Wann kommt Q-Day? Was die Forschung 2025 und 2026 zeigt

Was mit Q-Day gemeint ist

„Q-Day“ bezeichnet den Tag, an dem ein Quantencomputer die heute verbreitete Public-Key-Kryptografie brechen kann. Gemeint sind vor allem RSA und Verfahren auf elliptischen Kurven, auf denen TLS, VPNs, Code-Signaturen, PKIs und digitale Identitäten beruhen. Fachleute sprechen von einem kryptografisch relevanten Quantencomputer, kurz CRQC.

Dass ein solcher Rechner diese Verfahren brechen könnte, ist seit 1994 bekannt, als Peter Shor die entsprechenden Quantenalgorithmen veröffentlichte. Offen ist, wann eine Maschine gebaut werden kann, die groß und fehlerarm genug ist. Zu dieser Frage hat sich die Forschung 2025 und 2026 deutlich bewegt. Dieser Beitrag fasst die wichtigsten Arbeiten zusammen und ordnet ein, was sie belegen und was nicht.

Ein Begriff vorab: Heutige Quantencomputer arbeiten mit physischen Qubits, die fehleranfällig sind. Durch Quantenfehlerkorrektur werden viele physische Qubits zu einem stabileren logischen Qubit zusammengefasst. Ressourcenschätzungen nennen deshalb meist beide Zahlen. Für die Frage, wie weit die Hardware noch entfernt ist, zählt die Zahl der physischen Qubits.

Was Fachleute erwarten: der Quantum Threat Timeline Report

Die bekannteste Langzeitumfrage ist der Quantum Threat Timeline Report des Global Risk Institute. Michele Mosca und Marco Piani von evolutionQ befragen dafür jedes Jahr Fachleute aus Forschung und Industrie. Die siebte Ausgabe, datiert auf den 9. März 2026, beruht auf den Antworten von 26 Fachleuten. Global Risk Institute

Das Ergebnis: Einen kryptografisch relevanten Quantencomputer halten die Befragten innerhalb der nächsten zehn Jahre für „durchaus möglich“, mit einer Wahrscheinlichkeit von 28 bis 49 Prozent. Innerhalb von 15 Jahren halten sie ihn für „wahrscheinlich“, mit 51 bis 70 Prozent. Die Reportreihe definiert einen solchen Rechner als Maschine, die RSA-2048 innerhalb von 24 Stunden brechen kann.

Eine Umfrage unter 26 Personen ist keine Messung. Ihr Wert liegt in der Zeitreihe: Dieselbe Frage wird seit Jahren gestellt, und die Einschätzungen sind über die Ausgaben hinweg nach vorn gerückt.

Was das BSI erwartet

Das BSI lässt den Entwicklungsstand von Quantencomputern seit 2017 in einer eigenen Studie bewerten, zuletzt 2025 aktualisiert. Die nationale Leitlinie zur Post-Quanten-Migration fasst das Ergebnis so zusammen: Es sei wahrscheinlich, dass ein solcher Quantencomputer in maximal 15 Jahren realisierbar sein wird, also bis 2040 oder früher. Die Grundannahmen der Quantenfehlerkorrektur seien 2024 vollständig verifiziert worden, weitere Fortschritte könnten den Zeitraum deutlich verkürzen. Leitlinie, PDF

Für den Hochsicherheitsbereich ist die Bundesregierung vorsichtiger. Dort arbeitet sie unter der Hypothese, dass kryptografisch relevante Quantencomputer zu Beginn der 2030er Jahre zur Verfügung stehen. Die Leitlinie zitiert dazu eine Bundestagsdrucksache vom Februar 2025.

Die Einschätzungen von BSI und Fachleuten liegen damit nah beieinander: kein Durchbruch morgen, aber eine realistische Möglichkeit innerhalb der Lebensdauer heute geplanter Systeme.

Die Hardware-Schätzungen sinken

Bewegt haben sich vor allem die Schätzungen, wie groß ein Quantencomputer für einen Angriff sein müsste. Drei Arbeiten aus 2025 und 2026 stehen dabei im Mittelpunkt.

RSA-2048 mit unter einer Million Qubits. Im Mai 2025 hat Craig Gidney von Google Quantum AI geschätzt, dass ein Quantencomputer mit weniger als einer Million verrauschter Qubits eine 2048-Bit-RSA-Zahl in weniger als einer Woche faktorisieren könnte. arXiv:2505.15917 2019 lag seine Schätzung zusammen mit Martin Ekerå noch bei 20 Millionen Qubits. arXiv:1905.09749 Die Hardware-Annahmen sind dabei gleich geblieben: ein quadratisches Gitter mit Verbindungen nur zu Nachbarn, eine Fehlerrate von 0,1 Prozent pro Gatter und ein Fehlerkorrektur-Zyklus von einer Mikrosekunde. Die Einsparung stammt aus besseren Algorithmen und effizienterer Fehlerkorrektur, nicht aus besserer Hardware. Der Preis ist eine längere Laufzeit.

RSA-2048 mit rund 100.000 Qubits. Im Februar 2026 hat das australische Unternehmen Iceberg Quantum die „Pinnacle“-Architektur vorgestellt. Sie ersetzt die bisher übliche Fehlerkorrektur durch sogenannte qLDPC-Codes. Unter denselben Annahmen zu Fehlerrate und Taktung schätzt Iceberg rund 98.000 physische Qubits bei etwa einem Monat Laufzeit, oder rund 471.000 Qubits für etwa einen Tag. arXiv:2602.11457 Die Architektur ist bisher nur in Simulationen geprüft. Sie verlangt Verbindungen zwischen weit entfernten Qubits und eine sehr schnelle Fehlerdekodierung, beides ist in dieser Größenordnung noch nicht gezeigt.

Elliptische Kurven in Minuten. Ende März 2026 hat Google Quantum AI zusammen mit Forschenden der Ethereum Foundation und der Stanford University Ressourcenschätzungen für 256-Bit-Kurven veröffentlicht, die unter anderem Bitcoin und Ethereum absichern. Zwei optimierte Schaltungen kommen mit unter 1.200 logischen Qubits und unter 90 Millionen Toffoli-Gattern oder unter 1.450 logischen Qubits und unter 70 Millionen Toffoli-Gattern aus. Auf supraleitender Hardware mit einer Fehlerrate von 0,1 Prozent entspricht das weniger als 500.000 physischen Qubits und einer Laufzeit von wenigen Minuten. Google beziffert das als etwa 20-fache Reduktion gegenüber der bisher besten Schätzung. Google Research, arXiv:2603.28846

Bemerkenswert ist auch, wie Google veröffentlicht hat. Die Schaltungen selbst wurden nicht publiziert, um Angreifern keine Anleitung zu liefern. Stattdessen belegt ein Zero-Knowledge-Beweis, dass die Schätzungen stimmen. Für Unternehmen ist das ein Signal: Die Forschung behandelt das Thema inzwischen selbst als sicherheitsrelevant.

Was die Zahlen nicht sagen

So eindrücklich die Kurve ist, die Arbeiten haben klare Grenzen.

• Es gibt die Maschine nicht. Googles Willow-Chip hatte bei seiner Vorstellung im Dezember 2024 105 Qubits und zeigte Fehlerkorrektur unterhalb der kritischen Schwelle. Google Von hunderttausenden Qubits, die über Tage oder Wochen fehlerkorrigiert rechnen, ist die Hardware weit entfernt.
• Die Annahmen sind optimistisch, aber nicht exotisch. Alle genannten Schätzungen setzen eine Fehlerrate von 0,1 Prozent und Taktzeiten im Mikrosekundenbereich voraus. Einzelne Plattformen erreichen solche Werte heute, aber nicht in dieser Größe und nicht dauerhaft.
• Die meisten Arbeiten sind Preprints. Sie sind noch nicht begutachtet. Bei Iceberg kommt hinzu, dass die Ergebnisse nur aus Simulationen stammen.
• Der Fortschritt kommt aus Algorithmen. Das ist zugleich die beunruhigende Seite. Jede Reduktion der letzten Jahre kam aus besserer Mathematik und besserer Fehlerkorrektur. Solche Fortschritte lassen sich schwer vorhersagen und können plötzlich kommen.

Wer daraus ein genaues Datum ableitet, liest mehr hinein, als die Arbeiten hergeben. Die belastbare Aussage ist eine andere: Die Hürde ist in sieben Jahren um mehr als eine Größenordnung gesunken, ohne dass sich die Hardware-Annahmen geändert haben.

Warum die Unsicherheit kein Grund zum Warten ist

Für die Planung hilft eine einfache Überlegung, die auf Michele Mosca zurückgeht. Drei Zeiträume sind zu vergleichen:

• wie lange Daten vertraulich bleiben müssen,
• wie lange die Umstellung auf Post-Quanten-Kryptografie dauert,
• wie lange es bis zu einem kryptografisch relevanten Quantencomputer dauert.

Ist die Summe der ersten beiden größer als der dritte Zeitraum, kommt die Umstellung zu spät. Daten, die heute abgefangen und gespeichert werden, lassen sich dann später entschlüsseln („Store now, decrypt later“).

Die EU-Roadmap zur Post-Quanten-Migration baut genau darauf auf. Sie stuft Anwendungsfälle als hohes Risiko ein, wenn Daten mindestens zehn Jahre vertraulich bleiben müssen, und schätzt die Dauer einer vollständigen Umstellung auf fünf bis zehn Jahre. EU-Roadmap, PDF Selbst wer den Q-Day erst 2040 erwartet, kommt mit zehn Jahren Vertraulichkeit und fünf Jahren Umstellung auf einen Start spätestens 2025.

Bei Signaturen ist der Druck kleiner, denn eine Signatur muss nur so lange halten, bis es den Quantencomputer gibt. Dafür sind die Umstellungszeiten dort am längsten: PKIs, Firmware-Updates und Geräte mit langer Lebensdauer lassen sich nicht in einem Jahr umbauen. Deshalb verlangt die EU-Roadmap, Software- und Firmware-Updates bis 2030 standardmäßig quantensicher zu signieren.

Fazit

Die Forschung liefert kein Datum für Q-Day, aber eine klare Richtung. Fachleute halten einen kryptografisch relevanten Quantencomputer innerhalb von zehn Jahren für durchaus möglich, das BSI hält ihn bis 2040 für wahrscheinlich, und die geschätzten Hardware-Anforderungen sind 2025 und 2026 stark gesunken. Für Unternehmen ist die genaue Jahreszahl ohnehin nicht die entscheidende Frage. Entscheidend ist, ob die eigenen Daten länger vertraulich bleiben müssen, als die Umstellung Zeit lässt. Welche Termine Behörden daraus ableiten und was davon verbindlich ist, lesen Sie in Post-Quanten-Kryptografie: Die Fristen 2026, 2030 und 2035 und was davon verbindlich ist.

Quellen

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 09.03.2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (Gemeinsame Leitlinie von BMDS, BMI und BSI, 12.10.2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21.05.2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, erschienen in Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, Februar 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney u. a., arXiv, 30.03.2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31.03.2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 09.12.2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream der NIS Cooperation Group, Juni 2025)