Trump-Order setzt 2030-Frist für Post-Quanten-Krypto-Migration

Präsident Trump hat mit der Executive Order 14409 eine beschleunigte Migration zu Post-Quanten-Kryptografie (PQC) angeordnet. Die Frist für den Schlüsselaustausch (Key Establishment) wurde auf den 31. Dezember 2030 vorgezogen, für digitale Signaturen auf den 31. Dezember 2031. Bisheriges Ziel war 2035. Grund ist die wachsende Gefahr von Harvest-now-decrypt-later-Angriffen: Gegner sammeln heute verschlüsselte Daten, um sie später mit Quantencomputern zu entschlüsseln.

Meldung und Einordnung

Am 22. Juni 2026 veröffentlichte The Hacker News einen detaillierten Bericht über die Executive Order 14409. Die Anordnung betrifft alle US-Bundesbehörden für ihre High-Value Assets und High-Impact Systems. Das NIST pilotiert die eigene Migration bereits bis zum 31. Dezember 2027. Die CISA unterstützt kritische Infrastruktur bei Migrationsplänen. Das OMB erlässt Richtlinien innerhalb von 90 Tagen. Der FAR Council schlägt Regeln für Auftragnehmer vor (180 beziehungsweise 270 Tage). Sector Risk Management Agencies helfen der kritischen Infrastruktur. Nationale Sicherheitssysteme haben einen separaten Fahrplan.

Die Executive Order ist ein bedeutender Schritt, weil sie die Frist um vier bis fünf Jahre gegenüber dem bisherigen Ziel (NSM 10/2022) vorgezogen hat. Die Botschaft ist klar: Die Bedrohung durch Quantencomputer wird ernster genommen als noch vor wenigen Jahren.

Technische Details für Admins

Betroffen sind folgende NIST-PQC-Verfahren:

Alle nicht-NIST-PQC-konformen Verfahren müssen ersetzt werden. Die größte Herausforderung ist nicht der Algorithmus selbst, sondern das Wissen, wo Krypto überall steckt. Die Hürde ist das Wissen, wo Krypto überall steckt, wie der Artikel treffend formuliert.

Auswirkungen auf Unternehmen

Die Executive Order hat weitreichende Auswirkungen über die US-Bundesbehörden hinaus:

1. Covered Contractors (Bundesauftragnehmer): Müssen bis 31. Dezember 2030 NIST-FIPS inklusive PQC erfüllen. Das betrifft auch deutsche Unternehmen, die für US-Behörden arbeiten.
2. FAR-Regel 1 (180 Tage): Vorschlag für PQC-Pflicht bei Auftragnehmern.
3. FAR-Regel 2 (270 Tage): Krypto-Schwachstellen in Vulnerability-Disclosure-Programme aufnehmen.
4. Kritische Infrastruktur: CISA und SRMA helfen bei Migrationsplänen (freiwillig, kein Mandat).
5. CBOM (Cryptographic Bill of Materials): CISA und NIST veröffentlichen Mindestanforderungen in 270 Tagen – Grundlage für Crypto-Agility.

Was Admins jetzt prüfen sollten

1. Krypto-Inventur sofort starten: Finden Sie jede Stelle, wo Schlüsselaustausch und Signaturen laufen. TLS-Zertifikate, VPNs, E-Mail-Verschlüsselung, Code-Signing, Dokumenten-Signaturen – alles muss erfasst werden.
2. Prüfen: Welche Verfahren sind nicht NIST-PQC-konform? Erstellen Sie eine Liste aller verwendeten kryptografischen Verfahren und prüfen Sie diese gegen die FIPS 203/204/205-Standards.
3. Migrieren planen: Austausch gegen FIPS 203/204/205 planen, terminiert auf 2030/2031. Beginnen Sie mit den kritischsten Systemen.
4. Crypto-Agility aufbauen: CBOM einführen, um Krypto-Assets maschinenlesbar zu erfassen. Nur wer weiß, wo Krypto steckt, kann sie rechtzeitig migrieren.
5. Verträge checken: FAR-Klausel mit 2030-Compliance-Linie erwarten. Wenn Ihr Unternehmen für US-Behörden arbeitet, werden Sie bald PQC-Nachweise erbringen müssen.

Betriebscheck nach der Meldung

1. Habe ich eine vollständige Krypto-Inventur meiner Systeme durchgeführt?
2. Weiß ich, welche kryptografischen Verfahren wo eingesetzt werden?
3. Sind meine Systeme auf PQC-Migration vorbereitet?
4. Habe ich einen Migrationsplan für 2030/2031?
5. Bin ich als Bundesauftragnehmer von der FAR-Regel betroffen?
6. Habe ich Crypto-Agility in meiner IT-Strategie verankert?

Admin-Einschätzung

Die Executive Order 14409 ist ein Weckruf für die gesamte IT-Branche. Die vorgezogene Frist von 2035 auf 2030 zeigt, dass die Bedrohung durch Quantencomputer ernster genommen wird. Für Admins bedeutet dies: Die Migration zu PQC ist keine theoretische Übung mehr, sondern eine konkrete Aufgabe mit Deadlines.

Die größte Herausforderung wird die Krypto-Inventur sein. In vielen Unternehmen ist nicht dokumentiert, welche kryptografischen Verfahren wo eingesetzt werden. TLS-Zertifikate, VPNs, E-Mail-Verschlüsselung, Code-Signing, Dokumenten-Signaturen – die Liste ist lang. Ohne eine vollständige Inventur ist eine geordnete Migration nicht möglich. Der Aufbau von Crypto-Agility sollte daher prioritär behandelt werden.

Passende Anleitungen auf S-EDV

1. TLS/SSL-Zertifikate verwalten: Leitfaden für Admins – Grundlagen für die Zertifikatsverwaltung.
2. VPN sicher konfigurieren: Leitfaden für Unternehmen – Sichere VPN-Konfiguration als Teil der Krypto-Strategie.

Quellen

1. The Hacker News: Trump Order Sets 2030 Deadline for Federal Post-Quantum Crypto Migration
2. NIST: Post-Quantum Cryptography
3. CISA: Post-Quantum Cryptography Initiative