ist. „Mit diesem Demonstrator zeigen wir, dass wir auf das Quantenzeitalter vorbereitet sind“, sagt Vater.

Seit seiner Einführung 2010 gilt er als eines der sichersten hoheitlichen Dokumente der Welt: der deutsche Personalausweis samt integrierter Online-Ausweisfunktion. Damit er auch zukünftig sicher bleibt, müssen neue Ausweise gegen Angriffe von Quantencomputern geschützt werden - das gilt für Hardware und Software aller Ausweise, die in den kommenden Jahren ausgegeben werden. Die hoheitlichen Dokumente sind zehn Jahre gültig.

Eine weltweit bislang einzigartige technische Basis dafür haben die Bundesdruckerei GmbH und G+D in den vergangenen Monaten erarbeitet. Das Technologieunternehmen des Bundes und das internationale Sicherheitstechnologieunternehmen haben die Entwicklung des Demonstrators gemeinsam mit dem BSI initiiert und auf speziellen Chips des Halbleiterherstellers Infineon umgesetzt.

Die Migration des deutschen Personalausweises erfolgt dann in zwei Phasen: Zunächst werden die Ausweisdaten mit einem quantenresistenten Signaturverfahren gegen Fälschungen geschützt. Danach folgt die vollständige Umstellung auf quantensichere Technologie.

Die Machbarkeitsstudie (Proof-of-Concept) ist eine der weltweit ersten funktionalen Umsetzungen eines Personalausweises mit klassischer Kryptografie und Post-Quantum-Kryptografie, welche den aktuellen Empfehlungen für quantensichere Algorithmen entspricht. „Bundesdruckerei und G+D haben als erste in Deutschland nachgewiesen, dass hochsichere, quantenresistente Kryptografie, wie etwa Verschlüsselung und Authentisierung, auf Ausweis-Chips möglich ist.

Gleichzeitig bildet der Demonstrator die Grundlage dafür, dass Veridos, das Joint Venture von G+D und Bundesdruckerei, die gewonnenen Erkenntnisse in die Weiterentwicklung internationaler Reisedokumente einfließen lassen und künftige Anforderungen an weltweit interoperable Standards erfüllen kann.

Eine Zukunft mit quantensicherer Kryptografie

Quantencomputer werden bestimmte Problemklassen außergewöhnlich effizient lösen können, längst jedoch nicht jede Rechenaufgabe. „Deshalb sind hybride Implementierungen so wichtig. Klassische und quantensichere Algorithmen ergänzen sich und schaffen Sicherheit auf zwei unterschiedlichen kryptografischen Grundlagen“, sagt Harald Vater. Zugleich gewährleisten hybride Ansätze die Kompatibilität mit Systemen, die noch nicht vollständig auf Post-Quantum-Kryptografie umgestellt wurden.

Das Bewusstsein für die Herausforderungen durch Quantencomputer ist inzwischen in Unternehmen, bei Technologieanbietern und in Behörden angekommen. „Niemand kann heute mit Sicherheit sagen, wann ein leistungsfähiger Quantencomputer verfügbar sein wird. Wir gehen jedoch davon aus, dass dieser Zeitpunkt kommen wird. Deshalb stellt die Welt ihre kryptografischen Verfahren bereits jetzt auf quantensichere Algorithmen um“, so Vater.

Besonders intensiv beschäftigen sich laut Vater jene Kunden mit dem Thema, deren Produkte über viele Jahre oder sogar Jahrzehnte im Einsatz bleiben. Dazu zählen beispielsweise Halbleiter für die Automobilindustrie, elektronische Reisepässe oder nationale Identitätsdokumente. „All diese Systeme müssen nicht nur heute sicher sein, sondern auch in zehn oder mehr Jahren. Die eigentliche Herausforderung besteht deshalb darin, dauerhafte Vertrauensanker in unveränderbaren Sicherheitschips zu schaffen. Unsere Kunden wollen sicher sein, dass die Lösungen, die wir heute gemeinsam entwickeln, auch künftig gegen Angriffe mit Quantencomputern geschützt bleiben.“

Post-Quantum-Kryptografie wird Realität

Die Migration zu Post-Quantum-Kryptografie ist bereits in vollem Gange. Ende 2025 berichtete Cloudflare, über dessen Infrastruktur rund ein Viertel des weltweiten Internetverkehrs abgewickelt wird, dass erstmals mehr als die Hälfte des von Menschen initiierten Datenverkehrs im eigenen Netzwerk mit quantensicherer Verschlüsselung geschützt wurde. Maßgeblich beschleunigt wurde diese Entwicklung durch die Integration von PQC in führende Webbrowser und Betriebssysteme.³

Cloudflare strebt an, seine gesamte Infrastruktur bis 2029 auf quantensichere Kryptografie umzustellen.⁴ Parallel dazu baut G+D seit Jahren die Kompetenzen auf, die für die Entwicklung und Einführung entsprechender Lösungen erforderlich sind.

Mit seiner Beteiligung an den beiden vom Bundesministerium für Bildung und Forschung geförderten Projekten Aquorypt und Quoryptan hat G+D umfassende Erfahrung bei der Implementierung ressourcenintensiver PQC-Verfahren auf kleinen eingebetteten Systemen gesammelt. Ziel ist es, den Rechen- und Speicherbedarf kryptografischer Algorithmen deutlich zu reduzieren und gleichzeitig höchsten Schutz gegen Seitenkanalangriffe sowie Fault Injection Attacks (Fehlerinjektions-Angriffe) zu gewährleisten.

Auch über das Cybersecurity-Unternehmen secunet treibt G+D die Einführung quantensicherer Kryptografie voran. Gemeinsam mit deutschen Behörden wurde Post-Quantum-Kryptografie bereits in sicherheitskritische digitale Infrastrukturen integriert, um hochklassifizierte Informationen gegen das Szenario „Harvest now, decrypt later“ zu schützen. Die Bundeswehr setzt beim Umgang mit hochklassifizierten Informationen bereits auf PQC-Komponenten: Diese sind fester Bestandteil der SINA-Architektur von secunet, die das Fundament für die sicheren IT-Netzwerke Deutschlands bildet. Die entsprechenden Sicherheitsgeräte wurden zudem bereits an weitere EU- und NATO-Partner ausgeliefert.⁵

Für Harald Vater steht deshalb fest: „Überall auf der Welt beschäftigen sich Unternehmen und Behörden inzwischen mit dieser Herausforderung oder haben begonnen, ihre Systeme auf quantensichere Algorithmen umzustellen. Angesichts der Tragweite des Themas werden viele Organisationen ihre Anstrengungen jedoch deutlich beschleunigen müssen, damit ihre digitalen Werte auch in Zukunft wirksam geschützt bleiben.“

Veröffentlicht: 31.07.2026