Post-Quanten-Kryptografie: Die Deadline 2029 und was sie für die Internetsicherheit bedeutet
🇬🇧 Read in English~8 min read
DevOpspost-quantum-cryptographyquantum-computingcloudflarepkitlsandroid-securitycryptography
Der Zeitplan für den Moment, in dem Quantencomputer die Public-Key-Kryptografie knacken, hat sich abrupt verschoben. Im April 2026 kündigte Google eine dramatische Verbesserung des Quantenalgorithmus an, der in der Lage ist, die Elliptische-Kurven-Kryptografie zu brechen – ohne den Algorithmus selbst offenzulegen, sondern stattdessen einen Zero-Knowledge-Proof für dessen Existenz zu liefern. In derselben Woche veröffentlichte Oratomic Ressourcenschätzungen, die zeigen, dass das Knacken von P-256 (der elliptischen Kurve, die den Großteil des Webs sichert) nur 10.000 Qubits auf einer Neutralatom-Architektur erfordert.
Diese unabhängigen Durchbrüche konvergierten und zogen den geschätzten Zeitplan für den „Q-Day“ von „2035+“ auf einen Zeitraum zwischen 2029 und den frühen 2030er Jahren vor. Cloudflare reagierte darauf, indem es sein internes Ziel für vollständige Post-Quanten-Sicherheit auf 2029 vorzog. Google verschob seinen eigenen Migrationszeitplan auf dasselbe Jahr. Bruce Schneier bezeichnete diesen Schritt als sinnvoll „nicht weil ich glaube, dass wir in diesem Jahr irgendwo einen nützlichen Quantencomputer haben werden, sondern weil Crypto-Agility immer eine gute Sache ist“.
Die Auswirkungen für jeden, der Internet-Infrastruktur betreibt, sind unmittelbar: Die Migration zur Post-Quanten-Kryptografie ist kein spekulatives Zukunftsprojekt mehr, sondern eine harte Deadline mit einem einstelligen Countdown an Jahren.
Warum der Zeitplan kollabierte
Fortschritte im Quantencomputing sind notorisch schwer vorherzusagen, da sie von drei unabhängigen technischen Fronten abhängen: Hardware, Fehlerkorrektur und Algorithmus-Design. Fortschritte an einer Front verstärken die anderen. Was den April 2026 zu einem Wendepunkt machte, waren gleichzeitige Durchbrüche an allen drei Fronten.
Hardware. Mehrere Qubit-Modalitäten werden parallel verfolgt: supraleitend (Google, IBM), Ionenfallen (Quantinuum, IonQ), Neutralatome (Atom Computing, Oratomic) und Photonik (Xanadu, PsiQuantum). Vor einigen Jahren hatten sie alle lange Listen offener technischer Herausforderungen. Heute haben die meisten erhebliche Fortschritte gemacht. Insbesondere Neutralatome überraschten das Fachgebiet mit einer besseren Skalierbarkeit als erwartet und lieferten, wie Scott Aaronson es beschrieb, „detaillierte Schätzungen darüber, wie viele physische Qubits und Gates erforderlich sind, um tatsächlich eingesetzte Kryptosysteme zu knacken“.
Fehlerkorrektur. Alle aktuellen Quantencomputer sind verrauscht. Sie benötigen Fehlerkorrekturcodes, die einen erheblichen Overhead verursachen – etwa 1.000 physische Qubits pro logischem Qubit bei supraleitenden Architekturen. Was Oratomic enthüllte, ist, dass Neutralatom-Maschinen mit ihren „rekonfigurierbaren Qubits“, die während der Berechnung physisch bewegt und neu verbunden werden können, dramatisch effizientere Codes ermöglichen. Ihre Schätzung: nur 3–4 physische Qubits pro logischem Qubit für Neutralatom-Architekturen.
Algorithmus-Verbesserungen. Googles nicht offengelegter Quantenalgorithmus reduziert die Rechenkosten für das Knacken von P-256 massiv. In Kombination mit den architekturspezifischen Optimierungen von Oratomic für rekonfigurierbare Qubits hat sich die Angriffsfläche viel schneller verengt, als die meisten erwartet hatten.
Die Konvergenz ist frappierend. Im Jahr 2025 erwiesen sich Neutralatome als skalierbarer als angenommen. Nun ist die Fehlerkorrektur auf diesen Architekturen um eine Größenordnung effizienter als vermutet, und die Algorithmen selbst benötigen weniger Qubits. Das Ergebnis ist, dass ein kryptografisch relevanter Quantencomputer (CRQC) kein fernes hypothetisches Szenario mehr ist.
Das Authentifizierungsproblem
Der anfängliche Fokus der Branche auf Post-Quanten-Kryptografie lag auf der Verschlüsselung – um „Harvest Now, Decrypt Later“-Angriffe zu verhindern, bei denen Angreifer heute verschlüsselten Datenverkehr speichern, um ihn zu entschlüsseln, sobald Quantencomputer verfügbar sind. Cloudflare wirkt dem seit 2022 entgegen, und über 65 % des menschlichen Traffics zu Cloudflare ist bereits post-quanten-verschlüsselt.
Was der beschleunigte Zeitplan ändert, ist die Priorität der Authentifizierung. Wenn der Q-Day unmittelbar bevorsteht, besteht die unmittelbare Bedrohung nicht darin, dass Angreifer alte Daten entschlüsseln, sondern dass sie mit gefälschten Anmeldedaten durch die Vordertür spazieren.
Post-Quanten-Authentifizierung bedeutet die Aktualisierung digitaler Signaturen: TLS-Zertifikate, Code-Signing-Zertifikate, API-Authentifizierungsschlüssel, Signaturen für Software-Updates. Jedes System, das auf ECDSA- oder RSA-Signaturen basiert, wird in dem Moment verwundbar, in dem ein CRQC online geht. Angreifer mit einem Quantencomputer können ein gültiges Zertifikat für jede beliebige Domain fälschen, bösartige Software-Updates signieren, die Geräte als echt akzeptieren, oder API-Token mit beliebigen Berechtigungen erstellen.
Wie es in der Analyse von Cloudflare heißt: „Ein aktiver Quanten-Angreifer hat es leicht – er muss nur einen einzigen vertrauenswürdigen, quanten-verwundbaren Schlüssel finden, um einzudringen.“
Die Prioritäten verschieben sich. Langlebige Schlüssel – Root-Zertifikate, Code-Signing-Schlüssel, SSH-Host-Keys der Infrastruktur – sind am dringendsten, da sie die größte Angriffsfläche öffnen und am schwierigsten zu rotieren sind. Aber selbst kurzlebige Sitzungs-Authentifizierungen müssen migriert werden, da ein schneller CRQC Schlüssel schnell genug knacken könnte, um in Echtzeit gefährlich zu sein.
Das Downgrade-Problem
Die Unterstützung für Post-Quanten-Kryptografie hinzuzufügen, reicht nicht aus. Systeme müssen schließlich die Unterstützung für quanten-verwundbare Kryptografie deaktivieren, um Downgrade-Angriffe zu verhindern. Für eine einzelne Anwendung ist dies trivial, für das Web als Ganzes jedoch fast unmöglich: Nicht jeder Browser wird über Nacht Post-Quanten-Zertifikate unterstützen, und Server müssen während des Übergangs weiterhin Legacy-Clients unterstützen.
Die Lösung sind Hybrid-Verfahren, die klassische und Post-Quanten-Algorithmen kombinieren, sodass beide geknackt werden müssten. Die Android 17-Implementierung von Google, die unten diskutiert wird, nutzt diesen Ansatz für die App-Signierung.
Android 17: Post-Quanten-Sicherheit in der Produktion
Das Android-Team von Google hat mit Android 17 demonstriert, wie eine produktive Post-Quanten-Migration aussieht, indem es NIST-standardisierte PQC-Algorithmen direkt in die Plattform integriert. Dies dient als Referenzarchitektur für jeden, der seine eigene Migration plant.
Die Bereitstellung erfolgt auf drei Ebenen:
1. Boot-Chain-Integrität
Android Verified Boot (AVB) integriert nun ML-DSA (Module-Lattice-Based Digital Signature Algorithm, FIPS 204) und bietet so quantenresistente Signaturen für die Boot-Sequenz. Ohne dies könnte ein Quanten-Angreifer eine Boot-Image-Signatur fälschen und ein persistentes, nicht erkennbares Rootkit installieren.
Die Remote-Attestierung – der Mechanismus, mit dem ein Gerät seine Integrität gegenüber vertrauenswürdigen Parteien beweist – migriert ebenfalls zu einer vollständig PQC-konformen Architektur unter Verwendung von quantenresistentem Schlüsselmaterial in der KeyMint-Hardware-Abstraktionsschicht.
2. Kryptografie auf Anwendungsebene
Der Android Keystore unterstützt nativ ML-DSA-65 und ML-DSA-87, sodass Anwendungen quantensichere Signaturen vollständig innerhalb sicherer Hardware (TEE) generieren und verifizieren können. Dies ist eine bedeutende technische Leistung: Gitterbasierte Kryptografie erfordert wesentlich größere Schlüssellängen und Speicherbedarfe als klassische ECC, und die Integration in die ressourcenbeschränkte Trusted Execution Environment ist nicht trivial.
Das SDK stellt diese über die Standard- KeyPairGenerator API zur Verfügung, was bedeutet, dass Entwickler quantensichere Signaturen ohne proprietäre kryptografische Implementierungen übernehmen können.
3. App-Signierung im Ökosystem-Maßstab
Der operationell interessanteste Teil ist vermutlich der Hybrid-Signatur-Ansatz von Play App Signing. Google Play generiert automatisch „hybride“ Signaturblöcke, die klassische (RSA/ECDSA) und PQC-Schlüssel (ML-DSA) kombinieren. Dies bewahrt die Kompatibilität mit älteren Android-Versionen und fügt gleichzeitig quantenresistenten Schutz hinzu.
Für neue Apps werden ML-DSA-Signaturschlüssel automatisch generiert. Für bestehende Apps können Entwickler dies optional aktivieren, und Google Cloud KMS übernimmt die Verwaltung der Signaturschlüssel. Google Play fordert Entwickler zudem auf, Signaturschlüssel mindestens alle zwei Jahre zu rotieren – eine Praxis, die essenziell wird, wenn quanten-verwundbare Schlüssel innerhalb eines bekannten, kurzen Zeitfensters ersetzt werden müssen.
Was Infrastruktur-Betreiber jetzt tun sollten
1. Inventur langlebiger Schlüssel
Jeder kryptografische Schlüssel, der länger als 5 Jahre gültig ist, ist gefährdet. Root-CA-Zertifikate, Code-Signing-Zertifikate, SSH-Host-Keys, VPN-Gateway-Zertifikate, API-Signaturschlüssel – dokumentieren Sie diese alle sowie ihre Gültigkeitszeiträume und Rotationsverfahren.
2. Post-Quanten-Verschlüsselung jetzt aktivieren
Cloudflare, Google und andere große CDNs unterstützen bereits Post-Quanten-TLS-Key-Agreement (X25519Kyber768 oder ähnlich). Wenn Sie Cloudflare nutzen, ist die Post-Quanten-Verschlüsselung für den Großteil des Traffics bereits aktiv. Wenn Sie Ihre eigene TLS-Terminierung verwalten, prüfen Sie, ob Ihr Stack hybride Key-Agreements unterstützt – nginx mit BoringSSL kann beispielsweise mit PQC-Unterstützung kompiliert werden.
3. Zertifikatsmigration planen
Zertifizierungsstellen beginnen damit, Post-Quanten-Zertifikate anzubieten. Let's Encrypt, ein kritischer Teil der Web-PKI, muss seine gesamte Ausstellungs-Pipeline migrieren. Der Zeitplan ist eng: Wenn große CAs bis 2028 keine PQC-Zertifikate unterstützen, stehen Organisationen mit im Jahr 2029 auslaufenden Zertifikaten vor einer Lücke.
4. Signierung der Software-Supply-Chain prüfen
Software-Update-Mechanismen gehören zu den gefährlichsten Downgrade-Zielen. Wenn Ihre Infrastruktur TUF (The Update Framework), in-toto oder ähnliche Frameworks verwendet, stellen Sie sicher, dass diese hybride Signaturen unterstützen. GitHubs sigstore und cosign experimentieren bereits mit PQC.
5. Crypto-Agility aufbauen
Die spezifischen Algorithmen, die den Übergang zur Post-Quanten-Kryptografie überstehen, sind möglicherweise nicht diejenigen, die heute standardisiert werden. ML-KEM (FIPS 203) und ML-DSA (FIPS 204) sind die aktuellen NIST-Standards, aber die laufende „On-ramp“-Standardisierungsrunde könnte weitere Signaturverfahren hervorbringen. Gestalten Sie Systeme so, dass kryptografische Primitive hinter sauberen Schnittstellen abstrahiert und nicht hartcodiert sind.
Der Cloudflare-Zeitplan
Die beschleunigte Roadmap von Cloudflare ist aufschlussreich für jede Organisation, die ihre eigene Migration plant:
- 2022: Post-Quanten-Verschlüsselung standardmäßig für alle Websites und APIs (Minderung von Harvest-Now/Decrypt-Later)
- 2026: Vollständige Inventur der Authentifizierungsinfrastruktur, Beginn der PQC-Zertifikatstests
- 2027-2028: Migration der internen Authentifizierung zu PQC; Unterstützung von PQC-Client-Zertifikaten
- 2029: Vollständige Post-Quanten-Sicherheit, einschließlich Authentifizierung – alle Schlüssel, Zertifikate und Signaturen nutzen PQC oder Hybrid-Verfahren
Die entscheidende Erkenntnis aus der Analyse von Cloudflare ist, dass die Migration der Authentifizierung schwieriger ist als die der Verschlüsselung. Verschlüsselung kann serverseitig mit relativ wenig Koordination aktualisiert werden. Authentifizierung erfordert, dass jeder Client gleichzeitig das neue Verfahren unterstützt – ein Koordinationsproblem über das gesamte Internet hinweg.
Fazit
Der Zeitplan für die Post-Quanten-Migration hat sich von einem komfortablen Horizont von 10–15 Jahren auf etwa 3–5 Jahre verkürzt. Der Algorithmus-Durchbruch von Google und die Neutralatom-Schätzungen von Oratomic sind die unmittelbaren Ursachen, aber die zugrunde liegende Dynamik ist, dass die Fortschritte im Quantencomputing an allen Fronten gleichzeitig beschleunigen.
Die Reaktion der Branche – Cloudflare zielt auf 2029, Google integriert PQC in Android 17, NIST finalisiert Standards – ist ermutigend, aber das Koordinationsproblem bleibt. Die Internet-Sicherheitsinfrastruktur ist ein globales Gemeingut; ihre schwächsten Glieder bestimmen ihre Gesamtstärke.
Für Betreiber von Internet-Infrastruktur ist die Aufgabe klar: Kryptografische Assets inventarisieren, hybride Verfahren wo möglich aktivieren und die organisatorische Kapazität aufbauen, Schlüssel in großem Stil innerhalb eines bekannten Zeitrahmens zu rotieren. Die Deadline ist nicht länger abstrakt.