Diese Einschätzung deckt sich mit der Position des US-Verteidigungsministeriums, das in einem November-Memorandum ebenfalls QKD als Ersatz für standardbasierte Post-Quantum-Kryptographie ausgeschlossen hat. Die transatlantische Übereinstimmung in dieser Frage sollte Unternehmen, die auf entsprechende Marketingversprechen setzen, zu denken geben.
Was ist nun zu tun?
Das BSI empfiehlt Organisationen, den Migrationsprozess unverzüglich einzuleiten. Der erste Schritt besteht in einer vollständigen Bestandsaufnahme aller kryptographischen Verwendungen. Das klingt trivialer, als es ist, denn neben offensichtlichen Anwendungen wie TLS-Zertifikaten für Webserver umfasst ein solches Inventar auch eingebettete Schlüssel in IoT-Geräten, Code-Signing-Zertifikate, Machine-to-Machine-Kommunikation und Verschlüsselung in Legacy-Systemen, deren Dokumentation oft lückenhaft ist.
Auf Basis dieser Bestandsaufnahme folgt eine Risikoanalyse. Dabei gilt es zu klären, welche Daten lange Schutzfristen haben, welche Systeme besonders exponiert sind und welche Abhängigkeiten zu externen Dienstleistern und deren Migrationsplänen bestehen. Die Antworten auf diese Fragen bestimmen die Priorisierung.
Das BSI betont zudem die Bedeutung von Krypto-Agilität als Architekturprinzip. Systeme sollten so konzipiert sein, dass sie neue Algorithmen aufnehmen können, ohne grundlegende Umbauten zu erfordern. Wer heute noch mit fest codierten Algorithmen arbeitet, baut technische Schulden auf, die sich später nur schwer abtragen lassen.
Für den Übergangszeitraum empfehlen das BSI und andere europäische Behörden hybride Systeme, die klassische und quantenresistente Verfahren kombinieren. Dieser Ansatz verspricht Schutz, solange die jeweiligen Verfahren nicht gleichzeitig gebrochen werden.
Standardisierung kommt voran
Die Sorge, man müsse auf finale Standards warten, ist inzwischen weitgehend unbegründet. Das amerikanische National Institute of Standards and Technology hat im August 2024 die ersten drei Post-Quantum-Verschlüsselungsstandards finalisiert. Das BSI hat seine Technische Richtlinie TR-02102 im März 2025 entsprechend aktualisiert und empfiehlt nun die NIST-Standards ML-KEM für den Schlüsselaustausch sowie ML-DSA und SLH-DSA als Signaturverfahren. Ergänzend bleiben die bereits seit 2020 empfohlenen Verfahren FrodoKEM, Classic McEliece, XMSS und LMS gültig, die unter aktiver BSI-Beteiligung bei der ISO standardisiert werden. Gute Gründe, sich besser früher als später mit Post-Quantum-Kryptographie zu befassen.
