Europa, Großbritannien und die USA haben 2035 als Ende der heutigen Kryptografie festgelegt. Für Entscheider im Jahr 2026 ist das keine Zukunft.

Die grüne Ecke der Matrix

Fast jede Risikopräsentation, die einen Aufsichtsrat erreicht, enthält dieselbe Grafik: eine Matrix mit der Wahrscheinlichkeit auf der einen Achse und der Auswirkung auf der anderen, eingefärbt in Grün, Gelb und Rot. Ein Ereignis, das kurzfristig sehr unwahrscheinlich ist, landet meist in der Nähe der grünen Ecke, so groß seine Auswirkung auch sein mag.

Die Matrix hat eine Schwäche, über die selten gesprochen wird. Sie hat keine Achse für die Zeit, die das Unternehmen bräuchte, um zu reagieren. Und es gibt eine ganze Kategorie von Risiken, bei denen genau diese Variable alles entscheidet.

Die fehlende Rechnung

2015 schlug der Forscher Michele Mosca eine einfache Rechnung für die Quantenbedrohung vor. Er nannte x die Zeit, die eine Information geschützt bleiben muss, y die Zeit, die nötig ist, um die Systeme auf eine neue Kryptografie umzustellen (was nach seinen Worten mehr als 15 Jahre dauern kann), und z die Zeit, bis es einen Quantencomputer gibt, der die heutige Kryptografie brechen kann. Die Regel: Ist x + y größer als z, besteht das Problem schon heute.

Entscheidend ist das y. In der klassischen Matrix käme nur z vor, als Wahrscheinlichkeit. Mosca zeigt: Wenn die Reaktion lange dauert, ist ein fernes Ereignis bereits überfällig. Das NIST übernimmt diese Rechnung in seinem Übergangsdokument vom November 2024 und nennt sie Mosca-Theorem.

Wie lange Reagieren dauert

Dasselbe NIST-Dokument, das noch im Entwurfsstadium ist, hält fest, dass der Weg von der Standardisierung eines Algorithmus bis zu seiner tatsächlichen Integration in die Systeme 10 bis 20 Jahre dauern kann, und erinnert daran, dass frühere kryptografische Migrationen mehr als ein Jahrzehnt gebraucht haben.

Die Geschichte bestätigt das. Das NIST riet 2011 von SHA-1 ab, einem kryptografischen Hash-Algorithmus. Die erste praktische Kollision, der Beweis, dass er gebrochen war, gab Google 2017 bekannt. Die vollständige Ausmusterung ist für Ende 2030 vorgesehen, fast zwei Jahrzehnte nach der ersten Warnung. AES, der Standard für symmetrische Verschlüsselung, der seine Vorgänger ablöste, wurde 2001 veröffentlicht; 3DES wurde erst nach 2023 für die Verschlüsselung verboten.

Als das Weiße Haus im Juli 2024 die Kosten für die Migration der prioritären Systeme der US-Bundesregierung zwischen 2025 und 2035 berechnete, kam es auf rund 7,1 Milliarden US-Dollar. Zehn Jahre Arbeit, allein für die Regierung eines Landes.

Die Fristen stehen bereits im Kalender

Während die Risikomatrix das Thema als fern behandelt, haben die Regierungen die Termine längst festgelegt.

Die NSA will im Rahmen ihres Programms CNSA 2.0 die Umstellung der nationalen Sicherheitssysteme der USA bis 2035 abschließen und verlangt bereits ab 2030 den ausschließlichen Einsatz quantenresistenter Algorithmen bei der Signatur von Software und in Netzwerkgeräten. Das britische NCSC forderte im März 2025 eine vollständige Bestandsaufnahme bis 2028, die Migration der Prioritäten bis 2031 und den Abschluss bis 2035. Der europäische Fahrplan vom Juni 2025 verlangt nationale Pläne bis Ende 2026, die Migration der Hochrisikofälle bis 2030 und die des Rests, soweit machbar, bis 2035. Das europäische Dokument räumt selbst ein, dass der Prozess deutlich länger als fünf Jahre dauern kann.

In Brasilien hat das ITI im Januar 2026 die ersten Post-Quanten-Algorithmen in die ICP-Brasil aufgenommen, die Infrastruktur der amtlichen digitalen Zertifikate, bislang ohne Termin für die Ausmusterung der alten.

Das Detail, das den CFO interessieren sollte

Für eine Führungskraft scheint 2035 weit weg: Es sind neun Jahre. Für die Infrastruktur nicht.

Denken Sie an ein System, das 2026 mit einer Nutzungsdauer von zehn Jahren gekauft wird, ein üblicher Zeitraum für Netzwerkgeräte, Industriesysteme oder zentrale Plattformen. Es wird 2035 noch in Betrieb sein. Die Rechnung stammt von mir, aber sie ist einfach: Wenn die Kaufentscheidung den Post-Quanten-Kalender ignoriert, kauft das Unternehmen heute ein Problem, dessen Verfallsdatum bereits veröffentlicht ist.

Und es gibt eine noch unbequemere Rechnung. Wenn das NIST sagt, dass Migrationen 10 bis 20 Jahre dauern, und zwischen 2026 und 2035 neun liegen, dann beginnt, wer jetzt anfängt, bereits unterhalb der Untergrenze dieser Spanne. Wer später anfängt, ist von vornherein im Verzug.

Drei Änderungen bei der Risikobewertung

1. Die Reaktionszeit in die Matrix aufnehmen. Für die wichtigsten Risiken eine zusätzliche Spalte: Wie lange bräuchten wir, um zu reagieren, wenn das Ereignis morgen einträte? Ist diese Zeit länger als der Horizont des Ereignisses, muss sich die Farbe der Zelle ändern, so gering die Wahrscheinlichkeit auch sein mag.

2. Rückwärts planen. Bei den bereits veröffentlichten Terminen (2030 und 2035) beginnen und bis heute zurückrechnen. Das NCSC schlägt 2028 für die vollständige Bestandsaufnahme vor, ein guter Meilenstein für jedes Unternehmen, auch außerhalb Großbritanniens.

3. Mit dem Kalender in der Hand einkaufen. Jedes System mit einer Nutzungsdauer über 2030 hinaus sollte im Vertrag die Zusage enthalten, die neuen Algorithmen zu unterstützen oder ohne ein jahrelanges Projekt ersetzbar zu sein.

Die Frage für den nächsten Risikoausschuss

Wählen Sie in der nächsten Ausschusssitzung die fünf größten Risiken des Unternehmens aus und stellen Sie zu jedem eine Frage: Wenn das morgen passierte, wie lange bräuchten wir, um zu reagieren? Ist die Antwort länger als die Zeit, die wir zu haben glauben, steht das Risiko an der falschen Stelle der Matrix.

Neun Jahre klingen nach viel Zeit. Es ist weniger, als eine solche Migration laut NIST üblicherweise dauert.