Frankreich ist das erste Land in Europa, das rein klassische Kryptographie mit einer echten Sanktion belegt. Ab 2027 zertifiziert die ANSSI, die französische Cybersicherheitsbehörde, keine Sicherheitsprodukte mehr, denen quantenresistente Verschlüsselung fehlt. Die Zertifizierung ist Voraussetzung, um an die französische Regierung und an kritische Infrastruktur zu verkaufen. Ab 2030 sollen Unternehmen nur noch quantensichere Produkte beschaffen. Das ist echter Druck auf die Hersteller. Gemessen wird damit allerdings nur das Produkt. Ob ein ausgerollter Server einen Post-Quanten-Schlüsselaustausch aushandelt, ist eine andere Frage, und heute tut das fast keiner.
Die Schranke
Die ANSSI-Zertifizierung ist die Eintrittskarte in einen der größten staatlichen Technologiemärkte Europas. Ein Produkt ohne PQC verliert diese Eintrittskarte nach 2027. Samih Souissi, Stabschef der ANSSI, nannte die Entscheidung „eine Frage von Governance, Industrieplanung, Regulierung und Souveränität“.
Manche Berichterstattung sagt, Frankreich zwinge Betreiber von älteren Systemen herunter. Der Mechanismus ist kleiner als das. Die Schranke gilt für neue Zertifizierungen und neue Beschaffungen. Bereits ausgerollte Systeme laufen weiter. Der Druck entsteht, wenn Ausrüstung ersetzt wird, und genau dort findet jede Krypto-Migration ohnehin statt.
Das Datum wurde zudem vor Jahren angekündigt. Das Positionspapier der ANSSI von 2022 beschrieb einen dreiphasigen Übergang, bei dem hybrides PQC durch die ersten beiden Phasen vorgeschrieben ist. Das Folgepapier von 2023 zog den Zeitplan vor und nannte für die ersten Zertifizierungen hybrider PQC-Produkte etwa 2024 bis 2025. Ein Stichtag 2027 für rein klassische Produkte ist dieser Plan, der pünktlich eintrifft.
Die Zertifizierung prüft das Produkt
Eine Zertifizierung sagt aus, dass das Produkt im getesteten Zustand quantenresistente Verschlüsselung enthält. Sie sagt nichts darüber, was Ihre Kopie dieses Produkts heute Abend auf Port 443 aushandelt. Unser Q1-Scorecard hat die PQC-Ankündigungen von 28 Anbietern mit ihren tatsächlichen TLS-Handshakes verglichen. Ankündigungen und Handshakes widersprechen sich häufig. Ein staatlicher Stempel auf der Ankündigung ändert nichts auf der Leitung.
Das ist der trügerische Boden, dem eine rechtliche Ebene hinzugefügt wird. Edge-Anbieter melden eine PQC-Adoption von über 50 Prozent. Origin-Server liegen bei nahezu 1 Prozent. Mehr als 90 Prozent der Origin-Server handeln heute null Post-Quanten-Schlüsselaustausch aus. Frankreich kann das strengste Zertifizierungsprogramm Europas betreiben, und diese Zahl bewegt sich erst, wenn Betreiber ausrollen, konfigurieren und prüfen. [PQ]probe bewertet den Schlüsselaustausch, den jeder Server tatsächlich aushandelt, pro Probe, pro Scan. Das ist die Ebene, die die Zertifizierung nicht sehen kann.
Hybrid, mit Spielraum zur Abweichung
Die ANSSI verlangt hybrides PQC, also einen Post-Quanten-Algorithmus kombiniert mit einem klassischen, und das schließt Signaturen ein. Die ANSSI hält schriftlich fest, dass dies der Position des BSI in Deutschland entspricht. Damit steht Frankreich dem reinen PQC-Pfad von CNSA 2.0 und der neuen Haltung von Geomys/OpenSSH in der Spaltung bei Hybrid-Signaturen gegenüber.
Die ANSSI hält sich zudem Optionen über NIST hinaus offen. Der Anhang des Folgepapiers führt FrodoKEM auf, einen konservativen Algorithmus, den NIST nicht ausgewählt hat. China stellt bis 2029 eigene Standards auf anderer Mathematik fertig. Die Pfade vervielfachen sich weiter. Ein Server, der auf das Bestehen der ANSSI-Prüfung abgestimmt ist, kann gegen ein CNSA-2.0-Profil anders bewertet werden, und beide Bewertungen sind korrekt. Jede neue nationale Schranke fügt ein weiteres Profil hinzu, gegen das bewertet werden muss.
Eine vierte Uhr
CNSA 2.0 will den Schlüsselaustausch bis 2030 und Signaturen bis 2035 abgeschlossen haben. EO 14412 will den zivilen Schlüsselaustausch bis Ende 2030 und Signaturen ein Jahr später für Systeme mit hoher Auswirkung. Das BSI sagt, klassische Verschlüsselung sollte nach 2031 nicht mehr allein verwendet werden. Die EU-Roadmap will Hochrisikosysteme bis 2030 und alles übrige bis 2035 migriert haben. Der Stichtag 2027 der ANSSI liegt vor allen anderen, und ihre Beschaffungsvorgabe für 2030 deckt sich mit dem Rest. Die vollständige Liste steht auf [PQ]time.
Souissi nannte Harvest-Now-Decrypt-Later als Grund: Angreifer zeichnen heute verschlüsselten Verkehr auf und entschlüsseln ihn, sobald Quantencomputer dazu in der Lage sind. Wegen dieser Bedrohung kommt der Schlüsselaustausch zuerst in jedem ernsthaften Migrationsplan. Diese Fristen laufen über Beschaffungs- und Zertifizierungszyklen, mit oder ohne funktionierenden Quantencomputer. Die Hardware-Debatte ändert keine von ihnen.
Frankreich hat die Schranke mit einem Datum versehen. Die Leitung zeigt, wer hindurchgekommen ist, und die Leitung berichtet bereits.
Quellen:
- Reuters, 16. Juni 2026: ANSSI stoppt ab 2027 die Zertifizierung von Produkten ohne quantenresistente Verschlüsselung
- ANSSI-Ansichten zum Übergang zur Post-Quanten-Kryptographie (Positionspapier 2022)
- ANSSI-Folgepositionspapier 2023: Hybrid-Anforderung, schnellerer Zeitplan, KEM-Anhang
Scannen Sie Ihre Endpunkte mit [PQ]probe, um zu sehen, auf welcher Seite der Schranke Ihre Deployments stehen.