Post-Quanten-Signaturen und Standards: Wo NIST, ISO und BSI Ende 2026 stehen

Verträge, Rechnungen, Software-Updates, Zertifikate und Freigaben im Datenraum: Überall, wo es um Echtheit geht, stecken digitale Signaturen. Anders als bei der Verschlüsselung ist bei Post-Quanten-Signaturen nicht alles mit einem Standard erledigt. Die Normung läuft auf mehreren Ebenen weiter, und wer langlebige Systeme plant, sollte den Stand kennen.

Warum Signaturen anders ticken als Verschlüsselung

Bei der Verschlüsselung droht der Angriff rückwirkend: Wer heute verschlüsselte Daten aufzeichnet, kann sie später mit einem leistungsfähigen Quantencomputer entschlüsseln. Bei Signaturen ist das anders. Eine Signatur, die heute gültig geprüft wurde, wird nicht nachträglich falsch. Gefährlich wird es, sobald ein Angreifer mit einem solchen Rechner neue Signaturen fälschen kann, etwa auf Software-Updates oder Zertifikaten.

Daraus folgt zweierlei: Die Umstellung der Signaturen ist weniger eilig als die der Schlüsselvereinbarung. Sie dauert aber länger, weil Signaturen tief in Infrastruktur stecken, in Zertifikatsketten, Hardware-Sicherheitsmodulen, Chipkarten, Firmware und Archiven mit Aufbewahrungsfristen. Und wo Signaturen über viele Jahre Beweiskraft haben sollen, etwa bei Verträgen, zählt jedes Jahr Vorlauf.

Was bei NIST fertig ist und was nicht

Im August 2024 hat das US-amerikanische NIST zwei finale Signaturstandards veröffentlicht: FIPS 204 auf Basis von Gitterproblemen und FIPS 205 auf Basis von Hashfunktionen (NIST). Die beiden ergänzen sich bewusst: Das erste ist schnell und kompakt, das zweite beruht auf besonders gut verstandenen Annahmen, erzeugt aber deutlich größere Signaturen.

Ein dritter Standard mit besonders kleinen Signaturen ist angekündigt, aber noch nicht final. Er gilt als anspruchsvoll in der sicheren Umsetzung. Bis er vorliegt, gehört er ins Labor, nicht in die Produktion.

Die dritte Runde der zusätzlichen Signaturverfahren

Parallel sucht NIST nach weiteren Signaturverfahren. Zwei Ziele stehen im Vordergrund: kleinere Signaturen für Anwendungen mit wenig Platz, etwa Chipkarten oder eingebettete Systeme, und mehr Vielfalt bei den mathematischen Grundlagen. Am 14. Mai 2026 hat NIST nach 18 Monaten Bewertung neun Kandidaten für die dritte Runde ausgewählt (Ankündigung im NIST-PQC-Forum). Sie stammen aus vier Familien: multivariate Verfahren, Verfahren nach dem Prinzip „MPC in the Head“, ein Gitterverfahren und ein Verfahren auf Basis von Isogenien. Die Runde soll etwa zwei Jahre dauern; die nächste NIST-Standardisierungskonferenz ist für 2027 geplant.

Für Unternehmen heißt das: Neue Standards aus dieser Runde sind frühestens gegen Ende des Jahrzehnts zu erwarten. Wer heute umstellt, nutzt die fertigen Standards und plant so, dass weitere Verfahren später hinzukommen können.

Merksatz: Die Signatur-Standardisierung ist kein Endpunkt, sondern ein Prozess. Planen Sie heute mit den fertigen Standards und halten Sie Ihre Systeme offen für die nächsten.

Was ISO beigetragen hat

Neben NIST normt auch die internationale Organisation ISO gemeinsam mit IEC Verfahren der Post-Quanten-Kryptografie. Im Juni 2026 ist die Ergänzung ISO/IEC 18033-2:2006/Amd 2:2026 erschienen. Sie nimmt drei Verfahren zur Schlüsselvereinbarung auf: das von NIST standardisierte Verfahren aus FIPS 203 sowie zwei besonders konservative Verfahren, die europäische Behörden wie das BSI seit Jahren für Anwendungen mit hohem Schutzbedarf empfehlen (Hintergrund).

Dass Normen nicht das letzte Wort sind, zeigt eine Meldung aus diesem Jahr: Wegen Fortschritten in der Kryptoanalyse rät das BSI inzwischen, eines der beiden konservativen Verfahren für Neuentwicklungen vorerst nicht einzusetzen. Mit den empfohlenen Parametern sei ein praktischer Angriff zwar nicht möglich, im hybriden Einsatz bleibe zudem mindestens die klassische Sicherheit erhalten (it-daily). Für Anwender ist das ein Lehrstück in Krypto-Agilität: Verfahren müssen sich austauschen lassen, ohne die Anwendung neu zu bauen. Mehr dazu im Beitrag Krypto-Agilität.

Was das BSI empfiehlt

Das BSI veröffentlicht seine Empfehlungen jährlich in der Technischen Richtlinie TR-02102. Für Post-Quanten-Verfahren gilt dort durchgängig: hybrid einsetzen, also zusammen mit einem bewährten klassischen Verfahren. Für klassische asymmetrische Verfahren allein hat das BSI ein Ende gesetzt: Ende 2031, für besonders schutzbedürftige Anwendungen Ende 2030 (BSI TR-02102).

Was Sie jetzt tun können

1. Signaturen inventarisieren: Wo signieren Sie heute (Code, Dokumente, Zertifikate, E-Mails, Geräte)? Wie lange müssen diese Signaturen gültig bleiben?
2. Langlebiges zuerst: Systeme mit langer Laufzeit (Firmware, Chipkarten, Archive) brauchen den größten Vorlauf.
3. Bei Herstellern nachfragen: Unterstützen Bibliotheken, Hardware-Sicherheitsmodule und Signaturdienste FIPS 204 und 205? Wann?
4. Hybrid planen: klassische und Post-Quanten-Signatur parallel, solange die Empfänger nicht alle umgestellt sind.
5. Austauschbarkeit sicherstellen: Verfahren als Konfiguration, nicht als festen Code behandeln.

PQVault und Signaturen

PQVault nutzt in allen Modulen NIST-standardisierte Post-Quanten-Verfahren und ist krypto-agil aufgebaut. Unterschriften und Freigaben in PQVault Spaces und Absenderprüfung in PQVault Seal beruhen darauf. Für eigene Anwendungen bietet das PQVault SDK dieselben Bausteine. Einen Überblick über die Grundlagen gibt der Beitrag NIST-Standards für Post-Quanten-Kryptografie.