BSI TR-02102-1 (2026-01): Ablaufdatum 2031 für RSA & ECDSA – Der Post-Quanten-Migrationsleitfaden

Mit der im Februar 2026 vorgestellten Aktualisierung der Technischen Richtlinie BSI TR-02102 („Kryptographische Verfahren: Empfehlungen und Schlüssellängen“) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Zäsur für die gesamte europäische IT- und Sicherheitsarchitektur markiert: Erstmals nennt das BSI ein konkretes Ablaufdatum für den alleinigen Einsatz klassischer asymmetrischer Verschlüsselungsverfahren. Ab Ende 2031 gelten klassische Public-Key-Verfahren wie RSA, Diffie-Hellman (DH) und elliptische Kurven (ECDH/ECDSA) zur Schlüsselaushandlung und Verschlüsselung ohne Post-Quanten-Absicherung nicht mehr als sicher im Sinne der Richtlinie; für rein klassische digitale Signaturen endet die Übergangsfrist im Jahr 2035.

Für IT-Leiter, CISOs, Cloud-Architekten und Datenschutzbeauftragte im DACH-Raum ist diese Festlegung weit mehr als eine theoretische Krypto-Empfehlung: Über die Verknüpfung mit dem „Stand der Technik“ nach Art. 32 DSGVO sowie den strengen Risikomanagementpflichten aus NIS-2 (§ 30 BSIG) entsteht unmittelbarer Handlungsbedarf. Dieser Leitfaden analysiert die neuen Vorgaben der TR-02102-Reihe im Detail und liefert einen strukturierten Post-Quanten-Migrationsfahrplan bis 2031.

1. Analyse des BSI TR-02102-1 Updates (2026): Die konkreten Fristen für RSA, DH und ECC

Das Bedrohungsszenario hinter der Entscheidung des BSI ist präzise definiert: Kryptographisch relevante Quantencomputer (CRQC) sind mit Hilfe des Shor-Verfahrens in der Lage, sowohl das Faktorisierungsproblem großer ganzer Zahlen (Basis von RSA) als auch das diskrete Logarithmusproblem in endlichen Körpern und auf elliptischen Kurven (Basis von DH, DSA, ECDH, ECDSA, EdDSA) in Polynomialzeit zu lösen.

Noch dringlicher wirkt das „Harvest Now, Decrypt Later“-Prinzip (Store Now, Decrypt Later): Angreifer zeichnen bereits heute verschlüsselten Datenverkehr (TLS-Sessions, VPN-Tunnel, S/MIME-Kommunikation, verschlüsselte Backups) auf, um die Sitzungsschlüssel zu brechen, sobald ausreichende Quantenrechenkapazitäten verfügbar sind. Für Daten mit einer Vertraulichkeitsanforderung von fünf bis zehn Jahren – etwa Gesundheitsdaten, Geschäftsgeheimnisse, Finanztransaktionen oder behördliche Verschlusssachen – ist das Jahr 2031 bereits heute operativ relevant.

Die Fristen-Matrix der aktuellen BSI TR-02102-1 im Überblick

2. Pflicht zur Hybrid-Implementierung: Warum das BSI auf PQC + Klassik setzt

Ein zentrales Architekturprinzip der deutschen und europäischen Sicherheitsbehörden ist die Pflicht zum hybriden Einsatz in der Übergangsphase. Während einzelne internationale Standards einen direkten Wechsel auf reine Post-Quanten-Algorithmen diskutieren, fordert das BSI in TR-02102-1 ausdrücklich die Kombination eines bewährten klassischen Verfahrens (z. B. ECDH über Brainpool- oder NIST-Kurven mit mindestens 128 Bit klassischer Sicherheit) mit einem quantensicheren Key Encapsulation Mechanism (PQC-KEM).

Die Sicherheitslogik des Hybrid-Ansatzes

Beim hybriden Schlüsselaustausch werden die erzeugten Geheimnisse (Shared Secrets) beider Verfahren über eine kryptographisch starke Key Derivation Function (KDF, z. B. HKDF nach RFC 5869 oder KMAC) so verknüpft, dass das resultierende Sitzungsgeheimnis genau dann sicher bleibt, wenn mindestens eines der beiden Teilverfahren ungebrochen ist: - Sollte sich in einem neueren gitterbasierten PQC-Verfahren eine unerwartete mathematische Schwäche zeigen, schützt weiterhin das Jahrzehnte erprobte ECDH-Verfahren gegen klassische Angreifer. - Sobald ein Quantencomputer das klassische ECDH-Verfahren bricht, schützt das PQC-Verfahren die Vertraulichkeit der Sitzung.

Vom BSI empfohlene Post-Quanten-Verfahren (KEM & Signaturen)

In der TR-02102-1 hebt das BSI folgende PQC-Algorithmen hervor: 1. FrodoKEM (FrodoKEM-976, FrodoKEM-1344): Konservatives, auf dem allgemeinen Learning-With-Errors-Problem (Plain LWE ohne zusätzliche algebraische Ring-/Modulstruktur) basierendes Verfahren mit sehr hohen Sicherheitsreserven. 2. Classic McEliece: Code-basiertes Verfahren mit jahrzehntelanger Kryptoanalyse-Historie; zeichnet sich durch extrem kleine Chiffrate, aber sehr große öffentliche Schlüssel (mehrere Hundert Kilobyte bis über 1 MB) aus – ideal für statische VPN-Gateways oder Server-Infrastrukturen mit fester Gegenstelle. 3. ML-KEM (ML-KEM-768, ML-KEM-1024 / FIPS 203, ehemals CRYSTALS-Kyber): Effizientes gitterbasiertes Modul-LWE-Verfahren mit moderaten Schlüssel- und Chiffratgrößen, das sich als Standard für breite Web- und TLS-1.3-Szenarien im Hybrid-Modus (X25519MLKEM768 bzw. SecP256r1MLKEM768) durchsetzt. 4. Hash-basierte Signaturen (XMSS, LMS / HSS sowie SLH-DSA / FIPS 205): Mathematisch allein auf der Sicherheit der zugrundeliegenden Hashfunktion beruhend; besonders empfohlen für langlebige Code-Signing-, Bootloader- und Root-CA-Signaturen.

3. Rechtliche Tragweite für IT-Leiter und CISOs: Art. 32 DSGVO und NIS-2

Warum darf die Frist 2031 nicht als bloßes Zukunftsprojekt für das Jahr 2030 missverstanden werden? Weil deutsche und europäische Gesetze über dynamische Verweisungsklauseln direkt an die technischen Richtlinien des BSI anknüpfen:

A. Art. 32 DSGVO („Stand der Technik“)

Gemäß Art. 32 Abs. 1 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOM) implementieren, darunter ausdrücklich die Verschlüsselung personenbezogener Daten unter Berücksichtigung des Stands der Technik. In der Prüfpraxis der deutschen Datenschutzaufsichtsbehörden (DSK) sowie in der Orientierungshilfe des TeleTrusT/BSI bildet die BSI TR-02102 den maßgeblichen Referenzmaßstab für den kryptographischen Stand der Technik. - Werden besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten, biometrische Daten oder langfristige Finanz- und Personalakten) über das Jahr 2031 hinaus gespeichert oder heute über ungeschützte Weitverkehrsstrecken übertragen, entsteht ohne PQC-Migrationsplan bereits heute eine Nachweislücke in der Datenschutz-Folgenabschätzung (DSFA).

B. NIS-2-Richtlinie und § 30 BSIG (Kryptographie-Konzepte als Geschäftsleiterpflicht)

Für wichtige und besonders wichtige Einrichtungen nach dem NIS-2-Umsetzungsgesetz schreibt der Maßnahmenkatalog ausdrücklich Konzepte und Verfahren für den Einsatz von Kryptographie und Verschlüsselung vor – verbunden mit persönlicher Haftung der Geschäftsleitung bei schuldhafter Pflichtverletzung. Ein modernes Kryptographie-Konzept muss heute zwingend zwei Säulen nachweisen: 1. Ein vollständiges Kryptographisches Inventar (Cryptographic Bill of Materials / CBOM). 2. Krypto-Agilität (Crypto-Agility) sowie einen verbindlichen, budgetierten Post-Quanten-Migrationsfahrplan bis 2031.

4. Protokollspezifische Maßnahmen: TLS (TR-02102-2), IPsec/IKEv2 (TR-02102-3) und SSH (TR-02102-4)

Die Umstellung auf hybride Post-Quanten-Kryptographie greift tief in die Netzwerk- und Transportprotokolle ein. Beachten Sie bei Ihrer Architekturplanung die spezifischen Vorgaben der Teilrichtlinien:

1. TLS 1.3 gemäß BSI TR-02102-2

• TLS 1.2 konsequent ablösen: Hybride PQC-Schlüsselaushandlung wird in der Praxis ausschließlich für TLS 1.3 standardisiert und unterstützt.
• Hybride Named Groups aktivieren: Aktualisieren Sie Load-Balancer, Reverse-Proxies (NGINX, Envoy, HAProxy) und OpenSSL-Stacks (OpenSSL ≥ 3.5 / OQS-Provider) auf hybride KeyShares wie SecP256r1MLKEM768, SecP384r1MLKEM1024 oder FrodoKEM-Hybride.
• MTU- und Handshake-Größen testen: Da PQC-Schlüssel und -Chiffrate größer sind als klassische ECDHE-Pakete, überschreitet das ClientHello / ServerHello häufig eine einzelne TCP-MTU (1.500 Byte). Prüfen Sie Firewalls und Middleboxes auf fehlerhafte Paketverwerfung bei fragmentierten TLS-Handshakes.

2. IPsec und IKEv2 gemäß BSI TR-02102-3

Standortvernetzungen (Site-to-Site-VPNs) zwischen Rechenzentren und Cloud-VPCs sind das primäre Ziel von „Harvest Now, Decrypt Later“-Angriffen. - RFC 9370 (Multiple Key Exchanges in IKEv2) implementieren: Da klassische IKEv2-Pakete ohne Fragmentierung schnell an UDP-Grenzen stoßen, definiert RFC 9370 in Verbindung mit RFC 9242 (Intermediate Exchange) das Nachschalten von bis zu sieben zusätzlichen Schlüsselaustauschen (Additional Key Exchange, AKE1–AKE7) nach dem initialen IKE_SA_INIT. - VPN-Gateways evaluieren: Prüfen Sie bei Ihren Firewall- und VPN-Herstellern (z. B. strongSwan, genua, Rohde & Schwarz Cybersecurity, Cisco, Fortinet, Palo Alto), ob IKEv2 Fragmentation (RFC 7383) und Multiple Key Exchanges (RFC 9370) mit ML-KEM oder FrodoKEM in produktiven Firmware-Releases unterstützt werden.

3. Secure Shell (SSH) gemäß BSI TR-02102-4

Administrativer Fernzugriff auf Linux-Server, Netzwerkkomponenten und CI/CD-Infrastrukturen erfordert einen sofortigen Schutz gegen aufgezeichnete Sessions: - OpenSSH ab Version 9.9 / 10.x einsetzen: Neuere OpenSSH-Versionen unterstützen standardmäßig hybride Post-Quanten-Schlüsselaustauschverfahren wie mlkem768x25519-sha256 (sowie sntrup761x25519-sha512). - sshd_config und ssh_config härten: Priorisieren Sie in der KexAlgorithms-Direktive hybride Verfahren vor rein klassischen Diffie-Hellman-Gruppen (diffie-hellman-group14-sha256 entfernen!) und bereiten Sie für Host- und User-Keys einen schrittweisen Übergang auf PQC-fähige Zertifikats-Authorities vor.

5. Der 4-Phasen-Migrationsplan (2026–2031) für Unternehmen

1. Phase 1 – Discovery & Krypto-Inventar (2026–2027): Erfassung aller externen und internen Endpunkte, Zertifikate, HSMs, VPN-Strecken, Datenbanken und Quellcode-Abhängigkeiten (CBOM). Klassifikation nach Schutzbedarf und Lebensdauer der verarbeiteten Daten.
2. Phase 2 – Krypto-Agilität & Pilotierung (2027–2028): Beseitigung hartcodierter Algorithmen und fester Schlüsselgrößen in Eigenentwicklungen; Aktivierung hybrider PQC-Schlüsselaushandlung auf Edge-Load-Balancern, Site-to-Site-IPsec-Tunneln und SSH-Bastion-Hosts.
3. Phase 3 – Rollout & PKI-/HSM-Modernisierung (2028–2030): Firmware-Upgrades für Hardware Security Modules (HSMs) auf FIPS-203/204/205- und BSI-TR-02102-konforme Module; Einführung hybrider interner PKI-Hierarchien.
4. Phase 4 – Vollständige Abschaltung rein klassischer Public-Key-Verschlüsselung (bis Q4 2030 / 2031): Durchsetzung strenger Richtlinien, die Verbindungen ohne PQC-Hybridanteil ablehnen; lückenloser Audit-Nachweis für DSGVO und NIS-2.