Fraunhofer-Institut für Angewandte und Integrierte SicherheitQuantenfähige Angreifer gefährden die heute dominierenden Public-Key-Verfahren wie RSA, (EC)DH und (EC)DSA, weil effiziente Quantenalgorithmen die zugrunde liegenden mathematischen Probleme effizient lösen können.
Besonders kritisch ist das Szenario store now – decrypt later, in dem Angreifer bereits heute verschlüsselte Daten sammeln, um sie dann später zu entschlüsseln.
Kryptografie ist tief in Architekturen, Produkten und Lieferketten eingebettet. Kryptografische Schlüssel, Zertifikate sowie Protokollparameter bestehen häufig über viele Jahre hinweg. Frühzeitige Maßnahmen sind daher entscheidend, um langlebige Daten vor nachträglicher Offenlegung zu schützen.
Die Post-Quanten-Kryptografie (PQC) bietet robuste Alternativen zum Schutz von Daten, doch ihre Einführung erfordert eine geordnete Migration.
Aktuelle Positionen zur PQC-Standardisierung und -Migration
Hybridisierung
Da PQC-Verfahren vergleichsweise neu und weniger erforscht sind, kann es sinnvoll sein, sie mit klassischen kryptografischen Verfahren zu kombinieren. In einem solchen hybriden Verfahren lässt sich die Sicherheit selbst dann garantieren, wenn sich eines der kombinierten Verfahren als unsicher erweist.
In der EU ist für gitterbasierte Kryptografie aktuell eine Nutzung nur in hybrider Form vorgesehen. Die European Cybersecurity Certification Group fordert die Kombination mit klassischen, etablierten Verfahren. Das BSI setzt diese Linie in der technischen Richtlinie fort und fordert für nicht-hashbasierte PQC-Verfahren einen Einsatz in hybrider Form. Hashbasierte Signaturen wie SLH-DSA sowie LMS und XMSS können eigenständig genutzt werden.
Das National Institute of Standards and Technology (NIST) erlaubt die alleinstehende Nutzung für alle empfohlenen Verfahren und positioniert hybride Verfahren zwar als nützliche, jedoch nur als temporäre Migrationsoption.
Das britische National Cyber Security Centre (NCSC) folgt dieser Linie und empfiehlt hybride Verfahren nur als Übergangsmaßnahme für die spätere Umstellung auf reine PQC-Verfahren.
Empfohlene PQC-Verfahren
Grundlegende Einigkeit besteht in der Empfehlung von ML-KEM für den Schlüsselaustausch und ML-DSA für digitale Signaturen. Des Weiteren werden für spezifische Anwendungsfälle SLH-DSA sowie die zustandsbehafteten hashbasierten Signaturen LMS und XMSS empfohlen. Der wesentliche Unterschied der verschiedenen Positionen besteht jedoch darin, ob Verfahren heute alleinstehend oder nur hybrid eingesetzt werden dürfen.
Signaturverfahren
| Region | Empfohlene Verfahren | ParameterHinweise | Hybrid-Pflicht |
|---|---|---|---|
| EU | ML-DSA, SLH-DSA sowie LMS und XMSS | ML-DSA-65 oder ML-DSA-87. SLH-DSA nach FIPS205 in Kategorien 3 und 5. | Ja, für ML-DSA |
| Deutschland | ML-DSA, SLH-DSA sowie LMS und XMSS | ML-DSA-65 oder ML-DSA-87. SLH-DSA nach FIPS205 in Kategorien 3 und 5. XMSS und LMS nach SP 800-208. | Ja, für ML-DSA |
| USA | ML-DSA, SLH-DSA sowie LMS und XMSS | ML-DSA nach FIPS204. SLH-DSA nach FIPS205. LMS und XMSS nach SP 800-208. | Nein |
| Vereinigtes Königreich | ML-DSA, SLH-DSA sowie LMS und XMSS | ML-DSA nach FIPS204 (ML-DSA-65 empfohlen). SLH- DSA nach FIPS205. LMS und XMSS nach SP 800-208. | Nein |
Schlüsselaustauschverfahren
| Region | Empfohlene Verfahren | ParameterHinweise | Hybrid-Pflicht |
|---|---|---|---|
| EU | ML-KEM sowie konservativ FrodoKEM | ML-KEM-768 oder ML-KEM-1024. FrodoKEM-976 oder FrodoKEM-1344. | Ja |
| Deutschland | ML-KEM sowie konservativ FrodoKEM und Classic McEliece HQC sobald standardisiert |
ML-KEM-768 oder ML-KEM-1024. FrodoKEM-976 oder FrodoKEM-1344. mceliece460896(f), mcelie- ce6688128(f) oder mcelie- ce8192128(f). HQC entsprechend NIST-Kategorie 3 und 5. |
Ja |
| USA | ML-KEM | ML-KEM nach FIPS203. | Nein |
| Vereinigtes Königreich | ML-KEM | ML-KEM nach FIPS203 (ML-KEM-768 empfohlen). | Nein |