← Alle Beiträge
· Claus Lindemann

PQC-Sommer-Sprint: Rückschau – was die 10 Quick Wins zusammen bewirken

PQC-MigrationQuick WinsKrypto-AgilitätAwarenessKMU

PQC-Sommer-Sprint: Rückschau – was die 10 Quick Wins zusammen bewirken

Zehn Wochen, zehn Quick Wins. Was sich zu Beginn des Sprints noch nach einer langen Strecke anfühlte, hat in seiner Summe einen Effekt, den man am ehrlichsten an einer einfachen Frage misst: Wenn jemand heute fragen würde, was in Ihrem Unternehmen kryptografisch passiert und wie weit Sie auf PQC vorbereitet sind – könnten Sie es beantworten? Wer am 1. Juni gestartet ist und alle Quick Wins durchgezogen hat, kann das. Diese Rückschau bilanziert, was das wirklich bedeutet.

Was nach zehn Wochen steht

Die zentrale Lieferleistung des Sprints ist nicht eine einzelne große Maßnahme, sondern ein zusammenhängendes Bild:

  • Sie haben eine Karte: Krypto-Inventur Light (Q1) und PKI-Bestandsaufnahme (Q9) zeigen, was im Haus läuft und wer dafür zuständig ist.
  • Sie haben Altlasten abgeräumt: SHA-1 und MD5 sind in den eigenen Skripten und Konfigurationen identifiziert und auf den Weg zur Ablösung gebracht (Q2).
  • Sie haben die ersten Verbindungen quantenresistent: Browser-Flotte (Q3), eigene Website (Q4) und SSH (Q5) reden hybrid – nicht in einer Pilotumgebung, sondern im Wirkbetrieb.
  • Sie haben Ihre Lieferanten in den Sprint eingebunden: VPN-Hersteller (Q6) und Cloud-Anbieter (Q7) haben dokumentierte PQC-Roadmaps an Sie geliefert.
  • Sie haben die langlebigen Geheimnisse abgesichert: Backup-Verschlüsselung (Q8) ist mit AES-256 und bewusst geprüfter Schlüsselhülle aufgestellt.
  • Sie üben den Wechsel ein: Mit kürzeren Zertifikatslaufzeiten (Q10) verwandeln Sie den späteren PQC-Algorithmuswechsel von einem Sonderereignis in einen geprobten Vorgang.

Das ist – ohne neues Projektbudget, ohne externe Beauftragung – ein deutlich anderes Krypto-Profil als am 1. Juni.

Was der Sprint mit dem Team gemacht hat

Awareness war Teil jeder Etappe, nicht Add-on. Wer Quick Wins richtig gemacht hat, hat in jeder Woche zwei oder drei Begriffe en passant ins Team gebracht: Hybridverfahren, KEM, Krypto-Agilität, Schlüsselhülle, Shared Responsibility. Das wirkt nachhaltiger als ein einmaliges Schulungs-Webinar, weil die Begriffe an eigene Handlungen geknüpft sind. Wer “ML-KEM” einmal selbst in einer nginx-Konfiguration gesetzt hat, vergisst es nicht.

Das gilt nach oben wie nach unten: Die Geschäftsführung hat über zehn kurze Standortbestimmungen verstanden, was PQC für Ihr Haus bedeutet – nicht abstrakt, sondern als Liste konkreter Verbesserungen. Die IT hat in derselben Zeit Routine im Umgang mit PQC-Themen aufgebaut. Beides ist Pflicht-Vorarbeit für die spätere große Migration.

Was Sie nach diesem Sprint nicht haben

Eine ehrliche Bilanz nennt auch das Fehlende:

  • Sie haben keine vollständige PQC-Migration. Vieles bleibt klassisch – Hostschlüssel, viele interne Dienste, die meisten Branchenanwendungen, Embedded-Komponenten.
  • Sie haben keinen Audit-fertigen PQC-Migrationsplan. Eine prüffähige Migrations-Strategie braucht mehr als zehn Wochen Sprint-Arbeit – sie verbindet Risikobewertung, Lieferantenstrategie, Krypto-Bestandsregister und Architekturprinzipien zu einem konsistenten Ganzen.
  • Sie haben kein vollständiges Krypto-Bestandsregister. Die Inventur ist Light, nicht Compliance-fest. Für die nächste Stufe braucht es ein dauerhaft gepflegtes Register mit Bibliotheks- und Schlüsselebene.
  • Sie haben keine PQC-Hardware-Roadmap. Embedded-Geräte, Druckermenagerie, IoT, Maschinenkommunikation – das ist die schwerste Klasse und in zehn Wochen nicht ansatzweise zu lösen.

Diese Lücken sind keine Niederlage. Sie sind das Pflichtenheft der nächsten Phase.

Was die nächste Phase wirtschaftlich anders macht

Der wertvollste Effekt des Sprints zeigt sich erst, wenn man die nächste PQC-Etappe plant. Drei Punkte machen sie deutlich billiger und schneller, als sie ohne die Quick Wins gewesen wäre:

  • Sie planen aus einer Karte heraus, nicht ins Dunkle. Inventur Light und PKI-Übersicht sind die Datenbasis jeder belastbaren Bedarfsschätzung.
  • Sie haben Erfahrung mit hybridem PQC im Wirkbetrieb. Browser, Website, SSH sind seit Wochen produktiv – die Mythen (“das geht doch sowieso nicht im Alltag”) sind widerlegt.
  • Sie haben gemessene Lieferanten-Roadmaps. Wenn die nächste Phase Geld in die Hand nimmt, weiß sie genau, wo dieses Geld am meisten bewirkt – und wo es lediglich auf die Roadmap des Anbieters wartet.

Empfehlung: Wie es jetzt weitergeht

  • Jetzt: Die Ergebnisse der zehn Quick Wins als kompakten Statusbericht verschriftlichen – eine Tabelle pro Quick Win mit Ziel, Stand, Restarbeit. Das ist der Übergabepunkt aus dem Sprint in den Linienbetrieb.
  • Bis Q4 2026: Die Inventur Light auf ein dauerhaftes, gepflegtes Krypto-Bestandsregister heben und mit Ihren Compliance-Prozessen (ISO 27001, C5, NIS2) verknüpfen.
  • Bis Q2 2027: Aus dem Bestandsregister einen formellen, prüffähigen PQC-Migrationsplan ableiten – mit Roadmap, Risikoakte und benannten Verantwortlichkeiten je Krypto-Klasse.
  • Laufend: Die Awareness-Schiene fortsetzen, indem jeder weitere Krypto-Wechsel im Haus genauso bewusst kommuniziert wird wie die zehn Quick Wins.

Fazit

Der PQC-Sommer-Sprint hat gezeigt, dass die Vorbereitung auf das Quantenzeitalter weder ein Großbudget noch ein neues Programm braucht – es braucht Konsequenz und einen Zeitplan. Wer zehn kleine Schritte hintereinander geht, hat am Ende eine andere Haltung im Haus: Kryptografie ist kein Hintergrundrauschen mehr, sondern etwas, an dem aktiv gearbeitet wird. Genau diese Haltung trägt durch die eigentliche Migration der nächsten Jahre. Wenn Sie alle zehn Quick Wins durchgezogen haben, gehören Sie zu den wenigen KMU, die diesen Sommer aktiv genutzt haben – und das wird in den kommenden Audits, Verhandlungen und Krisen den Unterschied machen.

Quellen

pqconsult: Ihre Partner bei der PQC-Migration

Wenn Sie den Sprint erfolgreich gegangen sind und jetzt den Schritt zum prüffähigen PQC-Migrationsplan gehen möchten, begleiten wir Sie – vom dauerhaften Krypto-Bestandsregister über die Architekturprinzipien der Krypto-Agilität bis zur Roadmap, die in Ihren Compliance-Berichten Bestand hat. Sprechen Sie uns an.

Haben Sie Fragen zu diesem Thema?

Kontakt aufnehmen