Trotz der Gerüchte und Panikmache sind Quantencomputer noch Jahre davon entfernt, heutige Finanzsysteme zu bedrohen. Die Kosten für die Vorbereitung auf sie werden jedoch bereits Realität
Im März haben Google-Forschende geschätzt, dass ein ausreichend fortschrittlicher Quantencomputer die heute weit verbreitete 256-Bit-Elliptic-Curve-Kryptographie in wenigen Minuten entschlüsseln könnte. Diese Art von Kryptographie wird zum Beispiel in Wallets, Verwahrsystemen, Blockchain-Signaturen und in großen Teilen der Sicherheitsinfrastruktur von Finanzinstituten genutzt.
Obwohl der sogenannte Q-Day nicht morgen kommt, beginnen Regierungen mit der Planung. Denn das Risiko ist zu groß, um es zu ignorieren. Die USA investieren Milliarden von US-Dollar, damit staatliche Systeme auf neue postquantenfeste Standards umgestellt werden. Das NIST fordert, dass verwundbare Algorithmen bis 2035 abgeschafft werden.
Für Krypto ist der Wechsel noch schwieriger. Vermögenswerte im Wert von mehreren Milliarden können jahrelang unangetastet bleiben. Alte Wallets werden oft nie aktualisiert. Institutionelle Verwahrlösungen basieren zudem auf Kryptographie, die Quantencomputer voraussichtlich knacken werden.
BeInCrypto hat mit Fachleuten von BitGo, Nethermind und aus der Kryptographie-Community gesprochen, um herauszufinden, wie dieser Wechsel tatsächlich ablaufen wird und wer am Ende die Kosten dafür trägt.
Das Quantenrisiko für die institutionellen Krypto-Giganten
Alle drei befragten Expertinnen und Experten sind sich einig: Institutionen brauchen eine vollständige Übersicht, wo überall unsichere Kryptographie zum Einsatz kommt, etwa bei Signatursystemen, Hardware, Wiederherstellungsverfahren, Authentifizierung und lang genutzten Schlüsseln.
Nigel Smart mit einem Doktortitel in Computational Number Theory beschreibt dies als eine „Cryptographic Bill of Materials“.
„Die Post-Quantum-Standards gibt es bereits, ebenso viele fertige Implementierungen. Was den meisten Organisationen fehlt, ist eine klare Bestandsaufnahme, die sogenannte Cryptographic Bill of Materials. Es ist wichtig zu wissen, wo Kryptographie in Ihrer Organisation eingesetzt wird, wie Schlüssel verwaltet werden und welche Algorithmen genutzt werden.“
NIST setzt die Bestandsaufnahme und Priorisierung ebenfalls ganz an den Anfang des Migrationsprozesses.
Für Akshay Thakur von BitGo bringt die institutionelle Verwahrung noch eine weitere wichtige Anforderung mit sich.
„Bei der institutionellen Verwahrung wird mit Schwellenwert-Signaturen gearbeitet, der Schlüssel befindet sich nie vollständig an einem Ort. NIST hat auf Einfachheit bei der Implementierung, Kompaktheit und Vorsicht standardisiert. Schwellenwertfähigkeit war kein standardisiertes Ziel. Falcon, das von Solana, Algorand und inzwischen auch TRON genutzt wird, bietet bislang keine praxistaugliche Möglichkeit für Schwellenwert-Konstruktionen. Das ist noch immer ein offenes Forschungsproblem.“
NIST hat im Januar 2026 erstmals formell nach Multi-Party-Threshold-Schemata gesucht. Forschende haben bei einem MPTS-Workshop von NIST gezeigt, dass die Schwellenwert-Signaturen mit standardisierten, hashbasierten Verfahren sehr ineffizient sind.
Nitin Gaur von Nethermind, einem Ingenieursunternehmen für Blockchain-Infrastruktur, sagt, dass dieses Problem alle Unternehmenssysteme betrifft.
„Kryptographische Bestandsaufnahme im gesamten Unternehmen: Jede Nutzung von RSA, ECC und Diffie-Hellman bei TLS, bei der Erzeugung von JWT, beim Signieren von Code, CA-Root-Zertifikaten, API-Authentifizierung, Firmware. Das macht zehn bis fünfzehn % der Programmkosten aus und ist der entscheidende Faktor auf dem Weg zur Umstellung.“
Größere Signaturen: Höhere Kosten
Post-Quanten-Sicherheit bringt deutlich größere Schlüssel und Signaturen mit sich. NISTs ML-DSA-65 braucht zum Beispiel eine 3.309-Byte-Signatur und einen 1.952-Byte-öffentlichen Schlüssel, während derzeit übliche Elliptic-Curve-Signaturen nur einige Dutzend Bytes groß sind. Manche SLH-DSA-Varianten sind sogar mehrere Zehntausend Bytes lang.
Auf Blockchains bedeuten mehr Bytes einen höheren Bandbreitenbedarf, deutlich mehr Speicherplatz und im Ergebnis womöglich auch höhere Gebühren.
Bei Proof-of-Stake-Blockchains weist Nigel Smart zudem darauf hin, wie schwierig es ist, standardisierte postquantenfeste Signaturen effizient zu kombinieren.
„Post-Quantum-Signaturen können viel größer sein als heutige Signaturen. Dadurch steigen Bandbreite, Speicherbedarf und Aufwand für die Verifizierung. Im Blockchain-Bereich brauchen wir Signaturen (im Konsenslayer von Proof-of-Stake-Blockchains), die man einfach aggregieren kann. Das ist bei den standardisierten Post-Quantum-Signaturen bisher nicht einfach umsetzbar.“
Thakur geht davon aus, dass die Kosten für Nutzer und Nutzerinnen vor allem beim Signieren spürbar werden. Denn größere Datenmengen müssen durch Multi-Party-Protokolle, was zusätzliche Verzögerungen verursacht.
Hybride Phasen, in denen klassische und postquantenfeste Signaturen nebeneinander verwendet werden, können diese Kosten noch weiter erhöhen.
Das Verwahrungsproblem
Institutionelle Verwahrungslösungen basieren auf elliptischen Kurven, mit MPC, Hardware-Sicherheitsmodulen, Wiederherstellungs- und Freigabeverfahren, die genau darauf ausgerichtet sind. Ein Wechsel der Signatur erfordert daher, die Kontrollsysteme rund um den Schlüssel weitgehend neu zu überprüfen.
Gaur sagt, dass MPC für sich genommen keinen Schutz gegen Quantencomputer bietet.
„MPC verteilt die Berechnung, doch der Algorithmus bleibt gleich: Threshold-ECDSA mit fünf Parteien ist eben ECDSA. Ein Quantencomputer kann den privaten Schlüssel allein aus dem öffentlichen Schlüssel ableiten. Er muss keine der Parteien kompromittieren und es spielt keine Rolle, wie viele es sind. Jeder investierte Dollar in die Verteilung des Vertrauens auf verschiedene Parteien bringt keinerlei Quantenresistenz. Das ist in vielen Institutionen, die ihre Verwahrung als hochmodern ansehen, nicht ausreichend bekannt.“
Nigel Smart sagt, dass einige der schwierigsten Systeme, die aufgerüstet werden müssen, Wallets, Verwahrungsinfrastruktur und Smart Contracts sind, die bereits Vermögenswerte steuern.
Bitcoin zeigt, warum die Zeit eine Rolle spielt. In einem Bericht vom Juni 2026 wurde geschätzt, dass etwa 1,7 Millionen BTC noch immer in frühen Adressen liegen, bei denen die öffentlichen Schlüssel bereits offenliegen.
Viele dieser Coins werden vielleicht niemals bewegt, was sie angreifbar macht, falls Quantencomputer stark genug werden, bevor das Netzwerk seine Umstellung abgeschlossen hat.
Wer bezahlt die Migration?
Smart erwartet, dass die Verantwortung zwischen Protokollentwicklern, Verwahrern, Dienstleistern und Vermögensinhabern aufgeteilt wird, da jede Gruppe einen anderen Teil der Migration steuert.
Gaur spricht sich hingegen für ein zentrales Budget mit übergeordneter Verantwortung aus.
„Zentral finanziert, der CISO ist verantwortlich, vom CFO bestätigt, mehrjährige Linie, gesteuert wie bei Y2K und LIBOR. Keine Geschäftseinheit wird ein Budget für ein Programm bereitstellen, das keinen Umsatz bringt und bei dem kein Kunde nachfragt, und auf diese Weise finanziert wird es nicht passieren.“
Öffentliche Blockchains lassen sich schwerer steuern, weil es keinen einzelnen Budgetverantwortlichen gibt, der alle Teilnehmenden zwingen kann, ihre Systeme zu aktualisieren. Ein Verwahrer kann sein eigenes Signatursystem austauschen, aber er kann ruhende Vermögensinhaber nicht zwingen, ihre Coins zu bewegen, oder Konsensänderungen für das gesamte Netzwerk durchsetzen.
Die Internetsicherheit zeigt jedoch, dass große Migrationen auch früh beginnen können. Bis April 2026 berichtete Cloudflare, dass mehr als zwei Drittel des menschlich generierten TLS-Datenverkehrs in seinem Netzwerk bereits durch post-quantenfeste Verschlüsselung geschützt waren.
Ein nicht eingepreister Aufwand
Bei Krypto fehlt weiterhin eine glaubwürdige branchenweite Schätzung. Thakur zeigte auf, wo die größten Kosten vermutlich anfallen werden.
„Der Großteil der Kosten entsteht nicht durch Kryptografie. Es geht um die Erfassung und Abbildung der Abhängigkeiten. Es betrifft Hardware, die nicht aufgerüstet werden kann und ersetzt werden muss. Es ist der Parallelbetrieb von klassischen und post-quantenfesten Systemen, solange geprüft wird, ob das neue System alle Kontrollen erfüllt. Es geht um neue Prüfungen und Zertifizierungen. Und es gibt eine neue Kategorie, die es bei bisherigen kryptografischen Migrationen nie gab: das Bezahlen von Transaktionsgebühren auf der Blockchain, damit Vermögenswerte bei größeren post-quantenfesten Signaturen bewegt werden, wobei genau diese größeren Signaturen die Gebühren noch weiter erhöhen.“
Nigel Smart äußerte sich auch zum Zeitrahmen einer solchen Migration.
„Der Übergang wird voraussichtlich Jahre und nicht Monate dauern. Daher sind eine frühe Erfassung, Tests und eine gestaffelte Umstellung besser als ein Upgrade in letzter Minute. Allerdings haben viele Regierungen und große Unternehmen ihren Zeitplan für die Umstellung in den letzten Monaten deutlich beschleunigt.“
Die vorhandenen Termine ermöglichen es Institutionen bereits, Budget dafür einzuplanen. Ethereum strebt zentrale post-quantenfeste Schutzmechanismen für etwa 2029 an, während der Fahrplan von NIST eine Umstellung bis 2035 vorsieht.
Unklar ist, wann Quanten-Hardware mit kryptografischer Relevanz verfügbar sein wird. Währenddessen orientieren sich Einkaufszyklen, Hardware-Austausch und Neuplanung der Verwahrung bereits an Zeiträumen von mehreren Jahren.
