Unser DC Mitglied Jürgen Fiedler, Chief Risk Officer der FNZ Bank SE und zuvor Chief Risk Officer der International Private Bank der Deutschen Bank, hat uns auf eine neue Veröffentlichung der Deutschen Bundesbank aufmerksam gemacht. Unter dem Titel „Quantencomputing: neue Herausforderungen durch neue Technologie“ beschreibt die Bundesbank am 23. Oktober 2026, warum sich Banken bereits jetzt mit Quantencomputing und seinen Risiken für die Verschlüsselung befassen sollten. Der Einsatz von Quantencomputern befindet sich nach Darstellung der Bundesbank noch in einer explorativen Phase. Die IT-Risiken entstehen gleichwohl schon heute.
Die Mehrheit der befragten Institute ist noch nicht befasst
In einer von der Bundesbank durchgeführten Digitalisierungsumfrage gab 2025 die überwiegende Mehrheit der befragten weniger bedeutenden Institute (LSIs) an, sich bislang nicht mit dem Einsatz von Quantencomputern oder den durch sie entstehenden Risiken auseinanderzusetzen. Die Bundesbank bezeichnet diese Institute auch als kleinere Banken. Dabei sind die IT-Risiken nach ihrer Einschätzung erheblich: Quantencomputer werden absehbar in der Lage sein, weit verbreitete asymmetrische Verschlüsselungsverfahren wie RSA und ECC zu kompromittieren. Verfahren, die heute als sicher gelten, müssen daher perspektivisch durch quantenresistente Alternativen ersetzt werden. Diese Umstellung auf Post-Quantum-Kryptografie wird als PQC-Migration bezeichnet.
Harvest now, decrypt later und Moscas Ungleichung
Ein besonderes Risiko ergibt sich aus dem Szenario „Harvest now, decrypt later“. Dabei fangen Angreifer bereits heute verschlüsselte Daten ab und speichern sie, um sie zu entschlüsseln, sobald ausreichend leistungsfähige Quantencomputer verfügbar sind. Das betrifft insbesondere Daten, die über einen längeren Zeitraum vertraulich bleiben müssen, etwa sensible Finanz- oder Gesundheitsdaten.
Das sich daraus ergebende Problem beschreibt die Bundesbank als Moscas Ungleichung. Sie setzt den Zeitraum bis zur Verfügbarkeit von Quantencomputern, die gängige kryptografische Verfahren brechen können, ins Verhältnis zur Summe aus der für die Migration auf PQC benötigten Zeit und dem Zeitraum, über den die verschlüsselten Daten sicher bleiben müssen. Lange Vertraulichkeitsdauern und mehrjährige Migrationszeiten öffnen dieses Fenster bereits heute.
Empfehlungen des BSI zu Fristen, Hybridbetrieb und Kryptoagilität
Die flächendeckende Umstellung auf PQC ist nach Einschätzung der Bundesbank eine erhebliche Herausforderung und braucht mehrere Jahre. Bereits heute gibt es quantenresistente Verschlüsselungsverfahren, die auf klassischer Hardware laufen, sowie gesetzliche Anforderungen und Empfehlungen von IT-Sicherheitsbehörden zur Umstellung.
In seiner Technischen Richtlinie zu kryptografischen Verfahren aus dem Januar 2026 empfiehlt das BSI, klassische Schlüsseleinigungsverfahren allein nur noch bis Ende 2031 einzusetzen, bei Anwendungen mit sehr hohem Schutzbedarf bis Ende 2030. Zudem sollten Finanzinstitute die Kryptoagilität berücksichtigen: Weil einzelne quantensichere Alternativen sich später als noch angreifbar erweisen könnten, müssen implementierte Verfahren schnell und unkompliziert austauschbar sein. Das BSI empfiehlt deshalb einen Parallelbetrieb klassischer asymmetrischer Kryptografieverfahren mit neuen quantensicheren Algorithmen – also hybride Verfahren – und einen Prozess, mit dem Algorithmen rasch abgeschaltet werden können.
Sechs Schritte der G7 Cyber Expert Group
Die G7 Cyber Expert Group hat im Januar 2026 ein Papier vorgelegt, in dem sie sechs konkrete Schritte für den Umstieg auf PQC empfiehlt. Diese Schritte müssen nicht strikt nacheinander erfolgen, sondern können sich überschneiden:
- Bewusstsein und Vorbereitung: Risiken durch Quantencomputer bewusst machen sowie kritische oder wichtige Funktionen, relevante Daten und Verantwortlichkeiten identifizieren.
- Bestandsaufnahme und Kryptoinventar: die bestehenden kryptografischen Systeme umfassend analysieren.
- Risikoanalyse und Planung: Risiken bewerten und einen detaillierten Migrationsplan erstellen.
- Migrationsausführung: die Umstellung schrittweise und koordiniert vornehmen.
- Migrationstests: die neuen Systeme umfassend auf Sicherheit und Funktionsfähigkeit prüfen.
- Validierung und Überwachung: nach der Migration die Systeme laufend überwachen und anpassen.
Die Bundesbank betont, dass sich Finanzinstitute dem Thema zeitnah und mit hoher Priorität annehmen sollten. Entscheidend sei eine enge Abstimmung mit Dienstleistern, Infrastrukturanbietern und anderen Beteiligten sowie die Orientierung an den Empfehlungen des BSI und an internationalen Standards.
Was bereits gilt – und was Empfehlung bleibt
DORA und die Delegierte Verordnung (EU) 2024/1774 verlangen nach Darstellung der Bundesbank bereits heute, dass Sicherheitssysteme dem aktuellen Stand der Technik entsprechen und an sich verändernde Gefährdungen angepasst werden. Die genannten Zeitpunkte des BSI sind Empfehlungen. Sie sind keine neu erlassene allgemeine Bankenpflicht.
Digitale Resilienz und Wirtschaftsdiplomatie
Aus Sicht des Diplomatic Council gehört digitale Resilienz zur Wirtschaftsdiplomatie. Belastbare Finanzbeziehungen hängen an einer Kryptografie, die auch über Grenzen hinweg und über lange Vertraulichkeitsfristen standhält. Die Veröffentlichung der Bundesbank macht deutlich, dass die Vorbereitung darauf eine gegenwärtige Aufgabe ist, nicht erst eine der Zukunft.
Die Veröffentlichung der Deutschen Bundesbank vom 23. Oktober 2026 ist unter dem folgenden Link verfügbar:
Quantencomputing: neue Herausforderungen durch neue Technologie
