Ein Angreifer muss eine verschlüsselte Verbindung heute nicht brechen, damit der Angriff erfolgreich sein kann. Es reicht, den Datenverkehr mitzuschneiden und aufzubewahren. Wenn später ausreichend leistungsfähige Quantencomputer oder andere geeignete Verfahren verfügbar sind, kann das archivierte Material erneut angegriffen werden.
Dieses Szenario heißt „Harvest now, decrypt later“: heute sammeln, später entschlüsseln. Es verschiebt die entscheidende Sicherheitsfrage. Unternehmen müssen nicht wissen, an welchem Datum ein kryptografisch relevanter Quantencomputer existieren wird. Sie müssen wissen, ob Informationen, die heute übertragen werden, dann noch vertraulich sein müssen.
Für kurzlebige Daten kann die Antwort „nein“ lauten. Für Entwicklungsunterlagen, M&A-Dokumente, Gesundheitsdaten, Identitätsinformationen, behördliche Kommunikation oder langfristige Industriegeheimnisse lautet sie häufig „ja“. Genau deshalb ist Post-Quanten-Kryptografie kein reines Zukunftsthema.
Nicht der Quantencomputer ist die erste Frist – sondern die Lebensdauer der Daten
Die Diskussion über den sogenannten Q-Day wirkt oft abstrakt. Manche Prognosen sprechen von Jahren, andere bleiben bewusst vorsichtig. Für eine belastbare Entscheidung ist diese Unsicherheit weniger wichtig, als sie zunächst erscheint.
Entscheidend sind drei Zeiträume:
- Wie lange müssen die betroffenen Daten vertraulich bleiben?
- Wie lange braucht das Unternehmen realistisch für Inventur, Tests, Beschaffung und Migration?
- Wie lange dauert es, bis ein Angreifer aufgezeichnete Daten entschlüsseln könnte?
Wenn Schutzdauer plus Migrationsdauer größer ist als die verbleibende Zeit bis zu einer relevanten Entschlüsselungsmöglichkeit, entsteht bereits heute ein Risiko. Die exakte Jahreszahl ist dabei unbekannt. Die Schutzdauer eigener Daten und die Geschwindigkeit eigener Veränderungsprozesse lassen sich dagegen ermitteln.
Ein Beispiel: Ein Bauplan soll noch 15 Jahre vertraulich bleiben. Die betroffene Anwendung, ihre Schnittstellen, Zertifikate, Lieferanten und eingebetteten Geräte lassen sich nicht innerhalb weniger Wochen austauschen. In diesem Fall ist „Wir warten auf einen eindeutig bewiesenen Quantencomputer“ keine neutrale Position. Es ist die Entscheidung, die heutige Übertragung langfristig schützenswerter Informationen weiter mit möglicherweise später verwertbarer Kryptografie abzusichern.
Was Angreifer überhaupt sammeln können
„Harvest now“ bedeutet nicht, dass sämtliche verschlüsselten Unternehmensdaten automatisch bei einem Angreifer landen. Das Risiko hängt davon ab, wo Daten übertragen werden, wie attraktiv sie sind und wie realistisch eine Aufzeichnung ist.
Besonders relevant sind Datenflüsse über öffentliche oder fremd betriebene Netze, externe Schnittstellen, Partnerverbindungen, Cloud-Dienste und dauerhaft eingesetzte Remote-Zugänge. Auch zentrale Übergänge können interessant sein, weil dort viele wertvolle Verbindungen zusammenlaufen.
Typische Kandidaten für eine höhere Priorität sind:
- geistiges Eigentum, Produktentwicklung und Forschungsdaten,
- M&A-, Vertrags- und Strategieunterlagen,
- personenbezogene Daten mit langer Schutzdauer,
- Identitäts-, Schlüssel- und Berechtigungsinformationen,
- Konfigurations- und Betriebsdaten kritischer Infrastrukturen,
- Kommunikation zwischen Standorten, Partnern und Dienstleistern,
- Firmware, Signaturen und Updateketten langlebiger Geräte.
Die Liste zeigt auch, warum das Thema nicht allein beim Netzwerkteam liegen darf. Datenverantwortliche, Applikationsbetrieb, Einkauf, OT, Legal und Informationssicherheit müssen gemeinsam bewerten, was langfristig schutzbedürftig ist.
Das Schloss im Browser beantwortet nur die Frage von heute
TLS schützt Daten während der Übertragung. Das ist unverzichtbar. Aber eine erfolgreiche TLS-Verbindung sagt zunächst nur, dass sich Client und Server auf ein Verfahren geeinigt haben, das heute als sicher gilt und korrekt umgesetzt wurde.
Viele verbreitete Verfahren für Schlüsselaustausch und digitale Signaturen beruhen auf mathematischen Problemen, die ein ausreichend leistungsfähiger Quantencomputer mit Shors Algorithmus grundlegend anders angreifen könnte. Symmetrische Verschlüsselung und Hashverfahren sind von der Quantenbedrohung anders betroffen als öffentliche Schlüsselverfahren; eine pauschale Aussage wie „alles ist dann gebrochen“ wäre deshalb falsch.
Post-Quanten-Kryptografie ersetzt gefährdete öffentliche Schlüsselverfahren durch Algorithmen, die nach heutigem Kenntnisstand auch gegen Quantenangriffe widerstandsfähig sein sollen. NIST hat 2024 die ersten drei zentralen Standards finalisiert. FIPS 203 beschreibt ML-KEM für die Etablierung gemeinsamer Schlüssel, FIPS 204 und FIPS 205 standardisieren Verfahren für digitale Signaturen.
Die Standards sind damit nicht mehr nur Forschung. NIST fordert Organisationen ausdrücklich auf, mit der Integration zu beginnen, weil eine vollständige Umstellung Zeit benötigt.
Warum „Wir kaufen später ein PQC-Produkt“ nicht reicht
Kryptografie steckt selten an nur einer Stelle. Sie befindet sich in Browsern, APIs, VPNs, Zertifikaten, Signaturen, E-Mail-Systemen, Software-Updates, Geräten, Bibliotheken und den Produkten zahlreicher Lieferanten. Manche Komponenten lassen sich schnell aktualisieren. Andere sind tief in Anwendungen eingebaut oder für lange Lebenszyklen ausgelegt.
Eine Migration scheitert deshalb häufig nicht an der Auswahl eines Algorithmus, sondern an fehlender Sicht:
- Welche Systeme verwenden RSA, ECDH oder ECDSA?
- Wo findet der Schlüsselaustausch statt?
- Welche Zertifikate und Signaturketten sind betroffen?
- Welche Geräte können aktualisiert werden?
- Welche Hersteller haben einen belastbaren Migrationsplan?
- Wo können hybride Verfahren eingesetzt werden, ohne Kompatibilität und Betrieb zu gefährden?
Ohne Krypto-Inventar lässt sich weder das Risiko priorisieren noch der Fortschritt belegen. Ein einzelnes Gateway, ein neues Zertifikat oder ein Hersteller-Feature kann einen wichtigen Teil der Strecke abdecken. Es ersetzt aber nicht die Kenntnis der gesamten kryptografischen Abhängigkeiten.
Hybride Verfahren schaffen eine kontrollierte Übergangsphase
Viele aktuelle Ansätze kombinieren klassische und post-quanten-sichere Verfahren. Ein hybrider Schlüsselaustausch soll den Übergang robuster machen: Die Verbindung hängt nicht ausschließlich von einem neuen Algorithmus ab, gleichzeitig kommt ein quantenresistenter Baustein hinzu.
Für Unternehmen ist das vor allem eine Betriebsfrage. Hybride Verfahren müssen mit Browsern, Anwendungen, Inspektionsstrecken und Sicherheitsrichtlinien zusammenspielen. Sie können größere Nachrichten, andere Leistungsprofile und neue Fehlerbilder mitbringen. Deshalb gehören Kompatibilitäts- und Performancetests in den Migrationsplan.
Zscaler unterstützt in Zscaler Internet Access inzwischen die Inline-Inspektion von TLS-Verbindungen mit hybridem PQC-Schlüsselaustausch auf Basis von ML-KEM. Ein eigener Sichtbarkeitsbericht und zusätzliche Logfelder zeigen, welche Schlüssel- und Signaturalgorithmen im Webverkehr verwendet werden. Das ist für Zscaler-Kunden ein konkreter Startpunkt: nicht sofort alles umstellen, sondern zunächst sichtbar machen, wo klassische, hybride und PQC-Verfahren tatsächlich auftreten.
Die Grenze muss trotzdem klar bleiben. Sichtbarkeit im Webverkehr ist kein vollständiges unternehmensweites Krypto-Inventar. Code-Signaturen, interne PKI, SSH, E-Mail, branchenspezifische Protokolle und eingebettete Systeme brauchen weiterhin eine eigene Betrachtung.
Sechs Fragen für die erste Managemententscheidung
Bevor ein Unternehmen ein großes PQC-Programm ausruft, sollte die Geschäftsleitung sechs Fragen beantworten lassen:
1. Welche Informationen müssen länger als fünf oder zehn Jahre vertraulich bleiben? Nicht alle Daten sind gleich. Die Schutzdauer schafft die Priorität.
2. Über welche extern erreichbaren oder fremd betriebenen Wege fließen diese Daten? So wird aus einem abstrakten Thema eine prüfbare Angriffsfläche.
3. Welche Kryptografie schützt diese Wege heute? Benötigt wird ein belastbarer Ist-Stand, keine Produktliste.
4. Welche Abhängigkeiten können nicht kurzfristig ersetzt werden? Legacy-Anwendungen, OT-Geräte und Lieferantenverträge bestimmen die reale Migrationsdauer.
5. Welche Hersteller unterstützen ML-KEM oder andere standardisierte Verfahren bereits – und in welchem Reifegrad? „Auf der Roadmap“ ist nicht dasselbe wie produktiv verfügbar, dokumentiert und getestet.
6. Wie wird Fortschritt gemessen? Geeignete Kennzahlen sind zum Beispiel der Anteil inventarisierter kritischer Datenflüsse, die Zahl bewerteter Lieferanten, die Abdeckung hybrider Tests und die Anzahl ungeklärter kryptografischer Abhängigkeiten.
Diese sechs Antworten reichen für eine erste Priorisierung. Sie verhindern sowohl Panik als auch folgenloses Abwarten.
Was in den ersten 30 Tagen sinnvoll ist
Ein pragmatischer Einstieg benötigt kein jahrelanges Transformationsprogramm.
Woche 1: Daten mit langer Schutzdauer identifizieren und jeweils einen fachlichen Owner benennen.
Woche 2: Die wichtigsten externen Datenflüsse, Protokolle, Zertifikate und Lieferanten erfassen. Bestehende Zscaler-PQC-Sichtbarkeit kann für den Webverkehr ein Datenpunkt sein.
Woche 3: Risiken nach Schutzdauer, Exposition und Migrationsaufwand ordnen. Nicht das technisch spannendste System beginnt, sondern der Datenfluss mit dem größten langfristigen Schaden.
Woche 4: Für die ersten drei priorisierten Flüsse einen Test- und Lieferantenplan beschließen: Zielverfahren, hybride Übergangsoption, Kompatibilitätstest, Verantwortlicher und Entscheidungstermin.
Das Ergebnis ist noch keine quantensichere Organisation. Es ist etwas Wertvolleres als ein allgemeines Strategiepapier: ein nachvollziehbarer Ausgangspunkt mit drei konkret bearbeitbaren Migrationspfaden.
PQC ist kein Grund für Panik – aber ein schlechter Kandidat für Aufschub
Niemand kann heute seriös versprechen, wann ein Quantencomputer aktuelle Public-Key-Kryptografie praktisch brechen wird. Ebenso unseriös wäre die Behauptung, diese Unsicherheit bedeute, dass Unternehmen abwarten könnten.
Harvest now, decrypt later macht aus einer späteren technischen Fähigkeit ein heutiges Datenrisiko. Je länger Informationen vertraulich bleiben müssen und je langsamer die eigene Umgebung verändert werden kann, desto früher muss die Vorbereitung beginnen.
Der sinnvolle erste Schritt ist deshalb weder ein Alarm-Workshop noch ein pauschaler Produkttausch. Er ist eine Krypto- und Datenflussinventur, die Schutzdauer, Exposition und Migrationsaufwand verbindet. Erst danach lässt sich entscheiden, wo hybride PQC-Verfahren, Herstellerfunktionen oder Architekturänderungen den größten nachweisbaren Nutzen liefern.