Kurz vorweg: Für Schweizer KMU bedeutet PQC 2026 vor allem Inventar, Agility und Pilot – kein „alles sofort tauschen". NIST-Standards (FIPS 203 ML-KEM, FIPS 204 ML-DSA, FIPS 205 SLH-DSA) sind seit August 2024 final. Produktive Implementationen laufen 2025/2026 in OpenSSL 3.5, Cloudflare, Google, Microsoft, Apple und Browsern an. Empfehlung: hybride Modi (klassisch + PQC) statt reiner PQC, Priorisierung nach Langlebigkeit der Daten, Vendor-Roadmaps tracken. Realistisches Ziel-Datum für Standard-Umstellung: 2030.
Die Bedrohungs-Landschaft
Shor-Algorithmus
Klassisches Verfahren von Peter Shor (1994) – bricht RSA, ECC, DH effizient auf einem ausreichend grossen Quantencomputer. Heutige Quantencomputer sind nicht ausreichend groß. Schätzung CRQC: 2030–2035.
Grover-Algorithmus
Symmetrische Verfahren (AES, SHA) sind weniger betroffen – Grover halbiert die Bit-Sicherheit. AES-128 wird zu effektiv 64 Bit, AES-256 zu effektiv 128 Bit. Empfehlung: AES-256 wo möglich.
Harvest-Now-Decrypt-Later
Akutes Risiko 2026: staatliche Akteure sammeln verschlüsselten Verkehr (VPN, E-Mail, Cloud) und entschlüsseln ihn später. Trifft Daten mit langer Vertraulichkeits-Anforderung (≥ 10 Jahre).
PKI-Sigantur-Lawine
Code-Signing, Dokument-Signaturen, ZertES-Signaturen müssen früher umgestellt werden als Verschlüsselung – sonst könnten Angreifer Updates oder Verträge im Nachhinein fälschen.
IoT-Langlebigkeit
Industrie-Sensoren, Lift-Steuerung, Smart-Meter laufen 10–30 Jahre. Kryptografie hardwired – PQC-Fähigkeit muss bei neuen Geräten ab 2026/2027 Anforderung sein.
Regulatorischer Druck
US-CNSA 2.0 (2024) verlangt PQC ab 2027/2030, BSI-Empfehlung „hybrid" seit 2022, EU NIS2 verweist auf Stand der Technik – PQC wird Stand-der-Technik.
NIST PQC-Standards (final 2024)
FIPS 203 – ML-KEM (Kyber)
Key-Encapsulation-Mechanismus auf Gitter-Basis. Schneller als RSA, kompakte Public Keys (800–1568 Byte). Hauptkandidat für TLS-Schlüsselaustausch, VPN, IPsec. Sicherheitsstufen 512/768/1024 – Standard 768 (entspricht AES-192).
FIPS 204 – ML-DSA (Dilithium)
Digitale Signaturen auf Gitter-Basis. Schnell, gut implementierbar, Signaturgrösse ca. 2.4–4.6 KB. Hauptkandidat für TLS-Zertifikate, Code-Signing, Token-Signaturen.
FIPS 205 – SLH-DSA (SPHINCS+)
Hash-basierte Signaturen, stateless, konservative Sicherheits-Annahme. Sehr grosse Signaturen (7–50 KB), aber sicher auch wenn Gitter-Probleme fallen sollten. Empfehlung für Code-Signing und Firmware mit hohem Langzeit-Schutz.
FIPS 206 – FN-DSA (Falcon, Draft)
Gitter-basierte Signatur, sehr kompakt (700 Byte), aber komplexe Implementierung (Fliesskomma). Stand Mai 2026 noch im Draft. Geeignet für ressourcenarme Geräte, wenn die Implementierung gehärtet ist.
Hybrid-Modi (Empfehlung)
Klassisch (ECDH/ECDSA) + PQC (ML-KEM/ML-DSA) parallel, beides muss brechen, damit Verbindung kompromittiert ist. Empfohlen von BSI, Cloudflare, Google. Standardpfad bis PQC-Algorithmen 5+ Jahre kryptanalytische Reife haben.
Crypto-Inventar: Wo lebt Kryptografie?
- TLS-Endpunkte: Webserver, Load Balancer, Reverse Proxies, interne Microservices, API-Gateways – Cipher-Suites, Zertifikate, Renewal-Lifecycle.
- VPN/IPsec: WireGuard, OpenVPN, IPsec-Tunnel, ZTNA-Verbindungen – Schlüsselaustausch-Verfahren, Cipher.
- E-Mail: S/MIME, PGP-Setups, DKIM, MTA-STS, Mail-Server-Konfiguration.
- PKI: Interne CA, Sub-CAs, Code-Signing-CA, ZertES/Skribble/QES-Signaturen, FIDO2-Schlüssel, Smartcards.
- SSH: Server-Schlüssel, Client-Schlüssel, Bastion-Hosts, Deploy-Schlüssel in CI/CD.
- Speicher-Verschlüsselung: BitLocker, FileVault, LUKS, NAS-Volume-Encryption, Backup-Verschlüsselung.
- Cloud-Dienste: AWS KMS, Azure Key Vault, Google Cloud KMS, BYOK-Schlüssel, Cloud-Provider-TLS.
- IoT/OT: Smart-Meter, Lift-Steuerung, Industrie-Sensoren – meist mit hardwired-Crypto, kaum updatebar.
- Code-Signing: Software-Releases, Container-Image-Signaturen (cosign/sigstore), Firmware-Signaturen.
- Authentifizierung: JWT/OIDC-Signaturen, SAML-Signaturen, OAuth-Token, Webhook-HMAC.
12-Monats-Roadmap PQC
Monat 1–2: Crypto-Inventar
Alle Crypto-Stellen im Unternehmen erfassen: TLS, VPN, PKI, Code-Signing, Backups, IoT. Mit Vendor und Datenfluss-Diagrammen abgleichen. Erste Priorität: Daten mit langer Vertraulichkeit.
Monat 3–4: Crypto-Agility-Bewertung
Pro Use Case: wie schnell umstellbar? Software-Update, Config-Change, Hardware-Tausch, Vendor-Abhängigkeit. Agility-Score (1–5) pro Use Case.
Monat 5–6: Vendor-Roadmap-Check
Microsoft, Google, AWS, Cloudflare, Fortinet, Palo Alto, Cisco, OpenSSL, Schweizer PKI-Anbieter (SwissSign, QuoVadis) auf PQC-Roadmap abfragen. Vertragliche Verpflichtung in Reviews einfordern.
Monat 7–8: Pilot 1 – TLS hybrid
Ein TLS-Endpunkt (z. B. Cloudflare-fronted Marketing-Site) auf hybriden Schlüsselaustausch X25519+ML-KEM-768 umstellen. Browser-Kompatibilität testen, Telemetrie sammeln.
Monat 9–10: Pilot 2 – VPN/Backup
Hybrid-PQC für einen VPN-Tunnel (WireGuard via Cloudflare WARP) und einen Backup-Endpunkt einrichten. Recovery-Test mit hybriden Schlüsseln.
Monat 11–12: PQC-Programm
PQC als Teil des Cyber-Programms etablieren: Quartals-Review, jährliche Roadmap-Aktualisierung, Beschaffungs-Kriterium, Vendor-Audit. Ziel-Daten: Standard 2030, Code-Signing 2028.
Typische Stolpersteine
- PQC ignoriert weil „noch kein Quantencomputer da": Harvest-Now-Decrypt-Later macht es heute relevant, nicht erst 2030.
- PQC-Only deployt: ohne Hybrid-Modus zu hohes Implementierungs-Risiko, falls ein PQC-Algorithmus fällt. BSI und CISA empfehlen Hybrid bis 2030.
- Crypto-Inventar einmalig: Cipher-Suites ändern sich mit jedem Update, neue Microservices kommen hinzu. Vierteljährlicher Refresh.
- IoT-Beschaffung ohne PQC-Klausel: 10–30 Jahre Laufzeit, aber nicht updatebar – ohne PQC-Pflicht im Vertrag landen Steine in der Bilanz.
- AES-128 als „symmetrisch sicher genug": Grover halbiert – auf AES-256 hochgehen, wo wirtschaftlich machbar.
- Vendor-Roadmaps blind vertraut: konkret nach Code-Signing-, TLS- und PKI-Roadmap fragen, sonst leere Marketing-Versprechen.
- Code-Signing übersehen: Signatur-Migration ist schwieriger als Verschlüsselungs-Migration – frühe Standardisierung kritisch.
- OpenSSL/Bouncy-Castle-Versionen veraltet: PQC braucht OpenSSL 3.5+, Bouncy Castle 1.78+. Bibliothek-Update als Voraussetzung.
- TLS-Performance unterschätzt: hybride Handshakes brauchen 1–2 KB mehr Bytes – bei mobilen Clients, Edge-Geräten messen, nicht annehmen.
- Kein Owner für Crypto-Agility: ohne dedizierten Verantwortlichen versickert die Initiative – meist beim Security-Architekten oder vCISO ansiedeln.
Fazit: PQC als langlebiges Programm
Post-Quantum-Kryptografie ist 2026 kein akuter Notfall, aber ein strategisches Pflichtprogramm. Schweizer KMU mit langlebigen Geheimnissen (Anwaltskanzleien, Pharma, F&E, Banken, Spitäler, Behörden-Dienstleister) müssen den Pfad jetzt starten. Crypto-Inventar, Crypto-Agility, Hybrid-Pilots in zwei bis drei Kernsystemen und ein Vendor-Roadmap-Tracking reichen für 2026. Der Vollausbau läuft bis 2030 – verlässlich, ohne Panik.
Die wichtigste Kennzahl ist „Crypto-Agility": wer einen Algorithmus per Konfiguration tauschen kann, ist sicher. Wer Kryptografie in IoT-Firmware oder dedizierter Hardware eingebrannt hat, wird teuer. Deshalb gehört „PQC-fähig?" ab 2026 in jede Hardware-Beschaffung – analog zu „IPv6-fähig?". Wer ISO 27001 oder NIST CSF 2.0 lebt, integriert PQC in die laufenden Programme statt eines Sonderprojekts. Ein vCISO oder Security-Architekt mit Mandat reicht – und ein Kalender, der bis 2030 quartalsweise nachhakt.
PQC-Programm für Ihr KMU
Wir erstellen Ihr Crypto-Inventar, bewerten Crypto-Agility, prüfen Vendor-Roadmaps und starten hybride PQC-Pilots – realistisch in 12 Monaten zum PQC-Programm.
Beratung anfragen