Postquantenkryptografie 2026 – warum Daten von heute in einigen Jahren lesbar sein könnten

Die kurze Antwort

Ein ausreichend leistungsfähiger Quantenrechner könnte die Verschlüsselungsverfahren brechen, auf denen heute Online-Banking, Behördenkommunikation, Softwareupdates und der gesamte verschlüsselte Internetverkehr beruhen. Fachleute halten solche Maschinen ab etwa 2028 oder 2029 für möglich, verlässlich vorhersagen lässt sich der Zeitpunkt nicht.

Das eigentliche Problem beginnt aber nicht erst dann. Wer heute verschlüsselte Daten abfängt und speichert, kann sie später entschlüsseln, sobald die Technik verfügbar ist. Für alles, was über Jahre hinweg vertraulich bleiben muss, ist der Schaden damit bereits angelegt.

Regierungen reagieren bereits mit verbindlichen Vorgaben. Frankreich stellt die Zertifizierung von Sicherheitsprodukten ein, die keine postquantensichere Verschlüsselung verwenden.

Warum Verschlüsselung überhaupt funktioniert

Um das Problem zu verstehen, braucht man ein Grundprinzip, und es lässt sich ohne Mathematik erklären.

Diese Verfahren heißen asymmetrisch, weil es zwei Schlüssel gibt. Einen öffentlichen, den jeder kennen darf, und einen privaten, den nur der Empfänger besitzt. Beim Aufruf einer Internetseite mit Schlosssymbol handeln Browser und Server auf diese Weise einen gemeinsamen Sitzungsschlüssel aus.

Dieselbe Technik sichert digitale Signaturen. Wenn ein Betriebssystem ein Update installiert, prüft es anhand einer Signatur, ob das Update wirklich vom Hersteller stammt. Auch das beruht auf denselben mathematischen Annahmen.

Genau hier setzt das Problem an. Ein Quantenrechner ist nicht einfach ein schnellerer Computer. Er rechnet nach anderen Regeln, und für einige wenige Aufgaben ist er dadurch nicht ein bisschen, sondern dramatisch überlegen.

Warum das Problem heute schon besteht

Der wichtigste Punkt dieser Geschichte wird am häufigsten übersehen. Man muss nicht warten, bis ein Quantenrechner existiert, um Schaden zu nehmen.

Ob eine Organisation davon betroffen ist, hängt allein von einer Frage ab. Wie lange müssen die Daten vertraulich bleiben.

Für die Bestellbestätigung eines Onlineshops ist die Antwort einfach, sie ist in wenigen Wochen wertlos. Für Patientenakten, Personalakten, Bauunterlagen kritischer Infrastruktur, Geheimhaltungsvereinbarungen, Forschungsdaten, Staatsgeheimnisse oder Rechtsakten sieht das anders aus. Diese Informationen sollen zehn, zwanzig oder mehr Jahre geschützt bleiben.

Daraus ergibt sich eine einfache Faustregel. Wer Daten mit einer Schutzdauer hat, die über den erwarteten Zeitpunkt leistungsfähiger Quantenrechner hinausreicht, hat sein Problem bereits heute, nicht erst in einigen Jahren.

Wo die Technik gerade steht

Der Fortschritt bei Quantenrechnern ist in den vergangenen Monaten erkennbar schneller geworden, ohne dass ein Durchbruch im Sinne eines gebrochenen Verschlüsselungsverfahrens erreicht wäre.

In der Woche bis zum 15. August 2026 wurden mehrere Fortschritte gemeldet. Bei einem europäischen Hersteller gelang es, die Lasersteuerung für sogenannte Neutralatom-Systeme auf einen photonischen Chip zu verlagern. Aus einem einzigen Chip wurden vier optische Fallen erzeugt, in denen einzelne Rubidiumatome mit ähnlicher Haltbarkeit gehalten wurden wie mit herkömmlicher Optik. Das Unternehmen beschreibt das Ergebnis als direkten Weg zu Maschinen mit 10.000 Atomen und hundert logischen Recheneinheiten.

Ein anderes Unternehmen führte eine mathematische Standardoperation auf hundert Recheneinheiten der Hardware eines Großherstellers aus. Die Prozessgüte lag bei fünfzig Recheneinheiten bei 11,4 Prozent, das gesuchte Signal blieb bis hundert Einheiten erkennbar. Ein Hersteller kündigte an, eine Maschine mit über 10.000 physischen Recheneinheiten und sehr niedrigen Fehlerraten zu bauen.

Für die Frage, wann Verschlüsselung fällt, ist genau diese Unterscheidung entscheidend. Nach gängigen Schätzungen wären für das Brechen heute üblicher Schlüssellängen Tausende fehlerkorrigierter logischer Einheiten nötig. Die gemeldeten Fortschritte bewegen sich in einer anderen Größenordnung. Sie zeigen aber, dass sich die Kurve nach oben biegt.

Was bereits entschieden ist

Die Antwort auf das Problem existiert und heißt Postquantenkryptografie.

Diese Verfahren sind in den vergangenen Jahren in einem mehrjährigen internationalen Auswahlverfahren geprüft und standardisiert worden. Damit ist die technische Grundlage vorhanden. Der schwierige Teil ist die Umstellung.

Regierungen beginnen inzwischen, Fristen zu setzen. Frankreich hat angekündigt, Sicherheitsprodukte nicht mehr zu zertifizieren, wenn sie keine postquantensichere Verschlüsselung enthalten. Solche Zertifizierungen sind in vielen Bereichen Voraussetzung für den Verkauf an Behörden und kritische Infrastruktur. Eine solche Vorgabe wirkt damit stärker als jede Empfehlung.

Parallel arbeiten sich entsprechende Werkzeuge tiefer in staatliche Zeitpläne ein. In Behördenprogrammen mehrerer Länder sind Umstellungsfristen bereits verbindlich hinterlegt.

Warum die Umstellung so lange dauert

Wer glaubt, es genüge ein Softwareupdate, unterschätzt den Aufwand erheblich. Verschlüsselung steckt an Stellen, an die niemand mehr denkt.

Sie steckt in Browsern und Servern, in Bankkarten, in Ausweisdokumenten, in Autoschlüsseln, in Steuergeräten von Fahrzeugen, in medizinischen Geräten, in Industriesteuerungen, in Netzwerkhardware und in unzähligen Altsystemen, deren Hersteller es teilweise nicht mehr gibt.

Drei Schwierigkeiten kommen zusammen.

Die erste ist Bestandsaufnahme. Viele Organisationen wissen nicht genau, wo überall welche Verfahren im Einsatz sind. Fachleute sprechen von einem kryptografischen Inventar, und es zu erstellen ist in großen Häusern eine Aufgabe von Monaten bis Jahren.

Die zweite ist Hardware. Kartenlesegeräte, Chips in Ausweisen oder Steuergeräte in Fahrzeugen lassen sich nicht per Update ändern. Sie müssen ersetzt werden, und ihre Lebensdauer beträgt oft zehn Jahre und mehr.

Die dritte ist Kompatibilität. Zwei Seiten müssen sich auf dasselbe Verfahren einigen. Solange die Gegenstelle nur alte Verfahren beherrscht, nützt die eigene Umstellung wenig. In der Praxis werden deshalb Übergangsverfahren eingesetzt.

Ein weiterer praktischer Punkt betrifft die Größe. Postquantensichere Schlüssel und Signaturen sind je nach Verfahren deutlich umfangreicher als die heutigen. Für einen Bürorechner spielt das keine Rolle. Für kleine Sensoren mit knappem Speicher, für Fahrzeugnetze oder für Systeme mit sehr schmaler Funkverbindung kann es zum Problem werden.

Wie aus Forschung ein Standard wurde

Der Weg zu den heutigen Verfahren erklärt, warum Fachleute die technische Seite für gelöst halten und die organisatorische nicht.

Über mehrere Jahre hinweg lief ein offenes internationales Auswahlverfahren. Forschungsgruppen aus aller Welt reichten Vorschläge ein, andere Gruppen versuchten anschließend, diese Vorschläge zu brechen. Genau das ist der Sinn eines solchen Wettbewerbs. Ein Verfahren gilt erst dann als brauchbar, wenn viele kluge Leute vergeblich versucht haben, es zu knacken.

Einige Kandidaten fielen in diesem Prozess durch, teilweise spektakulär. Ein Vorschlag wurde mit einem gewöhnlichen Laptop innerhalb weniger Stunden gebrochen. Solche Rückschläge sind kein Argument gegen das Verfahren, sondern der beste Beleg dafür, dass es funktioniert hat. Was übrig blieb, hat einer jahrelangen Belagerung standgehalten.

Am Ende wurden mehrere Verfahren standardisiert, und zwar bewusst mehrere und auf unterschiedlichen mathematischen Grundlagen. Der Grund ist Risikostreuung. Sollte eine mathematische Familie später doch eine Schwäche zeigen, existiert eine Alternative, die auf einer anderen Annahme beruht.

Für die Praxis ist noch ein Begriff wichtig, der die eigentliche Lehre aus diesem Jahrzehnt zusammenfasst.

Viele Fachleute halten diese Beweglichkeit inzwischen für wichtiger als die Wahl des konkreten Verfahrens. Denn dass irgendwann wieder ein Wechsel nötig wird, ist die einzige sichere Aussage in diesem Feld.

Zwei Probleme, die oft vermischt werden

In der Debatte wird meist von Verschlüsselung gesprochen, als handele es sich um eine einzige Sache. Tatsächlich sind zwei Anwendungen betroffen, und sie haben völlig unterschiedliche Dringlichkeiten.

Die erste ist Vertraulichkeit. Hier geht es darum, dass niemand mitlesen kann. Bei dieser Anwendung wirkt das nachträgliche Entschlüsseln, denn wer den Datenverkehr heute aufzeichnet, kann ihn später öffnen.

Die zweite ist Authentizität, also der Nachweis, dass eine Nachricht wirklich vom angegebenen Absender stammt und unverändert ist. Diese Funktion übernehmen digitale Signaturen.

Bei Signaturen wirkt das nachträgliche Brechen anders. Eine Unterschrift, die vor Jahren geleistet wurde, lässt sich rückwirkend nicht mehr missbrauchen, wenn das signierte Dokument längst geprüft und archiviert ist. Gefährlich wird es erst in dem Moment, in dem ein Angreifer mit einem gebrochenen Verfahren neue Signaturen fälschen kann.

Daraus folgt eine unterschiedliche Reihenfolge. Bei der Vertraulichkeit drängt die Zeit sofort, weil heute gesammelt wird. Bei Signaturen genügt es, rechtzeitig vor dem Ernstfall umgestellt zu haben, dafür ist der Aufwand ungleich größer, weil praktisch jedes Gerät und jede Softwareverteilung betroffen ist.

Fachleute empfehlen deshalb, mit der Vertraulichkeit zu beginnen, insbesondere bei Verbindungen, über die langlebige Daten übertragen werden, und die Signaturen in der Breite über die normalen Erneuerungszyklen mitzuziehen.

Was die Umstellung kostet

Belastbare Gesamtzahlen existieren kaum, und das hat einen einfachen Grund. Der größte Teil des Aufwands versteckt sich in Projekten, die ohnehin laufen.

Grob lassen sich vier Kostenblöcke unterscheiden.

Der erste ist die Bestandsaufnahme. Sie ist reine Arbeitszeit, verursacht keine sichtbaren Ergebnisse und wird deshalb in Budgetverhandlungen regelmäßig gekürzt.

Der zweite ist Software. Hier fallen Lizenz-, Test- und Integrationskosten an. Sie sind planbar und im Vergleich moderat, weil die Verfahren standardisiert sind und in gängige Bibliotheken einfließen.

Der dritte ist Hardware. Er dominiert die Rechnung überall dort, wo Chips im Spiel sind, also bei Ausweisen, Bankkarten, Zugangssystemen, Steuergeräten und Sensorik. Ersetzt wird üblicherweise im Rahmen ohnehin anstehender Erneuerungen, was den Aufwand streckt, aber auch die Umstellung verlangsamt.

Der vierte sind Betriebs- und Leistungskosten. Größere Schlüssel bedeuten etwas mehr Datenvolumen und etwas mehr Rechenzeit. Für die meisten Anwendungen ist das vernachlässigbar. Bei sehr großen Mengen an Verbindungen, etwa bei Inhalteanbietern im Netz, summiert es sich.

Für die Bewertung ist wichtig, dass diese Kosten in jedem Fall anfallen. Die Frage ist nur, ob geordnet über mehrere Jahre oder ungeordnet unter Zeitdruck. Erfahrungsgemäß ist die zweite Variante deutlich teurer.

Wer besonders betroffen ist

Nicht jede Organisation steht unter demselben Zeitdruck. Drei Gruppen fallen auf.

Die erste sind Betreiber kritischer Infrastruktur, also Energieversorger, Wasserwerke, Verkehrsbetriebe, Krankenhäuser und Telekommunikationsanbieter. Ihre Steuerungssysteme haben lange Lebenszyklen, und ein Ausfall hat unmittelbare Folgen.

Die zweite ist der Finanzsektor. Hier geht es weniger um Geheimhaltung über Jahrzehnte als um Integrität, also darum, dass niemand Transaktionen fälschen kann. Zahlungsverkehr, Wertpapierabwicklung und Kartensysteme beruhen vollständig auf digitalen Signaturen.

Die dritte Gruppe sind Hersteller langlebiger Produkte, also Fahrzeugbau, Maschinenbau, Medizintechnik und Luftfahrt. Ein Gerät, das heute verkauft wird und zwanzig Jahre im Einsatz bleibt, muss die Umstellung überstehen, ohne dass es dafür jedes Mal in die Werkstatt kommt.

Für die Berichterstattung ist noch eine vierte Gruppe interessant, weil sie fast nie genannt wird. Anbieter, die im Auftrag anderer Daten aufbewahren, also Rechenzentren, Archivdienstleister und Cloudanbieter. Sie halten fremde Daten teilweise über Jahrzehnte und tragen damit ein Risiko, das nicht aus ihrem eigenen Geschäft stammt.

Was gegen Panik spricht

Zur Einordnung gehört auch die andere Seite, denn dieses Thema wird gelegentlich sehr dramatisch erzählt.

Erstens ist der Zeitpunkt unsicher. Schätzungen für nutzbare Quantenrechner haben sich in der Vergangenheit wiederholt verschoben, meist nach hinten. Die genannten Jahre 2028 oder 2029 sind eine Möglichkeit, keine Zusage.

Zweitens sind die Ersatzverfahren vorhanden und standardisiert. Es handelt sich nicht um ein ungelöstes Forschungsproblem, sondern um eine Aufgabe der Umsetzung. Das ist mühsam, aber machbar.

Drittens sind nicht alle Verfahren gleich betroffen. Symmetrische Verschlüsselung, wie sie für die eigentliche Übertragung großer Datenmengen genutzt wird, bleibt mit längeren Schlüsseln nach heutigem Kenntnisstand ausreichend sicher.

Viertens gibt es einen praktischen Filter. Wer heute Daten abfängt und speichert, tut das mit erheblichem Aufwand. Das lohnt sich für staatliche Akteure und für sehr wertvolle Ziele, nicht für beliebigen Alltagsverkehr.

Umgekehrt gilt allerdings, dass genau diese wertvollen Ziele die sensibelsten Daten halten.

Häufige Fragen

Was ist Postquantenkryptografie

Verschlüsselungsverfahren, die auf mathematischen Problemen beruhen, für die auch mit Quantenrechnern kein schneller Lösungsweg bekannt ist. Sie laufen auf normalen Computern und erfordern keine neue Hardware, sondern neue Software und Standards.

Wann können Quantenrechner heutige Verschlüsselung brechen

Ein belastbares Datum gibt es nicht. Fachleute halten leistungsfähige Maschinen ab etwa 2028 oder 2029 für möglich. Nötig wären Tausende fehlerkorrigierter logischer Recheneinheiten, während heutige Systeme in einer anderen Größenordnung arbeiten.

Warum ist das Problem jetzt schon relevant

Weil verschlüsselte Daten heute abgefangen und gespeichert werden können, um sie später zu entschlüsseln. Betroffen ist alles, was über den erwarteten Zeitpunkt hinaus vertraulich bleiben muss, etwa Gesundheits-, Personal- oder Behördendaten.

Was tun Staaten bereits

Frankreich stellt die Zertifizierung von Sicherheitsprodukten ein, die keine postquantensichere Verschlüsselung enthalten. In Behördenprogrammen mehrerer Länder sind Umstellungsfristen verbindlich hinterlegt.

Warum dauert die Umstellung Jahre

Weil Verschlüsselung in unzähligen Systemen steckt, viele Organisationen kein vollständiges Inventar haben, Hardware wie Chipkarten oder Steuergeräte nicht per Update änderbar ist und beide Seiten einer Verbindung dieselben Verfahren beherrschen müssen.

Sind alle Verschlüsselungsverfahren gleichermaßen betroffen

Nein. Betroffen sind vor allem asymmetrische Verfahren, also jene mit öffentlichem und privatem Schlüssel. Symmetrische Verfahren, bei denen beide Seiten denselben Schlüssel nutzen, gelten mit längeren Schlüsseln nach heutigem Kenntnisstand als ausreichend sicher.

Was ist ein hybrides Verfahren

Eine Übergangslösung, bei der ein klassisches und ein postquantensicheres Verfahren gleichzeitig verwendet werden. Die Verbindung wäre nur unsicher, wenn beide gebrochen würden. Das erlaubt die Umstellung, ohne die Kompatibilität mit Gegenstellen zu verlieren.

Einschätzung

Was mich an diesem Thema beschäftigt, ist die ungewöhnliche Struktur des Risikos. Fast alle Sicherheitsprobleme funktionieren nach dem Muster, dass ein Schaden eintritt und danach behoben wird. Hier ist es umgekehrt. Der Schaden entsteht heute unsichtbar und wird erst Jahre später sichtbar, wenn niemand mehr etwas dagegen tun kann.

Das erklärt, warum das Thema so schwer zu vermitteln ist. Es gibt keinen Vorfall, keine Schlagzeile, kein betroffenes Unternehmen, das sich entschuldigen müsste. Es gibt nur eine Frist, die niemand genau kennt, und eine Aufgabe, die viel Arbeit macht und keinen sichtbaren Nutzen bringt, solange nichts passiert.

Bemerkenswert finde ich außerdem, dass die entscheidende Bewegung nicht aus der Technik kommt, sondern aus der Regulierung. Ein Zertifizierungsentzug wirkt sofort und konkret, während Berichte über neue Rekorde bei Recheneinheiten seit Jahren erscheinen, ohne dass sich in der Praxis viel ändert. Wer beobachten will, wie schnell die Umstellung wirklich vorankommt, sollte deshalb auf Beschaffungsrichtlinien und Zertifizierungsregeln schauen und nicht auf Ankündigungen von Herstellern.

Die ehrlichste Formulierung des Problems lautet vermutlich so. Es ist nicht wahrscheinlich, dass morgen etwas passiert. Es ist aber sehr wahrscheinlich, dass die Umstellung länger dauert als die verbleibende Zeit, wenn man erst dann beginnt, wenn es dringend wird.

Zwei Beobachtungen möchte ich anfügen, weil sie in der öffentlichen Debatte fehlen.

Die erste betrifft die Asymmetrie zwischen Angreifer und Verteidiger. Ein Angreifer muss nur speichern und warten. Ein Verteidiger muss jedes einzelne System anfassen. Das ist ein sehr ungleiches Verhältnis von Aufwand zu Wirkung, und es erklärt, warum Fristen hier stärker wirken als Appelle.

Die zweite betrifft die Sprache. Dieses Thema wird überwiegend in Fachbegriffen verhandelt, und das hält es aus Vorstandsetagen und Redaktionen heraus. Dabei lässt sich die Kernfrage in einem Satz stellen, den jede Organisation beantworten kann. Welche unserer Daten müssen in zehn Jahren noch vertraulich sein. Wer darauf eine Antwort hat, weiß auch, wie eilig es ist.

Zahlencheck

Alle Angaben wurden am 15. August 2026 gegen öffentlich zugängliche Quellen geprüft.

Ankündigung Frankreichs, Sicherheitsprodukte ohne postquantensichere Verschlüsselung nicht mehr zu zertifizieren, sowie die Einordnung, dass nutzbare Quantenrechner möglicherweise bereits 2028 oder 2029 verfügbar sein könnten, aus einer Technologieübersicht vom August 2026.

Fortschritt bei der Lasersteuerung über einen photonischen Chip mit vier optischen Fallen und Haltezeiten einzelner Rubidiumatome auf dem Niveau herkömmlicher Optik, die Einordnung als Weg zu Maschinen mit 10.000 Atomen und hundert logischen Recheneinheiten, die Ausführung einer mathematischen Standardoperation auf hundert Recheneinheiten fremder Hardware mit einer Prozessgüte von 11,4 Prozent bei fünfzig Einheiten sowie der Hinweis auf weitere Vorhaben zu Modularität und auf den Einsatz von Quantenhardware in einem Rechenzentrum aus einem Fachüberblick für die Woche bis zum 15. August 2026.

Ankündigung eines Herstellers zu einer Maschine mit über 10.000 physischen Recheneinheiten und sehr niedrigen Fehlerraten auf Basis von Neutralatom-Technik aus derselben Technologieübersicht vom August 2026.

Die Darstellungen zu Funktionsweise asymmetrischer Verfahren, zur Unterscheidung physischer und logischer Recheneinheiten, zu hybriden Übergangsverfahren, zum größeren Umfang postquantensicherer Schlüssel und zur geringeren Betroffenheit symmetrischer Verfahren beruhen auf dem allgemein etablierten Stand der Fachliteratur und nicht auf einer einzelnen Quelle.

Die Angabe, dass für das Brechen heute üblicher Schlüssellängen Tausende fehlerkorrigierter logischer Recheneinheiten nötig wären, ist eine in der Fachdiskussion gängige Größenordnung und keine exakte Zahl. Je nach Annahme über Fehlerraten und Verfahren kursieren unterschiedliche Schätzungen.

Dieser Beitrag dient der Information. Er enthält keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung und keine Bewertung einzelner Wertpapiere. Genannte Unternehmen werden als Marktteilnehmer beschrieben, nicht bewertet.