Quantencomputer sind noch kein Alltagswerkzeug für Angreifer – aber sie verändern bereits die Sicherheitsplanung von Unternehmen, Behörden und Betreibern kritischer IT.
Eine aktuelle wissenschaftliche Veröffentlichung zu den Auswirkungen von Quantum Computing auf Infrastruktur macht deutlich: Wer heute nicht weiß, welche Kryptografie in Netzen, Anwendungen und Lieferketten steckt, wird spätere Migrationen kaum kontrolliert bewältigen.
- Der aktuelle Aufhänger: Eine neue Fachpublikation bei ScienceDirect bewertet Quantum Computing als tiefgreifenden Einschnitt für klassische kryptografische Sicherheitsmodelle.
- Die praktische Folge: Unternehmen sollten nicht auf den ersten produktiven Angriff warten, sondern kryptografische Abhängigkeiten erfassen.
- Die Einordnung: BSI und ENISA beschreiben die Cyberlage bereits als angespannt; zusätzliche Kryptografie-Risiken erhöhen den Handlungsdruck.
- Der wichtigste erste Schritt: Ein Crypto-Inventar: Wo werden Verschlüsselung, Signaturen, Zertifikate, VPNs, Identitäten und Langzeitdaten genutzt?
Warum das Thema jetzt auf die Agenda gehört
Der konkrete Anlass ist keine spektakuläre Produktankündigung, sondern eine für Sicherheitsverantwortliche wichtigere Entwicklung: Die Fachliteratur behandelt Quantencomputing zunehmend als Infrastrukturthema – nicht nur als Forschungsthema.
Der bei ScienceDirect gelistete Beitrag Assessing the impact of quantum computing on infrastructure beschreibt Quantum Computing als transformative Entwicklung für Cybersecurity und als Herausforderung für traditionelle kryptografische Rahmenwerke.
Das ist für Unternehmen relevant, weil Kryptografie selten isoliert vorkommt. Sie steckt in TLS-Verbindungen, VPNs, E-Mail-Sicherheit, Software-Signaturen, Maschinenidentitäten, Backup-Konzepten, Identitätsdiensten, Cloud-Zugängen und Schnittstellen zwischen Fachverfahren. Wer diese Abhängigkeiten nicht kennt, kann später auch nicht sauber bewerten, welche Systeme migriert, ersetzt oder anders abgesichert werden müssen.
Wichtig ist die nüchterne Einordnung: Aus den vorliegenden Quellen ergibt sich kein Anlass für Panik und keine belastbare Aussage, dass ein breiter praktischer Angriff durch Quantencomputer unmittelbar bevorsteht.
Belegbar ist aber, dass klassische kryptografische Modelle durch die Entwicklung von Quantencomputing grundsätzlich unter Druck geraten und dass die allgemeine Cyberlage in Europa und Deutschland ohnehin angespannt bleibt.
Was Quantencomputer an klassischer IT-Sicherheit verändern
Klassische IT-Sicherheit baut an vielen Stellen auf kryptografischen Annahmen auf: Bestimmte mathematische Probleme gelten für heutige Rechner als praktisch nicht lösbar, jedenfalls nicht in relevanter Zeit. Quantencomputing stellt genau diese Annahmen infrage. Die ScienceDirect-Veröffentlichung ordnet den Fortschritt in diesem Feld als Herausforderung für traditionelle kryptografische Frameworks ein.
Für die Praxis heißt das nicht, dass jedes verschlüsselte System morgen unsicher ist. Es heißt aber: Kryptografie darf nicht länger als unsichtbare Basistechnik behandelt werden, die man nur beim Einkauf eines Produkts hinnimmt. Sie wird zu einem verwaltbaren Asset – ähnlich wie Server, Identitäten, Softwareversionen oder Datenbestände.
Gerade in gewachsenen IT-Landschaften ist das unbequem. Viele Organisationen wissen zwar, welche Firewalls, Endpoint-Security-Produkte oder Cloud-Dienste sie einsetzen.
Deutlich schwieriger ist die Frage, welche kryptografischen Verfahren an welchen Stellen verwendet werden, welche Zertifikatslaufzeiten gelten, welche Systeme alte Protokolle erzwingen oder welche Fremdsoftware Signaturen nutzt, die nicht kurzfristig austauschbar sind.
Warum Infrastruktur besonders betroffen ist
Der Begriff Infrastruktur ist hier entscheidend. Betroffen sind nicht nur einzelne Anwendungen, sondern Verbindungen zwischen Systemen: Rechenzentren, Netze, Identitätsplattformen, Verwaltungsdienste, Produktionsumgebungen, Cloud-Anbindungen und externe Schnittstellen. Je länger Systeme betrieben werden und je stärker sie mit anderen Diensten gekoppelt sind, desto schwieriger wird eine spätere Kryptografie-Migration.
Das passt zur Lageeinschätzung der Sicherheitsbehörden. Das BSI bündelt auf seinen Seiten aktuelle Themen und Vorfälle der Cyber-Sicherheitslage und verweist dabei unter anderem auf Methoden der Cyberkriminalität wie Schadsoftware, digitalen Identitätsdiebstahl und Botnetze.
Der BSI-Lagebericht 2025 beschreibt die Gefährdungslage als weiterhin angespannt und nennt mehr Schwachstellen-Exploits und Datenleaks. ENISA hebt im Threat Landscape 2025 zudem hervor, dass öffentliche Verwaltungen in der EU verstärkt Ziel von Hacktivisten sind, insbesondere durch DDoS-Angriffe.
Diese Punkte sind keine direkten Quantenangriffe. Sie zeigen aber, dass Organisationen bereits heute mit hoher operativer Belastung arbeiten. Eine zusätzliche, langfristige Kryptografie-Transformation wird leichter, wenn sie früh in bestehende Sicherheitsprozesse eingebettet wird – statt als spätes Notfallprojekt neben Incident Response, Patch-Management und Compliance zu laufen.
Das unterschätzte Problem: langlebige Daten
Besonders kritisch sind Daten, die lange vertraulich bleiben müssen. Dazu können Vertragsunterlagen, Forschungsdaten, personenbezogene Informationen, Behördenkommunikation, technische Dokumentation oder vertrauliche Unternehmensdaten gehören.
Aus den Quellen lässt sich keine konkrete Angriffswelle ableiten; trotzdem ist die strategische Frage naheliegend: Welche Informationen wären auch dann noch sensibel, wenn sie erst in einigen Jahren entschlüsselt würden?
Diese Perspektive verändert Prioritäten. Nicht jede verschlüsselte Transaktion hat denselben Schutzbedarf. Ein kurzlebiger Sitzungsschlüssel für eine banale interne Abfrage ist anders zu bewerten als ein Archiv mit langjährig schutzwürdigen Daten. Sicherheitsverantwortliche sollten deshalb Kryptografie nicht nur technisch, sondern auch nach Datenwert und Schutzdauer betrachten.
Das hilft auch bei Investitionsentscheidungen. Wer weiß, welche Daten langfristig kritisch sind, kann Migrationspfade priorisieren: zuerst Identitäten, Schlüsselmanagement, besonders schutzwürdige Datenflüsse und Systeme mit langen Lebenszyklen; später weniger kritische Dienste, die ohnehin regelmäßig ersetzt werden.
Checkliste: Was Unternehmen jetzt konkret tun können
Der wichtigste Schritt ist kein Großeinkauf, sondern Transparenz. Eine belastbare Vorbereitung beginnt mit einer Bestandsaufnahme, die technisch genug ist, um hilfreich zu sein, aber organisatorisch so einfach, dass sie wirklich gepflegt wird.
- Kryptografie erfassen: Welche Anwendungen, Gateways, Datenbanken, VPNs, Zertifikatsdienste, Signaturverfahren und Backups nutzen Verschlüsselung oder digitale Signaturen?
- Datenklassen zuordnen: Welche Daten müssen nur kurzfristig, welche langfristig vertraulich bleiben?
- Verantwortlichkeiten klären: Wer besitzt die jeweilige Anwendung, wer betreibt sie, wer entscheidet über kryptografische Änderungen?
- Lieferanten befragen: Welche Roadmaps haben Softwareanbieter, Cloud-Dienstleister und Integratoren für künftige kryptografische Migrationen?
- Altlasten markieren: Wo gibt es nicht mehr gepflegte Systeme, harte Protokollabhängigkeiten oder schwer austauschbare Zertifikatsketten?
- Änderbarkeit testen: Kann ein Verfahren, Zertifikat oder Schlüsselmanagement in der Praxis gewechselt werden, ohne den Betrieb zu gefährden?
- In Risiko- und Notfallprozesse einbauen: Kryptografie sollte Teil von Architekturreviews, Beschaffung, Audit und Business-Continuity-Planung werden.
Diese Liste ersetzt keine technische Detailanalyse. Sie schafft aber die Grundlage, damit spätere Entscheidungen nicht im Blindflug fallen.
Lieferketten, Cloud und Abhängigkeiten werden zum Prüfstein
Viele Organisationen betreiben heute nur einen Teil ihrer Kryptografie direkt selbst. Ein erheblicher Teil steckt in Cloud-Diensten, Standardsoftware, Netzwerkprodukten, Identitätsplattformen und Managed Services. Damit wird die Lieferkette zu einem Kernpunkt der Quanten-Readiness.
Praktisch heißt das: Sicherheits- und Einkaufsteams sollten bei neuen Verträgen nicht nur nach allgemeinen Sicherheitszertifizierungen fragen, sondern nach Änderbarkeit. Kann der Anbieter kryptografische Verfahren aktualisieren? Gibt es dokumentierte Abhängigkeiten? Werden Kunden rechtzeitig informiert, wenn sicherheitsrelevante Protokolle oder Signaturen umgestellt werden? Wie transparent ist das Schlüsselmanagement?
Hier lohnt auch ein Blick auf unsere bisherigen Einordnungen zur Cybersecurity-Lage für Unternehmen und zu Cloud-Abhängigkeiten in Europa. Der rote Faden ist derselbe: Resilienz entsteht nicht durch einzelne Produkte, sondern durch nachvollziehbare Architektur, klare Zuständigkeiten und überprüfbare Lieferketten.
Zusatzfragen: Was Entscheider nicht verwechseln sollten
Ist Quantencomputing schon ein akuter Cyberangriff?
Aus den bereitgestellten Quellen lässt sich keine Aussage ableiten, dass breit verfügbare Quantenangriffe aktuell im Alltag von Unternehmen auftreten. Belegt ist aber, dass Quantum Computing traditionelle kryptografische Rahmenwerke herausfordert und deshalb in die strategische Sicherheitsplanung gehört.
Reicht es, auf Herstellerupdates zu warten?
Nein, zumindest nicht als alleinige Strategie. Herstellerupdates helfen nur dort, wo Unternehmen wissen, welche Produkte betroffen sind, wie kritisch die Daten sind und ob ein Update operative Abhängigkeiten auslöst. Ohne Inventar fehlt die Entscheidungsgrundlage.
Ist das nur ein Thema für Behörden und kritische Infrastruktur?
Nein. Behörden und öffentliche Verwaltungen stehen laut ENISA besonders im Fokus bestimmter Angriffsformen wie DDoS durch Hacktivisten. Kryptografische Abhängigkeiten betreffen aber auch Unternehmen, Forschungseinrichtungen, Gesundheitsorganisationen, Industrie und Dienstleister – überall dort, wo sensible Daten, Identitäten oder digitale Signaturen langfristig relevant sind.
Fazit und Handlungsempfehlung
Quantencomputing ist für die meisten Organisationen noch kein operativer Vorfall, aber bereits ein Architekturthema. Der Fehler wäre, das Thema entweder als ferne Forschung abzutun oder es mit hektischen Einzelmaßnahmen zu überfrachten.
Sinnvoll ist ein pragmatischer Mittelweg: Kryptografie sichtbar machen, Schutzbedarf nach Datenlebensdauer bewerten, Lieferanten befragen und Migrationsfähigkeit in neue Projekte einbauen.
Für CIOs, CISOs und IT-Architekten lautet die Kernfrage nicht: „Welches Produkt kaufen wir gegen Quantencomputer?“ Die bessere Frage lautet: „Wissen wir, wo unsere Kryptografie steckt – und könnten wir sie kontrolliert ändern?“ Wer darauf heute keine Antwort hat, sollte mit dem Crypto-Inventar beginnen.
Häufige Fragen
Warum ist Quantencomputer rücken in die Risikoanalyse für Unternehmen relevant?
Vor allem für Entscheiderinnen und Entscheider, die Technik nicht nur testen, sondern dauerhaft sicher und messbar einsetzen wollen.
Was sollte zuerst geprüft werden?
Zuerst sollten Datenbasis, Zuständigkeiten, Risiken, Kosten und konkrete Erfolgskriterien geklärt werden.
Quellen und weiterführende Informationen
Stand und Einordnung: Dieser Beitrag basiert ausschließlich auf den unten genannten Quellen. Die Quellen belegen die grundsätzliche Relevanz von Quantencomputing für kryptografische Sicherheitsmodelle sowie die angespannte Cyber-Sicherheitslage; sie belegen keine konkrete, breit laufende Angriffskampagne mit Quantencomputern.
- Assessing the impact of quantum computing on infrastructure
- BSI: Aktuelle Themen und Vorfälle
- ENISA Threat Landscape 2025
- BSI: Lageberichte und Lagebilder zur Cyber-Sicherheitslage
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-06-14
