17.07.2026

|

André Clerc

|

Kommentar

FINMA-Mitteilung zu Quantum Computing: Ein wichtiger Schritt – aber tickt die Uhr schneller als gedacht?

Teaser Image

Die FINMA hat mit ihrer aktuellen Aufsichtsmitteilung 05/2026 ein klares Signal an den Schweizer Finanzplatz gesendet: Post-Quantum-Kryptografie (PQC) gehört ab sofort auf die Agenda des Risikomanagements. Dass die Aufsicht das Thema proaktiv anpackt, ist absolut begrüssenswert.

Doch wer die Migration pragmatisch und zukunftssicher gestalten will, sollte die Empfehlungen um einige kritische Punkte ergänzen, die im Dokument etwas zu kurz kommen:

  1. Der Zeitplan ist extrem sportlich (auch wenn es nicht so wirkt): Die FINMA empfiehlt eine PQC-Roadmap bis Mitte 2027. Google hat jedoch kürzlich angekündigt, seine gesamte Infrastruktur bis 2029 quantensicher zu machen – unter anderem, weil neuere Forschungen zeigen, dass ECC-256-Verschlüsselungen von optimierten Quantencomputern in unter 9 Minuten gebrochen werden könnten. 2027 erst mit der Roadmap zu starten, ist ein riskantes Spiel mit der Zeit.
  2. Die unterschätzte Gefahr: Trust Now – Forge Later: Die Mitteilung warnt korrekterweise vor „Harvest Now, Decrypt Later“ (Diebstahl verschlüsselter Daten zur späteren Entschlüsselung). Doch das mindestens ebenso grosse Risiko betrifft digitale Signaturen und Zeitstempel. Wenn Angreifer Signaturen oder Zeitstempel kompromittieren, können sie rückwirkend Transaktionen und Verträge fälschen. Das bedroht die Integrität unseres gesamten Systems.
  3. Der regulatorische Druck kommt von aussen: Schweizer Institute agieren nicht im Vakuum. Frankreich beispielsweise stoppt bereits ab Mitte 2027 die Zertifizierung von Produkten ohne quantensichere Verschlüsselung. Internationaler Compliance-Druck wird die Transition massiv beschleunigen – lange bevor die heimischen Roadmaps fertig sind oder Cryptographically Relevant Quantum Computers (CRQC) allgemein Verfügbar sind.
  4. Krypto-Agilität ist keine Einbahnstrasse: Die FINMA schreibt richtig, dass künftig auch PQC-Verfahren wieder ersetzt werden müssen. Wir müssen uns aber klarmachen: Jeder Algorithmus (ob klassisch oder neu) kann Schwachstellen aufweisen. Echte Krypto-Agilität bedeutet, dass wir Systeme bauen, bei denen wir Algorithmen im Wochentakt austauschen können, falls ein mathematischer Durchbruch sie über Nacht wertlos macht.

Mein Fazit: Die FINMA-Aufsichtsmitteilung ist eine hervorragende und notwendige Basis. Doch für die Umsetzung in der Praxis müssen wir das Tempo anziehen und das Thema ganzheitlich und über die reine Vertraulichkeit von Daten hinaus betrachten.

Über den Autor

André Clerc
André Clerc
Managing Security Consultant
Dipl. Ing. FH Informatik
CISSP, CAS Project Management

Mit Kreativität und Leidenschaft unterstütze ich meine Kunden in Bereichen wie Public Key Infrastructure (PKI), Crypto Agility, Internet of Things (IoT), Autorisierungslösungen, Sicherheitsarchitekturen und Systemhärtung. Als Sicherheitsarchitekt und Security Engineer verfüge ich über umfassende Erfahrung in der Entwicklung massgeschneiderter Sicherheitslösungen in komplexen IT-Landschaften. Zudem engagiere ich mich an Fachhochschulen für die Vermittlung von praxisorientiertem PKI-Fachwissen sowie bei der SGO im Bereich Business Process Model and Notation (BPMN).

vCard Linkedin

Weitere Beiträge

Zu allen Beiträgen

Kontakt

TEMET AG
Kanzleistrasse 4
CH-8004 Zürich
info@temet.ch
+41 44 302 24 42

Seitenübersicht

© 2026 TEMET AG, All rights reserved.
Impressum
Datenschutz