Post-Quantum-Pflicht: USA setzen Krypto-Frist auf 2030
Cloud & Sicherheit3 Min. LesezeitQuantensichere Verschlüsselung per Dekret: Warum die USA ihre Krypto-Frist auf 2030 vorziehenPer Executive Order 14409 ziehen die USA ihre Frist für quantensichere. . .
Cloud & Sicherheit3 Min. LesezeitQuantensichere Verschlüsselung per Dekret: Warum die USA ihre Krypto-Frist auf 2030 vorziehenPer Executive Order 14409 ziehen die USA ihre Frist für quantensichere Verschlüsselung auf Ende 2030 vor — vier bis fünf Jahre früher als bisher geplant. Treiber ist die Sorge vor dem Prinzip „heute abgreifen, später entschlüsseln". Daten, die heute abgefangen werden, gelten als sicher — solange der passende Quantencomputer nicht existiert. Genau auf dieses Restrisiko reagiert das Weiße Haus mit einer harten Frist: Per Executive Order 14409 müssen US-Behörden ihre wichtigsten Systeme bis Ende 2030 auf Post-Quantum-Kryptografie umstellen. Das ist vier bis fünf Jahre früher als bisher vorgesehen — und ein Signal, das weit über Washington hinausreicht. Was die Order konkret vorschreibtZwei Stichtage stehen im Zentrum: Der Schlüsselaustausch (key establishment) muss bis zum 31. Dezember 2030 quantensicher laufen, digitale Signaturen folgen ein Jahr später, bis zum 31. Dezember 2031. Betroffen sind zunächst die „high-value assets“ der Behörden, dazu „covered contractors“ — für deren Auflagen hat der zuständige Beschaffungs-Regelrat (FAR) 180 Tage Zeit. Kritische Infrastruktur wird unterstützt, nicht verpflichtet; nationale Sicherheitssysteme laufen auf einer eigenen Spur. Der Fahrplan ist eng getaktet: Binnen 30 Tagen benennt jede Behörde einen Migrationsverantwortlichen, nach 90 Tagen liefert das OMB Leitlinien und die Ämter ihre Umstellungspläne, bis Ende 2027 soll die Normungsbehörde NIST die Migration an den eigenen Systemen pilotieren. Technisch stützt sich alles auf die NIST-Standards vom August 2024 — FIPS 203 für den Schlüsselaustausch (ML-KEM, vormals CRYSTALS-Kyber) sowie FIPS 204 und 205 für Signaturen (ML-DSA und SLH-DSA). „Harvest now, decrypt later“ — das eigentliche MotivHinter der Eile steht ein Angriffsmuster, das ohne fertigen Quantencomputer auskommt:harvest now, decrypt later. Gegner greifen heute verschlüsselten Datenverkehr ab und legen ihn weg — entschlüsselt wird später, sobald die Rechenleistung da ist. Im Visier sind Daten mit langer Geheimhaltungsdauer: Diplomatenpost, Verteidigungsarchive, Gesundheitsakten. Das ist kein abstraktes Szenario. Backups, die ich heute verschlüssele, müssen teils ein Jahrzehnt lesbar bleiben — und genauso lange geheim. Wer so ein Archiv abgreift und wegspeichert, braucht den Quantenrechner nicht heute, sondern erst irgendwann in den 2030ern. Die Uhr läuft damit rückwärts: Was jetzt nicht quantensicher liegt, ist im Zweifel längst kopiert und wartet nur auf den Tag der Entschlüsselung. Was das jenseits der US-Behörden bedeutetDie Order zieht den bisherigen Regierungs-Zielwert kräftig nach vorn — das National Security Memorandum 10 von 2022 hatte noch 2035 angepeilt. Solche Fristen strahlen aus: Wo der größte IT-Einkäufer der Welt quantensichere Verfahren verlangt, ziehen Auftragnehmer und am Ende ganze Lieferketten nach. Dass die Umstellung dabei nicht zwangsläufig schwerfälliger ausfällt, hat zuletztLet’s Encrypt mit schlankeren quantensicheren Zertifikatengezeigt. Eine staatliche Frist ist das schärfste Werkzeug, das die Krypto-Umstellung je hatte — sie bewegt mehr als jede gut gemeinte Empfehlung. Doch 2030 ist näher, als es klingt. Wer je Krypto-Bibliotheken aus gewachsenen Systemen herausoperieren musste, weiß, dass fünf Jahre für eine vollständige Inventur und Migration knapp sind. Die eigentliche Arbeit beginnt nicht 2030, sondern mit dem ersten ehrlichen Blick darauf, wo überall noch RSA und ECC stecken — und das gilt diesseits des Atlantiks genauso. ◆ Über den AutorAlexander BaumgärtnerSeit über 20 Jahren in der IT — mit allem, was dazugehört: abgestürzten Servern um zwei Uhr nachts, Migrationen, die laut Plan eine Stunde dauern sollten, und Kunden, die "schnell mal" eine neue Software brauchen. Hauptberuflich führe ich die ProMedia24, eine kleine IT-Firma in Wallenhorst bei Osnabrück. Auf Blogspan. net schreibe ich über IT-Themen, die mich interessieren oder wo ich glaube, dass jemand genauer hinschauen sollte: Server, Cloud, Sicherheit, KI, Hardware, gelegentlich auch Foto-Equipment oder Smarthome — wenn es technisch genug ist, landet es hier. Schreibstil: lieber konkret als geschwurbelt, gerne auch mal kritisch.