NIST hat mit NIST IR 8547 einen Fahrplan für den Umstieg auf Post-Quanten-Kryptografie veröffentlicht. Für sensible US-Bundessysteme gilt der 31. Dezember 2030, für die gesamte Bundesverwaltung 2035. Die Pflichten gelten nicht für alle Firmen, treffen aber Anbieter und Partner von Behörden. Als erster Schritt rät NIST zu einer Bestandsaufnahme der eingesetzten Kryptografie.
Inhalt 8 Abschnitte
Bis zum 31. Dezember 2030 müssen sensible US-Bundessysteme auf quantensichere Schlüsselverfahren umsteigen. Das US-Normeninstitut NIST hat dafür einen Fahrplan veröffentlicht. Er zeigt, was Betreiber jetzt klären sollten, auch in der Schweiz.
Das Wichtigste in Kürze
- NIST hat mit NIST IR 8547 einen Fahrplan zur Post-Quanten-Kryptografie veröffentlicht. Er nennt, welche Verfahren ersetzt werden müssen und worauf Organisationen achten sollten.
- Für sensible Bundessysteme der USA gilt der 31. Dezember 2030. Bis dann müssen sie quantenresistente Verfahren für die Schlüsselvereinbarung nutzen.
- Das Gesamtziel für die US-Bundesverwaltung liegt bei 2035. Frühere Umstellungen bei Verschlüsselung dauerten laut NIST 10 bis 20 Jahre.
- Die Pflichten gelten nicht für alle Firmen. Der Fahrplan betrifft aber Technikanbieter und Partner von Behörden.
Was NIST veröffentlicht hat
Die Hilfe Net Security berichtete am 28. Oktober 2026 über den Fahrplan. Der Bericht heisst Transition to Post-Quantum Cryptography Standards (NIST IR 8547). Zu einem früheren Veröffentlichungs- oder Änderungsdatum des Dokuments nennt die Quelle nichts.
Das Papier baut auf den Normen auf, die NIST im August 2024 veröffentlicht hat. Sie bieten neue Wege, Informationen vor Angriffen künftiger Quantenrechner zu schützen. Der Fahrplan erklärt nun, wie der Umstieg ablaufen soll.
Dustin Moody leitet das Standardisierungsprojekt bei NIST. Er sagt, es gebe nicht eine Strategie für alle Fälle. NIST wolle Betreibern helfen, die Migration zu bewältigen und dabei auf dem Laufenden zu bleiben.
Warum die Verschlüsselung angreifbar ist
Verschlüsselung schützt Daten und prüft, ob Nachrichten, Software und Online-Dienste echt sind. Sie wirkt beim Aufruf von Webseiten, beim Austausch von Geschäftsdaten und bei Software-Updates. Ein ausreichend starker Quantenrechner könnte einige verbreitete Verfahren brechen.
Solche Rechner sind noch in Entwicklung. Abwarten ist trotzdem riskant, weil dann wenig Zeit bliebe. Schon heute ausgetauschte Daten können gefährdet sein. Angreifer können Verschlüsseltes sammeln und später lesen, sobald die Technik reicht. Dieses Vorgehen heisst „Harvest now, decrypt later“.
Deshalb ist Vorbereitung bei langlebigen Geheimnissen wichtig. Die Quelle nennt Patientenakten und Staatsgeheimnisse als Beispiele.
Die Fristen im Überblick
| Kennzahl | Wert | Was das bedeutet |
|---|---|---|
Normen von NIST |
August 2024 |
Basis für den neuen Fahrplan |
Frühere Umstiege |
10 bis 20 Jahre |
Lange Vorlaufzeit einplanen |
Sensible Bundessysteme (USA) |
31. Dezember 2030 |
Quantenresistente Schlüsselvereinbarung Pflicht |
Gesamte US-Bundesverwaltung |
2035 |
Ziel laut National Security Memorandum 10 |
Die frühe Frist stammt aus Executive Order 14412 und dem OMB-Memorandum M-26-15. Sie gilt für Anlagen mit hohem Wert, hoher Wirkung und weitere priorisierte sensible Bereiche. Die Schlüsselvereinbarung sorgt dafür, dass zwei Stellen gemeinsam ein geheimes Schlüsselmaterial erzeugen.
Warum der Umstieg mehr als ein Update ist
Der Wechsel lässt sich nicht mit einer Einstellung oder einem einzelnen Patch erledigen. Organisationen nutzen Softwarebibliotheken, Sicherheitshardware, digitale Zertifikate und Kommunikationsprotokolle. Alle müssen die neuen Verfahren unterstützen.
Dabei liegt vieles bei den Herstellern. Wann ein Betrieb umstellen kann, richtet sich danach, wann Anbieter ihre Produkte anpassen. Zudem müssen die neuen Versionen mit anderen Komponenten zusammenspielen.
NIST rät zu diesen Schritten:
- Erfassen, wo überall Kryptografie im Einsatz ist.
- Änderungen planen.
- Produkte und Dienste mit Unterstützung für Post-Quanten-Verfahren einführen.
- Betriebe mit langlebigen Geheimnissen zuerst angehen.
- Anwendungen mit geringerem Risiko später umstellen.
Einordnung: Was das für Firmen in der Schweiz heisst
Die genannten Fristen gelten für US-Bundessysteme, nicht für Schweizer Firmen. Die Quelle sagt auch, dass die Vorgaben nicht für alle Unternehmen gelten. Relevant sind sie vor allem für Anbieter und Organisationen, die mit US-Behörden arbeiten. Sie können Vorgaben über Verträge und Lieferketten erreichen.
Für alle anderen gilt als Orientierung: Wer Informationen mit langer Geheimhaltungsdauer hält, sollte früh planen. Eine Bestandsaufnahme der eingesetzten Kryptografie kostet zunächst nur Zeit und kein Material. Konkrete Frankenbeträge für den Umstieg nennt die Quelle nicht. Auch eine Schweizer Frist ist darin nicht festgelegt.
Fazit
Mit NIST IR 8547 liegt ein klarer Zeitplan vor, der den Umstieg greifbar macht. Der nächste Schritt ist eine Inventur: Wo steckt Kryptografie in Software, Hardware, Zertifikaten und Protokollen? Danach lohnt es sich, bei Herstellern nach Plänen für Post-Quanten-Verfahren zu fragen. Betriebe mit langlebigen Geheimnissen kommen zuerst an die Reihe. Wer mehr wissen will, liest den Bericht von NIST und den Beitrag von Help Net Security.
Quellen: Help Net Security. Foto: Hans / Pixabay. Stand: 28. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.