Post-Quanten-Passwortsicherheit: Was zu tun ist

Post-Quanten-Passwortsicherheit: Was CISOs jetzt tun müssen

Quantencomputer werden ein korrekt gehashtes 16-stelliges Passwort auf absehbare Zeit nicht per Brute Force knacken. Grovers Algorithmus halbiert lediglich den Exponenten einer Hash-Suche, nicht das ganze Problem. Was ein ausreichend großer Quantencomputer tatsächlich bricht, ist der RSA- und Elliptic-Curve-Schlüsselaustausch, der dieses Passwort zu Ihrem Server transportiert – und für dessen Ersatz hat NIST bereits eine Frist bis 2030 gesetzt.

Zwei getrennte Probleme werden zu einer Schlagzeile verdichtet: „Quantencomputer werden Ihre Passwörter brechen.“ Dieser Leitfaden hält sie auseinander und gibt IT- und Sicherheitsteams anschließend einen Arbeitsablauf an die Hand, mit dem sie prüfen können, welches der beiden tatsächlich auf ihren eigenen Passwortbestand zutrifft und welche Teile dieses Bestands warten können.

Das Wichtigste in Kürze

Shors Algorithmus bricht den RSA- und Elliptic-Curve-Schlüsselaustausch. Grovers Algorithmus halbiert lediglich die effektive Stärke eines Passwort-Hashes, von rund 128 Bit auf 64 Bit.
NIST hat FIPS 203, 204 und 205 im August 2024 finalisiert und in NIST IR 8547 für RSA, ECDSA und EdDSA den Zeitplan festgelegt: Abkündigung 2030, Verbot 2035.
Harvest-now-decrypt-later ist bereits aktiv. 61 % der Sicherheitsexperten nennen es ihre größte quantenbezogene Sorge, laut dem Bericht von Thales aus dem Jahr 2026.
Das 3-Schichten-Audit der Quantenexposition sortiert einen Passwortbestand in Hashes, Schlüsselaustausch und langlebige verschlüsselte Daten. Jede Schicht erhält ihre eigene Bewertung.
AES-256 bleibt bei den aktuellen Schlüssellängen quantenresistent. RSA-2048 ist die Komponente, für die jeder Anbieter – auch Passwortmanager – einen Migrationsplan braucht.

Die zwei relevanten Quantenalgorithmen (Shor vs. Grover)

Für die Passwortsicherheit sind zwei Quantenalgorithmen relevant, und sie leisten Unterschiedliches. Shors Algorithmus liefert eine exponentielle Beschleunigung gegen die Mathematik hinter RSA und Elliptic-Curve-Kryptografie und bricht damit den Schlüsselaustausch, sobald ein ausreichend großer Quantencomputer existiert. Grovers Algorithmus liefert lediglich eine quadratische Beschleunigung gegen symmetrische Suche und halbiert die effektive Stärke, statt sie auf null zu senken.

Algorithmus	Beschleunigung	Ziel	Praktische Auswirkung
Shors Algorithmus	Exponentiell	RSA, Elliptic-Curve-Kryptografie (ECC), Diffie-Hellman	Bricht Schlüsselaustausch und digitale Signaturen, sobald ein großer fehlerkorrigierter Quantencomputer existiert
Grovers Algorithmus	Quadratisch (Quadratwurzel)	Symmetrische Suche: Passwort-Hashes, AES-Schlüssel	Halbiert die effektive Bitstärke (aus 128 Bit werden rund 64 Bit); der Algorithmus selbst bleibt intakt

Der Unterschied zwischen exponentiell und quadratisch ist die ganze Geschichte. Eine quadratische Beschleunigung gegen einen 128-Bit-Hash lässt immer noch rund 2⁶⁴ Operationen übrig, was heute rechnerisch enorm ist, und eine Memory-hard-Funktion wie Argon2id vervielfacht diese Kosten weiter. Eine exponentielle Beschleunigung gegen RSA-2048 lässt keinen vergleichbaren Spielraum.

Die tiefere Mechanik gitterbasierter und anderer Post-Quanten-Verfahren erläutert unser Beitrag dazu, was Quantenkryptografie ist; dieser Leitfaden bleibt darauf fokussiert, was sich speziell für die Passwortinfrastruktur ändert.

Was ist Shors Algorithmus?

Shors Algorithmus – ein 1994 von Peter Shor entwickelter Quantenalgorithmus, der große Ganzzahlen in polynomieller Zeit effizient in ihre Primfaktoren zerlegt. Auf einem Quantencomputer kann er eine n-Bit-Zahl in etwa O(n³) Operationen faktorisieren, verglichen mit den besten bekannten klassischen Algorithmen, die exponentielle Zeit benötigen. Dieser Algorithmus ist bedeutsam, weil er die RSA-Verschlüsselung brechen kann, die auf der Schwierigkeit beruht, große Zahlen zu faktorisieren. Ein klassischer Computer bräuchte zum Faktorisieren einer 2048-Bit-Zahl beispielsweise Tausende von Jahren, während Shors Algorithmus auf einem ausreichend leistungsfähigen Quantencomputer dies in Stunden schaffen könnte.

Was ist Grovers Algorithmus?

Grovers Algorithmus – ein 1996 von Lov Grover entwickelter Quantenalgorithmus, der eine unsortierte Datenbank mit N Einträgen in O(√N) Zeit durchsucht und damit eine quadratische Beschleunigung gegenüber der klassischen Suche bietet, die O(N) Zeit benötigt. Der Algorithmus nutzt Quantensuperposition und Amplitudenverstärkung, um ein markiertes Element unter vielen unmarkierten zu identifizieren. Um beispielsweise ein bestimmtes Element unter 1 Million Elementen zu finden, bräuchte Grovers Algorithmus im Durchschnitt etwa 1.000 Abfragen statt 500.000. Grovers Beschleunigung ist weniger dramatisch als Shors Algorithmus, lässt sich dafür aber auf ein breiteres Spektrum von Problemen anwenden, darunter Datenbanksuche, Optimierung und Kryptoanalyse.

Warum Ihr Passwort-Hash nicht das eigentliche Ziel ist

Ein korrekt gehashtes Passwort bleibt auch unter Grovers Algorithmus teuer zu knacken, weil die Kosten der Hash-Funktion bei jedem einzelnen Rateversuch eines Quantencomputers anfallen. Argon2id und bcrypt sind konstruktionsbedingt memory-hard, sodass eine Halbierung des Exponenten einem Angreifer immer noch einen hohen Preis pro Versuch abverlangt.

Nehmen Sie ein 16-stelliges Zufallspasswort aus dem vollständigen Zeichensatz von 95 druckbaren Zeichen: rund 105 Bit Entropie, bevor das Hashing greift. Grovers quadratische Beschleunigung halbiert diesen Exponenten in etwa, womit ein Angreifer bei rund 2⁵² effektiven Operationen landet. Diese Zahl bleibt für jeden Quantencomputer, der heute ernsthaft diskutiert wird, unerreichbar, und der Memory-hard-Aufwand von Argon2id vervielfacht den Preis jedes Rateversuchs obendrein.

Nicht jede Hash-Funktion bietet diesen Schutz im gleichen Maß. PBKDF2 ist CPU-gebunden und lässt sich auf spezialisierter Hardware günstiger parallelisieren. Argon2id und bcrypt zwingen einen Angreifer, nicht nur mit Zeit, sondern auch mit Speicher zu bezahlen, was mit besserem GPU- und ASIC-Cracking immer stärker ins Gewicht fällt, quantenbasiert oder nicht. Salting bleibt unabhängig vom Algorithmus verpflichtend: Es verhindert vorberechnete Rainbow-Table-Angriffe und zwingt jeden Rateversuch, einzeln gegen einen einzelnen Hash zu laufen.

Unser Leitfaden zu Passwort-Hashing und Salting behandelt die Mechanik jeder Funktion ausführlicher, einschließlich der Frage, warum ein Minimum von 16 Zeichen zur praktischen Untergrenze geworden ist.

Was ist Argon2id?

Argon2id – ein modernes Passwort-Hashing-Verfahren, das 2015 die Password Hashing Competition gewonnen hat. Es ist so ausgelegt, dass es sowohl GPU- als auch ASIC-Angriffen widersteht, indem es erhebliche Mengen an Speicher und Rechenzeit erfordert. Argon2id kombiniert zwei Varianten: Argon2i (widerstandsfähig gegen Seitenkanalangriffe) und Argon2d (schneller, aber potenziell anfällig für Seitenkanäle). Es verwendet konfigurierbare Parameter für Zeitaufwand, Speicheraufwand und Parallelität, was es sehr widerstandsfähig gegen Brute-Force-Angriffe macht. Mit den empfohlenen Einstellungen kann das Hashen eines Passworts beispielsweise 1 bis 2 Sekunden dauern und 64 MB Speicher benötigen, was es für Angreifer unpraktikabel macht, Passwörter in großem Maßstab zu knacken.

Was ist PBKDF2?

PBKDF2 (Password-Based Key Derivation Function 2) – eine von NIST standardisierte Schlüsselableitungsfunktion, die eine Pseudozufallsfunktion (wie HMAC-SHA256) wiederholt auf ein Passwort und einen Salt anwendet, um einen abgeleiteten Schlüssel zu erzeugen. Sie soll das Passwort-Hashing über eine konfigurierbare Iterationszahl verlangsamen und damit Brute-Force-Angriffe rechnerisch teurer machen. PBKDF2 hat sich für Passwort-Hashing und Schlüsselableitung in vielen Anwendungen weit verbreitet. Gegenüber modernen Algorithmen wie Argon2id hat sie jedoch Grenzen, weil sie keinen erheblichen Speicher erfordert, was sie anfällig für GPU- und ASIC-basierte Angriffe macht. PBKDF2 mit 100.000 Iterationen gilt beispielsweise weiterhin als akzeptabel, aber als weniger sicher als Memory-hard-Alternativen.

Was ist bcrypt?

bcrypt – ein Passwort-Hashing-Verfahren auf Basis der Blowfish-Chiffre, 1999 von Niels Provos und David Mazières entworfen. Es integriert einen Salt und einen konfigurierbaren Kostenfaktor (Work Factor), um den Hashing-Vorgang zu verlangsamen und damit Brute-Force-Angriffen zu widerstehen. Der Kostenfaktor kann mit wachsender Rechenleistung über die Zeit erhöht werden, wodurch bcrypt über Jahre sicher bleibt. bcrypt erzeugt und speichert den Salt automatisch innerhalb der Hash-Ausgabe, was die Implementierung vereinfacht. bcrypt mit einem Kostenfaktor von 12 benötigt auf moderner Hardware beispielsweise rund 250 Millisekunden, um ein Passwort zu hashen. bcrypt ist weiterhin weit verbreitet und gilt als sicher, erfordert aber im Gegensatz zu Argon2id keinen Speicher, was es für Angriffe mit spezialisierter Hardware etwas anfällig macht.

Die Schicht, die wirklich bricht: Schlüsselaustausch

RSA-2048 und der ECDH-Schlüsselaustausch sind hier das eigentliche Ziel. Shors Algorithmus macht die Faktorisierung der Mathematik hinter RSA und die Berechnung der diskreten Logarithmen hinter ECC praktisch lösbar, was TLS-Handshakes, SSH-Sitzungen, VPN-Tunnel und jedes Wrapping privater Schlüssel bricht, das auf denselben Primitiven aufbaut.

Public-Key-Kryptografie trägt dieses Risiko an mehr Stellen in die alltägliche Infrastruktur, als die meisten Teams erfassen:

TLS-1.3-Handshakes: RSA- oder ECDHE-Schlüsselaustausch, ECDSA-Zertifikate
SSH-Schlüsselaustausch für Hosts und Benutzer
Aushandlung von VPN-Tunneln
Wrapping privater Schlüssel innerhalb der Schlüsselhierarchie eines Passwortmanagers
Zertifikate für Code- und Dokumentsignierung

Die Mathematik hinter diesem Risiko ist nicht hypothetisch. Google Quantum AI hat im Mai 2025 ein Preprint veröffentlicht, das zeigt, dass RSA mit 2048 Bit theoretisch von einem ausreichend großen fehlerkorrigierten Quantencomputer faktorisiert werden könnte. Die Maschine existiert noch nicht. Die Mathematik, die es brechen würde, existiert bereits.

Ein Passwortmanager steht auf derselben Liste. Einen Tresor mit einem neuen Teammitglied teilen, einen Datensatz zwischen Geräten synchronisieren oder beim Login einen privaten Schlüssel entpacken – alles hängt irgendwo in der Kette von einer asymmetrischen Operation ab. Das Audit des Krypto-Stacks Ihres Passwortmanagers gehört in dasselbe Inventar wie Ihre TLS-Endpunkte und VPN-Konzentratoren.

Harvest now, decrypt later: Die Bedrohung, die heute existiert

Harvest now, decrypt later beschreibt einen Angreifer, der heute verschlüsselten Datenverkehr aufzeichnet und ihn entschlüsselt, sobald ein leistungsfähiger Quantencomputer existiert. Damit wird aus „Quanten sind zehn Jahre entfernt“ ein „die Sammlung hat längst begonnen“, was für alle Daten zählt, deren Vertraulichkeit ein Jahrzehnt oder länger überdauern muss.

Thales hat in 20 Ländern 3.120 Sicherheits- und IT-Experten für den Quantum & AI Threat Report 2026 befragt und dabei festgestellt, dass Harvest-now-decrypt-later deren größte quantenbezogene Sorge ist, genannt von 61 % der Befragten und damit vor Algorithmus-Abkündigung oder Compliance-Fristen. Angreifer mit der Geduld, jahrelang auf einen Ertrag zu warten, typischerweise staatliche Akteure, sind diejenigen, die diese Sammlung heute betreiben.

Die Exposition konzentriert sich auf Daten, die jahrelang vertraulich bleiben müssen: Krankenakten, Gerichtsakten, geistiges Eigentum, Behördenkommunikation. Ein TLS-Sitzungsschlüssel, der mit dem Schließen der Verbindung verworfen wird, ist ein schlechtes Ziel. Ein RSA-umschlossenes Archiv aus dem Jahr 2024, das 2034 noch auf einem Backup-Band liegt, ist genau das, worauf diese Bedrohung zielt – und ebenso ein verschlüsselter Tresor-Export in einem außer Betrieb genommenen Backup, an dessen Löschung niemand gedacht hat.

Was NIST tatsächlich entschieden hat und welche Fristen gelten

NIST hat im August 2024 seine ersten drei Standards für Post-Quanten-Kryptografie finalisiert: FIPS 203 (ML-KEM) für den Schlüsselaustausch, FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) für digitale Signaturen. NIST IR 8547 hat anschließend die Compliance-Uhr gestellt: RSA, ECDSA und EdDSA werden nach 2030 abgekündigt und nach 2035 nicht mehr zugelassen.

Datum	Meilenstein
2016	NIST eröffnet sein Standardisierungsverfahren für Post-Quanten-Kryptografie
August 2024	FIPS 203, 204 und 205 finalisiert: ML-KEM, ML-DSA, SLH-DSA
November 2024	NIST IR 8547 veröffentlicht, legt den Zeitplan für Abkündigung und Verbot fest
Nach 2030	RSA, ECDSA und EdDSA abgekündigt
Nach 2035	RSA, ECDSA und EdDSA nicht mehr zugelassen

Symmetrische Kryptografie mit 128 Bit Sicherheit oder mehr ist davon nicht betroffen. AES-256 braucht keinen Algorithmuswechsel. Die Fristen zielen speziell auf die asymmetrische Schicht: RSA, ECDSA und EdDSA, ersetzt durch ML-KEM und ML-DSA. Die Commercial National Security Algorithm Suite 2.0 spiegelt diesen Zeitplan für US-amerikanische Systeme der nationalen Sicherheit, ein Signal dafür, wie ernst Beschaffungsteams ihn nehmen sollen.

NIST IR 8547 stellt die Post-Quanten-Migration als mehrjährige Entwicklungsaufgabe dar, in der Größenordnung eines Jahrzehnts, um sie über Produkte und Infrastruktur hinweg zu integrieren – das ist das eigentliche Argument dafür, jetzt mit einem Inventar zu beginnen und nicht bis 2029 zu warten. IBM verfolgt mit seiner öffentlichen Quanten-Roadmap bis 2033 ein System mit mehr als 100.000 Qubits. Das ist das erklärte Ziel des Anbieters selbst, keine unabhängige Prognose, aber es setzt ein ungefähres Datum dafür, ab wann „groß genug“ nicht mehr theoretisch ist.

Kryptoagilität jetzt in die Beschaffung einzubauen, also die Fähigkeit, einen Algorithmus zu tauschen, ohne die Architektur eines Produkts neu aufzusetzen, macht daraus statt einer Hauruckaktion eine planmäßige Migration.

Das 3-Schichten-Audit der Quantenexposition

Dieses Audit dauert einen Nachmittag, kein Beratungsprojekt. Sortieren Sie Ihren Passwortbestand in drei Schichten, und jede erhält ihre eigene Bewertung: sicher, beobachten oder jetzt handeln.

Schicht	Was es ist	Quantenstatus	Bewertung
1. Passwort-Hashes	Argon2id, bcrypt oder PBKDF2 zum Schutz gespeicherter Zugangsdaten	Grover halbiert die effektive Stärke; Memory-hard-Funktionen bleiben pro Rateversuch teuer	Sicher. Algorithmus und Iterationszahl erneut prüfen, aber nicht dringend
2. Schlüsselaustausch und Transport	RSA, ECDH, ECDSA in TLS, SSH, VPN und beim Wrapping privater Schlüssel	Shor bricht die zugrunde liegende Mathematik, sobald ein leistungsfähiger Quantencomputer existiert	Jetzt handeln. Inventarisieren und eine Migration zu ML-KEM und ML-DSA planen
3. Langlebige verschlüsselte Daten im Ruhezustand	Archive, Backups und Unterlagen, deren Vertraulichkeit ein Jahrzehnt überdauern muss	Heute exponiert über Harvest-now-decrypt-later, wenn nur durch einen asymmetrischen Schlüsselaustausch geschützt	Beobachten. Nach Datensensibilität und Aufbewahrungsfrist priorisieren

Schicht 1 ist die Schicht, um die Teams sich am meisten sorgen und um die sie sich am wenigsten sorgen müssen. Wenn Ihre Hashes für Login und Masterpasswort des Passwortmanagers bereits Argon2id, PBKDF2 oder bcrypt mit einem angemessenen Kostenfaktor verwenden, ändert Grovers Algorithmus Ihre Risikorechnung nicht. Die eine echte Lücke, die es zu verfolgen lohnt: Ein Altsystem, auf dem noch MD5 oder ungesalzenes SHA-1 läuft, war schon gebrochen, bevor Quanten in die Diskussion kamen.

Schicht 2 ist die Stelle, an der ein Administrator üblicherweise die tatsächliche Lücke findet: ein VPN-Konzentrator, der noch auf RSA-2048 festgelegt ist, eine interne PKI, die ECDSA-Zertifikate ohne Erneuerungsplan ausstellt, eine alte API, die nie über TLS 1.2 hinausgekommen ist. Inventarisieren Sie jede Stelle, an der RSA, ECDH oder ECDSA einen Schlüsselaustausch durchführt, und beginnen Sie mit dem, was Ihren langlebigsten Datenverkehr schützt.

Schicht 3 dreht sich um das, was bereits gesammelt wurde, nicht um das, was morgen verschlüsselt wird. Fragen Sie, welche Daten Ihre Organisation heute schützt, die 2035 noch vertraulich sein müssen: Legal Holds, Cap-Tables, Quellcode, alles unter einem mehrjährigen NDA. Prüfen Sie dann, ob diese Vertraulichkeit von einem asymmetrischen Schlüsselaustausch abhängt, der vor Jahren durchgeführt wurde.

Führen Sie das Audit einmal durch und binden Sie es dann in den Rhythmus ein, den Ihr Team ohnehin für ein Krypto-Inventar nutzt. Jährlich ist angemessen. Häufiger, wenn Sie in diesem Jahr eine neue PKI ausrollen oder einen VPN-Vertrag neu verhandeln.

Die Krypto-Dokumentation eines Passwortmanagers lesen

Die Krypto-Dokumentation eines Passwortmanagers sollte genau benennen, was Ihren Tresor auf jeder Schicht schützt. Eine vage Behauptung von „Verschlüsselung auf Militärniveau“ zählt nicht. Achten Sie auf benannte Algorithmen, angegebene Schlüssellängen, eine benannte Schlüsselableitungsfunktion und eine öffentliche Position zur Post-Quanten-Migration.

Was ein quantenbewusster Anbieter veröffentlicht:

Die genaue symmetrische Chiffre und Schlüssellänge, die Tresordaten schützt (AES-128 und AES-256 bieten nicht denselben Spielraum, „AES“ allein genügt also nicht)
Den genauen asymmetrischen Algorithmus für Schlüsselaustausch und das Wrapping privater Schlüssel
Die Schlüsselableitungsfunktion und die Iterationszahl, die aus einem Masterpasswort einen Verschlüsselungsschlüssel machen
Ob die Verschlüsselung clientseitig erfolgt, nach dem Zero-Knowledge-Modell, oder nur im Ruhezustand auf dem Server

Passwork liefert mit seiner eigenen Dokumentation ein vernünftiges Beispiel dafür, wie diese Transparenz in der Praxis aussieht. Die clientseitige Verschlüsselung wendet AES-256 auf Tresor- und Datensatzdaten an, mit einer separaten AES-256-Schicht, die die Datenbank im Ruhezustand schützt. Aus einem Masterpasswort wird über PBKDF2 (HMAC-SHA-256) ein 512-Bit-Masterschlüssel abgeleitet, der einen privaten RSA-2048-Schlüssel entpackt, und dieser entpackt wiederum die Schlüssel pro Tresor und pro Datensatz – diese Hierarchie dokumentiert die Kryptografie-Übersicht.

Lässt man diesen Stack durch das 3-Schichten-Audit laufen, ist die ehrliche Antwort eindeutig. Die AES-256-Datenschicht bleibt bei den aktuellen Schlüssellängen quantenresistent; die RSA-2048-Schicht für den Schlüsselaustausch ist die Komponente, die zu beobachten ist, während die Post-Quanten-Standards branchenweit reifen. Das ist dieselbe Antwort, die Ihnen heute jeder Anbieter geben sollte, der Schlüssel mit RSA umschließt: eine dokumentierte AES-256-Schicht, die sich nicht ändern muss, und eine asymmetrische Schicht mit einem eingeräumten Migrationspfad, nicht die Behauptung, alles sei bereits quantensicher. Unser Beitrag zu AES-256 erklärt, warum der Spielraum bei der Schlüssellänge für sich genommen zählt.

Wenn Ihr Team sein eigenes Krypto-Inventar beginnt, liefert Passwork genau einen solchen dokumentierten AES-256/RSA-2048-Stack, mit exportierbaren Audit-Logs, die direkt in Ihre Prüfung von Schicht 2 einfließen. Kostenlose Testversion starten

Was heute zu tun ist (und was warten kann)

Beginnen Sie mit dem, was heute den Schlüsselaustausch von TLS, SSH und VPN schützt, denn das ist die Schicht mit einer tatsächlichen Frist bis 2030. Passkey-Rollout, Tests für hybriden Schlüsselaustausch und ein dokumentiertes Krypto-Inventar können parallel laufen. Das Neuverschlüsseln von AES-256-Installationen oder die Sorge um die Stärke von Passwort-Hashes kann warten.

Jetzt erledigen:

Inventarisieren Sie jede Stelle, an der RSA, ECDH oder ECDSA einen Schlüsselaustausch durchführt: TLS-Endpunkte, SSH-Hosts, VPN-Konzentratoren, interne PKI.
Vergewissern Sie sich, dass Ihr Passwortmanager und Ihr Identity-Provider ihren tatsächlichen Krypto-Stack veröffentlichen statt einer vagen Behauptung von „Verschlüsselung auf Bankenniveau“. Wenn ein Anbieter seine Algorithmen und Schlüssellängen auf Anfrage nicht benennt, behandeln Sie das als die Antwort.
Aktivieren Sie MFA überall dort, wo sie nicht bereits verpflichtend ist. Das berührt die Quantenfrage nicht direkt, schließt aber Lücken, während die Migration läuft.

In diesem Jahr planen:

Bringen Sie hybriden Schlüsselaustausch (klassisch plus ML-KEM) in die Roadmap-Gespräche mit Ihren Anbietern, insbesondere für alles, was einer Frist bis 2030 unterliegt.
Priorisieren Sie den Passkey-Rollout für die Authentifizierung von Endbenutzern. Die Algorithmusagilität von FIDO2 bedeutet, dass der Migrationspfad bereits existiert, auch wenn heutige Passkeys noch ECDSA verwenden, und der Rollout selbst verringert, wie viel Ihres Bestands überhaupt noch von einem Passwort-Hash abhängt.
Beseitigen Sie verbliebene TLS-1.2-Endpunkte. Das Update auf TLS 1.3 ist eine Voraussetzung für Post-Quanten-Schlüsselaustausch, kein separates Projekt.

Beobachten:

Die Quanten-Hardware-Roadmaps von IBM und Google. Ein Sprung über die Meilensteine im NIST-Zeitplan oben hinaus würde Fristen nach vorn verschieben, statt sie lediglich zu bestätigen.
NIST-Leitlinien zu hybriden und reinen Post-Quanten-Modi, während Implementierungen von FIPS 203, 204 und 205 in gängigen TLS- und SSH-Bibliotheken reifen.

Nichts davon erfordert den Austausch eines bestehenden Passwortmanagers. Wenn er bereits einen AES-256/RSA-2048-Stack wie den oben beschriebenen veröffentlicht, tut die Plattform ihren Teil; die Inventararbeit oben ist Ihre.

Fazit

Quantencomputer kommen nicht für Ihren Passwort-Hash. Sie kommen für den RSA- und ECC-Schlüsselaustausch, der ihn transportiert, und NIST hat die Daten bereits in den Kalender geschrieben: 2030 für die Abkündigung, 2035 für das Verbot. Das 3-Schichten-Audit der Quantenexposition verwandelt dieses abstrakte Risiko in drei konkrete Prüfungen, die ein Team in diesem Quartal durchführen kann – eine davon lässt sich wahrscheinlich noch an diesem Nachmittag abschließen.

Beginnen Sie mit Schicht 2. Ziehen Sie die Liste aller Stellen, an denen RSA, ECDH oder ECDSA in Ihrer Umgebung einen Handshake abwickeln, und Sie wissen innerhalb eines Tages, mit welchen Anbietern ein Migrationsgespräch nötig ist und welche eines bereits begonnen haben.

Wenn Ihr Team dieses Inventar aufbaut, gibt Passwork Ihnen einen dokumentierten AES-256/RSA-2048-Tresor mit exportierbaren Audit-Logs, die direkt einfließen. Kostenlose Testversion starten

Häufig gestellte Fragen

Brechen Quantencomputer alle heutigen Passwörter?

Nein. Shors Algorithmus bricht den RSA- und ECC-Schlüsselaustausch um ein Passwort herum, nicht den Passwort-Hash selbst. Ein 16-stelliges Zufallspasswort bleibt auch mit Grovers quadratischer Beschleunigung rechnerisch teuer zu knacken, besonders unter einer Memory-hard-Funktion wie Argon2id.

Sind Passwort-Hashes quantensicher?

Weitgehend ja. Argon2id, PBKDF2 und bcrypt bleiben unter Grovers Algorithmus teuer, weil ihr Memory-hard-Aufwand bei jedem Rateversuch anfällt, quantenbasiert oder nicht. Ausreichende Länge (16 Zeichen oder mehr) und ein modernes Hash-Verfahren sind die zwei Maßnahmen, die hier tatsächlich zählen.

Was unterscheidet Shors und Grovers Algorithmus bei Passwörtern?

Shors Algorithmus liefert eine exponentielle Beschleunigung gegen Faktorisierung und diskrete Logarithmen, und genau das bricht den RSA- und ECC-Schlüsselaustausch. Grovers Algorithmus liefert lediglich eine quadratische Beschleunigung gegen die Hash-Suche und senkt die Stärke von 128 Bit auf rund 64 Bit, statt sie vollständig zu brechen.

Was ist Harvest now, decrypt later?

Es ist die Praxis, den verschlüsselten Datenverkehr von heute aufzuzeichnen und ihn zu entschlüsseln, sobald ein leistungsfähiger Quantencomputer existiert. Ziel sind Daten mit langer Vertraulichkeitsanforderung, etwa juristische und medizinische Unterlagen oder solche zu geistigem Eigentum, weshalb das Sammelrisiko jetzt besteht und nicht erst 2030.

Was bedeutet die NIST-Frist 2030/2035 für mein Unternehmen?

NIST IR 8547 kündigt RSA, ECDSA und EdDSA nach 2030 ab und lässt sie nach 2035 nicht mehr zu. Teams sollten jetzt inventarisieren, wo diese Algorithmen den Schlüsselaustausch abwickeln, und einen Migrationsplan in Richtung ML-KEM und ML-DSA aufstellen, bevor die Frist erreicht ist.

Sind Passkeys quantensicher?

Noch nicht, aber sie sind gut positioniert. Aktuelle Passkeys verwenden ECDSA, das Shors Algorithmus irgendwann brechen würde, aber das FIDO2-Protokoll unterstützt den Austausch von Algorithmen von Grund auf. Das dürfte den Übergang zu Passkeys reibungsloser machen als die Migration alter Passwortinfrastruktur.