Eine CVE-Nummer gibt es nicht, einen CVSS-Score ebenfalls nicht – und trotzdem hat der Hinweis Gewicht. Das BSI rät davon ab, Classic McEliece derzeit in neuen Projekten einzusetzen. Der am 1. Oktober 2026 veröffentlichte Hinweis des Bundesamts für Sicherheit in der Informationstechnik nennt als Grund deutliche Fortschritte in der Kryptoanalyse: Strukturelle Angriffe gegen das Verfahren hätten sich zuletzt wesentlich verbessert, das tatsächliche Sicherheitsniveau liege damit unter dem bislang angenommenen Wert.
Für Betreiber und Entwickler ist die zweite Hälfte der Aussage mindestens ebenso wichtig: Gegen die in der Technischen Richtlinie TR-02102-1 empfohlenen Parametersätze ist derzeit kein praktischer Angriff bekannt. Es handelt sich also um eine vorsorgliche Neubewertung, nicht um ein Notfall-Update. Hinweise auf eine laufende Ausnutzung liegen nicht vor.
Was das BSI bei Classic McEliece konkret empfiehlt
Die Empfehlung ist knapp formuliert und zielt ausdrücklich auf neue Vorhaben. Nach Angaben von it-daily.net rät das BSI, Classic McEliece „weder für Neuentwicklungen noch bei der Planung neuer kryptografischer Anwendungen“ zu verwenden. Adressiert sind damit Entwicklerteams, Hersteller, Betreiber kritischer Infrastruktur und alle, die sich bei der Verfahrensauswahl an der Technischen Richtlinie des BSI orientieren.
Bereits ausgerollte Implementierungen benennt die Formulierung nicht ausdrücklich. Diese Unterscheidung ist praktisch relevant: Der Hinweis zielt auf die Auswahlentscheidung, nicht auf einen Austausch im Bestand. Wer das Verfahren im laufenden Betrieb einsetzt, sollte den eigenen Handlungsdruck also anders bewerten als ein Team, das gerade eine Spezifikation schreibt.
Fortschritte bei strukturellen Angriffen – und die Grenzen der Aussage
Konkret nennt das BSI eine wesentliche Verbesserung struktureller Angriffe gegen das McEliece-Kryptosystem in den letzten Monaten. Weiterentwicklungen und Verbesserungen der bereits veröffentlichten Resultate hält die Behörde für denkbar und zu erwarten – sie geht also von einer Momentaufnahme mit weiterer Verschärfung aus, nicht von einem abgeschlossenen Ergebnis.
Welche konkreten Forschungsergebnisse die Neubewertung ausgelöst haben, geht aus dem Hinweis nicht hervor. Eine internationale Einordnung trägt bei PostQuantum.com den Begriff „key-recovery“ im URL-Slug, was auf ein Kryptoanalyse-Thema hindeutet. Der Volltext lag hier nicht vor, der Schluss bleibt damit unbelegt – wer die Bewertung nachvollziehen will, sollte die vom BSI verlinkten PDF-Dokumente selbst auswerten. Solche Zurückhaltung ist angebracht, wenn eine Behörde ein Verfahren abwertet, ohne die zugrunde liegenden Papiere im selben Dokument zu benennen.
Technisch ist die Neubewertung bemerkenswert, weil sie ein sehr altes Verfahren trifft. McEliece geht auf das Jahr 1978 zurück und arbeitet mit Goppa-Codes; wie der Überblick zum McEliece-Kryptosystem zeigt, gilt der Ansatz als einer der ältesten quantensicheren Vorschläge, hat wegen seiner großen Schlüssel aber selten den Weg in die Praxis gefunden.
Hybrider Betrieb wird zum zentralen Argument
Wer Classic McEliece heute einsetzt, fährt es in der Regel ohnehin nicht allein. Die TR-02102 empfiehlt von Beginn an den hybriden Einsatz, also die Kombination mit einem klassischen Schlüsseleinigungsverfahren. Diese Kombination bietet nach BSI-Angaben derzeit mindestens die Sicherheitsleistung des klassischen Verfahrens.
Praktisch bedeutet das einen definierten Rückfallpfad: Fällt die Post-Quanten-Komponente in der Bewertung weiter zurück, bleibt die Verbindung auf dem Niveau des klassischen Anteils geschützt. Genau dieses Argument dürfte in den kommenden Monaten die Diskussion bestimmen – nicht die Frage, ob McEliece gebrochen ist, sondern ob der Hybridbetrieb als Ausfallversicherung ausreicht.
Was das für laufende PQC-Projekte und die TR-02102-1 bedeutet
Classic McEliece steht seit 2020 in der BSI TR-02102, die jährlich aktualisiert wird. Die Behörde kündigt an, die Aussagen zu dem Verfahren in der nächsten Version der TR-02102-1 zu überarbeiten; die Veröffentlichung ist für Anfang 2027 geplant. Bis dahin bleibt eine Lücke: Wer heute spezifiziert, arbeitet mit einer Empfehlung, die sich in wenigen Monaten ändern kann.
Für Alternativen sieht das BSI derzeit keinen Anlass zur Neubewertung. Nach Angaben der Behörde sind unter anderem ML-KEM, FrodoKEM und HQC von den Ergebnissen nicht betroffen. Die BSI-Übersichtsseite zur Post-Quanten-Kryptografie ordnet die Verfahren nach codebasierten, gitterbasierten und hashbasierten Ansätzen ein und beschreibt den NIST-Standardisierungsprozess, in dessen vierter Runde Classic McEliece neben BIKE und HQC geführt wird.
Fazit: Neu planen, Bestand prüfen
Für Admins und Entwickler ergibt sich eine klare, aber begrenzte Handlungsanweisung. In neuen Projekten sollte Classic McEliece nicht mehr als Post-Quanten-Komponente eingeplant werden – die Auswahl fällt auf Verfahren, die von der Neubewertung nicht betroffen sind. Wer das Verfahren bereits im hybriden Betrieb fährt, hat weniger Eile: Der Patch ist hier kein Patch, sondern eine Empfehlungslage, die sich Anfang 2027 mit der nächsten TR-02102-1 konkretisiert.
Panik ist nicht angebracht, denn ein praktischer Angriff auf die empfohlenen Parametersätze ist bislang nicht demonstriert. Ebenso falsch wäre es, den Hinweis zu ignorieren. Das BSI rechnet mit weiteren Verbesserungen der Angriffe – und wer heute Architekturentscheidungen für die nächsten zehn Jahre trifft, plant gegen eine Bewertung, die bereits jetzt nach unten korrigiert wurde.