FINMA warnt vor Quantencomputing

Quantencomputing galt lange als das Technologiethema von morgen. Heute entwickelt es sich zur strategischen Herausforderung für Finanzinstitute. Leistungsfähige Quantencomputer könnten verbreitete kryptografische Verfahren wie RSA und ECC künftig überwinden. Post-Quantum Cryptography bezeichnet Verfahren, die sensible Daten und digitale Kommunikation auch unter diesen Bedingungen schützen sollen.

Der Handlungsdruck entsteht bereits vor dem Durchbruch der Technologie. Angreifende können verschlüsselte Informationen heute abfangen, speichern und später mit leistungsfähigeren Mitteln entschlüsseln (Harvest now, decrypt later, HNDL). Gleichzeitig automatisiert Künstliche Intelligenz bestehende Angriffsmethoden, beschleunigt deren Bewegung durch IT-Umgebungen und verkürzt die verfügbare Reaktionszeit. Mit der Aufsichtsmitteilung 05/2026 hat die FINMA im Juli 2026 konkretisiert, wie Finanzinstitute mit den Cyberrisiken kryptografisch relevanter Quantencomputer umgehen und die Migration zu quantensicherer Verschlüsselung vorbereiten sollen.

Warum steigt der Handlungsdruck gerade jetzt?

Der Handlungsdruck steigt jetzt aus mehreren Gründen gleichzeitig. Einige Risiken wirken bereits heute, andere erfordern Vorbereitungen, die sich über Jahre erstrecken.

Für Finanzinstitute sind insbesondere folgende Entwicklungen entscheidend:

• Laut FINMA-Umfrage rechnen zwei Drittel der befragten Institute damit, binnen sieben Jahren direkt von den Cyberrisiken des Quantum Computing betroffen zu sein. Ebenso viele gehen davon aus, dass ein Quantencomputer binnen spätestens zehn Jahren eine RSA-2048-Bit-Verschlüsselung innerhalb von 24 Stunden knacken könnte.
• Die grössten wahrgenommenen Risiken: Datensicherheit, unvollständige Migration, fehlendes Know-how, Harvest-now-decrypt-later-Angriffe (HNDL) sowie die Interoperabilität mit Legacy-Systemen.
• Die Bedrohung ist bereits heute real: Heute breit eingesetzte Algorithmen wie RSA und ECC werden gebrochen werden, was Dienste wie Online-Banking, verschlüsselte Kommunikation und Zahlungssysteme unsicher macht. Das HNDL-Risiko ist real: Es muss davon ausgegangen werden, dass gewisse Staaten schon heute Daten aktiv sammeln, um sie später zu entschlüsseln.
• Regulatorische Einschätzung: Prognosen zur Verfügbarkeit von Quantum Computing variieren stark und können schnell überholt sein – daraus folgt, dass rasches Handeln Voraussetzung ist, unabhängig vom genauen Zeitpunkt.
• KI-Automatisierung: KI-Agenten automatisieren heute bereits ganze Angriffsphasen – von der Erstinfiltration bis zur Datenexfiltration, statt aufwendiger Zero-Day-Exploits.

6 Massnahmen für eine FINMA-konforme PQC-Migration

Die FINMA nennt in ihrer Aufsichtsmitteilung 05/2026 explizit sechs Massnahmenbereiche. Ein belastbarer Migrationsplan sollte sie vollständig abdecken:

• Strategie und Roadmap: Ziele, Prioritäten, Meilensteine und Verantwortlichkeiten für die PQC-Migration festlegen.
• Risikoanalyse: kritische Daten und Systeme identifizieren, Anfälligkeit für HNDL-Angriffe bewerten.
• Kryptografisches Inventar: Eingesetzte Algorithmen, Schlüssel, Zertifikate, Protokolle, Anwendungen und Abhängigkeiten erfassen.
• Schutz kritischer Daten: Daten mit langer Vertraulichkeitsdauer priorisieren und das Risiko einer späteren Entschlüsselung reduzieren.
• Externe Dienstleister: Abhängigkeiten und PQC-Roadmaps von Cloud-, Technologie- und weiteren Serviceprovidern einbeziehen.
• Crypto-Agility: Systeme so gestalten, dass sich kryptografische Verfahren mit vertretbarem Aufwand austauschen lassen.

Damit aus den sechs Massnahmen ein umsetzbarer Plan entsteht, braucht es klare Verantwortlichkeiten, eine vom Board bestätigte Governance sowie ausreichende personelle und finanzielle Ressourcen. Der CISO trägt die Gesamtverantwortung, die IT-Leitung steuert die technische Umsetzung und Compliance stellt die FINMA-Konformität sicher. Das Budget sollte externe Beratung ebenso berücksichtigen wie die gezielte Weiterbildung der Security-Teams.

Budget-Priorisierung: KI-Abwehr und PQC gemeinsam denken

KI-gestützte Angriffe verlangen sofortige Investitionen in Detection & Response, während PQC eine langfristige Migration ist. Beide Budgets sollten sich im Zeitverlauf verschieben (Siehe Tabelle 1)

Crypto-Agility als Überlebensstrategie

Crypto-Agility schafft die technische Voraussetzung, um kryptografische Verfahren bei neuen Bedrohungen, Standards oder regulatorischen Vorgaben kontrolliert und rasch auszutauschen.

Dafür sind drei Elemente besonders wichtig:

• Modulare, API-basierte Architektur: Gestalten Sie Systeme so, dass sich kryptografische Algorithmen dynamisch austauschen lassen.
• Regelmässige Audits: Prüfen Sie jährlich, ob Ihre Verschlüsselung dem Stand der Technik entspricht.
• Externe Dienstleister: Verlangen Sie von allen Partnern (z. B. Cloud-Anbietern) eine PQC-Roadmap und kryptoagiles Design.

8 Schritte zur PQC-Migration, ein praktischer Leitfaden

In Anlehnung an die Konzepte des NIST NCCoE SP 1800-38A empfiehlt sich folgendes strukturiertes, mehrstufiges Vorgehen:

1. Governance und Rechenschaftspflicht schaffen: Führungskräfte als Sponsoren und eine:n PQC-Programmleiter:in benennen, funktionsübergreifendes Gremium (Sicherheitsarchitektur, Risiko, Recht, Beschaffung, Compliance) etablieren, formelle Migrationscharta mit Umfang, Zielen und Berichterstattung an den Vorstand definieren.
2. Kryptografisches Inventar erstellen: Protokolle (TLS, VPN, Datenbanken, APIs, SSH Keys, S/MIME, PGP, DKIM, etc.), Public-Key-Nutzung, Kryptobibliotheken, PKI-Ressourcen, Anwendungen/Firmware und Drittanbieter erfassen; jede Ressource mit Algorithmus, Schlüsselgrösse, Vertraulichkeitsdauer und Eigentümer dokumentieren.
3. Daten klassifizieren und HNDL-Risiken identifizieren: Geschäftsprozesse und Datenbestände nach erforderlicher Vertraulichkeitsdauer einordnen, Abfangpunkte für Datenverkehr und Archive identifizieren, Bestände mit hoher Auswirkung priorisieren.
4. HNDL-Risiken kurzfristig reduzieren: Starke symmetrische Kryptografie (AES-256, SHA-384/512 gemäss NSA CNSA 2.0/NIST) einsetzen, Forward Secrecy bevorzugen, Aufbewahrung entschlüsselter Daten begrenzen, Schlüsselrotation verbessern und Zertifikatslaufzeiten verkürzen.
5. Crypto-Agility verankern: Systeme so auslegen, dass kryptografische Algorithmen ohne umfangreiche Codeänderungen austauschbar sind.
6. Anbieter und Lieferkette einbinden: Abhängigkeiten erfassen, PQC-Roadmaps von Anbietern einfordern, Verträge und Ausschreibungen anpassen, Zeitpläne mit Branchenverbänden abstimmen.
7. Pilot- und Interoperabilitätstests durchführen: Laborumgebungen einrichten und Auswirkungen auf Performance und Interoperabilität testen. Starten Sie mit Kyber (FIPS 203) und Dilithium (FIPS 204), die von FINMA und NIST priorisiert werden.
8. Migration priorisieren, überwachen und berichten: Gestaffelte Einführung beginnend bei den höchsten HNDL-Risiken (Entwicklung/Test, begrenzte Pilotprojekte, schrittweise Einführung); Dashboards zu Bestandsabdeckung, HNDL-Abhilfe und Migrationsstatus für Aufsichtsbehörden und Prüfungen pflegen.

KI-gestützte Cyberangriffe erkennen und wirksam abwehren

Typische Warnsignale

• Laterale Bewegung in Minuten statt Tagen.
• Anomale API-Nutzung, etwa plötzliche Spitzen beim Credential Harvesting.
• Individuell angepasste Angriffsvektoren bei jedem neuen Zugriff.
• Ausnutzung bekannter, ungepatchter Schwachstellen statt aufwendiger Zero-Days.

Wirksame Abwehrmassnahmen

• Multi-Faktor-Authentifizierung: für alle kritischen Systeme, insbesondere Admin-Zugriffe und Cloud-Konsolen.
• Least Privilege: minimale, zeitlich begrenzte Berechtigungen für Nutzer- und Dienstkonten.
• Netzwerksegmentierung: kritische Systeme wie Datenbanken und Zahlungsverkehr isolieren.
• Secrets-Rotation: Credentials automatisch alle 30-90 Tage erneuern (bei kritischen Credentials wöchentlich).
• EDR/XDR-Lösungen: mit Echtzeit-Detection und automatisierten Response-Playbooks für häufige Angriffsszenarien.

Synergien nutzen: PQC und KI-gestützte Cyberabwehr verbinden (Siehe Tabelle 2)

Heute handeln. Langfristig vorbereitet sein.

Ohne rechtzeitige Vorbereitung steigen die Risiken für Daten, Compliance, Reputation und Geschäftsbetrieb. Ein strukturiertes Vorgehen hilft, kryptografische Risiken proaktiv zu managen, regulatorischen Anforderungen einzuordnen und auf technologische Disruptionen zu reagieren.

• Für Entscheider:innen: Erstellen Sie noch 2026 einen Board-approved PQC-Migrationsplan inklusive Risikoanalyse, Roadmap und Budget.
• Für Security-Teams: Starten Sie mit dem kryptografischen Inventar und testen Sie Kyber und Dilithium in Pilotprojekten; passen Sie Incident-Response-Playbooks an Machine-Speed-Angriffe an.

Handeln Sie jetzt. Prüfen Sie den aktuellen Handlungsbedarf mit einem PQC Gap-Assessment. Unsere Expert:innen begleiten Sie auf dem Weg zu quantensicherer Kryptografie.

Autor: Michael Fossati