Post-quantum cryptography rückt die Privatsphäre im Web in den Fokus

Post-quantum cryptography steht im Mittelpunkt einer auf den 6. November 2026 datierten Veröffentlichung von Cloudflare, die den langfristigen Schutz der Privatsphäre bei Webverbindungen auf den Prüfstand stellt. Post-quantum cryptography bezeichnet einen mathematischen Schutz, der sowohl gegenüber konventionellen Computern als auch gegenüber künftigen Quantencomputern sicher bleiben soll, die leistungsfähig genug sind, um einige der heute im Web verwendeten Verfahren zu gefährden. Cloudflare ordnete seine Veröffentlichung den Kategorien Kryptografie, Post-quantum cryptography, Privatsphäre, Forschung und Sicherheit zu.

Die zentrale Sorge besteht nicht darin, dass plötzlich jede Form der Verschlüsselung unbrauchbar wird. Vielmehr könnte ein ausreichend leistungsfähiger Quantencomputer wichtige public-key cryptography untergraben, die Technologie, mit der zwei Systeme Vertrauen aufbauen und geschützte Informationen austauschen können, ohne bereits ein gemeinsames Geheimnis zu besitzen. Verfahren der public-key cryptography sind von zentraler Bedeutung für sichere Websites, digital certificate und viele andere Systeme, die eine Identität bestätigen oder über ein nicht vertrauenswürdiges Netzwerk eine verschlüsselte Verbindung herstellen müssen.

Für gewöhnliche Webnutzer ist das relevant, weil privates Surfen mehr voraussetzt, als eine Seite hinter einem Passwort zu verbergen. HTTPS, die sichere Form des zum Laden von Websites verwendeten Protokolls, stützt sich normalerweise auf Transport Layer Security beziehungsweise TLS, um Informationen während der Übertragung zwischen einem Browser und einer Website zu schützen. TLS trägt dazu bei, dass ein Beobachter im Netzwerk diesen Datenverkehr weder lesen noch unbemerkt verändern kann, während ein digital certificate dem Browser hilft zu überprüfen, welche Website er erreicht hat. Post-quantum cryptography soll diese Schutzmechanismen gegenüber einer anderen Klasse von Computerbedrohungen bewahren.

Das Risiko hat zudem eine zeitliche Dimension. Ein Angreifer kann heute möglicherweise keinen stark verschlüsselten Datenverkehr lesen, ihn aber dennoch aufzeichnen, um ihn später entschlüsseln zu können. Dies wird üblicherweise als harvest-now, decrypt-later threat bezeichnet. Informationen, die schnell an Wert verlieren, sind diesem langfristigen Risiko möglicherweise weniger ausgesetzt. Material, das über Jahre vertraulich bleiben muss, verdient hingegen frühere Aufmerksamkeit. Für ein Unternehmen lautet die entscheidende Frage daher nicht nur, wann leistungsfähige Quantencomputer verfügbar sein könnten, sondern auch, wie lange seine Kunden-, Mitarbeiter- oder Geschäftsinformationen vertraulich bleiben müssen.

Die Umstellung der Websicherheit auf neue kryptografische Verfahren ist nicht einfach eine Frage der Änderung einer einzelnen Einstellung. Browser, Website-Plattformen, Netzwerkdienste sowie die Systeme, die digital certificate ausstellen oder überprüfen, müssen erfolgreich miteinander kommunizieren können. Eine Umstellung muss außerdem die authentication bewahren, denn Verschlüsselung ohne zuverlässige Identitätsprüfung kann weiterhin dazu führen, dass Nutzer mit dem falschen Ziel verbunden werden. Kompatibilität, Softwareupdates und eine sorgfältige Bereitstellung gehören daher dazu, die Privatsphäre während jeder kryptografischen Umstellung zu erhalten.

DNS, das Domain Name System, das einen Domainnamen in die zum Erreichen des Ziels benötigte Netzwerkadresse umwandelt, ist ein weiterer Bestandteil der Privatsphäre beim Surfen. Encrypted DNS schützt DNS-Anfragen während ihrer Übertragung zwischen einem Gerät und dem ausgewählten DNS-Dienst und verringert so die Offenlegung der Domainabfragen auf diesem Teil des Übertragungswegs. Es ersetzt weder HTTPS noch TLS oder Post-quantum cryptography. Diese Technologien schützen unterschiedliche Phasen einer Verbindung. Die Verbesserung einer Ebene beseitigt daher nicht die Notwendigkeit, auch die anderen abzusichern.

Für Einzelpersonen besteht der praktischste Schritt darin, Browser und Betriebssysteme aktuell zu halten, damit Sicherheits- und Kompatibilitätsänderungen verfügbar werden, sobald die Entwickler sie bereitstellen. Websitebetreiber und IT-Teams sollten wissen, welche Dienste vertrauliche Informationen verarbeiten, wie lange diese Informationen vertraulich bleiben müssen und welche externen Anbieter ihre Zertifikate, ihr Hosting oder ihre verschlüsselten Verbindungen kontrollieren. Sie sollten außerdem vermeiden, Begriffe wie „post-quantum“ als automatische Garantie zu betrachten, da die Stärke eines Systems von seinem Design, seiner Implementierung und seiner Bereitstellung abhängt und nicht nur von seiner Bezeichnung.

Organisationen, die Unterstützung bei der Überprüfung sicherheitskritischer Infrastruktur benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Eine solche Überprüfung sollte Teil einer umfassenderen Planung sein und nicht als Beleg dafür gelten, dass ein bestimmtes System für künftige Quantenbedrohungen gerüstet ist.

Bei Post-quantum cryptography geht es letztlich darum, vertraute Erwartungen zu bewahren: dass eine private Kommunikation im Web privat bleibt und dass ein Browser die Identität der Website am anderen Ende feststellen kann. Die Umstellung betrifft die Grundlagen der Privatsphäre im Web. Nutzer sollten darauf jedoch mit gepflegter Software, genauen Bestandsübersichten und einer evidenzbasierten Planung reagieren, nicht mit unbelegten Behauptungen über einen sofortigen oder vollständigen Schutz.