Post-Quanten-Verschlüsselung in VPNs: Harvest-Now-Risiko, ML-KEM und hybride Handshakes

Post-Quanten-Verschlüsselung ersetzt den Schlüsselaustausch am Anfang eines VPN-Tunnels durch Mathematik, die ein Quantencomputer nicht abkürzen kann, während die Verschlüsselung der Pakete unverändert bleibt. Der Nutzen ist eng gefasst: Ein Angreifer, der heute Ihren Traffic mitschneidet und später Shors Algorithmus darauf anwendet, soll am Ende nichts in der Hand haben.

Warum heute aufgezeichneter Traffic das eigentliche Ziel ist

Keine Quantenmaschine kann derzeit einen Diffie-Hellman- oder RSA-Austausch brechen. Ein Angreifer mit billigem Speicher braucht das auch noch nicht: Er zeichnet verschlüsselte Sitzungen auf, speichert sie, und sobald Hardware verfügbar ist, die Shors Algorithmus auf X25519 oder RSA anwendet, holt er den Sitzungsschlüssel und liest alles mit. Die NIST-Schätzungen von Experten für eine solche Maschine reichen laut NIST von wenigen Jahren bis zu wenigen Jahrzehnten, und neue Kryptografie hat historisch 10 bis 20 Jahre gebraucht, um in Produkte einzuziehen. Diese Lücke ist der Grund, warum die Migration beginnt, bevor die Hardware existiert. Sind Ihre Daten in einem Monat wertlos, können Sie das alles ignorieren; bei einer Quelle oder einer juristischen Akte zählt es.

Der handshake ändert sich, die Verschlüsselung bleibt

Eine VPN-Verbindung hat zwei bewegliche Teile: einen Public-Key-Austausch, der ein Sitzungsgeheimnis vereinbart, und die symmetrische Verschlüsselung des Traffics mit AES-256-GCM oder ChaCha20 darauf aufbauend. Quantenangriffe treffen den ersten Teil hart und den zweiten kaum: Grovers Algorithmus schwächt einen 256-Bit-Schlüssel höchstens um die Hälfte, was das britische NCSC für tolerierbar hält, und SHA-256 bleibt ebenfalls. Nur die Schlüsselvereinbarung wird also ersetzt. Signaturen und Zertifikate, die die Identität des Servers belegen, können später folgen: Eine Fälschung erfordert einen Quantencomputer im Moment der Verbindung, und alte Aufzeichnungen helfen dabei nicht.

ML-KEM und warum VPNs es als Hybrid einsetzen

Das NIST hat ML-KEM (abgeleitet aus CRYSTALS-Kyber) im Dokument FIPS 203 standardisiert, final seit 13. August 2024, mit den Parametern ML-KEM-512, ML-KEM-768 und ML-KEM-1024. Es ist ein Key-Encapsulation-Mechanismus: Die eine Seite veröffentlicht einen Encapsulation-Key, die andere verpackt ein zufälliges Geheimnis in einen Ciphertext, und nur der Inhaber des privaten Schlüssels kann es entpacken. Der öffentliche Schlüssel von ML-KEM-768 ist 1.184 Bytes groß, gegenüber 32 Bytes bei X25519, der handshake wächst also; Datenpakete nicht. Das NCSC empfiehlt ML-KEM-768 für die meisten Einsatzzwecke.

Sorgfältige VPN- und TLS-Implementierungen kombinieren ML-KEM mit X25519: Beide Austausche laufen, und der Sitzungsschlüssel wird aus beiden Ergebnissen abgeleitet, sodass ein Angreifer beide Verfahren brechen müsste. Der Grund ist Demut vor neuer Mathematik: SIKE, ein Post-Quanten-Kandidat, fiel 2022 einem klassischen Angriff zum Opfer, und in Googles früherem hybriden TLS-Test bewahrte die X25519-Schicht die Daten.

Einbau in WireGuard, OpenVPN und IKEv2

WireGuards eigener Noise_IKpsk2-handshake läuft auf Curve25519 und bleibt bewusst klein. Rosenpass, ein kostenloses Open-Source-Tool in Rust, führt einen eigenen Austausch mit Classic McEliece und Kyber durch, speist das Ergebnis in den PSK-Slot und erneuert es alle zwei Minuten; laut Projekt ist die Kombination nicht schwächer als WireGuard allein. Ein Haken bei Anbieter-Apps: Der Post-Quanten-Schritt steckt oft im eigenen Client, sodass eine exportierte Konfigurationsdatei für einen Router ihn verliert, sofern Sie nicht selbst einen PSK setzen.

Was ein Post-Quanten-Tunnel weiterhin offenlässt

Sitzungen, die vor der Aktivierung der Funktion aufgezeichnet wurden, bleiben so exponiert wie eh und je. Ihr Internetanbieter sieht weiterhin, dass Ihre IP-Adresse mit dem VPN-Server kommuniziert, sowie die Zeitpunkte und das Datenvolumen. Ein Anbieter mit logs, malware auf Ihrem Gerät und das TLS der Website jenseits des Exit-Servers liegen alle außerhalb der Reichweite dieser Schicht.

Wie man ein „quantum-safe“-Siegel liest

Eine brauchbare Aussage nennt den Algorithmus (ML-KEM-768, Kyber, Classic McEliece), gibt an, ob das Verfahren hybrid und standardmäßig aktiviert ist, und nennt die abgedeckten Protokolle. Ein Satz, der nur AES-256 lobt, sagt nichts, denn diese Verschlüsselung war nie die Schwachstelle. Im VPNRadarLab-Hauptranking von 371 Diensten geben 12 an, Post-Quanten-Verschlüsselung anzubieten, 8 geben an, es nicht anzubieten, und 357 veröffentlichen dazu nichts (was „nicht veröffentlicht“ heißt, nicht „nein“); die Dienste mit angegebener Post-Quanten-Schutzfunktion, im Ranking sind auf einer eigenen Seite aufgeführt.

FAQ

Soll ich die Post-Quanten-Verschlüsselung in meiner VPN-App aktivieren?

Ja, sofern nichts kaputtgeht. Sie schützt nur Sitzungen, die nach der Aktivierung beginnen.

Verlangsamt der Post-Quanten-Schlüsselaustausch die Verbindung?

Nur der handshake trägt zusätzliche Bytes. Der Durchsatz ändert sich nicht.

Ist Post-Quanten-Verschlüsselung dasselbe wie Quantenkryptografie?

Nein. Quantum Key Distribution beruht auf Physik und spezieller Hardware; PQC ist gewöhnliche Mathematik auf gewöhnlichen Computern.

Post-Quanten-VPN-Verschlüsselung in wenigen Sätzen

Die Bedrohung ist eine Jahre später entschlüsselte Aufzeichnung. Die Lösung ist ein hybrider X25519-plus-ML-KEM-handshake. Metadaten, logs und malware bleiben außerhalb ihrer Reichweite.