Die nächste NIST-Runde für Post-Quanten-Signaturen gibt Unternehmen keinen Grund zum Abwarten. Den Takt der Migration bestimmen längst die Fristen von BSI und EU, der Schutzbedarf der Daten und die Produktzyklen der Anbieter.
Am 14. Mai 2026 hat das National Institute of Standards and Technology neun Signaturverfahren in die dritte Runde seines Zusatzprogramms für Post-Quanten-Signaturen geschickt. Die Prüfung soll rund zwei Jahre dauern. In Vorstandsvorlagen wird daraus schnell das Argument, die Standards seien noch nicht fertig und ein Migrationsprojekt könne deshalb warten. Dabei bestimmt der Standardisierungsprozess den Zeitplan der Unternehmen längst nicht mehr.
Was in der dritten Runde tatsächlich geprüft wird
Die tragenden Standards liegen seit August 2024 vor, ML-DSA als Verfahren für den Regelfall und SLH-DSA als hashbasierte Alternative. Ein drittes Verfahren, FN-DSA, befindet sich noch im Entwurfsstadium. Das Zusatzprogramm läuft parallel dazu und sucht Signaturverfahren, die auf anderen mathematischen Annahmen beruhen als die bereits standardisierten Gitterverfahren. Dahinter steht Risikostreuung. Sollte ein mathematischer Ansatz Jahre später angreifbar werden, soll davon nicht die gesamte standardisierte Basis betroffen sein.
Die verbliebenen Kandidaten dürfen ihre Spezifikationen bis zum Sommer nachschärfen, die nächste Standardisierungskonferenz ist für 2027 angesetzt. Das Feld bleibt also in Bewegung. Allerdings betrifft diese Bewegung die Ergänzungen und nicht das Fundament, auf dem eine Umstellung heute aufsetzen würde.
Für Unternehmen liegt der Nachrichtenwert deshalb weniger in einer offenen Auswahlfrage als in der Dauer der Aufgabe. ML-DSA bleibt für die große Mehrheit der Anwendungen gesetzt, und was nach 2028 hinzukommt, wird das Portfolio lediglich ergänzen. Ein Vorhaben, das als einmaliger Wechsel geplant und budgetiert wird, muss später ein zweites Mal aufgesetzt werden.
Die Fristen setzen die Aufsichtsbehörden
Das BSI hat in der aktuellen Fassung seiner Technischen Richtlinie TR-02102-1 erstmals Ablaufdaten genannt. Der alleinige Einsatz klassischer Schlüsseleinigung mit RSA oder ECC wird nur noch bis Ende 2031 empfohlen, bei sehr hohem Schutzbedarf bereits bis Ende 2030. Klassische Signaturverfahren bekommen Zeit bis Ende 2035.
Den zweiten Rahmen setzt der Fahrplan der EU, nach dem die Mitgliedstaaten bis Ende 2026 mit der Umstellung beginnen und Anwendungen mit hohem Risiko spätestens bis Ende 2030 abgesichert sein sollen. Diese Deadlines wirken auf den ersten Blick komfortabel, betreffen aber Beschaffungsentscheidungen, die bereits jetzt gefällt werden sollten. Anlagen, Fahrzeuge und medizintechnische Geräte, die 2026 gekauft werden und zehn Jahre im Feld bleiben, laufen mitten in diese Fristen hinein.
Der Schutzbedarf reicht über die Fristen hinaus
Die zweite Zeitachse ergibt sich aus den Daten selbst. Angreifer, die verschlüsselten Datenverkehr mitschneiden, müssen ihn nicht heute lesen können. Der Mitschnitt lässt sich archivieren und Jahre später auswerten, sobald ein fehlerkorrigierter Quantencomputer der nötigen Größe existiert und den zugehörigen Schlüssel rekonstruiert. Für Informationen mit kurzer Halbwertszeit ist das folgenlos. Empfindlich wird es dort, wo Vertraulichkeit über ein Jahrzehnt garantiert werden muss, etwa bei Patientenakten oder Konstruktionsunterlagen. Wird ein solcher Bestand 2026 über eine klassisch gesicherte Verbindung übertragen, bemisst sich der mögliche Schaden am Stand der Technik der 2030er Jahre.
Damit bestimmt die Schutzdauer der Daten, welches System zuerst an die Reihe kommt. Ein vergleichsweise kleines System, über das Entwicklungsdaten laufen, rückt in der Migrationsplanung vor die große Anwendung, deren Inhalte nach zwei Jahren ihren Wert verlieren. Diese Logik läuft der üblichen Projektplanung zuwider, die sich an Nutzerzahlen und Systemgröße orientiert.
Kryptografie steckt überwiegend in zugekaufter Technik
Die wenigsten Unternehmen bauen ihre Kryptografie selbst. Sie kaufen Software und Cloud-Dienste, in denen die Verfahren fest verbaut sind. Das Tempo der Umstellung bestimmen damit die Produktzyklen der Anbieter. Der wirksamste Hebel liegt deshalb im Einkauf. Verträge mit Laufzeiten über 2030 hinaus lassen sich heute um Zusagen zu quantensicheren Updates ergänzen, solange der Anbieter noch um den Abschluss wirbt.
Hilfreich ist dabei, dass der Übergang nach Einschätzung des BSI ohnehin nicht als harter Schnitt gedacht ist. Empfohlen werden hybride Verfahren, die ein klassisches und ein quantensicheres Verfahren kombinieren und nur gemeinsam als gültig gelten, solange die neuen Algorithmen weniger lange erprobt sind als RSA und ECC. Für die Produktauswahl heißt das, dass ein Anbieter nicht sofort ein rein quantensicheres Verfahren liefern muss. Er muss darlegen können, wie sich sein Produkt um ein quantensicheres Verfahren komplementär erweitern lässt und zu welchem Zeitpunkt es vollständig auf PQC umgestellt sein wird.
All das setzt voraus, dass ein Unternehmen seine eigenen Verfahren überhaupt kennt. Genau hier beginnt der aufwendige Teil der Migration. Ausgetauscht wird nur, was dokumentiert ist. Die Abkündigung von SHA-1 hat gezeigt, wie lange solche Wechsel dauern, wenn Bestandslisten unvollständig sind und Erneuerungen an einzelnen Personen hängen. Ein brauchbares Inventar verzeichnet deshalb neben dem eingesetzten Verfahren auch die für die Erneuerung verantwortliche Stelle im Haus.
Der Aufwand beginnt vor dem Quantencomputer
Die Betriebslast im Zertifikatsmanagement steigt bereits, ohne dass ein Quantencomputer daran beteiligt wäre. Das CA/Browser Forum hat im April 2025 beschlossen, die maximale Laufzeit öffentlich vertrauenswürdiger TLS-Zertifikate stufenweise zu senken, seit März 2026 auf 200 Tage und ab März 2029 auf 47 Tage. Eine Erneuerung, die heute einmal im Jahr ansteht, fällt dann etwa achtmal jährlich an.
Parallel wächst die Zahl der Stellen, an denen Zertifikate überhaupt gebraucht werden, weil Container und vernetzte Geräte jeweils eigene Identitäten mitbringen. Bei einigen hundert Zertifikaten stößt eine tabellengestützte Verwaltung damit an ihre Grenzen. Ein abgelaufenes Zertifikat ist selten ein Sicherheitsvorfall, aber regelmäßig ein Ausfall im laufenden Geschäft. Zudem trifft es meist Systeme mit Kundenkontakt, wo ein solcher Ausfall sofort auffällt.
Diese Entwicklung bringt jedoch auch einen Vorteil mit sich. Automatisierte Erneuerungsprozesse erleichtern später auch den Wechsel der Algorithmen. Die Investition rechnet sich deshalb unabhängig davon, wann leistungsfähige Quantenrechner zur Verfügung stehen.
Was im Haushaltsjahr 2027 entschieden wird
Für die mittelfristige Planung heißt das konkret, dass die Bestandsaufnahme nicht ins Budget 2029 gehört. Ein vollständiges Kryptografie-Inventar über gewachsene IT-Bestände hinweg braucht in mittleren Organisationen mehrere Quartale, die Ablösung einzelner Altanwendungen deutlich länger. Das verkompliziert die Gemengelage zusätzlich, denn beide dieser Schritte konkurrieren um dieselben Fachleute.
Fällt die Entscheidung im Haushalt 2027, bleibt Spielraum, die Reihenfolge am Schutzbedarf der Daten auszurichten und Altanwendungen gebündelt abzulösen. Bei einer späteren Freigabe gibt die Frist des BSI den Takt an.
