Das Bundesdigitalministerium, das Bundesinnenministerium und das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben eine gemeinsame Leitlinie zur Umstellung auf Post-Quanten-Kryptografie veröffentlicht. Sie setzt die europäische Roadmap national um und nennt drei Zeitmarken. Bis Ende 2026 sollen Vorbereitung und Planung samt erstem Inventar der eingesetzten kryptografischen Verfahren abgeschlossen sein. Anwendungen mit hohem Risiko sollen spätestens bis Ende 2030 umgestellt sein, Anwendungen mit mittlerem Risiko bis Ende 2035. Die Zeitmarken sind Empfehlungen und keine pauschalen gesetzlichen Fristen für alle Unternehmen. Für Banken und Versicherer beginnt die Arbeit mit einem Krypto-Inventar, das regelmäßig aktualisiert wird. Danach priorisiert die IT nach der erforderlichen Schutzdauer der Daten. Angreifer können verschlüsselte Daten schon heute sammeln und später entschlüsseln („Store now, decrypt later“). Das BSI empfiehlt hybride Verfahren, die klassische und Post-Quanten-Verfahren kombinieren. Systeme sollten außerdem so gebaut sein, dass sich Verfahren austauschen lassen (Kryptoagilität). Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, das Inventar zuerst für langlebige Daten wie Vertrags- und Kundenakten aufzubauen und jedem Eintrag einen verantwortlichen Systemeigner zuzuordnen. Laut Bitkom-Studie haben 34 Prozent der Unternehmen, die sich mit Quantencomputing beschäftigen, es planen oder es sich vorstellen können, noch keine konkreten Maßnahmen gegen die Sicherheitsrisiken ergriffen oder geplant.