Deutschland will, dass sich Organisationen noch vor Ende 2026 auf Cybersicherheitsbedrohungen des Quantenzeitalters vorbereiten, obwohl die neuen Fristen für Post-Quanten-Kryptografie noch nicht allgemein verbindlich sind.
Das Bundesministerium des Innern (BMI), das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben gemeinsam die Leitlinie veröffentlicht, die den EU-Fahrplan für Post-Quanten-Kryptografie (PQC) auf Deutschland überträgt.
Hochrisikosysteme sollen spätestens bis Ende 2030 migriert sein, und der Gesamtübergang soll bis 2035 weitgehend abgeschlossen sein, laut BSI.
Die Leitlinie richtet sich an Verwaltungen auf Bundes-, Landes- und kommunaler Ebene sowie an Unternehmen und Betreiber kritischer Infrastrukturen. Die darin genannten Termine sind Empfehlungen, doch das Dokument verweist auch auf geltendes Recht, das ihnen Gewicht verleihen könnte.
Der deutsche Zeitplan entspricht dem der EU und folgt dem US-amerikanischen Vorgehen
| Meilenstein | Deutschland | US-Bundesbehörden |
| Erste Schritte | Ende 2026: erstes Inventar, Verantwortliche benannt, Migration gestartet | 22. Okt. 2026: Migrationspläne müssen dem OMB vorliegen |
| Hochrisikosysteme | Bis Ende 2030 migriert | Schlüsselvereinbarung bis 31. Dez. 2030; Signaturen bis 31. Dez. 2031 |
| Umfassender Übergang | Bis 2035 weitgehend abgeschlossen | Stufenweiser Zeitplan bis 2035 |
| Rechtlicher Status | Dringende Empfehlungen; verbindliche Übernahme bis Ende 2026 gefordert | Für zivile Behörden verbindlich |
Quelle: Leitlinie von BMI, BMDS und BSI, 12. Okt. 2026; Executive Order 14412 und OMB-Memorandum M-26-15.
Für multinationale Organisationen könnten die überlappenden Meilensteine für 2030 und 2035 die langfristige Planung vereinfachen. Die deutschen und US-amerikanischen Rahmenwerke decken jedoch unterschiedliche Systeme und Organisationen ab, sodass Compliance-Anforderungen nicht als austauschbar betrachtet werden können.
Was die Leitlinie Organisationen zunächst abverlangt
In der ersten Phase geht es vor allem um Planung und Transparenz:
- Verantwortung: Eine zuständige Stelle benennen und verbindliche interne Fristen für den Übergang festlegen.
- Inventar: Ein erstes Kryptografieinventar erstellen, orientiert am Kryptoregister der BSI-Anforderung CON.1.A19 im IT-Grundschutz.
- Risiko: Quantenrisiken in das reguläre Risikoregister aufnehmen und Anwendungsfälle nach Risikostufe ordnen.
- Lieferanten: Hersteller und Lieferketten frühzeitig einbinden und die Beschaffung auf Kryptoagilität ausrichten.
Das BSI empfiehlt hybride Verfahren, die einen klassischen Algorithmus mit einem Post-Quanten-Algorithmus kombinieren. In seiner Pressemitteilung nennt es außerdem KI als Grund für Kryptoagilität und erklärt, dass KI die Forschung zu Angriffen auf kryptografische Verfahren beschleunigt.
Was eWeek herausgefunden hat: eine unverbindliche Leitlinie mit Rückhalt durch geltendes Recht
Das folgenreichste Detail ist möglicherweise kein Datum. Die Leitlinie bezeichnet ihre Fristen als dringende Empfehlungen, verknüpft Kryptografie jedoch mit § 30 des BSI-Gesetzes, mit dem die EU-Richtlinie NIS2 umgesetzt wird. Dieser Paragraf verpflichtet betroffene Einrichtungen, bei ihren Sicherheitsmaßnahmen einschließlich kryptografischer Verfahren den Stand der Technik einzuhalten.
Die Leitlinie ordnet die Post-Quanten-Kryptografie diesem Stand der Technik zu. Sie geht laut Analysen des Dokuments durch PostQuantum.com und Quentir jedoch nicht so weit zu sagen, dass ein System ohne PQC bereits hinter dem Standard zurückbleibt. Aufsichtsbehörden und Prüfer könnten die Leitlinie bei der Untersuchung eines künftigen Vorfalls dennoch als Referenz heranziehen.
Die Verbindlichkeit für Landes- und Kommunalverwaltungen hängt von einem gesonderten Schritt ab. Die Leitlinie fordert den IT-Planungsrat, Deutschlands Bund-Länder-Gremium für IT-Planung, und UP KRITIS, die Partnerschaft für kritische Infrastrukturen, auf, ihre Termine bis Ende 2026 als verbindlich zu übernehmen.
Die Frist für das Inventar ist der kurzfristige Prüfstein. Die Erfahrungen aus den USA legen nahe, dass dies schwieriger ist als gedacht: Das GAO-Audit von 24 Bundesbehörden ergab, dass nur eine davon ihr Inventar der priorisierten Systeme vollständig erfasst hatte.
Der deutsche Fahrplan macht eines klar: Der Übergang zur Post-Quanten-Kryptografie ist nicht länger nur ein fernes technisches Thema. Auch wenn die Fristen weiterhin empfehlenden Charakter haben, werden Organisationen dazu angehalten, sich jetzt vorzubereiten, statt auf künftige Compliance-Anforderungen zu warten.
Weitere Meldung: ORCA Computing hat seinen photonischen Quantencomputer PT-3 eingesetzt – zusammen mit Nvidia-GPUs im Londoner Rechenzentrum von Digital Realty.