Die G7-Arbeitsgruppe für Cybersicherheit hat am 3. September 2026 öffentliche und private Organisationen in einem gemeinsamen Aufruf dazu aufgefordert, den Übergang zu Post-Quanten-Kryptografie jetzt vorzubereiten. Wann kryptografisch relevante Quantencomputer verfügbar sein werden, ist offen. Das Risiko besteht dennoch bereits heute. Angreifer können verschlüsselte Daten schon jetzt abgreifen und so speichern, um sie später zu entschlüsseln, wenn die technische Fähigkeit dafür vorhanden ist. Besonders betroffen sind Informationen, die über viele Jahre vertraulich bleiben müssen.
Auch die europäische Roadmap wird häufig missverstanden. Ende 2026 ist kein Endtermin für die Migration. Bis dahin sollen alle EU-Mitgliedstaaten erste Schritte umgesetzt und nationale Post-Quantum-Computing-Strategien (PQC) angestoßen haben. Hochrisikofälle, etwa in kritischen Infrastrukturen, sollen so früh wie möglich und spätestens bis Ende 2030 auf quantenresistente Verfahren umgestellt sein. Die Roadmap empfiehlt für den Übergang standardisierte hybride Verfahren. Krypto-Agilität gehört ebenfalls dazu.
Ab 2027 will Frankreich PQC bei der Qualifizierung von Sicherheitsprodukten berücksichtigen. Für Organisationen bedeutet das vor allem eines. Sie sollten neue Produkte und Ersatzbeschaffungen nicht mehr ohne eine belastbare Aussage des Herstellers zu PQC und Krypto-Agilität bewerten.
https://cyber.gouv.fr/enjeux-technologiques/cryptographie-post-quantique/faq-pqc/
Die entscheidende Frage zu Beginn einer Migration lautet nicht, welches PQC-Verfahren eingesetzt werden soll, sondern, ob die Organisation ihre heutige Kryptografie kennt. Wo werden RSA, ECC oder Diffie-Hellman eingesetzt? Welche Zertifikate, VPN-Verbindungen, HSM, Signaturprozesse und Geräteflotten hängen daran? Welche Abhängigkeiten bestehen zu Herstellern oder Dienstleistern?
Wer PQC als reines Update behandelt, übersieht das eigentliche Risiko. Die Erfassung scheitert selten an fehlender Technik. Häufig fehlen klare Verantwortlichkeiten und ein sinnvoll abgegrenzter Startbereich.
Statt sofort das gesamte Unternehmen zu erfassen, sollte zunächst ein Pilot in einem geschäftskritischen, aber überschaubaren Bereich starten. Eine verantwortliche Rolle sollte den Umfang festlegen und die eingesetzten Verfahren dokumentieren. Parallel sollten Beschaffungsvorgaben ergänzt werden. Hersteller müssen darlegen, wie sie Krypto-Agilität ermöglichen und wann sie PQC unterstützen.
Diese Maßnahmen lohnen sich unabhängig davon, wann der Q-Day eintritt. Sie schaffen die Grundlage, um Risiken priorisiert zu bewerten und die Migration kontrolliert zu steuern.
