Quantenresistente Verschlüsselung: zukunftssichere Dateisicherheit

Quantenresistente Verschlüsselung schützt Dateien vor Angreifern, die über einen kryptografisch relevanten Quantencomputer verfügen — einen, der Shor's Algorithmus schnell genug ausführen kann, um RSA-2048 oder ECDH P-256 in Stunden zu brechen. NIST hat im August 2024 drei Post-Quanten-Standards finalisiert: ML-KEM (FIPS 203, früher Kyber) für Key Encapsulation, ML-DSA (FIPS 204, früher Dilithium) für Signaturen und SLH-DSA (FIPS 205, früher SPHINCS+) für hashbasierte Signaturen. Für Dateiübertragungen ist der praktische Weg 2026 hybrid: X25519-MLKEM-768 für den Schlüsselaustausch, AES-256-GCM für die Massenverschlüsselung — symmetrische Verfahren verlieren durch Grover's Algorithmus nur die Hälfte ihrer Bit-Stärke.

Warum symmetrische Verschlüsselung weitgehend sicher bleibt

Grover's Algorithmus halbiert die effektive Schlüssellänge symmetrischer Verfahren — AES-256 fällt auf 128 Bit Quantensicherheit, AES-128 auf 64 Bit und wird damit angreifbar. Die Abhilfe ist einfach: überall AES-256 verwenden. ChaCha20-Poly1305 übersteht ähnliches mit 128-Bit-Post-Quanten-Sicherheit. Hash-Funktionen sind noch besser aufgestellt; SHA-256 behält 128 Bit Kollisionsresistenz, SHA-384 behält 192. Der Himmel fällt nicht bei symmetrischer Kryptografie ein. Jedes seriöse Dateiübertragungstool verwendet bereits AES-256-GCM; auf dieser Seite muss nichts geändert werden.

Wo die eigentliche Gefahr liegt: Schlüsselaustausch und Signaturen

Die asymmetrischen Primitiven sind das Problem. RSA-Faktorisierung und elliptische Kurven-Diskrete-Logarithmen unterliegen beide Shor's Algorithmus, der etwa 4.000 logische Qubits benötigt, um RSA-2048 zu brechen. IBMs Kookaburra hat 2025 4.158 physische Qubits; sobald die Fehlerkorrektur ausgereift ist (laut NIST-Zeitplan voraussichtlich 2030-2035), wird der Angriff praktikabel. Jede TLS-1.3-Sitzung verwendet heute ECDH oder X25519 für den Schlüsselaustausch — dort setzt der Quantenangriff an. Dateien, die Sie 2026 übertragen, könnten 2035 von einem Angreifer entschlüsselt werden, der den Ciphertext gespeichert hat. „Harvest now, decrypt later" ist nicht hypothetisch; NSA-Dokumente von 2013 beschreiben diese Strategie.

ML-KEM: das neue Arbeitspferd für den Schlüsselaustausch

ML-KEM (Module-Lattice Key Encapsulation Mechanism) ist NISTes gewählter Post-Quanten-Schlüsselaustausch, standardisiert als FIPS 203. Drei Parametersätze: ML-KEM-512 (128-Bit-Quantensicherheit), ML-KEM-768 (192-Bit) und ML-KEM-1024 (256-Bit). Öffentliche Schlüssel sind 800–1.568 Bytes, Ciphertexts 768–1.568 Bytes — groß im Vergleich zu X25519's 32 Bytes, aber noch handhabbar. Chrome 131 lieferte Ende 2024 standardmäßig hybrides X25519-MLKEM-768. Cloudflare aktivierte es im Dezember 2024 auf allen Endpunkten. Wenn Ihr Dateiübertragungsdienst hinter Cloudflare läuft, ist Ihr TLS-1.3-Handshake bereits quantensicher geschützt.

ML-DSA für Authentizität

ML-DSA (Module-Lattice Digital Signature Algorithm), FIPS 204, ersetzt ECDSA und Ed25519 für Signaturen. Parametersätze ML-DSA-44 (128-Bit), ML-DSA-65 (192-Bit), ML-DSA-87 (256-Bit). Signaturen sind 2.420 bis 4.595 Bytes — verglichen mit Ed25519's 64 Bytes. Bei Dateiübertragungen sind Signaturen an zwei Stellen relevant: Authentifizierung des TLS-Serverzertifikats und Signierung von Audit-Log-Einträgen für Nicht-Abstreitbarkeit. Let's Encrypt und DigiCert planen beide ML-DSA-Zertifikatsausstellung für 2026–2027. Bis dahin überbrücken hybride Zertifikate mit Ed25519 und ML-DSA-Signaturen die Lücke.

SLH-DSA als konservative Absicherung

SLH-DSA (FIPS 205, früher SPHINCS+) ist hashbasiert und hängt nur von der Sicherheit von SHA-256 oder SHAKE ab — keine neuartigen mathematischen Annahmen. Das ist der Algorithmus, den Sie wählen, wenn Sie Gittern misstrauen. Signaturen sind deutlich größer (7.856 bis 49.856 Bytes) und langsamer zu berechnen, doch das Sicherheitsargument ist wasserdicht. Für langfristige Audit-Logs, deren Signaturen noch 2050 vertrauenswürdig sein sollen, ist SLH-DSA die Absicherung. Für jeden 30-sekündigen Dateitransfer ist es überdimensioniert.

Hybride Verfahren: Gürtel und Hosenträger

Rein Post-Quanten-Deployment ist riskant, weil ML-KEM neu ist — die Kryptanalyse wird weitergehen. Der Branchenkonsens, kodifiziert in NIST SP 800-227 (Entwurf 2024), ist hybrid: klassische und Post-Quanten-Algorithmen parallel ausführen, die abgeleiteten Secrets per XOR kombinieren. Ein Angreifer muss beide brechen, um zu entschlüsseln. X25519-MLKEM-768 ist der aktuelle Standard für TLS; RSA-3072 + ML-KEM-768 für eingeschränkte Umgebungen. Für Dateiverschlüsselung im Ruhezustand können Sie den AES-256-Dateischlüssel unter einem X25519- und einem ML-KEM-öffentlichen Schlüssel verschlüsseln und beide Ciphertexts speichern.

Migrationspfade für bestehende Systeme

Das Crypto-Agilitätsproblem ist real. Die meisten Dateiübertragungs-Codebasen hardcoden Algorithmusnamen in Konfigurationen und Struct-Definitionen. Refaktorieren Sie zu OIDs und pluggbaren Providern, damit der Wechsel von ECDH zu ML-KEM eine Konfigurationsänderung ist, kein Rewrite. Das NCSC (UK) empfiehlt, die Bestandsaufnahme bis Ende 2026, den Hybrid-Rollout bis 2028 und die vollständige Post-Quanten-Migration bis 2031 abzuschließen. CNSA 2.0 (US National Security Systems) schreibt ML-KEM und ML-DSA in neuen Systemen bis 2027 und überall bis 2033 vor. Ihr Dateiübertragungsanbieter sollte eine PQC-Roadmap veröffentlichen; falls er sie bis 2026 nicht erwähnt hat, fragen Sie nach.

Schlüsselgrößen, Bandbreite und das Mobile-Szenario

ML-KEM-768 fügt pro TLS-Handshake im Vergleich zu X25519 etwa 2,3 KB hinzu. Auf einer 5G-Verbindung sind das 2 ms Latenz, kaum spürbar. Auf einem Satellitennetz mit 600 ms RTT merklich, aber tolerierbar. Für eine 10-GB-Dateiübertragung, die ohnehin Minuten dauert, ist der Overhead vernachlässigbar. Problematisch sind Dienste mit hoher Verbindungsanzahl (ein CDN-Ursprung, der 10.000 Handshakes/Sekunde verarbeitet), wo der Speicher-Overhead skaliert. HexaTransfer und ähnliche Dienste, die hinter Cloudflare laufen, verlagern diesen Aufwand an die Edge.

Digitale Signaturen für Jahrzehnte

Der wirklich interessante Fall sind digitale Signaturen auf Dateien, die noch 2060 verifizierbar sein sollen. Ein .pdf-Vertrag, der 2026 mit Ed25519 signiert wurde, könnte 2040 nicht mehr verifizierbar (oder fälschbar) sein. Option eins: regelmäßiges Nachsignieren mit dem jeweils aktuellen Algorithmus. Option zwei: heute mit SLH-DSA signieren und der Langlebigkeit von SHA-256 vertrauen. Option drei: die Signatur auf einer Blockchain zeitstempeln (OpenTimestamps verankert auf Bitcoin), damit zumindest Existenz und Datum kryptografisch gesichert sind, selbst wenn der Signaturalgorithmus fällt. Archivierungstaugliches Signieren ist das Feld, wo Post-Quanten-Denken am meisten zählt.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.