Quantencomputer sind nicht einfach extrem schnelle Computer. Sie rechnen grundsätzlich anders. Genau deshalb könnten sie Probleme lösen, an denen selbst die besten klassischen Supercomputer scheitern – und gleichzeitig einen grossen Teil unserer heutigen Verschlüsselung unbrauchbar machen. Noch sind solche Maschinen nicht leistungsfähig genug. Aber die entscheidenden technischen Hürden werden zunehmend konkret.
Nicht schneller, sondern anders
Bei Quantencomputern liegt ein Missverständnis nahe: Man stellt sich einen heutigen Computer vor, nur millionenfach schneller.
Das trifft den Kern nicht.
Für eine E-Mail, eine Excel-Tabelle, ein Video oder eine Internet-Suche wäre ein Quantencomputer wenig hilfreich. Klassische Computer sind dafür hervorragend geeignet und werden es bleiben.
Der mögliche Vorteil des Quantencomputers besteht darin, bestimmte mathematische Probleme auf grundsätzlich andere Weise zu bearbeiten.
Ein klassischer Computer arbeitet mit Bits. Ein Bit ist entweder 0 oder 1.
Ein Quantencomputer verwendet dagegen Qubits. Ein Qubit kann sich in einer sogenannten Superposition verschiedener Zustände befinden. Mehrere Qubits können ausserdem miteinander verschränkt werden. Dadurch entsteht ein gemeinsamer Quantenzustand, der sich mit klassischen Bits nur sehr ineffizient darstellen lässt.
Dabei ist die populäre Formulierung, ein Quantencomputer «probiere einfach alle Lösungen gleichzeitig aus», irreführend. Würde man ihn lediglich messen, bekäme man am Ende trotzdem nur ein Ergebnis.
Die eigentliche Kunst des Quantenalgorithmus besteht darin, die verschiedenen quantenmechanischen Möglichkeiten so miteinander interferieren zu lassen, dass unerwünschte Resultate unterdrückt und gesuchte Resultate wahrscheinlicher werden.
Das ist die fundamentale Neuerung.
Ein Bild hilft: Der Quantencomputer ist nicht unbedingt ein schnellerer Wanderer. Für bestimmte Berge kennt er einen Weg durch einen Tunnel, während der klassische Rechner über den Berg steigen muss.
Shor und der Generalschlüssel für RSA
Warum das so bedeutend sein könnte, zeigte der Mathematiker Peter Shor bereits 1994.
Damals existierten noch keine ernstzunehmenden Quantencomputer. Shor entwickelte trotzdem einen Algorithmus, der zeigte: Wenn wir eines Tages einen ausreichend grossen Quantencomputer bauen können, kann dieser bestimmte mathematische Probleme sehr viel effizienter lösen als klassische Computer.
Eines davon ist die Zerlegung grosser Zahlen in ihre Primfaktoren.
Das klingt zunächst nach Schulmathematik.
Zwei Primzahlen miteinander zu multiplizieren ist einfach. Aus dem Produkt wieder die ursprünglichen beiden Primzahlen herauszufinden, wird dagegen bei sehr grossen Zahlen extrem schwierig.
Genau diese Asymmetrie nutzt das bekannte Verschlüsselungsverfahren RSA.
RSA gehört zur sogenannten Public-Key-Kryptografie. Man besitzt einen öffentlichen Schlüssel, den jeder kennen darf, und einen privaten Schlüssel, der geheim bleibt.
Man kann sich den öffentlichen Schlüssel wie einen Briefkasten vorstellen: Jeder darf einen Brief hineinwerfen. Öffnen kann ihn aber nur der Besitzer mit seinem privaten Schlüssel.
Ein wesentlicher Teil der Sicherheit von RSA beruht darauf, dass ein klassischer Computer aus bestimmten öffentlich bekannten Zahlen die zugrunde liegenden Primfaktoren praktisch nicht zurückberechnen kann.
Shors Algorithmus verändert genau diese Annahme.
Ein ausreichend grosser, fehlertoleranter Quantencomputer könnte die mathematische Struktur ausnutzen und die Faktorisierung effizient durchführen. Damit wäre RSA nicht deshalb unsicher geworden, weil jemand einen Programmierfehler gefunden hätte. Vielmehr hätte sich das Rechenmodell verändert, auf dessen Begrenztheit seine Sicherheit beruhte.
Auch die heute sehr verbreitete Kryptografie mit elliptischen Kurven, ECC, ist durch Shors Algorithmus grundsätzlich bedroht.
Aber ein solcher Quantencomputer existiert noch nicht
Das ist eine wichtige Einschränkung.
Die heutigen Quantencomputer können RSA-2048 nicht praktisch brechen. Davon sind sie noch weit entfernt.
Der Grund liegt weniger darin, dass wir zu wenige Qubits hätten, sondern vor allem darin, dass Qubits ausserordentlich empfindlich sind.
Ein Qubit reagiert auf seine Umgebung. Wärme, elektromagnetische Störungen, Materialfehler und selbst die notwendigen Steuerungsoperationen können seinen Quantenzustand verändern.
Quantencomputer machen deshalb ständig Fehler.
Und hier liegt gegenwärtig vermutlich die wichtigste Front der gesamten Forschung.
Aus vielen schlechten Qubits ein gutes machen
Die entscheidende Einheit eines zukünftigen Quantencomputers ist deshalb nicht das physische Qubit, sondern das logische Qubit.
Mehrere physische Qubits werden so miteinander kombiniert, dass Fehler erkannt und korrigiert werden können. Das daraus entstehende logische Qubit soll wesentlich zuverlässiger rechnen als jedes seiner einzelnen Bestandteile.
Das klingt zunächst verschwenderisch.
Tatsächlich können je nach Technologie zahlreiche physische Qubits notwendig sein, um ein einziges hochwertiges logisches Qubit zu erzeugen.
Deshalb sind Schlagzeilen wie «Neuer Quantencomputer mit 10’000 Qubits» nur begrenzt aussagekräftig.
Viel interessanter sind heute Fragen wie: Wie viele zuverlässige logische Qubits entstehen daraus? Wie hoch ist deren Fehlerrate? Und wie viele Rechenoperationen können sie durchführen, bevor das Ergebnis unbrauchbar wird?
Hier gab es in den vergangenen Jahren bemerkenswerte Fortschritte. Forscher können zunehmend zeigen, dass Fehlerkorrektur ein logisches Qubit tatsächlich zuverlässiger macht als die zugrunde liegenden physischen Qubits.
Das ist eine entscheidende Schwelle.
Denn erst dann beginnt aus einem faszinierenden quantenphysikalischen Experiment langsam ein Computer zu werden.
Der Quantencomputer wird wahrscheinlich kein einzelner Wunderchip
Auch die Architektur verändert sich.
Lange dominierte das Bild eines immer grösseren Quantenprozessors. Inzwischen zeichnet sich eher eine modulare Zukunft ab.
Mehrere Quantenchips könnten miteinander verbunden werden. Hinzu kommen enorme Kühlanlagen, klassische Steuerungselektronik und Hochleistungscomputer, die fortlaufend Messdaten auswerten und Fehler korrigieren.
Der zukünftige Quantencomputer dürfte deshalb eher einem Supercomputer aus vielen spezialisierten Modulen ähneln als einem besonders leistungsfähigen PC.
Dabei konkurrieren weiterhin verschiedene Technologien miteinander: supraleitende Qubits, gefangene Ionen, neutrale Atome, Photonen, Silizium-Spin-Qubits und andere Ansätze.
Noch ist keineswegs entschieden, welches Konzept sich langfristig durchsetzen wird.
Und wozu das Ganze ausser zum Knacken von Verschlüsselung?
Kryptografie ist spektakulär, aber vermutlich nicht die interessanteste langfristige Anwendung.
Die Natur selbst funktioniert quantenmechanisch. Moleküle, chemische Bindungen und Materialien werden von Quanteneffekten bestimmt.
Klassische Computer müssen solche Systeme mühsam simulieren. Mit zunehmender Grösse explodiert der Rechenaufwand.
Ein Quantencomputer ist dagegen selbst ein Quantensystem.
Daher liegt eine grosse Hoffnung in der Simulation von Molekülen und Materialien.
Mögliche Anwendungen reichen von neuen Batteriematerialien über Katalysatoren bis zur Wirkstoffforschung. Ob daraus tatsächlich die oft versprochenen revolutionären Medikamente oder Materialien entstehen, ist noch offen. Aber hier gibt es zumindest einen überzeugenden physikalischen Grund, warum Quantencomputer eines Tages klassischen Rechnern überlegen sein könnten.
Bei allgemeinen Optimierungsproblemen und künstlicher Intelligenz sollte man dagegen vorsichtiger sein. Dort wird sehr viel versprochen, aber ein grosser praktischer Quantenvorteil ist bisher keineswegs bewiesen.
Warum wir die Verschlüsselung schon heute austauschen
Das führt zu einem scheinbaren Widerspruch.
Wenn der gefährliche Quantencomputer noch gar nicht existiert, weshalb stellen Unternehmen und Behörden ihre Verschlüsselung bereits um?
Die Antwort lautet: Harvest now, decrypt later.
Ein Geheimdienst oder Angreifer kann heute verschlüsselte Daten abfangen und speichern.
Er muss sie heute gar nicht lesen können.
Wenn in zehn oder fünfzehn Jahren ein geeigneter Quantencomputer verfügbar wäre, könnte er versuchen, die alten Aufzeichnungen nachträglich zu entschlüsseln.
Für eine belanglose Nachricht von heute ist das irrelevant. Für militärische Informationen, Gesundheitsdaten, Geschäftsgeheimnisse oder staatliche Kommunikation kann eine Vertraulichkeitsdauer von Jahrzehnten dagegen durchaus wichtig sein.
Deshalb beginnt die Migration bereits jetzt.
Die Kryptografie nach RSA
Die neuen Verfahren werden unter dem Begriff Post-Quantum Cryptography, kurz PQC, zusammengefasst.
Der Name kann ebenfalls zu einem Missverständnis führen: Dafür braucht man keinen Quantencomputer.
Post-Quantum-Kryptografie läuft auf ganz normalen Computern.
Man ersetzt lediglich die mathematische Grundlage der Verschlüsselung.
Statt Problemen wie Primfaktorzerlegung oder diskreten Logarithmen verwendet man mathematische Aufgaben, für die bislang weder klassische noch Quantencomputer einen effizienten Lösungsweg kennen.
Besonders wichtig sind heute gitterbasierte Verfahren. Vereinfacht kann man sich dabei riesige mehrdimensionale Zahlengitter vorstellen, in denen bestimmte Aufgaben leicht in eine Richtung, aber extrem schwierig rückwärts zu lösen sind.
Das US-amerikanische National Institute of Standards and Technology, NIST, hat nach einem jahrelangen internationalen Auswahlverfahren erste Standards verabschiedet. Dazu gehören insbesondere ML-KEM für sicheren Schlüsselaustausch sowie ML-DSA und SLH-DSA für digitale Signaturen.
Browser, Messenger, Cloudanbieter und Betriebssysteme beginnen bereits mit der Einführung solcher Verfahren.
Für den normalen Benutzer dürfte der grösste Teil dieser Revolution nahezu unsichtbar stattfinden.
Ist «quantensicher» wirklich sicher?
Auch hier lohnt sich sprachliche Vorsicht.
Kein seriöser Kryptograf kann beweisen, dass ein Verfahren niemals geknackt werden wird.
«Quantensicher» bedeutet im Wesentlichen: Nach heutigem Wissen kennen wir keinen effizienten klassischen oder Quantenalgorithmus, der dieses mathematische Problem löst.
Neue Mathematik könnte diese Einschätzung verändern.
Deshalb ist vielleicht eine andere Entwicklung langfristig noch wichtiger als der jeweilige neue Verschlüsselungsalgorithmus: Crypto Agility.
Software und Infrastruktur sollen künftig so gebaut werden, dass kryptografische Verfahren ausgetauscht werden können, ohne das gesamte System neu entwickeln zu müssen.
Das Bild vom Schloss passt wieder: Wir versuchen nicht mehr, ein Schloss einzubauen, von dem wir behaupten, es werde die nächsten fünfzig Jahre unangreifbar bleiben.
Wir bauen die Tür so, dass sich der Schliesszylinder problemlos ersetzen lässt.
Wann kommt der grosse Quantencomputer?
Hier beginnt der spekulative Teil.
Unternehmen wie IBM, Google, Microsoft und Quantinuum nennen ambitionierte Ziele für das Ende dieses Jahrzehnts und die frühen 2030er Jahre.
Solche Roadmaps sollte man ernst nehmen – aber nicht mit Prognosen verwechseln.
Plausibel erscheint derzeit, dass gegen Ende der 2020er Jahre zunehmend bessere kleine fehlertolerante Systeme entstehen. In den frühen 2030er Jahren könnten daraus Quantencomputer hervorgehen, die bei einzelnen wissenschaftlichen Problemen tatsächlich einen praktischen Nutzen besitzen.
Wann ein Quantencomputer gross und zuverlässig genug sein wird, um beispielsweise RSA-2048 mit Shors Algorithmus praktisch zu brechen, lässt sich dagegen nicht seriös vorhersagen.
Es könnten zehn Jahre sein. Es könnten deutlich mehr sein. Technische Hindernisse könnten sich als viel hartnäckiger erweisen als erwartet.
Genau diese Unsicherheit erklärt aber, weshalb die Kryptografie nicht warten kann.
Die weltweite IT-Infrastruktur lässt sich nicht innerhalb eines Wochenendes austauschen.
Was bleibt?
Drei Dinge scheinen mir für den interessierten Laien besonders wichtig.
Erstens: Ein Quantencomputer ist nicht einfach ein schnellerer Computer. Seine Bedeutung liegt darin, dass er für bestimmte Probleme einen fundamental anderen Rechenweg eröffnet.
Zweitens: Die entscheidende technische Entwicklung ist derzeit nicht die möglichst grosse Zahl physischer Qubits, sondern die Fähigkeit, daraus zuverlässige logische Qubits zu erzeugen und mit ihnen lange fehlerkorrigierte Berechnungen durchzuführen.
Drittens: Die Bedrohung unserer heutigen Verschlüsselung ist real, aber nicht unmittelbar. Gerade deshalb beginnt die Umstellung bereits heute. Wenn sie rechtzeitig gelingt, wird der erste kryptografisch relevante Quantencomputer keinen Zusammenbruch des Internets auslösen. Er wird auf eine digitale Welt treffen, die ihre wichtigsten Schlösser bereits ausgetauscht hat.
Vielleicht ist genau das die interessanteste Pointe dieser Entwicklung: Wir bauen gleichzeitig eine neue Art von Computer – und vorsorglich bereits die Mathematik, die uns vor ihm schützen soll.
Schreibe einen Kommentar