Post-Quanten-Kryptografie für kritische Energieinfrastruktur: die BSI-Frist 2030
Dieser Artikel ordnet die BSI-Fristen für Netzbetreiber, Stadtwerke und KRITIS-Betreiber ein: was das BSI seit Februar 2026 konkret fordert, warum Energieinfrastruktur mit ihren langen Lebenszyklen besonders exponiert ist, welche NIST-Standards bereitstehen und was Betreiber jetzt tun sollten. Nahe verwandte Themen sind das NIS2- und KRITIS-Dachgesetz und die PKI im SMGW-Backend, die beide eigene Artikel haben. Hier geht es um die Quantenbedrohung und die Migration.
Seit dem 11. Februar 2026 steht ein Datum im Raum. Mit dem Update der Technischen Richtlinie TR-02102 hat das BSI die klassische Verschlüsselung terminiert: bei sehr hohem Schutzbedarf endet die alleinige asymmetrische Verschlüsselung Ende 2030, generell Ende 2031. Danach zählt nur noch hybrid, klassisch plus Post-Quanten. Signaturverfahren haben bis Ende 2035 Zeit. Die EU-Roadmap vom Juni 2025 zieht mit und nennt Energie beim Namen, als kritische Infrastruktur, die bis Ende 2030 migriert sein soll. An der Technik liegt es nicht. NIST hat FIPS 203, 204 und 205 schon im August 2024 finalisiert. Was Energienetze härter trifft als klassische IT, ist die Zeit: Fernwirktechnik und SCADA laufen 15 bis 30 Jahre, und heute abgefangene Daten lassen sich nach dem Muster Harvest now, decrypt later später entschlüsseln. Ende 2025 steckten rund 3,09 Millionen intelligente Messsysteme im Feld. Die Zahlen zur Umsetzung sind ernüchternd. 69 Prozent der Organisationen sehen das Quantenrisiko, 5 Prozent haben quantensichere Verschlüsselung im Einsatz. Der erste Schritt ist trotzdem kein neuer Algorithmus, sondern ein Krypto-Inventar. Dann die Priorisierung nach Datenlebensdauer, Kryptoagilität und der hybride Betrieb, den das BSI empfiehlt.
Warum die Uhr für die Verschlüsselung läuft
Die klassische Verschlüsselung hat ein Ablaufdatum. Wer kritische Energieinfrastruktur betreibt, muss jetzt migrieren, nicht erst, wenn ein Quantencomputer die heutigen Verfahren wirklich bricht. Klingt verkehrt herum. Ist es aber nicht, denn die Dringlichkeit steckt in der Rechenlogik, nicht in einer Tagesmeldung.
Der Kern ist einfach. Heute abgefangene Daten lassen sich später entschlüsseln, sobald die Rechenleistung da ist. Das Muster heißt Harvest now, decrypt later, und es wirkt rückwirkend. Für alles, was über 2030 hinaus vertraulich bleiben soll, zählt also nicht der Tag, an dem der Quantencomputer kommt. Es zählt der Tag, an dem die Daten das Netz verlassen.
Hier setzt das BSI an. Am 11. Februar 2026, mit dem Update der Technischen Richtlinie TR-02102, wurde aus der Empfehlung eine Frist. Seither ist der Wechsel keine Frage des Ob. Nur noch eine des Wann, und das Wann steht.
Was das BSI konkret fordert
Die Fristen sind abgestuft, nach Schutzbedarf und nach Verfahrenstyp. Der Zeitrahmen ist klar, der Spielraum klein. Und wer erst 2029 anfängt, hält bei komplexer Betriebstechnik keine dieser Fristen.
Drei Daten bilden den Kern. Bei sehr hohem Schutzbedarf endet die alleinige klassische asymmetrische Verschlüsselung Ende 2030. Generell greift Ende 2031, danach nur noch hybrid, klassisch und Post-Quanten kombiniert. Signaturen haben länger, bis Ende 2035. Der Grund für die Staffelung ist simpel: Eine gefälschte Signatur schadet erst in der Zukunft, abgefangene Daten schaden schon heute.
Bei Verschlusssachen-IT ist das BSI schon weiter. Mit den Herstellern hat es im Oktober 2025 eine härtere Linie vereinbart, ab 2030 sollen Produkte verfügbar sein, die künftigen Hochleistungs-Quantencomputern standhalten. Kein weiches Ziel. Ein Beschaffungstermin. Wer bis dahin nichts Quantensicheres im Regal hat, fällt aus der Zulassung.
Die Standards stehen bereits
Bei vielen Regulierungsfristen fehlt die Technik. Hier nicht. NIST hat die zentralen Algorithmen schon 2024 standardisiert, es geht um Integration, nicht um Erfindung.
Am 13. August 2024 kamen drei Standards: FIPS 203 für den Schlüsselaustausch, aufbauend auf dem Verfahren Kyber, dazu FIPS 204 und FIPS 205 für Signaturen. NIST rät, sofort mit der Integration anzufangen, weil sie dauert. Genau das ist der Satz, den die Planung braucht. Die Uhr läuft nicht ab dem Q-Day, sie läuft ab heute.
Das BSI geht bewusst über die NIST-Auswahl hinaus und empfiehlt zusätzlich FrodoKEM und Classic McEliece, zwei konservativere Verfahren auf lange erforschten Problemen. Dahinter steht Vorsicht. Zeigt ein Verfahren später Schwächen, steht ein zweites bereit. Das kostet mehr Aufwand und senkt das Risiko eines Fehlgriffs.
Warum Energienetze besonders exponiert sind
Energienetze trifft die Quantenbedrohung härter als klassische IT. Warum? Ihre Technik lebt lange, und ihre Daten bleiben lange sensibel. Ein Umspannwerk tauscht niemand alle drei Jahre aus.
Fernwirktechnik, SCADA und Steuerungssysteme laufen 15 bis 30 Jahre. Wer heute ein Steuergerät mit klassischen Schlüsseln verbaut, legt sich für die halbe Migrationsfrist fest. Dazu die schiere Menge. Ende 2025 steckten rund 3,09 Millionen intelligente Messsysteme im Feld, jedes mit einem Smart Meter Gateway, abgesichert über eine Smart-Meter-PKI. Auch diese Vertrauensinfrastruktur muss den Kryptowechsel mittragen.
Und die Daten? Steuerbefehle, Netzführungsprotokolle, Messwerte, das ist kein flüchtiges Gut. Sie verraten, wie ein Netz gebaut ist und wie es reagiert. Wer sie heute abgreift und speichert, hält morgen eine Landkarte der Infrastruktur. Für Energienetze ist Harvest now, decrypt later deshalb kein Gedankenspiel. Es ist ein Grund, jetzt anzufangen.
Deutsche und EU-Perspektive
Die deutsche Frist steht nicht allein. Im Juni 2025 hat die EU eine koordinierte Roadmap für den Übergang zur Post-Quanten-Kryptografie vorgelegt, und sie nennt Energie beim Namen, als kritische Infrastruktur. Deutsche Netzbetreiber bewegen sich also in einem abgestimmten europäischen Rahmen. Kein nationaler Sonderweg.
Zwei Marken setzt die Roadmap. Bis Ende 2026 sollen die Mitgliedstaaten nationale Fahrpläne, Krypto-Inventare und erste Pilotprojekte vorlegen, bis Ende 2030 die High-Risk-Fälle und die kritischen Infrastrukturen migriert haben. Der Kernsatz lässt wenig Deutung zu: Quantenanfällige Public-Key-Verfahren dürfen nach Ende 2030 nicht mehr allein laufen. Das deckt sich fast auf den Tag mit der BSI-Linie.
Der Rahmen zieht sich weiter. Das NIS2- und KRITIS-Dachgesetz verschärft die Sicherheitsanforderungen für den Energiesektor ohnehin, und die Einstufung von KI in der Energieinfrastruktur als Hochrisiko weist in dieselbe Richtung. Kryptografie gehört in dieses Bild, sie steht nicht daneben. Wer NIS2 ernst nimmt, kommt an der Krypto-Migration nicht vorbei.
Herausforderungen und Risiken
Die Migration ist kein Software-Update. Sie fasst Hardware an, Protokolle, Zertifikate, Lieferketten, oft in Systemen, die für einen Kryptowechsel nie gedacht waren. Und die Dringlichkeit ist umstritten. Das gehört ehrlich dazu.
Der praktische Kern ist die fehlende Kryptoagilität. Viele Komponenten der Betriebstechnik lassen sich nicht per Update umstellen, sie müssen raus und ersetzt werden. Für große Organisationen kursieren Migrationszeiträume von deutlich über zehn Jahren. Vorsicht mit diesen Zahlen, sie sind Schätzungen aus der Beratungsliteratur, nicht energiespezifisch belegt. Die Größenordnung stimmt trotzdem, und bei einer Frist bis 2030 bleibt kaum Puffer.
Dann die Gegenstimmen. Kritiker halten den Zeithorizont für einen praktisch nutzbaren Quantencomputer für offen und warnen vor überhasteten Umstellungen auf noch junge Implementierungen. Ein heise-Kommentar von 2026 bringt es hart auf den Punkt: Viele Organisationen verschlüsseln kaum grundlegend, während alle über Post-Quanten-Krypto reden. Der Einwand hat etwas für sich.
Nur zeigt er in die falsche Richtung. Wenn die Migration selbst ein Jahrzehnt dauern kann, ist Abwarten das größere Risiko. Der Streit über das genaue Q-Day-Datum ändert nichts an der Rechnung: Datenlebensdauer plus Migrationszeit muss kleiner sein als die Zeit bis zum Quantencomputer. Für lang sensible Netzdaten geht diese Rechnung heute schon knapp aus.
Was Netzbetreiber jetzt tun sollten
Der erste Schritt ist kein Algorithmus, sondern Überblick. Wer nicht weiß, wo im Betrieb klassische Kryptografie steckt, kann sie auch nicht ersetzen. Aus den Fristen und der Bedrohungslage folgt eine überschaubare Handlungsliste.
- Krypto-Inventar aufbauen: systematisch erfassen, welche Systeme, Protokolle und Zertifikate welche kryptografischen Verfahren nutzen. Ohne diese Karte bleibt jede Migration Stückwerk.
- Nach Datenlebensdauer priorisieren: zuerst die Daten und Systeme schützen, die über 2030 hinaus vertraulich bleiben müssen. Genau dort greift Harvest now, decrypt later am härtesten.
- Kryptoagilität einbauen: Systeme und Beschaffung so auslegen, dass Verfahren wechselbar sind. Neue Hardware sollte einen Kryptowechsel per Update erlauben, statt ihn zu verbauen.
- Hybrid statt Alleingang: Post-Quanten-Verfahren zunächst hybrid mit klassischen kombinieren, wie es das BSI empfiehlt. So bleibt die Sicherheit erhalten, falls ein neues Verfahren später Schwächen zeigt.
- Lieferanten früh binden: Beschaffung und Hersteller jetzt auf quantensichere Produkte festlegen, damit Betriebstechnik mit 20 Jahren Lebensdauer nicht ab Werk veraltet ist.
Weiterführende Informationen
Häufig gestellte Fragen
Post-Quanten-Kryptografie umfasst Verschlüsselungs- und Signaturverfahren, die auch ein leistungsfähiger Quantencomputer nicht brechen kann. Klassische asymmetrische Verfahren wie RSA und ECC beruhen auf Rechenproblemen, die ein solcher Rechner lösen könnte. Die neuen Verfahren nutzen andere mathematische Grundlagen, etwa Gitter. NIST hat sie 2024 als FIPS 203, 204 und 205 standardisiert.
Mit dem Update der Technischen Richtlinie TR-02102 am 11. Februar 2026 hat das BSI Enddaten gesetzt. Die alleinige klassische asymmetrische Verschlüsselung soll bei sehr hohem Schutzbedarf Ende 2030 enden, generell Ende 2031. Danach ist nur noch der hybride Betrieb aus klassischem und Post-Quanten-Verfahren zulässig. Für reine Signaturverfahren gilt Ende 2035.
Energieinfrastruktur hat lange Lebenszyklen. Fernwirktechnik, SCADA und Steuerungssysteme laufen 15 bis 30 Jahre, und ihre Daten bleiben lange sensibel. Nach dem Muster Harvest now, decrypt later können heute abgefangene Steuer- und Messdaten später entschlüsselt werden, sobald ein Quantencomputer verfügbar ist. Ende 2025 waren bereits rund 3,09 Millionen intelligente Messsysteme verbaut.
Harvest now, decrypt later beschreibt einen Angriff, bei dem verschlüsselte Daten heute abgefangen und gespeichert werden, um sie später mit einem Quantencomputer zu entschlüsseln. Der Angriff wirkt rückwirkend. Deshalb reicht es nicht, erst zu handeln, wenn ein Quantencomputer existiert. Wer Daten schützt, die über 2030 hinaus vertraulich bleiben müssen, muss die Migration jetzt planen.
Der erste Schritt ist ein Krypto-Inventar: erfassen, welche Systeme welche Verfahren nutzen. Danach folgt die Priorisierung nach Datenlebensdauer, damit lang sensible Daten zuerst geschützt werden. Systeme sollten kryptoagil ausgelegt sein, damit Verfahren wechselbar bleiben. Das BSI empfiehlt hybride Verfahren aus klassischem und Post-Quanten-Algorithmus. Beschaffung und Lieferanten gehören früh eingebunden.