Vorbereitung auf die Post-Quanten-Ära: Der Zeitplan steht nun fest

Die Vorbereitung der Finanzdienstleistungsbranche auf die Post-Quanten-Ära hat eine entscheidende Schwelle überschritten. Früher war dies ein theoretisches Problem, das Sicherheitsteams unter „irgendwann einmal“ abhaken konnten. Heute ist es eine fest geplante Verpflichtung mit konkreten Terminen.

Jedes kryptografische Compliance-Rahmenwerk, dem ein Finanzinstitut unterliegt, weist in dieselbe Richtung: Man muss wissen, welche Kryptografie man einsetzt, nachweisen, dass man die Kontrolle darüber hat, und bereit sein, sie anzupassen. Bei der postquanten Kryptografie wird dieser Richtung schließlich eine Frist gesetzt.

Dieser Artikel beschreibt den zeitlichen Ablauf, durch den aus Leitlinien konkrete Richtlinien wurden, erläutert, warum die Fristen insbesondere im Finanzbereich enger beieinanderliegen, als es auf den ersten Blick erscheint, stellt klar, wer davon betroffen ist, und gliedert die Maßnahmen in konkrete kryptografische Kontrollmaßnahmen auf, mit deren Umsetzung Sie bereits jetzt beginnen können.

Warum die Frist verbindlich ist: der zeitliche Ablauf in schriftlicher Form

Das Argument, jetzt zu handeln, beruht nicht auf Spekulationen darüber, wann ein kryptografisch relevanter Quantencomputer auf den Markt kommen wird. Es beruht auf Meilensteinen, die bereits veröffentlicht wurden.

NIST-Standards und der Zeitplan für 2030/2035

Im Jahr 2024 hat das NIST die ersten drei postquantenkryptografischen Standards fertiggestellt und in NIST IR 8547 einen Entwurf für einen Zeitplan für die Umstellung veröffentlicht. Dieser im Entwurf enthaltene Zeitplan sieht vor, dass die RSA- und Elliptikkurven-Algorithmen, auf denen der Großteil der Finanzinfrastruktur basiert, bis 2030 auslaufen sollen, wobei ein vollständiges Verbot für 2035 angestrebt wird. Die Richtung steht fest: Die Algorithmen, auf die sich die meisten Bank- und Zahlungssysteme heute stützen, haben ein Ablaufdatum.

Verordnung Nr. 14412 und OMB M-26-15

Im Juni 2026 wurden die technischen Leitlinien des NIST durch die Executive Order 14412 in Bundesrichtlinien umgewandelt. Darin wurden das Office of Management and Budget (OMB) und der National Cyber Director angewiesen, eine beschleunigte nationale Umstellung unter Festlegung von stufenweisen Fristen für hochwertige Vermögenswerte des Bundes voranzutreiben. Das OMB-Memorandum M-26-15 regelt die Durchführung dieser Umstellung. Die Verordnung schreibt vor, dass alle hochwertigen Vermögenswerte und Systeme mit hoher Auswirkung auf Bundesebene bis zum 31. Dezember 2030 PQC für die Schlüsselerstellung und bis zum 31. Dezember 2031 für digitale Signaturen einsetzen müssen. Das am 24. Juni 2026 herausgegebene OMB-Memorandum M-26-15 legt für die übrigen Systeme einen Zeitplan in fünf Phasen bis zum Jahr 2035 fest.

Der koordinierte Fahrplan der G7

Im Januar 2026 veröffentlichte die G7-Cyber-Expertengruppe unter dem gemeinsamen Vorsitz des US-Finanzministeriums und der Bank of England einen abgestimmten, branchenspezifischen Fahrplan. Darin werden Banken, Versicherer, Börsen und Finanzmarktinfrastrukturen dazu aufgefordert, bereits weit vor dem Planungshorizont Mitte der 2030er Jahre von der Sensibilisierungsphase zu einer Bestandsaufnahme, Risikobewertung und schrittweisen Umstellung überzugehen. Für den Finanzsektor ist dies das bislang deutlichste Signal dafür, dass die Behörden den kryptografischen Wandel als ein Thema des systemischen Risikomanagements und nicht als ein Problem der Zukunft betrachten.

Swift setzt sich ein Ziel

Swift plant, SwiftNet 8.0, sein Netzwerk mit Unterstützung für postquantene Kryptografie, Ende Juli 2027 zu veröffentlichen. Es handelt sich um ein obligatorisches Haupt-Release ohne Upgrade-Pfad von Version 7.7, und der Support für Version 7.9 endet 15 Monate nach der Verfügbarkeit von 8.0. Damit ergibt sich für die mehr als 11.500 an das Netzwerk angeschlossenen Institutionen ein Migrationsfenster, das sich in Monaten und nicht in Jahren bemisst.

Arbeitsgruppe des Finanzministeriums zur Quantencomputer-Bereitschaft des Finanzsektors

Am 24. August 2026 hat das US-Finanzministerium die „Quantum-Readiness Task Force“ ins Leben gerufen, eine öffentlich-private Initiative zur Beschleunigung des Übergangs des amerikanischen Finanzsektors zu quantensicherer Technologie. Sie folgt der Executive Order 14412 und baut auf dem Fahrplan der G7-Cyber-Expertengruppe auf. Die Task Force arbeitet in drei Arbeitsbereichen: Sektorale Abstimmung und Übergang zu PQC; Bereitschaft von Drittanbietern und Lieferanten; sowie digitale Vermögenswerte und Risiken durch neue Technologien.

Warum dies für Finanzinstitute von Bedeutung ist

Eine Durchführungsverordnung und ein G7-Fahrplan sind keine Konformitätsstandards, und keine Institution wird direkt anhand einer dieser beiden Vorgaben geprüft werden. Ihre Bedeutung liegt in dem Signal, das sie aussenden: Die bereits in DORA, PCI DSS und NYDFS verankerten Anforderungen hinsichtlich des Kryptografie-Bestands, der Zertifikatsverwaltung und der Krypto-Agilität sind nun mit konkreten Fristen versehen.

Jetzt ernten, später entschlüsseln

Transaktionsverläufe, Depotunterlagen sowie langfristig aufbewahrte KYC- und AML-Daten, die heute verschlüsselt sind, können bereits jetzt erfasst und erst dann entschlüsselt werden, wenn Quantencomputer einsatzbereit sind. Die eigentliche Frist richtet sich daher nach der Aufbewahrungsdauer der Daten und nicht nach dem Liefertermin eines Quantencomputers. Im Finanzwesen, wo Unterlagen über Jahre oder Jahrzehnte hinweg vertraulich bleiben müssen, hat das Risiko bereits begonnen.

Die Vorbereitungslücke und das Risiko des schwächsten Glieds

Jüngste Branchenumfragen haben ergeben, dass nur ein geringer Prozentsatz der Finanzinstitute weltweit bereits mit einer substanziellen Umstellung begonnen hat. Größere Tier-1-Banken sind bei der Bewertung führend, während kleinere Institute hinterherhinken, was genau das Risiko des „schwächsten Glieds“ schafft, das ein Korrespondenzbankennetzwerk nicht unbemerkt auffangen kann. Eine unvorbereitete Gegenpartei wird zum Problem für alle.

Die Beschaffung schreitet schneller voran als die Regulierung

Staatliche Einkäufer, Zentralbanken und Korrespondenzpartner werden bereits lange bevor dies gesetzlich vorgeschrieben ist, PQC-Migrationspläne und Verschlüsselungsverzeichnisse anfordern. Die Bestimmungen der DORA zur Krypto-Agilität weisen bereits allen Finanzinstituten in der EU den Weg zu derselben Grundlage. Der praktische Auslöser für die meisten Institute wird ein Fragebogen zur Sorgfaltsprüfung sein, nicht ein Gesetz.

Wer fällt in den Geltungsbereich?

Wenn Sie Ihre Einrichtung in einer der folgenden Kategorien wiedererkennen, ist die Post-Quantum-Bereitschaft bereits ein Thema für Sie.

• Banken und Zahlungsdienstleister mit Aktivitäten auf Bundesebene oder grenzüberschreitenden Aktivitäten, einschließlich verbundener Institute, die unter die FAR-Vorschrift im Rahmen der Executive Order 14412 fallen.
• SWIFT-angeschlossene und Korrespondenzinstitute, die von der Einführung der SwiftNet-Version mit PQC-Unterstützung und dem damit verbundenen Migrationszeitraum betroffen sind.
• Jede Institution, die langfristig zu speichernde Finanzdaten wie Transaktionsaufzeichnungen, Verwahrungsdaten sowie KYC- und AML-Aufzeichnungen verwahrt, deren Vertraulichkeit länger gewährleistet sein muss als die Lebensdauer heutiger Algorithmen.

Dieser Geltungsbereich reicht sogar noch weiter: EU-Einrichtungen, die dem DORA unterliegen, Auftragnehmer der US-Bundesregierung, die unter die bevorstehende FAR-Vorschrift fallen, wonach betroffene Auftragnehmer bis Ende 2030 die FIPS-Standards des NIST einhalten müssen – einschließlich solcher, die standardisierte PQC-Algorithmen enthalten –, sowie Einrichtungen, die von Behörden beaufsichtigt werden, die eigene Fristen festgelegt haben.

Wie sich die Post-Quanten-Bereitschaft auf kryptografische Kontrollmaßnahmen abbilden lässt

Der Zeitplan wird durch eine Reihe miteinander verzahnter Steuerungsbereiche konkret umgesetzt. Jeder einzelne Bereich stellt eine eigenständige Funktion dar, die Sie bereits jetzt einrichten können.

Kryptografische Bestandsaufnahme und CBOM-Bereitschaft

Erfassen und inventarisieren Sie Zertifikate, Schlüssel, Algorithmen und eingebettete kryptografische Bibliotheken in den Bereichen Kernbankwesen, Zahlungsverkehr und Open Banking. Diese Transparenz auf Asset-Ebene ist eine Voraussetzung für eine kryptografische Stückliste (CBOM) und steht im Einklang mit der Executive Order 14412 sowie den bevorstehenden CBOM-Leitlinien der CISA. Außerdem unterstützt sie die PCI-DSS-Anforderung 12.3.3, die ein fortlaufend gepflegtes Verzeichnis kryptografischer Verschlüsselungssuiten und Protokolle vorschreibt.

Bewertung der Anfälligkeit gegenüber Quantenangriffen

Analysieren Sie die erkannten Verschlüsselungsverfahren anhand von Listen mit zugelassenen und veralteten Algorithmen gemäß dem NIST IR 8547-Zeitplan für die Auslaufphase. Priorisieren Sie die Ergebnisse nach Datensensibilität und Aufbewahrungsfrist, sodass die risikoreichsten und am längsten genutzten Ressourcen zuerst behandelt werden.

Ausstellung von PQC-fähigen Zertifikaten

Ausstellung und Verwaltung von Zertifikaten unter Verwendung von nach NIST-Standards standardisierten PQC-Algorithmen, einschließlich hybrider Zertifikate, die eine schrittweise Migration in langlebigen Bank- und Zahlungsinfrastrukturen unterstützen. Diese Arbeit steht im Einklang mit der Executive Order 14412 und OMB M-26-15.

Kryptografische Flexibilität auf Unternehmensebene

Zertifikate in der Kernbank-, Karten- und Korrespondenzbank-Infrastruktur im großen Maßstab rotieren, neu ausstellen und neu verschlüsseln – ohne manuelle Eingriffe an einzelnen Endpunkten. Diese Funktion entspricht der Roadmap der G7-Cyber-Expertengruppe sowie den Artikeln 6 bis 7 der DORA-RTS.

PQC-fähige Messaging-Infrastruktur

Bereiten Sie die Zertifikats- und Schlüsselinfrastruktur im Vorfeld der PQC-fähigen Version von SwiftNet und des darauf folgenden Migrationszeitraums vor. Angesichts des kurzen Zeitfensters, das Swift angekündigt hat, werden die Institutionen, die diese Infrastruktur im Vorfeld einrichten, die Migration in Ruhe durchführen können, anstatt in Hektik zu geraten.

PQC-kompatibler Code und Firmware-Signierung

Signieren Sie Zahlungsanträge, Firmware für Geldautomaten und POS-Terminals sowie Kernbankensoftware-Versionen mit quantenresistenten Algorithmen, damit die Aktualisierungs-Pipelines über ihren gesamten Supportzeitraum hinweg vertrauenswürdig bleiben. Dies steht im Einklang mit den Beschaffungsbestimmungen der Executive Order 14412 und der PCI-DSS-Anforderung 12.3.3.

Fragen zur Vorbereitung, die Sie jetzt stellen sollten

Das sind die Fragen, die Prüfer, Bundeskunden und Ansprechpartner stellen werden. Wenn Sie jede einzelne davon mit Belegen beantworten können, sind Sie anderen einen Schritt voraus.

• Is your cryptographic inventory complete?
  
  Can you enumerate every certificate, key, algorithm, and cryptographic library across core banking, payments, and open banking, including inherited dependencies?
• Have you classified quantum vulnerability?
  
  Has the inventory been assessed against the NIST deprecation schedule, with quantum-vulnerable assets ranked by data sensitivity and retention period?
• Do you have a migration plan and an owner?
  
  Is there a named owner, a documented plan, and a timeline aligned to the 2030 deprecation and 2035 disallowance dates?
• What is your long-lived data and custody strategy?
  
  For transaction, custody, and KYC and AML data that must stay confidential past current algorithm lifespans, are compensating controls or migration timelines documented?
• Can you produce a CBOM today?
  
  If a federal customer or correspondent bank requested a cryptographic bill of materials right now, could you generate one?
• Do you know your vendors’ PQC posture?
  
  Are SWIFT counterparties, card networks, and core banking or cloud vendors being assessed for their own migration plans, given that inherited cryptography becomes your exposure?

Wie Keyfactor helfen Keyfactor

Die Post-Quanten-Bereitschaft ist eine operative Fähigkeit und kein einmaliges Projekt. Die „ Keyfactor “ Trust Control Plane überwacht, analysiert, stellt bereit, koordiniert und steuert alle kryptografischen Ressourcen und Maschinenidentitäten in den Bereichen Kernbankwesen, Zahlungsverkehr und Open Banking. Das Ergebnis ist ein einziges System zur Datenerfassung, aus dem alle von einem Rahmenwerk geforderten Nachweise entnommen werden können.

Die unterstützenden Produkte, die im Rahmen der Kontrollzuordnung identifiziert wurden, arbeiten während der gesamten Migration zusammen:

• Command und AgileSec für die Erkennung, Bestandsaufnahme und Bewertung von Quanten-Sicherheitslücken.
• EJBCA für die Ausstellung von PQC-fähigen und hybriden Zertifikaten.
• SignServer und Signum für quantenresistente Code- und Firmware-Signatur.

Anstatt Beweisketten Framework für Framework zusammenzustellen, erhalten die Institutionen eine einzige Plattform, die alle ihre kryptografischen Fragen beantwortet.

Ein Programm, kein Projekt

Die Rahmenwerke unterscheiden sich hinsichtlich Zuständigkeit, Geltungsbereich und Durchsetzung, erfordern jedoch dieselbe grundlegende Fähigkeit: Erfassen Sie, welche kryptografischen Ressourcen im gesamten Unternehmen, im Zahlungsnetzwerk und bei jeder Gegenpartei, mit der Sie verbunden sind, vorhanden sind. Analysieren Sie diese im Hinblick auf aktuelle Anforderungen und Auslaufpläne. Stellen Sie vertrauenswürdige Identitäten für jedes System, jede Anwendung und jede Arbeitslast bereit. Koordinieren Sie den Lebenszyklus von Zertifikaten und Schlüsseln auf institutioneller Ebene. Verwalten Sie die gesamte Infrastruktur mithilfe von Richtlinien, Nachweisen und Rechenschaftspflichten, die von einem Prüfer überprüft werden können.

Das ist kein Compliance-Projekt mit einem festen Endtermin. Es handelt sich um eine operative Fähigkeit, und die Institutionen, die dies entsprechend berücksichtigen, werden feststellen, dass jede neue Anforderung auf eine Infrastruktur trifft, die diese bereits erfüllt. Die ersten praktischen Schritte sind unabhängig davon, welche Fristen für Sie gelten, dieselben: Beginnen Sie bereits jetzt, noch vor den Meilensteinen 2030 und 2035, mit der Bestandsaufnahme Ihrer kryptografischen Systeme und der Bewertung der Anfälligkeit gegenüber Quantencomputern.

Möchten Sie sehen, wie das in Ihrem gesamten Unternehmen aussieht? Fordern Sie eine Demo an.

Haben Sie Fragen zur Post-Quanten-Bereitschaft? Wir haben die Antworten.

What is post-quantum readiness for financial services?
Post-quantum readiness is an institution’s ability to migrate its cryptographic systems to quantum-resistant algorithms without disruption. It combines complete visibility into cryptographic assets, a prioritized view of quantum vulnerability, and the automation to re-key and reissue certificates at estate scale.

When do financial institutions need to migrate to post-quantum cryptography?
 Draft NIST IR 8547 deprecates RSA and elliptic curve algorithms after 2030 and disallows them after 2035. Executive Order 14412 sets firmer dates for federal high value assets and high impact systems: PQC for key establishment by December 31, 2030, and for digital signatures by December 31, 2031. Sooner still, Swift plans to release its PQC-enabled SwiftNet 8.0 at the end of July 2027, giving connected institutions a migration window measured in months.

What is “harvest now, decrypt later” and why does it matter for banks?
Harvest now, decrypt later is the practice of capturing encrypted data today and decrypting it once quantum capability arrives. It matters for finance because transaction histories, custody records, and KYC and AML data must stay confidential for years, so their sensitivity horizon sets the real deadline rather than the arrival of a quantum computer.

Which institutions are in scope for post-quantum readiness?
In scope are banks and payment providers with federal or cross-border exposure, SWIFT-connected and correspondent institutions, and any institution holding long-lived financial data. It also reaches EU entities subject to DORA and federal contractors captured by the forthcoming FAR rule requiring PQC-aligned standards by the end of 2030.

What is a cryptographic bill of materials (CBOM)?
A CBOM is an asset-level inventory of the certificates, keys, algorithms, and cryptographic libraries in use across an environment. Executive Order 14412 directs CISA, in coordination with NIST, to publish the minimum elements for a CBOM, with elements that enable automated assessment of an asset’s cryptography. A CBOM also supports PCI DSS Requirement 12.3.3, which asks for an inventory of cipher suites and protocols in use, monitoring of their continued viability, and a documented plan to respond when one stops being viable.

How does Executive Order 14412 affect financial institutions?
Executive Order 14412, issued in June 2026, converted NIST’s guidance into federal policy and directed an accelerated national migration with phased deadlines for federal high-value assets. It reaches private industry through a forthcoming FAR rule requiring covered federal contractors to meet PQC-aligned standards by the end of 2030.

What is the Treasury Quantum-Readiness Task Force?
Launched by the U.S. Treasury on August 24, 2026, it is a public-private initiative to accelerate the financial sector’s transition to quantum-safe technology, building on the G7 Cyber Expert Group roadmap. It operates through three workstreams: Sector Alignment and PQC Transition, Third-Party and Vendor Readiness, and Digital Assets and Emerging Technology Risk.

How can Keyfactor help with post-quantum migration?
The Keyfactor Trust Control Plane observes, analyzes, provisions, orchestrates, and governs every cryptographic asset and machine identity across core banking, payments, and open banking. Command and AgileSec handle discovery and vulnerability assessment, EJBCA issues PQC-capable and hybrid certificates, and SignServer and Signum provide quantum-resistant code and firmware signing.