Seit dem 1. Oktober 2026 rät das BSI davon ab, den Kryptoalgorithmus Classic McEliece für Neuentwicklungen einzusetzen. Auslöser war ein Preprint vom August (IACR ePrint 2026/1630). Die Forscher zeigen darin, dass sich öffentliche McEliece-Schlüssel mit deutlich weniger Aufwand als gedacht von reinen Zufallsdaten unterscheiden lassen. Damit wird eine verborgene Struktur sichtbar, die Angreifern einen Ansatzpunkt bietet. Folgearbeiten schätzen den Aufwand für eine Schlüsselrückgewinnung auf 2⁹⁴ bis 2¹⁰² Bitoperationen. Laut heise entspricht das ungefähr dem Sicherheitsniveau von AES-128 statt des angestrebten AES-256. Diese Werte stammen aus Preprints, die teilweise noch kein Peer Review durchlaufen haben. Einen praktischen Angriff auf die Parameter der TR-02102-1 gibt es laut BSI nicht. Das Amt rechnet aber mit weiteren Fortschritten in der Kryptoanalyse. Das Team um Daniel J. Bernstein hält die Schätzungen für zu pessimistisch. ML-KEM und FrodoKEM sind nicht betroffen.
Das BSI hatte Classic McEliece nur im Hybridbetrieb empfohlen, also immer zusammen mit einem klassischen Verfahren. Ein Angreifer müsste beide Verfahren brechen, deshalb fängt die klassische Komponente die Schwächung ab. Hybridnutzer sind aktuell nicht gefährdet, ihre Sicherheit hängt jetzt aber im Wesentlichen am klassischen Verfahren. Für sich genommen empfiehlt das BSI klassische Schlüsseleinigung nur noch bis Ende 2031, für höchstsensitive Anwendungen bis Ende 2030. Bis dahin muss der Wechsel auf ML-KEM oder FrodoKEM abgeschlossen sein.
Am 12. Oktober haben BMI, BMDS und BSI außerdem die nationale PQC-Leitlinie veröffentlicht. Anwendungen mit hohem Risiko sollen bis Ende 2030 umgestellt sein, alle übrigen weitgehend bis 2035. Für McEliece-Hybride gilt trotzdem die frühere Frist (2030/31) aus der TR-02102-1. Die Leitlinie fordert ausdrücklich Kryptoagilität.
Mit einem gepflegten Kryptoinventar finden Sie alle Einsatzorte von Classic McEliece schnell und können die Ablösung sofort planen. Ohne Inventar bleibt nur die manuelle Suche. Beginnen Sie bei Herstellerprodukten und Bibliotheken mit BSI-Policy-Profilen, denn dort hat ein Dritter das Verfahren für Sie ausgewählt. Für jeden Treffer legen Sie den Wechsel auf ML-KEM oder FrodoKEM im Hybridmodus fest.
Erst im Juni hatte ISO das Verfahren Classic McEliece standardisiert. Zwischen Preprint (IACR ePrint 2026/1630) und Abkündigung durch das BSI lagen dann trotzdem nur 55 Tage. Beschaffung und Releases werden dagegen in Jahren geplant. Kryptoagilität muss deshalb ein fester Betriebsprozess mit vollständigem Inventar und klarer Zuständigkeit sein. Ein einmaliger Algorithmentausch reicht nicht. Eine einfache Frage zeigt, wie es bei Ihnen steht. Wer hat den Hinweis vom 1. Oktober erhalten, und was ist seitdem passiert?
BSI Classic McEliece Hinweis vom 1. Oktober 2026:
https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Crypto/Notes_Classic_McEliece.pdf
BSI-Pressemitteilung vom 11. Februar 2026 zu den Fristen 2030 und 2031:
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260211_Ende_klassischer_Verschluesselungsverfahren.html
Leitlinie von BMI, BMDS und BSI zur EU-PQC-Roadmap:
https://www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/sicherheit/BMI26024-pqc.html
IACR ePrint 2026/1630: https://eprint.iacr.org/2026/1630
heise zu den Aufwandsschätzungen:
https://www.heise.de/en/news/Post-Quantum-Crypto-BSI-Concerned-About-McEliece-11478462.html
postquantum.com zur Gegenposition und zur ISO-Aufnahme:
https://postquantum.com/security-pqc/classic-mceliece-key-recovery-bsi/
postquantum.com zu den 55 Tagen: https://postquantum.com/post-quantum/crypto-agility-program/
