Quantencomputer: Das Ende der Verschlüsselung, wie wir sie kennen

Die eigentliche Gefahr liegt in unseren Vertrauensketten

Viele heutige Verschlüsselungsverfahren beruhen auf mathematischen Problemen, die klassische Computer praktisch nicht lösen können. Dazu gehören etwa die Zerlegung großer Zahlen in Primfaktoren oder die Berechnung diskreter Logarithmen. Auf dieser Annahme basieren Verfahren wie RSA, Diffie-Hellman und elliptische Kurven. 

Ein ausreichend leistungsfähiger Quantencomputer könnte diese Verfahren mit dem Shor-Algorithmus angreifen. Damit gerieten nicht bloß einzelne Passwörter in Gefahr, sondern die gesamte Mechanik digitaler Vertrauensbeziehungen: Zertifikate, digitale Signaturen, Schlüsselaustausch, Software-Updates, Maschinenidentitäten, VPN-Verbindungen, E-Mail-Sicherheit, Verwaltungsverfahren und kritische Infrastrukturen. 

Symmetrische Verfahren wie AES-256 verlieren durch Quantencomputer nicht automatisch ihre Schutzwirkung. Es verändert sich vor allem die Sicherheitsmarge. Die größere Gefahr liegt bei asymmetrischen Verfahren. Genau diese Verfahren sichern heute Identitäten, Zertifikate, Signaturen und digitale Beziehungen zwischen Systemen. Mit anderen Worten: Quantencomputer bedrohen weniger die einzelne verschlüsselte Datei als das Vertrauen, auf dem digitale Prozesse aufbauen. 

„Harvest now, decrypt later“ ist das unterschätzte Risiko

Die Bedrohung beginnt nicht erst an dem Tag, an dem ein Quantencomputer tatsächlich RSA oder elliptische Kurven knackt. Angreifer können bereits heute sensible Daten abgreifen, speichern und später entschlüsseln. Dieses Prinzip wird als „harvest now, decrypt later“ beschrieben. 

Besonders kritisch ist das für Daten mit langer Schutzdauer: Gesundheitsdaten, Steuerdaten, Verwaltungsakten, Forschungsdaten, Verteidigungsinformationen, Vertragsunterlagen, Betriebsgeheimnisse oder Identitätsdaten. Was heute noch ausreichend geschützt wirkt, kann morgen lesbar werden. 

Wie das Bundesamt für Sicherheit in der Informationstechnologie (BSI) warnt, müssen Organisationen deshalb frühzeitig bewerten, welche kryptografischen Verfahren sie einsetzen und welche Daten langfristig geschützt bleiben müssen. Das Fraunhofer-Institut schätzt die Herausforderung ebenfalls nicht als reine Technologiefrage ein, sondern als strukturelle Aufgabe für IT-Architekturen, Prozesse und Organisationen. 

Post-Quantum-Readiness beginnt mit einer unbequemen Inventur

Post-Quantum-Kryptografie wird häufig wie ein künftiges Software-Update diskutiert. Genau darin liegt die gefährliche Verkürzung. Der Wechsel zu quantensicheren Verfahren betrifft gewachsene Systemlandschaften, alte Fachverfahren, Zertifikatsketten, Schnittstellen, Lieferanten, Hardware, Embedded Systems, Cloud-Dienste und regulatorische Anforderungen. 

Post-Quantum-Readiness beginnt mit unbequemen Fragen: 

• Wo nutzen wir Kryptografie? 

• Welche Daten müssen zehn, zwanzig oder dreißig Jahre vertraulich bleiben? 

• Welche Systeme lassen sich überhaupt aktualisieren? 

• Welche Lieferanten müssen neue Verfahren unterstützen? 

• Welche Fachverfahren hängen an alten Zertifikaten? 

• Welche Maschinenidentitäten, Schnittstellen und Signaturprozesse sind dokumentiert?  

• Welche Risiken entstehen, wenn einzelne Teile der Kette nicht mitziehen? 

Damit wird Post-Quantum-Kryptografie zur Managementaufgabe. Sie gehört auf die Roadmap von CIOs, CISOs, Verwaltungsleitungen und Betreibern kritischer Infrastrukturen. Wer erst beginnt, wenn Standards flächendeckend implementiert sind, wird in vielen Systemlandschaften zu spät sein. 

Sicherheit braucht Datenstrategie

Für Organisationen entsteht hier eine doppelte Aufgabe. Sie müssen ihre eigene kryptografische Infrastruktur verstehen, und sie müssen wissen, welche Daten welchen Schutzbedarf haben. Ohne saubere Datenklassifikation bleibt jede Kryptostrategie unvollständig. 

Digitalisierung verantwortungsvoll zu gestalten bedeutet, technische Modernisierung, Datenstrategie, Governance und Sicherheitsarchitektur zusammenzudenken. Gerade im Public Sector, in regulierten Branchen und bei KRITIS-Betreibern reicht es nicht, einzelne Verfahren auszutauschen. Entscheidend ist eine möglichst vollständige Übersicht über Datenflüsse, Schutzklassen, Fachverfahren, Abhängigkeiten und Verantwortlichkeiten. 

Europas Chance: Vertrauensarchitekturen statt Größenwettlauf

Europa muss das Rennen um die größte Quantenhardware nicht zwingend gewinnen, um digital souveräner zu werden. Die größere Chance liegt im Aufbau quantensicherer Vertrauensarchitekturen: für Verwaltung, KRITIS, Industrie, Gesundheitswesen, Mobilität, Energieversorgung und digitale Infrastrukturen. 

Wer Sicherheit neu ordnet, gestaltet Souveränität. Das gilt besonders für Europa. Denn digitale Souveränität entsteht nicht allein durch eigene Plattformen oder europäische Cloud-Angebote. Sie entsteht durch kontrollierbare Abhängigkeiten, belastbare Standards, nachvollziehbare Sicherheitsarchitekturen und die Fähigkeit, kritische Systeme rechtzeitig weiterzuentwickeln. 

Post-Quantum-Kryptografie kann deshalb zu einem europäischen Standortvorteil werden. Voraussetzung ist, dass Politik, Verwaltung und Wirtschaft sie nicht als Spezialthema für Kryptografie-Expert:innen behandeln. Sie gehört in strategische Programme für Resilienz, Verwaltungsdigitalisierung, KRITIS-Schutz und industrielle Wettbewerbsfähigkeit. 

Fazit: Jetzt inventarisieren, dann migrieren

Quantencomputer werden die digitale Sicherheit nicht über Nacht zerstören. Aber jede Organisation sollte wissen, welche kryptografischen Verfahren sie nutzt, welche Daten langfristig geschützt bleiben müssen und welche Systeme für eine Migration vorbereitet werden müssen. 

Beginnen Sie mit einer Krypto- und Dateninventur. Priorisieren Sie besonders schutzbedürftige Daten und kritische Vertrauensketten. Prüfen Sie Lieferanten, Zertifikate, Schnittstellen und Fachverfahren. Entwickeln Sie daraus eine Roadmap für Post-Quantum-Readiness. 

Denn wer heute Transparenz schafft, kann morgen kontrolliert migrieren. Wer wartet, bis Quantencomputer praktisch relevant sind, wird nur noch reagieren. Und Reaktion ist in der IT-Sicherheit selten die beste Lösung. 

Sprechen Sie uns gerne an.

Wir unterstützen Sie dabei, aus Zukunftsfragen konkrete Handlungsfelder zu machen.