AntwortenVeröffentlicht26 Quellen
Quantencomputer: Warum die Migration weg von RSA schon vor dem Q-Day beginnt
Heute existiert noch kein kryptografisch relevanter Quantencomputer. Das Risiko beginnt trotzdem bereits jetzt: Angreifer können verschlüsselte Daten sammeln und später entschlüsseln.
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Forschungsantwort
Wichtige Erkenntnisse
- Heute existiert noch kein kryptografisch relevanter Quantencomputer. Das Risiko beginnt trotzdem bereits jetzt: Angreifer können verschlüsselte Daten sammeln und später entschlüsseln.
- Die wissenschaftlichen Chancen des Quantencomputings – etwa für Quantenchemie, Materialforschung, Optimierung und bestimmte KI Anwendungen – sind weiterhin perspektivisch und stark vom jeweiligen Einsatzgebiet abhängig.
- Der Rückzug des Signaturkandidaten HAWK nach einer KI gestützten Analyse im Jahr 2026 hat keine finalen NIST Standards oder produktiven Systeme gebrochen, zeigt aber, wie wichtig kontinuierliche Prüfung und Krypto Agi...
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How does the emerging threat from quantum computing to RSA and elliptic-curve encryption—particularly through Shor’s algorithm and “harvest. Article summary: Quantum computing is both a prospective scientific tool and a security migration problem. Its hoped-for value is in simulating quantum chemistry and materials, optimizing difficult problems, and potentially augmenting so. Topic tags: general, general web, user generated, government, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, water
Quantencomputing hat zwei Seiten: Es könnte künftig bei der Simulation von Quantenchemie und Materialien, bei ausgewählten Optimierungsproblemen und in bestimmten KI-Workflows helfen. Diese Vorteile sind jedoch noch nicht gesichert und hängen stark von der jeweiligen Anwendung ab. Die sicherheitspolitische Konsequenz ist dagegen schon heute konkret: Ein ausreichend großer, fehlertoleranter Quantencomputer könnte weit verbreitete Public-Key-Verfahren gefährden – auch wenn es derzeit noch keinen kryptografisch relevanten Quantencomputer gibt. 52
Die praktische Schlussfolgerung lautet deshalb nicht, auf eine Maschine zu warten, die Verschlüsselung tatsächlich brechen kann. Organisationen sollten bereits jetzt erfassen, wo gefährdete Kryptografie eingesetzt wird, und den Austausch planen. Einige Informationen müssen länger geheim bleiben, als eine vollständige Migration dauern könnte.
Warum Shors Algorithmus RSA und elliptische Kurven bedroht
RSA beruht auf der Schwierigkeit, große Zahlen in ihre Primfaktoren zu zerlegen. Diffie-Hellman- und elliptische-Kurven-Verfahren basieren auf diskreten Logarithmusproblemen. Auf ausreichend leistungsfähiger, fehlertoleranter Quantenhardware könnte Shors Algorithmus diese mathematischen Probleme deutlich effizienter lösen als klassische Computer.
Die Bedrohung betrifft dabei nicht nur verschlüsselte Nachrichten. Gefährdete Public-Key-Systeme kommen unter anderem bei der Schlüsselvereinbarung, Authentifizierung, Zertifikaten, Software-Signaturen, Secure-Boot-Ketten und weiteren Vertrauensfunktionen zum Einsatz. Ein künftiger Angreifer könnte daher nicht nur die Vertraulichkeit von Daten angreifen, sondern auch die Prüfung, ob Software, Dokumente, Transaktionen oder digitale Aufzeichnungen echt und unverändert sind.
Das bedeutet nicht, dass sämtliche Kryptografie gleichzeitig versagt. Die unmittelbare Sorge konzentriert sich auf Public-Key-Verfahren wie RSA und elliptische Kurven. Symmetrische Kryptografie wird durch Shors Algorithmus nicht auf dieselbe direkte Weise bedroht. Dennoch müssen Unternehmen die Sicherheitsstärke und Implementierung jedes einzelnen kryptografischen Bausteins prüfen.
„Heute sammeln, später entschlüsseln“ macht aktuelle Daten zum Ziel
Bei einem sogenannten „Harvest now, decrypt later“-Angriff müssen Angreifer den Datenverkehr nicht sofort entschlüsseln. Sie können verschlüsselte Kommunikation abfangen oder verschlüsselte Archive erlangen, diese speichern und auf einen Zeitpunkt warten, an dem ein kryptografisch relevanter Quantencomputer verfügbar ist. 51
Der relevante Zeitrahmen hängt damit von zwei Faktoren ab:
- Wie lange benötigt die Organisation für die Migration ihrer Systeme?
- Wie lange müssen die geschützten Informationen geheim bleiben?
Besonders gefährdet sind Daten mit langer Vertraulichkeitsdauer. Dazu zählen staatliche und diplomatische Unterlagen, Verteidigungs- und Konstruktionsdaten, Gesundheits- und Genominformationen, Identitätsdaten, Finanz- und Rechtsakten, Geschäftsgeheimnisse, Infrastrukturaufzeichnungen sowie proprietäre Forschungsergebnisse. Auch Archive und signierte Dokumente sind betroffen, wenn ihre Authentizität über viele Jahre überprüfbar bleiben muss.
Die Existenz dieses Angriffsszenarios beweist nicht, dass jedes verschlüsselte Archiv bereits gesammelt wird oder ein Quantenangriff unmittelbar bevorsteht. Sie zeigt aber, warum das Warten auf einen eindeutig ausgerufenen „Q-Day“ für heute abgefangene Informationen zu spät sein kann.
Die Zeitprognosen sind unsicher – die Migrationspläne laufen bereits
Die Schätzungen zum Auftreten eines kryptografisch relevanten Quantencomputers gehen weit auseinander. Deutsche Behörden weisen darauf hin, dass derzeit kein CRQC verfügbar ist – „CRQC“ steht für Cryptographically Relevant Quantum Computer, also einen Quantencomputer, der heutige Public-Key-Kryptografie praktisch angreifen könnte. Wann eine solche Maschine entsteht, bleibt ungewiss. 52 Andere Einschätzungen sehen ein relevantes Risiko in den 2030er-Jahren; dabei handelt es sich jedoch um Prognosen und nicht um einen bestätigten Termin.
53
56
Ein sinnvoller Migrationsplan sollte deshalb nicht von der Vorhersage eines einzigen Q-Days abhängen. Er sollte Informationen nach Sensibilität und Aufbewahrungsdauer priorisieren und zugleich die Jahre berücksichtigen, die für das Auffinden kryptografischer Abhängigkeiten, das Testen von Ersatzverfahren, die Abstimmung mit Lieferanten und die Ablösung nicht aktualisierbarer Systeme nötig sind.
Der im Entwurf befindliche NIST-Leitfaden IR 8547 beschreibt einen schrittweisen Abschied von quantengefährdeten Public-Key-Verfahren. Darin wird vorgeschlagen, RSA-2048 und ECC-256 nach 2030 auslaufen zu lassen und nach 2035 nicht mehr zuzulassen. Da es sich bei IR 8547 um einen Übergangsvorschlag handelt, sollten Organisationen die endgültigen und für ihren Sektor geltenden Vorgaben prüfen, statt diese Jahreszahlen automatisch als allgemeine gesetzliche Fristen zu behandeln. 20
35
Die politische Richtung der US-Bundesregierung ist dennoch eindeutig. Zivile US-Behörden wurden angewiesen, bis zum 4. Mai 2023 und anschließend jährlich bis 2035 priorisierte Verzeichnisse ihrer Systeme und Anlagen mit CRQC-anfälliger Kryptografie einzureichen. 33 Das National Security Memorandum 10 formulierte zudem das Ziel, das Quantenrisiko bis 2035 auf Bundesebene zu vermindern.
39
NIST-Standards liefern den Ausgangspunkt für die Umstellung
Am 13. August 2024 finalisierte das US-amerikanische National Institute of Standards and Technology (NIST) drei zentrale Standards für Post-Quanten-Kryptografie: 24
25
- FIPS 203, ML-KEM: ein auf Modulgittern basierendes Verfahren zur Kapselung von Schlüsseln und zur Vereinbarung gemeinsamer Geheimnisse.
23
- FIPS 204, ML-DSA: ein auf Modulgittern basierender Standard für digitale Signaturen.
- FIPS 205, SLH-DSA: ein zustandsloses, hashbasiertes Verfahren für digitale Signaturen mit einem anderen mathematischen Fundament.
17
Diese Standards sind kein Schalter, der sich überall über Nacht umlegen lässt. Sie müssen in Protokolle, Kryptobibliotheken, Zertifikate, Identitätssysteme, Hardware-Sicherheitsmodule, Firmware, Anwendungen und Produkte von Zulieferern integriert werden. NIST bezeichnet die Standards als Beginn einer umfangreichen Umstellung und entwickelt zugleich weitere Algorithmen als Reserve oder Alternative. 28
Was Unternehmen zuerst erfassen sollten
Kryptografie steckt häufig in Systemen, die nicht für einen schnellen Algorithmuswechsel entwickelt wurden. Ein belastbares Inventar sollte daher mehr umfassen als offensichtliche Verschlüsselungseinstellungen:
- TLS, VPNs, APIs und ältere Netzwerkprotokolle;
- Public-Key-Infrastrukturen, Zertifikatsausstellung und Zertifikatswechsel;
- Identitäts-, Authentifizierungs- und Zugriffsverwaltung;
- Codesignierung, Firmware, Secure Boot und Update-Mechanismen;
- Hardware-Sicherheitsmodule, Datenbanken, Backups und Archive;
- IoT-Geräte sowie industrielle, medizinische und andere langlebige Anlagen;
- Cloud-Dienste, SaaS-Anbieter, Bibliotheken und weitere Abhängigkeiten von Drittanbietern.
Anschließend müssen die Risiken priorisiert werden. Systeme, die Informationen mit jahrzehntelanger Geheimhaltungsdauer schützen, verdienen ebenso früh Aufmerksamkeit wie Systeme, die die Herkunft von Software und das Vertrauen in kritische Infrastrukturen kontrollieren. Kurzlebige oder leicht austauschbare Daten können dagegen später folgen.
Ebenso wichtig ist Krypto-Agilität: die Fähigkeit, Algorithmen, Schlüssellängen, Zertifikate und Kryptobibliotheken auszutauschen, ohne ein gesamtes Produkt oder Netzwerk neu entwerfen zu müssen. Hybride Lösungen, die klassische und Post-Quanten-Verfahren während der Übergangsphase kombinieren, können das Migrationsrisiko verringern. Sie erhöhen allerdings den Integrations-, Test- und Betriebsaufwand.
Der HAWK-Fall zeigt die Bedeutung kontinuierlicher Prüfung
Im Juli 2026 berichtete Anthropic, sein Modell Claude Mythos Preview habe eine bislang unbekannte strukturelle Schwäche in HAWK entdeckt, einem gitterbasierten Kandidaten für Post-Quanten-Signaturen. Nach Angaben von Anthropic hatte HAWK zwei Jahre und zwei Runden von Expertenprüfungen überstanden. Das Modell verbesserte den bis dahin bekannten Angriff jedoch innerhalb von etwa 60 Stunden. Das HAWK-Team zog den Kandidaten daraufhin aus dem zusätzlichen Signaturverfahren von NIST zurück. 5
Die entscheidende Einschränkung: HAWK war ein Kandidat, kein finaler NIST-FIPS-Standard und kein eingesetzter Produktionsalgorithmus. Der Vorfall hat FIPS 203, FIPS 204 oder FIPS 205 nicht gebrochen; laut der Berichterstattung waren produktiv eingesetzte Systeme nicht betroffen. 5
6
Die weiterreichende Lehre lautet, dass „Post-Quanten-sicher“ kein dauerhafter Sicherheitsstempel ist. Kandidaten müssen kontinuierlich mathematisch untersucht, unabhängig implementiert und mit unterschiedlichen Annahmen geprüft werden. Außerdem müssen sie sich ersetzen lassen, wenn neue Angriffe auftauchen. KI-gestützte Kryptanalyse kann dabei zu einem weiteren Prüfwerkzeug werden, ersetzt aber weder menschliche Kontrolle noch transparente Standardisierungsprozesse.
Die Kosten entstehen durch einen Systemumbau
Eine Post-Quanten-Migration kann Änderungen an Software und Protokollen, neue Bibliotheken, Anpassungen an Zertifikaten und PKI, Upgrades von Hardware-Sicherheitsmodulen und Firmware, Interoperabilitätstests, die Abstimmung mit Lieferanten sowie Compliance-Arbeiten erfordern. Geräte, die sich nicht aktualisieren lassen, müssen möglicherweise ersetzt werden. Größere Schlüssel oder Signaturen können zudem Bandbreite, Speicherbedarf, Latenz und Geräteleistung beeinflussen.
Eine einzelne, allgemeingültige Kostenzahl lässt sich seriös kaum nennen. Entscheidend sind unter anderem die technische Landschaft der Organisation, Aufbewahrungspflichten, Lieferantenverträge und das regulatorische Umfeld. Belastbarer ist die Feststellung, dass die Umstellung teuer werden kann, weil Public-Key-Kryptografie in unzählige langlebige Vertrauensbeziehungen eingebettet ist – nicht, weil jedes System gleichzeitig ersetzt werden muss.
Das Fazit
Quantencomputing könnte eines Tages wichtige wissenschaftliche Fortschritte ermöglichen. Diese Chancen bleiben jedoch spezialisiert, anwendungsabhängig und in ihrer praktischen Umsetzung noch offen. Die Sicherheitsaufgabe ist konkreter: RSA und elliptische-Kurven-Verfahren könnten durch Shors Algorithmus gefährdet werden, während heute abgefangene verschlüsselte Daten später offengelegt werden könnten.
Ein CRQC existiert heute noch nicht. Das ist ein Grund für sorgfältige Planung, nicht für Untätigkeit. Die sinnvolle Reihenfolge lautet: Kryptografie inventarisieren, Daten nach ihrer Geheimhaltungsdauer klassifizieren, besonders wichtige Abhängigkeiten priorisieren, die finalen NIST-Standards testen, Krypto-Agilität aufbauen und Migrationsfristen als Planungsziele nutzen – statt auf eine endgültige Ankündigung des Q-Days zu warten.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Quantencomputer: Warum die Migration weg von RSA schon vor dem Q-Day beginnt“?
Heute existiert noch kein kryptografisch relevanter Quantencomputer. Das Risiko beginnt trotzdem bereits jetzt: Angreifer können verschlüsselte Daten sammeln und später entschlüsseln.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Heute existiert noch kein kryptografisch relevanter Quantencomputer. Das Risiko beginnt trotzdem bereits jetzt: Angreifer können verschlüsselte Daten sammeln und später entschlüsseln. Die wissenschaftlichen Chancen des Quantencomputings – etwa für Quantenchemie, Materialforschung, Optimierung und bestimmte KI Anwendungen – sind weiterhin perspektivisch und stark vom jeweiligen Einsatzgebiet abhängig.
Was soll ich als nächstes in der Praxis tun?
Der Rückzug des Signaturkandidaten HAWK nach einer KI gestützten Analyse im Jahr 2026 hat keine finalen NIST Standards oder produktiven Systeme gebrochen, zeigt aber, wie wichtig kontinuierliche Prüfung und Krypto Agi...