Filippo Valsorda hat seine Position zu Hybrid-Signaturen umgekehrt. In einem Beitrag im Geomys-Blog vom 6. April argumentiert er, dass klassisch-plus-PQ-Kompositsignaturen mehr Zeit und Komplexität kosten, als sie an kryptografischer Absicherung bringen, und dass in Deployments direkt reines ML-DSA-44 ausgeliefert werden sollte. Seine Position zum hybriden Schlüsselaustausch hat sich nicht geändert; dieser Teil der Migration bleibt eine sinnvolle Absicherung.
Die Verschiebung ist relevant, weil Filippos vorherige Position mit der aktuellen regulatorischen Linie übereinstimmte. Deutschlands BSI TR-02102 verlangt Hybrid-PQC sowohl für den Schlüsselaustausch als auch für Signaturen. Frankreichs ANSSI verfolgt eine ähnliche Linie. Die IETF ist mehrere Drafts tief in draft-ietf-lamps-pq-composite-sigs, derzeit Revision 16 (8. April 2026), mit achtzehn Kompositschlüsseltypen kurz vor der Veröffentlichung. Das Abstract der neuesten Revision beschreibt die Konstruktion als „tailored to meet regulatory guidelines in certain regions“. Diese Formulierung selbst bestätigt das regulatorische Divergenz-Framing, um das es in diesem Beitrag geht. Ein wesentlicher Teil der bisherigen Standardisierungsarbeit hat angenommen, dass Hybrid der Standardpfad ist.
Die Begründung für die Änderung ist geradlinig. Hybrider Schlüsselaustausch ist günstig: ephemere Schlüssel, kein Drahtformat für zusammengesetzte private Schlüssel, minimaler Protokollumfang. Hybride Authentifizierung ist teuer: dauerhafte Schlüssel, Typaushandlung, Arbeit am Zertifikatsformat und erheblicher kollektiver Aufwand, um herauszufinden, wie das Ökosystem zusammengesetzte Identitäten behandelt. Den Kosten gegenüber steht der Schutz für den Fall, dass ML-DSA klassisch gebrochen wird, bevor ein CRQC eintrifft. Zwei Jahre Deployment-Erfahrung mit gitterbasierten Hybriden im Feld plus ein aggressiver Zeitplan für die Quantenbedrohung verschieben diesen Tradeoff in Richtung des direkten Ausrollens reiner PQ-Signaturen.
Die 2029-Zahl
Googles Heather Adkins und Sophie Schmieg haben einen Migrationszeitplan veröffentlicht mit einer internen Frist 2029 für den Abschluss der PQ-Migration. Die Konsequenzen für Deployment-Teams haben wir behandelt, als diese Frist erstmals auftauchte. Es ist der aggressivste glaubwürdige Zeitplan aus einer Nicht-Hersteller-Quelle bisher, und er stützt sich auf zwei aktuelle technische Entwicklungen. Googles Babbush-et-al-Paper revidiert die Anzahl logischer Qubits und Gatter, die zum Brechen 256-Bit-elliptischer Kurven nötig ist, nach unten und bringt den Angriff auf supraleitenden Architekturen in den Minutenbereich. Ein separates Paper von Oratomic zeigt dieselbe Angriffsklasse mit etwa zehntausend physikalischen Qubits bei nicht-lokaler Konnektivität, wie sie Neutral-Atom-Plattformen offenbar bieten. Deutschlands Quantum Computing Competition finanziert genau die Konsortien, die diese Hardware bauen.
Beide Papiere verschieben ECC in das unmittelbare Bedrohungsfenster vor RSA, wo moderne ECDSA-und-X25519-Stacks am stärksten exponiert sind (vorheriger Beitrag).
Die Migrationsdauer bleibt die bindende Beschränkung. Typische Enterprise-Kryptografie-Rollouts dauern fünf bis zehn Jahre. Ein 33-Monats-Fenster zur Fertigstellung bedeutet, dass Organisationen, die nicht längst in aktiver Migration sind, bereits zu spät dran sind.
Was das für Scanner bedeutet
Zwei Compliance-Profile, beide korrekt, werden zunehmend uneins sein. Die Form dieser Uneinigkeit war bereits in der IETF-Arbeitsgruppe sichtbar, wo die Hybrid-versus-pure-Frage Implementierer entlang nahezu identischer Linien spaltete.
Ein Scan nach BSI TR-02102 verlangt Hybrid-Signaturen und stuft reines ML-DSA-44 als nicht-konform für den Einsatz in der deutschen Bundesverwaltung ein. Ein Scan nach der jetzt von Geomys, OpenSSH, age und benachbarten Open-Source-Maintainern artikulierten Position behandelt Hybrid-Signaturen als vertretbare, aber unnötige Kosten und kennzeichnet reines ML-DSA-44 als den bevorzugten Pfad nach vorn. Derselbe TLS-Endpunkt erhält unterschiedliche Urteile, je nachdem, gegen welchen Standard der Scan läuft.
Die Spaltung spiegelt unterschiedliche Bedrohungsmodelle. BSI argumentiert mit Blick auf langfristige souveräne kryptografische Resilienz, in der Überraschungen aus der Gitter-Kryptanalyse unabhängig überlebbar sein müssen. Filippo argumentiert mit Blick auf Deployment-Latenz vor einer 33-Monats-Wand. Beide Begründungslinien sind vertretbar. Die beiden werden wieder konvergieren, sobald das kryptanalytische Vertrauen in Gitter zunimmt und der Zeitdruck entweder eintritt oder nachlässt.
Für die Scan-Ausgabe, die heute zählt: Nicht-PQ-Schlüsselaustausch ist der dringende Befund. OpenSSH behandelt das als Warnung an den Nutzer, mit der Begründung, dass Geheimnisse, die über die Verbindung übertragen werden, selten Lebensdauern unter drei Jahren haben. Filippos Position ist, dass jede Nicht-PQ-KEX-Session 2026 als potenziell aktive Kompromittierung behandelt werden sollte. Der tatsächliche Anteil des Internets, der auch nur die Hybrid-Schwelle überschritten hat, ist deutlich kleiner, als Hersteller-Adoptionstabellen nahelegen (False Floor, Cloudflares Lücke). Hybrid-versus-pure-Signaturdebatten sind sekundär.
Die Grover-Fußnote
Eine verwandte Verschiebung verdient Erwähnung. Filippo argumentiert auch, dass 256-Bit-Symmetrieanforderungen, die von Grover-Bedenken motiviert sind, netto schädlich sind, weil ein 128-Bit-Symmetrieschlüssel gegen einen Grover-Angriff mit realistischen Schaltkreistiefen-Limits etwa 2106 Operationen bei einem Schaltkreistiefen-Budget von 264 logischen Gattern erfordert, weit außerhalb der Reichweite. 256-Bit-Symmetrieanforderungen mit PQ-Asymmetrieanforderungen zu bündeln, verwischt Interoperabilitätsziele und verlangsamt den Rollout der asymmetrischen Kryptografie unter unmittelbarer Bedrohung. Der ursprüngliche Beweis, dass Grovers Speedup nicht parallelisiert, stützt das.
Für Scanner und Compliance-Bewertung: AES-128 ist in Ordnung. Der Druck gehört auf die Signaturen, nicht auf die Blockchiffren.
Was nun
Die Aktionspunkte für Betreiber sind gegenüber dem Stand vor sechs Monaten unverändert, nur dringender. Kryptografische Oberfläche inventarisieren, Schlüsselaustausch zuerst priorisieren, den Handshake für die größeren Signaturen von ML-DSA dimensionieren und die Migration starten, die der Zeitplan jetzt auf 33 Monate verdichtet. Dieselbe Inventararbeit taucht in Microsofts Cryptographic Posture Management Framework auf.
Der Aktionspunkt für Compliance-Frameworks ist schwieriger. BSI, ANSSI, NIST und die IETF werden entscheiden müssen, ob die Kosten-Nutzen-Rechnung für Hybrid-Signaturen noch hält, wenn die Frist 2029 ist und die Überraschung aus der Gitter-Kryptanalyse in acht Jahren intensiver akademischer Prüfung seit NIST Runde 1 nicht eingetroffen ist. Diese Entscheidung wird nicht einstimmig sein. Scanner werden auf absehbare Zeit nach mehreren Profilen berichten müssen.
[PQ]probes Bewertung folgt derzeit BSI TR-02102 strikt für das BSI-Compliance-Profil. Die Geomys/OpenSSH-Haltung wird als separates Profil in einem kommenden Release hinzugefügt, neben Hinweisen, die die Divergenz auf einzelnen Scanberichten markieren. Beide Urteile werden verfügbar sein; der Betreiber kann wählen, welches auf sein Bedrohungsmodell zutrifft.