Trump-Erlass setzt Fristen für Post-Quantum-Schutz
Dieser Bericht fasst die IT-Sicherheit-Nachrichten vom 2026-06-24 zusammen und basiert ausschließlich auf den Originaltexten der Quellen.
Trump-Erlass setzt Fristen für Post-Quantum-Schutz
Laut blog.cloudflare.com hat Präsident Trump am 22. Juni 2026 die Executive Order 14409 mit dem Titel „Securing the Nation Against Advanced Cryptographic Attacks“ unterzeichnet.
Der Erlass setzt eine Frist bis zum 31. Dezember 2030 für die Umstellung der sensibelsten Systeme auf Post-Quantum-Verschlüsselung. Für die Post-Quantum-Authentifizierung gilt eine Frist bis zum 31. Dezember 2031.
Der Erlass verpflichtet zudem die Auftragnehmer des Bundes, bis Ende 2030 die Post-Quantum-Standards der Federal Information Processing Standards (FIPS) zu erfüllen.
Cloudflare begrüßt den Erlass
Cloudflare begrüßt den Erlass. Die US-Regierung habe eine lange Erfolgsgeschichte darin, neue Technologien über ihre Führungsrolle und Beschaffung in der Branche durchzusetzen.
Das habe bei IPv6, bei der Routing-Sicherheit mit der Resource Public Key Infrastructure (RPKI) und bei DNSSEC funktioniert. Nun setze sich diese Tradition bei der Post-Quantum-Kryptografie fort.
Warum die Frist jetzt zählt
Der Erlass sei gerade jetzt wichtig, weil sich der Zeitplan für den Q-Day beschleunigt habe. Das ist der Tag, an dem Quantencomputer die im Internet genutzte Public-Key-Kryptografie brechen können.
Im April 2026 verschob Cloudflare das eigene Ziel für volle Post-Quantum-Sicherheit auf 2029. Grund waren Forschungsdurchbrüche von Google und Oratomic.
Der Erlass aktualisiert eine Vorgabe aus 2024. Damals erklärte das National Institute of Standards and Technology (NIST), die klassische Public-Key-Kryptografie (namentlich RSA und Elliptische-Kurven-Kryptografie) solle bis 2030 ausgemustert und bis 2035 verboten werden.
Stand der Umstellung bei Cloudflare
Die Umstellung auf Post-Quantum-Verschlüsselung sei weit fortgeschritten, während die Umstellung auf Post-Quantum-Authentifizierung erst beginne. Heute seien über zwei Drittel des Browser-Verkehrs zu Cloudflares Netzwerk mit Post-Quantum-Verschlüsselung geschützt.
Die SASE-Plattform Cloudflare One biete Post-Quantum-Verschlüsselung über alle wichtigen On-Ramps und Off-Ramps, darunter TLS, MASQUE und IPsec. Cloudflare arbeite bereits seit 2019 an diesen Aufgaben.
Wen der Erlass bindet
Der Erlass kann Bundesbehörden binden, aber keine anderen Organisationen wie kritische Infrastruktur, lokale Regierungen, Wissenschaft oder Zivilgesellschaft. Die Vorgaben richten sich an zwei Kategorien: High Value Assets (HVAs) und Systeme mit hoher Wirkung.
HVAs sind vom Office of Management and Budget (OMB) als „Kronjuwelen“ eingestufte Systeme, deren Kompromittierung die nationale Sicherheit, die Außenbeziehungen oder das öffentliche Vertrauen stark beeinträchtigen würde. Systeme mit hoher Wirkung sind nach FIPS 199 als „high“ eingestuft.
Die wichtigsten Fristen
| Datum | Anforderung |
|---|---|
| Juli 2026 | Jeder Behördenleiter benennt einen PQC-Migrationsverantwortlichen und meldet Name und Kontakt an OMB und den National Cyber Director. |
| September 2026 | OMB gibt Vorgaben heraus: Inventar prüfen, PQC-Migration planen und Plan einreichen. |
| Dezember 2030 | Alle HVAs und Systeme mit hoher Wirkung auf PQC für den Schlüsselaustausch umstellen. |
| Dezember 2031 | Alle HVAs und Systeme mit hoher Wirkung auf PQC für digitale Signaturen umstellen. |
National Security Systems sind von diesen Fristen ausdrücklich ausgenommen. Sie laufen auf einer getrennten, geheimen Spur unter der NSA, mit bereits 2022 gesetzten Fristen zwischen 2030 und 2033.
Zwei Migrationen: Verschlüsselung und Authentifizierung
Der Erlass teilt die PQC-Migration in zwei Phasen: Post-Quantum-Schlüsselaustausch (Verschlüsselung) bis 2030 und Post-Quantum-Signaturen sowie Zertifikate (Authentifizierung) bis 2031.
Cloudflare begrüßt, dass der Erlass auf NIST-standardisierte Algorithmen setzt und nicht auf Quantum Key Distribution (QKD). QKD funktioniere nicht im Internet-Maßstab, weil es Spezialhardware und feste physische Verbindungen zwischen Sendenener und Empfänger brauche.
Post-Quantum-Verschlüsselung sei schon heute nötig, um Harvest-now-decrypt-later-Angriffe zu stoppen. Dabei sammelt ein Angreifer heute verschlüsselten Verkehr, um ihn später zu entschlüsseln.
Der Beitrag stammt von Sharon Goldberg und Vincent Voci und ist mit 13 Minuten Lesezeit angegeben.
Fazit
Die heutigen IT-Sicherheit-Nachrichten zeigen, dass Präsident Trump am 22. Juni 2026 die Executive Order 14409 „Securing the Nation Against Advanced Cryptographic Attacks“ unterzeichnet hat, die für die sensibelsten Systeme eine Umstellung auf Post-Quantum-Verschlüsselung bis zum 31. Dezember 2030 und für die Post-Quantum-Authentifizierung bis zum 31. Dezember 2031 vorschreibt. Bundesauftragnehmer müssen bis Ende 2030 die Post-Quantum-Standards der FIPS erfüllen. Cloudflare begrüßt den Erlass und verweist auf frühere erfolgreiche Durchsetzungen neuer Technologien durch die US-Regierung wie IPv6, RPKI-Routing-Sicherheit und DNSSEC.
Häufig gestellte Fragen
Bis wann müssen die sensibelsten Systeme auf Post-Quantum-Verschlüsselung umgestellt sein?
Die Executive Order 14409 setzt dafür eine Frist bis zum 31. Dezember 2030; für die Post-Quantum-Authentifizierung gilt der 31. Dezember 2031.
Welche Pflichten gelten laut dem Erlass für Auftragnehmer des Bundes?
Sie müssen bis Ende 2030 die Post-Quantum-Standards der Federal Information Processing Standards (FIPS) erfüllen.
Warum begrüßt Cloudflare die Executive Order 14409?
Weil die US-Regierung laut Cloudflare bereits bei IPv6, der Routing-Sicherheit mit RPKI und bei DNSSEC erfolgreich neue Technologien über ihre Führungsrolle und Beschaffung in der Branche durchgesetzt habe.
