PQC StatusIhre Kryptografie hat ein Ablaufdatum.
RSA und elliptische Kurven werden laut NIST-Entwurf IR 8547 nach 2030 abgekündigt und nach 2035 unzulässig. Sehen Sie, wo Sie stehen, und was noch zu tun ist.
- März 2025PCI DSS 12.3.3: Inventar der Cipher Suites verpflichtend
- Ende 2026EU: Inventare und nationale Fahrpläne
- Dezember 2027Cyber Resilience Act voll anwendbar
- Ende 2030EU: Hochrisikosysteme migriert, RSA-2048 abgekündigt
- 2035RSA und ECC unzulässig (NIST, Entwurf)
Passive TLS-Handshakes, wie ein Browser. Ohne Anmeldung.
Wo steht Deutschland?
Anteil der Websites mit Post-Quanten-Schlüsselaustausch, jeden Monat von unserem Observatorium gemessen.
Ohne CDN nutzen nur 46,2 % der Banken und Versicherer auf eigenen Servern Post-Quanten-Schlüsselaustausch. Zum Observatorium
Observatorium, November 2026. Land anhand Ihrer IP ermittelt (nicht gespeichert) mit DB-IP
Entwicklung
pqcstatus scan in der CI, SARIF in Ihren Merge Requests und ein fehlschlagender Build bei kritischen Befunden.
API-Schlüssel erhaltenSicherheit und Compliance
Ein stets aktuelles Inventar, abgebildet auf PCI DSS, DORA, NIS2 und den Cyber Resilience Act.
Bericht ansehenAnbieter
Beantworten Sie Kundenfragebögen mit einem datierten Bericht und einem live überprüfbaren Badge.
Badge erhaltenAlles, was die Post-Quanten-Migration braucht
- ScannerHybrides ML-KEM, TLS-Versionen, Cipher Suites und Zertifikate, in Sekunden.
- CBOM in Ihrer CIEin Befehl inventarisiert Code, Konfigurationen und Abhängigkeiten. Ihr Code verlässt nie Ihren Rechner.
- MonitoringTägliche Scans und ein Alarm, sobald sich etwas verschlechtert.
- BereitschaftsberichtEin PDF für CISO, Prüfer und Kunden: Befunde, Inventar nach PCI DSS 12.3.3, datierter Maßnahmenplan.
- Verifiziertes BadgeZeigen Sie es auf Ihrer Website. Es aktualisiert sich selbst und behauptet nie mehr, als wir gemessen haben.
- Belegte ReferenzJede Frist von NIST, ANSSI, BSI und EU, verlinkt mit dem Originaltext.
Ausgerichtet auf die Regeln, die für Sie gelten
Vollständige Zeitleiste- PCI DSS v4.0.1Anforderung 12.3.3 schreibt seit dem 31. März 2025 ein jährlich überprüftes Inventar der Cipher-Suites und Protokolle vor.In Kraft
- Cyber Resilience ActGrundlegende Cybersicherheitsanforderungen an Produkte, einschließlich Verschlüsselung gespeicherter und übertragener Daten nach dem Stand der Technik.Nächste Frist: Dez. 2027
- DORAVerlangt eine Verschlüsselungsleitlinie, die die kryptografische Technologie entsprechend den Entwicklungen der Kryptoanalyse anpassen kann, sowie ein vollständiges Lebenszyklusmanagement für Schlüssel und Zertifikate.In Kraft
- NIS2Die Risikomanagementmaßnahmen im Bereich der Cybersicherheit umfassen Konzepte für Kryptografie und Verschlüsselung; ein Vorschlag von 2026 nimmt den PQC-Übergang in die nationalen Strategien auf.In Kraft
- EU-PQC-FahrplanGemeinsamer EU-Zeitplan: erste Schritte und nationale Fahrpläne bis Ende 2026, Systeme mit hohem Risiko bis Ende 2030 migriert, mittleres Risiko bis Ende 2035.Nächste Frist: Dez. 2026
- ANSSI-LeitlinienHybridisierung im regulierten Bereich verpflichtend; kryptografisches Inventar jetzt beginnen; PQC für die Produktqualifizierung ab 2027 erwartet.Nächste Frist: Jan. 2027
- BSI TR-02102-1Hybride PQC empfohlen; klassische Schlüsseleinigung allein nur bis Ende 2031; RSA mit mindestens 3000 Bit.Nächste Frist: Dez. 2031
- UK NCSCBestandsaufnahme und Plan bis 2028, vorrangige Migrationen bis 2031, vollständige Migration bis 2035.Nächste Frist: Dez. 2028
- US federal PQC migrationAutomatisiertes kryptografisches Inventar und CBOM, PQC-Schlüsseletablierung bis Ende 2030, PQC-Signaturen bis Ende 2031, vollständige Migration bis 2035.Nächste Frist: Dez. 2030
- NSA CNSA 2.0Vorgeschriebene Algorithmen: ML-KEM-1024, ML-DSA-87, LMS/XMSS, AES-256, SHA-384/512, mit kategoriespezifischen Fristen.Nächste Frist: Dez. 2030
Häufige Fragen
Was bedeutet Post-Quanten-Bereitschaft für eine Website?
Der Server kann in TLS 1.3 eine Post-Quanten- oder hybride Schlüsseleinigung wie X25519MLKEM768 aushandeln. Die Sitzungsschlüssel bleiben dann auch gegenüber einem künftigen Quantencomputer geheim. Zertifikate sind ein separater Schritt: Öffentliche Webzertifikate verwenden heute noch RSA oder ECDSA.
Ist der Scan invasiv?
Nein. Er führt standardmäßige TLS-Handshakes und eine HTTP-Anfrage durch, wie ein Browser. Er versucht nie, sich anzumelden, Schwachstellen auszunutzen oder den Server zu belasten, und die Ergebnisse werden eine Stunde lang zwischengespeichert, um wiederholte Verbindungen zu vermeiden.
Meine Website liegt hinter Cloudflare oder einem anderen CDN. Ist das Ergebnis gültig?
Es gilt für die CDN-Edge, mit der sich Besucher verbinden. Die Verbindung zwischen dem CDN und Ihrem Ursprungsserver ist eine separate TLS-Verbindung: Prüfen Sie diese ebenfalls, denn sie nutzt möglicherweise noch ausschließlich klassische Schlüsseleinigung.
Ist das eine Compliance-Zertifizierung?
Nein. Der Scan dokumentiert Fakten zu Ihrer von außen sichtbaren TLS-Konfiguration, mit Datum und Quellen. Er hilft beim Aufbau des Inventars, das PCI DSS, DORA oder die Cyberresilienzverordnung erwarten, ist aber weder ein Audit noch ein Zertifikat.
Welche Fristen gelten für mein Unternehmen?
Das hängt von Ihrer Branche und Ihrem Markt ab: PCI DSS für Kartenzahlungen, DORA für Finanzunternehmen in der EU, NIS-2 für wesentliche und wichtige Einrichtungen, die Cyberresilienzverordnung für in der EU verkaufte Produkte. Unsere Seite zu den Vorschriften listet jede Anforderung mit ihrer Primärquelle auf.
Das monatliche Post-Quanten-Briefing erhalten
Neue Fristen, Verbreitungsdaten aus unserem Observatorium und praktische Migrationsleitfäden. Eine E-Mail pro Monat, kein Spam, Abmeldung mit einem Klick.
Starten Sie mit einer Domain
Kostenlos, in Sekunden, ohne Konto.