Datensicherheit der Zukunft Post-Quantum-Kryptografie: Warum benötigen wir PQC und wo bleiben die Standards?

Anbieter zum Thema

NXP Semiconductors Germany GmbH

MES Electronic Connect GmbH & Co. KG

E.E.P.D. Electronic Equipment Produktion & Distribution GmbH

Quantencomputer könnten unsere heutigen Verschlüsselungsmethoden binnen Stunden knacken. Nicht erst morgen, sondern schon heute müssen Alternativen her. Welche quantenresistenten Algorithmen stehen bereit, wo bleiben einheitliche Standards, und warum drängt die Zeit?

Quantencomputer gelten bereits seit geraumer Zeit als eine der vielversprechendsten Technologien, die die Welt in den kommenden Jahrzehnten prägen könnten. Das zentrale Versprechen: Rechenoperationen mit einer Effizienz und Geschwindigkeit durchzuführen, die klassische Computer und gar aktuelle Supercomputer überfordern würden. Ermöglicht wird das durch den Einsatz von Qubits, quantenmechanischen Einheiten. Diese können nicht nur den Zustand 0 oder 1 annehmen, sondern durch Superposition und Verschränkung in überlagerten Zuständen arbeiten, was es ermöglicht, bestimmte Rechenprozesse effizienter zu gestalten als mit klassischen Bits. Das ist für komplexe Optimierungsprobleme, Materialsimulationen, KI-Training interessant, und nicht zuletzt für die Faktorierung großer Zahlen, auf der viele der heutigen Verschlüsselungsverfahren beruhen.

Die Theorie klingt beeindruckend, in der Praxis befindet sich die Technologie allerdings noch im Frühstadium. Zwar existieren bereits funktionsfähige Quantenprozessoren mit wenigen Dutzend bis hundert Qubits. Amazon, Google, IBM und Microsoft arbeiten daran und stellten zuletzt ihre Fortschritte vor. Die Prozessoren leiden jedoch oft unter massiven Einschränkungen. Dazu zählen hohe Fehlerraten, kurze Kohärenzzeiten, die Notwendigkeit aufwendiger Kühltechnik und ein enormer Bedarf an Fehlerkorrektur. Dennoch verfolgen große Tech-Konzerne oder Forschungseinrichtungen ambitionierte Strategien mit dem Ziel, bis 2030 oder früher fehlerkorrigierte Quantencomputer mit Tausenden Qubits zu realisieren.

Im Bereich der Cybersicherheit allerdings erzeugt Quantencomputing schon heute sehr reale Sorgen. Denn sobald Quantencomputer eine bestimmte Leistungsgrenze überschreiten, könnten sie asymmetrische Verschlüsselungssysteme wie RSA und ECC in kurzer Zeit brechen. Diese Aussicht hat konkrete Folgen: Unternehmen, Behörden und Systemhersteller müssen bereits heute beginnen, ihre kryptografischen Systeme post-quantum-ready zu machen – lange bevor der erste leistungsfähige Quantenrechner real verfügbar ist. Die Bedrohung ist nicht hypothetisch, sondern langfristig systemisch.

RSA und ECC in Gefahr

Die heute am weitesten verbreiteten Verschlüsselungsverfahren beruhen auf sogenannten asymmetrischen Schlüsseln, vor allem RSA (Rivest–Shamir–Adleman) und ECC (Elliptic Curve Cryptography). Im Gegensatz zur symmetrischen Verschlüsselung, bei der Sender und Empfänger denselben geheimen Schlüssel nutzen, arbeitet asymmetrische Kryptografie mit einem Schlüsselpaar: einem öffentlichen Schlüssel, der verteilt werden darf, und einem privaten Schlüssel, der geheim bleibt. Ein bildliches Beispiel dafür wäre etwa ein Briefkasten. Der Briefschlitz ist der öffentliche Schlüssel: Beim Einwurf, den jeder nutzen kann, wird die Nachricht „verschlüsselt“. Aber nur der Besitzer des Schlüssels zum Schloss, also der Inhaber des privaten Schlüssels, kann den Kasten öffnen und die Nachricht lesen.

Das Grundprinzip ist bei beiden Verschlüsselungsverfahren ähnlich: Was mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur mit dem passenden privaten Schlüssel wieder entschlüsselt werden. RSA basiert dabei auf einem einfachen, aber für Computer schwierigen Problem: dem Zerlegen großer Zahlen in ihre Primfaktoren. Die Formel 15 = 3 × 5 ist leicht zu erkennen, aber bei Zahlen mit hunderten Stellen wird das aufwendig. RSA generiert den öffentlichen Schlüssel aus dem Produkt zweier großer Primzahlen, der private Schlüssel bleibt geheim.

Elliptic Curve Cryptography (ECC) verwendet statt Primfaktorzerlegung ein anderes mathematisches Problem: die diskrete Logarithmusproblematik auf elliptischen Kurven. Das ist in der Praxis viel effizienter. ECC erreicht die gleiche Sicherheit wie RSA mit deutlich kleineren Schlüsseln, was wiederum Speicher und Rechenzeit spart, besonders auf Embedded Systemen oder in mobilen Anwendungen.

Shor's Algorithmus

Warum wären Quantencomputer in der Lage, diese bewährten Verschlüsselungsmechanismen zu brechen? Das liegt an Shor’s Algorithmus, ein Quantenalgorithmus aus dem Jahr 1994 von Peter Shor. Er zeigt, dass bestimmte mathematische Probleme, die für klassische Computer extrem schwierig sind, auf einem Quantencomputer in polynomialer Zeit lösbar wären, also viel schneller. Die Sicherheit von RSA basiert darauf, dass es für klassische Computer Jahrtausende dauern würde, eine große Zahl in ihre Primfaktoren zu zerlegen.

Shor’s Algorithmus könnte diese Zerlegung in Minuten oder Stunden durchführen, sobald ein ausreichend leistungsfähiger Quantencomputer existiert. Damit wären die geheimen Schlüssel nicht mehr sicher und so entstünde ein enormes Sicherheitsrisiko: Angreifer könnten vertrauliche Daten entschlüsseln, digitale Signaturen fälschen und IT-Infrastrukturen unterwandern.

Besonders brisant ist dabei das „Store-now, decrypt-later“-Szenario – also das Abfangen und Abspeichern heutiger verschlüsselter Kommunikation, um sie in einigen Jahren mit Quantenrechnern zu entschlüsseln. Deswegen ist Post-Quantum-Kryptografie (PQC) bereits jetzt ein wichtiges Thema, denn sie nutzt neue mathematische Probleme als Grundlage für Verschlüsselungsalgorithmen, die selbst für Quantencomputer schwer zu lösen sind. Auf diese Weise sollen Daten und digitale Systeme auch in der Ära der Quantencomputer sicher bleiben, und zwar heute schon.

PQC-Algorithmen und Standards: Stand der Dinge

Um rechtzeitig Ersatz für die klassischen Verfahren bereitzuhaben, startete das US-amerikanische National Institute of Standards and Technology (NIST) im Jahr 2016 einen weltweiten Wettbewerb zur Standardisierung von PQC-Algorithmen. Nach mehreren Auswahlrunden wurden 2022 die ersten vier Algorithmen als künftig standardisierte Verfahren ausgewählt.

Dazu gehört CRYSTALS-Kyber als Verfahren für sicheren Schlüsselaustausch (Key Encapsulation, KEM) sowie drei Algorithmen für digitale Signaturen: CRYSTALS-Dilithium, FALCON und SPHINCS+. Diese Algorithmen gelten als vielversprechende Kandidaten, da sie auf Probleme aus der Gitter-Kryptografie oder auf hashbasierte Verfahren zurückgreifen, für die bislang keine effizienten Quanten-Angriffe bekannt sind. Weitere Verfahren werden in einer vierten Evaluationsrunde weiter untersucht und könnten ebenfalls standardisiert werden.

Zur kurzen Erklärung: Gitter-Kryptografie (lattice-based cryptography) ist ein kryptografischer Ansatz, der auf mathematischen Problemen in mehrdimensionalen Gitterstrukturen basiert. Diese bilden ein ‚Raster‘ aus vielen Punkten im Raum. Auch für Quantencomputer ist es schwierig, in einem solchen Gitter den nächstgelegenen Punkt oder den kürzesten Weg zu finden. Hashbasierte Verfahren hingegen sind kryptografische Methoden, die auf sicheren Hashfunktionen basieren, also auf Funktionen, die aus beliebigen Eingaben eine kurze, eindeutige Zeichenfolge („Hashwert“) berechnen, die nicht umkehrbar ist.

Parallel existieren bereits standardisierte hashbasierte Signaturverfahren (XMSS, LMS) durch die IETF, die als erste praxisnahe PQC-Signaturen gelten. Trotz dieser Fortschritte gibt es derzeit keinen global einheitlichen PQC-Standard für alle Anwendungsbereiche. Ein Grund ist, dass verschiedene Länder und Branchen eigene Ansätze verfolgen. Während NISTs Auswahl weltweit als Referenz gilt, hat etwa China eine eigene Initiative gestartet, um quantenresistente Verschlüsselungsstandards zu entwickeln. Auch europäische Behörden wie die deutsche BSI oder die EU-Kommission beschäftigen sich mit PQC-Empfehlungen, ohne jedoch bisher strikt vorzuschreiben, welche Algorithmen einzusetzen sind.

Insgesamt befindet sich die PQC-Standardisierung in einer Übergangsphase. Die ausgewählten Algorithmen werden in konkrete Standards wie NIST FIPS 204 gegossen und parallel in Gremien wie ISO und ETSI diskutiert. Bis zur weltweiten Einigung ist es jedoch noch ein langer Weg, sodass Unternehmen bereits heute auf Krypto-Agilität setzen müssen – also die Fähigkeit, bei Bedarf schnell von alten auf neue Verfahren umzuschalten.

Halbleiterhersteller reagieren frühzeitig

Mikroelektronik- und Halbleiterunternehmen haben die Bedeutung von PQC früh erkannt; in Europa haben vornehmlich NXP, Infineon und STMicroelectronics die Nase vorn. Die Firmen bereiten sich bereits seit Jahren mit technischen und strategischen Maßnahmen darauf vor, ihre Produkte sicher für die verbindliche Quantenzukunft zu machen, ohne dass komplette Neuentwicklungen nötig sind.

Eine Schlüsselrolle spielt die Integration quantenresistenter Algorithmen in Halbleiterprodukte, entweder durch firmwareseitige Updates oder dedizierte Hardware-Unterstützung. NXP integriert das selbst entwickelte Sicherheitssystem EdgeLock, das bereits PQC vom Bootvorgang an unterstützt. Das heißt, diese Systeme können sowohl mit klassischer Kryptografie als auch mit PQC-Algorithmen hochfahren, inklusive sicherer Firmware-Updates und Debug-Zugriffe. Ziel ist es, Geräte für die Zukunft umfänglich ausgestattet auszuliefern, da eine Nachrüstung sehr aufwendig wäre.

Interessant ist vor allem das jüngst vorgestellte diskrete Bauelement EdgeLock A30, ein sicheres Authentifizierungs-Bauelement von NXP, das speziell für den Einsatz in IoT-Geräten, Zubehör und Embedded-Systemen entwickelt wurde. Es handelt sich dabei um einen dedizierten Security-Chip, der bestimmte Sicherheitsfunktionen übernimmt.

Bereits 2017 demonstrierte Infineon eine quantenresistente Schlüsselaustausch-Prozedur (eine Variante eines latticenbasierten KEM) auf einem gängigen kontaktlosen Sicherheitschip für elektronische Ausweise. Dieses Experiment bewies, dass selbst leistungsschwache Smartcard-Chips PQC-Algorithmen ausführen können. Inzwischen hat Infineon als weltweit erster Hersteller sogar eine hohe Common-Criteria-EAL6+-Zertifizierung für die Implementierung eines PQC-Algorithmus in einem Sicherheitscontroller erhalten.

Auch STMicroelectronics (ST) hat seine Produktpalette technisch auf PQC ausgerichtet. So stellt ST den Entwicklern seiner weitverbreiteten STM32-Mikrocontroller eine Software-Bibliothek X-CUBE-PQC bereit, die bereits heute gängige PQC-Algorithmen für Verschlüsselung und Signaturen umfasst. Parallel dazu hat ST Hardware-Komponenten eingeführt, um die Performance von PQC-Algorithmen zu steigern. SHA-3 spielt als Hash-Funktion in vielen PQC-Schemata (z. B. SPHINCS+ Signaturen) eine wichtige Rolle. Durch dessen Beschleunigung in der Hardware können rechenintensive PQC-Operationen effizienter ausgeführt werden. ST betont, man sei der erste Hersteller, der quantenresistente Features quer über alle Produktreihen anbietet – von Secure Elements über Automotive-Mikrocontroller bis zu IoT-Chips.

Praxisdruck durch Vorschriften und Strategien

Während Hersteller weltweit an PQC-fähiger Hardware arbeiten, geben nationale Stellen konkrete Migrationsfahrpläne vor. Die US-amerikanische NSA will ihre Systeme bis 2030 vollständig umstellen und verlangt bereits ab 2025 die Unterstützung quantenresistenter Signaturen. Auch das deutsche BSI und die französische ANSSI empfehlen insbesondere für Systeme mit langer Lebensdauer eine möglichst frühzeitige Migration.

Entsprechend wächst der Druck auf Halbleiterhersteller, bereits heute belastbare Lösungen für PQC und zugehörige Standards wie die IEC 62443 bereitzustellen. NXP zeigt etwa, wie sich PQC-Funktionalitäten, von Secure Boot über Firmware-Signaturen bis zu Runtimeschutz, in Embedded-Prozessoren und Security-Elemente integrieren lassen, ohne die Komplexität für Entwickler unnötig zu erhöhen.

Was ist der Stand bei einem weltweiten Standard?

Neben konkreten technischen Lösungen engagieren sich Europas Halbleiterhersteller über die Mitarbeit an der Standardisierung und Algorithmusentwicklung. Experten von NXP und Infineon waren direkt an der Forschung zu PQC-Algorithmen beteiligt. NXP ist außerdem Mitglied der Industrieinitiative Charter of Trust, in der sich Halbleiterhersteller, IT-Konzerne und Regierungsvertreter austauschen. Dort geht es darum, Migrationspfade zu PQC abzustimmen und die Industrie beim anstehenden Kryptografie-Wechsel zu unterstützen. Gemeinsam plant man sicherzustellen, dass die neuen Verfahren nicht nur mathematisch sicher, sondern auch praktikabel sind – also auf realer Hardware (inklusive ressourcenbeschränkter IoT-Geräte) effizient laufen.

Der Wettlauf um quantenresistente Sicherheitstechnologien findet global statt, wobei insbesondere die USA und China das Tempo vorgeben. In den USA wurden die NIST-Ergebnisse von 2022 zügig in konkrete Standards überführt – bereits im August 2024 veröffentlichte NIST die ersten finalen PQC-Standards (FIPS), die die ausgewählten Algorithmen formal definieren. Insgesamt gelten die USA als Vorreiter, der neben der Standardisierung auch die praktische Einführung (etwa in Internet-Protokollen, Browsern, Hardware-Sicherheitsmodulen etc.) vorantreibt.

China investiert ebenfalls massiv in Quantenforschung und Post-Quantum-Kryptografie, verfolgt dabei jedoch teils eigene Wege. Chinesische Kryptografen waren zwar am NIST-Wettbewerb beteiligt, doch China strebt danach, unabhängige PQC-Standards zu setzen. Im Februar 2025 lancierte die chinesische Behörde ICCS eine globale Ausschreibung für eigene quantenresistente Algorithmen. Diese Initiative signalisiert Chinas Bestreben, die Kontrolle über zukünftige Verschlüsselungsstandards zu behalten und nicht ausschließlich US-Vorgaben zu folgen.

Daraus wachsen geopolitische Reibungspunkte, denn es könnten sich regionale Standard-Varianten entwickeln, die Interoperabilität und Vertrauen beeinflussen. Hersteller wiederum müssen, je nach Marktdurchdringung, jeden einzelnen Standard erfüllen. Dabei bleibt allerdings auch ein Kommentar von Joppe Bos, Cryptographer & Technical Director bei NXP, im Gedächtnis, den er im Rahmen der Embedded World 2025 machte: „Cybersicherheit, klassisches Krypto und PQC dient lediglich zum Aufbau des Vertrauens, denn eine 100-prozentige Garantie von Sicherheit gibt es nicht.“

Ist absolute Sicherheit möglich?

Neben der Post-Quantum-Kryptografie existiert mit Quantum Key Distribution (QKD) ein weiterer Ansatz, um sichere Kommunikation in einer Ära von Quantencomputern zu gewährleisten. Im Gegensatz zu PQC, das auf softwarebasierten Algorithmen beruht, nutzt QKD die Prinzipien der Quantenmechanik selbst. Bei dieser Methode werden einzelne Photonen oder Quantenzustände für den sicheren Austausch kryptografischer Schlüssel verwendet.

Das Besondere: Jeder Abhörversuch würde aufgrund fundamentaler quantenphysikalischer Gesetze zwangsläufig erkennbar sein. Während QKD theoretisch absolute Sicherheit bietet, ist die praktische Umsetzung mit erheblichen Herausforderungen verbunden: Die Technologie erfordert spezielle Hardware wie Einzelphotonenquellen und Quantendetektoren, die Reichweite ist auf einige hundert Kilometer begrenzt, und die Implementierung bleibt kostspielig. Daher wird QKD vorwiegend in Hochsicherheitsszenarien wie Regierungsnetzwerken eingesetzt, während PQC für den breiten Markt die praktikablere Lösung darstellt. Experten sehen beide Ansätze nicht als Konkurrenten, sondern als komplementäre Schutzmechanismen in einem umfassenden Sicherheitskonzept für die Post-Quanten-Ära. (sb)

Willow, Majorana und Ocelot

Was können die Quantencomputer-Chips von Google, Microsoft und Amazon?

(ID:50415091)