Die dritte Ausgabe der PQC Vendor Scorecard umfasst 53 Herstellerprodukte in sechs Kategorien: Cloud-Infrastruktur, Browser und CDNs, Netzwerk, HSM und Schlüsselverwaltung, Datenbanken sowie SaaS und Zusammenarbeit. 35 der Produkte werden an ihren kundenseitigen Hosts gemessen, insgesamt 123 Hosts. Die übrigen 18, darunter die vier Browser, die Firewall- und Router-Firmware und die Ende-zu-Ende-Verschlüsselungsschichten, haben keinen Host, über den Kundendaten laufen; sie werden allein aus Herstellerdokumentation gelesen und als nicht gemessen markiert. Die Messwerte stammen aus fünf aufeinanderfolgenden täglichen Scans des Produktions-Schedulers vom 30. Oktober bis 3. November 2026. Die Ausgaben Q1 und Q2 wurden allein aus Herstellermaterial gelesen.
Zwei Lesarten je Produkt
Jedes Produkt trägt einen Status und eine Messung. Der Status ist deployed, available, announced oder none, gelesen aus dem datierten Material des Herstellers mit angegebener URL; ein Presseartikel oder ein Tracker Dritter ist kein Material. Die gemessenen Spalten sind die Schlüsselaustauschgruppe, die jeder Host standardmäßig aushandelt, und die Post-Quanten-Gruppen, die er auf Anfrage akzeptiert, der Signaturalgorithmus des Leaf-Zertifikats, die schwächste Protokollversion oder Cipher-Suite, die der Host noch anbietet, wer den Host ausliefert, und die Note, die der schlechtesten Note über die Hosts des Produkts entspricht. Ein Host gehört zur Zeile eines Produkts, wenn Daten oder Zugangsdaten eines zahlenden Kunden ihn im normalen Gebrauch passieren: Anmeldung, API, Datenebene, Mail bei Mailprodukten, Tunnel- und Client-Connect-Endpunkte. Marketingseiten, Dokumentation, Statusseiten und Unternehmensmail gehören nicht dazu.
Deployed setzt voraus, dass Post-Quanten-Schlüsselaustausch auf jedem Host der Zeile standardmäßig ausgehandelt wird. Ein Produkt, dessen Material deployed sagt, dessen Hosts aber standardmäßig eine klassische Gruppe aushandeln, liest sich als available, wird so markiert und bewegt sich auf dieser Lesart. Zwei Produkte lesen sich in dieser Ausgabe so. Die AWS-Kerndienste handeln auf STS und EC2 ML-KEM aus und auf dem SES-Submission-Host x25519. Internxt Drive handelt auf seinem Gateway- und seinem Drive-Host ML-KEM aus und auf seinem API-Host x25519.
Ergebnisse
11 gemessene Produkte tragen Herstellermaterial, das Post-Quanten-Schlüsselaustausch als deployed ausweist. 9 davon handeln ML-KEM auf jedem gescannten Host standardmäßig aus. Von den 35 gemessenen Produkten handeln 15 es auf jedem Host standardmäßig aus und 27 auf mindestens einem. Jede Post-Quanten-Aushandlung in der Kohorte ist X25519MLKEM768. Kein Host handelt standardmäßig eine andere Post-Quanten-Gruppe aus, und kein Host hat ein Post-Quanten-Zertifikat vorgelegt: Jedes Leaf-Zertifikat ist mit RSA oder ECDSA signiert. Sieben Produkte akzeptieren auf Anfrage neben der Standardgruppe noch das Vorstandard-X25519Kyber768Draft00. Zwölf Produkte handeln ML-KEM auf manchen Hosts aus und auf anderen nicht; die Hosts, die es nicht tun, sind meist Mail-Hosts und API-Endpunkte.
| Kategorie | Gemessen | ML-KEM standardmäßig auf jedem Host | Auf manchen Hosts | Auf keinem | Nur Dokumentation |
|---|---|---|---|---|---|
| Cloud-Infrastruktur | 9 | 4 | 3 | 2 | 0 |
| Browser und CDNs | 3 | 3 | 0 | 0 | 4 |
| Netzwerk | 4 | 0 | 3 | 1 | 4 |
| HSM und Schlüsselverwaltung | 2 | 2 | 0 | 0 | 3 |
| Datenbanken | 5 | 2 | 3 | 0 | 2 |
| SaaS und Zusammenarbeit | 12 | 4 | 3 | 5 | 5 |
Juniper Mist zählt zu den Produkten, die auf manchen Hosts aushandeln, weil einer seiner vier Hosts im Fenster keine einfache TLS-Verbindung beantwortet hat; die drei, die geantwortet haben, handeln ML-KEM aus.
Befunde nach Kategorie
In der Cloud-Infrastruktur handelt AWS ML-KEM standardmäßig auf STS, EC2, jedem S3-Endpunkt und KMS aus, mit SecP256r1MLKEM768 auf Anfrage. Google handelt es auf jedem Cloud-, Workspace- und Gmail-Host aus, MX und SMTP-Relay eingeschlossen. Microsofts Azure-Hosts handeln klassische Gruppen aus, mit Ausnahme des Portals, das im September zu ML-KEM gewechselt ist. Dropbox und Box handeln auf jedem Host klassische Gruppen aus und akzeptieren auf Anfrage keine Post-Quanten-Gruppe.
Alle drei Edges, Cloudflare, Akamai und Fastly, handeln ML-KEM standardmäßig auf jedem Host aus, darunter Cloudflares Tunnel-Endpunkt auf Port 7844 und seine WARP-Client-API. Die vier Browser werden aus Release Notes gelesen: Chrome, Firefox und Edge aktivieren die hybride Gruppe standardmäßig, und Apples Plattformaussage deckt Safari auf iOS 26 und macOS 26 ab.
Im Netzwerk sind die Appliance-Zeilen nur Dokumentation: Fortinet und Palo Alto liefern ML-KEM in Firmware aus, die ein Kunde aktiviert, Cisco hat datierte Ziele für FTD 10.5 und ASA 9.25, und Junos dokumentiert Pre-Shared Keys nach RFC 8784, die keine NIST-Post-Quanten-Kryptographie sind. Bei den eigenen Diensten der Hersteller handelt Juniper Mist ML-KEM auf API, Konsole und Device-Connect-Host aus, Palo Altos SASE-API und WildFire handeln es aus, während die Prisma-Access-API und das App-Portal es nicht tun, Ciscos Meraki-API und Webex handeln es aus, während Meraki-Dashboard und Umbrella es nicht tun, und Fortinets Cloud-Dienste handeln auf jedem Host klassische Gruppen aus.
Bei HSM und Schlüsselverwaltung handelt AWS KMS ML-KEM auf seinen Standard- und FIPS-Endpunkten in beiden Regionen aus, Google Cloud KMS auf seinem Endpunkt. Thales Luna liefert ML-KEM und ML-DSA, Entrust nShield ML-KEM, ML-DSA und SLH-DSA, in Firmware, die ein Kunde installiert und aktiviert; nach den eigenen Release Notes beider Hersteller ist die Firmware, die sie trägt, nicht die nach FIPS 140-3 validierte Firmware. Für Azure Key Vault und Managed HSM gibt es kein Microsoft-Material, das einen Post-Quanten-Schlüsseltyp oder ein Datum nennt.
Bei den Datenbanken handelt der DynamoDB-Endpunkt ML-KEM standardmäßig aus und ist das einzige Produkt der Kohorte, dessen Hosts alle SecP384r1MLKEM1024 auf Anfrage akzeptieren. Die RDS-Steuerungsebene handelt es ebenfalls aus; die Datenebenen von RDS und Aurora sind instanzgebunden und werden aus dem AWS-Material gelesen, das die hybride Gruppe auf PostgreSQL 18 und MySQL 8.4 zum Opt-in macht. Die drei Cluster-Hosts von MongoDB Atlas auf Port 27017 handeln ML-KEM aus und akzeptieren alle drei hybriden Gruppen; die Atlas-Steuerungsebene handelt x25519 aus. Oracles Identity- und IaaS-Endpunkte und die Konsole handeln ML-KEM aus, der Autonomous-Database-Endpunkt und der OCI-Email-Submission-Host nicht. Snowflakes Webanwendung handelt ML-KEM aus; die Datenebene des Testkontos handelt x25519 aus. Kein Microsoft-Material nennt SQL Server oder Azure SQL.
Bei SaaS und Zusammenarbeit handelt Proton Mail ML-KEM standardmäßig auf Anmeldung, Webmail, API und beiden Mail-Exchangern aus und erhält auf allen fünf Hosts die Note A, ohne Herstellermaterial zum Transport. Zooms drei Diensthosts und Signals drei Diensthosts handeln es aus. Workday handelt es auf vier von fünf Hosts aus, ServiceNow auf seinem Anmeldehost. Microsoft 365 handelt auf allen sechs Hosts klassische Gruppen aus, MX und Submission von Exchange Online eingeschlossen. Die Cloud-Foundry-Hosts von Salesforce, Slack und SAP handeln auf jedem Host klassische Gruppen aus und akzeptieren auf Anfrage keine Post-Quanten-Gruppe. Apples Identity-Host handelt ML-KEM aus; sein Push-Host und die IMAP-, Submission- und Exchanger-Hosts von iCloud Mail handeln x25519 aus. Die beiden Mail-Exchanger und der Submission-Host von mailbox.org handeln ML-KEM aus; Anmeldung, Webmail und IMAP nicht. Tutas App-Host handelt secp256r1 aus, sein Mail-Exchanger x25519. Die Ende-zu-Ende-Zeilen, TutaCrypt, Protons Post-Quanten-OpenPGP, Signals PQXDH, iMessages PQ3 und Zooms Ende-zu-Ende-Verschlüsselung, geben die Beschreibung des jeweiligen Herstellers für sein eigenes Protokoll wieder; die Scorecard bewertet weder die Schlüsselverwahrung noch verifiziert sie das Protokoll.
Noten
Die Note bestimmt das Schwächste, das ein Host noch anbietet. Neun Produkte erhalten F, weil mindestens ein Host noch TLS 1.0, TLS 1.1 oder eine 3DES-Cipher-Suite akzeptiert; sechs dieser neun handeln ML-KEM standardmäßig auf jedem Host aus. Googles Endpunkte, Cloudflares WARP-Client-API, Signals Storage- und CDN-Hosts, Fortinets FortiGuard-Dienste, Apples iCloud-Mail-Exchanger und Tutas Mail-Exchanger gehören zu dieser Gruppe. Von den 34 Produkten mit Note erhalten zwei A, eines B, sechs C, sechzehn D und neun F.
Bewegung seit Q2
Die Bewegung wird auf der Statusskala gegen den Status der Q2-Ausgabe gelesen, korrigiert, wo er auf keiner Herstellerquelle beruhte. Drei Produkte haben sich auf dem effektiven Status verbessert und eines verschlechtert. Google Workspace und Google Cloud KMS sind mit Googles Aussage vom August auf deployed gewechselt und handeln ML-KEM auf jedem Host aus. RDS und Aurora sind mit der PostgreSQL-18-Ankündigung auf available gewechselt. Internxt liest sich als available, weil sein API-Host x25519 aushandelt, obwohl sein Material deployed sagt. Von den sechzehn gemessenen Produkten, die in dieser Ausgabe neu sind, handeln Google Cloud, Fastly, Zoom, Signal, Juniper Mist und Proton Mail ML-KEM standardmäßig auf jedem Host aus, der geantwortet hat; Fortinets Cloud-Dienste, die SAP Business Technology Platform und Tutas Mail-Hosts handeln es auf keinem aus; die übrigen sieben auf manchen Hosts.
Übergänge in der Zeitreihe
Dreizehn der Hosts sind seit Juni 2026 in den anderen Kohorten des Scanners, und ihre Zeitreihen zeigen, wann ein Host gewechselt hat. Fünf Hosts tragen nach Messbeginn sowohl eine klassische als auch eine Post-Quanten-Lesung: Oracles Konsole im Juli, Akamais Control-Host im Juli, ServiceNows Anmeldehost im August, das Azure-Portal im September und Protons Webmail im September. Die Hosts von Oracle, Akamai und Azure wechselten einige Wochen lang zwischen beiden Gruppen, bevor sie bei ML-KEM blieben.
Download
Der Bericht enthält die vollständige Ergebnistabelle je Kategorie, den Status je Produkt mit Herstellermaterial und Datum, die Lesart Post-Quanten-Standard je CNSA-2.0-Klassenjahr, die Übergänge, die Bewegungstabelle, die regulatorischen Termine und 138 Quellen.
Download der [PQ]probe PQC Vendor Scorecard: Ausgabe Q3 2026
Ergebnisse je Host werden nicht veröffentlicht. Ein Hersteller oder Betreiber kann unter hello@pqprobe.com einen erneuten Test eines gelisteten Hosts anfragen; die Antwort kommt innerhalb von fünf Werktagen. Die Hosts der bewerteten Produkte werden einmal täglich gescannt, und der Vendor Monitor zeigt den aktuellen Stand jedes Produkts neben dem, was sein datiertes Herstellermaterial sagt.