Quantenrisiko: FCA drängt Finanzfirmen zur Umstellung auf PQC bis 2035

Warum die FCA die Verschlüsselung als Schwachstelle sieht

Kryptografie hilft den Firmen laut dem Beitrag der FCA, die Daten ihrer Kunden zu schützen, ihre Geschäftspartner zu verifizieren und das Vertrauen in ihre Systeme zu erhalten. Verschlüsselung ist dabei nur ein Teilbereich der Kryptografie. „Ausreichend leistungsfähige Quantencomputer stellen eine reale Bedrohung für diese Sicherheit dar“, schreibt Francis, der bei der FCA den Titel Director of Specialists trägt.

Ohne vertrauenswürdige Kryptografie drohten Verbrauchern Betrug und Unternehmen Betriebsstörungen, auch die Integrität von Transaktionen und Märkten stünde auf dem Spiel. Wann ein entsprechender Quantencomputer verfügbar sei, wisse man nicht. In den kommenden Jahren werde die Technik aber wahrscheinlich rasch vorankommen.

Die Umstellung beginnt laut FCA mit der Frage, wo und wie ein Unternehmen überhaupt Kryptografie einsetzt. Danach müssten sämtliche Hardware und Software auf PQC migriert werden, ohne neue Betriebsrisiken zu schaffen. „Realistisch betrachtet wird dies für die meisten Unternehmen erheblichen Zeitaufwand, Investitionen und Anstrengungen erfordern“, schreibt Francis.

Drei Fristen bis 2035

Als Zeitrahmen verweist die FCA auf das britische National Cyber Security Centre (NCSC). Dessen Leitlinien zur Migration sehen drei Etappen vor: Bis 2028 sollen Organisationen einen Plan für die Umstellung erstellen, bis 2031 die dringendsten Schritte umsetzen und bis 2035 alle Systeme, Dienste und Produkte migriert haben.

Auf diese Daten sollen die Firmen nicht warten. Wo es sicher möglich ist, sollen sie früher bereit sein. Die FCA erwartet, dass die Unternehmen schon jetzt ihre eingesetzte Kryptografie vollständig erfassen, klare und risikobasierte Ziele für die Migration festlegen und ihre Pläne umsetzen, testen und bei Bedarf anpassen. Die Geschäftsleitung müsse dafür genug Zeit, Investitionen und Ressourcen bereitstellen. Die Aufsicht verweist dabei auf eigene Zahlen: Gescheiterte Änderungsprojekte machten 2025 rund ein Fünftel aller ihr gemeldeten Vorfälle aus.

Auch die Cyber-Expertengruppe der G7 nennt in einer unverbindlichen Erklärung vom Januar 2035 als Zielmarke für den Finanzsektor. Die kritischsten Systeme könnten demnach etwa schon 2030 bis 2032 an die Reihe kommen. Die Gruppe verweist dabei unter anderem auf Angriffe nach dem Muster „harvest now, decrypt later“. Dabei fangen Angreifer verschlüsselte Daten frühzeitig ab, um sie später mit einem Quantencomputer zu entschlüsseln.

Selbsttest für ausgewählte Firmen

Die FCA erprobt derzeit ein neues Werkzeug zur Selbsteinschätzung mit einer ersten Gruppe von Unternehmen und will es später auf weitere Firmen ausweiten. Es soll zeigen, wie weit die Pläne der Unternehmen gediehen sind und wie gut die Branche insgesamt vorbereitet ist. Häufige Probleme und Beispiele guter Praxis will die Aufsicht anschließend mit dem Sektor teilen. Außerdem plant die FCA, neue Leitlinien zur Cyberresilienz zur Diskussion zu stellen. Darin soll auch festgelegt werden, was sie von Finanzunternehmen im Umgang mit Quantenrisiken erwartet.

Schweiz und EU setzen eigene Fristen

In der Schweiz hat die Finanzmarktaufsicht Finma im Juli eine Aufsichtsmitteilung zu Quantum Computing veröffentlicht. Grundlage war eine Umfrage unter 60 Schweizer Finanzinstituten. Demnach haben 72 Prozent noch keine Maßnahmen für eine quantensichere Verschlüsselung geplant oder getroffen. Über einen konkreten Fahrplan verfügen nur acht Prozent. Die Finma legt den Instituten nahe, bis spätestens Mitte 2027 einen solchen Fahrplan für die Umstellung zu erarbeiten.

Für die EU-Staaten, darunter Deutschland und Österreich, gibt es seit Juni 2025 einen gemeinsamen Fahrplan, den die Mitgliedstaaten mit Unterstützung der Kommission vorgelegt haben. Alle Mitgliedstaaten sollen bis Ende 2026 mit der Umstellung beginnen. Der Schutz kritischer Infrastrukturen soll so bald wie möglich, spätestens aber bis Ende 2030 auf PQC umgestellt werden.

Was das für Bitcoin bedeutet

Auf Kryptowährungen geht die FCA in ihrem Beitrag nicht ein. Das Grundproblem betrifft sie aber ebenso. Quantencomputer bedrohen vor allem die asymmetrische Kryptografie mit öffentlichen und privaten Schlüsseln, wie sie auch Bitcoin für seine Signaturen nutzt. Nach Daten von Glassnode liegen 6,26 Millionen BTC in Adressen, deren öffentliche Schlüssel bereits in der Blockchain sichtbar sind. Das entspricht 31,2 Prozent des Bestands.

Andere Behörden beschäftigen sich ebenfalls mit dem Thema. Die US-Börsenaufsicht SEC hat Quantencomputing unter ihre Prüfungsschwerpunkte für das Geschäftsjahr 2027 aufgenommen, ohne quantensichere Vorkehrungen vorzuschreiben. Europol hält einen Kollaps von Kryptowährungen durch Quantencomputer für unwahrscheinlich. Angreifbar seien aber die Schlüssel der Wallets, nicht die Hashfunktionen der Blockchain.