Die Umstellung auf Post-Quanten-Kryptografie (PQC) dauert Jahre, weil Kryptografie in Firmware, Betriebssystemen, Anwendungen und Datenbanken steckt. Ein Gastbeitrag in Security-Insider vom 2026-11-05 verweist auf den EU-Fahrplan von 2025. Er sieht nationale Migrationsstrategien bis Ende 2026 vor, die Umstellung von Anwendungen mit hohem Risiko bis Ende 2030 und den Abschluss bis 2035. Anlass ist die Angriffsmethode „Harvest now, decrypt later“: Verschlüsselte Daten werden heute erbeutet und später entschlüsselt. Für Banken und Versicherer mit langlebigen Vertrags- und Kundendaten ergibt sich daraus eine feste Reihenfolge. Erstens werden Daten mit langer Vertraulichkeitsdauer erfasst. Zweitens wird daraus die Priorität der Systeme abgeleitet. Drittens werden die PQC-Roadmaps der Software- und Systemlieferanten abgefragt. Viertens wird PQC-Unterstützung zum Auswahlkriterium der nächsten Hardware-Beschaffung. Server bleiben laut Beitrag typischerweise vier oder fünf Jahre im Einsatz, der reguläre Erneuerungszyklus ist deshalb der günstigste Zeitpunkt. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank lässt sich die Umstellung am besten in ein ohnehin geplantes Modernisierungsvorhaben einbetten.