USA beschleunigen Umstieg auf Post-Quantum-Kryptografie

Neue US-Vorgaben setzen feste Fristen für besonders kritische Bundes-IT. Auch Anbieter und Auftragnehmer müssen sich auf künftige PQC-Anforderungen vorbereiten.

Die US-Regierung verschärft den Zeitplan für den Schutz besonders kritischer Bundes-IT vor künftigen Quantenangriffen. Eine neue Executive Order setzt verbindliche Migrationsfristen für ausgewählte Systeme. Eine zweite Anordnung soll die amerikanische Forschung und Industrie im Bereich Quantentechnologie stärken.

US-Präsident Donald Trump unterzeichnete beide Executive Orders am 22. Juni 2026. Die erste betrifft die Migration zu Post-Quantum-Kryptografie, kurz PQC. Die zweite umfasst eine breitere Initiative für Quantencomputer, Quantensensoren, Quantennetzwerke, Forschung und Lieferketten.

Kritische Bundes-IT erhält feste Fristen

Jede US-Bundesbehörde muss innerhalb von 30 Tagen einen Verantwortlichen für ihre PQC-Migration benennen. Besonders kritische Systeme sollen bei der kryptografischen Schlüsselaushandlung bis zum 31. Dezember 2030 auf quantenresistente Verfahren umgestellt werden. Für digitale Signaturen dieser Systeme gilt der 31. Dezember 2031.

Die Fristen beziehen sich auf sogenannte High Value Assets und High Impact Systems. Damit priorisiert die Regierung Systeme, deren Ausfall oder Kompromittierung besonders schwerwiegende Folgen für staatliche Aufgaben, sensible Informationen oder die nationale Sicherheit haben könnte.

Die Anordnung verlangt außerdem ein Pilotprojekt zur praktischen PQC-Migration. Der US-Handelsminister soll dieses über den Direktor des National Institute of Standards and Technology innerhalb von 180 Tagen starten und bis zum 31. Dezember 2027 abschließen.

Darüber hinaus sollen Mindestanforderungen für eine sogenannte Cryptographic Bill of Materials entwickelt werden. Ein solches Verzeichnis soll Organisationen dabei unterstützen, die in Systemen und Produkten eingesetzten kryptografischen Komponenten nachvollziehbar zu dokumentieren.

Gesamtmigration bleibt auf 2035 ausgerichtet

Die Fristen für 2030 und 2031 bedeuten nicht, dass die gesamte US-Bundes-IT bis dahin vollständig auf Post-Quantum-Verfahren umgestellt sein muss.

Ein ergänzendes Memorandum des Office of Management and Budget verlangt eine priorisierte, risikobasierte Migration. Die Behörden sollen bis Ende 2030 so viele quantenbezogene Risiken wie praktikabel reduzieren. Für verbleibende Systeme bleibt eine Migration bis 2035 vorgesehen.

Das Memorandum fordert die Behörden zudem auf, PQC-Fähigkeiten in ihre bestehenden Governance-, Modernisierungs- und Beschaffungsprozesse zu integrieren. Dazu gehören die Inventarisierung kryptografischer Abhängigkeiten, die Planung der Migration und die Durchführung von Pilotprojekten.

Künftige Vorgaben für Auftragnehmer

Auch Anbieter und Dienstleister der US-Regierung könnten von den neuen Vorgaben erfasst werden. Die Executive Order beauftragt den Federal Acquisition Regulatory Council, innerhalb von 180 Tagen einen Vorschlag zur Änderung der bundesweiten Beschaffungsregeln vorzulegen.

Der Vorschlag soll für betroffene Auftragnehmer Anforderungen an die Einhaltung einschlägiger NIST-Standards und PQC-kompatibler Verfahren vorsehen. Eine allgemeine, bereits geltende PQC-Pflicht für alle Bundesauftragnehmer lässt sich daraus jedoch noch nicht ableiten. Zunächst muss der angekündigte Regelungsvorschlag veröffentlicht und das vorgesehene Verfahren durchlaufen werden.

Für Anbieter von Cloud-Diensten, Netzwerk- und Security-Produkten, Identitätslösungen, Public-Key-Infrastrukturen oder Hardware-Sicherheitsmodulen ist die Entwicklung dennoch relevant. Bei künftigen Bundesbeschaffungen könnten nach Abschluss des Regelungsverfahrens häufiger konkrete Nachweise zur PQC-Unterstützung verlangt werden.

Zweite Executive Order stärkt Quantentechnologie

Parallel zur Kryptografie-Anordnung hat die US-Regierung eine breiter angelegte Quanteninitiative gestartet. Sie sieht unter anderem eine Aktualisierung der nationalen Quantenstrategie, den Ausbau von Forschungsinfrastrukturen und eine stärkere Zusammenarbeit zwischen Staat, Wissenschaft und Privatwirtschaft vor.

Zu den geplanten Maßnahmen gehört die Initiative „Quantum Computer for Application Development and Discovery Science“. Sie soll die Entwicklung und Nutzung eines wissenschaftlich relevanten Quantencomputers unterstützen. Zunächst müssen dafür jedoch technische Anforderungen, Kosten, Zeitpläne und mögliche Partnerschaftsmodelle ausgearbeitet werden.

Weitere Vorgaben betreffen die Bewertung von Quantencomputern, die Entwicklung von Quantensensoren, den Aufbau von Quantennetzwerken, die Sicherung von Lieferketten sowie die Ausbildung von Fachkräften.

Die Anordnung garantiert weder einen universell fehlertoleranten Quantencomputer zu einem festen Termin noch ein bestimmtes zusätzliches Budget. Ihre Umsetzung steht unter rechtlichen und haushalterischen Vorbehalten.

Was IT-Entscheider daraus ableiten können

Für CIOs und CISOs ist derzeit weniger entscheidend, wann ein kryptografisch relevanter Quantencomputer tatsächlich verfügbar sein wird. Wichtiger ist, dass öffentliche Auftraggeber bereits heute Anforderungen für Systeme vorbereiten, die viele Jahre im Einsatz bleiben.

Unternehmen sollten deshalb zunächst erfassen, wo sie kryptografische Verfahren einsetzen. Dazu gehören Anwendungen, Zertifikate, Netzwerkverbindungen, Geräte, Schnittstellen, Cloud-Dienste und eingebettete Systeme.

Besondere Aufmerksamkeit verdienen Daten, die langfristig vertraulich bleiben müssen. Angreifer könnten verschlüsselte Informationen bereits heute sammeln, um sie später mit leistungsfähigeren Technologien zu entschlüsseln. Die US-Anordnung nennt diese als „harvest now, decrypt later“ bekannte Bedrohung ausdrücklich als einen Grund für die beschleunigte Migration.

Ein sofortiger, flächendeckender Austausch aller bestehenden Verfahren ist daraus nicht abzuleiten. Sinnvolle erste Schritte sind ein belastbares Kryptografie-Inventar, klare Zuständigkeiten und eine Architektur, in der sich Algorithmen und Schlüsselverfahren kontrolliert austauschen lassen.

Bei neuen Verträgen, Cloud-Projekten und langfristig eingesetzten Plattformen sollten Unternehmen außerdem prüfen, ob Anbieter bereits standardisierte Post-Quantum-Verfahren unterstützen oder nachvollziehbare Migrationspläne vorlegen können.

Fazit

Die neuen US-Vorgaben machen Post-Quantum-Kryptografie zu einem konkreten Governance- und Modernisierungsthema. Verbindliche Fristen gelten zunächst vor allem für besonders kritische Systeme der Bundesverwaltung.

Für Auftragnehmer und Technologieanbieter sind weitergehende Anforderungen angekündigt, aber noch nicht abschließend beschlossen. Unternehmen sollten daher weder von einer bereits geltenden allgemeinen PQC-Pflicht ausgehen noch das Thema auf unbestimmte Zeit verschieben.

Der wichtigste Schritt ist zunächst Transparenz: Unternehmen müssen wissen, welche kryptografischen Verfahren sie verwenden, wie lange ihre Systeme und Daten geschützt werden müssen und wie flexibel sich ihre Architektur auf neue Standards umstellen lässt.