Vorbereitung auf die Quantenbedrohung der Verschlüsselung

Quantencomputer müssen heute noch nicht in vollem Umfang existieren, um schon jetzt eine Bedrohung für Ihre Privatsphäre darzustellen. Das ist die unbequeme Realität hinter einem der bedeutendsten Umbrüche in der Kryptografie seit Jahrzehnten. Regierungen, Geheimdienste und gut ausgestattete Angreifer sammeln bereits heute verschlüsselten Internetverkehr — E-Mails, VPN-Sitzungen, Cloud-Daten — mit der ausdrücklichen Absicht, diesen zu entschlüsseln, sobald Quantencomputer leistungsfähig genug sind. Dieser Angriff wird „harvest now, decrypt later» genannt und findet bereits statt.

Deshalb migrieren datenschutzorientierte Dienste schon heute zu Post-Quanten-Kryptografie — Jahre bevor ein kryptografisch relevanter Quantencomputer existiert. Dieser Wandel ist keine Paranoia, sondern eine kalkulierte Reaktion auf eine gut verstandene Bedrohung mit einem sich verkürzenden Zeitfenster.

Warum heutige Verschlüsselung brechen wird

Der Grossteil der Verschlüsselung, die den Internetverkehr heute schützt — einschliesslich E-Mail, VPN und Cloud-Speicher — beruht auf asymmetrischer Kryptografie: RSA und Elliptic Curve Cryptography (ECC). Diese Systeme gelten als sicher, weil die zugrunde liegenden mathematischen Probleme — das Faktorisieren riesiger Zahlen oder das Lösen diskreter Logarithmusprobleme — für klassische Computer praktisch unlösbar sind. Ein ausreichend leistungsfähiger Quantencomputer, der den Shor-Algorithmus ausführt, würde diese Schwierigkeit vollständig auflösen und Probleme, für die klassische Rechner Milliarden von Jahren bräuchten, in wenigen Stunden lösbar machen.

Symmetrische Verschlüsselung wie AES-256 kommt etwas besser weg — der Grover-Algorithmus schwächt sie, bricht sie aber nicht vollständig, und eine Verdopplung der Schlüssellänge gleicht das weitgehend aus. Die kritische Schwachstelle liegt in der Schlüsselaustausch- und Authentifizierungsebene, weshalb genau diese asymmetrische Verschlüsselung im Zentrum der Post-Quanten-Migration steht. Bei E-Mail ist dies besonders heikel: verschlüsselte E-Mail war historisch auf Public-Key-Kryptografie für den Schlüsselaustausch angewiesen, was sie besonders angreifbar macht.

Auch die Zeitschätzungen verschieben sich schneller als erwartet. Forschung aus Anfang 2026 legt nahe, dass unter bestimmten Bedingungen bereits rund 100’000 physische Qubits ausreichen könnten, um weit verbreitete kryptografische Systeme zu brechen — gegenüber Schätzungen von 20 Millionen noch vor wenigen Jahren. Kryptografische Umstellungen dauern in der Regel Jahre oder Jahrzehnte. Das Zeitfenster für die Vorbereitung ist jetzt offen, nicht unbegrenzt.

Was Post-Quanten-Kryptografie ist

Post-Quanten-Kryptografie (PQC) bezeichnet kryptografische Algorithmen, die sowohl klassischen als auch Quantenangriffen standhalten sollen. Im August 2024 verabschiedete das US-amerikanische National Institute of Standards and Technology (NIST) drei Standards: ML-KEM (basierend auf CRYSTALS-Kyber) für die Schlüsselkapselung, ML-DSA (basierend auf CRYSTALS-Dilithium) für digitale Signaturen und SLH-DSA für Hash-basierte Signaturen. Ein vierter Algorithmus, HQC, wurde im März 2025 als Ersatzmechanismus für die Schlüsselkapselung ausgewählt.

Anstatt die aktuelle Verschlüsselung vollständig zu ersetzen, setzen die meisten Implementierungen auf einen Hybridansatz — die Kombination eines Post-Quanten-Algorithmus mit einem klassischen Algorithmus. Die Logik dahinter ist einfach: Solange einer der beiden Algorithmen ungebrochen bleibt, bleiben die Daten geschützt. Das erhält zudem die Abwärtskompatibilität während der Übergangszeit, was für Dienste im grossen Massstab entscheidend ist. Eine leichte Zunahme der Schlüsselgrösse und ein geringfügiger Leistungsaufwand sind die wichtigsten Kompromisse — beide gelten auf moderner Hardware als vernachlässigbar.

Datenschutzdienste als Vorreiter

Bei E-Mail, VPN und Cloud-Speicher haben einige wenige datenschutzorientierte Anbieter bereits Post-Quanten-Verschlüsselung produktiv im Einsatz. So ist der aktuelle Stand.

E-Mail. Tuta war der erste E-Mail-Anbieter, der quantensichere Verschlüsselung einführte, mit dem Start des TutaCrypt-Protokolls im März 2024. TutaCrypt kombiniert CRYSTALS-Kyber mit einem Elliptic-Curve-Diffie-Hellman-Schlüsselaustausch (x25519) in einem Hybridprotokoll, das für alle neuen Konten standardmässig aktiviert und anschliessend auf alle bestehenden Nutzer ausgeweitet wurde. Es deckt nicht nur E-Mail, sondern auch Kalenderdaten ab und — derzeit in geschlossener Beta — Cloud-Speicher über Tuta Drive. Weitere Details finden sich in Tutas Ankündigung. Proton Mail folgte im Mai 2026 mit optionaler Unterstützung für Post-Quanten-Schlüssel neben OpenPGP v6, verfügbar für alle Nutzer, auch mit kostenlosem Konto. Proton arbeitet zudem mit Projekten wie Thunderbird zusammen, um quantensichere E-Mail über einzelne Anbieter hinweg zu standardisieren. Details dazu in Protons Ankündigung.

VPN. Mullvad zählt in diesem Bereich zu den vorausschauendsten Anbietern und experimentierte bereits ab 2017 mit quantenresistenten Tunneln — bevor NIST die Standards überhaupt fertiggestellt hatte. Seit Anfang 2025 sind quantenresistente WireGuard-Tunnel standardmässig auf allen Plattformen in der Mullvad-App aktiviert, unter Verwendung von Classic McEliece und ML-KEM. Mullvads Blogbeitrag beschreibt die Umsetzung. Proton VPN hat PQC noch nicht implementiert; die Funktion ist für später angekündigt, während die VPN-Architektur überarbeitet wird.

Cloud-Speicher. Diese Kategorie ist am wenigsten weit entwickelt. Internxt ist derzeit der einzige verbreitete Cloud-Speicheranbieter, der quantenresistente Algorithmen für gespeicherte Daten verwendet. Tuta Drive, derzeit in geschlossener Beta, wird von Grund auf mit Post-Quanten-Verschlüsselung entwickelt, in Zusammenarbeit mit der Universität Wuppertal und mit Förderung der deutschen Bundesregierung. Bei Proton Drive ist eine PQC-Integration geplant, aber noch nicht umgesetzt.

Das grössere Bild

Die Umstellung auf Post-Quanten-Kryptografie ist kein Nischenthema der Datenschutz-Community — sie ist ein branchenweiter Wandel, der bereits im Gange ist. Apple hat PQC in iMessage integriert. Cloudflare berichtete, dass Ende 2025 der Grossteil des menschengenerierten Datenverkehrs im eigenen Netzwerk bereits Post-Quanten-TLS nutzte — das heisst, die Transportebene zwischen Browsern und Servern wird zunehmend quantenresistent, was allerdings nichts über die Ende-zu-Ende-Verschlüsselung gespeicherter Inhalte aussagt. Google hat sich intern die Frist 2029 für die vollständige Post-Quanten-Migration der eigenen Infrastruktur gesetzt. Die EU empfiehlt den Mitgliedstaaten, den Übergang bis Ende 2026 zu beginnen, mit Abschluss der Migration kritischer Infrastruktur bis 2030.

Für Nutzer von Datenschutz-Tools bedeutet das in der Praxis: Die Dienste, auf die Sie sich heute verlassen, schützen Ihre Daten möglicherweise nicht gegen die Bedrohungen von morgen. Die „harvest now, decrypt later»-Bedrohung bedeutet, dass die Uhr für Daten, die gerade jetzt übertragen werden, bereits läuft. Die Wahl von Anbietern, die den Übergang bereits vollzogen haben — oder die transparent auf einem glaubwürdigen Weg dorthin sind — wird zu einem wichtigen Kriterium bei der Bewertung von Datenschutz-Tools, nicht nur zu einer Zukunftsfrage.

Ein Hinweis zu den oben genannten Diensten: Proton Mail und Proton VPN nutzen wir selbst täglich und empfehlen sie aktiv als Teil der von PSP getesteten Tools. Mullvad und Tuta werden hier aufgrund ihres guten Rufs und ihrer Erfolgsbilanz in der Datenschutz-Community erwähnt — wir haben sie noch nicht selbst getestet, weshalb dieser Artikel für diese beiden keine PSP-Empfehlung darstellt. Internxt wird aus demselben Grund genannt: Reputation, nicht eigene Erprobung.

Foto: Pachon in Motion, via Pexels