Quantenrisiko · der dringliche Pfad
Post-Quanten-Kryptographie
Quantencomputer werden die heutige Public-Key-Verschlüsselung brechen. Das Risiko beginnt vor der Maschine: Daten, die heute abgegriffen werden, lassen sich später entschlüsseln.
„Harvest now, decrypt later“ (heute abgreifen, später entschlüsseln) bedeutet: Ein Angreifer braucht heute keinen Quantencomputer – es genügt, verschlüsselten Datenverkehr aufzuzeichnen und Archive zu entwenden, sofern die Daten noch von Bedeutung sind, wenn die Maschine verfügbar wird. Langfristige Vertraulichkeit, digitale Signaturen und vertrauenswürdige Kommunikation sind Jahre vor dem ersten kryptographisch relevanten Quantencomputer exponiert.
qubit-lab.ch unterstützt regulierte Institute auf einem schlanken, effizienten Weg zur Quantensicherheit: Awareness, Abstimmung der Anspruchsgruppen, Sichtbarkeit der Exponierung und die Roadmap, die die Aufsicht heute erwartet – mit festem Umfang, ohne stehendes Programm.
Der aufsichtsrechtliche Anker
Die FINMA nennt ein Datum: PQC-Roadmap bis Mitte 2027
In ihrer Aufsichtsmitteilung 05/2026 „Quantum Computing“ (Juli 2026), gestützt auf eine Umfrage bei 60 Schweizer Finanzinstituten, empfiehlt die FINMA, bis spätestens Mitte 2027 eine PQC-Roadmap zu erstellen. Es ist eine Empfehlung, keine verbindliche Vorschrift – aber das klarste aufsichtsrechtliche Signal, das Schweizer Institute haben, und die Umfrage zeigt, wie weit der Weg für die meisten noch ist:
PQC-Roadmap bis spätestens dann empfohlen
Vom Verwaltungsrat verabschiedete Strategie mit Meilensteinen und Zieldaten (§3.1)
haben noch keine PQC-Massnahmen geplant oder umgesetzt
Von 60 befragten Schweizer Finanzinstituten
erwarten, dass Quanten-Cyberrisiken innerhalb von 7 Jahren direkt relevant werden
17 % innerhalb von 1–3 Jahren, 52 % innerhalb von 4–7 Jahren
erwarteter Horizont für einen Quantencomputer, der RSA-2048 bricht
~2/3 erwarten spätestens in zehn Jahren eine Maschine, die dies innerhalb von 24 Stunden kann
Die Aufsichtsmitteilung nennt fünf empfohlene Handlungsfelder:
1 Strategie und PQC-Roadmap2 Risikoanalyse und Kryptoinventar3 Schutz kritischer Daten – Harvest-now-decrypt-later, hybride Lösungen4 Krypto-Agilität5 Externe Dienstleister
Quelle: FINMA-Aufsichtsmitteilung 05/2026 „Quantum Computing“, publiziert am 9. Juli 2026; Umfrage bei 60 Schweizer Finanzinstituten (Banken, Versicherer, Verwalter von Kollektivvermögen, Finanzmarktinfrastrukturen), November 2025 – Januar 2026. Die FINMA empfiehlt; die Aufsichtsmitteilung ist keine verbindliche Frist.
Zur FINMA-Aufsichtsmitteilung →Die Verantwortung der Geschäftsleitung hängt nicht von einem eigenen PQC-Gesetz ab.
Sensible Daten, die heute erfasst werden, müssen möglicherweise noch in Jahren geschützt sein, und digitale Vertrauensmechanismen, die heute geschaffen werden, müssen künftig verteidigbar bleiben. Die unmittelbare Frage ist nicht, wie migriert wird – sondern wie der Schritt von allgemeiner Awareness zu einer strukturierten Sicht auf Exponierung, Zuständigkeiten und Planungsreife gelingt, bevor die Dringlichkeit die Agenda bestimmt.
