Post-Quanten-Kryptografie: Was Schweizer KMU jetzt tun sollten

Seit dem 27. Oktober 2026 steht der Fahrplan von NIST: RSA und elliptische Kurven gelten nach 2030 als veraltet und sind nach 2035 in NIST-Standards unzulässig. Die EU und Deutschland setzen ähnliche Fristen. Für KMU beginnt die Umstellung mit einem Krypto-Inventar.

Am 27. Oktober 2026 hat das US-amerikanische National Institute of Standards and Technology (NIST) die endgültige Fassung seines Berichts IR 8547 veröffentlicht. Danach gelten RSA, Diffie-Hellman und die Verfahren auf Basis elliptischer Kurven nach 2030 als veraltet und dürfen nur noch nach eigener Risikoabwägung eingesetzt werden. Nach 2035 sind sie in den NIST-Standards unzulässig, neu für alle Schlüssellängen.

Einen Quantencomputer, der diese Verfahren bricht, gibt es noch nicht. Trotzdem raten NIST, die EU und Deutschland, jetzt mit der Umstellung zu beginnen: Was heute verschlüsselt übertragen wird, lässt sich aufzeichnen und später entschlüsseln.

Was ein Quantencomputer knacken würde

Betroffen ist die asymmetrische Kryptografie (Public-Key-Kryptografie). Sie handelt beim Verbindungsaufbau den Sitzungsschlüssel aus, etwa bei HTTPS, VPN und SSH, und steckt in jeder digitalen Signatur. Die symmetrische Verschlüsselung, etwa mit AES, ist weit weniger gefährdet. Das Bundesamt für Cybersicherheit (BACS) empfiehlt hier AES-256 statt AES-128.

Wann ein solcher Rechner kommt, weiss niemand. Eine Leitlinie des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) und zweier Bundesministerien hält es für wahrscheinlich, dass er in höchstens 15 Jahren realisierbar ist. Der geschätzte Aufwand sinkt: 2019 rechneten Forscher noch mit 20 Millionen Qubits für einen RSA-Schlüssel mit 2048 Bit, 2025 mit weniger als einer Million. Die Hardware ist davon weit entfernt. Versuche mit fehlerkorrigierten Qubits kamen bisher auf einige Dutzend.

Warum die Frist schon heute läuft

Angreifer können verschlüsselten Datenverkehr heute mitschneiden und speichern, bis eine Entschlüsselung möglich ist. Die Fachwelt nennt das «Harvest now, decrypt later». Für das BACS ist diese Möglichkeit aus heutiger Sicht «das primäre Motiv», möglichst schnell praktikable Lösungen zu finden.

Entscheidend ist, wie lange Ihre Daten vertraulich bleiben müssen. Die EU-Roadmap stuft einen Anwendungsfall als hochriskant ein, wenn eine Offenlegung nach zehn oder mehr Jahren noch erheblichen Schaden anrichten würde. In KMU kann das Personaldossiers, Verträge oder Konstruktionspläne betreffen. Gefährdet sind solche Daten, wo ihr Schutz auf Public-Key-Kryptografie beruht, etwa bei E-Mail, Cloud-Synchronisation und VPN. Geschützt bleiben Daten, die zusätzlich symmetrisch verschlüsselt sind und deren Schlüssel nur bei Ihnen liegt.

Signaturen lassen sich erst fälschen, wenn es einen solchen Quantencomputer gibt. Heikel sind aber langlebige Geräte. Die EU-Roadmap empfiehlt dringend, dass neue Produkte, die voraussichtlich über 2030 hinaus im Einsatz sind, auf Post-Quanten-Kryptografie aktualisierbar sind und ihre Updates mit Post-Quanten-Signaturen absichern. Eine Maschinensteuerung, die heute Firmware-Updates mit RSA prüft, läuft 2035 vermutlich noch.

Was EU, Deutschland und die Schweiz vorgeben

Die EU-Mitgliedstaaten haben im Juni 2025 eine gemeinsame Roadmap verabschiedet: erste Schritte und erste nationale Fahrpläne bis Ende 2026, die Umstellung hochriskanter Anwendungsfälle bis Ende 2030 und jener mit mittlerem Risiko bis Ende 2035. Laut den FAQ sollen mindestens die Einrichtungen, die unter NIS2 fallen, ein Krypto-Inventar erstellen. Zudem empfiehlt die Roadmap jeder Organisation, mit ihren Lieferanten zu sprechen, weil die Umstellung von ihnen abhängt.

Deutschland setzt die Roadmap mit dieser Leitlinie um. Sie erschien am 12. Oktober 2026, richtet sich ausdrücklich auch an Unternehmen und sieht bis Ende 2026 ein erstes Krypto-Inventar vor. Das BSI empfiehlt hybride Verfahren, die klassische und quantensichere Algorithmen kombinieren.

In der Schweiz gibt es keine verbindliche Frist. Das BACS empfiehlt, eine Migration «anzudenken und mittelfristig zu planen». Am 16. September 2026 hat der Ständerat die Motion 26.3628 von Charles Juillard angenommen. Sie verlangt eine nationale Roadmap mit einer Migrationsstrategie bis Ende 2027, der Umstellung hochriskanter Anwendungsfälle bis Ende 2030, Mindestanforderungen unter anderem für kritische Infrastrukturen und Anforderungen zur Vorbereitung auf Post-Quanten-Kryptografie in Ausschreibungen des Bundes. Als Nächstes berät der Nationalrat.

Unterstützung für Kantone, KMU und Hochschulen, etwa mit Leitlinien und Inventarvorlagen, fiel weg. Der Bundesrat lehnte sie unter anderem ab, um «die Eigenverantwortung bei der Cybersicherheit nicht zu schwächen». Juillard zog den Punkt zurück, in der Erwartung, dass der Bundesrat im Rahmen seiner Zuständigkeiten trotzdem Leitlinien bereitstellt. Die meisten KMU erreicht die Umstellung über Lieferanten und EU-Kunden unter NIS2. Für Hersteller, die in der EU verkaufen, gilt ab dem 11. Dezember 2027 zudem der Cyber Resilience Act vollständig.

Auch das Datenschutzrecht ist relevant: Nach der Datenschutzverordnung ist bei Massnahmen zum Schutz von Personendaten der Stand der Technik zu berücksichtigen, und die Massnahmen sind über die gesamte Bearbeitungsdauer zu überprüfen. Laut der deutschen Leitlinie kann der Einsatz veralteter oder verwundbarer Kryptografie schon unabhängig von Quantencomputern als fahrlässig gelten.

Was heute schon quantensicher läuft

Vieles kommt mit Updates. Chrome und Firefox nutzen auf dem Desktop seit Herbst 2024 standardmässig einen hybriden Schlüsselaustausch mit dem neuen Standard ML-KEM, Apple seit iOS 26 und macOS 26 für Verbindungen über die Netzwerkschnittstellen des Systems. Laut Cloudflare waren Ende September 2026 rund 70 Prozent des Browser-Verkehrs in seinem Netz so geschützt. OpenSSH tauscht Schlüssel seit Version 9.0 standardmässig quantensicher aus, OpenSSL unterstützt die neuen Verfahren ab Version 3.5.

Lücken gibt es vor allem bei den eigenen Servern und Geräten. Von den Ursprungsservern seiner Kunden nutzten laut Cloudflare erst rund 15 Prozent das hybride Verfahren. Windows 11 ab Version 24H2 und Windows Server 2025 beherrschen es mit TLS 1.3, schalten es aber nicht standardmässig ein. Firewalls von Fortinet und Palo Alto sowie Cisco-Router unterstützen ML-KEM für IPsec in aktuellen Versionen, aber nur mit IKEv2 und auf beiden Seiten des Tunnels konfiguriert.

Der erste Schritt: das Krypto-Inventar

NIST, die EU-Roadmap und das BACS nennen denselben Einstieg: ein Inventar der eingesetzten Kryptografie. Für ein KMU genügt eine Tabelle mit einer Zeile pro System: Protokoll und Version, etwa TLS 1.2 oder 1.3, Verfahren und Schlüssellänge, wer Updates verantwortet und wie lange die Daten vertraulich bleiben müssen.

Beginnen Sie mit den Verbindungen nach aussen: Website, Mailserver, VPN, Fernwartung, Schnittstellen zu Kunden und Banken, externe Backups. Danach folgen interne Systeme wie SSH, eine eigene Zertifizierungsstelle und Anwendungen mit Zertifikaten. Zuoberst stehen Verbindungen mit langfristig vertraulichen Daten und Systeme, die sich nicht per Update umstellen lassen.

Was Sie jetzt tun können

Halten Sie Ihre Systeme aktuell. Prüfen Sie, wo noch OpenSSH vor Version 9.0 oder OpenSSL vor Version 3.5 läuft, ob Ihre Server TLS 1.3 sprechen und ob Ihre Firewall eine Firmware mit ML-KEM erhalten kann. Ab Version 10.1 warnt der OpenSSH-Client automatisch vor Verbindungen ohne quantensicheren Schlüsselaustausch.

Gleichen Sie Ihre Pläne mit den Fahrplänen Ihrer Lieferanten ab, wie es das BACS empfiehlt. Für den Anfang genügen vier Fragen: Unterstützt das Produkt ML-KEM im hybriden Modus? Ab welcher Version? Wie werden Software- und Firmware-Updates signiert? Wie lange erhält die eingesetzte Version noch Updates? Bei Neuanschaffungen, die über 2030 hinaus laufen, lassen Sie sich zusichern, dass sie auf quantensichere Verfahren aktualisierbar sind.

Setzen Sie auf hybride, standardisierte Verfahren, wie es BACS, BSI und die EU-Roadmap empfehlen. Wirbt ein Produkt mit «quantensicher», fragen Sie nach dem Standard: ML-KEM (FIPS 203) für den Schlüsselaustausch, ML-DSA (FIPS 204) oder SLH-DSA (FIPS 205) für Signaturen, bei Firmware auch LMS oder XMSS (NIST SP 800-208). Die Quantenschlüsselverteilung (QKD) ist laut BACS ausdrücklich kein Lösungsansatz. Fest einprogrammierte Algorithmen und von Hand erneuerte Zertifikate sind Warnsignale fehlender Krypto-Agilität.

Wie MilesGuard hilft

MilesGuard erstellt das Krypto-Inventar mit Ihnen als Teil eines Sicherheitsaudits. Wir erfassen die Verfahren an Ihren Verbindungen und in Ihrem Netz, ordnen sie nach der Vertraulichkeitsdauer Ihrer Daten und zeigen, was ein Update löst und was ersetzt werden muss. Daraus entsteht ein Fahrplan mit Prioritäten. Im Rahmen von CISO as a Service begleiten wir die Umsetzung. Ein Quantencomputer, der RSA bricht, existiert noch nicht. Die Fristen schon.