Klassische Verschlüsselung schützt Daten nur so lange, wie kein Quantencomputer sie brechen kann, doch dieses Zeitfenster schließt sich. Post-Quanten-Kryptografie (PQC) soll das verhindern, verbreitet sich aber höchst ungleich: Während IT-Systeme oft schon mit einem simplen Software-Update quantensicher werden, hinken Betriebstechnik (OT) und Medizingeräte weit hinterher.
Wachstum vor allem durch einen Versionssprung
Die Migration zu quantensicherer Verschlüsselung kommt voran, allerdings ungleich. In den vergangenen zwölf Monaten ist die Zahl der SSH-Server im Internet, die Post-Quanten-Kryptografie beherrschen, von 11,5 auf über 19 Millionen gewachsen, ein Plus von 72 Prozent. Gemessen an der Gesamtmenge bleibt der Anteil quantensicherer Systeme dennoch gering: Von den mehr als 160 Millionen SSH-Hosts, die Forescout Research – Vedere Labs erfasst hat, unterstützen nur 11,88 Prozent ein quantenresistentes Schlüsselaustauschverfahren. Knapp 90 Prozent tun es nicht.
Hinter dem Zuwachs steht vor allem ein Versionssprung: Auf über 80 Prozent der erfassten SSH-Server läuft OpenSSH, und seit den Versionen 9.x und 10.x bringt die Software mit SNTRUP und später ML-KEM quantensichere Verfahren als Standard mit. Inzwischen unterstützen rund 40 Prozent der OpenSSH-Server PQC ab Werk. Wo Systeme sich einfach aktualisieren lassen, geschieht die Umstellung also fast nebenbei. Genau hier liegt das Problem für alles, was sich nicht so leicht aktualisieren lässt.
Spezialgeräte hängen messbar zurück
Innerhalb der Unternehmensnetze geht die Schere noch weiter auf. Während rund die Hälfte der IT-Geräte bereits PQC-fähige OpenSSH-Versionen nutzt, sinkt der Wert bei vernetzten IoT-Geräten auf 28 Prozent. In der Betriebstechnik sind es 16 Prozent, bei medizinischen Geräten nur sechs Prozent. Bei eingebetteten Systemen ist der Rückstand noch deutlicher: Vom verbreiteten SSH-Server Dropbear, der in vielen Embedded-Geräten steckt, beherrschen erst drei Prozent der Installationen PQC.
Die Ursachen sind bekannt und lassen sich nicht über Nacht ausräumen. TLS steckt anders als SSH meist tief in Bibliotheken und Anwendungen, dazu kommen langlebige Hardware und strenge Zertifizierungsauflagen, die jede Änderung verlangsamen. Die MITRE Corporation hat im April auf die besonderen Hürden bei Medizingeräten hingewiesen, die US-Behörde CISA zuvor auf vergleichbare Probleme in der Betriebstechnik. Beide Gerätewelten bleiben lange im Feld und lassen sich schlecht patchen.
Das Risiko sitzt dort, wo am wenigsten passiert
Aussagekräftig wird die Adoptionsrate erst im Zusammenspiel mit dem tatsächlichen Risiko. Legt man die Verschlüsselung über eine Bewertung, die unter anderem Schwachstellen und die Kritikalität eines Assets berücksichtigt, entsteht ein unbequemes Bild: Zwei Drittel der OT-Geräte und fast die Hälfte der IoT-Geräte in den untersuchten Netzen sind zugleich hochkritisch und auf TLS-Ebene nicht quantensicher, häufig genau die Anlagen, an denen Produktion und Versorgung hängen.
Im offenen Internet bewegt sich bei TLS immerhin etwas: TLS 1.3, die einzige Version, die PQC überhaupt tragen kann, läuft mittlerweile auf 30 Prozent der erfassten Server, nach 19 Prozent ein Jahr zuvor. In Unternehmensnetzen fällt der Stand niedriger aus, IT-Systeme sind mit rund acht Prozent am ehesten quantensicher unterwegs, OT-Geräte dagegen liegen bei gerade einmal 0,8 Prozent.
Die regulatorische Uhr läuft bereits
Wer auf den großen Quantencomputer wartet, verkennt die Logik der Bedrohung. Besonders bei Daten, die zu einem späteren Zeitpunkt noch von Wert sind, wiegt sie schwer, denn verschlüsselte Daten lassen sich heute abgreifen und speichern, um sie später zu entschlüsseln, sobald die Rechenleistung verfügbar ist. Dieses "Harvest now, decrypt later" trifft besonders unverwaltete, aus dem Internet erreichbare Anlagen. Wann ein kryptografisch relevanter Quantencomputer einsatzfähig sein wird, bleibt umstritten, für den Handlungsbedarf ist die Frage aber zweitrangig.
Der Zeitplan steht ohnehin. Das BSI hat in der im Februar 2026 aktualisierten Technischen Richtlinie TR-02102 erstmals ein Ablaufdatum für klassische asymmetrische Verfahren festgelegt: Bis Ende 2031 sollen sie nicht mehr allein zum Einsatz kommen, für besonders schützenswerte Anwendungen bereits bis Ende 2030, danach nur noch hybrid in Kombination mit Post-Quanten-Verfahren. BSI-Präsidentin Claudia Plattner nennt die Umstellung "alternativlos". Die Algorithmen stehen bereit, seit das NIST 2024 mit ML-KEM für den Schlüsselaustausch und zwei Signaturstandards die ersten Verfahren veröffentlicht hat, hapern tut es an ihrem Einzug in die Geräte selbst.
Ohne Krypto-Inventar kein Migrationsplan
Der erste Schritt ist unspektakulär und trotzdem der wichtigste: Organisationen brauchen ein fortlaufend gepflegtes Verzeichnis ihrer Assets, das festhält, welche Systeme quantensichere Verfahren beherrschen und welche nicht. Dieses Inventar gewinnt erst dann Aussagekraft, wenn es mit Kontext wie der Kritikalität eines Geräts und seiner Exponiertheit verknüpft wird. So lässt sich die Migration nach Risiko priorisieren, statt dem Weg des geringsten Widerstands zu folgen. Das BSI rät parallel zu Kryptoagilität und zum hybriden Einsatz klassischer und quantensicherer Verfahren während der Übergangszeit.
Für Geräte, die sich kurzfristig nicht aktualisieren lassen, hilft ein vorgelagerter Schutz: Secure Remote Access kapselt unverwaltete Anlagen hinter einem Gateway, sodass ihre verwundbare Kommunikation nicht mehr direkt am Internet hängt. Das senkt die Angriffsfläche, solange die eigentliche Migration noch läuft. Bei gleichbleibendem Tempo wird keine der untersuchten Geräteklassen bis 2029 vollständig migriert sein, am längsten bleiben OT- und Medizingeräte-Systeme exponiert. Weil die Umstellung in gewachsenen Umgebungen Jahre braucht, fällt die Entscheidung über die Einhaltung der BSI-Fristen 2030 und 2031 schon heute.