Fast jeder digitale Prozess in Ihrem Unternehmen (E-Mail, VPN, E-Banking, Software-Updates, signierte Dokumente) beruht auf Public-Key-Kryptografie wie RSA oder elliptischen Kurven. Ein ausreichend leistungsfähiger Quantencomputer wird diese Verfahren brechen können. Wann genau das der Fall sein wird, weiss niemand. Doch die Umstellung auf quantensichere Kryptografie dauert Jahre, und die Regulatoren haben die Uhr bereits gestellt.
Warum das heute zählt, nicht erst in zehn Jahren
Das unmittelbarste Risiko heisst «Harvest now, decrypt later»: Angreifer fangen verschlüsselte Daten heute ab und speichern sie, um sie zu entschlüsseln, sobald Quantencomputer leistungsfähig genug sind. Alle Informationen, die über viele Jahre vertraulich bleiben müssen (Verträge, Gesundheitsdaten, geistiges Eigentum, Finanzdaten, Personendaten), sind diesem Risiko bereits heute ausgesetzt.
Ein zweites Risiko betrifft das Vertrauen: Digitale Signaturen schützen Software-Updates, Identitäten und Dokumente. Lassen sich Signaturen künftig fälschen, werden langlebige Systeme und Geräte, die sich nicht einfach aktualisieren lassen, zur Schwachstelle.
Die neuen Standards sind da
Im August 2024 hat das US-amerikanische National Institute of Standards and Technology (NIST) die ersten Standards für Post-Quanten-Kryptografie (PQK) veröffentlicht. Forschende aus dem IBM-Forschungslabor in der Schweiz haben Algorithmen mitentwickelt, die Teil dieser Standards wurden. Das «Was» ist also weitgehend geklärt. Jetzt geht es um das «Wie» und «Wann».
Der Zeitplan: Europa setzt 2030 als Schlüsseldatum
Im Juni 2025 hat die EU einen koordinierten Fahrplan für den Umstieg auf Post-Quanten-Kryptografie veröffentlicht:
- Bis Ende 2026: erste Schritte: Risikoanalyse, Sensibilisierung und kryptografische Inventare.
- Bis Ende 2030: Anwendungen mit hohem Risiko und kritische Infrastrukturen sollen umgestellt sein.
- Bis 2035: möglichst viele der übrigen Systeme sollen folgen.
Die Schweiz ist nicht an den EU-Fahrplan gebunden. Schweizer Unternehmen mit EU-Partnern, in regulierten Branchen oder in europäischen Lieferketten werden den gleichen Druck aber spüren. Das Bundesamt für Cybersicherheit (BACS) hat eine eigene Einschätzung zum Handlungsbedarf veröffentlicht und empfiehlt für die Übergangsphase hybride Betriebsmodi, die klassische und Post-Quanten-Algorithmen kombinieren.
Fünf praktische erste Schritte
1. Ein kryptografisches Inventar aufbauen
Was man nicht sieht, kann man nicht migrieren. Ermitteln Sie, wo Kryptografie eingesetzt wird: Anwendungen, Zertifikate, Protokolle, Bibliotheken, Geräte, Cloud-Services und die Softwarehersteller dahinter. Das ist eng mit Software Asset Management verwandt: Ein gutes Software-Inventar ist der beste Ausgangspunkt.
2. Nach Lebensdauer der Daten und geschäftlicher Wirkung priorisieren
Nicht alles muss gleichzeitig umgestellt werden. Beginnen Sie mit Daten, die am längsten vertraulich bleiben müssen, und mit Systemen, die schwer zu ändern sind, etwa eingebettete Geräte, Langzeitarchive und Public-Key-Infrastrukturen (PKI).
3. Hersteller nach ihrer Quanten-Roadmap fragen
Ein grosser Teil Ihrer Kryptografie steckt in Produkten Dritter. Fragen Sie Ihre wichtigsten Hersteller, wann und wie sie die neuen Standards unterstützen, und berücksichtigen Sie das bei Verlängerungen und Beschaffungsentscheiden.
4. Auf Krypto-Agilität setzen
Sorgen Sie dafür, dass sich Algorithmen und Zertifikate austauschen lassen, ohne Anwendungen neu zu bauen. Krypto-Agilität macht aus der nächsten Umstellung Routinewartung statt eines mehrjährigen Projekts.
5. Hybride Ansätze pilotieren
Testen Sie Post-Quanten- und hybride Verfahren zuerst in unkritischen Bereichen, messen Sie Leistung und Kompatibilität und passen Sie Ihre Prozesse für das Schlüsselmanagement an.
Wie iTsources Sie unterstützt
Unser Quantum Readiness Check verbindet unsere Expertise im Software Asset Management mit Enterprise-Werkzeugen, darunter IBM Quantum Safe. So erhalten Sie ein klares Bild, wo in Ihrer Umgebung gefährdete Kryptografie steckt, und eine priorisierte Roadmap für die ersten Schritte.
Mehr zum Quantum Readiness Check →
Quellen