Frankreich strebt an, Post-Quanten-Kryptographie zur Bedingung der Produktqualifizierung zu machen; heute haben die PQC-Empfehlungen der ANSSI keinen verpflichtenden Charakter. Ab 2027 will die ANSSI, die französische Cybersicherheitsbehörde, PQC für Sicherheitsprodukte vorschreiben, die in die Qualifizierung gehen. Der regulierte Bereich der ANSSI umfasst eingestufte Daten und Daten der Stufe Diffusion Restreinte, Systeme von vitaler Bedeutung und ihre eigenen Sicherheitsvisa. Ab 2030 sollen Unternehmen nur noch quantensichere Produkte beschaffen. Das ist echter Druck auf die Hersteller. Gemessen wird damit allerdings nur das Produkt. Ob ein ausgerollter Server einen Post-Quanten-Schlüsselaustausch aushandelt, ist eine andere Frage, und heute tut das fast keiner.
Die Schranke
Die ANSSI-Qualifizierung ist die Eintrittskarte in einen der größten staatlichen Technologiemärkte Europas. Ab 2027 will die ANSSI einem Produkt ohne PQC diese Eintrittskarte verwehren. Samih Souissi, Stabschef der ANSSI, nannte die Entscheidung „eine Frage von Governance, Industrieplanung, Regulierung und Souveränität“.
Manche Berichterstattung sagt, Frankreich zwinge Betreiber von älteren Systemen herunter. Der Mechanismus ist kleiner als das. Die Schranke gilt für Produkte, die in die Qualifizierung gehen, und für neue Beschaffungen. Bereits ausgerollte Systeme laufen weiter. Der Druck entsteht, wenn Ausrüstung ersetzt wird, und genau dort findet jede Krypto-Migration ohnehin statt.
Das Datum wurde zudem vor Jahren angekündigt. Das Positionspapier der ANSSI von 2022 beschrieb einen dreiphasigen Übergang, bei dem in den ersten beiden Phasen die Hybridisierung überall dort vorgeschrieben ist, wo PQC eingesetzt wird. Das Folgepapier von 2023 zog den Zeitplan vor und nannte für die ersten Zertifizierungen hybrider PQC-Produkte etwa 2024 bis 2025. Ein Datum 2027 für rein klassische Produkte, die in die Qualifizierung gehen, ist dieser Plan, der pünktlich eintrifft.
Die Zertifizierung prüft das Produkt
Eine Zertifizierung sagt aus, dass das Produkt im getesteten Zustand quantenresistente Verschlüsselung enthält. Sie sagt nichts darüber, was Ihre Kopie dieses Produkts heute Abend auf Port 443 aushandelt. Unser Q1-Scorecard hat die PQC-Ankündigungen von 28 Anbietern mit ihren tatsächlichen TLS-Handshakes verglichen. Ankündigungen und Handshakes widersprechen sich häufig. Ein staatlicher Stempel auf der Ankündigung ändert nichts auf der Leitung.
Das ist der trügerische Boden, dem eine rechtliche Ebene hinzugefügt wird. Edge-Anbieter melden eine PQC-Adoption von über 50 Prozent. Origin-Server liegen bei nahezu 1 Prozent. Mehr als 90 Prozent der Origin-Server handeln heute null Post-Quanten-Schlüsselaustausch aus. Frankreich kann das strengste Zertifizierungsprogramm Europas betreiben, und diese Zahl bewegt sich erst, wenn Betreiber ausrollen, konfigurieren und prüfen. [PQ]probe bewertet den Schlüsselaustausch, den jeder Server tatsächlich aushandelt, pro Probe, pro Scan. Das ist die Ebene, die die Zertifizierung nicht sehen kann.
Hybrid, mit Spielraum zur Abweichung
Für ihre Sicherheitsvisa verlangt die ANSSI hybrides PQC, also einen Post-Quanten-Algorithmus kombiniert mit einem klassischen, und das schließt Signaturen mit Ausnahme hashbasierter Verfahren ein. Die ANSSI hält schriftlich fest, dass dies der Position des BSI in Deutschland entspricht. Damit steht Frankreich dem reinen PQC-Pfad von CNSA 2.0 und der neuen Haltung von Geomys/OpenSSH in der Spaltung bei Hybrid-Signaturen gegenüber.
Die ANSSI hält sich zudem Optionen über NIST hinaus offen. Abschnitt 2 des Folgepapiers führt FrodoKEM auf, einen konservativen Algorithmus, den NIST nicht ausgewählt hat. Wang Xiaoyun von der Tsinghua-Universität sagt, China werde wahrscheinlich innerhalb von drei Jahren eigene Standards auf anderer Mathematik haben. Die Pfade vervielfachen sich weiter. Ein Server, der auf das Bestehen der ANSSI-Prüfung abgestimmt ist, kann gegen ein CNSA-2.0-Profil anders bewertet werden, und beide Bewertungen sind korrekt. Jede neue nationale Schranke fügt ein weiteres Profil hinzu, gegen das bewertet werden muss.
Eine vierte Uhr
CNSA 2.0 will Geräte, die es nicht unterstützen können, bis Ende 2030 ausgemustert haben und schreibt seine Algorithmen bis Ende 2031 vor. EO 14412 will die Schlüsseletablierung bis Ende 2030 und digitale Signaturen bis Ende 2031 für hochwertige Bundessysteme (High Value Assets) und Systeme mit hoher Auswirkung. Das BSI empfiehlt klassische Schlüsseleinigung allein nur noch bis Ende 2031. Die EU-Roadmap will Hochrisikosysteme bis 2030 und möglichst viele übrige Systeme bis 2035 migriert haben. Das Datum 2027 der ANSSI gilt für Produkte, die in ihre Qualifizierung gehen, und das CNSA-2.0-Datum 1. Januar 2027 für neue Beschaffungen für nationale Sicherheitssysteme der USA; die Beschaffungsvorgabe der ANSSI für 2030 deckt sich mit dem Rest. Die vollständige Liste steht auf [PQ]time.
Souissi nannte Harvest-Now-Decrypt-Later als Grund: Angreifer zeichnen heute verschlüsselten Verkehr auf und entschlüsseln ihn, sobald Quantencomputer dazu in der Lage sind. Wegen dieser Bedrohung kommt der Schlüsselaustausch zuerst in jedem ernsthaften Migrationsplan. Diese Fristen laufen über Beschaffungs- und Zertifizierungszyklen, mit oder ohne funktionierenden Quantencomputer. Die Hardware-Debatte ändert keine von ihnen.
Frankreich hat die Schranke mit einem Datum versehen. Die Leitung zeigt, wer hindurchgekommen ist, und die Leitung berichtet bereits.
Quellen:
- Reuters, 16. Juni 2026: berichtet, dass die ANSSI ab 2027 die Zertifizierung von Produkten ohne quantenresistente Verschlüsselung stoppt
- ANSSI-Ansichten zum Übergang zur Post-Quanten-Kryptographie (Positionspapier 2022)
- ANSSI-Folgepositionspapier 2023: Hybrid-Anforderung für Sicherheitsvisa, schnellerer Zeitplan, KEM-Abschnitt
Scannen Sie Ihre Endpunkte mit [PQ]probe, um zu sehen, auf welcher Seite der Schranke Ihre Deployments stehen.