FINMA-Aufsichtsmitteilung 05/2026 drängt zur Umsetzung: Jetzt die PQC-Roadmap aufsetzen

Die FINMA-Aufsichtsmitteilung 05/2026 vom 9. Juli 2026 zu Quantum Computing sendet ein klares Signal an den Schweizer Finanzsektor. Die Risiken der Post-Quantum-Cryptography (PQC) sind längst kein Zukunftsthema mehr. Sie entwickeln sich zunehmend zu einer Herausforderung in den Bereichen Unternehmensführung, Resilienz und Cyber-Risikomanagement.

Wie bereits in einem früheren Artikel von Horn & Company zum Thema Quantencomputing und Geschäftsmodellanalyse erörtert, wirkt sich diese Technologie sowohl auf zukünftige Chancen als auch auf die heutigen Sicherheitsannahmen aus. Vor dem Hintergrund der jüngsten Mitteilung der FINMA stellt sich für das Management nun die dringende Frage, ob das Bewusstsein für die Risiken der Post-Quantum-Kryptografie (PQC) bereits in einen praktischen Fahrplan für die PQC-Sicherheit umgesetzt wurde.

Die Umfrageergebnisse der FINMA zeigen hier eine deutliche Lücke. Von November 2025 bis Januar 2026 befragte die FINMA 60 Schweizer Finanzinstitute. Über zwei Drittel gehen davon aus, dass quantenbezogene Cyberrisiken innerhalb von sieben Jahren für ihr Institut unmittelbar relevant werden. Rund zwei Drittel der Befragten erwarten zudem, dass ein kryptografisch relevanter Quantencomputer RSA-2048 innerhalb von 24 Stunden knacken könnte. Dieselben Befragten erwarten, dass die dafür erforderliche Technologie spätestens in zehn Jahren verfügbar sein wird. Gleichzeitig stehen die meisten Institute noch am Anfang des Wandels. Laut FINMA haben 72% noch keine konkreten Massnahmen für die PQC-Sicherheit geplant oder ergriffen. Die verbleibenden 28% lassen sich in zwei Gruppen unterteilen. 8% haben strategische Entscheidungen auf Geschäftsführungs- oder Verwaltungsratsebene getroffen. 20% geben an, dass ein entsprechendes Projekt bereits läuft.

Hier liegt der zentrale Widerspruch: Das Bewusstsein ist vorhanden, doch ein strukturiertes Vorgehen fehlt in den meisten Fällen noch.

Das Quantenrisiko tritt jedoch nicht erst dann ein, wenn ein kryptografisch relevanter Quantencomputer verfügbar wird. Im Rahmen eines „Harvest Now, Decrypt Later“-Szenarios (HNDL) können Angreifer bereits heute verschlüsselte Daten sammeln und diese so lange aufbewahren, bis es ihnen dank quantenbasierter Fähigkeiten gelingt, die für die Verschlüsselung verwendeten Mechanismen zu knacken. Dies ist insbesondere für Finanzinstitute relevant, die Informationen verwahren, die über viele Jahre hinweg vertraulich bleiben müssen.

Institutionen sollten daher Daten identifizieren, deren erforderliche Schutzdauer in Verbindung mit der erwarteten Vorlaufzeit für die Migration über den plausiblen Zeitpunkt der Einführung eines kryptografisch relevanten Quantencomputers hinausreichen könnte. Potenziell gefährdete Bestände und Prozesse müssen für eine Migration entsprechend priorisiert werden.

Angesichts der Dringlichkeit des Themas empfiehlt die FINMA den Instituten, ihre Umstellung auf quantensichere Kryptografie auf eine Strategie zu stützen, die von ihrem obersten Leitungsgremium genehmigt wurde. Diese Strategie sollte einen Umsetzungsplan mit klaren Meilensteinen, Prioritäten und Zielterminen für die Umstellung kritischer Geschäftsprozesse festlegen. Die FINMA schlägt ausdrücklich vor, eine solche PQC-Roadmap bis Mitte 2027 zu entwickeln.

Damit wird PQC zu einem Managementthema und nicht nur zu einer Aufgabe der Sicherheitsabteilung. Unserer Ansicht nach benötigen Institute die Unterstützung auf Vorstandsebene und klare Verantwortlichkeiten, bevor die technische Planung in die Tat umgesetzt werden kann. Entscheidungsbefugnisse, Zuständigkeiten und Eskalationswege müssen über die Bereiche Business, Risk, Legal, Compliance, IT, Cybersicherheit und Procurement hinweg definiert werden.

Die Roadmap selbst sollte auf zwei Grundlagen aufbauen: einer Übersicht über kritische Informationsressourcen und -flüsse sowie einem kryptografischen Bestandsverzeichnis, aus dem hervorgeht, welche kryptografischen Verfahren wo eingesetzt werden. Nur durch die Kombination beider Perspektiven können Institute ermitteln, welche Prozesse vorrangig behandelt werden müssen, wo quantenanfällige Abhängigkeiten bestehen und welche externen Anbieter frühzeitig einbezogen werden müssen.

Die FINMA-Umfrage zeigt, dass viele Schweizer Institute das Thema zwar kennen, es jedoch bislang nur wenige in eine kontrollierte Managementagenda umgesetzt haben. Genau hier liegt die grosse Lücke.

Eine glaubwürdige PQC-Roadmap muss die Verantwortung auf Geschäftsebene, Cyber-Expertise, IT-Architektur, Procurement sowie Legal-, Risk- und Compliance-Aspekte miteinander verknüpfen. Sie muss ermitteln, welche Vermögenswerte zuerst quantensicher werden müssen, wo anfällige Kryptografie zum Einsatz kommt, welche Dritten beteiligt sind und welche Migrationsschritte nacheinander durchgeführt werden müssen, bevor der «Q-Day» erreicht ist – der Zeitpunkt, an dem Quantencomputer die heute gängigen Verschlüsselungen knacken können.

Doch die Roadmap ist nur der erste Schritt. Das langfristige Ziel ist Krypto-Agilität: die Fähigkeit, kryptografische Algorithmen flexibel zu ersetzen, wenn sich Standards weiterentwickeln, Schwachstellen auftreten oder die heute sicheren Algorithmen erneut ausgetauscht werden müssen. Für Schweizer Finanzinstitute ist PQC-Sicherheit daher kein einmaliges Migrationsprojekt. Sie beschreibt eine neue Fähigkeit für widerstandsfähiges, zukunftssicheres digitales Vertrauen.