Streit um Post-Quantum-Schlüsselverfahren: Mit oder ohne Sicherheitsgurt?

Google-Kryptografin Sophie Schmieg erklärt im Interview die IETF-Debatte um reines ML-KEM und warum sie meint, dass das Verfahren spezifiziert werden sollte.

(Bild: wk1003mike/ Shutterstock.com/ heise medien)

31.07.2026,

09:00

Uhr

Lesezeit: 8 Min.

Von

  1. Streit um Post-Quantum-Schlüsselverfahren: Mit oder ohne Sicherheitsgurt?

  2. Kein Platz für eine Hintertür

Ein Streit um eine reine Post-Quanten-Verschlüsselung hat die Internet Engineering Task Force (IETF) so sehr erschüttert, dass sie ihre Entscheidungsverfahren überdenken will. Inhaltlich ging es bei der Debatte um einen vom US-Geheimdienst NSA vorgeschlagenen reinen „Module Lattice Key Encapsulation Mechanism“ (ML-KEM) für TLS, also um ein Verfahren zur Aushandlung von Schlüsseln für die Transportverschlüsselung im Internet, das auch Quantencomputer nicht knacken können.

Dagegen hatte insbesondere der bekannte Kryptologe Daniel J. Bernstein massiv Stimmung gemacht. Da dieses Post-Quanten-Verfahren noch zu wenig geprüft sei, brauche es zwingend den „Sicherheitsgurt“ eines klassischen Verfahrens. Sollte das PQC-Verfahren geknackt werden, so schützt das klassische noch die Kommunikation. Nach einer ausufernden Diskussion stellte die Arbeitsgruppenleitung Mitte Juli den im IETF-Workflow wichtigen „groben Konsens“ zur Annahme des Pure-ML-KEM-Vorschlags fest. Nun kann aus dem Entwurf ein sogenannter Request for Comments (RFC) der IETF werden.

Im Gespräch am Rande der IETF in Wien erläutert Sophie Schmieg, promovierte Kryptografin und Lead Information Security Engineer bei Google, warum auch sie den „Sicherheitsgurt“ bevorzugt und dennoch die Annahme der Spezifikation in der IETF für richtig – und ungefährlich – hält.

Das war die Leseprobe unseres heise-Plus-Artikels "Streit um Post-Quantum-Schlüsselverfahren: Mit oder ohne Sicherheitsgurt?". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.