(K)eine Frage der Physik : Wie quantensichere Kommunikation in Europa einsatzfähig werden kann

Die Möglichkeiten der Datenverschlüsselung haben sich immer verändert. Heute sichert die sogenannte Public-Key-Kryptografie den Großteil digitaler Kommunikation. Mit immer besserer KI und den Fortschritten bei Quantencomputern braucht es auch eine neue Form der Verschlüsselung.

Ein hinreichend leistungsfähiger Quantencomputer könnte herkömmliche Verschlüsselungen knacken. Dieser vieldiskutierte Q-Day, der Moment, an dem ein solcher Rechner verfügbar wird, rückt immer näher, weil hohe Investitionen und technische Fortschritte die Entwicklung schnell vorantreiben. Parallel zeigen erste Experimente, dass heute verbreitete Verschlüsselung (beispielsweise RSA) bereits durch KI geknackt werden könnten.

Zudem fangen Hacker heute schon verschlüsselten Datenverkehr ab und speichern die Daten, um sie zu entschlüsseln, sobald die technische Möglichkeit dafür vorhanden ist. Ein Ansatz, der auch „Harvest now, decrypt later“ genannt wird. Nun stellt sich für Finanzinstitute und jeden, der schützenswerte Daten verschickt, die Frage: Wie können wir uns davor schützen?

Quantum Key Distribution kann ergänzend schützen

Eine mögliche Antwort heißt Post-Quantum-Kryptografie (PQC). PQC-Algorithmen beruhen auf mathematischen Problemen, die auch für Quantencomputer als schwer lösbar gelten. Die Migration auf PQC ist wichtig. Es ist allerdings nicht bewiesen, dass diese Algorithmen für Quantencomputer dauerhaft unlösbar bleiben werden.

Ein ergänzender Ansatz ist die verschränkungsbasierte Quantenschlüsselverteilung, kurz eQKD. Über gewöhnliche Glasfaserkabel werden Photonen zwischen zwei weit entfernten Punkten ausgetauscht, aus denen sich an beiden Enden ein gemeinsamer Schlüssel erzeugen lässt. Jeder Abhörversuch hinterlässt physikalisch messbare Spuren. Wird er erkannt, wird kein Schlüssel freigegeben. Die Schlüsselerzeugung selbst ist damit nachweislich geschützt.

Das klingt alles erstmal nach Sci-Fi, Physikvorlesungen, abgedunkelten Laboren und nach geringer Alltagstauglichkeit. Entscheidend ist, dass sich die Technologie im realen Betrieb bewähren kann und ihre Sicherheit überprüfbar ist. Denn sobald beispielsweise eine Bank eine neue Technologie produktiv einsetzen will, geht es um die Erfüllung von Regulierungen zur digitalen operativen Resilienz, kurz DORA, nicht mehr um Physik.

Wie quantensichere Kommunikation DORA-fähig wird

Innerhalb von zwölf Monaten haben wir gemeinsam mit der Bankengruppe Erste Group an einem Betriebsmodell gearbeitet, das alle DORA-Anforderungen erfüllt. Mehr als 100 Punkte rund um die Themen IT-Sicherheit, Risikomanagement und Notfallvorsorge wurden mit der Bank abgestimmt.

Um diese Sicherheit zu gewährleisten, überwacht ein spezialisiertes Sicherheitszentrum, betrieben von unserem Projektpartner NTS AG, rund um die Uhr Quantenparameter, Netzverkehr und physische Sensoren. In Telekommunikationsstationen sichern zahlreiche Sensoren unsere Schlüsselweitergabestellen. Die Sensoren sind so empfindlich, dass sie selbst auf Wartungsarbeiten an anderen Systemen vor Ort reagieren.

Der Schutz beginnt schon lange vor der Geräteinstallation: Produktion, Transport und Aufbau folgen überprüfbaren Sicherheitsprozessen. Alle Schritte werden dokumentiert, damit die Einhaltung der Anforderungen nachvollziehbar bleibt. Bei einem Vorfall stehen die Nachweise für die Berichterstattung der Bank an die zuständigen Aufsichtsbehörden bereit.

Den Betrieb haben wir unter realen Bedingungen in einem fünfmonatigen Pilotprojekt getestet. Unser Ergebnis: keine Ausfälle durch die Quantenschicht. Die Quantum-Hacking-Versuche des TÜVIT blieben erfolglos. Im ersten Halbjahr 2027 planen wir weitere Belastungs- und Sicherheitstests.

Der Grundstein für ein europäisches Netz

Was wir in diesem Prozess gelernt haben, lässt sich übertragen. Die Verfügbarkeit einer technischen Lösung allein reicht nicht aus. Die entsprechenden Regularien und Bezugsrahmen müssen für den Einsatz in der Praxis erfüllt sein. Daher haben wir die Technologie neben DORA auch nach NIS2 ausgerichtet, der europäischen Richtlinie zur Netz- und Informationssicherheit für kritische Infrastruktur. Der Einsatz ist damit auch in anderen Sektoren möglich: von Energie über Gesundheit bis zur digitalen Infrastruktur.

Aktuell bauen wir ein quantenabgesichertes Netz mit rund 1.000 Kilometern Länge zwischen Wien, München und Frankfurt. Seit September 2026 ist der erste Abschnitt in Betrieb; geplant ist, den Rest der Strecke bis Ende November fertig zu bauen und anschließend zu testen. Das EU-kofinanzierte Projekt läuft unter dem Namen QUAPITAL und ist eine Zusammenarbeit zwischen Erste Group, zerothird, NTS AG und TÜV-IT.

Mit QUAPITAL kann Europa zeigen, dass es in einem strategisch relevanten Technologiefeld vorangehen kann. Mit einer Technologie, die in Europa entwickelt und betrieben wird und einem Regulierungsrahmen, der Sicherheit prüfbar macht.