von Luciano Quarta – The Crypto Lawyer
Es gibt in der digitalen Finanzwelt ein Risiko, das keinem anderen gleicht: Es ist sicher, dass es eintreten wird, aber niemand weiß, wann. Es ist die quantenbedingte Bedrohung der Kryptografie. An dem Tag, an dem ein hinreichend leistungsfähiger Quantencomputer betriebsbereit wird (der sogenannte „Q‑Day“), wird die Public-Key-Kryptografie, auf der die gesamte digitale Finanzwelt beruht – von elektronischen Signaturen bis zu Krypto-Wallets –, unbrauchbar werden.
Bankenkrisen, herkömmliche Cyberangriffe, Marktschocks sind mögliche Ereignisse, deren Eintrittswahrscheinlichkeit sich zumindest grob schätzen lässt. Der Q‑Day hingegen ist ein erwartetes Ereignis: Es wird lediglich über den Zeithorizont diskutiert.
Mehr noch: Es handelt sich um ein Risiko, das nicht einmal in der Zukunft liegt. Es ist bereits gegenwärtig. Die als harvest now, decrypt later bekannte Strategie besteht darin, heute verschlüsselte Daten abzufangen und zu speichern, um sie morgen zu entschlüsseln, wenn die Quantenkapazitäten ausgereift sind. Für alle Informationen, die über diesen Horizont hinaus vertraulich bleiben sollen (Finanzkommunikation, Kundendaten, Verwahrungsschlüssel), ist die Verletzung nicht bevorstehend: Sie ist bereits im Gange. Sie ist lediglich noch nicht sichtbar.
Aus dieser Prämisse folgt eine These, die überraschen mag: Die Akteure der europäischen digitalen Finanzwelt, einschließlich der Anbieter von Dienstleistungen für Krypto-Assets, sind rechtlich bereits heute verpflichtet, sich vorzubereiten. Nicht, weil es eine Norm gäbe, die dies ausdrücklich vorschreibt, sondern weil die Pflicht im System implizit enthalten ist. Sehen wir uns an, warum.
Summary
Der Q‑Day ist keine Science-Fiction
Ein Quantencomputer ist nicht einfach nur ein schnellerer Computer. Es ist eine Maschine, die auf völlig andere Weise rechnet, indem sie Eigenschaften der Materie nutzt, wie die Überlagerung von Zuständen und das Entanglement, die in der klassischen Informatik keine Entsprechung haben.
Für die meisten Probleme bringt diese Andersartigkeit keine nennenswerten Vorteile. Für einige spezifische Probleme hingegen ist der Vorteil exponentiell. Der hier relevante Fall ist einer: die Faktorisierung großer Zahlen und die Berechnung diskreter Logarithmen, die durch den 1994 von Peter Shor entwickelten Algorithmus beherrschbar werden.
Genau diese beiden mathematischen Probleme bilden das Fundament der heutigen digitalen Sicherheit: RSA und elliptische Kurven. Also jene Schemata, die Transportprotokolle, digitale Signaturen und nicht zuletzt das Eigentum an Krypto-Assets in verteilten Registern schützen und die auf der Annahme beruhen, dass die Faktorisierung einer sehr großen Zahl für einen klassischen Computer Zeiten erfordert, die mit jedem Angriff unvereinbar sind. Der Shor-Algorithmus löst diese Annahme auf.
Wann wird es so weit sein? Die Schätzungen gehen auseinander: zwischen dem Ende dieses Jahrzehnts und der Mitte des nächsten. Für den Juristen ist das genaue Datum jedoch unerheblich. Entscheidend ist die von Michele Mosca formulierte Ungleichung: Wenn die Zeit, in der Daten vertraulich bleiben müssen, zuzüglich der für die Migration der Systeme erforderlichen Zeit, die Zeit bis zum Eintreffen des Quantencomputers übersteigt, ist die Sicherheit bereits heute kompromittiert.
Nun erfordern kryptografische Migrationen großer Finanzsysteme historisch gesehen etwa ein Jahrzehnt. Und viele Finanzdaten unterliegen jahrzehntelangen Vertraulichkeitspflichten. Für weite Teile des Sektors ist die Ungleichung daher bereits erfüllt: Die Zeitspanne, in der man ohne Exponierung gegenüber dem Risiko handeln konnte, ist bereits abgelaufen.
Wohlgemerkt: Das Problem ist nicht das Fehlen technischer Abhilfen. Post‑Quanten‑Kryptografie existiert bereits, und im August 2024 hat das NIST die ersten drei Standards veröffentlicht (ML‑KEM, ML‑DSA und SLH‑DSA). Das Problem ist die Migration: jede Stelle zu erfassen, an der verwundbare Kryptografie eingesetzt wird, sie zu ersetzen, ohne den Betrieb zu unterbrechen, und die Interoperabilität entlang von Gegenparteiketten zu gewährleisten, die sich nicht mit derselben Geschwindigkeit bewegen. Das ist gewiss ein organisatorisches Problem. Aber es ist auch – und das ist der Punkt – ein rechtliches Problem.
Dass das Thema inzwischen aktuell ist, zeigt das Herzstück des Systems: Die Bank für Internationalen Zahlungsausgleich hat gemeinsam mit der Banque de France und der Bundesbank mit Project Leap die Erprobung quantum-sicherer Kommunikationskanäle für Zahlungssysteme gestartet und das Ziel erklärt, das Finanzsystem „quantensicher“ zu machen.
Das europäische Regulierungsmosaik: Die Pflicht besteht, aber niemand benennt sie
Die Frage lautet nun: Verpflichten die europäischen Vorschriften die Akteure der digitalen Finanzwelt bereits heute, sich auf die quantenbedingte Bedrohung vorzubereiten? Die Antwort ist, dass keine verbindliche Norm das Quantenrisiko ausdrücklich benennt. Fast alle enthalten es jedoch der Sache nach.
Das ausgereifteste Teilstück des Mosaiks ist die DORA‑Verordnung (VO (EU) 2022/2554), die ab dem 17. Januar 2025 auf über zwanzig Kategorien von Akteuren anwendbar ist, von großen Bankengruppen bis hin zu Anbietern von Dienstleistungen für Krypto-Assets. Art. 9 verlangt Sicherheitsrichtlinien und -instrumente, die geeignet sind, Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten zu wahren, mit ausdrücklichem Bezug auf kryptografische Techniken.
Im abgeleiteten Recht wird es jedoch interessant. Die Delegierte Verordnung (EU) 2024/1774 verpflichtet Finanzunternehmen, die Entwicklungen der Kryptoanalyse zu überwachen und die kryptografische Technologie entsprechend zu aktualisieren oder zu ersetzen. Wer dazu nicht in der Lage ist, muss Minderungsmaßnahmen ergreifen, dokumentieren und begründen.
Nun ist die Quantenkryptoanalyse immer noch Kryptoanalyse. Würde ein Finanzunternehmen heute den Shor-Algorithmus in seiner Überwachung ignorieren, würde es die Norm nicht einfach restriktiv anwenden: Es würde sie verletzen. Und der Mechanismus „aktualisiere oder begründe, warum du es nicht kannst“ bildet bereits heute einen ersten rechtlichen Kern einer Migrationspflicht. Es fehlt lediglich die Frist.
Auf der Seite der personenbezogenen Daten knüpft Art. 32 DSGVO die Sicherheitsmaßnahmen an den „Stand der Technik“ und erwähnt ausdrücklich die Verschlüsselung. Die Klausel ist ihrem Wesen nach dynamisch: Wenn die Post‑Quanten‑Kryptografie zum gefestigten Stand der Technik wird (und die Standardisierung von 2024 markiert genau diesen Übergang), wird Art. 32 sie ohne jede Änderung in sich aufnehmen. Und für Daten mit langer Nutzungsdauer kehrt die Logik von harvest now, decrypt later die Perspektive um: Damit die Maßnahme heute angemessen ist, muss sie an der Bedrohung von morgen ausgerichtet werden, denn morgen wird das heute entwendete Datum verletzt werden.
Auf diesem Feld hat der Gerichtshof der Europäischen Union bereits gewichtige Leitlinien geliefert. Im Urteil VB (C‑340/21) hat er klargestellt, dass die Beweislast für die Angemessenheit der Maßnahmen beim Verantwortlichen liegt und dass die begründete Furcht vor einem künftigen missbräuchlichen Gebrauch der entwendeten Daten für sich genommen einen ersatzfähigen immateriellen Schaden darstellen kann. Auf harvest now, decrypt later angewandt, hat diese Aussage eine präzise Folge: In verschlüsselter Form heute exfiltrierte Daten sind definitionsgemäß Daten, die einem künftigen missbräuchlichen Gebrauch ausgesetzt sind. Der Furchtschaden muss nicht auf den Q‑Day warten.
Den Rahmen schließt eIDAS in der Fassung der Verordnung (EU) 2024/1183: Qualifizierte Vertrauensdienste existieren, um Rechtswert auf Dauer für Akte zu schaffen, deren Sicherheit von vergänglichen Algorithmen abhängt. Und die Akte der digitalen Finanzwelt sind nur so viel wert wie die Signatur, die sie trägt.
MiCA und das Paradox für Verwahrer von Krypto-Assets
Für alle, die sich besonders für die Kryptowelt interessieren, ist der instruktivste Fall die MiCA‑Verordnung (VO (EU) 2023/1114). Und er ist instruktiv, weil er die strukturelle Grenze des gesamten Systems offenlegt.
Anbieter von Dienstleistungen für Krypto-Assets fallen in den DORA‑Anwendungsbereich und teilen dessen Resilienzpflichten. Wer den Verwahrdienst erbringt, haftet zudem gegenüber den Kunden für den Verlust von Krypto-Assets aufgrund ihm zurechenbarer Vorfälle bis zur Höhe des Marktwerts des verlorenen Assets.
Die quantenbedingte Verwundbarkeit liegt jedoch zunächst nicht in den Systemen des Dienstleisters: Sie liegt im Protokoll. Die elliptischen Signaturschemata, die das Eigentum in verteilten Registern steuern (vereinfacht gesagt: jene, die bewirken, dass derjenige, der den privaten Schlüssel kontrolliert, über die Bitcoins oder Ether verfügt), liegen außerhalb des regulatorischen Rahmens. MiCA regelt die Intermediäre, nicht die zugrunde liegenden technologischen Infrastrukturen, die von keiner europäischen Behörde zugelassen werden.
Daraus ergibt sich eine Asymmetrie, die mit Wucht zutage treten wird: Wenn das Signaturschema fällt, haftet der Verwahrer für ein Risiko, das er weder regeln noch allein mindern konnte. Und für den Direktinhaber kommt die Kompromittierung des Signaturschemas einer echten technologischen Enteignung gleich: Wer die Signatur fälschen kann, verfügt über das Asset.
Die einzige derzeitige Schranke ist informationeller Natur: Whitepaper müssen die zugrunde liegende Technologie und die damit verbundenen Risiken beschreiben. Und es wäre bereits heute schwer zu vertreten, dass die kryptografische Obsoleszenz nicht zu den anzugebenden Risiken gehört.
Die Bilanz der Bestandsaufnahme ist eindeutig: Die verbindlichen Quellen enthalten alles Notwendige, außer dem Wesentlichen. Es fehlt der Name des Risikos, es fehlt eine Frist, es fehlt eine Prioritätenordnung.
Die Soft Law, die die Daten vorgibt: 2026, 2030, 2035
Die Lücke wurde bislang durch Soft Law geschlossen. Der Wendepunkt ist die Empfehlung (EU) 2024/1101, mit der die Kommission den Übergang zur Post‑Quanten‑Kryptografie als Ziel bestimmt hat, das „so rasch wie möglich“ umzusetzen ist, und den Weg über hybride Schemata weist, die post‑quantenfähige Algorithmen und klassische Kryptografie kombinieren.
Der nächste Schritt kam von der NIS‑Kooperationsgruppe, die im Juni 2025 eine koordinierte Roadmap verabschiedet hat, die bis Ende 2026 den Start nationaler Strategien und die Fertigstellung des kryptografischen Inventars vorsieht; bis 2030 den post‑quantenfähigen Schutz von Hochrisikosystemen, einschließlich kritischer Finanzinfrastrukturen; bis 2035 die Vollendung der Migration, soweit technisch praktikabel.
Auf sektoraler Ebene hat das von Europol geförderte Quantum Safe Financial Forum den Sektor formell zum Handeln aufgerufen, gefolgt von einem gemeinsamen Bericht im Januar 2026 über die Notwendigkeit, der Migration in den Finanzdienstleistungen Priorität einzuräumen. Im selben Monat veröffentlichte die G7 Cyber Expert Group ihre Erklärung zu einer koordinierten Roadmap, wobei sie jedoch sorgfältig klarstellte, dass das Dokument „keine aufsichtsrechtlichen Erwartungen festlegt“.
Diese Klarstellung scheint uns zu sagen, dass eine Quelle umso mehr das Bedürfnis verspürt, sich als unverbindlich zu deklarieren, je autoritativer sie ist. Und hier liegt das rechtlich interessante Phänomen: Diese Akte sind formell nicht bindend; in der Sache binden sie jedoch.
Die Verknüpfung erfolgt über die Auslegung. Die Roadmaps füllen die Generalklauseln mit Inhalt: Der „Stand der Technik“ der DSGVO und die in DORA vorgesehenen „Angemessenheits“-Anforderungen sind keine selbstreferenziellen Begriffe. Aus diesem Grund wird die koordinierte Roadmap zu ihrem natürlichen Maßstab. Die Aufsichtsbehörden übernehmen die Fristen als Prüfungsmaßstab. Wenn der Schaden jedoch eingetreten sein wird, werden Gerichte und Behörden die Sorgfalt des Akteurs an den Roadmaps messen, die dieser kannte oder hätte kennen müssen.
Zusammengefasst: Die Soft Law liefert die Daten, das verbindliche Recht liefert die Sanktion. Keines von beiden begründet die Pflicht für sich allein; gemeinsam bauen sie sie auf.
Der kommende Quantum Act: Industriepolitik ohne Risikoregulierung
Und der Quantum Act? Der von der Kommission für 2026 angekündigte Gesetzgebungsakt scheint der natürliche Ort zu sein, um diesen Knoten zu lösen. Die vorbereitenden Akte richten den Blick jedoch, zumindest derzeit, anderswohin.
Die Quantum Europe Strategy vom Juli 2025 setzt das Ziel der europäischen Führungsrolle im Quantenbereich bis 2030 und gliedert das Handeln in Forschung, Infrastrukturen, industrielles Ökosystem, Dual-Use-Dimension und Kompetenzen. Die angegebene Rechtsgrundlage ist aufschlussreich: Industrie (Art. 173 AEUV), Forschung (Art. 180), ergänzende Programme (Art. 184). Nicht der Binnenmarkt, nicht die Produktsicherheit, nicht die Aufsicht.
Der Quantum Act entsteht somit bewusst als industriepolitischer Akt: Er ist gewissermaßen das quantenbezogene Gegenstück zum Chips Act, nicht zum AI Act.
Daraus ergibt sich ein Paradox, das klar herausgearbeitet werden muss: Der erste umfassende Gesetzgebungsakt zu Quantentechnologien regelt alles, außer dem einzigen quantenbedingten Risiko, das bereits aktuell ist, nämlich dem kryptografischen.
Der Vergleich mit den Vereinigten Staaten macht das Bild noch deutlicher. Der Quantum Computing Cybersecurity Preparedness Act vom Dezember 2022 hat das kryptografische Inventar und die Vorbereitung der Migration für Bundesbehörden mit operativen Fristen ab 2027 zur gesetzlichen Pflicht erhoben. Der amerikanische Gesetzgeber bindet pragmatisch seine eigene Verwaltung und überlässt die Überzeugungsarbeit dem Markt; der europäische Gesetzgeber empfiehlt bislang allen und bindet niemanden.
Eine Pflicht, die bereits existiert (und wer dafür einstehen wird)
Fasst man die drei Ebenen zusammen – technologieneutrale verbindliche Normen, Soft Law mit Daten, gesellschaftsrechtliche Grundsätze –, ist die Schlussfolgerung unausweichlich: Die Quantum Readiness des Finanzsektors ist bereits heute eine implizite Rechtspflicht.
Es bedarf weder einer evolutiven Auslegung noch einer Analogie: Die Subsumtion genügt. Die Angemessenheitsklauseln – von den technischen DORA‑Standards bis hin zu Art. 2086 des italienischen Zivilgesetzbuchs, der dem Unternehmer angemessene organisatorische Strukturen auch zur rechtzeitigen Risikoerkennung auferlegt – sind bewegliche Standards, die die besten Praktiken des jeweiligen historischen Moments in sich aufnehmen. Und wenn die besten Praktiken auf der Grundlage öffentlicher europäischer Akte das kryptografische Inventar und den Migrationsplan umfassen, ist eine Struktur, der dies fehlt, nicht mehr angemessen.
Konkreter gesagt, dreht sich der Mindestinhalt der Pflicht um fünf Leistungen: das kryptografische Vermögen der Organisation erfassen; es nach Risiko klassifizieren und Daten und Funktionen mit langer Nutzungsdauer isolieren; einen Migrationsplan im Einklang mit den Fristen 2030–2035 aufstellen; Crypto‑Agility in die Verträge mit Lieferanten aufnehmen; die Überwachung des Prozesses der Unternehmensspitze zuweisen und dokumentieren. Die heute geschuldete Leistung ist die Vorbereitung, nicht das Ergebnis: eine Verhaltenspflicht mit progressivem Inhalt, die mit dem Näherrücken der Fristen wächst.
Der heikelste Punkt des Sichtbarwerdens wird die Haftung der Verwaltungsorgane sein. Wenn sich das Risiko materialisiert, werden die Fragen rückblickend gestellt: Wer wusste Bescheid? Wer hätte Bescheid wissen müssen? Wer hätte handeln müssen? Und die Business Judgment Rule wird einen engeren Schutz bieten, als man glaubt: Die Regel schützt informierte unternehmerische Entscheidungen, nicht Untätigkeit, die keine Entscheidung ist.
Eine Ausgestaltung der Unternehmensstruktur, die ein Risiko ignoriert, das von europäischen öffentlichen Akten benannt, datiert und dokumentiert ist, besteht die Prüfung einer sorgfältigen Informationsbeschaffung nicht: Es handelt sich nicht um eine vertretbare Ermessensentscheidung, sondern um eine nicht informierte Entscheidung. Ein Verwaltungsorgan, das das Thema nicht in den Vorstand eingebracht, kein kryptografisches Inventar verlangt und die Pläne kritischer Lieferanten nicht hinterfragt hat, wird sich nur schwer auf die Unvorhersehbarkeit des Ereignisses berufen können.
Hinzu kommt, dass der Markt dem Gesetzgeber wahrscheinlich zuvorkommen wird: Es ist vernünftig zu erwarten, dass kryptografisches Inventar und Migrationsplan bald Eingang in die Fragebögen der Cyberversicherer als Versicherbarkeitsvoraussetzungen und in die Due‑Diligence‑Standards von M&A‑Transaktionen finden werden. Wer nicht vorbereitet ist, wird höhere Prämien zahlen, Preisabschläge hinnehmen und Prüfungsbemerkungen erhalten.
Was der europäische Gesetzgeber tun sollte
Ungeachtet dessen bleibt die Tatsache bestehen, dass eine implizite Pflicht ihrer Struktur nach eine fragile Pflicht ist. Sie lässt vertretbare Minimalinterpretationen zu, erzeugt eine perverse Wettbewerbsasymmetrie (wer zuerst migriert, trägt Kosten, die der Nachzügler vermeidet, während die Gesamtsicherheit die des schwächsten Glieds bleibt) und entfaltet ihre Wirkung vor allem ex post im Haftungsprozess. Das ist zweifellos die schlechteste Art, ein systemisches Risiko zu steuern: Sie verteilt Verluste, statt sie zu verhindern, und überträgt den Gerichten, was Sache des Gesetzgebers wäre.
Der Vorschlag lässt sich daher in einem Satz zusammenfassen: Die implizite Pflicht in eine explizite Pflicht umwandeln, indem die Pflicht zur Post‑Quanten‑Transition zu einer eigenständigen Kategorie des Rechts der digitalen Finanzwelt erhoben wird.
Der ideale Ort wäre gerade der Quantum Act, gegebenenfalls mit einem eigenen Titel ad hoc zur Bewältigung des kryptografischen Risikos. Alternativ käme ein gezielter Eingriff im Rahmen der Überprüfung von DORA in Betracht. Die Pflicht sollte entlang zweier Achsen abgestuft werden: der Kritikalität der Funktion und der Größe des Akteurs. Die Fristen sollten verbindlich sein und die bereits bekannten Termine widerspiegeln (2030 für kritische Systeme, 2035 für die Vollendung), die Zertifizierung sollte harmonisiert und an den Rahmen des Cybersecurity Act angelehnt werden, und schließlich sollte ein sicherer Hafen vorgesehen werden, der dokumentierte Sorgfalt in eine Vermutung der Konformität umwandelt. Die Aufsicht kann den bereits bestehenden Behörden übertragen werden.
Für Krypto-Assets insbesondere wären quantenresistente Anforderungen an die Protokolle erforderlich, die für die Erbringung von Dienstleistungen zugelassen sind, Informationspflichten gegenüber Inhabern und geordnete Migrationsmechanismen: Nur so lässt sich die Asymmetrie zwischen der Haftung des Verwahrers und der Steuerung der Infrastruktur auflösen.
Dem Einwand der Kosten lässt sich leicht begegnen: Der relevante Vergleich ist nicht der zwischen Pflicht und Freiheit, sondern zwischen expliziter und impliziter Pflicht. Letztere auferlegt die Kosten ohnehin und auf der Grundlage derselben Verpflichtungen, verteilt sie aber auf die schlechteste Weise: Sie belohnt den Nachzügler, benachteiligt den Sorgfältigen und verschiebt die Rechnung in den Rechtsstreit. Die Explizitmachung schafft die Last nicht: Sie macht sie sicher, für alle gleich, planbar und versicherbar.
Und es gibt ein weiteres Argument: Regulatorische Sicherheit ist selbst Industriepolitik. Ein Markt, der weiß, wann und wie er migrieren muss, ist ein Markt, der post‑quantenfähige europäische Technologie mit einem Zeithorizont von einem Jahrzehnt kauft. Eine europäische Übergangspflicht, flankiert von einer Zertifizierung, würde die Standards der Union zum globalen Maßstab für quantum‑sichere Finanzwelt machen: ein Brüssel‑Effekt, der sich ausnahmsweise auf eine Technologie stützen würde, die die Union erklärtermaßen im eigenen Haus produzieren will.
Das Quantenrisiko ist das einzige systemische Risiko der digitalen Finanzwelt, das im An sicher ist und in seinen Auswirkungen bereits aktuell ist. Das relevante Verhalten findet heute statt; die Haftung wird sich morgen manifestieren, wenn das Ereignis sichtbar macht, was bereits geschehen war. Ausnahmsweise kennt der Jurist das Ereignis, das er steuern muss, im Voraus. Es wäre unverzeihlich, unvorbereitet zu sein.
