Ein Sicherheitsingenieur eines mittelständischen Unternehmens öffnet das Dashboard seiner Cloud-Umgebung und liest die neuesten Sicherheitsupdates. Er stößt auf eine unscheinbare Ankündigung mit weitreichenden Folgen: Google Cloud will seine gesamte Infrastruktur bis 2029 auf quantenresistente Kryptographie umstellen. Die Roadmap dazu ist jetzt veröffentlicht – ein Signal, wie ernst die Bedrohung durch künftige Quantencomputer genommen wird.
Heutige Verschlüsselung könnte in zehn oder fünfzehn Jahren wertlos sein. Ein Quantencomputer mit ausreichender Leistung würde die mathematischen Grundlagen aktueller Verfahren aushebeln. Google arbeitet seit einem Jahrzehnt daran, diese Bedrohung zu entschärfen. Nun liegt ein konkreter Fahrplan vor. Du musst nicht warten, bis es zu spät ist. Die Migration beginnt jetzt – und du kannst dich beteiligen.
Die Bedrohung: Was ist Post-Quanten-Kryptographie?
Deine Haustür hat ein Schloss, das bisher als unknackbar gilt. Ein Dieb entwickelt ein Werkzeug, das es in Sekunden öffnet – spurlos. Genau das droht der heutigen Verschlüsselung durch einen kryptografisch relevanten Quantencomputer. Die Algorithmen, die heute Daten schützen – RSA oder ECC – basieren auf mathematischen Problemen, die klassische Computer kaum lösen. Ein Quantencomputer nutzt die Gesetze der Quantenmechanik, um diese Probleme in überschaubarer Zeit zu knacken.
Post-Quanten-Kryptographie (PQC) umfasst neue Verfahren, die auch Quantenangriffen standhalten. Sie beruhen auf anderen mathematischen Strukturen, die selbst für Quantenrechner schwer zu durchbrechen sind. Die US-amerikanische Standardisierungsbehörde NIST hat mehrere Algorithmen verabschiedet: ML-KEM für Schlüsselaustausch, ML-DSA und SLH-DSA für Signaturen. Das ist keine Zukunftsmusik mehr. Die Verfahren werden bereits in Produkten eingesetzt – auch bei Google Cloud.
Nur: Die Umstellung dauert Jahre. Kein Schalter, der alle Systeme auf neue Algorithmen umlegt. Es braucht durchdachte Migrationen, Tests, Übergangsstrategien. Google Cloud hat eine Roadmap veröffentlicht, die Schritt für Schritt zeigt, wann welche Dienste auf PQC umgestellt werden.
Drei Verteidigungslinien: Die Strategie von Google Cloud
Google gliedert seine Sicherheitsstrategie in drei Bereiche. Der erste heißt „Store Now, Decrypt Later“ (SNDL): Ein Angreifer fängt heute verschlüsselte Daten ab und speichert sie, um sie später mit einem Quantencomputer zu entschlüsseln. Das betrifft vor allem asymmetrische Verschlüsselung bei TLS-Verbindungen und Datenübertragung. Die zweite Verteidigungslinie betrifft Integrität und Nichtabstreitbarkeit: Digitale Signaturen müssen so gestärkt werden, dass ein Quantencomputer sie nicht fälschen kann. Die dritte Linie sind die Grundlagen: kryptografische Agilität und Schlüsselverwaltung.
Diese drei Bereiche greifen ineinander. Du baust heute sichere Verbindungen auf – ML-KEM kommt ins Spiel. Du lieferst Software aus – du brauchst quantensichere Signaturen. Du verwaltest Schlüssel – das System muss flexibel genug sein, um auf neue Algorithmen umzusteigen. Google hat für jeden Bereich konkrete Meilensteine festgelegt, die bis 2027 beziehungsweise 2028 erreicht sein sollen.
Kryptografische Agilität ist zentral. Die IT-Welt hat aus Fehlern gelernt: Wird ein Algorithmus gebrochen, muss man schnell auf Alternativen wechseln. Google setzt auf modulare Systeme, in denen kryptografische Bausteine austauschbar sind. Das ist wie bei einem Leitungssystem, bei dem du einzelne Rohre austauschst, ohne das Gebäude abzureißen.
Der Zeitplan: Was passiert bis 2026 und darüber hinaus?
Die meisten Dienste sollen bis Ende 2027 die SNDL-Mitigation abgeschlossen haben. Einige Meilensteine sind bereits erreicht: Die API-Endpunkte von Google Cloud – google.com und .googleapis.com – unterstützen jetzt ML-KEM in hybriden Modi. Eingehende Verbindungen sind gegen zukünftige Quantenangriffe geschützt. Auch die Application- und Proxy-Load-Balancer bieten quantensicheren Schlüsselaustausch per X25519MLKEM768 – zunächst als Opt-in, damit Kunden die Migration testen können.
Bis 2026 folgen weitere Komponenten. Cloud VPN, Cloud Interconnect, Google Compute Engine OS Login, Cloud SDK und die gcloud CLI werden auf quantensichere Algorithmen umgestellt. Auch Datenpipelines wie Cloud Storage SDK, Storage Transfer Service und BigQuery CLI sind geplant. Ziel: den Datenfluss für Administratoren und Entwickler vollständig abzusichern.
Die Migration endet nicht 2026. Für Integrität und Signaturprüfung hat Google bis 2028 Zeit. Es geht um die Absicherung der Software-Lieferkette: Dienste wie Binary Authorization, Cloud Build und Assured Open Source Software sollen nur noch signierte, unveränderte Software ausführen. Google plant außerdem Merkle-Tree-Zertifikate, um die großen Signaturgrößen der PQC-Verfahren zu bewältigen. Hier arbeitet Google eng mit dem IETF zusammen – die Standards sind noch nicht fertig.
Bis 2029 soll die gesamte Cloud-Infrastruktur PQC-fest sein. Danach geht es weiter: Die Branche erwartet, dass die alten Algorithmen zwischen 2030 und 2035 endgültig abgeschaltet werden – gemäß CNSA 2.0 und NIST IR 8547. Die Umstellung ist kein einmaliges Projekt. Sie erstreckt sich über das kommende Jahrzehnt.
Was bedeutet das für deine Cloud-Workloads?
Nutzt du Google Cloud, fragst du dich: „Muss ich etwas tun?“ Ja, aber du hast Zeit. Die Infrastrukturebene schützt dich bereits automatisch: API-Endpunkte und Load-Balancer, die PQC unterstützen, sichern deine Verbindungen – ohne dein Zutun. Für tiefere Absicherung, etwa bei der Verwaltung deiner Ressourcen, solltest du aktiv werden.
Eine einfache Maßnahme: Verwende die neuesten Client-Versionen und SDKs. Google integriert PQC in Bibliotheken wie Tink und BoringSSL. Hältst du diese aktuell, erhältst du automatisch die neuen Verschlüsselungsmechanismen. Bei Cloud KMS sind die NIST-standardisierten Algorithmen ML-KEM, ML-DSA und SLH-DSA bereits allgemein verfügbar. Du kannst also schon jetzt Schlüssel mit diesen Verfahren erzeugen. Der Import externer Schlüssel (BYOK) folgt 2026.
Überprüfe deine eigenen Sicherheitsrichtlinien. Nutzt du digitale Signaturen für CI/CD-Pipelines, prüfe, ob die Zertifikate später auf PQC umgestellt werden können. Google bietet mit Binary Authorization bereits Ansätze, um nur signierte Images zuzulassen – diese Funktionen werden bis 2026 auf PQC umgestellt. Es ist sinnvoll, sich mit den neuen Algorithmen vertraut zu machen und Testumgebungen einzurichten, um den Wechsel zu üben.
Selbst ohne kritische Daten in der Cloud lohnt die Vorbereitung. Die Umstellung kommt nicht über Nacht, aber sie kommt. Wer sich früh damit beschäftigt, vermeidet späteren Stress – und schützt seine Daten von Anfang an.
Ein gemeinsamer Weg: Verantwortung teilen
Quantensicherheit schultert kein einzelnes Unternehmen allein. Google betont: Sicherheit war immer eine gemeinsame Verantwortung von Anbieter und Kunde. Der Anbieter kümmert sich um Infrastruktur – Server, Netzwerke, globale Front-Ends, das interne Protokoll ALTS. Du als Kunde bist verantwortlich für die Anwendungen, die du in die Cloud stellst, und für die Konfiguration deiner Umgebung. Du musst die neuen Standards in deinem eigenen Code und deinen Prozessen implementieren.
Google arbeitet mit Partnern an Lösungen für Sovereign Clouds – etwa Google Cloud Dedicated und Google Distributed Cloud. Diese richten sich an Unternehmen mit strengen regulatorischen Anforderungen, etwa im öffentlichen Sektor oder Gesundheitswesen. PQC ist dort besonders wichtig, weil Daten über lange Zeit geschützt bleiben müssen.
Für dich heißt das: Überlege, welche Daten besonders schützenswert sind und wie lange sie relevant bleiben. Speicherst du medizinische Daten oder geistiges Eigentum, das in 20 Jahren noch geschützt sein muss, ist PQC kein Nice-to-have, sondern ein Muss. Die Roadmap von Google Cloud liefert den Zeitplan.
Niemand weiß genau, wann ein leistungsfähiger Quantencomputer gebaut wird. Wir wissen, dass die Umrüstung der bestehenden Infrastruktur dauern wird. Deshalb ist es klug, jetzt zu handeln – aus Weitsicht, nicht aus Panik. Die Werkzeuge sind da, die Standards sind gesetzt, die Cloud-Anbieter zeigen den Weg. Du musst nur mitgehen.
Quelle: cloud.google.com
