Aktuell

Verschlüsselung mit Ablaufdatum: Was die neue Post-Quanten-Leitlinie für Kommunen und Unternehmen bedeutet

Bund und BSI legen Fristen für quantensichere Verschlüsselung fest: 2030 für hohes, 2035 für mittleres Risiko. Was Kommunen und KMU jetzt vorbereiten.

16. Oktober 2026

Security
Compliance
Kommunen

Quantencomputer, die heutige Verschlüsselung knacken, gibt es noch nicht. Trotzdem hat die Bundesregierung jetzt verbindliche Zeitpläne für die Umstellung auf quantensichere Verfahren vorgelegt. Die neue Leitlinie richtet sich ausdrücklich auch an Kommunalverwaltungen und Unternehmen. Was dahintersteckt, warum es nicht zu früh ist und was jetzt konkret zu tun ist.

Was veröffentlicht wurde

Am 12. Oktober 2026 haben das Bundesinnenministerium, das Bundesministerium für Digitales und Staatsmodernisierung und das BSI gemeinsam eine Leitlinie zur Umstellung auf Post-Quanten-Kryptografie veröffentlicht. Sie setzt die EU-Roadmap um, auf die sich die Mitgliedstaaten im Juni 2025 verständigt hatten, und gibt Bund, Ländern, Kommunen, Unternehmen und Betreibern kritischer Infrastrukturen einen gemeinsamen Rahmen.

Der Zeitplan

Februar 2026
Ablaufdatum für klassische Verfahren
Das BSI legt in seiner Technischen Richtlinie TR-02102 fest: Klassische Verfahren wie RSA oder Elliptische Kurven sollen ab Ende 2031 nur noch in Kombination mit quantensicheren Verfahren eingesetzt werden.
Oktober 2026
Nationale Leitlinie
Bund und BSI veröffentlichen die nationale Leitlinie und übernehmen die Fristen der EU-Roadmap.
Heute
Ende 2026
Start der Umstellung
Die EU-Roadmap sieht vor, dass die Mitgliedstaaten bis dahin mit dem Übergang beginnen.
Ende 2030
Hohes Risiko umgestellt
Anwendungen mit hohem Risiko sollen quantensicher sein.
Ende 2035
Mittleres Risiko umgestellt
Auch Anwendungen mit mittlerem Risiko sollen umgestellt sein – die Umstellung soll damit weitgehend abgeschlossen sein.

Warum das schon heute zählt

Das Problem hat einen Namen: „Jetzt speichern, später entschlüsseln“. Angreifer können verschlüsselte Daten schon heute abfangen und aufbewahren, um sie zu entschlüsseln, sobald leistungsfähige Quantencomputer verfügbar sind. Für eine Nachricht, die morgen niemanden mehr interessiert, ist das egal. Für Daten, die über Jahrzehnte vertraulich bleiben müssen, nicht.

Genau solche Daten sind in Kommunen alltäglich: Personenstandsregister, Bauakten, Personal- und Sozialdaten, Grundstücksangelegenheiten. Vieles davon muss Jahrzehnte aufbewahrt werden und vertraulich bleiben. Dazu kommt, dass eine solche Umstellung erfahrungsgemäß viele Jahre dauert – wer erst reagiert, wenn Quantencomputer verfügbar sind, ist zu spät.

Die eigentliche Botschaft

Eine Umstellung, die 2030 abgeschlossen sein soll, beginnt nicht 2029. Sie beginnt mit dem Wissen, wo überhaupt verschlüsselt wird – und mit der nächsten Beschaffung.

Was die Leitlinie empfiehlt

Vier Kernempfehlungen

Verantwortung festlegen

Für die Umstellung braucht es klare Zuständigkeiten und verbindliche Fristen – nicht nur ein Thema „für später“.

Risiko bewerten

Das Quantenrisiko soll systematisch bewertet und im bestehenden Risikomanagement verankert werden.

Hybrid einsetzen

Empfohlen werden hybride Verfahren, die klassische und quantensichere Algorithmen kombinieren. Die Verbindung bleibt sicher, solange eines der beiden hält.

Hersteller einbinden

Hersteller und Lieferketten sollen früh eingebunden werden – denn die meisten Verfahren stecken in gekauften Produkten.

Fachmedien bewerten die Leitlinie inhaltlich als wenig überraschend. Ihr Wert liegt woanders: Sie schafft einen offiziellen Rahmen mit festen Jahreszahlen. Darauf werden sich künftig Ausschreibungen, Prüfungen und Vorgaben beziehen.

Warum Flexibilität wichtiger ist als das richtige Verfahren

Wie schnell sich die Bewertung einzelner Verfahren ändern kann, zeigte das BSI erst Anfang Oktober: Wegen Fortschritten in der Kryptoanalyse rät es davon ab, das quantensichere Verfahren Classic McEliece für Neuentwicklungen zu verwenden. Ein Verfahren, das gestern als sicher galt, ist heute nicht mehr erste Wahl.

Daraus folgt: Entscheidend ist nicht, heute das perfekte Verfahren auszuwählen, sondern Systeme so zu bauen und zu beschaffen, dass sich Verfahren später austauschen lassen. Fachleute sprechen von Krypto-Agilität. Mehr dazu in unserem Beitrag „Wissen, was drinsteckt“.

Was Kommunen und Unternehmen jetzt tun sollten

Sechs Schritte für den Einstieg

Rot: jetzt beginnen. Gelb: bei jeder Entscheidung ab sofort berücksichtigen. Grün: die organisatorische Grundlage.

Jetzt

Bestand aufnehmen

Wo wird verschlüsselt oder signiert? VPN-Zugänge, Zertifikate, Webportale, Fachverfahren, E-Mail, Backups, elektronische Akte und Archiv.

Krypto-Inventar anlegen

Jetzt

Langlebige Daten erkennen

Welche Daten müssen in zehn oder zwanzig Jahren noch vertraulich sein? Diese Systeme gehören in die Kategorie hohes Risiko.

Schutzbedarf nach Aufbewahrungsdauer bewerten

Ab sofort

Bei der Beschaffung mitdenken

Geräte und Software, die heute gekauft werden, laufen oft bis weit nach 2030. Bei jeder Beschaffung sollte geklärt sein, ob und wann das Produkt quantensichere Verfahren unterstützt und ob es sich aktualisieren lässt.

Quantensicherheit in Ausschreibungen abfragen

Ab sofort

Hersteller fragen

Firewall, VPN, Fachverfahren, Dokumentenmanagement: Die Umstellung hängt meist am Hersteller. Fragen Sie nach konkreten Plänen und Terminen.

Roadmaps der Hersteller einholen

Mittelfristig

Lebenszyklus planen

Systeme, die keine Updates mehr erhalten, lassen sich auch nicht quantensicher machen. Sie gehören auf die Austauschliste.

Altgeräte ohne Updatepfad einplanen

Grundlage

Verantwortung klären

Benennen Sie, wer das Thema verantwortet, und verankern Sie es im Informationssicherheits- und Risikomanagement.

Zuständigkeit und Zeitplan festhalten

Viele Organisationen stehen dabei noch am Anfang: Laut einer aktuellen Bitkom-Studie haben nur 29 Prozent der Unternehmen die Umstellung auf quantensichere Verschlüsselung umgesetzt oder zumindest geplant.

Eine Verbindung gibt es auch zu einem anderen Thema: Die Laufzeiten von Zertifikaten werden kürzer, Erneuerungen müssen automatisiert werden. Wer seine Zertifikate ohnehin automatisch verwaltet, kann später auch die Verfahren leichter umstellen. Mehr dazu in „Zertifikate laufen immer schneller ab“.

Wie wir unterstützen

Unser Beitrag

Krypto-Bestandsaufnahme

Wir erfassen gemeinsam mit Ihnen, wo in Ihrer Umgebung verschlüsselt wird – von VPN und Zertifikaten bis zu Fachverfahren und Archiv – und dokumentieren das im SimpleAssetManager.

Hersteller-Abstimmung

Wir klären mit den Herstellern Ihrer Firewalls, VPN-Lösungen und Fachanwendungen, wann quantensichere Verfahren unterstützt werden.

Zukunftsfeste Beschaffung

Bei neuen Anschaffungen achten wir darauf, dass Geräte und Software aktualisierbar sind und den Weg zu quantensicheren Verfahren mitgehen.

Eigene Produkte vorbereitet

Unsere eigenen Produkte sind so entwickelt, dass sich Verschlüsselung und Protokolle austauschen lassen, ohne das Produkt neu zu bauen.

Das Thema gehört zudem in jedes Informationssicherheitsmanagement – und damit auch zu den Nachweisen, die NIS2 von der Leitungsebene verlangt. Mehr dazu in „Haftung entsteht durch fehlende Nachweise“. Zu unserem Betreuungsmodell: Managed Services.

Fazit

Die Leitlinie macht aus einem abstrakten Zukunftsthema einen Zeitplan mit festen Jahreszahlen. Für Kommunen und Unternehmen ist jetzt nicht die Zeit für einen hektischen Umbau, sondern für drei ruhige Schritte: wissen, wo verschlüsselt wird, bei jeder Beschaffung an die Umstellung denken und mit den Herstellern sprechen. Wer das heute beginnt, erreicht 2030 ohne Druck.

Wissen Sie, wo bei Ihnen verschlüsselt wird?

Wir helfen bei der Bestandsaufnahme und planen mit Ihnen den Weg zu quantensicheren Verfahren – passend zu Ihren Beschaffungs- und Austauschzyklen.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherche-Stand: 16. Oktober 2026