BMI, BMDS und das BSI haben am 12. Oktober 2026 eine gemeinsame nationale Leitlinie vorgelegt, die die EU-Roadmap für Post-Quanten-Kryptografie in die deutsche Verwaltungspraxis überträgt. Eine CVE gibt es nicht, einen CVSS-Score ebenso wenig: Das Dokument ist kein Schwachstellen-Report, sondern ein Umsetzungsfahrplan. Die Fristen darin sind trotzdem hart. Anwendungsfälle mit hohem Risiko sollen spätestens Ende 2030 quantensicher sein, die weitgehende Gesamtmigration bis 2035 abgeschlossen. Adressiert sind vor allem Bundes-, Landes- und Kommunalverwaltungen sowie Organisationen und Unternehmen – ausdrücklich einschließlich der Betreiber kritischer Infrastrukturen. Ein Exploit ist nicht im Umlauf; der Handlungsdruck entsteht nicht durch einen laufenden Angriff, sondern durch die Lebensdauer der Daten.
Hintergrund ist die Annahme, dass künftige Quantencomputer die heute eingesetzte Public-Key-Kryptografie brechen können. Brisant macht das nicht allein die Rechenleistung, sondern das Angriffsmuster „Harvest now, decrypt later": Bereits heute mitgeschnittener und gespeicherter Datenverkehr lässt sich nachträglich entschlüsseln, sobald die passende Maschine existiert. Die Migrationsfrist ist damit nur vordergründig eine Zukunftsfrage.
Post-Quanten-Kryptografie: Fristen, Zielgruppe und Maßnahmen
Die Leitlinie knüpft an die EU-Roadmap an, die drei Meilensteine kennt: erste Schritte und Pilotprojekte bis 2026, die vollständige Migration von Hochrisikosystemen bis 2030 sowie die Migration von Systemen mit mittlerem und niedrigem Risiko bis 2035. Was „hohes Risiko" konkret bedeutet, definiert die EU-Roadmap über die Schutzfrist: Systeme, die Daten schützen, die mindestens zehn Jahre lang vertraulich bleiben müssen, oder deren Kompromittierung erhebliche Auswirkungen hätte.
Das Leitliniendokument selbst liegt auf der BSI-Website als PDF bereit. Die BMI-Roadmap bestätigt im auswertbaren Auszug „spätestens Ende 2030" und „Bis 2035". Inhaltlich empfiehlt das Papier klare Verantwortlichkeiten und verbindliche Fristen, Post-Quanten-Kryptografie nach Stand der Technik, eine systematische Bewertung des Quantenrisikos mit Verankerung im Risikomanagement sowie die frühzeitige Einbindung von Herstellern und Lieferketten. Ob die Leitlinie über Empfehlungen hinaus rechtlich bindend ist, lässt sich aus dem vorliegenden Material nicht klären – dazu bleibt nur der Blick in die BSI-Pressemitteilung.
Für Admins bedeutet das eine ungewohnte Situation: Es gibt nichts zu patchen. Kein Update schließt diese Lücke, weil keine existiert. Die Arbeit beginnt stattdessen mit einem Inventar.
Kryptoagilität: Der eigentliche Kern der Leitlinie
Zentrales Prinzip ist die „Kryptoagilität": Systemarchitekturen, Beschaffungsprozesse und Risikomanagement sollen so gestaltet sein, dass sich kryptografische Verfahren und Parameter schnell und kontrolliert austauschen lassen. Das BSI begründet die wachsende Bedeutung dieses Prinzips auch mit KI-beschleunigten Angriffsmethoden gegen kryptografische Verfahren. Die Kernpunkte – von den Verantwortlichkeiten bis zur Lieferkettenfrage – bündelt auch eine fachliche Übersicht.
Praktisch ist Kryptoagilität ein Eingeständnis: Der endgültige Verfahrensmix steht noch nicht fest. Die Standardisierung ist zwar vorangeschritten – laut einer Sekundärquelle hat das NIST am 13. August 2024 die Standards FIPS 203 (Schlüsselaustausch auf Kyber-Basis), FIPS 204 und FIPS 205 für Signaturen finalisiert –, doch die Bewertung einzelner Verfahren ist damit nicht abgeschlossen. Wer heute Algorithmen und Parameter fest verdrahtet, wiederholt den Fehler der vergangenen Jahrzehnte und darf die nächste Migration selbst bezahlen.
Harvest now, decrypt later: Warum die 2030-Frist rückwärts läuft
Die Definition von „hohem Risiko" über die Schutzfrist ist der technisch schärfste Punkt des Papiers. Wer Daten zehn Jahre oder länger vertraulich halten muss, kann nicht bis 2029 warten: Angreifer, die heute mitschneiden, entschlüsseln nachträglich. Die relevante Frist für alle langlaufenden Geheimnisse ist damit bereits angebrochen.
Hinzu kommen die Vorlaufzeiten. Kryptografie steckt in TLS-Endpunkten, VPN-Konzentratoren, Signaturen, HSMs, Zertifikatsketten und eingebetteten Systemen – überall dort, wo Beschaffungszyklen Jahre dauern und Lieferanten Roadmaps vorgeben. Eine Migration, die 2030 abgeschlossen sein soll, muss die Ausschreibungen deutlich früher enthalten. Das ist der eigentliche Grund, warum die Behörden überhaupt eine Leitlinie veröffentlichen und nicht bloß eine Zielmarke nennen.
Classic McEliece: BSI rät für Neuentwicklungen ab
Der praktisch relevanteste Einzelhinweis steht am Rand: Das BSI rät in einem Hinweis vom 1. Oktober wegen Fortschritten in der Kryptoanalyse davon ab, das Post-Quanten-Verfahren Classic McEliece für Neuentwicklungen einzusetzen. Wer derzeit Verfahren auswählt, sollte McEliece also nicht neu einplanen – unabhängig davon, wie gut es theoretisch abschneidet.
Dazu passt ein ungeklärter Widerspruch im öffentlichen Bild. Eine Analyse zur Betroffenheit der Energieinfrastruktur führt an, das BSI empfehle über die NIST-Verfahren hinaus zusätzlich FrodoKEM und Classic McEliece. Dieselbe Analyse nennt abweichende Enddaten aus der Technischen Richtlinie TR-02102 (Ende 2030 bei sehr hohem Schutzbedarf, Ende 2031 generell, Ende 2035 für Signaturen) und einen TR-Update-Termin im Februar 2026. Diese Angaben sind nicht durch weitere Quellen gedeckt und stehen in Spannung zur BSI-Linie. Wer planen muss, orientiert sich an der Primärquelle, nicht an Sekundärzusammenfassungen.
Was Admins jetzt priorisieren sollten
Vier Schritte ergeben sich direkt aus der Leitlinie. Erstens ein Krypto-Inventar über TLS, VPN, Signaturen, HSMs und eingebettete Systeme, inklusive eingesetzter Verfahren und Parametergrößen. Zweitens die Klassifikation nach Vertraulichkeitsdauer – alles ab zehn Jahren Schutzbedarf fällt in die Hochrisikoklasse und damit unter die 2030-Frist. Drittens Kryptoagilität als hartes Beschaffungskriterium in Ausschreibungen und Verträgen, samt Ausstiegsszenarien. Viertens die frühzeitige Einbindung von Herstellern und Lieferketten, bevor deren Roadmaps die eigenen Termine diktieren.
Ein Exploit ist nicht im Umlauf, es gibt keinen Patch und keinen akuten Vorfall – die Dringlichkeit dieser Migration speist sich allein aus Datenlebensdauern und Beschaffungszyklen. Genau deshalb ist sie so leicht zu verschlafen. Die 2030-Marke für langlaufende Geheimnisse ist faktisch schon jetzt zu knapp.