Mit Quantum Key Distribution zum sicheren Schlüsselaustausch

Chancen durch Quantencomputer

Quantencomputer funktionieren anders als klassische Computer:

• Quantenbits: Statt Transistoren, die zwischen Nullen und Einsen schalten, nutzen Quantencomputer Qubits, die auch alle Zwischenzustände für ihre Berechnungen nutzen können.
• Exponentielles Wachstum der Rechenleistung: Damit erschließen sich neue Möglichkeiten, und die Grenzen der klassischen Skalierung der Rechenleistung nach Moore’s Law gelten für Quantencomputer nicht.
• Hohe Fehlerraten und technische Herausforderungen: Heutige Quantencomputer sind noch nicht in der Breite marktreif, sie sind noch in der Phase der Forschung und Entwicklung.
• Spezialisierte Anwendungsfälle: Quantencomputer werden die derzeitige IT nicht eins zu eins ersetzen, stattdessen werden sie für spezialisierte Anwendungsfälle wie Optimierungsprobleme zum Einsatz kommen.

Insgesamt lässt sich festhalten, dass die langfristige Zukunft der IT eine hybride Landschaft ist, die die Stärken unterschiedlicher Architekturen wie CPUs, GPUs und dann bald auch QPUs (Quantenbeschleuniger bzw. Quantum Processing Units) miteinander verbinden wird [1].

Quantencomputer könnten ihren Quantenvorteil (engl. Quantum Advantage) gegenüber klassischer Hardware auch bei energieeffizienterer (Quanten-)KI [2] zeigen oder eine Vielzahl von anderen technologischen Herausforderungen lösen. Die schnelle Entwicklung auf dem Gebiet der Quantencomputer der letzten Jahre, über die ich auch immer wieder in Beiträgen im ComConsult-Blog berichtet habe [3, 4], lässt also auf eine rosige Zukunft hoffen.

Herausforderungen und Gefahren durch den Q-Day

Das disruptive Potential der Quantencomputer bringt allerdings nicht nur Chancen mit sich. Die allgemeine Nachrichtenlage zu diesem Thema fokussiert sich oftmals auf potenzielle Gefahren für unsere allgegenwärtige Verschlüsselung [5]. In diesem Zusammenhang wird der Q-Day als der Tag definiert, an dem Quantencomputer leistungsfähig genug sind, um unsere heutige Verschlüsselungsmethoden zu gefährden. Man spricht hier auch von kryptographisch relevanten Quantencomputern (Cryptographically Relevant Quantum Computer, CRQC). Tabelle 1 fasst die Gefährdung für die klassische Kryptographie im „Quantenzeitalter“ zusammen.

	Symmetrische Verschlüsselung	Asymmetrische Verschlüsselung
Funktionsprinzip	Verwendung desselben Schlüssels zur Ver- und Entschlüsselung von Nachrichten Pre-Shared Keys müssen sicher ausgetauscht werden	Verwendung unterschiedlicher Schlüssel zur Ver- (Public Key) und Entschlüsselung (Private Key)
Beispiele für klassische Anwendungsfälle und Algorithmen	AES, Triple DES, ChaCha20 BitLocker, Chat Apps (z.B. Signal, WhatsApp), WPA 2 und WPA 3 (sowohl symmetrisch als auch asymmetrisch)	RSA, Elliptic Curve Cryptography, Diffie-Hellman Key Exchange, Digital Signature Algorithm (DSA) HTTPS/TLS, SSH und VPN
Gefährdung im Quanten- zeitalter	Grover’s Algorithmus halbiert die Lösungszeit klassischer Algorithmen Längere Schlüssel stellen das ursprüngliche Sicherheitsniveau wieder her	Shor’s Algorithmus erlaubt die deutlich effizientere Primfaktorzerlegung, die die wesentliche Grundlage der symmetrischen Verschlüsselung darstellt
Gefährdungslage beim Q-Day und mitigierende Maßnahmen	Moderat Längere Schlüssel bieten einen effizienten Weg zur Quantenresistenz ohne grundlegende Anpassungen der Technologie	Hoch Nutzung quantensicherer Algorithmen der Post-Quanten-Kryptographie (PQC)

Der Q-Day ist noch nicht erreicht und lässt noch einige Jahre auf sich warten. Prognosen gehen davon aus, dass der Q-Day 2030 bis 2035 erreicht wird. Die Erwartung des nahenden Q-Days stellt damit bereits heute eine reale Gefahr dar.

Ein wesentlicher Angriffsvektor, der schon relevant ist, stellt das in Abbildung 2 gezeigte Theorem von Michele Mosca dar. Das Theorem besagt, dass unter bestimmten Umständen bereits jetzt Handlungsbedarf besteht: „Wenn x + y > z, dann haben Sie ein Problem!“

• Haltbarkeitsdauer der Sicherheit (x): Langlebiges Schlüsselmaterial (bzw. Gültigkeit von Zertifikaten) und lange Aufbewahrungsfristen von Informationen bedingen die Anforderung an teilweise jahrzehntelange Haltbarkeitsdauer der heute implementierten Sicherheitsalgorithmen.
• Migrationszeit zu Quantensicherheit (y): Austausch von Hardware (z.B. mit festen Hardware-Schlüsseln) oder Änderungen von kryptographischen Algorithmen kann Jahre dauern. Dabei ist die erste Herausforderung bereits ein fehlendes Kryptoinventar.
• Zeit bis zum Q-Day (z): Aktuelle technologische Entwicklungen lassen auf mehr oder wenige baldige Umsetzung von technologisch relevanten Quantencomputern hoffen. Mögliche Durchbrüche in der Fehlerkorrektur oder in der Stabilität der Quantenhardware könnten dies noch beschleunigen.

Strategien auf dem Weg zur Quantenresistenz

Schon heute besteht also Handlungsbedarf – was auch in der Branche länger bekannt ist und angegangen wird. Die Vorbereitung auf den Q-Day kann grundsätzlich auf zwei Wege bestritten werden:

• Post-Quantum-Kryptographie (PQC): Die „mathematische Antwort“ auf den Q-Day durch Anpassung der verwendeten Algorithmen. Statt beispielsweise Primfaktorzerlegung (angreifbar durch Shor’s Algorithmus) werden andere mathematische Probleme wie gitterbasierte Probleme (ML-KEM und ML-DSA) genutzt. Diese Probleme sind sowohl für klassische (Super-)Computer als auch für Quantencomputer schwierig genug zu lösen.
• Quanten-Schlüsselverteilung (Quantum Key Distribution, QKD): Die „physikalische Antwort“ auf den Q-Day, mit der ein abhörsicherer Schlüssel für sichere Kryptographie erreicht werden soll. Hierbei bildet die Quantenmechanik auch die Antwort auf die „Quantengefahr“ durch den Q-Day.

Über den Wechsel auf hybride PQC-Algorithmen bei der notwendigen Anpassung der Kryptographie hinter dem deutschen Personalausweis [6] oder zu den Möglichkeiten von Post-Quanten-PKI für sichere Zertifikatsinfrastrukturen [7] haben meine Kollegen von ComConsult bereits in der jüngeren Vergangenheit berichtet. In diesem Artikel werfen wir also einen genaueren Blick auf den Quantenschlüsselaustausch.

Funktionsweise von QKD

Quantum Key Distribution (QKD) hat das Ziel, den Schlüsselaustausch bzw. die Schlüsselverteilung sicher zu gestalten. Um mittels QKD einen abhörsicheren Schlüsselaustausch garantieren zu können, werden dabei Grundprinzipien der Quantenmechanik ausgenutzt:

• Beobachterprinzip: Jede Messung eines Quantenobjektes beeinflusst den Quantenzustand durch den Kollaps der Wellenfunktion.
• No-Cloning-Theorem: Abgeleitet vom Beobachterprinzip ergibt sich, dass es unmöglich ist, einen unbekannten Quantenzustand exakt zu kopieren. Replay-Attacken sind damit ausgeschlossen.
• Quantenverschränkung (Entanglement): Je nach QKD-Ansatz wird zudem auf Quantenverschränkung gesetzt. Dabei können zwei Quanten in einen verschränkten Zustand gebracht werden, der auch bei großen Distanzen zwischen den beiden Quanten Bestand hat. Wird eins der Teilchen beobachtet, dann verändert man (Beobachterprinzip!) zwingend auch den Zustand des zweiten Teilchens.

QKD-Protokolle nutzen Licht als quantenmechanische Objekte. Licht hat naturgemäß sowohl Teilchen- als auch Wellencharakter. Zum einen ist es möglich, einzelne Lichtteilchen (Photonen) zu senden, zu empfangen und zu zählen. Zum anderen ist Licht auch eine elektromagnetische Welle mit einer Ausbreitungsrichtung und einer Richtung <1>, in der die Welle schwingt (z.B. in der horizontalen Ebene und im rechten Winkel zur Ausbreitungsrichtung). Natürliches Licht hat normalerweise keine feste Polarisationsrichtung. In der Fotographie sind aber Polarisationsfilter auch aus dem Alltag bekannt. Damit können beispielsweise ungewollte Reflexionen von Oberflächen entfernt werden.

Das Filtern der Polarisationsrichtung einzelner Photonen ist die technische Grundlage für QKD. Abbildung 3 stellt das Funktionsprinzip des BB84-QKD-Protokolls dar.

Charles Bennett und Gilles Brassard haben bereits 1984 das QKD-Protokoll erfunden, das auch heute noch die Grundlage für die meisten QKD-Implementierungen liefert. Die zu übertragende Information ist eine hinreichend lange und zufällige Folge von Nullen und Einsen. Hieraus wird der Schlüssel für die symmetrische Kryptographie gebildet.

Die Nullen und Einsen werden durch den Winkel der Polarisation dargestellt. Nullen und Einsen werden dabei in zwei unterschiedlichen Basen (horizontal/vertikal bzw. „gerade“ und jeweils um 45° gedreht bzw. „schräge“ Richtung der Polarisation). Insgesamt nutzt das BB84-Protokoll also vier mögliche Zustände:

• 0° – Darstellung einer Null in „gerader Basis“ (Basis A)
• 90° – Darstellung einer Eins in Basis A
• 45° – Darstellung einer Null in der „schrägen Basis“ (Basis B)
• 135° – Darstellung einer Eins in Basis B

Informationen können in Form der Polarisation einzelner Photonen übertragen werden. Alice und Bob möchten nun einen sicheren Schlüsselaustausch durchführen. Dazu sendet Alice zufällige Quantenzustände an Bob. Alice wählt hierfür zufällig, ob die gerade oder schräge Basis (A/B) genutzt wird. Außerdem wählt Alice zusätzlich, ob in Basis A bzw. B eine Eins oder Null gesendet wird. Alice wählt also eine der vier oben genannten Winkel für ihren Polarisationsfilter (0°, 45°, 90° oder 135°).

Durch das Festlegen der Basis (A oder B) und des Zustands (Eins oder Null) greift das Beobachterprinzip, und Alice legt durch ihre Wahl des Polarisationsfilters fest, welcher Quantenzustand weiter an Bob gesendet wird.

Bob weiß nun nur, dass einzelne Photonen ankommen und, dass sie entweder in der geraden (A) oder schrägen Basis (B) gesendet wurden. Bob hat dann die Möglichkeit, Einsen und Nullen in beiden Basen zu messen. Allerdings muss sich Bob für jede Messung für eine Basis entscheiden (A oder B). Wählt Bob die falsche Basis (Alice sendet z.B. eine Eins in der geraden Basis, Bob misst aber in der schrägen Basis), dann ist es durch den 45°-Winkel zwischen den Basen gleich wahrscheinlich, dass Bob eine Eins oder Null misst. In der Welt der Quantenmechanik liegt eine Überlagerung (Superposition) von Eins und Null vor – so wie beim berühmten Beispiel von Schrödingers Katze.

Statistisch wählt Bob in 50 % der Fälle die falsche Basis. Hat Bob aber zufällig die richtige Basis gewählt, dann ist eine gemessene Eins auch die Eins, die Alice gesendet hat. Genauso sieht es bei der gemessenen Null aus, wenn die Basen von Alice und Bob übereinstimmen. Stimmt die Basis von Bob nicht mit der von Alice überein, dann muss das Bit verworfen werden.

Damit sich Alice und Bob also auf einen Schlüssel einigen können, braucht es neben dem Quantenkanal, über den die polarisierten Photonen übertragen werden, auch noch einen klassischen Kanal, über den Alice und Bob kommunizieren können. Alice und Bob sagen sich über den klassischen Kanal, in welcher Basis sie jeweils gesendet bzw. gemessen haben. Damit wissen beide, welche der übertragenen Bits weggeworfen werden müssen (weil z.B. Alice in Basis A gesendet und Bob in Basis B gemessen hat). Die übertragenen Bits in der übereinstimmenden Basis bilden schließlich den vereinbarten Schlüssel, der für die symmetrische Verschlüsselung der Verbindung zwischen Alice und Bob verwendet werden kann. Statistisch wird die Hälfte der übertragenen Informationen weggeworfen. Bei hinreichend langer Kette von übertragenen Nullen und Einsen ist der vereinbarte Schlüssel jedoch lang genug.

Abhörsicherheit und technische Voraussetzungen für BB84

Das oben beschriebene Verfahren nach BB84 klingt zunächst wie ein sehr aufwändiger und vielleicht sogar ineffizienter Weg der Übertragung von Informationen. Dieser Aufwand lässt sich aber rechtfertigen, weil BB84 die abhörsichere Übertragung von AES-Schlüsseln bringt. Der Grund hierfür liegt wiederum im Grundprinzip der Quantenmechanik – dem Beobachterprinzip.

Angenommen, Eve möchte einen Lauschangriff auf den Schlüsselaustausch zwischen Alice und Bob über den Quantenkanal starten. Da die gewählte Basis, in der Alice sendet, völlig zufällig ist, muss Eve für ihre Messung (so wie Bob es am Ende auch tut) ebenfalls eine Basis wählen und die Messung durchführen. In 50 % der Fälle liegt Eve mit Ihrer Wahl richtig; eine von Alice gesendete Eins misst Eve richtigerweise als eine Eins und kann wiederum die Eins in der korrekten Basis an Bob weiterleiten. In der anderen Hälfte der Fälle liegt Eve aber falsch, und ihre Basis ist um 45° verdreht. In diesem Fall misst Eve zufällig eine Eins oder eine Null. Noch wichtiger ist dabei allerdings, dass die Messung durch Eve den Quantenzustand ändert. Der von Alice gesendete Zustand ist also zerstört und das Bit, das bei Bob ankommt, stimmt nicht mehr mit dem von Alice gesendeten überein.

Wenn Alice und Bob nun sich durch den Abgleich ihrer Basen vermeintlich auf einen Schlüssel geeinigt haben, dann zeigt der erste Versuch, eine verschlüsselte Nachricht mit diesem Schlüssel auszutauschen, dass Eve den Zustand auf dem Weg durch ihre Messungen manipuliert hat. Das Beobachterprinzip der Quantenmechanik schlägt hier wieder zu.

Dabei muss der Schlüssel nur lang genug sein, damit es praktisch unmöglich ist, dass Eve immer die korrekte Basis geraten hat:

Anzahl gesendeter Bits	Wahrscheinlichkeit, dass Eve die Basis richtig gewählt hat
1	1/2 = 0,5
2	1/4 = 0,25
3	1/8 = 0,125
…	…
8	1/256 = 0,0039
9	1/512 = 0,00195
10	1/1.024 = 0,000977
…	…

Hierdurch wird mit dem BB84-QKD-Protokoll sichergestellt, dass ein vereinbarter Schlüssel nicht abgehört werden kann. Ein Man-in-the-Middle-Angriff wird damit sicher festgestellt.

Hierfür gibt es einige technische Voraussetzungen:

• Einzelne Photonen müssen gesendet und empfangen werden, was durch sehr genaue optische Komponenten und exakte Zeitsynchronisation zwischen den Teilnehmern des BB84-Protokolls erreicht werden kann, prinzipiell jedoch technisch gelöst ist.
• Einzelne Photonen müssen über einen Quantenkanal ausgetauscht werden. Üblicherweise wird hierfür eine normale Single-Mode-Faser genutzt. Das No-Cloning-Theorem der Quantenmechanik bedingt, dass es auf dem Weg keine Verstärkung des Signals geben kann, was die Reichweite des QKD-Schlüsselaustauschs limitiert. Eine Alternative zur Glasfaser-basierten Verbindung für QKD ist die Übertragung einzelner Photonen via Satellit mit speziellen QKD-Modulen.
• Der Austausch über den klassischen Kanal muss authentisch sein. Es braucht weiterhin klassische Kryptographie, um Nachrichten digital zu signieren. Anderenfalls könnte Eve einen QKD-Kanal zwischen Alice und sich und einen separaten QKD-Kanal zwischen sich und Bob aufbauen und damit die Kommunikation abhören.

Alternativen zum BB84-Protokoll sind E91 und BBM92 nach Ekert bzw. Bennett, Brassard und Mermin. Diese Verfahren verwenden eine gemeinsame Quelle, die verschränkte Paare von Photonen nach links zu Alice und rechts zu Bob verschickt. Diese werden wie beim BB84-Protokoll dann auf beiden Seiten in zufälligen Basen vermessen, wodurch es wieder einen quantensicheren Austausch geben kann. Die Erzeugung verschränkter Photonenpaare ist jedoch technisch noch schwieriger, weshalb das BB84-Protokoll der Platzhirsch bei den QKD-Protokollen ist.

Welche QKD-Lösungsmöglichkeiten gibt es bereits heute kommerziell?

Trotz der technischen Herausforderungen gibt es auch heute schon QKD-Appliances, die in Standard-19‘‘-Racks eingebaut werden können. Die Rate der Photonen und die Genauigkeit der Komponenten zur Detektion einzelner Photonen bestimmen dabei die erreichbare Anzahl der QKD-Schlüssel pro Minute. Typische Werte liegen hier bei 250 – 1.200 AES-256 Keys pro Minute. Die maximale Reichweite für den QKD-Schlüsselaustausch liegt bei 60 km – 220 km bei Verwendung von Standard-Single-Mode-Fasern. Der Quantenkanal wird dabei entweder als dedizierte Leitung (Dark Fiber) oder als Kanal parallel zur Datenleitung (mit DWDM) realisiert.

QKD-Appliances kommen dabei beispielsweise von den folgenden Unternehmen und Ausgründungen aus dem universitätsnahen Forschungs- und Entwicklungsumfeld:

• Fraunhofer Heinrich Hertz Institut (HHI) Berlin – Fraunhofer-HHIs-QKD-System
• Keequant aus Fürth – QKD-System „Andariel“
• Toshiba aus Japan – Multiplex- oder Long-Distance-System
• ID Quantique aus Genf – Clavis XG QKD Portfolio

Für längere Distanzen und größere Netzwerke, die über Punkt-zu-Punkt-Verschlüsselung hinausgehen, wird neben QKD-Appliances noch eine zusätzliche Control-Plane für die Schlüsselverteilung benötigt. Größere Netzwerke brauchen also ein Quanten-Key-Management (Q-KMS), zu dem auch vertrauenswürdige Knoten gehören, um die Längenrestriktionen der Punkt-zu-Punkt-QKD-Verbindungen zu umgehen. Ein Beispiel hierfür ist die Clarion KX Platform von ID Quantique, die Q-KMS Management und Monitoring für QKD-Schlüsselmaterial mit ca. 120.000 AES-256 Keys pro Minute für größere Netzwerke ermöglichen soll.

Aktuelle Forschungstätigkeiten lassen ebenso auf die Integration von QKD-Transceivern in Standard-Netzwerkgeräten wie Switches und Routern hoffen [8]. Die Entwicklung von QKD-Transceivern im QSFP-28-Pluggable-Format könnte langfristig dedizierte QKD-Appliances ersetzen und damit ein Skalierbarkeitsproblem von QKD lösen. Innerhalb der Switches kann ein über die QKD-Transceiver ausgetauschter Schlüssel direkt in die Verschlüsselung mit MACsec integriert werden.

Fazit und Ausblick

QKD erlaubt es prinzipiell, einen abhörsicheren Schlüsselaustausch zu realisieren. Flächendeckende QKD-Infrastrukturen und größere Netze lassen aber weiter auf sich warten.

Trotz der beeindruckenden Funktionsweise von QKD, die auf den Prinzipien der Quantenmechanik beruht, existiert kommerzielle QKD-Hardware schon heute. Allerdings ist QKD auf absehbare Zeit eine kleine Nische. Das Positionspapier des BSI zu QKD kommt ebenfalls zum Schluss, dass QKD für die Breite technisch zu limitiert ist [9]. QKD braucht spezialisierte Hardware, verursacht hohe Kosten und funktioniert nur über limitierte Distanzen.

PQC und die Einbeziehung symmetrischer Verschlüsselung bleibt somit der primäre Weg, sich auf den Q-Day vorzubereiten.

Quellen und Verweise

[1] Dr. Philipp Rüßmann, „Die hybride Zukunft der IT-Landschaft mit Quantencomputern“, Netzwerk Insider Februar 2026. Online abrufbar unter: https://www.comconsult.com/die-hybride-zukunft-der-it-landschaft-mit-quantencomputern/

[2] Felix Horn, „Quanten-KI: Die Chance für effizientere und nachhaltigere KI-Systeme?“, ComConsult Blog, 30.06.2026. Online abrufbar unter: https://www.comconsult.com/quanten-ki-die-chance-fuer-effizientere-und-nachhaltigere-ki-systeme/

[3]  Dr. Philipp Rüßmann, „Mit Riesenschritten auf dem Weg zum Q-Day“, ComConsult Blog, 10.07.2025. Online abrufbar unter: https://www.comconsult.com/mit-riesenschritten-auf-dem-weg-zum-q-day/

[4] Dr. Philipp Rüßmann, „Wie Agentic AI und Quantencomputer die Rechenzentren der Zukunft prägen“, ComConsult Blog, 16.07.2026. Online abrufbar unter: https://www.comconsult.com/wie-agentic-ai-und-quantencomputer-die-rechenzentren-der-zukunft-praegen/

[5] Lea Joosten, „Quanten – eine Gefahr für unsere Netze?“, ComConsult Blog, 24.02.2026. Online abrufbar unter: https://www.comconsult.com/quanten-eine-gefahr-fuer-unsere-netze/

[6] Felix Horn, „Gefährdet der Q-Day unsere Identität?“, ComConsult Blog, 08.12.2025. Online abrufbar unter: https://www.comconsult.com/gefaehrdet-der-q-day-unsere-identitaet/

[7]  Jona Hermens, „Auf dem Weg zur Post-Quanten-PKI“, Netzwerk Insider April 2026. Online abrufbar unter: https://www.comconsult.com/auf-dem-weg-zur-post-quanten-pki/

[8] Dr. Philipp Rüßmann, „Quantenphysik als Ausweg aus dem Quantendilemma“, ComConsult Blog, 17.06.2026. Online abrufbar unter: https://www.comconsult.com/quantenphysik-als-ausweg-aus-dem-quantendilemma/

[9] Bundesamt für Sicherheit in der Informationstechnik, „Position Paper on Quantum Key Distribution“, 26.01.2024. Online abrufbar unter: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Crypto/Quantum_Positionspapier.html

Fußnote

<1> Hier wird nur lineare Polarisation des Lichts betrachtet und nicht sogenannte zirkulare Polarisation, bei der das Licht sich durch eine Überlagerung unterschiedlicher linearer Polarisationen mit oder gegen den Uhrzeigersinn dreht.