KI mag zwar im Rampenlicht stehen, doch auch Quantencomputing stellt eine unmittelbare Gefahr für unsere Daten dar. Am 22. Juni 2026 richtete das Weiße Haus einen eindringlichen Weckruf an uns und unterstrich damit, dass Quantencomputing nicht nur ein Problem der Zukunft ist, sondern eine Sicherheitsbedrohung, die wir bereits heute angehen müssen.
Die US-amerikanische Executive Order 14412 (Schutz der Nation vor fortschrittlichen kryptografischen Angriffen) unterstreicht die Dringlichkeit der Migration zu Post-Quanten-Kryptografie (PQC) und räumt Finanzierungs- und Beschaffungsrichtlinien Priorität ein, um die Compliance-Fristen auf Bundesebene effektiver einzuhalten.
“Die US-Durchführungsverordnung 14412 verlagert die Debatte von einem fernen „Was wäre, wenn?“-Szenario hin zu einer unmittelbar geltenden Compliance-Realität und zwingt Organisationen dazu, konkrete Fristen für die Absicherung der kritischen Systeme des Landes zu priorisieren.”
Wenn Sie glauben, dass dies nur den Behörden Kopfzerbrechen bereitet, sollten Sie noch einmal darüber nachdenken. Die Verordnung löst weitreichende Folgewirkungen über sämtliche Beschaffungszyklen hinweg aus und zwingt Technologieanbieter und Unternehmen dazu, quantensichere Systeme bereits in ihren aktuellen Beschaffungszyklen zu priorisieren.
Über den „Q-Day“ hinaus: Die operativen Fristen
Jahrelang ging man allgemein davon aus, dass die „Quantenbedrohung“ – also der Zeitpunkt, an dem Quantencomputer gängige Verschlüsselungsverfahren wie RSA mühelos knacken könnten – noch in weiter Ferne liege. Wir glaubten, es bliebe noch genügend Zeit, um uns auf den „Q-Day“ vorzubereiten.
Doch die physische Hardware entwickelt sich schneller, als es die ursprünglichen mathematischen Prognosen erwarten ließen. Jüngste Durchbrüche von Forschenden der Harvard Quantum Initiative deuten darauf hin, dass stabile, fehlertolerante Quantensysteme deutlich schneller vorankommen als erwartet, sodass sich der Zeitrahmen möglicherweise bis zum Ende dieses Jahrzehnts verkürzt.
Die Executive Order 14412 verleiht dieser Situation eine gehörige Portion Realismus. Sie verlagert die Diskussion von einem fernen „Was wäre, wenn?“-Szenario hin zu unmittelbar geltenden Compliance-Anforderungen und zwingt Organisationen dazu, konkrete Fristen für die Absicherung der kritischen Systeme des Landes zu priorisieren.
- Bis zum 31. Dezember 2030: US-Bundesbehörden müssen vollständig auf PQC-Algorithmen umstellen, die vom US-amerikanischen National Institute of Standards and Technology (NIST) für den Schlüsselaustausch (Verschlüsselung) zugelassen sind. Ziel ist es, sogenannte „Jetzt sammeln, später entschlüsseln“-Angriffe zu vereiteln, bei denen Angreifer heute verschlüsselten Datenverkehr abfangen und speichern, da sie wissen, dass Quantencomputer ihn eines Tages entschlüsseln können.
- Bis zum 31. Dezember 2031: Die Migration auf PQC für digitale Signaturen (Authentifizierung) muss abgeschlossen sein, um vor Identitätsmissbrauch und Spoofing-Angriffen zu schützen.
Diese Fristen mögen in ihrem Umfang begrenzt erscheinen, doch das Gegenteil ist der Fall. Zur Umsetzung der Anordnung veröffentlichte das Office of Management and Budget (OMB) am 24. Juni das Memorandum M-26-15, das zivilen Behörden eine strikte Frist von 120 Tagen zur Vorlage ihrer formellen Migrationspläne setzt. Parallel dazu werden entsprechende Umsetzungsmaßnahmen vom Department of War (DoW) eingeleitet.
Die Anordnung weist außerdem den U.S. Federal Acquisition Regulatory (FAR) Council an, genau diese Fristen in die Anforderungen für Bundesverträge aufzunehmen. Damit wird aus einer staatlichen Vorgabe wirtschaftliche Realität: Die gesamte verteidigungsindustrielle Basis und Tausende von Auftragnehmern des Bundes müssen die Einhaltung der PQC-Vorgaben nachweisen, um weiterhin Geschäfte mit der Regierung tätigen zu können.
Darüber hinaus weist die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Behörden an, bei anstehenden Beschaffungszyklen Anbieter mit PQC-Unterstützung klar zu bevorzugen. Unabhängig davon, ob Sie direkt Teil der militärischen Lieferkette sind oder in anderen stark regulierten Bereichen wie dem Finanz- oder Gesundheitswesen tätig sind, bleibt die entscheidende Aussage dieselbe: Wenn Ihre Systeme mit Daten von US-Bundesbehörden in Berührung kommen, ist die Vorbereitung auf das Quantenzeitalter eine unabdingbare Voraussetzung für Geschäftsbeziehungen.
Der blinde Fleck in der Lieferkette: Hier kommt die CBOM
Daten bleiben nicht an einem Ort. Sie werden ständig übertragen – über APIs von Drittanbietern, externe SaaS-Plattformen, von Anbietern gehostete Clouds und weitere Systeme. Diese Abhängigkeiten schaffen Schwachstellen, die sich Ihrer direkten Kontrolle entziehen. Dadurch ist die Vorbereitung auf PQC weitaus komplexer als die bloße Absicherung Ihrer internen Systeme.
Im Einklang mit der Executive Order 14412 führen die begleitenden Richtlinien des Weißen Hauses die Cryptographic Bill of Materials (CBOM) ein, um diese Transparenzlücke zu schließen. Dazu werden Anbieter verpflichtet, detaillierte Informationen über ihre kryptografischen Systeme offenzulegen. Ähnlich wie eine Software Bill of Materials (SBOM) konzentriert sich die CBOM auf die Transparenz der Verschlüsselung und legt offen, welche Algorithmen, Bibliotheken und Zertifikate in den Produkten der Anbieter enthalten sind.
Die Herausforderung? Die Infrastruktur der meisten Unternehmen ist nicht darauf vorbereitet, diese Transparenzstandards zu erfüllen, und die mangelnde PQC-Bereitschaft der Anbieter verschärft diese Abhängigkeit zusätzlich. Daten von F5 Labs zeigen beispielsweise, dass zwar 57 % des weltweiten Webbrowser-Datenverkehrs dank automatischer Updates technisch PQC-fähig sind, die Backend-Systeme von Unternehmen jedoch weit hinterherhinken. Von den eine Million meistbesuchten Websites unterstützen nur 8,6 % einen hybriden PQC-Schlüsselaustausch; bei Banken-Websites sind es sogar nur 3 %.
Quantenresilienz hängt nicht nur davon ab, wie gut Sie sich vorbereiten – entscheidend sind auch Ihre Partner, und Ihre schwächste Abhängigkeit könnte alles gefährden. Transparenz durch CBOMs wird unerlässlich sein, um Anbieter zu prüfen und sicherzustellen, dass Ihr Unternehmen den Übergang zum Quantenzeitalter reibungslos bewältigen kann.
Die dreistufige Checkliste zur PQC-Bereitschaft
Die Umstellung auf quantensichere Algorithmen lässt sich nicht mit einem schnellen Software-Patch erledigen. Sie ist ein mehrjähriger Prozess, der eine sorgfältige Planung erfordert. Das Weiße Haus hat den Bundesbehörden nun lediglich 30 Tage Zeit gegeben, eine eigene Leitung für die PQC-Migration zu benennen. Unternehmen sollten dieses Tempo ebenfalls anstreben.
Hier sind drei konkrete Schritte, mit denen Sie noch heute beginnen können:
- Verantwortlichkeiten zuweisen und Abhängigkeiten erfassen: Sofortige Priorität. Benennen Sie eine Person, die für die Quantenresilienz in Ihrem gesamten Unternehmen verantwortlich ist. Ihre erste Aufgabe sollte darin bestehen, zu erfassen, wo klassische Verschlüsselungsalgorithmen wie RSA und ECC derzeit eingesetzt werden – sowohl in Ihrer eigenen Infrastruktur als auch in APIs von Drittanbietern, SaaS-Plattformen und Anbieterökosystemen.
- Auf die CBOM-Vorgaben vorbereiten: In den nächsten drei bis sechs Monaten. Aktualisieren Sie Ihre Beschaffungsrichtlinien. Fordern Sie von künftigen Hardware-, Software- und Cloud-Anbietern einen klaren Fahrplan für NIST-konforme PQC-Unterstützung und fragen Sie, wie sie eine transparente CBOM bereitstellen wollen. Es ist weitaus besser, solche Lücken bei den Abhängigkeiten frühzeitig zu erkennen, als auf Compliance-Fristen zu warten.
- Hybride Bereitstellungsmodelle testen: In den nächsten sechs bis zwölf Monaten. Führen Sie TLS 1.3 ein und beginnen Sie damit, hybride Schlüsselaustauschverfahren in Nicht-Produktionsumgebungen zu testen, um zu bewerten, wie sich Post-Quanten-Schlüssel auf die tatsächliche Netzwerklatenz und Anwendungsleistung auswirken. Tests von heute verhindern größere Betriebsstörungen von morgen.
Den Übergang mit F5 meistern
Eine erfolgreiche Migration zu quantensicherer Kryptografie erfordert Kryptoagilität – also die Fähigkeit, Verschlüsselungsalgorithmen bei sich weiterentwickelnden Standards nahtlos auszutauschen, ohne Systeme zu unterbrechen oder Ausfallzeiten zu verursachen.
Die Überarbeitung Tausender Legacy-Anwendungen kann Jahre dauern – für die meisten Teams ein gewaltiges und kostspieliges Unterfangen. Deshalb hat sich F5 dem NIST-Projekt „Migration to PQC“ des National Cybersecurity Center of Excellence (NCCoE), einem Konsortium, das praxisnahe Rahmenwerke entwickelt, um Organisationen bei diesem Wandel zu unterstützen, angeschlossen.
F5 vereinfacht diese Migration mit einer Gateway-Plattformarchitektur, die das Bereitstellungsrisiko grundlegend reduziert. Anstatt Entwickler dazu zu zwingen, Anwendungen in Hybrid-, Multicloud- oder Legacy-Umgebungen manuell neu zu konzipieren, integriert F5 die native Unterstützung für hybride PQC-Chiffren (server- und clientseitig) direkt in seine F5 Application Delivery and Security Platform (ADSP). Dies trägt dazu bei, kritische Datenübertragungen bereits heute abzusichern, und verschafft Ihrem Team zugleich den nötigen Freiraum für einen reibungslosen, langfristigen Übergang.
Vorbereitung auf das Quantenzeitalter
Die Executive Order 14412 macht eines deutlich: Jetzt ist es an der Zeit, die Grundlagen zu schaffen. Diese Umstellung ist kein fernes Vorhaben auf einer zukünftigen Roadmap mehr.
Organisationen, die heute handeln – indem sie Beschaffungsrichtlinien überarbeiten, Transparenz von Anbietern einfordern und hybride Bereitstellungsmodelle testen –, sind besser aufgestellt, um den Übergang zu PQC lange vor Ablauf der Compliance-Fristen zu bewältigen.
Beginnen Sie noch heute mit den Vorbereitungen.
Über den Autor
Ähnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer ganzen Agentenflotte: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Jetzt bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.