Drei Behörden, drei Kalender
Am 12. Oktober haben das Bundesministerium des Innern (BMI), das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Leitlinie veröffentlicht, die die EU-Roadmap zur Post-Quanten-Kryptografie in Deutschland umsetzt. Sie bestätigt die europäischen Zeitpläne und ergänzt ein Datum für die gesamte Umstellung.
| Stelle | Start | Hochrisikosysteme | Alles andere |
|---|---|---|---|
| EU-Roadmap (Juni 2025) | jeder Mitgliedstaat beginnt bis Ende 2026 | so früh wie möglich, spätestens bis Ende 2030 | auf der Seite der Kommission nicht genannt |
| Deutsche Leitlinie (12. Oktober 2026) | bei hohem Risiko so früh wie möglich | Migration spätestens bis Ende 2030 abgeschlossen | bis 2035 weitgehend abgeschlossen |
| NCSC, Vereinigtes Königreich | bis 2028: Ziele, vollständige Bestandserfassung, erster Plan | bis 2031: frühe Migration mit höchster Priorität | bis 2035 abgeschlossen |
Die deutsche Fassung ist eine Leitlinie, kein Gesetz. Die BSI-Mitteilung stellt sie als Rahmen für eine koordinierte Umstellung dar und erwähnt keine Sanktionen.
Was Deutschland von Organisationen verlangt
Die Leitlinie richtet sich an Bund, Länder und Kommunen sowie an Organisationen und Unternehmen, darunter Betreiber kritischer Infrastruktur. Das BSI nennt fünf Maßnahmen: klare Verantwortlichkeiten und verbindliche Fristen in der Organisation, Post-Quanten-Kryptografie als Stand der Technik, eine systematische Bewertung des Quantenrisikos im Risikomanagement, die frühe Einbindung von Herstellern und Lieferketten sowie Kryptoagilität.
Kryptoagilität heißt, Systeme, Beschaffung und Risikomanagement so zu gestalten, dass kryptografische Verfahren oder Einstellungen wie Schlüssellängen schnell und kontrolliert ausgetauscht werden können. Das BSI sagt, sie werde wichtiger, weil KI die Sicherheitsforschung und zunehmend auch Methoden zum Angriff auf Kryptografie beschleunigt.
Die Bestandsaufnahme ist der erste datierte Schritt
Am konkretesten ist das Vereinigte Königreich bei der ersten Aufgabe. Bis 2028 verlangt der NCSC Ziele, eine vollständige Bestandserfassung und einen ersten Plan, der Prioritäten, Abhängigkeiten von Lieferanten und Infrastruktur, den Investitionsbedarf und langlebige Hardware-Vertrauensanker benennt. Organisationen sollen erfassen, auf welche Kryptografie, Protokolle und Hardware sie sich stützen, und der NCSC betont, dass dies kein formelles Anlagenverzeichnis sein soll.
Die Erfassung soll auch festhalten, wie lange Daten geheim bleiben müssen und was sie für einen Angreifer wert sind. Das ist wichtig, weil die Kommission sagt, 'Store now, decrypt later'-Angriffe fänden wahrscheinlich bereits statt und Daten, die lange vertraulich bleiben müssen, seien womöglich schon gefährdet.
Der NCSC richtet sich vor allem an große Organisationen, Betreiber kritischer nationaler Infrastruktur und Unternehmen mit individueller IT. Kleinere Firmen mit überwiegend Standard-IT erwarten laut NCSC eine einfachere Migration, die weitgehend über Hersteller-Updates läuft, während individuelle Software demselben Zeitplan folgt wie bei allen anderen.
Eine kurze Liste für dieses Quartal
Beginnen Sie mit einer Liste, wo Ihre Organisation Public-Key-Kryptografie einsetzt, etwa bei Zertifikaten, VPN-Tunneln und signierter Firmware, und benennen Sie eine Person, die sie verantwortet. Setzen Sie ein Datum, denn die deutsche Leitlinie verlangt verbindliche Fristen und das Vereinigte Königreich eine Bestandserfassung bis 2028.
Fragen Sie dann Ihre Lieferanten nach ihren Post-Quanten-Fahrplänen, denn das BSI will Hersteller und Lieferketten früh einbinden, und prüfen Sie, ob Ihre Systeme Algorithmen oder Schlüssellängen ohne Neuaufbau tauschen können. Ordnen Sie die Daten zuerst, die am längsten geheim bleiben müssen.
Weiterlesen: Lücken von 2014 öffnen Chinas Dienstleister noch Türen | Iranische Spähsoftware gab sich als Norton Antivirus aus
