-1.png?w=1024)
Keine der 24 Behörden, die dem Chief Financial Officers (CFO) Act unterliegen, hatte laut einem am 6. Oktober öffentlich veröffentlichten Bericht des Government Accountability Office (GAO) drei zentrale Maßnahmen zur Vorbereitung auf den Übergang zur Post-Quanten-Kryptografie (PQC) vollständig umgesetzt. Die Ergebnisse beruhen auf einer im September 2025 abgeschlossenen Prüfung.
GAO bewertete die Behörden anhand dreier Maßnahmen aus den Leitlinien des Office of Management and Budget (OMB): Systeme mit anfälliger Kryptografie inventarisieren, die für ihren Ersatz erforderlichen Mittel schätzen und quantenresistente Algorithmen testen. Nur eine Behörde schloss ihre Inventarisierung vollständig ab. Keine testete die neuen Algorithmen.
Der Bericht erschien etwa zwei Wochen vor dem 22. Oktober, bis zu dem zivile Behörden dem OMB Migrationspläne gemäß Memorandum M-26-15 vorlegen müssen. Die Pläne müssen Inventarisierungsmethoden, Meilensteine der Migration sowie den Bedarf an Mitteln und Personal beschreiben – Bereiche, die sich mit den Erkenntnissen von GAO überschneiden.
Wie schnitten die Behörden bei den drei Maßnahmen von GAO ab?
GAOs Prüfung der Vorbereitungen auf die Post-Quanten-Kryptografie lief von Februar 2024 bis September 2025. Dem öffentlichen Bericht ging im September eine vertrauliche Fassung voraus, die den Behörden übermittelt wurde.
| Maßnahme | Vollständig umgesetzt | GAOs Feststellungen |
|---|---|---|
| Priorisierte Inventarisierung von Systemen mit anfälliger Kryptografie | 1 von 24 | 22 Behörden ließen priorisierte Systeme außen vor, eine hatte keine Inventarisierung, und 19 nutzten keine automatisierten Tools zur Erkennung |
| Erforderliche Mittel für die Umstellung priorisierter Systeme auf PQC | 0 von 24 | 21 Behörden legten Schätzungen vor, die sie selbst als nicht vollständig korrekt bezeichneten, und drei legten keine vor |
| PQC-Tests in den Umgebungen der Behörden | 0 von 24 | Eine Behörde identifizierte zu testende Produkte von Anbietern, führte aber keine Tests durch, und 23 befassten sich weder mit Testaktivitäten |
Die Prüfung endete etwa neun Monate vor den Exekutivanordnungen zur Quanteninformatik vom Juni 2026. Die Anordnung zur Kryptografie weist hochwertige Anlagen und Systeme mit hohen Auswirkungen – mit Ausnahme von Systemen der nationalen Sicherheit – an, bis zum 31. Dezember 2030 PQC für die Schlüsselerzeugung und bis zum 31. Dezember 2031 digitale Signaturen einzusetzen.
Behörden machen fehlende Kompetenzen und Produkte von Anbietern verantwortlich
GAO führte die Lücken auf Personal, Tools, Kostendaten und die Bereitschaft der Anbieter zurück:
- Fachwissen: 18 Behörden meldeten einen Mangel an Kryptografie-Fachwissen und hatten keine Pläne, diese Lücke zu schließen.
- Tools: 15 Behörden erklärten, es sei noch zu früh für automatisierte Tools zur Erkennung, oder sie warteten darauf, dass die Cybersecurity and Infrastructure Security Agency (CISA) einige davon identifiziert.
- Kostendaten: Während der Prüfung erklärten 11 Behörden, dass der Mangel an kommerziell verfügbaren PQC-Produkten und Preisangaben der Anbieter die Erstellung von Finanzierungsschätzungen erschwere.
- Tests: 16 Behörden erklärten, Tests seien verfrüht, weil die Anbieter die Algorithmen noch in ihre Produkte integrierten.
GAO wies dieses Argument zurück. Das OMB hatte Behördentests bereits im November 2022 empfohlen, bevor das NIST im August 2024 FIPS 203 und die zugehörigen Standards finalisierte. Laut dem Bericht gibt es außerdem seit mindestens vier Jahren Open-Source-Tools für die Prototypenerstellung.
Private Käufer stehen vor demselben Problem mit Anbietern, da als quantentauglich vermarktete Hardware noch verifiziert werden muss.
Von den 23 Behörden, die Empfehlungen erhielten, stimmten 12 zu, und eine lehnte drei der vier Empfehlungen ab.
Was eWeek herausgefunden hat: Migrationsbudgets brauchen mehr als einen Stichtag
Die Ergebnisse zur Finanzierung legen eine praktische Schwachstelle offen: Die Behörden schätzten die Migrationskosten, bevor sie die betroffenen Systeme vollständig verstanden hatten. Der Bericht des OMB vom Juli 2024 bezifferte die groben Kosten für die Migration priorisierter Bundessysteme – einschließlich des Ersatzes von Altsystemen, die PQC nicht unterstützen können – auf etwa 7,1 Milliarden US-Dollar.
Das OMB und das Office of the National Cyber Director erklärten, die Bewertungen sollten zunächst als Schätzung für die Planung dienen; die Kosten würden präzisiert, sobald sich Produkte und Preise weiterentwickelten. GAOs Ergebnisse legen nahe, dass unvollständige Inventarisierungen dazu führen könnten, dass Migrationskosten unberücksichtigt bleiben, wobei der Bericht keine mögliche Erhöhung beziffert.
Für Unternehmensverantwortliche beginnt die Vorbereitung auf Quantenbedrohungen, bevor sie eintreten damit, den Umfang der Migration zu verstehen, bevor ein Budget festgelegt wird. Teams sollten ermitteln, welche Systeme anfällige Kryptografie verwenden, wem sie gehören und wie lange ihre Daten geschützt bleiben müssen. Diese Details helfen dabei, Systeme zu unterscheiden, die frühzeitig Aufmerksamkeit benötigen, von solchen, die im Rahmen geplanter Hardwareaustausche oder einer Modernisierung der Software aufgerüstet werden können.
Auch die Verfügbarkeit von Anbietern beeinflusst die Vorbereitung von Organisationen. Eine angekündigte PQC-Funktion sagt nicht aus, ob sie mit den Anwendungen, Identitätssystemen oder der veralteten Infrastruktur einer Organisation funktionieren wird. Käufer sollten konkrete Implementierungsdetails einfordern und Kompatibilitätstests einplanen, bevor sie eine Roadmap des Anbieters als Beleg dafür betrachten, dass ihre eigene Migration abgedeckt ist.
Der 22. Oktober ist der nächste Meilenstein der Bundesplanung. M-26-15 verpflichtet Behörden, neben Schätzungen zu Finanzierung und Personal auch ihre Inventarisierungsmethoden und automatisierten Tools zu beschreiben. Um festzustellen, wie viel Fortschritt die Behörden seit der Prüfung gemacht haben, werden aktualisierte Nachweise erforderlich sein. Für Unternehmen, die ihre eigenen Zeitpläne festlegen, ist entscheidend, ob ihre Pläne die identifizierten Systeme mit verantwortlichen Teams, Testmeilensteinen und Ressourcen verknüpfen.
Weiterlesen: Die Quanten-Sicherheits-Roadmap von Google Cloud für 2029 erklärt, wie sich bei der Planung einer unternehmensweiten PQC-Migration die Upgrades der Anbieter und die Verantwortung der Kunden ergänzen.