Postquantenkryptografie und PQC, hybride Verfahren und Migration

Die Debatte um Post-Quanten-Kryptografie (PQC) ist omnipräsent: Behörden wie das BSI empfehlen hybride Verfahren, während viele Organisationen in der Praxis weiter klassische Kryptografie einsetzen oder gar keine End-to-End-Verschlüsselung konsequent nutzen. Dieser Artikel analysiert, warum PQC aktuell so viel Aufmerksamkeit erhält, welche Gründe für hybride Ansätze sprechen und welche technischen, organisatorischen und wirtschaftlichen Huerden eine rasche Umstellung bremsen. Ich zeige, wie echte Risiken – insbesondere Harvest-now-decrypt-later – zu priorisieren sind, welche Algorithmentypen sinnvoll kombiniert werden können und wie eine pragmatische Migrationsstrategie aussehen sollte. Ziel ist ein ausbalanciertes, handlungsorientiertes Bild, das Entscheider bei der Bewertung von PQC-Hype versus begruendeter Vorsicht unterstuetzt.

Warum Post-Quanten-Kryptografie jetzt auf der Agenda steht

Quantencomputer brechen nicht ueber Nacht in unser Leben ein, doch ihre Entwicklung macht bestimmte klassische Public-Key-Verfahren angreifbar. Algorithmen wie RSA oder elliptische Kurven beruhen auf Problemen, die ein ausreichend leistungsfaehiger Quantencomputer mit Shor-Algorithmus effizient loesen koennte. Das bedeutet: Daten, die heute abgehoert und gespeichert werden, koennten in einigen Jahren entschluesselt werden – das sogenannte harvest-now-decrypt-later-Szenario.

Parallel dazu treiben Standardisierungsstellen wie NIST die Auswahl und Standardisierung von PQC-Algorithmen voran. Das weckt Aufmerksamkeit bei Regulatoren, Betreibern kritischer Infrastrukturen und Herstellern von Sicherheitsprodukten. Wichtig ist jedoch die Unterscheidung zwischen akuter Bedrohung und langfristiger Vorsorge: Symmetrische Verfahren bleiben relativ robust; die Hauptproblematik betrifft asymmetrische Schlüssel und die Infrastrukturen, die davon abhängen – TLS, VPN, E-Mail-Signaturen, Code-Signatur, PKI.

Was genau sind hybride Verfahren, und warum empfiehlt das BSI sie?

Als hybride Verfahren bezeichnet man Konstruktionen, in denen ein klassisches Kryptosystem zusammen mit einem Post-Quanten-Algorithmus parallel eingesetzt wird, so dass ein erfolgreicher Angriff auf eine Komponente nicht automatisch die gesamte Sicherheit aufhebt. Typisch ist die Kombination von ECDH (elliptische Kurven) mit einem PQC-KEM wie Kyber fuer Schluesselaustausch, oder die parallele Erzeugung digitaler Signaturen mit einer klassischen und einer PQC-Signatur.

Gründe fuer den hybriden Ansatz:

• Redundanz und Diversitaet – verschiedene mathematische Probleme bieten unterschiedliche Angriffsflächen.
• Vorsicht in der Transition – viele Implementierungen und Protokolle sind noch nicht PQC-erprobt; hybrider Betrieb mindert das Risiko von Einfuehrungsfehlern.
• Interoperabilitaet – erlaubt schrittweises Rollout und Abstufung, waehrend Legacy-Systeme weiterarbeiten.
• Fehler- und Angriffsresistenz – wenn ein neuer PQC-Algorithmus später Schwachstellen zeigt, bleibt die klassische Komponente ein Sicherheitsnetz.

Das BSI plaziert sich hier als vorsichtiger Ratgeber: Hybrid bedeutet mehr Integration und mehr Komplexitaet, aber auch mehr Sicherheit gegen unbekannte Risiken. Die Empfehlung ist keine Panikmache, sondern ein pragmatischer Kompromiss zwischen Zukunftssicherheit und Gegenwartsrealisierbarkeit.

Technische und praktische Herausforderungen bei der Umsetzung

Die Umstellung ist kein reiner Algorithmuswechsel. Es geht um Protokolle, Implementierung, Infrastruktur und Betrieb:

• Grössere Schluessel und Transaktionsgroessen – viele PQC-Algorithmen bringen deutlich groessere oeffentliche Schluessel, Ciphertexte oder Signaturen mit sich, was Bandbreite und Speicher belastet.
• Performance und Latency – CPU-Lasten koennen steigen, was auf ressourcenbeschraenkten Systemen (IoT, eingebettete Systeme) problematisch ist.
• Kompatibilitaet – TLS-Stacks, HSMs, TPMs, PKI-Workflows und Zertifikatsformate muessen angepasst werden. Nicht alle Vendoren liefern zeitnah Updates.
• Implementationssicherheit – neue Algorithmen fuehren zu neuen Implementationen. Side-Channel-Schutz, konstante Zeit, korrekte Zufallszahlen sind weiterhin kritisch.
• Betriebliche Prozesse – Schluesselrotationen, Backup/Recovery, Zertifikatsketten und Rechtsfragen bei Archivdaten muessen neu betrachtet werden.

Diese Faktoren erklaeren, warum viele Organisationen zwar ueber PQC reden, aber nur wenige sofort umstellen: Der Aufwand ist hoch, die konkreten Vorteile sind bei vielen Anwendungen noch kaum sichtbar, und die Priorisierung erfordert eine klare Risikoanalyse.

Tabelle: Grobe Vergleichsdaten ausgewaehlter Algorithmen (Beispiele, ungefaehre Groessen)

Algorithmus	Typ	Oeffentlicher Schluessel (ungefaehr)	Secret/Privater Schluessel	Ciphertext / Signatur	Sicherheitsniveau
RSA-2048	klassisch (RSA)	256 Bytes	~256 Bytes	Signatur: ~256 Bytes	~112-bit (klassisch)
P-256 (ECDSA/ECDH)	klassisch (ECC)	65 Bytes (uncompressed)	~32 Bytes	Signatur: ~64 Bytes	~128-bit (klassisch)
CRYSTALS-Kyber-512	PQC (KEM)	~800 Bytes	~1600 Bytes	Ciphertext: ~768 Bytes	~128-bit (post-quantum)
CRYSTALS-Dilithium-2	PQC (Signatur)	~1312 Bytes	~2500 Bytes	Signatur: ~2400 Bytes	~128-bit (post-quantum)

Hinweis: Die Zahlen sind grobe Richtwerte aus Referenzimplementationen und dienen dem Vergleich. Konkrete Implementierungen, Kodierungen (z.B. DER, PEM) und Protokoll-Overhead beeinflussen die wirklichen Groessen.

Hype versus reale Prioritaeten – wie Organisationen sinnvoll handeln koennen

Die zentrale Frage lautet: Wann ist Hybrid sinnvoll, und wer soll zuerst handeln? Nicht jede Organisation braucht sofort eine vollstaendige PQC-Migration. Entscheidend ist die Klassifizierung von Daten und die Einschatzung des Angreifermotivs:

• Priorisieren nach Datenwert und Lebensdauer – Informationen mit langer Geheimhaltungsdauer (Geheimdokumente, Gesundheitsdaten, geistiges Eigentum) sind prioritaer.
• Inventar und Abhaengigkeiten aufbauen – eine genaue Bestandsaufnahme von Systemen, Protokollen und Datenfluesse ist Voraussetzung.
• Use-Cases mit hohem Risiko zuerst – VPNs, TLS-Verbindungen mit Langzeitarchiven, Remote-Zugriff, Signaturen fuer Software-Distribution und Firmware sollten frueh betrachtet werden.
• Crypto-Agility – Systeme so gestalten, dass Algorithmen und Parameter ohne groessere Umbauten gewechselt werden koennen. Hybride Loesungen sind oft ein Zwischenschritt zur vollen Agility.
• Test- und Rollout-Pfade schaffen – Labore, Staging-Umgebungen, Kompatibilitaetstests mit externen Partnern und Belastungstests.

Eine typische Migrations-Roadmap:

• Kurzfristig (0-12 Monate): Analyse, Inventar, Proof-of-Concept fuer hybride TLS-Verbindungen in Pilotumgebungen.
• Mittelfristig (1-3 Jahre): Rollout hybrider Verfahren fuer kritische Pfade, Einbindung in PKI, Update von HSM/TPM-Firmware.
• Langfristig (3+ Jahre): Vollstaendige Migration zu stabilisierten, standardisierten PQC-Algorithmen oder Beibehalt hybrider Konfigurationen je nach Bedrohungsbild.

Operative Empfehlungen – pragmatisch, sicher, kosteneffizient

Aus der Perspektive eines Verantwortlichen fuer IT-Sicherheit ergeben sich konkrete Schritte:

• Fuehre eine Risiko- und Datenklassifizierungsanalyse durch; identifiziere Langzeit-Sensitivitaet.
• Teste hybride TLS-Konfigurationen in einer isolierten Umgebung; ueberwache Performance und Kompatibilitaet.
• Fordere von Lieferanten Roadmaps zur PQC-Unterstuetzung; verlaengerte Wartungsvertraege koennen notwendig sein.
• Investiere in Crypto-Agility: modulare Bibliotheken, automatisierte Schluesseltausch-Prozesse, Ueberwachung von Kryptografie-Stacks.
• Schule Entwickler und Betreiber in korrekter Implementierung neuer Algorithmen und in Side-Channel-Schutzmassnahmen.

Wichtig ist, nicht in paralysierende Angst vor dem Quantencomputer zu verfallen, aber auch nicht die Augen zu verschliessen. Hybride Verfahren bieten eine sinnvolle Bruecke, sofern sie bewusst, getestet und schrittweise eingefuehrt werden.

Schlussfolgerung

Die Diskussion um Post-Quanten-Kryptografie ist weder reiner Hype noch Grund zur Panik. Das BSI empfiehlt hybride Verfahren als pragmatischen Weg, um heutige Sicherheit mit Zukunftsschutz zu verbinden. Hybride Konstruktionen reduzieren das Risiko von Single-Point-of-Failure bei der Umstellung, erhöhen jedoch Komplexitaet, Datenvolumen und Implementationsaufwand. Deshalb sollten Organisationen priorisieren: Schuetze zuerst Daten mit langer Geheimhaltungsdauer, teste hybride Loesungen in kontrollierten Umgebungen und baue Crypto-Agility auf. Lieferantenintegration, sinnvolle Tests und Schulung sind Schluesselfaktoren. Insgesamt ist ein abgestuftes, risikobasiertes Vorgehen ratsam: dort sofort handeln, wo der Schaden am groessten waere; andernorts schrittweise migrieren und dabei die Weiterentwicklung der PQC-Standards beobachten. So bewaehrt sich ein ausgewogenes Vorgehen zwischen Vorsorge und wirtschaftlicher Vernunft.