Quantensicheres TLS: Was hybride Schlüsselvereinbarung heute leistet

Wer heute eine Webseite mit einem aktuellen Browser aufruft, nutzt mit hoher Wahrscheinlichkeit schon quantensicheres TLS, ohne es zu merken. Die Verbindung wird mit einer Kombination aus einem klassischen und einem Post-Quanten-Verfahren aufgebaut. Das ist eine gute Nachricht. Sie ist aber nur ein Teil der Geschichte, und der weniger aufwendige.

Warum gerade die Schlüsselvereinbarung zuerst dran ist

Jede TLS-Verbindung beginnt damit, dass Browser und Server einen gemeinsamen geheimen Schlüssel vereinbaren. Mit diesem Schlüssel wird danach alles verschlüsselt, was über die Leitung geht. Die heute üblichen Verfahren für diese Vereinbarung gelten als angreifbar, sobald ausreichend leistungsfähige Quantencomputer existieren.

Das Gefährliche daran: Ein Angreifer muss nicht warten. Er kann verschlüsselten Verkehr heute aufzeichnen und später entschlüsseln. Diese Strategie heißt „Harvest now, decrypt later“, mehr dazu in unserem Beitrag zum Thema. Für die Schlüsselvereinbarung zählt deshalb nicht, wann Quantencomputer kommen, sondern wie lange die übertragenen Daten vertraulich bleiben müssen.

Was „hybrid“ bedeutet

Hybride Schlüsselvereinbarung führt zwei Verfahren parallel aus, ein bewährtes klassisches und ein NIST-standardisiertes Post-Quanten-Verfahren. Beide Ergebnisse fließen in den gemeinsamen Schlüssel ein. Die IETF definiert das Ziel so: Die Verbindung bleibt sicher, solange mindestens eines der beiden Verfahren nicht gebrochen ist.

Das ist eine bewusste Absicherung in beide Richtungen:

• Bricht ein künftiger Quantencomputer das klassische Verfahren, schützt das Post-Quanten-Verfahren.
• Zeigt das noch junge Post-Quanten-Verfahren unerwartet eine Schwäche, schützt weiterhin das klassische.

Das deutsche BSI empfiehlt Post-Quanten-Verfahren zur Schlüsseleinigung ausdrücklich in dieser hybriden Form. In seiner Technischen Richtlinie TR-02102-1 hat es zudem ein Ablaufdatum gesetzt: Klassische asymmetrische Verfahren sollen ab Ende 2031 nur noch in Kombination mit Post-Quanten-Kryptografie eingesetzt werden, für besonders schutzbedürftige Anwendungen schon ab Ende 2030 (BSI TR-02102).

Quantensicheres TLS ist jetzt Standard

Lange galt bei Einkäufern der Einwand: „Das ist doch noch ein Entwurf.“ Dieser Einwand ist erledigt. Im August 2026 hat die IETF die hybride Schlüsselvereinbarung für TLS 1.3 als RFC 10024 auf dem Standards-Track veröffentlicht (IETF Datatracker). Das Dokument legt drei Kombinationen fest; die gebräuchlichste davon ist in der offiziellen Registrierung als empfohlen markiert.

In der Praxis war der Standard schon vorher im Einsatz: Aktuelle Browser und Betriebssysteme bieten die hybride Variante automatisch an, und große Netzbetreiber berichten, dass inzwischen deutlich mehr als die Hälfte des von Menschen ausgelösten Webverkehrs so geschützt ist. Ein Konfigurationsschalter beim Nutzer ist dafür nicht nötig.

Merksatz: Hybride Schlüsselvereinbarung in TLS ist kein Pilotprojekt mehr, sondern ein Standard. Die Frage ist nicht ob, sondern wo sie in Ihrer Umgebung noch fehlt.

Wo TLS aufhört

So erfreulich der Fortschritt ist, drei Lücken bleiben:

1. Die Gegenseite muss mitspielen. Der Browser bietet die hybride Variante an, der Server muss sie annehmen. Viele interne Dienste, ältere Lastverteiler, VPN-Gateways und Geräte in Produktionsnetzen tun das noch nicht. Dann wird ohne Warnung klassisch verhandelt.
2. Die Echtheit des Servers ist noch klassisch. Zertifikate und ihre Signaturen beruhen auf heutigen Verfahren. Das ist weniger dringend, weil eine Signatur nicht rückwirkend gebrochen werden kann, muss aber vor dem Eintreffen leistungsfähiger Quantencomputer umgestellt sein. Wie es dort weitergeht, erklären wir am Donnerstag in einem eigenen Beitrag zu Zertifikaten und SSH.
3. TLS schützt nur den Transport. Auf dem Server, in der Cloud, in Backups und in Postfächern liegen die Daten wieder unverschlüsselt bzw. mit Schlüsseln des Anbieters. Für vertrauliche Dokumente braucht es Ende-zu-Ende-Verschlüsselung, die vor dem Hochladen beginnt.

Was Sie jetzt tun können

1. TLS 1.3 überall aktivieren: Hybride Schlüsselvereinbarung gibt es nur dort. Ältere Protokollversionen schrittweise abschalten.
2. Bestand aufnehmen: Welche Server, Gateways, APIs und Appliances terminieren TLS? Welche Bibliotheken und Versionen laufen dort?
3. Interne Verbindungen nicht vergessen: Verbindungen zwischen Rechenzentren, zu Partnern und zwischen Diensten sind oft länger unverändert als die Webseite.
4. Bei Herstellern nachfragen: Unterstützt das Produkt RFC 10024? Ab welcher Version? Wie werden Verfahren künftig getauscht (Krypto-Agilität)?
5. Daten mit langer Vertraulichkeit zusätzlich schützen: Verträge, Konstruktionsdaten und Personaldaten Ende-zu-Ende verschlüsseln, unabhängig vom Transport.

Wie PQVault damit umgeht

PQVault verlässt sich nicht allein auf den Transport: Inhalte werden schon auf dem Gerät Ende-zu-Ende verschlüsselt, zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren in hybrider Form. Für Datenräume steht PQVault Spaces bereit; wer eigene Anwendungen absichern will, nutzt das PQVault SDK. Hintergrund zu den Standards selbst finden Sie im Beitrag NIST-Standards für Post-Quanten-Kryptografie.