Systemarchitektur Post-Quanten-Kryptografie: Krypto-Agilität wird zur Pflicht

Anbieter zum Thema

CADFEM Germany GmbH

Yorizon GmbH & Co. KG

Zwei Jahre nach den finalen NIST-Standards für Post-Quanten-Kryptografie drängen jetzt BSI und Wirtschaft auf die Umsetzung. Für den Mittelstand wird „Krypto-Agilität“ von der Theorie zur architektonischen Anforderung für den Marktzugang – besonders in der Lieferkette.

Wer im Sommer 2026 noch glaubt, das Thema Quantencomputer-resistente Verschlüsselung sei reine Zukunftsmusik für Forschungslabore, der hat den entscheidenden Taktwechsel in der Industrie verpasst. Die Zeit der akademischen Diskussionen ist vorbei. Seit die US-Behörde NIST (National Institute of Standards and Technology) die ersten Standards für Post-Quanten-Kryptografie (PQC) finalisiert hat – namentlich Algorithmen für den Schlüsselaustausch und digitale Signaturen –, läuft der Countdown für die Wirtschaft.

Doch die zentrale Herausforderung, vor der IT-Architekten und CTOs im Mittelstand heute stehen, ist nicht mathematischer, sondern struktureller Natur. Es geht nicht nur darum, einen alten Algorithmus wie RSA durch einen neuen zu ersetzen. Es geht um eine fundamentale Änderung der Systemarchitektur hin zur „Krypto-Agilität“.

Post-Quanten-Kryptografie: Die tickende Zeitbombe

Jahrzehntelang wurde Kryptografie in Software und Firmware oft stiefmütterlich behandelt. Verschlüsselungsbibliotheken wurden tief in den Applikationscode eingebacken, Zertifikate fest verdrahtet. „Never touch a running system“ galt insbesondere für die Sicherheitsschicht. Diese monolithische Architektur ist im Jahr 2026 eine tickende Zeitbombe. Krypto-Agilität bedeutet die Fähigkeit eines Systems, kryptografische Mechanismen – Algorithmen, Schlüssellängen, Protokolle – mit minimalem Aufwand und idealerweise ohne Unterbrechung des laufenden Betriebs auszutauschen.

Dustin Moody, Mathematiker beim NIST und Leiter des PQC-Standardisierungsprojekts, warnte bereits früh vor der Komplexität dieser Aufgabe: „Der Übergang zur Post-Quanten-Kryptografie wird ein langer, komplizierter Prozess sein. Er wird nicht über Nacht geschehen.“ 
Heute zeigt sich: Wer diese Warnung ignoriert hat und seine Systeme nicht architektonisch entkoppelt hat, steht vor einem massiven Problem. Anstatt dass eine Maschinensteuerung direkt eine spezifische Bibliothek aufruft, muss sie über eine abstrakte Schnittstelle, einen „Crypto-Wrapper“,  kommunizieren, der im Hintergrund die aktuell sicherste Methode bereitstellt.

BSI und Verbände erhöhen den Druck

Diese architektonische Flexibilität ist keine Kür mehr, sondern Pflicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland hat seine Tonlage über die Jahre deutlich verschärft und drängt nun, Mitte 2026, massiv auf die technische Umsetzung in der Breite. Die Haltung der Behörde ist seit langem klar und heute aktueller denn je: „Das BSI empfiehlt, bereits jetzt Maßnahmen für die Migration zu quantencomputerresistenter Kryptografie zu ergreifen“, heißt es in den grundlegenden Positionspapieren. Und weiter: „Ein Abwarten, bis leistungsfähige Quantencomputer verfügbar sind, ist keine Option, da die Migration komplexer Systeme viel Zeit in Anspruch nehmen wird.“

Dieser regulatorische Druck trifft auf eine nervöse Lieferkette. Besonders im Maschinen- und Anlagenbau sowie der Automobilindustrie, den Herzstücken der DACH-Wirtschaft, wächst die Unruhe. Das Problem sind die Produktlebenszyklen. Eine Produktionsmaschine oder ein Steuergerät in einem Fahrzeug, das 2026 ausgeliefert wird, ist oft noch weit bis in die 2030er Jahre im Einsatz.

Branchenverbände warnen ihre Mitglieder: Große OEMs passen ihre Einkaufsbedingungen an. Wer als Tier-N-Zulieferer keine Roadmap für Krypto-Agilität in seinen Komponenten vorweisen kann, wird bei Neuprojekten zunehmend aussortiert. Die Konzerne wollen das Risiko „veraltete Kryptografie“ nicht importieren. Krypto-Agilität wird damit vom IT-Security-Thema zum entscheidenden Kriterium für den Marktzugang.

Post-Quantum-Kryptographie

Quantencomputer: IT-Umstellung dauert länger als verbleibende Zeit