RECHERCHE · STAND 2026-08-04

Post-Quanten-Migration

Warum die Uhr seit Februar 2026 anders tickt — und was das fuer einen einzelnen VPS mit NGINX, OpenSSH und Keycloak konkret heisst.

Die Migration auf quantensichere Verfahren ist 2026 aus der Forschung in den Betrieb gerutscht. Auf der Clientseite ist sie faktisch entschieden, auf der Serverseite fast nicht begonnen — und genau diese Schere ist das Thema dieses Berichts.

Erhoben
2026-08-04
Verfahren
Web-Recherche, oeffentliche Primaer- und Sekundaerquellen
Scope
TLS, SSH, PKI — kein Anspruch auf Vollstaendigkeit bei VPN/IPsec
Belastbarkeit
Zahlen sind Stuetzpunkte einzelner Messungen, keine Messreihen
Darstellung
mzone-ui 1.1.0 — alle 15 fx-Module im Einsatz

Vier Zahlen

PQ-faehige Clients
60%
PQ-faehige Origins
10%
BSI-Frist, hochsensibel
2030
Qubits fuer RSA-2048
100.000geschaetzt

Clients: Anteil menschlichen TLS-1.3-Verkehrs mit hybridem ML-KEM im Cloudflare-Netz, Februar 2026. Origins: Anteil PQ-faehiger Ursprungsserver nach dem Akamai-Default im Januar 2026 — ein Zehnfaches gegenueber dem Vorjahr, und trotzdem einstellig geblieben. Die Qubit-Zahl ist die niedrigste serioes publizierte Architektur-Schaetzung, nicht gebaute Hardware.

Die Schere zwischen Client und Server

Browser haben die Entscheidung fuer ihre Nutzer getroffen. Chrome liefert X25519MLKEM768 seit Version 124 (April 2024) als Default aus; Cloudflare misst fuer Februar 2026 ueber 60 Prozent PQ-faehigen Clientverkehr, gegenueber unter drei Prozent zwei Jahre zuvor. Wer heute eine Webseite aufruft, bringt den quantensicheren Schluesseltausch praktisch immer mit.

Die Gegenseite hinkt um eine Groessenordnung hinterher. Der gemessene PQ-Anteil geht fast vollstaendig auf zwei Plattformen zurueck — Cloudflare und Fastly stellen zusammen knapp 70 Prozent der PQ-TLS-Endpunkte. Es ist keine breite Migration, es ist eine Handvoll Betreiber, die einen Schalter umgelegt haben.

TLS-VERBREITUNG

Vier Stuetzpunkte, keine Zeitreihe. Zwischenwerte sind bewusst nicht interpoliert.

ANGRIFFSKOSTEN

Geschaetzte physische Qubits fuer einen RSA-2048-Bruch. Lupe zeigt die Werte im Detail; das Zerspringen ist ein Test von fx-shatter.

Harvest now, decrypt later

DAS EIGENTLICHE PROBLEM

Der Angriff hat bereits stattgefunden

Verschluesselter Verkehr laesst sich heute mitschneiden und in zehn Jahren entschluesseln. Fuer alles mit langer Schutzdauer ist der Stichtag nicht der Tag der Entschluesselung, sondern der Tag der Aufzeichnung.

ARCHIV 2026 · ENTSCHLUESSELT 20XX

Betroffen ist alles, dessen Vertraulichkeit die Restlaufzeit klassischer Verfahren ueberdauern muss: Gesundheitsdaten, Vertraege, Quellcode unter NDA, Schluesselmaterial mit langer Gueltigkeit, Backups.

Nicht betroffen: kurzlebige Session-Daten, die in fuenf Jahren wertlos sind. Die Migrationsreihenfolge folgt der Schutzdauer, nicht der Sichtbarkeit.

WARUM HYBRID

X25519MLKEM768 leitet den Sitzungsschluessel aus beiden Tauschvorgaengen ab. Faellt ML-KEM durch einen klassischen Kryptoanalyse-Fund, haelt X25519. Faellt X25519 durch einen Quantenrechner, haelt ML-KEM.

Deshalb ist Hybrid kein Zwischenschritt aus Feigheit, sondern die Empfehlung des BSI fuer den gesamten Migrationszeitraum.

Was an die Stelle tritt

GITTERBASIERTE VERFAHREN

ML-KEM und ML-DSA beruhen auf der Schwierigkeit, in einem hochdimensionalen Gitter den naechstgelegenen Punkt zu finden. Shors Algorithmus hilft dabei nicht — er loest Faktorisierung und diskrete Logarithmen, nicht Gitterprobleme.

NeuStandardErsetztZweckReifegrad 08/2026
ML-KEM-768FIPS 203 ECDH / RSA-KEXSchluesseleinigung im Feld
ML-KEM-1024FIPS 203 ECDH P-384Schluesseleinigung, CNSA 2.0 Pflicht ab 2030
ML-DSA-65/87FIPS 204 ECDSA / RSA-SignaturZertifikate, Code-Signatur PKI im Aufbau
SLH-DSAFIPS 205 —Signatur ohne Gitterannahme Rueckfallebene

Der Schluesseltausch ist geloest, die Signaturen sind es nicht. ML-DSA erreichte Microsofts AD CS erst mit dem Sicherheitsupdate im Mai 2026; die CMVP-Warteschlange fuer ML-KEM-/ML-DSA-Module lag im Mai 2026 bei ueber 200 Eingaengen und 14 bis 22 Monaten Rueckstand. Wer eine zertifizierte HSM-Kette braucht, wartet — unabhaengig davon, wie schnell die eigene Migration sonst laeuft.

Wie nah ist Q-Day?

Q-DAY

Die interessante Bewegung der letzten fuenfzehn Monate steckt nicht in der Hardware, sondern in den Schaetzungen. Gidney senkte den Bedarf fuer RSA-2048 im Mai 2025 von rund 20 Millionen auf unter eine Million physische Qubits — ohne neue Hardware, allein durch Algorithmus und Fehlerkorrektur. 2026 kamen Architekturarbeiten dazu: 381.000 Qubits bei Q-CTRL mit experimentell demonstrierter Gitterkopplung, unter 100.000 mit qLDPC-Codes statt Surface-Code.

Das ist kein Countdown. Keine oeffentliche Roadmap behauptet einen kryptografisch relevanten Quantenrechner fuer 2028/29. Aber die Richtung ist eindeutig, die Schrittweite gross, und die Migration dauert laenger als der Vorsprung, den diese Zahlen noch lassen.

aktiv: —

Die Flaeche oben reagiert auf Klicks. Das Abzeichen zeigt, welcher Renderer tatsaechlich laeuft — fx.renderer, nicht der Wunsch.

Befunde

  1. B1 hoch Origin-Verbindungen bleiben klassisch
    Ein CDN-Frontend mit PQ-TLS schuetzt nur die Strecke Browser–CDN. Laeuft dahinter eine klassische TLS-Verbindung zum eigenen Server, ist der Mitschnitt genau dort weiterhin moeglich. Genau diese Strecke ist der einstellige Prozentsatz aus der zweiten Kennzahl.
  2. B2 hoch Die BSI-Frist ist eine Startfrist, keine Zielfrist
    Das BSI empfiehlt in der TR-02102-Fortschreibung erstmals ein Ablaufdatum fuer klassische asymmetrische Verfahren: Ende 2030 fuer hochsensible Anwendungen, Ende 2031 allgemein. Eine Migration dauert erfahrungsgemaess fuenf bis zehn Jahre. Wer 2026 nicht beginnt, haelt die Fristen rechnerisch nicht.
  3. B3 mittel Signaturen sind der Engpass, nicht der Schluesseltausch
    Der Schluesseltausch kostet ein OpenSSL-Update und eine Konfigurationszeile. Die Signaturkette kostet eine neue PKI: ML-DSA-Zertifikate, geeignete HSMs, Software, die groessere Signaturen vertraegt. Der CMVP-Rueckstand von 14 bis 22 Monaten liegt ausserhalb des eigenen Einflussbereichs.
  4. B4 mittel Monokultur bei der Konfiguration
    88,76 Prozent der PQ-faehigen Endpunkte unterstuetzen genau eine Konfiguration: X25519MLKEM768. Das ist gut fuer die Interoperabilitaet und schlecht fuer die Kryptoagilitaet — ein Fund gegen diese eine Kombination trifft praktisch alle gleichzeitig.
  5. B5 niedrig Der Einstieg ist billiger als sein Ruf
    OpenSSL 3.5 (LTS bis April 2030) bringt ML-KEM, ML-DSA und SLH-DSA nativ mit und bevorzugt hybride Gruppen bereits im Default. NGINX und HAProxy erben das durch blosses Neubauen gegen 3.5 — ohne Aenderung an der Toolchain. OpenSSH liefert mlkem768x25519-sha256 seit 9.9.

Umsetzung auf einem eigenen Server

Fuer einen VPS mit NGINX-Terminierung und Docker-Backends zerfaellt die Migration in drei getrennte Baustellen. Die erste ist an einem Nachmittag erledigt, die zweite in einer Stunde, die dritte dauert Jahre.

1 — TLS-Schluesseltausch

# Voraussetzung: NGINX gegen OpenSSL >= 3.5 gebaut
openssl version                       # erwartet: OpenSSL 3.5.x
nginx -V 2>&1 | grep -o 'OpenSSL [0-9.]*'

# nginx.conf — Gruppen explizit, hybrid zuerst
ssl_protocols       TLSv1.3;
ssl_ecdh_curve      X25519MLKEM768:X25519:secp256r1;

# Nachweis, dass der Tausch wirklich hybrid laeuft
openssl s_client -connect example.org:443 -groups X25519MLKEM768 </dev/null \
  | grep -i 'Negotiated TLS1.3 group'

2 — SSH

# /etc/ssh/sshd_config — ab OpenSSH 9.9 vorhanden
KexAlgorithms mlkem768x25519-sha256,sntrup761x25519-sha512@openssh.com

# Pruefen, was der Server anbietet
ssh -Q kex | grep -E 'mlkem|sntrup'

3 — Signaturen und Inventar

Die dritte Baustelle beginnt nicht mit Konfiguration, sondern mit einer Liste: welches Schluesselmaterial existiert, wie lange muss es halten, wer stellt es aus. Ohne dieses Inventar ist jede spaetere Umstellung ein Blindflug — und das Inventar ist der Teil, den man 2026 ohne Wartezeit auf CMVP oder CA-Programme erledigen kann.

MINIMALE JAHRESZIELE 2026

Der Knopf feiert nichts Echtes — er testet fx-confetti.

Methodik und Grenzen

Alle Zahlen stammen aus oeffentlich zugaenglichen Veroeffentlichungen zwischen 2024 und August 2026 und wurden nicht selbst gemessen. Die Verbreitungswerte beruhen ueberwiegend auf Cloudflare-Radar-Telemetrie und bilden damit den Verkehr eines einzelnen, sehr grossen Netzes ab — kein Abbild des Internets. Die Qubit-Schaetzungen sind Architekturarbeiten mit unterschiedlichen Zeit-Raum-Annahmen und deshalb untereinander nur eingeschraenkt vergleichbar; der Balken mit 10.000 Atomen misst nicht dasselbe wie der mit 20 Millionen Qubits. Zwischenwerte wurden bewusst nicht interpoliert.

Quellen