Post-Quanten-Bereitschaft für den Finanzdienstleistungssektor:

Übersicht

Jedes Framework in diesem Leitfaden weist in dieselbe Richtung: Man muss wissen, welche Kryptografie man einsetzt, nachweisen, dass man die Kontrolle darüber hat, und bereit sein, sie anzupassen. Bei der postquanten Kryptografie wird dieser Richtung eine Frist gesetzt.

Im Jahr 2024 hat das NIST die ersten drei postquantenkryptografischen Standards fertiggestellt und einen Zeitplan für den Übergang veröffentlicht, wonach die RSA- und elliptischen Kurven-Algorithmen, auf denen der Großteil der Finanzinfrastruktur basiert, bis 2030 auslaufen sollen, wobei ein vollständiges Verbot für 2035 angestrebt wird. Im Juni 2026 wurde diese technische Leitlinie durch die Executive Order 14412 in Bundespolitik umgesetzt, wodurch das OMB und der National Cyber Director angewiesen wurden, eine beschleunigte nationale Umstellung zu leiten, und schrittweise Fristen für hochwertige Vermögenswerte des Bundes festgelegt wurden. Im Januar 2026 veröffentlichte die G7-Cyber-Expertengruppe unter dem gemeinsamen Vorsitz des US-Finanzministeriums und der Bank of England einen koordinierten, sektorspezifischen Fahrplan, in dem Banken, Versicherer, Börsen und Finanzmarktinfrastrukturen dazu aufgefordert wurden, bereits weit vor dem Planungshorizont Mitte der 2030er Jahre von der Sensibilisierung zu Bestandsaufnahmen, Risikobewertungen und einer schrittweisen Migration überzugehen.

Für Finanzinstitute sind zwei Aspekte von größter Bedeutung. Erstens weist dieselbe Durchführungsverordnung den FAR-Rat an, von betroffenen Bundesauftragnehmern zu verlangen, bis Ende 2030 PQC-konforme Cybersicherheitsstandards zu erfüllen, wodurch sich die Migrationspflicht auf alle Institutionen ausweitet, die Dienstleistungen an Bundeslieferketten verkaufen. Zweitens hat SWIFT selbst einen Zieltermin genannt: SwiftNet soll voraussichtlich um das Jahr 2027 herum PQC-fähig sein, wobei das Migrationsfenster für die rund 11.000 an das Netzwerk angeschlossenen Institutionen eher in Monaten als in Jahren gemessen wird.

Warum das wichtig ist 

Eine Durchführungsverordnung und ein G7-Fahrplan sind keine Konformitätsstandards, und Finanzinstitute werden nicht direkt anhand einer dieser beiden Vorgaben geprüft. Ihre Bedeutung liegt in dem Signal, das sie aussenden: Die Fragen, die dieser Leitfaden in jedem Kapitel aufgeworfen hat – die Erwartungen von DORA hinsichtlich der Krypto-Agilität, die Anforderung des PCI DSS bezüglich eines kryptografischen Bestandsverzeichnisses sowie die Anforderungen des NYDFS hinsichtlich eines Zertifikats- und Schlüsselbestands – sind nun mit konkreten Terminen verbunden.

Aus finanzwirtschaftlicher Sicht liegen diese Termine näher beieinander, als es den Anschein hat. Transaktionshistorien, Verwahrungsunterlagen und langfristig gespeicherte KYC-/AML-Daten, die heute verschlüsselt sind, können bereits jetzt erfasst und entschlüsselt werden, sobald Quantencomputer einsatzfähig sind. Das bedeutet, dass nicht der Zeitpunkt der Markteinführung eines Quantencomputers, sondern die Vertraulichkeitsdauer der Daten die eigentliche Frist bestimmt. Jüngste Branchenumfragen haben ergeben, dass weniger als 3 % der weltweiten Finanzinstitute mit einer substanziellen Migration begonnen haben, auch wenn SWIFTs eigene Bereitschaftsbewertung ergab, dass die große Mehrheit der Tier-1-Banken mit der Evaluierung begonnen hat, während kleinere Institute hinterherhinken – was genau das Risiko des „schwächsten Glieds“ schafft, das ein Korrespondenzbankennetzwerk nicht unbemerkt auffangen kann.

Die Due-Diligence-Prüfungen bei der Beschaffung und bei Geschäftspartnern werden schneller voranschreiten als die Regulierung. Bundeseinkäufer, Zentralbanken und Korrespondenzpartner werden bereits lange bevor dies gesetzlich vorgeschrieben ist, PQC-Migrationspläne und kryptografische Bestandsaufnahmen einfordern, und die Bestimmungen der DORA zur Krypto-Agilität weisen bereits jedes Finanzinstitut in der EU in dieselbe Richtung.

Wie sich dies auf die Kryptografie auswirkt 

Die „Post-Quantum Readiness“ befasst sich mit Kryptografie anhand mehrerer miteinander verflochtener Kontrollbereiche. Die wichtigsten Bereiche mit direkten kryptografischen Auswirkungen sind:

Fragen zur Einsatzbereitschaft

Bei PQC-Migrationsprüfungen – unabhängig davon, ob sie von einem Bundeskunden, einer Korrespondenz-Gegenpartei oder einer internen Risikofunktion initiiert werden – steht im Mittelpunkt, ob die Organisation ihre Risiken kennt und über einen geregelten Plan verfügt. Die Prüfer werden insbesondere folgende Schlüsselbereiche untersuchen:

• Vollständigkeit des kryptografischen Bestands: Kann das Unternehmen jedes Zertifikat, jeden Schlüssel, jeden Algorithmus und jede kryptografische Bibliothek auflisten, die in den Kernbankensystemen, Zahlungssystemen und Open-Banking-Systemen verwendet werden, einschließlich der aus früheren Systemen übernommenen Abhängigkeiten?
• Klassifizierung quantenbedrohter Ressourcen: Wurde der Bestand anhand des NIST-Auslaufplans bewertet, wobei quantenbedrohte Ressourcen identifiziert und nach Datensensibilität und Aufbewahrungsfrist eingestuft wurden?
• Migrationsplan und Verantwortlichkeiten: Gibt es einen namentlich benannten Verantwortlichen, einen dokumentierten Migrationsplan und einen Zeitplan, der auf die Termine für die Auslaufphase im Jahr 2030 und das Verbot im Jahr 2035 abgestimmt ist?
• Strategie zur langfristigen Datenaufbewahrung und Verwahrung: Sind für Transaktions-, Verwahrungs- und KYC/AML-Daten, die weit über die aktuelle Lebensdauer der Algorithmen hinaus vertraulich bleiben müssen, Ausgleichskontrollen oder Migrationszeitpläne dokumentiert?
• Fähigkeit zur Erstellung einer kryptografischen Stückliste: Wäre die Organisation heute in der Lage , eine kryptografische Stückliste für ihre Systeme zu erstellen, falls ein Kunde auf Bundesebene oder eine Korrespondenzbank dies verlangen würde?
• PQC-Situation bei Anbietern und Korrespondenzbanken: Werden SWIFT-Geschäftspartner, Kartennetzwerke sowie Anbieter von Kernbankensystemen oder Cloud-Lösungen hinsichtlich ihrer eigenen Migrationspläne geprüft, da die veraltete Kryptografie zu einem Risiko für das Institut wird?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Der Übergang zur Post-Quanten-Kryptografie ist nun aus mehreren Richtungen mit konkreten Terminen verbunden. Das NIST erklärt die derzeitigen Kernalgorithmen bis 2030 für veraltet, die Executive Order 14412 verpflichtet Auftragnehmer der US-Bundesregierung, bis Ende desselben Jahres PQC-konforme Standards zu erfüllen, und SWIFT strebt ein PQC-fähiges SwiftNet um das Jahr 2027 an. Unsere Transaktionsaufzeichnungen, Verwahrungsdaten und die Infrastruktur für das Korrespondenzbankgeschäft werden noch weit über diese Termine hinaus auf der heutigen Kryptografie beruhen, es sei denn, wir handeln nach unserem eigenen Zeitplan und nicht nach dem eines anderen.

Der praktische erste Schritt ist derselbe, den jedes Framework in diesem Leitfaden verlangt: eine vollständige kryptografische Bestandsaufnahme. Das Konzept der kryptografischen Stückliste wird diese Erwartung für Vertragspartner auf Bundesebene formalisieren, und Korrespondenzbanken sowie Kartennetzwerke werden diesem Beispiel folgen. Wenn wir die Bestandsaufnahme, die Bewertung und die Automatisierung des Lebenszyklus jetzt aufbauen, wird PQC zu einer kontrollierten Migration nach unserem Zeitplan und nicht zu einem hektischen Unterfangen nach dem Zeitplan anderer.