Quantensichere Verschlüsselung 2027

Es gibt bis heute keinen Quantencomputer, der die Verschlüsselung Ihrer Website brechen könnte. Womöglich gibt es ihn auch in zehn Jahren noch nicht. Die Fristen dagegen laufen bereits — und genau das haben die meisten Unternehmerinnen und Unternehmer noch nicht registriert.

Nichts davon verlangt in diesem Monat eine Anschaffung. Aber der erste harte Termin liegt ein Jahr voraus, und die Arbeit, die den Umstieg schmerzfrei macht, lässt sich nicht unter Zeitdruck erledigen.

Der Termin, der zuerst kommt

Die französische Cybersicherheitsbehörde ANSSI hat angekündigt, ab 2027 keine Sicherheitszertifizierungen mehr für Produkte ohne quantenresistente Verfahren zu vergeben. Ihre Haltung darüber hinaus ist noch deutlicher: Bis 2030 sollen Organisationen ausschließlich quantensichere Produkte beschaffen.

Das ist eine Beschaffungsregel, kein Straftatbestand, und sie betrifft die französische Zertifizierung, nicht Monaco. Doch über die Zertifizierung gelangen Sicherheitsprodukte überhaupt erst in regulierte Branchen. Die Wirkung reicht deshalb weiter, als der Geltungsbereich vermuten lässt: Hersteller bauen ihre Produkte um, um das Siegel zu behalten, und die Version, die ein Jahr später bei Ihnen ankommt, ist bereits aktualisiert.

Parallel dazu läuft der europäische Fahrplan. Die im Juni 2025 von der NIS-Kooperationsgruppe veröffentlichte koordinierte Roadmap verlangt von den Mitgliedstaaten nationale Strategien und begonnene Krypto-Inventare bis Ende 2026, die Migration kritischer Hochrisiko-Systeme bis 2030 und alles Übrige bis 2035.

Beachten Sie, was dieser erste Meilenstein verlangt: ein Inventar. Keine neue Hardware. Eine Liste, wo in Ihrem Unternehmen überhaupt verschlüsselt wird.

Warum es überhaupt eilt

Der Grund, vor der Existenz der Maschine zu handeln, trägt einen sperrigen Namen: jetzt ernten, später entschlüsseln.

Verschlüsselter Datenverkehr lässt sich heute abfangen und speichern — und Jahre später entschlüsseln, sobald die Rechenleistung da ist. Die entscheidende Frage lautet daher nicht „wann funktionieren Quantencomputer?", sondern „wie lange müssen diese Daten vertraulich bleiben?". Für eine reine Marketing-Website ist die ehrliche Antwort: nicht lange.

Für viele Unternehmen in Monaco sieht das anders aus. Vermögensstrukturen, Family-Office-Unterlagen, anwaltliche Korrespondenz, Gesundheitsdaten, Transaktionsunterlagen, Eigentumsnachweise hinter Immobilien- und Schiffsgeschäften: All das soll zwanzig oder dreißig Jahre vertraulich bleiben. Wenn diese Daten 2026 verschlüsselt durchs Netz gingen und jemand eine Kopie behalten hat, entspricht ihr Schutz dem Stand des Versandtags. Häuser im Bereich Private Wealth sind hier unmittelbar betroffen.

Das ist das gesamte Argument für frühes Handeln — und es ist ein enges: Es gilt für langlebige Geheimnisse, nicht für das Reservierungsformular Ihres Restaurants.

Wo Monaco tatsächlich steht

Monaco ist kein EU-Mitgliedstaat, und die europäische Roadmap ist kein monegassisches Recht. Uns ist keine veröffentlichte monegassische Post-Quanten-Frist bekannt, und nichts hier sollte als eine solche gelesen werden. Wenn das Thema in Ihrer Risikobetrachtung Gewicht hat, prüfen Sie den aktuellen Stand bei den zuständigen Stellen oder bei Ihrer Rechtsberatung.

Was sehr wohl gilt, ist die allgemeine Pflicht. Das Gesetz Nr. 1.565 vom 3. Dezember 2024 verpflichtet Verantwortliche, personenbezogene Daten mit risikoangemessenen Maßnahmen zu schützen — unter der Aufsicht der APDP. „Angemessen" ist bewusst ein beweglicher Maßstab: Er folgt dem Stand der Technik. Ein Algorithmus, der 2026 unauffällig und 2032 abgekündigt ist, bleibt nicht angemessen, nur weil er am Tag der Einführung in Ordnung war. Die Bestandsaufnahme für Datenschutz-Compliance deckt im Übrigen den größten Teil der unten beschriebenen Inventur ab.

Der zweite Weg ist kommerziell. Unternehmen in Monaco verkaufen an französische und EU-Kunden, arbeiten mit Banken innerhalb dieser Regime und beziehen von Lieferanten, die dort zertifiziert sein werden. In Ausschreibungsfragebögen taucht das Thema zuerst auf.

Beginnen Sie mit einer Inventur, nicht mit einem Einkauf

Das Nützlichste in den kommenden sechs Monaten kostet nichts außer Aufmerksamkeit: Schreiben Sie auf, wo in Ihrem Unternehmen Kryptografie steckt.

• Nach außen: TLS-Zertifikate für Website, Subdomains, APIs und Mailserver
• Zugang: VPNs, SSH-Schlüssel, Single Sign-on, Passwortmanager, Administratorkonten
• Ruhende Daten: Backups, Archive, alles Verschlüsselte mit jahrelanger Aufbewahrung
• Integrationen: Zahlungs-Gateways, CRM-Anbindungen, E-Signatur, Kundenportale
• Zuständigkeit: was Sie selbst steuern und was einem Dienstleister gehört

Für ein typisches KMU in Monaco sind das ein Nachmittag und eine Tabelle. Der Wert liegt darin, dass aus einem diffusen Unbehagen eine kurze Liste mit Verantwortlichen und Verlängerungsterminen wird — genau das, wonach jedes künftige Audit und jeder Kundenfragebogen verlangen wird.

Fragen, die Sie Ihren Anbietern stellen sollten

Post-Quanten-Kryptografie werden Sie nicht selbst implementieren; sie kommt fast vollständig in Produkten an, für die Sie ohnehin zahlen. Der praktische Hebel ist die Frage bei der Vertragsverlängerung.

• Unterstützen Sie heute hybriden Post-Quanten-Schlüsselaustausch, und für welche Dienste?
• Wie sieht Ihr Migrationsplan für die standardisierten Verfahren aus — ML-KEM, ML-DSA, SLH-DSA?
• Kommt das als Plattform-Update, oder müssen wir die Plattform wechseln?

Stellen Sie diese Fragen Ihrem Hoster, Ihrem CDN, Ihrem Zahlungsdienstleister und Ihrem CMS-Anbieter. Ein Anbieter mit klarer Antwort sagt Ihnen etwas Nützliches; einer ohne Antwort ebenfalls.

Eine Einschränkung: Die Normungsgremien bevorzugen hybride Verfahren, also ein Post-Quanten-Verfahren kombiniert mit einem klassischen. Behandeln Sie ein „wir haben alles ersetzt" deshalb als prüfbedürftige Aussage. Und bleiben Sie skeptisch bei allem, was einem kleinen Unternehmen teuer als quantensicher verkauft wird.

Die beruhigende Seite

Ein erheblicher Teil passiert längst ohne Ihr Zutun. Hybrider Post-Quanten-Schlüsselaustausch wird seit 2024 in den gängigen Browsern sowie auf großen CDN- und Cloud-Plattformen ausgeliefert. Läuft Ihre Website auf einer modernen Plattform mit aktuellem TLS, ist ein guter Teil Ihres öffentlichen Datenverkehrs womöglich bereits gegen das spätere Entschlüsseln geschützt. Die branchenweit kürzeren Zertifikatslaufzeiten helfen zusätzlich: Häufig erneuerte Zertifikate nehmen Algorithmuswechsel unauffällig mit.

Und damit zur eigentlichen Lehre. Gut durch diese Umstellung kommen nicht die Unternehmen, die früh etwas gekauft haben, sondern die, deren Systeme gepflegt sind: aktuelle Versionen, keine verwaisten Plugins, kein Server, bei dem sich seit 2021 niemand angemeldet hat. Krypto-Agilität ist vor allem solide Website-Wartung: Dieselbe Disziplin, die eine Installation aktuell hält, macht aus einem Algorithmuswechsel ein Routine-Update statt eines Neubaus. Wenn eine TLS-Umstellung Ihren Stack in Bedrängnis bringt, ist genau das der Befund — und er spricht für moderne Webentwicklung, lange bevor er für Quantenthemen spricht.

Was bis Ende 2026 zu tun ist

Erstellen Sie die Inventur. Bestimmen Sie, welche Daten eine Vertraulichkeitsdauer von Jahrzehnten haben, und behandeln Sie nur diese als dringend. Nehmen Sie die drei Anbieterfragen in die nächsten Verlängerungsgespräche mit. Bringen Sie Ihre Plattform auf Stand und halten Sie sie dort. Das ist eine angemessene Antwort auf ein reales, aber langsames Risiko — und sie hinterlässt einen gepflegten Bestand, ganz gleich, ob der Zeitplan hält.

Sie wissen nicht, was Ihr Hosting tatsächlich unterstützt? Nehmen Sie Kontakt auf — wir gehen Ihre Website und ihre Integrationen mit Ihnen durch und sagen Ihnen klar, was Aufmerksamkeit braucht und was nicht.