Post-Quanten-Verschlüsselung und Ihre Website: ein Praxis-Check
Wo berührt die Post-Quanten-Verschlüsselung Ihre Website? Ein ruhiger, praktischer TLS-1.3-Check für eine Firmenseite, ohne Alarmton und ohne Fachchinesisch.
rabbitclip-TeamVeröffentlicht: 5 Min. Lesezeit
Kurz gesagt
Post-Quanten-Verschlüsselung ist der Name für neue Verfahren, die für den Fall entwickelt werden, dass Quantencomputer eines Tages die heutige Verschlüsselung brechen. Für eine Firmenseite bedeutet das praktisch kein großes Projekt, sondern eine Prüfung: Ist TLS 1.3 eingeschaltet? Wenn ja und der Browser des Besuchers es unterstützt, schaltet sich der Post-Quanten-Schlüsselaustausch oft von selbst ein, ohne dass Sie etwas Zusätzliches tun. Bei einer Seite hinter Cloudflare funktioniert es genau so.
Laut dem Beitrag von Cloudflare vom 29. September 2026 hat sich die Browserseite bereits weit verbreitet; offen ist, was auf der Serverseite liegt. Die Frage lautet also nicht, ob Sie ein Budget für die Vorbereitung auf die Zukunft einplanen, sondern ob Ihre jetzige Konfiguration dieser Unterstützung im Weg steht.
Unten lesen Sie, wo die Post-Quanten-Verschlüsselung Ihre Seite berührt, welche Zahlen Cloudflare veröffentlicht hat, wie Sie prüfen, welche Fehler am häufigsten vorkommen und in welchen Fällen Sie sich überhaupt keine Zeit dafür nehmen müssen.
Wo berührt die Post-Quanten-Verschlüsselung eine Website?
Wenn sich ein Besucher über https mit Ihrer Seite verbindet, einigen sich Browser und Server zuerst auf einen gemeinsamen geheimen Schlüssel; das nennt man Schlüsselaustausch. Die Post-Quanten-Verschlüsselung zielt auf genau diesen Schritt. Das Verfahren im Beitrag von Cloudflare ist ein Hybrid: Das heutige X25519-Verfahren arbeitet zusammen mit dem neuen ML-KEM-Verfahren (X25519MLKEM768). Sollte sich eines unerwartet als schwach erweisen, hält das andere weiter.
Das ändert nichts an Ihren Inhalten, Ihren Seiten oder Ihrer Datenbank. Geändert wird, wie der Handshake zwischen Browser und Server abläuft. Damit ist es weniger eine Aufgabe für Webdesign oder Softwareentwicklung als eine Frage der Infrastruktureinstellungen.
Was zeigen die Zahlen von Cloudflare?
Im Beitrag von Cloudflare vom 29. September 2026, der sich auf Daten von Cloudflare Radar stützt, heißt es, dass etwa 70 Prozent des Browser-Verkehrs den hybriden ML-KEM-Schlüsselaustausch nutzen. Bei den Ursprungsservern, mit denen sich Cloudflare verbindet, also den Rechnern, auf denen die Seite tatsächlich gehostet ist, liegt der Anteil bei etwa 15 Prozent.
Diese Lücke sagt praktisch etwas aus: Die Besucherseite ist weitgehend bereit, die Serverseite noch nicht. Die Zahlen stammen aus dem eigenen Verkehr von Cloudflare; sie bilden weder die Türkei noch Ihre eigene Seite ab. Sie zeigen aber trotzdem, wo das fehlende Glied liegt.
- Etwa 70 Prozent des Browser-Verkehrs nutzen hybrides ML-KEM
- Nur etwa 15 Prozent der Ursprungsserver tun das
- Die Zahlen beschreiben das eigene Netz von Cloudflare, nicht jede Seite
Wie führen Sie einen praktischen Check Ihrer Seite durch?
Wenn Sie Cloudflare nutzen, schauen Sie zuerst in die Einstellung Edge Certificates unter SSL/TLS; TLS 1.3 sollte aktiviert sein. Laut dem Beitrag von Cloudflare wählt Cloudflare den Post-Quanten-Schlüsselaustausch selbst, wenn der Browser des Besuchers ihn unterstützt; eine eigene Einstellung dafür gibt es nicht.
Es gibt zwei Wege zu sehen, was tatsächlich passiert. Der Reiter Security in den Chrome DevTools zeigt den Algorithmus des Schlüsselaustauschs einer Verbindung. Auf der Cloudflare-Seite ist in HTTP Traffic Analytics eine neue Karte TLS Key Exchange Groups erschienen, dazu die Felder ClientTLSKeyExchangeGroup und OriginTLSKeyExchangeGroup in Logpush und Log Explorer. Wenn Sie Cloudflare nicht nutzen, können Sie den allgemeinen Sicherheitszustand Ihrer Seite mit der Sicherheitsprüfung von rabbitclip ansehen.
- Ist TLS 1.3 unter SSL/TLS, Edge Certificates, aktiviert
- Zeigt der Reiter Security in den Chrome DevTools den Schlüsselaustausch
- Die Karte TLS Key Exchange Groups in HTTP Traffic Analytics
- Die Felder ClientTLSKeyExchangeGroup und OriginTLSKeyExchangeGroup in Logpush und Log Explorer
- Beim Hosting-Anbieter nachfragen, ob der Server TLS 1.3 unterstützt
Was gilt, wenn der Ursprungsserver es nicht unterstützt?
Cloudflare empfiehlt für den Fall, dass Ihr Ursprungsserver diesen Schlüsselaustausch nicht unterstützt, Cloudflare Tunnel zu verwenden. Der Tunnel stellt die Verbindung zwischen Cloudflare und Ihrem Server her. Für die genaue Einrichtung brauchen Sie die Dokumentation von Cloudflare; wir geben hier nur die im Beitrag genannte Empfehlung wieder.
Auch bei Zertifikaten ist etwas in Bewegung. Am 29. September 2026 legte Cloudflare einen Plan für eine Post-Quanten-Zertifizierungsstelle auf Basis von Merkle Tree Certificates vor und schrieb, dass sie kostenlose Zertifikate ausstellen werde. Am 1. Oktober 2026 kündigte Cloudflare native Web-Crypto-Unterstützung für ML-KEM und ML-DSA in Workers an, als Opt-in. Das sind ein Plan und eine Entwicklerfunktion; betrachten Sie sie nicht als Arbeit, die auf einer Firmenseite heute anfällt.
Welche Fehler kommen hier häufig vor?
Der häufigste Fehler ist, das Thema entweder ganz zu ignorieren oder in Panik teure Beratung einzukaufen. Beides ist nicht nötig. Der dritte ist, sich nicht an eine Einstellung zu erinnern, die TLS 1.3 vor Jahren abgeschaltet hat, vielleicht im Zuge einer alten Sicherheitsvorgabe.
Ein weiterer ist, Post-Quanten-Verschlüsselung mit der Erneuerung des Zertifikats zu verwechseln. Der Ablauf Ihres Zertifikats ist eine eigene Angelegenheit, und die Post-Quanten-Verschlüsselung ändert daran heute nichts.
- Es ignorieren oder deswegen in Panik geraten
- Teure Beratung einkaufen
- Eine vor Jahren abgeschaltete TLS-1.3-Einstellung nicht bemerken
- Zertifikatserneuerung mit Schlüsselaustausch verwechseln
Wann ist dieser Aufwand unnötig oder die falsche Wahl?
Liegt Ihre Seite nicht hinter Cloudflare oder einem ähnlichen Netzwerk und befindet sich ihre Verwaltungsoberfläche nur bei Ihrem Hosting-Anbieter, ist der erste Schritt, bei diesem nachzufragen; gehen Sie nicht auf eigene Faust an die Servereinstellungen. Bei einer Visitenkartenseite mit sehr wenigen Besuchern, die keine sensiblen Daten enthält, wäre es außerdem die falsche Priorität, Stunden darauf zu verwenden.
Cloudflare schreibt, es peile 2029 für vollständige Post-Quanten-Sicherheit an, und verweist auf einen Vorschlag des NIST, RSA und ECC bis 2030 auszumustern. Diese Daten sind die Darstellung von Cloudflare und ein Vorschlag, kein feststehender Zeitplan. Für heute reicht ein ruhiger Check.
Kurz gesagt: Stellen Sie sicher, dass TLS 1.3 aktiv ist, fragen Sie Ihren Hosting-Anbieter nach Ihrem Ursprungsserver und geraten Sie wegen des Rests nicht in Panik. Die Besucherseite ist weitgehend bereit; das fehlende Glied liegt meist auf der Serverseite. Wenn Sie Ihre Infrastruktureinstellungen gemeinsam durchgehen möchten, führen wir bei rabbitclip gern ein ruhiges Kennenlerngespräch mit Ihnen.
Häufige Fragen
Muss ich für die Post-Quanten-Verschlüsselung etwas auf meiner Seite installieren?
Hinter Cloudflare in der Regel nicht. Laut dem Beitrag von Cloudflare wählt Cloudflare den Post-Quanten-Schlüsselaustausch selbst, wenn TLS 1.3 aktiv ist und der Browser des Besuchers ihn unterstützt. Eine eigene Einstellung gibt es nicht.
Wie finde ich heraus, ob TLS 1.3 aktiv ist?
In Cloudflare schauen Sie im Bereich SSL/TLS unter Edge Certificates nach. Wenn Sie Cloudflare nicht nutzen, fragen Sie Ihren Hosting-Anbieter. Auch der Reiter Security in den Chrome DevTools zeigt die Einzelheiten einer Verbindung.
Was ist ML-KEM?
Es ist ein Schlüsselaustauschverfahren für die Post-Quanten-Ära. In der hybriden Form, die Cloudflare beschreibt, arbeitet es mit dem heutigen X25519-Verfahren zusammen, und die Kombination wird X25519MLKEM768 geschrieben.
Ist das ein Notfall?
Der Beitrag von Cloudflare beschreibt keinen Notfall, sondern Sichtbarkeit und Vorbereitung. Der vernünftige Schritt für eine Firmenseite ist, TLS 1.3 zu prüfen und den Zustand des Ursprungsservers zu erfahren.
Quellen
Die konkreten Angaben in diesem Beitrag beruhen auf diesen offiziellen Seiten; prüfen Sie dort den aktuellen Stand.
