Post-Quanten-Kryptografie, kurz PQC, ist die kryptografische Antwort auf eine konkrete technische Gefahr: ausreichend leistungsfähige Quantencomputer könnten einen großen Teil der heute eingesetzten Public-Key-Kryptografie brechen. Betroffen sind vor allem RSA, Diffie-Hellman und elliptische Kurvenkryptografie. Diese Verfahren sichern derzeit Webseiten, E-Mails, VPNs, Software-Updates, digitale Signaturen, Zertifikate, Cloud-Dienste, kritische Infrastrukturen und viele Identitätssysteme.

PQC bedeutet nicht, dass Quantencomputer für die Verschlüsselung verwendet werden. Es bedeutet, dass klassische Computer neue kryptografische Verfahren nutzen, deren Sicherheit nach heutigem Wissensstand auch gegen Angriffe mit Quantencomputern bestehen soll. Die Verfahren laufen also auf normaler Hardware, schützen aber gegen eine zukünftige Angreiferklasse.

Der zentrale Punkt ist: Die Migration zu PQC ist kein rein theoretisches Zukunftsthema. Vertrauliche Daten können bereits heute abgefangen und gespeichert werden, um sie später mit Quantencomputern zu entschlüsseln. Dieses Risiko wird häufig als „Harvest now, decrypt later“ oder „Store now, decrypt later“ bezeichnet. Wer Daten schützen muss, die zehn, zwanzig oder dreißig Jahre vertraulich bleiben sollen, muss die Post-Quanten-Migration jetzt ernst nehmen.

Ausgangslage: Warum heutige Kryptografie unter Druck gerät

Die Rolle asymmetrischer Kryptografie

Moderne IT-Sicherheit stützt sich auf zwei große kryptografische Bereiche: symmetrische Kryptografie und asymmetrische Kryptografie. Symmetrische Verfahren wie AES verwenden denselben geheimen Schlüssel zum Ver- und Entschlüsseln. Asymmetrische Verfahren arbeiten mit einem öffentlichen und einem privaten Schlüssel. Sie ermöglichen Schlüsselaustausch, digitale Signaturen, Authentifizierung und sichere Kommunikation zwischen Parteien, die sich vorher keinen geheimen Schlüssel geteilt haben.

Die asymmetrische Kryptografie ist besonders wichtig, weil sie das Vertrauensgerüst des Internets trägt. Wenn ein Browser eine HTTPS-Verbindung aufbaut, wenn ein Server ein Zertifikat präsentiert, wenn Software-Updates signiert werden oder wenn eine VPN-Verbindung entsteht, sind Public-Key-Verfahren im Spiel. Ihre Sicherheit beruht nicht auf Geheimhaltung des Algorithmus, sondern auf mathematischen Problemen, die für klassische Computer praktisch unlösbar sind.

RSA, diskrete Logarithmen und elliptische Kurven

RSA beruht auf der Schwierigkeit, große Zahlen in ihre Primfaktoren zu zerlegen. Vereinfacht lautet das Problem:

\(N = p \cdot q\)

Hier sind \(p\) und \(q\) große Primzahlen. Das Produkt \(N\) ist öffentlich bekannt, die Faktoren bleiben geheim. Für klassische Computer ist die Faktorisierung eines ausreichend großen \(N\) extrem aufwendig.

Diffie-Hellman und elliptische Kurvenverfahren beruhen auf Varianten des diskreten Logarithmus. In einer einfachen Gruppe lautet das Problem sinngemäß:

\(g^x \equiv h \pmod p\)

Bekannt sind \(g\), \(h\) und \(p\). Gesucht ist \(x\). Für klassische Computer ist diese Rückrechnung bei geeigneten Parametern praktisch nicht durchführbar.

Elliptische Kurven verwenden eine andere algebraische Struktur, aber das Sicherheitsprinzip ist ähnlich: Eine Richtung ist leicht berechenbar, die Umkehrung ist schwer. Diese Einwegstruktur ist die Grundlage vieler heutiger Signatur- und Schlüsselaustauschverfahren.

Der Bruch durch Quantenalgorithmen

Der entscheidende Einschnitt kam mit der Erkenntnis, dass Quantencomputer bestimmte mathematische Probleme anders behandeln können als klassische Computer. Der Shor-Algorithmus kann Faktorisierung und diskrete Logarithmen in polynomialer Zeit lösen, sofern ein hinreichend großer, fehlertoleranter Quantencomputer verfügbar ist.

Der Unterschied ist fundamental. Für klassische Angriffe wächst der Aufwand bei RSA und diskreten Logarithmen so stark, dass große Parameter praktisch sicher sind. Mit Shor verändert sich die Angriffslandschaft:

\(\text{RSA-Sicherheit} \longrightarrow \text{gebrochen durch Shor bei ausreichend großem Quantencomputer}\)

\(\text{ECC-Sicherheit} \longrightarrow \text{gebrochen durch Shor bei ausreichend großem Quantencomputer}\)

Damit sind RSA, klassisches Diffie-Hellman und elliptische Kurvenkryptografie langfristig keine quantensicheren Fundamente mehr.

Was Post-Quanten-Kryptografie ist

Definition

Post-Quanten-Kryptografie bezeichnet kryptografische Verfahren, die auf klassischer Hardware ausgeführt werden und gegen bekannte Angriffe klassischer und quantenbasierter Computer widerstandsfähig sein sollen. Sie ersetzt nicht Computer durch Quantenhardware, sondern ersetzt gefährdete mathematische Grundlagen durch andere Problemklassen.

Das Ziel ist nicht absolute Sicherheit. Absolute Sicherheit gibt es in der praktischen Kryptografie kaum. Das Ziel ist belastbare, überprüfbare und standardisierte Sicherheit gegen die besten bekannten Angriffe, einschließlich Quantenangriffen.

Abgrenzung zur Quantenkryptografie

PQC darf nicht mit Quantenkryptografie verwechselt werden. Quantenkryptografie, insbesondere Quantum Key Distribution, nutzt physikalische Quanteneffekte zur Schlüsselverteilung. PQC nutzt klassische Algorithmen. Für PQC benötigt man keine Photonenquellen, keine verschränkten Zustände, keine Quantenkanäle und keine Spezialleitungen.

Diese Unterscheidung ist praktisch entscheidend. PQC kann in Softwarebibliotheken, Protokolle, Server, Browser, Chips, Smartcards und Cloud-Systeme integriert werden. QKD kann in Spezialfällen eine Rolle spielen, ersetzt aber nicht automatisch digitale Signaturen, Zertifikatsketten, Software-Signaturen oder Protokollmigrationen.

Ziel von PQC

PQC soll drei zentrale Sicherheitsfunktionen erhalten:

  • Vertraulichkeit: Daten sollen nicht von unbefugten Parteien gelesen werden können.
  • Authentizität: Kommunikationspartner und Datenquellen sollen überprüfbar bleiben.
  • Integrität: Manipulationen an Daten, Software oder Nachrichten sollen erkannt werden.

Diese Funktionen sind in der digitalen Infrastruktur untrennbar verbunden. Ein System, das nur verschlüsselt, aber keine sichere Authentifizierung bietet, ist angreifbar. Ein System, das signiert, aber Schlüssel unsicher verwaltet, ist ebenfalls angreifbar. PQC muss daher in ganze Sicherheitsarchitekturen eingebaut werden, nicht nur in einzelne Algorithmen.

Die Quantenbedrohung im Detail

Shor-Algorithmus

Der Shor-Algorithmus ist die wichtigste bekannte Bedrohung für asymmetrische Standardverfahren. Er zeigt, dass ein Quantencomputer Faktorisierung und diskrete Logarithmen effizient lösen kann. Für RSA bedeutet das: Aus dem öffentlichen Schlüssel könnte der private Schlüssel berechnet werden. Für elliptische Kurven bedeutet es: Aus einem öffentlichen Kurvenpunkt könnte der geheime Skalar rekonstruiert werden.

Vereinfacht kann man die Gefahr so ausdrücken:

\(\text{Public Key} + \text{Quantenangriff} \longrightarrow \text{Private Key}\)

Wenn dieser Schritt möglich wird, verliert das betroffene Verfahren seine Sicherheitsfunktion. Verschlüsselte Sitzungen, digitale Signaturen und Zertifikatsketten wären nicht mehr vertrauenswürdig.

Grover-Algorithmus

Der Grover-Algorithmus betrifft vor allem symmetrische Kryptografie und Hashfunktionen. Er bietet eine quadratische Beschleunigung bei der Suche in einem Schlüsselraum. Ein klassischer Brute-Force-Angriff auf einen Schlüsselraum der Größe \(2^n\) benötigt grob \(2^n\) Versuche. Mit Grover reduziert sich der Aufwand idealisiert auf etwa:

\(2^{n/2}\)

Das ist relevant, aber weniger zerstörerisch als Shor für RSA und ECC. Die Gegenmaßnahme ist klarer: längere Schlüssel und stärkere Sicherheitsparameter. Ein symmetrischer Schlüssel mit \(256\) Bit bietet gegen Grover idealisiert etwa eine Sicherheitsstärke von \(128\) Bit.

Warum symmetrische Kryptografie weniger stark betroffen ist

Symmetrische Verfahren wie AES sind nicht automatisch gebrochen. Sie müssen aber mit ausreichend großen Schlüsseln betrieben werden. Auch Hashfunktionen bleiben verwendbar, wenn Ausgabelängen und Sicherheitsparameter korrekt gewählt werden. Die gefährlichste Bruchstelle liegt also nicht bei AES selbst, sondern bei Public-Key-Verfahren, die Schlüssel austauschen oder Signaturen erzeugen.

Harvest now, decrypt later

Die gefährlichste Eigenschaft der Quantenbedrohung ist ihre zeitliche Verschiebung. Ein Angreifer muss nicht heute entschlüsseln können. Er kann heute Datenströme speichern und später entschlüsseln. Besonders kritisch sind Daten mit langer Schutzdauer:

  • staatliche Kommunikation,
  • militärische und diplomatische Informationen,
  • medizinische Daten,
  • Forschungs- und Entwicklungsdaten,
  • Industriegeheimnisse,
  • Identitätsdaten,
  • kritische Infrastrukturpläne,
  • Finanz- und Vertragsdaten.

Eine verschlüsselte Nachricht, die heute mit RSA- oder ECC-basiertem Schlüsselaustausch geschützt wird, kann in Zukunft rückwirkend gefährdet sein, wenn der aufgezeichnete Schlüsselaustausch gebrochen wird.

Standardisierung und aktueller Stand

Rolle von NIST

Die internationale PQC-Standardisierung wird stark durch das National Institute of Standards and Technology geprägt. NIST startete einen mehrjährigen Auswahlprozess, in dem Algorithmen öffentlich eingereicht, analysiert, angegriffen, verbessert und verglichen wurden. Dieser Prozess war notwendig, weil PQC neue mathematische Grundlagen nutzt und voreilige Standardisierung gefährlich wäre.

Im Jahr 2024 veröffentlichte NIST die ersten finalen Standards für Post-Quanten-Kryptografie. Damit wurde aus einem Forschungs- und Auswahlprozess ein konkreter Migrationsrahmen.

ML-KEM

ML-KEM ist ein Key Encapsulation Mechanism. Es dient dazu, über einen öffentlichen Schlüssel ein gemeinsames Geheimnis sicher zu etablieren. ML-KEM basiert auf gitterbasierten Problemen und ging aus CRYSTALS-Kyber hervor.

Ein KEM lässt sich abstrakt mit drei Funktionen beschreiben:

\((pk, sk) = \text{KeyGen}()\)

\((ct, K) = \text{Encaps}(pk)\)

\(K = \text{Decaps}(sk, ct)\)

Dabei ist \(pk\) der öffentliche Schlüssel, \(sk\) der private Schlüssel, \(ct\) der Ciphertext und \(K\) das gemeinsam abgeleitete Geheimnis. In Protokollen wie TLS kann ein solches Geheimnis anschließend zur Ableitung symmetrischer Sitzungsschlüssel verwendet werden.

ML-DSA

ML-DSA ist ein digitales Signaturverfahren und ging aus CRYSTALS-Dilithium hervor. Es basiert ebenfalls auf gitterbasierten Strukturen. Digitale Signaturen sichern Authentizität und Integrität. Sie beantworten die Frage: Wurde diese Nachricht von der richtigen Partei signiert und wurde sie seitdem verändert?

Eine Signatur lässt sich abstrakt so beschreiben:

\((pk, sk) = \text{KeyGen}()\)

\(\sigma = \text{Sign}(sk, m)\)

\(\text{Verify}(pk, m, \sigma) \in \{\text{true}, \text{false}\}\)

Hier ist \(m\) die Nachricht und \(\sigma\) die Signatur. Wenn die Verifikation wahr ist, gilt die Signatur als gültig.

SLH-DSA

SLH-DSA ist ein stateless hashbasiertes Signaturverfahren und ging aus SPHINCS+ hervor. Es nutzt eine andere mathematische Grundlage als ML-DSA und dient deshalb auch als wichtige Diversifizierung. Hashbasierte Signaturen gelten als konservativ, weil sie auf der Sicherheit kryptografischer Hashfunktionen aufbauen.

Der Vorteil liegt in der breiten Sicherheitsintuition. Der Nachteil liegt häufig in größeren Signaturen und höherem Aufwand. Deshalb ist SLH-DSA besonders dort interessant, wo starke konservative Sicherheitsannahmen wichtiger sind als minimale Datenmengen.

HQC als Backup-KEM

HQC wurde als zusätzlicher Algorithmus für Post-Quanten-Verschlüsselung ausgewählt und soll als Backup zu ML-KEM dienen. Der Wert von HQC liegt in seiner anderen mathematischen Grundlage. Während ML-KEM gitterbasiert ist, gehört HQC zur codebasierten Kryptografie. Diese Vielfalt ist wichtig, weil kein verantwortlicher Sicherheitsentwurf auf eine einzige mathematische Familie angewiesen sein sollte.

Weitere Signaturkandidaten

Die PQC-Standardisierung ist nicht abgeschlossen. Weitere digitale Signaturverfahren werden untersucht, darunter Kandidaten wie FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign und UOV. Der Grund ist einfach: Signaturen haben sehr unterschiedliche Einsatzprofile. Manche Systeme brauchen kleine Signaturen, andere schnelle Verifikation, andere konservative Sicherheitsannahmen oder gute Eignung für eingebettete Hardware.

Mathematische Familien der PQC

Gitterbasierte Kryptografie

Gitterbasierte Kryptografie ist derzeit die wichtigste Familie im praktischen PQC-Kontext. Ein mathematisches Gitter ist eine regelmäßige Struktur im Raum, erzeugt durch Basisvektoren. Viele gitterbasierte Verfahren beruhen darauf, dass bestimmte Probleme in hochdimensionalen Gittern schwer zu lösen sind.

Ein zentrales Problem ist Learning With Errors. Vereinfacht sieht eine LWE-Gleichung so aus:

\(b = A s + e \pmod q\)

Dabei ist \(A\) eine öffentliche Matrix, \(s\) ein geheimer Vektor und \(e\) ein kleiner Fehlerterm. Ohne den Fehlerterm wäre das Gleichungssystem leichter lösbar. Der Fehler macht die Rekonstruktion des geheimen Vektors schwierig.

Warum Gitterverfahren praktisch attraktiv sind

Gitterbasierte Verfahren bieten gute Performance, relativ kompakte Parameter im Vergleich zu vielen Alternativen und vielseitige Anwendungen. ML-KEM und ML-DSA zeigen, dass gitterbasierte Verfahren sowohl für Schlüsselaustausch als auch für Signaturen praktisch nutzbar sind.

Codebasierte Kryptografie

Codebasierte Kryptografie nutzt Probleme aus der Theorie fehlerkorrigierender Codes. Die Grundidee ist, dass das Dekodieren bestimmter fehlerbehafteter Codewörter ohne geheime Struktur rechnerisch schwer ist.

Abstrakt kann man ein fehlerbehaftetes Codewort so darstellen:

\(c = mG + e\)

Hier ist \(m\) die Nachricht, \(G\) eine Generatormatrix und \(e\) ein Fehlervektor. Die Herausforderung besteht darin, trotz Fehlern die ursprüngliche Struktur zu rekonstruieren.

Codebasierte Verfahren haben eine lange Geschichte und gelten in Teilen als sehr robust. Ihr Nachteil liegt oft in großen öffentlichen Schlüsseln oder größeren Datenstrukturen.

Hashbasierte Signaturen

Hashbasierte Signaturen beruhen auf kryptografischen Hashfunktionen. Eine Hashfunktion bildet Eingaben beliebiger Länge auf eine feste Ausgabelänge ab:

\(h = H(m)\)

Gute Hashfunktionen müssen kollisionsresistent, preimage-resistent und second-preimage-resistent sein. Das bedeutet: Es soll praktisch unmöglich sein, zwei verschiedene Nachrichten mit demselben Hashwert zu finden, aus einem Hashwert die ursprüngliche Nachricht zu rekonstruieren oder zu einer gegebenen Nachricht eine zweite mit gleichem Hashwert zu finden.

Hashbasierte Signaturen sind besonders relevant für langfristige Signatursicherheit. Sie können aber größere Signaturen erzeugen und haben je nach Variante besondere Anforderungen an Zustandsverwaltung oder Performance.

Multivariate Kryptografie

Multivariate Kryptografie beruht auf Systemen mehrerer polynomialer Gleichungen über endlichen Körpern. Das Lösen solcher Gleichungssysteme kann sehr schwer sein:

\(f_1(x_1, x_2, ..., x_n) = 0\)

\(f_2(x_1, x_2, ..., x_n) = 0\)

\(...\)

\(f_m(x_1, x_2, ..., x_n) = 0\)

Multivariate Verfahren sind vor allem für Signaturen interessant. Ihre Geschichte zeigt aber auch, dass scheinbar starke Konstruktionen durch neue algebraische Angriffe geschwächt werden können. Deshalb ist gründliche öffentliche Analyse unverzichtbar.

Isogeniebasierte Kryptografie

Isogeniebasierte Kryptografie nutzt Abbildungen zwischen elliptischen Kurven. Sie war lange interessant, weil sie sehr kleine Schlüsselgrößen versprach. Prominente isogeniebasierte Kandidaten wurden jedoch durch neue Angriffe stark erschüttert. Das zeigt deutlich: PQC ist ein dynamisches Forschungsfeld, und mathematische Eleganz genügt nicht als Sicherheitsbeweis.

Wo PQC eingesetzt werden muss

TLS und Websicherheit

TLS schützt HTTPS-Verbindungen, APIs, Cloud-Kommunikation und viele interne Dienste. In TLS sind zwei Bereiche besonders betroffen: der Schlüsselaustausch und die Authentifizierung durch Zertifikate. PQC muss also sowohl KEMs als auch Signaturen in diese Protokollwelt integrieren.

Ein typisches Ziel ist, dass ein Client und ein Server ein gemeinsames Geheimnis erhalten:

\(K_{\text{Client}} = K_{\text{Server}}\)

Dieses Geheimnis wird anschließend zur Ableitung symmetrischer Sitzungsschlüssel verwendet. In der PQC-Migration kann dieses Geheimnis aus klassischen und post-quanten-sicheren Komponenten kombiniert werden.

VPN, SSH und interne Netze

VPNs und SSH-Verbindungen sind in Unternehmen, Behörden und Rechenzentren essenziell. Viele dieser Systeme verwenden klassische Public-Key-Verfahren für Authentifizierung und Schlüsselaustausch. Eine PQC-Migration muss hier besonders sorgfältig erfolgen, weil Fehlkonfigurationen direkte Zugriffsrisiken erzeugen.

Digitale Signaturen und Software-Updates

Digitale Signaturen sind für Software-Updates besonders kritisch. Ein Gerät installiert ein Update, weil es einer Signatur vertraut. Wenn ein Signaturverfahren gebrochen wird, kann ein Angreifer manipulierte Software als legitim ausgeben.

Das ist bei langlebigen Geräten gefährlich: Fahrzeuge, Industrieanlagen, Router, Medizingeräte, Satelliten und IoT-Systeme können viele Jahre oder Jahrzehnte im Einsatz bleiben. Wenn deren Update-Signaturen nicht quantensicher geplant werden, entsteht ein langfristiger Sicherheitsbruch.

Public-Key-Infrastrukturen

PKI-Systeme verwalten Zertifikate, Zertifizierungsstellen, Sperrlisten, Vertrauensketten und Identitäten. PQC verändert diese Systeme tiefgreifend. Größere Schlüssel und Signaturen beeinflussen Zertifikatsgrößen, Handshake-Latenzen, Speicherbedarf, HSM-Last und Kompatibilität mit älteren Systemen.

Eine Zertifikatskette kann abstrakt so dargestellt werden:

\(\text{Root CA} \rightarrow \text{Intermediate CA} \rightarrow \text{Server Certificate}\)

Jede Signatur in dieser Kette muss langfristig bewertet werden. Es reicht nicht, nur den Server-Schlüssel zu ersetzen, wenn die darüberliegende Vertrauenskette weiterhin auf gefährdeten Verfahren beruht.

Blockchain und digitale Identitäten

Viele Blockchain-Systeme verwenden elliptische Kurvensignaturen. Das ist ein Problem, weil öffentliche Schlüssel und Signaturen dauerhaft sichtbar sind. Eine Migration ist dort schwierig, weil alte Transaktionen, Wallets und Protokollregeln nicht einfach verschwinden.

Digitale Identitätssysteme haben ein ähnliches Problem. Sie müssen nicht nur aktuelle Authentifizierung schützen, sondern auch Nachweise, Zertifikate und Signaturen, die langfristig gültig bleiben sollen.

Technische Folgen der PQC-Migration

Größere Datenstrukturen

PQC-Verfahren haben oft größere öffentliche Schlüssel, Ciphertexts oder Signaturen als klassische elliptische Kurvenverfahren. Das ist kein Randproblem. Größere Datenstrukturen beeinflussen Netzwerkpakete, Zertifikate, Handshakes, Speicher, Caches, Smartcards und eingebettete Geräte.

Der praktische Vergleich lautet nicht nur:

\(\text{Sicherheit alt} \longrightarrow \text{Sicherheit neu}\)

Er lautet:

\(\text{Sicherheit} + \text{Performance} + \text{Kompatibilität} + \text{Betrieb}\)

Performance

PQC ist nicht automatisch langsam. Einige Verfahren sind sehr effizient. Trotzdem müssen konkrete Systeme getestet werden. Ein Algorithmus, der auf einem Server schnell ist, kann auf einer Smartcard, einem Mikrocontroller oder einem HSM andere Eigenschaften zeigen.

Performance umfasst mehrere Faktoren:

  • Schlüsselerzeugung,
  • Encapsulation und Decapsulation,
  • Signieren und Verifizieren,
  • Speicherverbrauch,
  • Bandbreite,
  • Latenz,
  • Energieverbrauch.

Seitkanalangriffe

Ein mathematisch sicherer Algorithmus kann durch eine schlechte Implementierung unsicher werden. Seitkanalangriffe nutzen Informationen, die während der Ausführung entstehen: Zeitverhalten, Cache-Zugriffe, Stromverbrauch, elektromagnetische Abstrahlung oder Fehlerreaktionen.

Ein einfaches Beispiel ist ein Timing-Leak. Wenn eine Berechnung abhängig vom geheimen Schlüssel unterschiedlich lange dauert, kann ein Angreifer Rückschlüsse ziehen:

\(t = f(sk, m)\)

Wenn \(t\) messbar vom geheimen Schlüssel \(sk\) abhängt, ist die Implementierung gefährdet. PQC-Implementierungen müssen daher konstantzeitfähig, robust und geprüft sein.

Zufallszahlen

Kryptografie hängt stark von guter Zufälligkeit ab. Schlechte Zufallszahlen können Schlüssel kompromittieren, auch wenn der Algorithmus korrekt ist. Das gilt für klassische Kryptografie und PQC gleichermaßen.

Ein Schlüssel sollte aus ausreichend Entropie erzeugt werden:

\(sk \leftarrow \{0,1\}^n\)

Wenn die tatsächliche Entropie deutlich kleiner ist als \(n\), entsteht ein Suchraum, der viel leichter angreifbar ist.

Hybridverfahren als Übergangsstrategie

Warum Hybridverfahren sinnvoll sind

Hybridverfahren kombinieren klassische Kryptografie mit PQC. Das Ziel ist, die Stärken beider Welten zu nutzen. Klassische Verfahren sind lange analysiert und breit implementiert. PQC schützt gegen Quantenangriffe, ist aber in der breiten Produktion noch neuer. Eine Kombination kann Übergangsrisiken reduzieren.

Ein hybrides gemeinsames Geheimnis kann abstrakt so gebildet werden:

\(K = H(K_{\text{klassisch}} || K_{\text{PQC}})\)

Hier werden ein klassisches Geheimnis und ein PQC-Geheimnis kombiniert und durch eine Hashfunktion zu einem Sitzungsschlüssel abgeleitet. Die genaue Konstruktion muss standardisiert und sorgfältig implementiert sein. Improvisierte Kombinatoren sind gefährlich.

Nutzen und Grenzen

Der Nutzen liegt in zusätzlicher Robustheit. Wenn das klassische Verfahren durch Quantencomputer fällt, bleibt die PQC-Komponente. Wenn ein PQC-Verfahren später geschwächt wird, bleibt zumindest die klassische Komponente gegen klassische Angreifer relevant.

Die Grenze liegt in Komplexität. Hybridverfahren erzeugen größere Handshakes, mehr Implementierungsaufwand und zusätzliche Fehlerquellen. Sie sind eine Übergangsstrategie, kein Freibrief für unkontrollierte Komplexität.

Krypto-Agilität

Der wichtigste Architekturbegriff ist Krypto-Agilität. Ein System ist krypto-agil, wenn Algorithmen, Schlüssellängen, Parameter und Bibliotheken ausgetauscht werden können, ohne das gesamte System neu zu bauen.

Krypto-Agilität bedeutet:

  • Algorithmen sind nicht fest in Protokolle eingebrannt.
  • Schlüsselmanagement ist versioniert.
  • Zertifikate und Signaturen können migriert werden.
  • Bibliotheken können aktualisiert werden.
  • Fallbacks und Deaktivierungen sind kontrollierbar.
  • Inventare zeigen, wo Kryptografie verwendet wird.

Ohne Krypto-Agilität wird jede neue kryptografische Krise zu einem Notfall.

Migration: Der eigentliche Kern von PQC

Kryptografische Inventur

Die Migration beginnt nicht mit dem Austausch eines Algorithmus. Sie beginnt mit einer Inventur. Organisationen müssen wissen, wo Kryptografie eingesetzt wird. Viele Unternehmen kennen ihre kryptografischen Abhängigkeiten nicht vollständig. Das ist gefährlich.

Eine belastbare Inventur umfasst:

  • TLS-Endpunkte,
  • VPN-Systeme,
  • SSH-Zugänge,
  • Code-Signing-Prozesse,
  • PKI und Zertifizierungsstellen,
  • HSMs und Smartcards,
  • Datenbanken und Backups,
  • Cloud-Dienste,
  • APIs und Service Meshes,
  • IoT- und OT-Systeme,
  • Lieferantenprodukte,
  • mobile Apps,
  • Archivsysteme.

Schutzdauer bewerten

Nicht alle Daten sind gleich kritisch. Entscheidend ist die Schutzdauer. Daten, die nur wenige Stunden vertraulich bleiben müssen, haben ein anderes Risiko als Daten, die jahrzehntelang geschützt werden müssen.

Eine einfache Risikobetrachtung lautet:

\(\text{Risiko} = \text{Wert der Daten} \cdot \text{Schutzdauer} \cdot \text{Exposition}\)

Je höher diese drei Faktoren sind, desto früher muss migriert werden.

Systeme mit langer Lebensdauer priorisieren

Besonders kritisch sind Systeme, die lange im Feld bleiben. Ein Server kann relativ schnell aktualisiert werden. Ein Satellit, ein Fahrzeugsteuergerät, eine Industrieanlage oder ein medizinisches Gerät ist schwieriger zu ändern. Solche Systeme müssen frühzeitig PQC-fähig geplant werden.

Lieferketten einbeziehen

Viele Organisationen bauen Kryptografie nicht selbst. Sie nutzen Bibliotheken, Cloud-Dienste, Firewalls, HSMs, VPN-Gateways, Zertifikatsdienste, Betriebssysteme und externe Plattformen. Deshalb muss PQC Teil der Lieferantenbewertung werden.

Die entscheidenden Fragen lauten:

  • Welche PQC-Verfahren unterstützt das Produkt?
  • Welche Standards werden umgesetzt?
  • Gibt es Hybridmodi?
  • Wie werden Schlüssel und Zertifikate migriert?
  • Wie werden Updates ausgeliefert?
  • Welche Nachweise zur Implementierungssicherheit existieren?

Testen vor dem produktiven Einsatz

PQC darf nicht blind eingeschaltet werden. Testumgebungen müssen zeigen, wie sich neue Schlüsselgrößen, Zertifikate, Signaturen und Handshakes auswirken. Relevant sind nicht nur Laborwerte, sondern reale Last, reale Netzwerke, reale Geräte und reale Fehlerszenarien.

PQC und kritische Infrastruktur

Energie, Wasser, Verkehr und Gesundheit

Kritische Infrastrukturen haben besondere Anforderungen. Sie müssen verfügbar, sicher und oft über lange Zeiträume stabil bleiben. Viele Systeme verwenden ältere Protokolle, proprietäre Komponenten und schwer aktualisierbare Hardware. Gleichzeitig sind die Folgen eines Angriffs hoch.

PQC-Migration in kritischen Infrastrukturen ist deshalb kein reines IT-Projekt. Sie betrifft Betrieb, Sicherheit, Beschaffung, Wartung, Regulierung und Notfallplanung.

Operational Technology

In industriellen Steuerungssystemen zählt Verfügbarkeit oft mehr als schnelle Modernisierung. Trotzdem kann veraltete Kryptografie zu einem ernsten Risiko werden. Die Migration muss hier besonders kontrolliert erfolgen. Ein schlecht getestetes Update kann Produktionsausfälle verursachen. Keine Migration kann langfristig aber zu Manipulation und Spionage führen.

Staatliche Kommunikation

Staatliche Kommunikation hat oft lange Geheimhaltungsfristen. Diplomatische, militärische und behördliche Daten können auch Jahrzehnte später noch sensibel sein. Deshalb ist PQC im staatlichen Bereich besonders dringlich.

Grenzen und Missverständnisse

PQC schützt nicht gegen alles

PQC löst ein spezifisches Problem: die Bedrohung heutiger Public-Key-Kryptografie durch Quantencomputer. Es schützt nicht automatisch gegen Phishing, Malware, gestohlene Zugangsdaten, Fehlkonfigurationen, unsichere Endgeräte oder schlechte Softwareentwicklung.

Ein System kann PQC verwenden und trotzdem unsicher sein, wenn Passwörter schwach sind, Schlüssel falsch gespeichert werden oder Zertifikate nicht geprüft werden.

Standardisiert bedeutet nicht automatisch sicher betrieben

Ein Standard ist nur der Anfang. Entscheidend ist die korrekte Implementierung, Konfiguration und Integration. PQC muss in Bibliotheken, Protokolle, Produkte und Betriebsprozesse eingebettet werden. Ein sicherer Algorithmus kann durch fehlerhafte Parameter, schlechte Zufallszahlen oder Seitkanäle kompromittiert werden.

Größere Schlüssel sind nicht das gleiche wie mehr Sicherheit

Bei PQC geht es nicht darum, RSA-Schlüssel einfach immer weiter zu vergrößern. Das Problem ist strukturell. Wenn ein Algorithmus durch Shor grundsätzlich gebrochen wird, hilft eine bloße Parametervergrößerung langfristig nicht ausreichend. Die mathematische Grundlage muss ersetzt werden.

Quantencomputer müssen noch nicht existieren, um heute relevant zu sein

Der relevante Punkt ist nicht nur, wann ein kryptografisch relevanter Quantencomputer verfügbar ist. Der relevante Punkt ist, wie lange Daten geschützt bleiben müssen und wie lange die Migration dauert. Wenn eine Organisation zehn Jahre für die vollständige Umstellung benötigt und Daten zwanzig Jahre geheim bleiben müssen, beginnt das Risiko bereits heute.

Strategische Bewertung

Chancen

PQC ist nicht nur eine Belastung. Die Migration bietet die Chance, veraltete Sicherheitsarchitekturen zu modernisieren. Viele Organisationen werden durch PQC erstmals gezwungen, ihre Kryptografie systematisch zu inventarisieren, Abhängigkeiten zu dokumentieren und Krypto-Agilität aufzubauen.

Das verbessert nicht nur die Sicherheit gegen Quantencomputer. Es verbessert auch die Reaktionsfähigkeit bei klassischen Schwachstellen, Bibliotheksfehlern und künftigen Algorithmuswechseln.

Risiken

Die größten Risiken liegen nicht nur in der Mathematik, sondern im Betrieb. Zu späte Migration, fehlende Inventare, inkompatible Altgeräte, unklare Lieferketten, falsche Hybridkonstruktionen und mangelhafte Tests können die Sicherheit schwächen.

Ein weiteres Risiko ist Scheinsicherheit. Wer PQC als einzelnes Produkt kauft, aber keine Architektur ändert, löst das Problem nicht. PQC muss in Prozesse, Protokolle und Lebenszyklen eingebettet werden.

Realistische Einschätzung

PQC ist notwendig, aber kein magischer Schutzschild. Es ist ein kontrollierter Umbau der kryptografischen Infrastruktur. Dieser Umbau muss priorisiert, getestet und dokumentiert werden. Die stärksten Organisationen werden nicht diejenigen sein, die nur einen neuen Algorithmus einsetzen, sondern diejenigen, die ihre Kryptografie flexibel, überprüfbar und austauschbar machen.

Fazit

Post-Quanten-Kryptografie ist die notwendige Antwort auf eine klar erkennbare Schwäche heutiger Public-Key-Systeme. RSA, Diffie-Hellman und elliptische Kurvenverfahren sind gegen ausreichend leistungsfähige Quantencomputer nicht langfristig sicher. Der Shor-Algorithmus verändert die Grundlage asymmetrischer Kryptografie. Der Grover-Algorithmus erzwingt stärkere Parameter bei symmetrischen Verfahren, bricht sie aber nicht in gleicher Weise.

Die ersten zentralen Standards sind vorhanden. ML-KEM adressiert Schlüsselaustausch und Schlüsselverkapselung. ML-DSA und SLH-DSA adressieren digitale Signaturen. HQC stärkt die Diversität als zusätzlicher codebasierter Ansatz. Weitere Signaturverfahren werden untersucht, weil unterschiedliche Anwendungen unterschiedliche Eigenschaften benötigen.

Der Kern von PQC ist jedoch nicht nur Standardisierung. Der Kern ist Migration. Organisationen müssen wissen, wo sie Kryptografie einsetzen, welche Daten langfristig geschützt werden müssen, welche Systeme lange leben und welche Lieferanten beteiligt sind. Danach folgen Tests, Hybridstrategien, Krypto-Agilität und schrittweise Umstellung.

PQC ist kein optionaler Trend der Quantentechnologie. Es ist eine Sicherheitsnotwendigkeit für die digitale Infrastruktur. Wer früh beginnt, kann kontrolliert migrieren. Wer wartet, riskiert hektische Notfallmaßnahmen, gebrochene Vertrauensketten und langfristig offengelegte Daten. Die richtige Strategie lautet deshalb: inventarisieren, priorisieren, testen, hybrid absichern, krypto-agil werden und standardisierte PQC-Verfahren gezielt einführen.

Mit freundlichen Grüßen Jörg-Owe Schneppat

Anhang

Wissenschaftliche Zeitschriften und Artikel

Die folgenden wissenschaftlichen Arbeiten bilden den fachlichen Kern für eine Abhandlung über Post-Quanten-Kryptografie. Sie decken die Quantenbedrohung klassischer Public-Key-Verfahren, die mathematischen Grundlagen quantensicherer Verfahren und die wichtigsten algorithmischen Familien der PQC ab. Besonders relevant sind Primärarbeiten zu Shor, Grover, gitterbasierter Kryptografie, codebasierter Kryptografie und den NIST-nahen Verfahren ML-KEM, ML-DSA und SLH-DSA.

Grundlegende Primärliteratur zur Quantenbedrohung

  • Peter W. Shor: Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer, SIAM Journal on Computing, 1997.
    • Diese Arbeit ist die zentrale Primärquelle zur quantenmechanischen Bedrohung von RSA, Diffie-Hellman und elliptischer Kurvenkryptografie. Sie sollte in der Abhandlung genutzt werden, um präzise zu erklären, warum Faktorisierung und diskrete Logarithmen auf einem ausreichend leistungsfähigen Quantencomputer nicht mehr als sichere Grundlage heutiger Public-Key-Kryptografie gelten.
  • Lov K. Grover: A Fast Quantum Mechanical Algorithm for Database Search, Proceedings of the Twenty-Eighth Annual ACM Symposium on Theory of Computing, 1996.
    • Grovers Arbeit ist grundlegend für die Bewertung symmetrischer Kryptografie im Quantenzeitalter. Sie ist wichtig, um den Unterschied zwischen dem vollständigen Bruch asymmetrischer Verfahren durch Shor und der quadratischen Beschleunigung bei Suchproblemen durch Grover sauber herauszuarbeiten.

Grundlegende Arbeiten zu gitterbasierter Kryptografie

  • Miklós Ajtai: Generating Hard Instances of Lattice Problems, Proceedings of the Twenty-Eighth Annual ACM Symposium on Theory of Computing, 1996.
    • Ajtais Arbeit gehört zu den historischen Grundlagen moderner gitterbasierter Kryptografie. Sie ist besonders geeignet, um in der Abhandlung zu zeigen, warum Gitterprobleme nicht nur technische Konstruktionen, sondern tief verankerte Komplexitätsannahmen darstellen.
  • Oded Regev: On Lattices, Learning with Errors, Random Linear Codes, and Cryptography, Journal of the ACM, 2009.
    • Regevs Arbeit ist eine Schlüsselquelle für das Learning-with-Errors-Problem und damit für das Verständnis moderner gitterbasierter PQC-Verfahren. Sie kann in der Abhandlung genutzt werden, um den Sicherheitsgedanken hinter Verfahren wie ML-KEM und ML-DSA auf eine wissenschaftlich belastbare Grundlage zu stellen.
  • Chris Peikert: A Decade of Lattice Cryptography, Foundations and Trends in Theoretical Computer Science, 2016.
    • Diese Übersichtsarbeit ist eine hochwertige Spezialquelle für gitterbasierte Kryptografie. Sie eignet sich, um SIS, LWE, Ring-LWE, Sicherheitsreduktionen und praktische Einsatzperspektiven kompakt, aber wissenschaftlich sauber einzuordnen.

Spezialisierte Arbeiten zu standardnahen PQC-Verfahren

  • Roberto Avanzi, Joppe Bos, Léo Ducas, Eike Kiltz, Tancrède Lepoint, Vadim Lyubashevsky, John M. Schanck, Peter Schwabe, Gregor Seiler und Damien Stehlé: CRYSTALS-Kyber Algorithm Specifications and Supporting Documentation, NIST PQC Submission, 2021.
    • Diese Spezifikation ist die zentrale technische Quelle zum Ursprung von ML-KEM. Sie ist besonders wichtig, um die Entwicklung von CRYSTALS-Kyber zum standardisierten Key Encapsulation Mechanism ML-KEM historisch und technisch korrekt darzustellen.
  • Shi Bai, Léo Ducas, Eike Kiltz, Tancrède Lepoint, Vadim Lyubashevsky, Peter Schwabe, Gregor Seiler und Damien Stehlé: CRYSTALS-Dilithium Algorithm Specifications and Supporting Documentation, NIST PQC Submission, 2021.
    • Diese Quelle dokumentiert das Verfahren, aus dem ML-DSA hervorgegangen ist. Sie kann genutzt werden, um digitale Signaturen im PQC-Kontext zu erklären, insbesondere gitterbasierte Signaturkonstruktionen, Parameterwahl und praktische Implementierungsaspekte.
  • Daniel J. Bernstein, Christoph Dobraunig, Maria Eichlseder, Scott Fluhrer, Stefan-Lukas Gazdag, Andreas Hülsing, Panos Kampanakis, Stefan Kölbl, Tanja Lange, Martin M. Lauridsen, Florian Mendel, Ruben Niederhagen, Christian Rechberger, Joost Rijneveld und Peter Schwabe: SPHINCS+ Submission to the NIST Post-Quantum Cryptography Project, NIST PQC Submission, 2017.
    • SPHINCS+ ist die fachliche Grundlage des standardisierten SLH-DSA. Die Quelle eignet sich, um hashbasierte Signaturen als konservative Alternative zu gitterbasierten Signaturen zu erklären und ihre Rolle als Diversifizierung innerhalb der PQC-Standardisierung darzustellen.

Grundlegende Arbeiten zu codebasierter Kryptografie

  • Robert J. McEliece: A Public-Key Cryptosystem Based on Algebraic Coding Theory, Jet Propulsion Laboratory DSN Progress Report, 1978.
    • Diese Arbeit ist die historische Primärquelle der codebasierten Public-Key-Kryptografie. Sie ist relevant, um zu zeigen, dass codebasierte PQC nicht erst durch die aktuelle Standardisierung entstanden ist, sondern auf einer jahrzehntelang untersuchten mathematischen Grundlage beruht.
  • Harald Niederreiter: Knapsack-Type Cryptosystems and Algebraic Coding Theory, Problems of Control and Information Theory, 1986.
    • Niederreiters Arbeit ist eine wichtige Ergänzung zur McEliece-Tradition und wird in vielen codebasierten Konstruktionen als Referenzrahmen genutzt. Für eine PQC-Abhandlung ist sie nützlich, um die Entwicklung von fehlerkorrigierenden Codes zu modernen KEM-Kandidaten einzuordnen.

Hintergrundliteratur zu PQC-Familien und Migrationsfragen

  • Daniel J. Bernstein und Tanja Lange: Post-Quantum Cryptography, Nature, 2017.
    • Dieser Nature-Artikel ist eine kompakte, sehr gut zitierbare Überblicksquelle. Er eignet sich für die Einleitung und die systematische Einordnung der wichtigsten PQC-Familien: gitterbasiert, codebasiert, hashbasiert, multivariat und isogeniebasiert.
  • Chris Peikert: Lattice Cryptography for the Internet, Cryptology ePrint Archive, 2014.
    • Diese Arbeit verbindet gitterbasierte Kryptografie mit praktischen Internetprotokollen. Sie ist nützlich, um zu erklären, warum PQC nicht nur mathematisch, sondern auch protokolltechnisch und betrieblich betrachtet werden muss.

Bücher und Monographien

Die folgenden Bücher und monographieähnlichen Werke eignen sich als vertiefende Hintergrundliteratur. Sie helfen dabei, die quantenmechanischen Grundlagen, die klassische Kryptografie, die mathematischen Sicherheitsannahmen und die praktische Bedeutung der PQC-Standardisierung in einen größeren wissenschaftlichen Kontext zu stellen.

Standardwerke zur Quanteninformation

  • Michael A. Nielsen und Isaac L. Chuang: Quantum Computation and Quantum Information, Cambridge University Press, 2010.
    • Dieses Standardwerk ist die wichtigste Referenz für die Grundlagen der Quanteninformation, Quantenalgorithmen und Quantenberechnung. Für eine PQC-Abhandlung ist es besonders relevant, um die physikalisch-informatische Basis von Shor- und Grover-Algorithmus fachlich korrekt einzuordnen.

Standardwerke zur modernen Kryptografie

  • Jonathan Katz und Yehuda Lindell: Introduction to Modern Cryptography, CRC Press, 2020.
    • Dieses Werk ist eine solide Grundlage für Sicherheitsmodelle, Beweisbegriffe, Public-Key-Kryptografie, Signaturen und Schlüsselaustausch. Es kann genutzt werden, um PQC nicht isoliert, sondern als Weiterentwicklung moderner kryptografischer Sicherheitsdefinitionen zu erklären.
  • Christof Paar und Jan Pelzl: Understanding Cryptography, Springer, 2010.
    • Dieses Buch eignet sich als zugängliche, aber fachlich belastbare Brücke zwischen klassischer Kryptografie und moderner Sicherheitsarchitektur. Es ist besonders hilfreich, wenn die Abhandlung RSA, Diffie-Hellman, elliptische Kurven, Hashfunktionen und symmetrische Verfahren vor der PQC-Migration erklären soll.

Spezialisierte Monographien zur Post-Quanten-Kryptografie

  • Daniel J. Bernstein, Johannes Buchmann und Erik Dahmen: Post-Quantum Cryptography, Springer, 2009.
    • Dieser Sammelband gehört zu den wichtigsten frühen Werken zur Post-Quanten-Kryptografie. Er ist als Hintergrundquelle geeignet, um die Entwicklung des Forschungsfeldes vor der NIST-Standardisierung nachzuzeichnen und verschiedene mathematische Familien in ihrer ursprünglichen Breite darzustellen.
  • Daniel J. Bernstein: Introduction to Post-Quantum Cryptography, in Post-Quantum Cryptography, Springer, 2009.
    • Dieses einleitende Kapitel ist besonders nützlich, um die Motivation, Bedrohungslage und Systematik der PQC präzise und lesbar darzustellen. Es eignet sich gut für den theoretischen Auftakt einer wissenschaftlichen Abhandlung.

Monographie-nahe Ressourcen zu gitterbasierter Kryptografie

  • Daniele Micciancio und Shafi Goldwasser: Complexity of Lattice Problems: A Cryptographic Perspective, Springer, 2002.
    • Dieses Werk ist eine tiefgehende Grundlage für die Komplexität von Gitterproblemen. Es ist besonders hilfreich, wenn die Abhandlung die mathematische Härte hinter gitterbasierten Verfahren nicht nur oberflächlich, sondern mit Blick auf Shortest Vector Problem, Closest Vector Problem und Reduktionsideen behandeln soll.

Online-Ressourcen und Datenbanken

Die folgenden Ressourcen sind besonders wichtig für aktuelle Standards, Migrationshinweise, technische Richtlinien, Implementierungsfragen und laufende Forschung. Sie sollten in einer wissenschaftlichen Abhandlung nicht als Ersatz für Primärliteratur, sondern als aktuelle Referenzschicht genutzt werden: für Standards, Statusinformationen, Behördenempfehlungen, technische Details und weiterführende Recherche.

Offizielle Standards und Standardisierungsdokumente

  • National Institute of Standards and Technology: FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard, NIST, 2024.
    • FIPS 203 ist die zentrale Standardquelle für ML-KEM. Sie sollte genutzt werden, wenn die Abhandlung konkrete Aussagen zum standardisierten Key Encapsulation Mechanism, zu Parameterstufen und zur Rolle von ML-KEM in der PQC-Migration trifft.
  • National Institute of Standards and Technology: FIPS 204, Module-Lattice-Based Digital Signature Standard, NIST, 2024.
    • FIPS 204 ist die maßgebliche Standardquelle für ML-DSA. Sie ist relevant für alle Abschnitte über digitale Signaturen, Software-Signaturen, Zertifikate, Public-Key-Infrastrukturen und Authentizität im Post-Quanten-Zeitalter.
  • National Institute of Standards and Technology: FIPS 205, Stateless Hash-Based Digital Signature Standard, NIST, 2024.
    • FIPS 205 standardisiert SLH-DSA und ist besonders wichtig für den Abschnitt über hashbasierte Signaturen. Die Quelle eignet sich, um eine zweite, nicht gitterbasierte Signaturfamilie als konservative Sicherheitslinie innerhalb der PQC darzustellen.
  • Gorjan Alagic, David Apon, Daniel Cooper, Quynh Dang, Thinh Dang, John Kelsey, Jacob Lichtinger, Yi-Kai Liu, Dustin Moody, Rene Peralta, Ray Perlner und Angela Robinson: NIST SP 800-227, Recommendations for Key-Encapsulation Mechanisms, NIST, 2025.
    • Diese NIST-Publikation ist eine wichtige Ergänzung zu FIPS 203, weil sie KEMs nicht nur als Algorithmus, sondern als Sicherheitsbaustein für Protokolle und Implementierungen behandelt. Sie ist besonders wertvoll für Abschnitte über korrekte KEM-Nutzung, Schlüsselableitung und sichere Integration.

Standardisierung, Statusberichte und algorithmische Auswahl

  • Lily Chen, Stephen Jordan, Yi-Kai Liu, Dustin Moody, Rene Peralta, Ray Perlner und Daniel Smith-Tone: NISTIR 8105, Report on Post-Quantum Cryptography, NIST, 2016.
    • Dieser Bericht markiert einen wichtigen Ausgangspunkt der NIST-PQC-Standardisierung. Er ist besonders geeignet, um die Motivation, den historischen Kontext und die frühe Einordnung quantenresistenter Kryptografie in einer Abhandlung darzustellen.
  • Gorjan Alagic, Daniel Apon, David Cooper, Quynh Dang, Thinh Dang, John Kelsey, Jacob Lichtinger, Yi-Kai Liu, Carl Miller, Dustin Moody, Rene Peralta, Ray Perlner, Angela Robinson und Daniel Smith-Tone: NISTIR 8413, Status Report on the Third Round of the NIST Post-Quantum Cryptography Standardization Process, NIST, 2022.
    • Dieser Statusbericht ist eine zentrale Quelle für den Auswahlprozess der dritten NIST-Runde. Er eignet sich, um nachvollziehbar zu erklären, warum bestimmte Verfahren standardisiert wurden und andere weiter untersucht oder zurückgestellt wurden.
  • National Institute of Standards and Technology: NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption, NIST, 2025.
    • Diese NIST-Mitteilung ist relevant für den aktuellen Stand der Standardisierung, weil HQC als zusätzlicher codebasierter Algorithmus ausgewählt wurde. Sie eignet sich, um algorithmische Diversifizierung und Backup-Strategien gegenüber rein gitterbasierten Ansätzen zu erklären.
  • National Institute of Standards and Technology: Post-Quantum Cryptography Project, NIST, laufend aktualisiert.
    • Die Projektseite ist die wichtigste laufende Recherchequelle für NIST-Updates, Standardisierungsstatus, News, technische Dokumente und algorithmische Entwicklungen. Sie sollte in der Abhandlung als dynamische Quelle für den jeweils aktuellen Stand genutzt werden.

Behördenempfehlungen und Migrationsleitfäden

  • Bundesamt für Sicherheit in der Informationstechnik: BSI TR-02102-1, Cryptographic Mechanisms: Recommendations and Key Lengths, BSI, 2026.
    • Die technische Richtlinie des BSI ist für deutschsprachige und europäische Sicherheitskontexte besonders wichtig. Sie eignet sich für Abschnitte über empfohlene Schlüssellängen, Übergangsfristen, hybride Verfahren und den praktischen Umgang mit quantenbedrohten Verfahren.
  • Bundesamt für Sicherheit in der Informationstechnik: Migration zu Post-Quanten-Kryptografie, BSI, 2021.
    • Dieser Leitfaden ist eine praxisnahe Quelle für Migrationsplanung, Inventarisierung und Risikobewertung. Er ist besonders hilfreich für Abschnitte über „Harvest now, decrypt later“, Krypto-Agilität und organisatorische Vorbereitung.
  • Bundesamt für Sicherheit in der Informationstechnik: Kryptografie quantensicher gestalten, BSI, 2024.
    • Diese BSI-Veröffentlichung eignet sich als breit angelegte Orientierung für quantensichere Kryptografie. Sie ist besonders nützlich, um PQC gegenüber QKD abzugrenzen und die Priorität softwarebasierter Migrationsstrategien zu erläutern.

Europäische Ressourcen und politische Roadmaps

  • ENISA: Post-Quantum Cryptography: Current State and Quantum Mitigation, European Union Agency for Cybersecurity, 2021.
    • Der ENISA-Bericht bietet eine strukturierte Übersicht über PQC-Familien, Standardisierungsstand und Migrationsüberlegungen. Er eignet sich besonders als europäische Perspektive neben NIST und BSI.
  • ENISA: Post-Quantum Cryptography: Integration Study, European Union Agency for Cybersecurity, 2022.
    • Diese Studie ist für praktische Integrationsfragen besonders wertvoll. Sie behandelt nicht nur Algorithmen, sondern die Einbettung in Protokolle, Systeme und bestehende Sicherheitsarchitekturen.
  • European Commission: A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, European Commission, 2025.
    • Diese Roadmap ist eine wichtige politische und strategische Quelle für den europäischen Übergang zu PQC. Sie kann genutzt werden, um die Migration nicht nur als technische, sondern auch als koordinierte sicherheitspolitische Aufgabe einzuordnen.

Fachjournale, Datenbanken und Forschungsplattformen

  • International Association for Cryptologic Research: Cryptology ePrint Archive, IACR, laufend aktualisiert.
    • Das Cryptology ePrint Archive ist eine zentrale Forschungsplattform für aktuelle kryptografische Arbeiten. Für PQC ist es besonders wichtig, weil viele neue Analysen, Angriffe, Sicherheitsbeweise und Implementierungsstudien dort früh erscheinen.
  • International Association for Cryptologic Research: IACR Transactions on Cryptographic Hardware and Embedded Systems, IACR, laufend aktualisiert.
    • Diese Plattform ist besonders relevant für Implementierungssicherheit, Hardwarebeschleunigung, Seitenkanalangriffe und eingebettete Systeme. Sie eignet sich für Abschnitte, die zeigen, dass PQC nicht nur mathematisch, sondern auch praktisch sicher implementiert werden muss.
  • Open Quantum Safe Project: Open Quantum Safe, laufend aktualisiert.
    • Open Quantum Safe ist eine wichtige Forschungs- und Implementierungsplattform für quantensichere Kryptografie. Sie eignet sich als Recherchehilfe für experimentelle Bibliotheken, Prototypen, Tests und praktische Migrationserfahrungen.
  • PQCRYPTO: Post-Quantum Cryptography, laufend aktualisiert.
    • PQCRYPTO ist eine hilfreiche Sammlung von Informationen, Literatur und Forschungshinweisen zur Post-Quanten-Kryptografie. Die Seite eignet sich als Einstiegspunkt für vertiefende Recherchen zu algorithmischen Familien, historischen Entwicklungen und wissenschaftlichen Veranstaltungen.

Empfohlene Nutzung des Anhangs

Für eine wissenschaftliche Abhandlung über Post-Quanten-Kryptografie sollte der Anhang in drei Ebenen genutzt werden. Die Primärliteratur zu Shor und Grover gehört in die Abschnitte zur Quantenbedrohung, weil sie erklärt, warum heutige asymmetrische Verfahren langfristig ersetzt werden müssen. Die Arbeiten zu LWE, Gitterproblemen, McEliece und SPHINCS+ sollten dort eingesetzt werden, wo die mathematischen Familien der PQC erklärt und voneinander abgegrenzt werden.

Die NIST-Standards FIPS 203, FIPS 204 und FIPS 205 sollten als maßgebliche Quellen für den aktuellen Standardisierungsstand verwendet werden. Für den europäischen und deutschen Kontext sind die Veröffentlichungen von BSI, ENISA und der Europäischen Kommission besonders wichtig, weil sie Migrationsplanung, Krypto-Agilität, kritische Infrastrukturen und praktische Umsetzungsfristen adressieren.

Für eine belastbare wissenschaftliche Argumentation empfiehlt sich eine klare Trennung: Primärliteratur für die mathematischen und quantenalgorithmischen Grundlagen, Standards für konkrete Verfahren und Parameter, Behördenquellen für Migration und Regulierung sowie Forschungsplattformen für aktuelle Entwicklungen, Implementierungsfragen und neue Sicherheitsanalysen.

No-Hiding-Theorem

No-Hiding-Theorem

...

Challenge Institute for Quantum Computation (CIQC)

Challenge Institute for Quantum Computation (CIQC)

...

Leptogenese

Leptogenese

...

Quantum Valley Investments (QVI)

Quantum Valley Investments (QVI)

...

Quark-Gluon-Plasma (QGP)

Quark-Gluon-Plasma (QGP)

...

Unschärferelation

Unschärferelation

...