Post-Quanten-Kryptografie: Die Fristen 2026, 2030 und 2035 und was davon verbindlich ist

Warum die Termine jetzt feststehen

Seit August 2024 gibt es standardisierte Post-Quanten-Verfahren. Das US-amerikanische NIST hat damals ML-KEM für die Schlüsseleinigung sowie ML-DSA und SLH-DSA für Signaturen als FIPS 203, 204 und 205 veröffentlicht. Seitdem ist „Wir warten auf Standards“ kein Grund mehr, mit der Umstellung zu warten.

Inzwischen gibt es auch Termine. Im Juni 2025 haben die EU-Mitgliedstaaten mit Unterstützung der Europäischen Kommission einen gemeinsamen Fahrplan für die Umstellung veröffentlicht. EU-Roadmap Das BSI hat im Januar 2026 seine Technische Richtlinie TR-02102-1 um Migrationsfristen ergänzt. BSI TR-02102-1 Und am 12. Oktober 2026 haben BMI, BMDS und BSI eine gemeinsame Leitlinie veröffentlicht, die die EU-Termine für Deutschland übernimmt. BSI

Dieser Beitrag ordnet die Termine aus diesen Dokumenten ein. Er trennt dabei, was empfohlen wird und wo daraus eine Pflicht wird. Diese Unterscheidung kommt in vielen Zusammenfassungen zu kurz.

Die Fristen im Überblick

Ende 2026: Inventar, Verantwortung und Plan

Die erste Frist betrifft keine Technik, sondern Organisation. Die EU-Roadmap nennt für Ende 2026 unter anderem diese ersten Schritte: Beteiligte einbinden, ein ausgereiftes Management kryptografischer Assets aufbauen, Abhängigkeiten erfassen, das Quantenrisiko analysieren, die Lieferkette einbeziehen und einen Zeit- und Umsetzungsplan erstellen. Pilotprojekte für Anwendungsfälle mit hohem und mittlerem Risiko sollen bis dahin begonnen haben. EU-Roadmap, PDF

Die nationale Leitlinie wird für Deutschland konkreter. Bis Ende 2026 soll die Vorbereitungs- und Planungsphase abgeschlossen sein, die Leitlinie nennt das „PQC-Readiness“. Jede Organisation sollte mindestens eine verantwortliche Stelle benennen, die Umsetzungsplan, Prioritäten und Fortschritt steuert, und dafür ausreichende personelle und finanzielle Ressourcen einplanen. Leitlinie, PDF

Für das Inventar verweist die Leitlinie auf das Krypto-Kataster aus dem IT-Grundschutz, Anforderung CON.1.A19 im Baustein CON.1 Kryptokonzept. Werkzeuge zur Inventarisierung, Scans von Code-Repositories und eine Cryptographic Bill of Materials (CBOM), etwa nach dem CycloneDX-Standard, können dabei helfen. Die erste Fassung des Inventars soll bis Ende 2026 stehen. Dazu gehört auch eine Übersicht der internen und externen Abhängigkeiten. Das Beispiel der Leitlinie: Kartenlesegerät und Karte müssen beide quantensichere Verfahren beherrschen, sonst ist die Verbindung zwischen ihnen nicht quantensicher.

Ende 2030: Was ein Hochrisiko-Anwendungsfall ist

Die wichtigste Frist ist Ende 2030. Bis dahin sollen Anwendungsfälle mit hohem Quantenrisiko umgestellt sein. Die EU-Roadmap formuliert das deutlich: Für diese Anwendungsfälle sollen angreifbare Public-Key-Verfahren nach Ende 2030 nicht mehr allein eingesetzt werden. Für Anwendungsfälle mit mittlerem Risiko gilt dasselbe nach Ende 2035.

Was „hohes Risiko“ bedeutet, legt jede Organisation selbst fest. Die Roadmap gibt dafür eine Methode und grobe Faustregeln vor. Das Quantenrisiko eines Anwendungsfalls hängt von drei Faktoren ab:

• wie angreifbar die eingesetzte Kryptografie ist,
• welcher Schaden entsteht, wenn sie gebrochen wird,
• wie lange und aufwendig die Umstellung auf Post-Quanten-Kryptografie ist.

Zwei Faustregeln der Roadmap sind besonders praktisch. Erstens: Müssen Daten mindestens zehn Jahre vertraulich bleiben und hätte ein Angriff auch nach zehn Jahren noch erhebliche Folgen, ist das Risiko hoch. Solche Daten können Angreifer schon heute abfangen und speichern, um sie später zu entschlüsseln („Store now, decrypt later“). Zweitens: Dauert die Umstellung mehr als acht Jahre und wären die Folgen eines Angriffs schwer, ist das Risiko ebenfalls hoch. Die Roadmap nennt als Beispiel die Absicherung von Software-Updates.

Daraus folgt eine zweite Anforderung für 2030: Quantensichere Software- und Firmware-Updates sollen standardmäßig aktiviert sein. Produkte, die mit einer erwarteten Lebensdauer über 2030 hinaus auf den Markt kommen, sollen sich auf Post-Quanten-Verfahren aktualisieren lassen. Der Update-Mechanismus selbst soll dafür Post-Quanten-Signaturen verwenden.

Das BSI setzt in der TR-02102-1 denselben Termin für Anwendungen mit sehr hohem Schutzbedarf: Ihre Umstellung auf quantensichere Verfahren sollte bis Ende 2030 erfolgen.

Ende 2031 und 2035: Was die BSI TR-02102-1 empfiehlt

Die TR-02102-1 in der Version 2026-01 vom 23. Januar 2026 ist die zentrale Empfehlung des BSI zu kryptografischen Verfahren und Schlüssellängen. Sie unterscheidet zwischen Schlüsseleinigung und Signaturen. BSI TR-02102-1, PDF

Schlüsseleinigung. Klassische Verfahren wie RSA oder Diffie-Hellman auf elliptischen Kurven empfiehlt das BSI allein nur noch bis Ende 2031. Danach sollen sie nur noch zusammen mit einem quantensicheren KEM-Verfahren eingesetzt werden. Der Grund ist „Store now, decrypt later“: Abgefangene Daten sind gefährdet, sobald ein ausreichend leistungsfähiger Quantencomputer existiert, auch wenn der Abfang Jahre zurückliegt.

Signaturen. Hier ist die Lage anders. Eine klassische Signatur bleibt vertrauenswürdig, solange es keinen kryptografisch relevanten Quantencomputer gibt. Das BSI folgt deshalb der EU-Roadmap und empfiehlt klassische Signaturverfahren nach aktuellem Stand voraussichtlich bis Ende 2035. Gleichzeitig weist die Richtlinie darauf hin, dass gerade bei Signaturen innerhalb einer PKI mit langen Migrationszeiten zu rechnen ist.

Hybrid statt Austausch. Das BSI empfiehlt, Post-Quanten-Verfahren hybrid einzusetzen, also in Kombination mit einem klassischen Verfahren. Fällt eines der beiden Verfahren, schützt das andere weiter. Die nationale Leitlinie übernimmt diese Empfehlung.

2035: NIST IR 8547 und der internationale Rahmen

In den USA hat NIST im November 2024 mit dem Entwurf NIST IR 8547 einen Zeitplan für das Auslaufen klassischer Public-Key-Verfahren vorgeschlagen. NIST IR 8547 Verfahren mit 112 Bit Sicherheitsniveau, darunter RSA-2048, sollen nach 2030 als „deprecated“ gelten. Nach 2035 sollen RSA, ECDSA, EdDSA sowie klassischer Diffie-Hellman auf allen Sicherheitsniveaus „disallowed“ sein.

Zwei Einschränkungen sind wichtig. Das Dokument ist bis heute ein Entwurf (Initial Public Draft). Und „deprecated“ heißt bei NIST nicht verboten: Ein Verfahren darf weiter eingesetzt werden, wenn die Organisation das Risiko bewusst trägt. Endgültig ausgeschlossen ist es erst als „disallowed“.

Die EU-Roadmap hat 2035 bewusst an diesen Zeitplan angelehnt. Sie verweist auf NIST IR 8547, auf das US-Ziel aus dem National Security Memorandum 10, bis 2035 so viel Quantenrisiko wie möglich zu beseitigen, und auf den Zeitplan des britischen NCSC, der ebenfalls 2035 als Ziel nennt. Für international tätige Unternehmen ist das eine gute Nachricht: Die großen Zeitpläne widersprechen sich nicht.

Was davon Pflicht ist und was Empfehlung

Die meisten Zusammenfassungen sprechen von „Deadlines“. Rechtlich sind die Termine aus EU-Roadmap und nationaler Leitlinie aber Empfehlungen. Die Leitlinie sagt das selbst: Die Fristen seien „dringende Empfehlungen aufgrund des akuten Handlungsdrucks“. Damit sie verbindlich werden, sollen der IT-Planungsrat und der UP KRITIS sie bis Ende 2026 möglichst verbindlich beschließen.

Verbindlich ist heute vor allem dreierlei:

• Verschlusssachen. Für zugelassene VS-IT-Sicherheitsprodukte hat das BSI verbindliche Fristen festgelegt, um den Verschlusssachen-Bereich bis 2030 umzustellen.
• NIS2 in Deutschland. Wichtige und besonders wichtige Einrichtungen sind nach § 30 BSI-Gesetz verpflichtet, für Kryptografie den Stand der Technik einzuhalten. Die Leitlinie nennt dafür ausdrücklich die TR-02102 als Maßstab. Wer die Empfehlungen der TR-02102 ohne begründete Risikoentscheidung ignoriert, wird sich im Zweifel schwertun, den Stand der Technik nachzuweisen.
• Branchenregeln. Der delegierte Rechtsakt zum IKT-Risikomanagement unter DORA (Delegierte Verordnung (EU) 2024/1774, Artikel 6) verlangt von Finanzunternehmen, in ihrer Richtlinie zu Verschlüsselung und kryptografischen Kontrollen vorzusehen, dass die kryptografische Technik bei Fortschritten der Kryptoanalyse aktualisiert oder ausgetauscht wird. PCI DSS 4.0.1 verlangt mit Anforderung 12.3.3 seit dem 31. März 2025 eine dokumentierte Übersicht der eingesetzten Cipher Suites und Protokolle, die mindestens jährlich überprüft wird, und eine Strategie für absehbare Schwachstellen. Einen festen Post-Quanten-Termin nennen beide nicht. Ein Quantencomputer ist aber genau die Art von Entwicklung, auf die sie reagieren sollen.

Beide Dokumente, EU-Roadmap und Leitlinie, enthalten außerdem denselben Satz für den Fall, dass ein Termin nicht zu halten ist: Dann muss das individuelle Risiko bewertet werden. Das ist kein Ausweg, sondern eine Pflicht zur Dokumentation. Wer 2030 verfehlt, sollte begründen können, warum und mit welchen Ersatzmaßnahmen.

Was die Zeitleiste für die Planung bedeutet

Die EU-Roadmap begründet ihre Termine auch mit der Dauer der Umstellung. Es könne leicht fünf bis zehn Jahre dauern, alle relevanten Systeme vollständig umzustellen. Die Leitlinie verweist auf frühere kryptografische Umstellungen, die ebenfalls Jahre gedauert haben.

Wie gut Unternehmen vorbereitet sind, zeigt eine Marktumfrage, die KPMG im Auftrag des BSI 2023 durchgeführt hat: Fast 90 Prozent der Teilnehmenden schätzten, den Gefährdungen der Kryptografie durch Quantencomputer nicht rechtzeitig begegnen zu können. BSI-Marktumfrage

Die Rechnung ist einfach. Wer Hochrisiko-Anwendungsfälle bis Ende 2030 umgestellt haben soll und fünf Jahre dafür braucht, hätte 2025 beginnen müssen. Für alle anderen gilt: Die Frist Ende 2026 für Inventar, Verantwortung und Plan ist die erste, die man realistisch noch einhalten kann. Und sie kostet vor allem Arbeit, kaum Investitionen.

Gleichzeitig warnen EU-Roadmap und Leitlinie vor dem anderen Extrem. Der Zeitplan soll einen chaotischen Übergang vermeiden, der durch unzureichend getestete Lösungen neue Schwachstellen schafft. Ein schneller Komplettaustausch ist also kein Ziel. Gefragt ist eine priorisierte, getestete und dokumentierte Umstellung.

Was wir bei Secani daraus mitnehmen

Die Leitlinie verlangt, das Quantenrisiko in das reguläre Risikomanagement zu integrieren und die Fristen zur Behandlung dort zu verankern. Für ein ISMS heißt das: Das Quantenrisiko wird kein Sonderprojekt neben dem Register, sondern ein Risiko wie andere, verknüpft mit den betroffenen Assets, Anwendungen und Lieferanten, mit einer verantwortlichen Person und einem Termin. So bleibt nachvollziehbar, welche Anwendungsfälle als hoch eingestuft wurden, warum, und wann sie umgestellt sein sollen.

Wie Sie Risiken so führen, dass daraus Entscheidungen werden, beschreiben wir in Ein Risikoregister aufbauen, das Entscheidungen verändert. Wie Verschlüsselung und Schlüsselverwaltung insgesamt zu prüfen sind, lesen Sie in Verschlüsselung und Schlüsselverwaltung: die Schutzkette prüfen. Was die Forschung über den Zeitpunkt sagt, an dem ein Quantencomputer RSA brechen könnte, fassen wir in Wann kommt Q-Day? Was die Forschung 2025 und 2026 zeigt zusammen.

Fazit

Die Termine für die Post-Quanten-Migration stehen fest, und die großen Zeitpläne aus EU, Deutschland, USA und Großbritannien passen zusammen: Ende 2026 Inventar und Plan, Ende 2030 die Anwendungsfälle mit hohem Risiko, 2035 der Rest. Verbindlich sind sie bisher vor allem für Verschlusssachen. Für NIS2-Einrichtungen in Deutschland werden sie über den Stand der Technik nach § 30 BSIG faktisch zum Maßstab. Wer heute beginnt, sollte deshalb nicht mit der Technik starten, sondern mit einer verantwortlichen Stelle, einem Inventar und einer begründeten Einstufung der eigenen Anwendungsfälle.

Quellen

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream der NIS Cooperation Group, Part 1, Version 1.1, 11.06.2025, veröffentlicht 23.06.2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (Gemeinsame Leitlinie von BMDS, BMI und BSI, veröffentlicht 12.10.2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, Pressemitteilung, 12.10.2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (Version 2026-01, 23.01.2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG im Auftrag des BSI, April 2023)