Zum Inhalt springen

Geprüfte Ausgabe · qasb-Bericht 10/2026 · Themenbericht · Krypto und Quanten

Kryptographie und Quanten: Schwachstellen vor allem in Implementierungen

Ein Bruch der Standards ML-KEM, ML-DSA und SLH-DSA ist nicht belegt. Schwächen zeigten sich in Bibliotheken, Geräten und alten TLS-Konfigurationen. Bei Quantenrechnern gab es Fortschritte bei Bausteinen, nicht bei Angriffen.

Veröffentlicht
27. Oktober 2026 · Stand 26. Oktober
Lesezeit
14 Min.
Herausgeber
qasb Research
Methodik
qasb Methodik v1

Kernbefunde

  1. 2030ist das Zieljahr, bis zu dessen Ende die niederländische Zentralverwaltung Anwendungen mit hohem Risiko umstellen soll.27Evidenztyp: beobachtet
  2. 640Domains der Tranco-Top-1-Million waren laut Studie für eine Bleichenbacher-Variante bei RSA-Schlüsselaustausch anfällig.4Evidenztyp: beobachtet
  3. 1,85-facheFehlerunterdrückung durch größeren Code maß ein Preprint auf IBM-Cloud-Hardware bestenfalls, viel zu wenig für Angriffe.39Evidenztyp: beobachtet
  4. etwa 4,6-malso viele physikalische Qubits wie meist geschätzt bräuchte laut einer Modellrechnung ein Angriff auf RSA-2048 im Median.33Evidenztyp: modellgeschätzt

1.0Zusammenfassung

Das BSI, das britische NCSC und die niederländische Regierung legten im Oktober 2026 Empfehlungen und Zeitpläne für die Umstellung auf Post-Quanten-Kryptografie vor. KI-Unterstützung beschreiben die Quellen bei Beweisen, Angriffsideen und Schaltkreisen.

  • Das BSI rät vorerst vom Neueinsatz von Classic McEliece ab, das NCSC empfiehlt für TLS 1.3 hybride Post-Quanten-Schlüsseleinigung.
  • Die meisten hier beschriebenen Implementierungsangriffe brauchen physischen Zugriff oder alte Konfigurationen, etwa bei TPM-Festplattenverschlüsselung oder RSA-Schlüsselaustausch.
  • Laut einer Modellrechnung bräuchten Angriffe auf RSA-2048 mehr Qubits als meist geschätzt, auch ohne den dort gesetzten Zuschlag von 30 % (dann im Median etwa 2,9-mal so viele).
  • Wie KI beteiligt war, schildern oft nur Autoren oder Hersteller, meist in Preprints ohne Begutachtung.

2.0Ausgangslage: Empfehlungen, Fristen und Förderung

Ein Quantenangriff auf eingesetzte Verfahren ist nicht belegt, dennoch wird die Umstellung geplant. Die Niederlande gaben ihrer Zentralverwaltung Zieltermine bis 2035, BSI und NCSC veröffentlichten Empfehlungen. Für TLS-Signaturen und -Zertifikate bleiben laut NCSC ECDSA und RSA empfohlen, bis Post-Quanten-Verfahren dafür standardisiert sind. Die USA schrieben Mittel für Prüfwerkzeuge fehlertoleranter Rechner aus.

Abbildung 1

Empfehlungen und Fristen zur Post-Quanten-Umstellung

Empfehlungen aus dem Oktober 2026 und Zieltermine der niederländischen Zentralverwaltung bis 2035

  1. Okt. 2026BSI-Hinweis zu Classic McElieceDas BSI rät vorerst davon ab, das Verfahren in Neuentwicklungen einzusetzen; einen praktischen Angriff auf die empfohlenen Parametersätze erlauben die bisherigen Ergebnisse laut BSI nicht.
  2. Okt. 2026Niederländische QuantenstrategieNeun Ministerien legen einen Zeitplan vor; bis Ende 2026 sollen die Behörden das Quantenrisiko in ihr Risikomanagement aufnehmen.
  3. Okt. 2026NCSC-Richtlinie, Version 1.2Hybride Post-Quanten-Schlüsseleinigung für TLS 1.3 als Übergangslösung empfohlen, reines ML-KEM ebenfalls akzeptabel.
  4. 2027Ziel: MigrationsplanungenBis Ende 2027 sollen Migrationsplanungen der Zentralverwaltung vorliegen, mindestens im Entwurf.
  5. 2028Ziel: quantensicher beschaffenBis Ende 2028 soll die Verwaltung quantensichere Kryptografie in Beschaffungen verlangen können.
  6. 2030Ziel: hohes Risiko umgestelltBis Ende 2030 sollen Fälle mit hohem Risiko umgestellt sein. AIVD und RDI raten, sich schon um 2030 auf Quantenrechner vorzubereiten, die heutige, vor allem asymmetrische Kryptografie brechen können.
  7. 2035Ziel: mittleres Risiko umgestelltBis Ende 2035 sollen Fälle mit mittlerem Risiko folgen. Ein Quantenrechner, der heutige, vor allem asymmetrische Kryptografie bricht, wird laut internationalen Einschätzungen 2029 bis 2035 erwartet.
Die Zieltermine ab Ende 2026 gelten für die niederländische Zentralverwaltung und sind kein Gesetz; Abweichungen sind möglich, Mittel sollen aus bestehenden Budgets kommen, sonst werden Ziele angepasst. BSI und NCSC geben Empfehlungen, keine Messung der Verbreitung; der BSI-Hinweis ist vorläufig.Evidenztyp: beobachtet · Quellen 3, 7, 24, 27

Das BSI rät seit dem 1. Oktober 2026, das Post-Quanten-Schlüsseleinigungsverfahren Classic McEliece derzeit nicht mehr in Neuentwicklungen oder bei der Planung neuer kryptografischer Anwendungen einzusetzen, nachdem die Kryptoanalyse des Verfahrens 2026 deutliche Fortschritte gemacht hat; einen praktischen Angriff mit den in der Technischen Richtlinie TR-02102-1 empfohlenen Parametersätzen erlauben die bisherigen Ergebnisse laut BSI nicht.3,24A1

Die niederländische Regierung legte am 5. Oktober 2026 eine ressortübergreifende Quantenstrategie vor, die der Zentralverwaltung einen Zeitplan für die Umstellung auf Post-Quanten-Kryptografie gibt: bis Ende 2027 (Entwurfs-)Migrationsplanungen, bis Ende 2028 die Fähigkeit, quantensichere Kryptografie in Beschaffungen zu verlangen, bis Ende 2030 die Umstellung der Anwendungsfälle mit hohem Risiko und bis Ende 2035 die mit mittlerem Risiko.27A2

Ältere Kontextstudie: Das britische NCSC hat seine seit Juli 2021 bestehende TLS-Richtlinie am 15. Oktober 2026 (Version 1.2) um Post-Quanten-Empfehlungen erweitert: Für TLS 1.3 empfiehlt es als Übergangslösung die hybriden Schlüsseleinigungen X25519MLKEM768, SecP256r1MLKEM768 und SecP384r1MLKEM1024 aus RFC 10024 und hält reines ML-KEM (MLKEM768, MLKEM1024) ebenfalls für akzeptabel; nur TLS 1.3 schützt laut NCSC bei richtiger Konfiguration gegen Quantenangriffe.7A3

Weitere Befunde

  • Das US-Energieministerium plant laut einer Ausschreibung vom September 45 Millionen US-Dollar für Prüfwerkzeuge fehlertoleranter Rechner.28A4

3.0Implementierungen: wo Angriffe ansetzen

Die Arbeiten dieses Kapitels betreffen Seitenkanäle, Fehler in Bibliotheken, Zertifikate, alte TLS-Konfigurationen und Festplattenverschlüsselung. Keine zeigt einen Bruch der Standards FIPS 203, 204 oder 205. In den meisten Fällen braucht ein Angreifer physischen Zugang zum Gerät oder eine veraltete Konfiguration. Alle Arbeiten wurden nur im Abstract geprüft, die meisten sind nicht begutachtet.

Abbildung 2

Schlüssel aus einer Messspur bei MILENAGE, dem Authentifizierungsverfahren auf USIM-Karten im Mobilfunk

Anteil erfolgreicher Angriffe je Lösungsverfahren, profilierter Seitenkanalangriff, Preprint Oktober 2026

Alle drei Verfahren bauen auf Vorhersagen neuronaler Netze auf; der Vergleich zeigt den Zugewinn der Kombination, nicht den Beitrag der KI. Ob reale Karten gemessen wurden, nennt der Abstract nicht; keine Unsicherheitsangabe, nicht begutachtet.Evidenztyp: beobachtet · Quellen 20

Eine neue Variante des Bleichenbacher-Angriffs auf RSA-Verschlüsselung nach PKCS#1 v1.5 schloss laut einer Arbeit vom Oktober 2026 unter realistischen Bedingungen mit nur einem verwundbaren Server (2,6 ms mediane Umlaufzeit) 68,3 % der Läufe innerhalb von 30 Sekunden ab, frühere Algorithmen keinen; die Autoren fanden 640 verwundbare Domains unter der Top-1-Million der Tranco-Liste.4A5

Eine am 24. Oktober 2026 veröffentlichte erweiterte Fassung eines im August 2026 vorgestellten Workshop-Beitrags von Autoren des BSI zeigt passive und aktive Angriffe auf TPM-2.0-basierte Festplattenverschlüsselung, mit denen die Autoren BitLocker unter Windows und alle aktuellen Linux-Umsetzungen brechen, auch solche mit verschlüsselter Bus-Kommunikation.19A6

Ein Preprint von Ende September 2026 verweist auf bereits gemeldete fehlerhafte Umsetzungen der Fujisaki-Okamoto-Prüfung in eingesetzten ML-KEM- und Kyber-Bibliotheken (pqc_kyber und cosmian_kyber: RUSTSEC-2026-0290 und -0288; wolfSSL: CVE-2026-10097 und CVE-2026-6330) und zeigt, dass schon eine einzige ungeprüfte Chiffretext-Koordinate genügt, um den Schlüssel mit einigen hunderttausend Entkapselungsanfragen zu rekonstruieren.11A7

Ein Preprint vom Oktober 2026 rekonstruiert aus einer einzigen Messspur den Teilnehmerschlüssel K und den Betreiberwert OPc des MILENAGE-Authentifizierungsverfahrens, das auf USIM-Karten im Mobilfunk eingesetzt wird; ein hybrider Ansatz aus Belief Propagation und SAT-Löser gelingt in 93,8 % der Angriffe.20A8

Weitere Befunde

  • Eine Messspur ergab laut einem Preprint in 99 % der Fälle den Schlüssel einer ML-DSA-Umsetzung auf einem Mikrocontroller, Suchbudget 2^70.5A9
  • Den Schlüssel einer erstgradig maskierten Kyber768-Umsetzung lieferten laut einem Preprint etwa 2.200 Messspuren nach Profilierung.9A10
  • Den geheimen Seed einer SLH-DSA-Umsetzung mit SHAKE gewann ein Preprint aus dem Stromverbrauch, im Mittel aus 280 bis 559 Signaturen.10A11
2 weitere Befunde
  • Bricht ein Quantenrechner einen klassischen CA-Schlüssel, sind Catalyst-Zertifikate laut einer Analyse gegen rein klassische austauschbar.8A12
  • Forscher verifizierten nach eigenen Angaben erstmals formal die additiven FFT-Routinen von Classic McEliece und HQC.18A13

4.0Kryptoanalyse: neue Ideen, kein Bruch eingesetzter Verfahren

Mit KI-Werkzeugen entstanden Beweise, Schwachstellenbefunde und Angriffsideen, andere Arbeiten senkten Kostenschätzungen oder beschleunigten bekannte Angriffe. Keine Arbeit bricht ein eingesetztes Verfahren. Die Angaben zur Rolle der KI stammen meist von Autoren oder Herstellern, unabhängig bestätigt ist keine. Die Schwachstellen im chinesischen Wettbewerb betreffen neue Kandidaten, keine eingesetzten Standards.

Abbildung 3

Die erste Woche des NGCC-Wettbewerbs

Erstrundenkandidaten und öffentlich gewordene Schwachstellenbefunde, laut Preprint

Die Befunde betreffen neue Kandidaten, keine eingesetzten Standards. Die Rolle der KI beschreibt der Autor, dessen Projekt die 110 Befunde meldete, unabhängig bestätigt ist sie nicht.Evidenztyp: beobachtet · Quellen 6

Eine nach Angaben der Autoren mit KI-Werkzeugen erarbeitete, nicht begutachtete Arbeit legt Beweise für subexponentielle klassische Algorithmen vor, die geheime Schlüsselanteile in wachsenden Parameterfamilien rekonstruieren; diese Familien sind mit allen sieben Gitterkandidaten der dritten NIST-Runde verbunden, darunter Kyber/ML-KEM und Dilithium/ML-DSA. Eine Verringerung der konkreten Sicherheit der festgelegten Parametersätze belegen die Ergebnisse laut Autoren nicht.2A14

Laut einem Preprint vom 30. September 2026 wurden in der ersten Woche nach Veröffentlichung der 119 Erstrundenkandidaten des chinesischen NGCC-Kryptografiewettbewerbs am 20.09.2026 191 Schwachstellenbefunde zu 89 Kandidaten öffentlich, 78 davon als kritisch eingestuft; 110 davon fand, prüfte und meldete das Evaluationsprojekt des Autors mit einem agentischen KI-Arbeitsablauf.6A15

Laut einer Analyse nutzt das KI-Werkzeug DeepDistinguisher, das Goppa-Codes von Zufallscodes unterscheiden soll, teilweise ein Artefakt der Trainingsdaten.

Ältere Kontextstudie: Ein im August 2026 eingereichter und am 13. Oktober zuletzt revidierter Preprint beschreibt den Strukturangriff HOVER auf McEliece-Schlüssel, dessen wichtigste Abkürzung laut Autor mit einem großen Sprachmodell gefunden wurde; damit gewann der Autor die Schlüssel von fünf McEliece-Herausforderungen des Technology Innovation Institute, darunter TII-252.21A16

Eine im Oktober 2026 veröffentlichte Analyse des KI-Werkzeugs DeepDistinguisher, das Goppa-Codes (Grundlage des McEliece-Verfahrens) von Zufallscodes unterscheiden soll, zeigt, dass das Transformer-Modell teilweise ein Artefakt der Trainingsdaten nutzt, und deutet darauf hin, dass es allgemeine kombinatorische Eigenschaften statt verborgener algebraischer Struktur auswertet.14A17

Weitere Befunde

  • OpenAI beansprucht einen modellerzeugten, nicht begutachteten Beweis zur Matrixmultiplikation, eine Schwächung von ML-KEM ist nicht gezeigt.15,16A18
  • Ein Angriff auf HSS/LMS und XMSS mit SHA-256 bräuchte bei 2^64 Signaturen laut einem Preprint etwa 2^166 statt 2^256 Aufrufe, viel zu viele.13A19
  • Für den Signaturkandidaten MAYO senkt ein Preprint die geschätzte Sicherheit je nach Variante um etwa 6, 4 und 2 Bit.12A20
2 weitere Befunde
  • Laut einem Preprint läuft Pollard-Rho für ECC2K-130 auf einer Blackwell-GPU rund 230-mal so schnell wie 2010, gelöst ist die Aufgabe nicht.23A21
  • Vorgeschlagene Halbprimzahl-Zertifikate geben laut einem Preprint unter bestimmten Bedingungen die Faktoren preis.22A22

5.0Quantenrechner: Fortschritte bei Bausteinen

Fortschritte gab es bei Fehlerkorrektur, kodierten Rechnungen und Prozessorverbindungen, nicht bei Angriffen. Eine Modellrechnung hält übliche Ressourcenschätzungen für zu eng und zu optimistisch: Angriffe bräuchten danach eher mehr Qubits. Sie beruht aber auf älteren Schaltkreiszählungen und einem gesetzten Zuschlag auf die Fehlerrate.

Quantinuum zeigte auf seinem Ionenfallen-Prozessor Helios Quantenfehlerkorrektur mit Farbcodes der Distanz 3, 5 und 7 unterhalb der Fehlerschwelle: Je Distanzstufe sank die logische Fehlerrate etwa um den Faktor 12, bei Distanz 7 auf rund 5·10^-6 pro Syndromrunde.26A23

Forscher des Pacific Northwest National Laboratory und weiterer Einrichtungen maßen auf einem über die Cloud zugänglichen IBM-Prozessor (Nighthawk r2) eine Unterdrückung logischer Fehler: Beim Schritt von geschützter Distanz 3 auf 6 sank der logische Fehler pro Runde von 0,53 % auf 0,24 % (Z-Speicher) und von 0,52 % auf 0,22 % (X-Speicher), entsprechend Unterdrückungsfaktoren von 1,68 und 1,85.39A24

Ob ein Preprint von Daniel R. Simon einen polynomiellen Quantenalgorithmus für Gitterprobleme wie LWE liefert, ist offen umstritten.

Eine Unsicherheitsanalyse vom Oktober 2026 kommt zu dem Schluss, dass übliche Ressourcenschätzungen für Quantenangriffe auf RSA-2048, ECC-256 und AES-256 zu eng und zu optimistisch sind: Mit einer aus gemessenen Fehlerraten abgeleiteten Annahme (Median etwa 4·10^-3 statt der üblichen 10^-3) umfasst das 90-%-Intervall der benötigten physikalischen Qubits etwa einen Faktor 40, und für RSA-2048 liegt sein Median etwa 4,6-mal über der üblichen Punktschätzung.33A25

Ältere Kontextstudie: Ob der im August 2026 vorgelegte und zuletzt am 8. Oktober revidierte Preprint von Daniel R. Simon (Amazon Web Services) einen polynomiellen Quantenalgorithmus für das Dihedral-Coset-Problem und damit für Gitterprobleme wie LWE liefert, ist offen umstritten: Eine Gegenarbeit von Forschern des MIT, von Google und der Stanford University gibt an, mit Lean-4-Code zu zeigen, dass der Algorithmus nicht funktionieren kann; der Autor ergänzte im Oktober eine Notiz, die auf diese Einwände eingeht.37,38A26

Weitere Befunde

  • Auf einem IBM-Prozessor verschränkten Forscher zwei logische Qubits mit Bell-Fidelitäten über 93 %, gestützt auf Nachauswahl.30A27
  • Auf Helios-1 liefen kodierte Addierer bis drei Bit fehlerärmer als unkodierte, fehlerhafte Durchläufe wurden verworfen.29A28
  • IBM koppelte in einer eigenen Studie zwei Prozessoren über 80 cm Kabel, CZ-Gatter zwischen ihnen erreichten im Mittel 94,75 % Fidelität.31A29
1 weiterer Befund
  • Eine sparsamere Variante von Regevs Algorithmus braucht weiterhin mehr Qubits als die besten Umsetzungen von Shors Algorithmus.32A30

6.0KI als Werkzeug: Kurven-Seeds, Beweise und Schaltkreise

Die Quellen dieses Kapitels beschreiben KI-Beteiligung beim Aufklären der Herkunft der NIST-Kurven-Seeds, bei einem maschinengeprüften Beweis, der Suche nach Schaltkreisen und Codes, der Dekodierung und der Kalibrierung sehr kleiner Geräte. Keiner dieser Befunde ist ein Angriff auf eingesetzte Verfahren. Schaltkreissuche und Kalibrierung werden nicht mit einem Vorgehen ohne KI verglichen.

Abbildung 4

Neuronaler Decoder gegenüber dem Standardverfahren

Logischer Fehler pro Runde auf einem IBM-Prozessor der Nighthawk-Generation, dieselben Messdaten

Niedrigere Werte sind besser, keine Unsicherheitsangabe. Bei Distanz 5 lag der Fehler höher als bei Distanz 3, das Gerät arbeitete in diesem Experiment also nicht unterhalb der Schwelle. Klassisches maschinelles Lernen, kein Sprachmodell, nicht begutachtet.Evidenztyp: beobachtet · Quellen 34

Laut Anthropic klärte ein internes Claude-Forschungsmodell im Oktober 2026 in unter einer halben Stunde, wie die bisher unerklärten Seeds der NIST-Kurven P-192, P-224, P-256, P-384 und P-521 entstanden: als Ausgaben des C-Zufallsgenerators lrand48, gestartet mit Unix-Zeitstempeln von 1997/98. Mit den angegebenen Startwerten lassen sich alle fünf veröffentlichten Seeds exakt erzeugen.1A31

In einem Suchverfahren, in dem das Sprachmodell Claude Mythos 5 (Anthropic) Quantenschaltkreise vorschlug und ein unabhängiger Prüfer sie testete, entstand eine neue Schaltung für die modulare Inversion: Eine Punktaddition auf der 256-Bit-Kurve secp256k1 braucht damit 935 Qubits und 4,0 Mio. Toffoli-Gatter; frühere Konstruktionen lagen bei 1.446 Qubits und 1,9 Mio. beziehungsweise bei 838 Qubits und 70 Mio. Toffoli-Gattern.25A32

Forscher am MIT legten im Oktober 2026 nach eigener Darstellung den ersten durchgängig maschinengeprüften, komponierbaren Sicherheitsbeweis mit endlicher Schlüssellänge für das verschränkungsbasierte Qubit-BB84-Protokoll gegen kohärente Angriffe vor; den Lean-Beweis erarbeiteten sie mit Sprachmodell-Agenten, und mit derselben Pipeline fanden sie eine engere Varianzschranke, die den Abschlag für endliche Schlüssellängen verringert.17A33

Ein an der Universität Göteborg und der Chalmers University entwickelter modularer neuronaler Decoder senkte auf einem IBM-Prozessor der Nighthawk-Generation den logischen Fehler pro Runde bei Distanz 3 gegenüber dem Standardverfahren Minimum-Weight Perfect Matching etwa auf die Hälfte (1,47 % gegenüber 2,79 % und 1,26 % gegenüber 2,60 %) und kam auf öffentlichen Google-Daten nahe an den Decoder AlphaQubit heran.34A34

Weitere Befunde

  • 87,18 % der Sprachmodell-Codes mit positiver Distanz hatten mindestens Distanz 5, Zufallssuchen bis 74,26 %, fanden aber mehr Codeklassen.35A35
  • Ein KI-Agent übertrug mit menschlichen Eingriffen die Kalibrierung auf vier Drei-Qubit-Prozessoren, ohne Vergleich mit manueller Arbeit.36A36

7.0Evidenzlage

Nicht jede Aussage dieses Berichts ist gleich gut belegt. Die Tabelle zeigt die zentralen Aussagen mit Evidenztyp, KI-Bezug und Quellen.

AussageEvidenztypKI-BezugQuellen
BSI rät seit 1. Oktober 2026 von Classic McEliece in Neuentwicklungen abbeobachtetnicht belegt3,24
2030 ist das Zieljahr, bis zu dessen Ende die niederländische Zentralverwaltung Anwendungen mit hohem Risiko umstellen sollbeobachtetnicht geprüft27
640: Domains der Tranco-Top-1-Million waren laut Studie für eine Bleichenbacher-Variante bei RSA-Schlüsselaustausch anfälligbeobachtetnicht geprüft4
Angriffe brechen TPM-basierte Festplattenverschlüsselung unter Windows und Linuxbeobachtetnicht geprüft19
KI-gestützte Beweise zu Gitterfamilien, keine belegte Schwächung der Parametersätzeoffenbelegt2
NGCC: 191 Befunde in der ersten Woche, 110 davon per agentischem KI-Ablaufbeobachtetbelegt6
1,85-fache: Fehlerunterdrückung durch größeren Code maß ein Preprint auf IBM-Cloud-Hardware bestenfalls, viel zu wenig für Angriffebeobachtetnicht belegt39
etwa 4,6-mal so viele physikalische Qubits wie meist geschätzt bräuchte laut einer Modellrechnung ein Angriff auf RSA-2048 im Medianmodellgeschätztnicht belegt33
Ob Simons Quantenalgorithmus für das Dihedral-Coset-Problem funktioniert, ist umstrittenoffennicht geprüft37,38
Laut Anthropic klärte ein Claude-Modell die Herkunft der Seeds von fünf NIST-Kurvenbeobachtetbelegt1

Die 36 geprüften Aussagen aus 39 Originalquellen verteilen sich auf die Kapitel 2.0 (4), 3.0 (9), 4.0 (9), 5.0 (8) und 6.0 (6); davon 28 beobachtet, 5 modellgeschätzt, 3 offen. Geltungsbereich und Grenzen jeder Aussage stehen im Anhang (A1 bis A36).

Originalquellen geprüft am 26. Oktober 2026.

8.0Was Organisationen jetzt tun können

  1. Umstellung planen: Verfahren erfassen und nach Risiko ordnen. Die Niederlande geben ihrer Zentralverwaltung als Ziele Planungen bis Ende 2027 und die Umstellung bei hohem Risiko bis Ende 2030 vor; vom Neueinsatz von Classic McEliece rät das BSI vorerst ab.
  2. TLS 1.3 mit hybrider Schlüsseleinigung einplanen, wie es das NCSC als Übergangslösung empfiehlt. Wer noch RSA-Schlüsselaustausch zulässt, sollte das prüfen; eine neue Bleichenbacher-Variante setzt genau diese Kompatibilität voraus.
  3. Implementierungen prüfen, nicht nur Verfahren: Die Schwächungen betrafen Bibliotheken, Mikrocontroller und TPM-Festplattenverschlüsselung. Sicherheitsmeldungen zu genutzten Bibliotheken verfolgen, Geräte mit physischem Zugriff Dritter gesondert bewerten.
  4. Meldungen nüchtern einordnen: Viele Ergebnisse sind nicht begutachtete Preprints oder Angaben von Herstellern, auch zur Rolle der KI. Planungen an Empfehlungen von Behörden wie BSI und NCSC ausrichten, nicht an einzelnen Meldungen über Durchbrüche.

9.0Methodik und Grenzen

Berichtszeitraum: 1. Oktober 2026 bis zum Datenstand 26. Oktober 2026 um 13:00 Uhr MEZ (Berliner Zeit). Dieser Themenbericht erscheint vor Monatsende; Quellen, die danach erscheinen, folgen in der nächsten Ausgabe der Reihe. Zusammenstellung: 27. Oktober 2026 um 00:23 Uhr MEZ. Diese Ausgabe ist die erste Bestandsaufnahme. Die Quellen stammen aus unterschiedlichen Jahren; ihr Erscheinungsdatum ist kein Ereignis des Berichtsmonats. Es gibt keinen gemessenen Vergleich zu einer früheren Ausgabe.

Grundlage sind ausschließlich geprüfte öffentliche Originalquellen. Kundenunterhaltungen, private Akten und personenbezogene Kundenbewertungen sind keine Eingaben. Beobachtet, modellgeschätzt, Szenario und offen beschreiben die jeweilige Evidenz. Quellenwerte behalten ihre eigene Einheit und Vergleichsbasis; sie werden nicht zu einem Gesamtwert zusammengezogen.

Redaktionelle Freigabe: qasb-Redaktion · Freigabe: 27. Oktober 2026 um 00:25 Uhr MEZ. Die redaktionelle Darstellung ordnet die geprüften Aussagen und enthält keine Zahl, die nicht in ihnen steht. Freigabe der Darstellung: qasb-Redaktion · 27. Oktober 2026 um 14:27 Uhr MEZ.

Grenzen

  • Dieser Themenbericht umfasst zwei Themenbereiche: „Kryptographie und Mathematik“ und „Quantenentwicklung“. Er ist keine vollständige Erhebung aller Studien oder Vorfälle.
  • Ein enger Studienbefund ist keine Prognose für einen bestimmten Kunden, Beruf oder Sicherheitssystem.
  • Eine fehlende qualifizierte Aussage belegt keine fehlende Wirkung; Abruflücken werden gesondert ausgewiesen.
  • Dieser Bericht enthält keine illustrative Messreihe und keine erfundene Confidence-Einstufung.

10.0Quellen

  1. 1Claude reveals ECDSA curve originsAnthropic Frontier Red Team (John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini, Steve Weis)16. Oktober 2026www.anthropic.com/research/ecdsa-curve-origins
  2. 2Provable Subexponential Algorithms for NIST Third-Round Lattice Families (auch IACR ePrint 2026/2386)Yiming Gao, Xuyuan Han, Honggang Hu, arXiv-Preprint 2610.112548. Oktober 2026arxiv.org/abs/2610.11254
  3. 3Notes on recent developments concerning Classic McElieceBundesamt für Sicherheit in der Informationstechnik (BSI)1. Oktober 2026www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Crypto/Notes_Classic_McEliece.html
  4. 4Reverse-Bleichenbacher: Bleichenbacher Attacks are Practical Again (IACR ePrint 2026/2414)Youheng Lü, Lorenz Hetterich, Riccardo Zanotto, Cas Cremers, Michael Schwarz, Lukas Gerlach, IACR Cryptology ePrint Archive11. Oktober 2026eprint.iacr.org/2026/2414
  5. 5Non-profiled Single-Trace ML-DSA Secret Key Recovery by Horizontal Distribution Analysis (IACR ePrint 2026/2643)Linus Backlund, Elena Dubrova, IACR Cryptology ePrint Archive26. Oktober 2026eprint.iacr.org/2026/2643
  6. 6Chinese NGCC Algorithms: The First Week of AI Cryptanalysis (IACR ePrint 2026/2266)Markku-Juhani O. Saarinen, IACR Cryptology ePrint Archive30. September 2026eprint.iacr.org/2026/2266
  7. 7Using Transport Layer Security to protect data (Version 1.2 vom 15.10.2026)National Cyber Security Centre (NCSC), Vereinigtes Königreich21. Juli 2021www.ncsc.gov.uk/guidance/using-tls-to-protect-data
  8. 8An Analysis of the ITU-T Multiple Cryptographic Algorithms X.509 Extensions for PQC Migration (IACR ePrint 2026/2297)Falko Strenzke, IACR Cryptology ePrint Archive1. Oktober 2026eprint.iacr.org/2026/2297
  9. 9Breaking First-Order Masked Kyber with Belief Propagation Alone (IACR ePrint 2026/2448)Vahid Jahandideh, Lejla Batina, IACR Cryptology ePrint Archive14. Oktober 2026eprint.iacr.org/2026/2448
  10. 10SHAKEing SLH-DSA with Non-profiled SCAs (IACR ePrint 2026/2584)Rafael Carrera Rodriguez, Jad Zahreddine, André Monthieu, Aurélien Vasselle, Pierre-Yvan Liardet, IACR Cryptology ePrint Archive24. Oktober 2026eprint.iacr.org/2026/2584
  11. 11One Unverified Coordinate Is Enough: Key Recovery from Faulty Fujisaki–Okamoto Rejection Checks in ML-KEM (IACR ePrint 2026/2239)Bhabani Sankar Das, IACR Cryptology ePrint Archive30. September 2026eprint.iacr.org/2026/2239
  12. 12Geometric Forgeries: Structural Cryptanalysis of MAYO (IACR ePrint 2026/2247)Massimo Ostuzzi, IACR Cryptology ePrint Archive30. September 2026eprint.iacr.org/2026/2247
  13. 13A Kelsey–Kohno Attack Variant against SHA-2 Message Digests in HSS/LMS and XMSS (IACR ePrint 2026/2635)Falko Strenzke, IACR Cryptology ePrint Archive26. Oktober 2026eprint.iacr.org/2026/2635
  14. 14Analysis of an AI based code distinguisher (IACR ePrint 2026/2556)Quentin Lavit, Julien Seinturier, Pascal Véron, IACR Cryptology ePrint Archive20. Oktober 2026eprint.iacr.org/2026/2556
  15. 15An Upper Bound of 9/4 for the Matrix Multiplication Exponent (Manuskript im Repository openai/math, Ergebnisfamilie 107)OpenAI6. Oktober 2026github.com/openai/math/blob/main/preprints/Matrix-Multiplication-Nine-Fourths-October-2-2026/paper.pdf
  16. 16Faster Matrix Multiplication Leads to Faster Lattice Sieving (IACR ePrint 2026/2622)Yiming Gao, Honggang Hu, IACR Cryptology ePrint Archive26. Oktober 2026eprint.iacr.org/2026/2622
  17. 17Quantum Cryptography and Autoformalization in LeanMaor Ben Shahar, Jonathan Morag, Dirk Englund, Kfir Sulimany (MIT), arXiv-Preprint 2610.1728612. Oktober 2026arxiv.org/abs/2610.17286
  18. 18Functional Verification of Additive FFT Assembly Implementations in Code-Based PQC (IACR ePrint 2026/2307)Jiaxiang Liu, Kuang-Lin Pan, Xiaomu Shi, Ming-Hsien Tsai, Bow-Yaw Wang, Bo-Yin Yang, IACR Cryptology ePrint Archive4. Oktober 2026eprint.iacr.org/2026/2307
  19. 19Active and Passive Attacks against TPM 2.0-based Full Disk Encryption (IACR ePrint 2026/2579)Sven Freud, Lennart Hein, Dominik Klein, IACR Cryptology ePrint Archive24. Oktober 2026eprint.iacr.org/2026/2579
  20. 20A Hybrid BP-SAT Attack on MILENAGE: Combining the Complementary Strengths of Algebraic and Soft-Analytical Side-Channel Attacks (IACR ePrint 2026/2487)Elena Dubrova, Sönke Jendral, Linus Backlund, Mats Näslund, IACR Cryptology ePrint Archive15. Oktober 2026eprint.iacr.org/2026/2487
  21. 21HOVER: Higher-Order Vanishing Endomorphism Recovery (IACR ePrint 2026/1778)Markku-Juhani O. Saarinen, IACR Cryptology ePrint Archive22. August 2026eprint.iacr.org/2026/1778
  22. 22When Elliptic-Curve Semiprimality Certificates Reveal Factors (IACR ePrint 2026/2620)Giuseppe Vitto, IACR Cryptology ePrint Archive24. Oktober 2026eprint.iacr.org/2026/2620
  23. 23Accelerating Pollard Rho with GPU Field Arithmetic on NVIDIA Blackwell (IACR ePrint 2026/2469)Adam Buran, Kevin Nguyen, IACR Cryptology ePrint Archive14. Oktober 2026eprint.iacr.org/2026/2469
  24. 24Structural cryptanalysis of classic McEliece: Assessment of claims, costs and evidenceRamses Fernandez, arXiv-Preprint 2610.3119622. Oktober 2026arxiv.org/abs/2610.31196
  25. 25Discovering state-of-the-art quantum circuits with large language modelsAndi Gu, Alek H. Kemeny, Susanne F. Yelin, Mikhail D. Lukin (Harvard University, Anthropic, QuEra Computing), arXiv-Preprint 2610.2236715. Oktober 2026arxiv.org/abs/2610.22367
  26. 26Quantum error correction well below the color code thresholdAli Lavasani et al. (Quantinuum), arXiv-Preprint 2610.2407716. Oktober 2026arxiv.org/abs/2610.24077
  27. 27Rijksbrede Quantumstrategie: Kansen benutten, belangen beschermen, integraal verbindenNiederländische Regierung (federführend Ministerie van Economische Zaken en Klimaat, mit acht weiteren Ministerien), Tweede Kamer der Staten-Generaal, Dokument 2026D484095. Oktober 2026www.tweedekamer.nl/downloads/document?id=2026D48409
  28. 28Quantum High Performance Computing Validation and Verification Testbed (DOE National Laboratory Program Announcement LAB 26-3603)U.S. Department of Energy, Office of Science, Advanced Scientific Computing Research (ASCR)17. September 2026science.osti.gov/-/media/grants/pdf/lab-announcements/2026/LAB-26-3603.pdf
  29. 29Below-threshold execution of fault-tolerant ripple-carry addition on a trapped-ion quantum computerJacob S. Nelson, Andrew J. Landahl, Andrew D. Baczewski (University of New Mexico, Sandia National Laboratories), arXiv-Preprint 2610.142029. Oktober 2026arxiv.org/abs/2610.14202
  30. 30Entangled logical qubits on a superconducting quantum processorRobin Harper, Xanda C. Kolesnikow, Campbell K. McLauchlan, Georgia M. Nixon, Stephen D. Bartlett (University of Sydney), Benjamin J. Brown (IBM Quantum), arXiv-Preprint 2610.3234723. Oktober 2026arxiv.org/abs/2610.32347
  31. 31Meter-scale quantum interconnects between large quantum processorsNeereja M. Sundaresan et al. (IBM Research), arXiv-Preprint 2610.2998621. Oktober 2026arxiv.org/abs/2610.29986
  32. 32Streaming Regev’s Quantum Factoring AlgorithmKatherine Van Kirk, Craig Gidney (Google Quantum AI, Harvard), arXiv-Preprint 2610.067335. Oktober 2026arxiv.org/abs/2610.06733
  33. 33Standard estimators cannot represent fault-tolerant workloads at measured error rates: evaluated, evidence-based uncertainty for quantum resource estimationFurqan Nasir, Sher Jeel Ahmad (FAST-NUCES Islamabad, City University of Science and Information Technology Peshawar, University of Engineering and Technology Peshawar), arXiv-Preprint 2610.104907. Oktober 2026arxiv.org/abs/2610.10490
  34. 34Modular Neural Decoder for Surface Code Memory and Logic on Superconducting ProcessorsMoritz Lange, Ole Fjeldså, Gustaf Jonasson Johansson, Mats Granath (Universität Göteborg, Chalmers University of Technology), arXiv-Preprint 2610.038692. Oktober 2026arxiv.org/abs/2610.03869
  35. 35Large Language Model-Guided Discovery of Weight-Five Bivariate Bicycle CodesJuan Cruz-Benito (IBM Research), arXiv-Preprint 2610.066235. Oktober 2026arxiv.org/abs/2610.06623
  36. 36Agent-assisted experimental strategy transfer across quantum processorsShi-Yao Hou, Zipeng Wu, Chao Zhang, Guanru Feng, Keren Li, Jingen Xiang (Sichuan Normal University, Shenzhen SpinQ Technology, Shenzhen University), arXiv-Preprint 2610.2104715. Oktober 2026arxiv.org/abs/2610.21047
  37. 37A Polynomial-Time Quantum Algorithm for the Dihedral Coset Problem (IACR ePrint 2026/1591)Daniel R. Simon (Amazon Web Services), IACR Cryptology ePrint Archive3. August 2026eprint.iacr.org/2026/1591
  38. 38The ePrint:2026/1591 Quantum Algorithm Does Not Solve DCP (IACR ePrint 2026/1693)Aparna Gupte (MIT), Seyoon Ragavan (Google, MIT), Mark Zhandry (Google, Stanford University), IACR Cryptology ePrint Archive15. August 2026eprint.iacr.org/2026/1693
  39. 39Demonstration of Logical Error Suppression in a Surface Code Memory on a Cloud-Accessible IBM Superconducting ProcessorShuwen Kan et al. (Pacific Northwest National Laboratory, Fordham University, University of Washington, NASA Ames), arXiv-Preprint 2610.2384016. Oktober 2026arxiv.org/abs/2610.23840
Autoren, Nutzungsgrundlagen und Rechtebelege
  1. 1Anthropic Frontier Red Team (John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini, Steve Weis) · Nutzungsgrundlage: Text alle Rechte vorbehalten (© Anthropic PBC); der auf der Seite veröffentlichte Reproduktionscode steht unter CC0 1.0. Nur eigene Tatsachenparaphrase und Link, kein Text und kein Code übernommen; die Seeds wurden mit einer eigenen Implementierung nachgerechnet · Rechte- und Lizenzbeleg
  2. 2Yiming Gao, Xuyuan Han, Honggang Hu, arXiv-Preprint 2610.11254 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Formeln, Abbildungen oder Tabellen übernommen. Dieselbe Arbeit ging am 06.10.2026 als IACR ePrint 2026/2386 ein · Rechte- und Lizenzbeleg
  3. 3Bundesamt für Sicherheit in der Informationstechnik (BSI) · Nutzungsgrundlage: Alle Rechte vorbehalten; verlinkt wird die BSI-Internetseite des Hinweises, was nach Nr. IV der BSI-Nutzungsbedingungen ohne vorherige Zustimmung zulässig ist. Kein Link auf das PDF-Download-Angebot, weil Links auf Downloads nach Nr. IV in Verbindung mit Nr. II bei kommerzieller oder publizistischer Verwendung zustimmungspflichtig sind; ausgewertet werden nur die Aussagen dieser Internetseite, als eigene Tatsachenparaphrase ohne Text- oder Dokumentübernahme. Seite datiert 01.10.2026 · Rechte- und Lizenzbeleg
  4. 4Youheng Lü, Lorenz Hetterich, Riccardo Zanotto, Cas Cremers, Michael Schwarz, Lukas Gerlach, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen. Laut ePrint-Historie eingereicht 08.10.2026, freigegeben 11.10.2026 · Rechte- und Lizenzbeleg
  5. 5Linus Backlund, Elena Dubrova, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg
  6. 6Markku-Juhani O. Saarinen, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen. Laut ePrint-Historie eingereicht 29.09.2026, freigegeben 30.09.2026 · Rechte- und Lizenzbeleg
  7. 7National Cyber Security Centre (NCSC), Vereinigtes Königreich · Nutzungsgrundlage: Crown Copyright; Weiterverwendung laut NCSC-Nutzungsbedingungen nach Open Government Licence v3.0 mit Quellenangabe erlaubt (Logos und Fremdbilder ausgenommen); wir nutzen nur eigene Paraphrase und Link · Rechte- und Lizenzbeleg
  8. 8Falko Strenzke, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY-SA 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Übernahme von Text, Abbildungen oder Tabellen. Eingereicht 01.10.2026, revidiert 08.10.2026 · Rechte- und Lizenzbeleg
  9. 9Vahid Jahandideh, Lejla Batina, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen. Eingereicht 12.10.2026, freigegeben 14.10.2026 · Rechte- und Lizenzbeleg
  10. 10Rafael Carrera Rodriguez, Jad Zahreddine, André Monthieu, Aurélien Vasselle, Pierre-Yvan Liardet, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen. Eingereicht 21.10.2026, freigegeben 24.10.2026 · Rechte- und Lizenzbeleg
  11. 11Bhabani Sankar Das, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 27.09.2026, freigegeben 30.09.2026 · Rechte- und Lizenzbeleg
  12. 12Massimo Ostuzzi, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 28.09.2026, freigegeben 30.09.2026 · Rechte- und Lizenzbeleg
  13. 13Falko Strenzke, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY-SA 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Übernahme von Text oder Tabellen. Eingereicht 25.10.2026, freigegeben 26.10.2026 · Rechte- und Lizenzbeleg
  14. 14Quentin Lavit, Julien Seinturier, Pascal Véron, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY-NC 4.0 laut ePrint-Eintrag; keine kommerzielle Übernahme des Werks, daher nur eigene kurze Tatsachenparaphrase und Link. Eingereicht 19.10.2026, freigegeben 20.10.2026; laut Eintrag für die 20th IMA International Conference on Cryptography and Coding (15. und 16.12.2026) vorgesehen · Rechte- und Lizenzbeleg
  15. 15OpenAI · Nutzungsgrundlage: Apache License 2.0 laut LICENSE-Datei des Repositorys; wir nutzen nur eigene Paraphrase und Link, keine Übernahme von Text oder Formeln. Manuskript datiert 02.10.2026; erste öffentliche Archivaufnahme des Repositorys vom 06.10.2026, frühere Aufnahmen ergaben HTTP 404 · Rechte- und Lizenzbeleg
  16. 16Yiming Gao, Honggang Hu, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, keine Formeln übernommen. Eingereicht 24.10.2026, freigegeben 26.10.2026 · Rechte- und Lizenzbeleg
  17. 17Maor Ben Shahar, Jonathan Morag, Dirk Englund, Kfir Sulimany (MIT), arXiv-Preprint 2610.17286 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen, Tabellen oder Lean-Code übernommen · Rechte- und Lizenzbeleg
  18. 18Jiaxiang Liu, Kuang-Lin Pan, Xiaomu Shi, Ming-Hsien Tsai, Bow-Yaw Wang, Bo-Yin Yang, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 02.10.2026, freigegeben 04.10.2026 · Rechte- und Lizenzbeleg
  19. 19Sven Freud, Lennart Hein, Dominik Klein, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY-NC-ND 4.0 laut ePrint-Eintrag; keine Bearbeitung und keine kommerzielle Nutzung des Werks, daher nur eigene kurze Tatsachenparaphrase und Link. Eingereicht 21.10.2026, freigegeben 24.10.2026; laut Eintrag erweiterte Fassung des am 05.08.2026 auf dem Workshop CSR HACS (IEEE CSR) vorgestellten Beitrags · Rechte- und Lizenzbeleg
  20. 20Elena Dubrova, Sönke Jendral, Linus Backlund, Mats Näslund, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 14.10.2026, freigegeben 15.10.2026 · Rechte- und Lizenzbeleg
  21. 21Markku-Juhani O. Saarinen, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Erstfassung eingereicht 22.08.2026, dritte Revision 13.10.2026; laut Eintrag bei der NORDSEC 2026 veröffentlicht (LNCS, erscheint noch), die ePrint-Fassung ist laut Eintrag geringfügig überarbeitet · Rechte- und Lizenzbeleg
  22. 22Giuseppe Vitto, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 24.10.2026, revidiert 26.10.2026 · Rechte- und Lizenzbeleg
  23. 23Adam Buran, Kevin Nguyen, IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht und freigegeben 14.10.2026 · Rechte- und Lizenzbeleg
  24. 24Ramses Fernandez, arXiv-Preprint 2610.31196 · Nutzungsgrundlage: CC BY-NC-ND 4.0; keine Bearbeitung und keine kommerzielle Nutzung des Werks, daher nur eigene kurze Tatsachenparaphrase und Link · Rechte- und Lizenzbeleg
  25. 25Andi Gu, Alek H. Kemeny, Susanne F. Yelin, Mikhail D. Lukin (Harvard University, Anthropic, QuEra Computing), arXiv-Preprint 2610.22367 · Nutzungsgrundlage: CC BY-NC-SA 4.0; keine kommerzielle Übernahme des Werks, daher nur eigene kurze Tatsachenparaphrase und Link, keine Abbildungen, Tabellen oder Schaltkreise übernommen · Rechte- und Lizenzbeleg
  26. 26Ali Lavasani et al. (Quantinuum), arXiv-Preprint 2610.24077 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg
  27. 27Niederländische Regierung (federführend Ministerie van Economische Zaken en Klimaat, mit acht weiteren Ministerien), Tweede Kamer der Staten-Generaal, Dokument 2026D48409 · Nutzungsgrundlage: Regierungsdokument, veröffentlicht über die Tweede Kamer; laut deren Colofon darf Text der Website, sofern nicht anders vermerkt, von Dritten mit Quellenangabe (Tweede Kamer) genutzt werden; wir nutzen nur eigene Paraphrase und Link. Laut Open-Data-Metadaten der Tweede Kamer am 05.10.2026 als Anlage eines Kamerbriefs registriert · Rechte- und Lizenzbeleg
  28. 28U.S. Department of Energy, Office of Science, Advanced Scientific Computing Research (ASCR) · Nutzungsgrundlage: Gemeinfreies Werk der US-Bundesregierung (17 U.S.C. § 105); eigene Paraphrase und Link · Rechte- und Lizenzbeleg
  29. 29Jacob S. Nelson, Andrew J. Landahl, Andrew D. Baczewski (University of New Mexico, Sandia National Laboratories), arXiv-Preprint 2610.14202 · Nutzungsgrundlage: arXiv-Standardlizenz (nicht exklusive Verbreitungslizenz an arXiv); alle weiteren Rechte bei den Autoren, daher nur eigene Tatsachenparaphrase und Link, keine Abbildungen oder Tabellen · Rechte- und Lizenzbeleg
  30. 30Robin Harper, Xanda C. Kolesnikow, Campbell K. McLauchlan, Georgia M. Nixon, Stephen D. Bartlett (University of Sydney), Benjamin J. Brown (IBM Quantum), arXiv-Preprint 2610.32347 · Nutzungsgrundlage: arXiv-Standardlizenz (nicht exklusive Verbreitungslizenz an arXiv); alle weiteren Rechte bei den Autoren, daher nur eigene Tatsachenparaphrase und Link, keine Abbildungen oder Tabellen · Rechte- und Lizenzbeleg
  31. 31Neereja M. Sundaresan et al. (IBM Research), arXiv-Preprint 2610.29986 · Nutzungsgrundlage: arXiv-Standardlizenz (nicht exklusive Verbreitungslizenz an arXiv); alle weiteren Rechte bei den Autoren, daher nur eigene Tatsachenparaphrase und Link, keine Abbildungen oder Tabellen · Rechte- und Lizenzbeleg
  32. 32Katherine Van Kirk, Craig Gidney (Google Quantum AI, Harvard), arXiv-Preprint 2610.06733 · Nutzungsgrundlage: arXiv-Standardlizenz (nicht exklusive Verbreitungslizenz an arXiv); alle weiteren Rechte bei den Autoren, daher nur eigene Tatsachenparaphrase und Link, keine Abbildungen oder Tabellen · Rechte- und Lizenzbeleg
  33. 33Furqan Nasir, Sher Jeel Ahmad (FAST-NUCES Islamabad, City University of Science and Information Technology Peshawar, University of Engineering and Technology Peshawar), arXiv-Preprint 2610.10490 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg
  34. 34Moritz Lange, Ole Fjeldså, Gustaf Jonasson Johansson, Mats Granath (Universität Göteborg, Chalmers University of Technology), arXiv-Preprint 2610.03869 · Nutzungsgrundlage: arXiv-Standardlizenz (nicht exklusive Verbreitungslizenz an arXiv); alle weiteren Rechte bei den Autoren, daher nur eigene Tatsachenparaphrase und Link, keine Abbildungen oder Tabellen · Rechte- und Lizenzbeleg
  35. 35Juan Cruz-Benito (IBM Research), arXiv-Preprint 2610.06623 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg
  36. 36Shi-Yao Hou, Zipeng Wu, Chao Zhang, Guanru Feng, Keren Li, Jingen Xiang (Sichuan Normal University, Shenzhen SpinQ Technology, Shenzhen University), arXiv-Preprint 2610.21047 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg
  37. 37Daniel R. Simon (Amazon Web Services), IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link. Eingereicht 03.08.2026, sechste und letzte Revision 08.10.2026 · Rechte- und Lizenzbeleg
  38. 38Aparna Gupte (MIT), Seyoon Ragavan (Google, MIT), Mark Zhandry (Google, Stanford University), IACR Cryptology ePrint Archive · Nutzungsgrundlage: CC BY 4.0 laut ePrint-Eintrag; nur eigene Paraphrase und Link, kein Code übernommen. Eingereicht 15.08.2026, revidiert 01.09.2026 · Rechte- und Lizenzbeleg
  39. 39Shuwen Kan et al. (Pacific Northwest National Laboratory, Fordham University, University of Washington, NASA Ames), arXiv-Preprint 2610.23840 · Nutzungsgrundlage: CC BY 4.0; nur eigene Paraphrase und Link, keine Abbildungen oder Tabellen übernommen · Rechte- und Lizenzbeleg

Zitiervorschlag

qasb Research (2026). Kryptographie und Quanten: Schwachstellen vor allem in Implementierungen. Themenbericht 10/2026, Datenstand 26. Oktober 2026. https://www.qasb.ai/reports/2026-10-krypto-quanten

Anhang

Zu jeder Aussage: Evidenztyp, Änderungsstatus, Geltungsbereich und Grenzen, dazu Beobachtungszeitraum, Quellenwert, Vergleich und Unsicherheit, soweit die Quelle sie angibt. Die Texte sind die freigegebenen Angaben der Ausgabe, ebenso ihre Zusammenfassung.

Geltungsbereiche und Grenzen aller 36 Aussagen (A1–A36)

Zusammenfassung der Ausgabe

Im Oktober 2026 trat KI in der Kryptografie vor allem als Werkzeug für Beweise und Angriffsideen hervor: bei den Seeds der NIST-Kurven, bei asymptotischen Gitteralgorithmen, bei einem Lean-Beweis für BB84 und bei einem von OpenAI beanspruchten, nicht begutachteten Beweis zum Matrixmultiplikations-Exponenten; keines dieser Ergebnisse bricht ein eingesetztes Verfahren. Das BSI rät vorerst vom Neueinsatz von Classic McEliece ab, und das NCSC empfiehlt für TLS 1.3 hybride Post-Quanten-Schlüsseleinigung; konkrete Schwächungen betreffen vor allem Implementierungen und Einsatzumgebungen (maskierte Kyber-Implementierung, SLH-DSA, MILENAGE, TPM-Festplattenverschlüsselung, RSA-Schlüsselaustausch in alten TLS-Konfigurationen). Ein Bruch von Bitcoin, vollem AES oder den Standards ML-KEM, ML-DSA und SLH-DSA ist nicht belegt; viele Ergebnisse sind nicht begutachtete Preprints und konnten nur im Abstract geprüft werden.

Im Oktober 2026 gab es Fortschritte bei Bausteinen, nicht bei Angriffen: Quantinuum zeigte Fehlerkorrektur deutlich unterhalb der Schwelle, Sandia führte kodierte Addierer auf derselben Hardware aus, auf IBM-Prozessoren gelangen verschränkte logische Qubits und eine messbare, aber schwache Fehlerunterdrückung, IBM koppelte zwei Prozessoren über Meterdistanz, und eine sparsamere Variante von Regevs Faktorisierungsalgorithmus braucht weiterhin mehr Qubits als die besten Umsetzungen von Shors Algorithmus. KI-Unterstützung ist bei Teilschritten belegt, etwa beim Schaltkreisentwurf mit Claude Mythos 5, bei der Codesuche, der Dekodierung und der Kalibrierung sehr kleiner Geräte; die Niederlande legten für ihre Zentralverwaltung Umstellungsfristen bis Ende 2030 und 2035 fest, die USA schrieben im September Mittel für Prüfwerkzeuge fehlertoleranter Rechner aus. Ein kryptografisch relevanter Quantencomputer oder ein Quantenangriff auf eingesetzte Verfahren ist nicht belegt; ein behaupteter Quantenalgorithmus gegen Gitterprobleme ist offen umstritten, und übliche Ressourcenschätzungen sind laut einer Unsicherheitsanalyse zu eng.

  1. A1Zurück zu Kapitel 2.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quellen 3, 24

    Geltungsbereich
    Hinweis des BSI auf seiner Internetseite zu den Kryptoanalyse-Ergebnissen des Jahres 2026, bezogen auf die Empfehlungen der TR-02102-1. Eine Übersichtsarbeit vom 22.10.2026 beziffert die bedingten Schätzungen für eine Schlüsselrekonstruktion je nach Parametersatz und Kostenmodell auf etwa 2^89 bis 2^128 je Durchlauf einer großen dünnbesetzten Rechnung der linearen Algebra.
    Grenzen
    Vorläufige Einschätzung; das BSI wertet die Ergebnisse weiter aus und hält weitere Verbesserungen der Angriffe für denkbar und zu erwarten. Ausgewertet wurde nur die Internetseite des Hinweises, nicht das dort angebotene PDF (Nutzungsbedingungen des BSI für Downloads). Die Übersichtsarbeit (Einzelautor, nicht begutachtet, nur im Abstract geprüft) stellt fest, dass keiner der Strukturangriffe als Angriff demonstriert ist, weil die Heuristiken nur an weit kleineren Instanzen getestet wurden, und dass Kostenmodelle für dieselbe Rechnung um rund 30 Bit auseinanderliegen. Keine der beiden Quellen nennt eine KI-Beteiligung.
    Beobachtungszeitraum
    Hinweis vom 01.10.2026 zu Ergebnissen aus dem Jahr 2026; Übersichtsarbeit vom 22.10.2026 zu Ergebnissen der letzten zwei Jahre
    KI-Bezug
    nicht belegt

  2. A2Zurück zu Kapitel 2.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 27

    Geltungsbereich
    Rijksbrede Quantumstrategie von neun Ministerien unter Federführung des Wirtschaftsministeriums; sie folgt dem EU-Fahrplan und erwartet zwischen 2029 und 2035 einen Quantencomputer, der heutige, vor allem asymmetrische Kryptografie brechen kann; AIVD und RDI raten, sich auf einen solchen Rechner schon um 2030 vorzubereiten. Bis Ende 2026 sollen die Behörden das Quantenrisiko in ihr Risikomanagement aufnehmen.
    Grenzen
    Zieltermine für Behörden der Zentralregierung, kein Gesetz; Abweichungen etwa wegen sektoraler Regeln oder NATO-Vorgaben sind möglich. Die Mittel sollen innerhalb der bestehenden Budgets der Ministerien gefunden werden, sonst werden die Ziele angepasst. Die Erwartung zum Zeitpunkt eines solchen Rechners stützt sich auf internationale Einschätzungen, nicht auf eigene Messungen. Fortschrittsberichte an das Parlament sind erst ab 2027 vorgesehen; KI ist kein Thema der zitierten Abschnitte.
    Beobachtungszeitraum
    Veröffentlicht und dem Parlament zugeleitet am 05.10.2026
    KI-Bezug
    nicht untersucht

  3. A3Zurück zu Kapitel 2.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 7

    Geltungsbereich
    Richtlinie „Using TLS to protect data“ für Systemadministratoren in Organisationen und im öffentlichen Sektor; die hybriden Verfahren gelten als geeignet für personenbezogene, Unternehmens- und als OFFICIAL eingestufte Regierungsinformationen. Wer TLS 1.2 nutzt, soll den Wechsel auf TLS 1.3 planen, um Post-Quanten-Kryptografie einführen zu können.
    Grenzen
    Empfehlung, keine Messung der Verbreitung. Die Richtlinie erschien erstmals am 21.07.2021 (Version 1.1 zuletzt am 10.12.2025 überprüft) und ist deshalb als ältere Quelle gekennzeichnet; neu in Version 1.2 sind die konkreten Post-Quanten-Profile. Post-Quanten-Authentifizierung (Signaturen und Zertifikate) ist für TLS und die Web-PKI noch nicht standardisiert und daher nicht abgedeckt; bis dahin bleiben ECDSA und RSA empfohlen. RFC 10024 selbst erschien bereits im August 2026. Die Richtlinie behandelt keine KI.
    Beobachtungszeitraum
    Richtlinie erstmals veröffentlicht 21.07.2021; Version 1.2 mit den Post-Quanten-Empfehlungen veröffentlicht 15.10.2026 (geändert 16.10.2026)
    KI-Bezug
    nicht untersucht

  4. A4Zurück zu Kapitel 2.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 28

    Geltungsbereich
    Ausschreibung LAB 26-3603 des Programms Advanced Scientific Computing Research für Nationallabore; ein bis zwei Projekte mit 7 bis 15 Mio. US-Dollar pro Jahr über drei Jahre; Hardwareforschung und -entwicklung sind ausgeschlossen, soweit sie nicht für die Werkzeuge nötig sind; Ergebnisse können in die Plattform der Genesis Mission einfließen.
    Grenzen
    Absichtserklärung vorbehaltlich künftiger Haushaltsmittel; Vergabe und Ergebnisse stehen aus (Anträge bis 10.11.2026). Ein gleichzeitig angekündigter größerer Wettbewerb für Unternehmen ließ sich nicht als Originalausschreibung prüfen und ist nicht Teil des Befunds. Veröffentlicht im September 2026.
    Beobachtungszeitraum
    Ausschreibung vom 17.09.2026; Antragsfrist 10.11.2026
    Quellenwert
    45 Mio. US-Dollar geplante Gesamtförderung
    Vergleichsbasis
    14 Mio. US-Dollar im Haushaltsjahr 2026
    Vergleich
    31 Mio. US-Dollar in den Folgejahren; ein bis zwei Projekte mit 7 bis 15 Mio. US-Dollar pro Jahr über drei Jahre
    Unsicherheit
    Vorbehaltlich künftiger Haushaltsmittel; keine statistische Unsicherheit
    KI-Bezug
    nicht untersucht

  5. A5Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 4

    Geltungsbereich
    TLS-Verbindungen mit RSA-Schlüsselaustausch und 2048-Bit-Schlüsseln gegen ein standardkonformes Padding-Orakel; Gesamterfolgsrate 84,8 %; Demonstration einer Manipulation von Software-Updates durch einen Angreifer im Netzwerkpfad.
    Grenzen
    Setzt voraus, dass Server und Clients aus Kompatibilitätsgründen noch RSA-Schlüsselaustausch zulassen; laut Abstract bevorzugen moderne Browser TLS 1.3. Laut ePrint-Eintrag bei der NDSS 2027 veröffentlicht; eine Annahmeliste der NDSS 2027 fanden wir nicht, der Begutachtungsstatus ist daher nicht unabhängig bestätigt. Geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war; eine KI-Beteiligung wurde daher nicht geprüft.
    Beobachtungszeitraum
    Preprint, eingereicht 08.10.2026, freigegeben 11.10.2026; Messzeitraum im Abstract nicht angegeben
    KI-Bezug
    nicht untersucht

  6. A6Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 19

    Geltungsbereich
    Diskrete TPM-Chips am SPI-Bus, untersucht an einem Mini-PC und einem Notebook; zusätzlich ein Prototyp eines aktiven Angriffs auf Firmware-TPMs in einer virtualisierten QEMU-Umgebung, der die UEFI-Firmware statt der Bus-Kommunikation angreift.
    Grenzen
    Setzt physischen Zugriff auf das Gerät voraus; der Firmware-TPM-Angriff ist ein Prototyp in einer virtuellen Umgebung. Abhilfe sehen die Autoren vor allem auf Ebene der Spezifikation. Die Kernergebnisse wurden laut Eintrag bereits am 05.08.2026 auf dem Workshop CSR HACS in Lissabon vorgestellt; die ePrint-Fassung ist eine wesentlich erweiterte Version. Geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Workshop-Beitrag vorgestellt am 05.08.2026; erweiterte Fassung eingereicht 21.10.2026, veröffentlicht 24.10.2026
    KI-Bezug
    nicht untersucht

  7. A7Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 11

    Geltungsbereich
    Analyse mit Beweis unter einer Regularitätsannahme und Demonstration auf allen drei ML-KEM-Parametersätzen gegen eine simulierte unvollständige Prüfung auf Basis der Python-Implementierung kyber-py; ein übersprungener bedingter Austausch liefert sogar ein vollständiges Klartext-Prüforakel.
    Grenzen
    Die Schlüsselrekonstruktion wurde gegen eine Simulation gezeigt, nicht gegen die genannten Bibliotheken selbst; ob und wann die Fehler behoben wurden, nennt der Abstract nicht. Betrifft Implementierungen, nicht den Standard FIPS 203. Einzelautor-Preprint ohne Begutachtung; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war. Veröffentlicht im September 2026.
    Beobachtungszeitraum
    Preprint, eingereicht 27.09.2026, freigegeben 30.09.2026
    KI-Bezug
    nicht untersucht

  8. A8Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 20

    Geltungsbereich
    Profilierter Seitenkanalangriff auf die erste AES-128-Berechnung von MILENAGE; neuronale Netze sagen Wahrscheinlichkeitsverteilungen der S-Box-Ausgaben über mehrere Runden voraus; die Autoren schlagen eine Gegenmaßnahme mit gerätespezifisch maskierten Rundenschlüsseln vor, die den Angriff in allen Tests abwehrte.
    Grenzen
    Setzt physischen Messzugang und Profilierung voraus; ob reale Karten oder eine Laborimplementierung gemessen wurden, geht aus dem Abstract nicht hervor. Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 14.10.2026, freigegeben 15.10.2026
    Quellenwert
    93,8 % erfolgreicher Rekonstruktionen von K und OPc aus einer Messspur (hybrides Verfahren)
    Vergleichsbasis
    Belief Propagation allein (SASCA): 87,7 %; SAT-Löser allein (ASCA): 34 % bei einer Stunde Zeitlimit
    Vergleich
    Hybride Kombination, in der Belief Propagation die Vorhersagen der neuronalen Netze vor dem SAT-Löser verfeinert
    Unsicherheit
    Keine Unsicherheitsangabe im Abstract
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Abstract liefern neuronale Netze die Wahrscheinlichkeitsverteilungen der S-Box-Ausgaben, auf denen beide Löser aufbauen; der Zugewinn gegenüber den einzelnen Verfahren stammt aus deren Kombination. Klassisches maschinelles Lernen, kein Sprachmodell.

  9. A9Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 5

    Geltungsbereich
    Angriffspunkt ist das Entpacken des geheimen Schlüssels in einer optimierten Implementierung; Auswertung mit einem Gauß-Mischmodell und Fehlerkorrektur über Information-Set-Decoding.
    Grenzen
    Implementierungsangriff mit physischem Messzugang zum Gerät, kein Bruch des Standards ML-DSA (FIPS 204); ob geschützte, etwa maskierte Implementierungen ebenso angreifbar sind, geht aus dem Abstract nicht hervor. Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war. Ob KI beteiligt war, wurde aus diesem Grund nicht geprüft.
    Beobachtungszeitraum
    Preprint vom 26.10.2026
    Quellenwert
    99 % erfolgreicher Schlüsselrekonstruktionen aus einer einzigen Messspur
    Vergleichsbasis
    Optimierte ML-DSA-65-Implementierung auf ARM Cortex-M4
    Vergleich
    Bei einem Aufzählungsbudget von 2^70 Operationen in Z_q; kein Vergleich mit geschützten Implementierungen
    Unsicherheit
    Keine Unsicherheitsangabe im Abstract
    KI-Bezug
    nicht untersucht

  10. A10Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 9

    Geltungsbereich
    Profilierter Seitenkanalangriff: Ein neuronales Netz schätzt die Hamming-Gewichtsverteilungen beider Maskierungsanteile, ein Belief-Propagation-Löser bündelt die Wahrscheinlichkeiten über viele Messspuren und gewinnt alle 1.536 Geheimnis- und Fehlerkoeffizienten ohne Gitterreduktion.
    Grenzen
    Implementierungsangriff mit physischem Messzugang und vorheriger Profilierung, kein Bruch des Standards ML-KEM (FIPS 203). Die Maskierung schwächt die Leckage im untersuchten Leckagemodell stark, schützt bei dieser Messspuranzahl aber nicht; höhere Maskierungsordnungen sind nicht Gegenstand. Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 12.10.2026, freigegeben 14.10.2026
    Quellenwert
    2.200 Stromverbrauchs-Messspuren bis zur vollständigen Schlüsselrekonstruktion (ungefähr)
    Vergleichsbasis
    Erstgradig maskierte Kyber768-Implementierung auf ARM Cortex-M4, nur gültige Chiffretexte
    Vergleich
    Bei 2.000 Messspuren senken die gewonnenen Hinweise die geschätzte BKZ-Blockgröße nur von 624 auf 505; ein Gitterangriff bleibt dort unpraktikabel
    Unsicherheit
    Keine Unsicherheitsangabe im Abstract
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Abstract schätzt ein profiliertes neuronales Netz die Leckageverteilungen der beiden Anteile; den entscheidenden Schritt schreiben die Autoren dem Belief-Propagation-Löser zu. Es handelt sich um klassisches maschinelles Lernen, nicht um ein Sprachmodell; der Anteil des Netzes am Erfolg ist im Abstract nicht beziffert.

  11. A11Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 10

    Geltungsbereich
    Alle Parametersätze von SLH-DSA-SHAKE (FIPS 205); Angriffspunkt ist die Pseudozufallsfunktion beim Signieren; Experimente in Simulation und auf einem 32-Bit-Mikrocontroller.
    Grenzen
    Implementierungsangriff mit Messzugang zum Gerät, kein Bruch des Standards SLH-DSA; geschützte Implementierungen und die SHA-2-Varianten sind nicht Gegenstand. Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 21.10.2026, freigegeben 24.10.2026
    KI-Bezug
    nicht untersucht

  12. A12Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 8

    Geltungsbereich
    Mechanismus „Multiple Cryptographic Algorithms“ der X.509-Ausgabe von 2019; Angriffsmodell mit Zwischen-CA und Endzertifikat; drei Prüfrichtlinien für Gegenstellen als Abhilfe vorgeschlagen; zusätzlich formale Verletzungen der EUF-CMA-Sicherheit und ungeregelte Details der Spezifikation.
    Grenzen
    Der Angriff setzt einen Quantencomputer voraus, der klassische Signaturen bricht, und ist heute nicht durchführbar. Andere hybride Zertifikatsformate wie Composite-Signaturen sind nicht Gegenstand. Einzelautor-Preprint ohne Begutachtung; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 01.10.2026, revidiert 08.10.2026
    KI-Bezug
    nicht untersucht

  13. A13Zurück zu Kapitel 3.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 18

    Geltungsbereich
    Gao-Mateer- und Frobenius-FFTs; das Werkzeug CryptoLine wurde um Vektorsyntax erweitert; die Zerlegung über den chinesischen Restsatz macht das Problem mit mehr als 2^14 unabhängigen Bitvariablen je Multiplikand in lokalen Prüfungen für Computeralgebrasysteme wie Singular lösbar.
    Grenzen
    Verifiziert wird die funktionale Korrektheit bestimmter Routinen, nicht die Sicherheit des Gesamtverfahrens oder die Freiheit von Seitenkanälen. Vom Neueinsatz von Classic McEliece rät das BSI derzeit ab (siehe BSI-Befund). Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war, daher wurde eine KI-Beteiligung nicht geprüft.
    Beobachtungszeitraum
    Preprint, eingereicht 02.10.2026, freigegeben 04.10.2026
    KI-Bezug
    nicht untersucht

  14. A14Zurück zu Kapitel 4.0

    Evidenztyp: offen · Bestandsaufnahme · Quelle 2

    Geltungsbereich
    Asymptotische Analyse für polynomielle Moduln und polylogarithmisch skalierte Koeffizienten; Laufzeiten der Größenordnung 2^((1/2+o(1))·n/ln ln n) für die LWE-artigen Familien; baut auf einem Rahmen von Ducas, Engelberts und Loyer (CRYPTO 2025) auf.
    Grenzen
    Asymptotisches Ergebnis für wachsende Parameterfamilien, nicht für die standardisierten Parametersätze; nicht begutachteter Preprint, die Beweise sind nicht unabhängig geprüft. Im Oktober erschienen weitere ähnliche Preprints, die hier nicht zusammengefasst werden. Kein Beleg für eine praktische Gefährdung von ML-KEM oder ML-DSA.
    Beobachtungszeitraum
    Preprint vom 08.10.2026 (als ePrint 2026/2386 am 06.10.2026 eingereicht)
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Die KI-Offenlegung der Arbeit nennt Sprachmodell-Werkzeuge über Codex (GPT-5.6-sol, GPT-6-astra): Sie schlugen Ideen und Herleitungen vor und halfen beim Entwurf des Manuskripts; die Autoren prüften und verantworten alle Aussagen. Der Anteil der KI am Ergebnis ist nicht quantifiziert.

  15. A15Zurück zu Kapitel 4.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 6

    Geltungsbereich
    Erste Runde des Programms für Kryptografie-Algorithmen der nächsten Generation des Chinese Institute of Commercial Cryptography Standards: 34 Signaturverfahren, 41 Schlüsselkapselungsverfahren, 9 Schlüsselaustauschprotokolle, 35 Hashfunktionen; Befunde u. a. universelle Fälschungen, Schlüsselrekonstruktion und triviale Hash-Kollisionen.
    Grenzen
    Zählung des Autors aus von ihm gesammelten öffentlichen Quellen, Einstufung nach eigenem Regelwerk; frühe KI-gestützte Befunde betrafen überwiegend Implementierungen. Betrifft neue Wettbewerbskandidaten, nicht eingesetzte Standards wie ML-KEM oder ML-DSA. Nicht begutachtet; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war. Veröffentlicht im September 2026, daher nur ergänzend.
    Beobachtungszeitraum
    Erste Wettbewerbswoche ab 20.09.2026; Preprint vom 30.09.2026
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Der Autor beschreibt einen agentischen Arbeitsablauf, mit dem sein Evaluationsprojekt 110 der Befunde (47 kritisch) entdeckte, verifizierte und meldete; einige externe Forscher arbeiteten ebenfalls KI-gestützt. Eine unabhängige Prüfung der Zählung liegt nicht vor.

  16. A16Zurück zu Kapitel 4.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 21

    Geltungsbereich
    Variante des Higher-Order-Vanishing-Angriffs (Hemmert und Wiemers, CRYPTO 2026), die eine teure Suchphase gegen einen schnellen Schritt der linearen Algebra tauscht; Experimente nur mit öffentlichen Daten.
    Grenzen
    Laut Autor bedroht HOVER die Parametersätze von Classic McEliece in der jetzigen Form nicht; die Herausforderungen sind weit kleiner als eingesetzte Schlüssel. Den Entdeckungsablauf mit dem Sprachmodell beschreibt nur der Autor, das Modell nennt der Abstract nicht; ob dieser Hinweis schon in der Erstfassung stand, ließ sich nicht prüfen. Laut ePrint-Eintrag bei der NORDSEC 2026 veröffentlicht (Tagungsband erscheint noch); geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war. Erstfassung vom August 2026, daher nur als Kontext.
    Beobachtungszeitraum
    Erstfassung eingereicht 22.08.2026, dritte Revision 13.10.2026
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Der Autor schreibt im Abstract, die wichtigste kryptanalytische Abkürzung von HOVER sei mit einem großen Sprachmodell entdeckt worden; Details und Modell nennt der Abstract nicht, eine unabhängige Bestätigung des Ablaufs liegt nicht vor.

  17. A17Zurück zu Kapitel 4.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 14

    Geltungsbereich
    Untersuchung mit Saliency-Maps und Aufmerksamkeitsvisualisierung; nach Entfernen des Artefakts (Zeilen niedrigen Gewichts in den Zufallsbeispielen) bleibt die Trefferquote deutlich; eine einfache XOR-Regel über Zeilenpaare sagt weitgehend dasselbe voraus wie das Modell; auf Zufallsmatrizen mit passenden Distanz- und XOR-Eigenschaften verliert das Modell den Großteil seiner Vorhersagekraft.
    Grenzen
    Betrifft ein bestimmtes KI-Werkzeug und nur die Unterscheidbarkeit, keine Schlüsselrekonstruktion; andere KI-Ansätze sind nicht ausgeschlossen. Laut ePrint-Eintrag für die 20. IMA International Conference on Cryptography and Coding vorgesehen, die am 15. und 16. Dezember 2026 stattfindet; die Begutachtung haben wir nicht unabhängig bestätigt. Geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Eingereicht 19.10.2026, freigegeben 20.10.2026
    KI-Bezug
    nicht belegt

  18. A18Zurück zu Kapitel 4.0

    Evidenztyp: offen · Bestandsaufnahme · Quellen 15, 16

    Geltungsbereich
    OpenAI-Repository mit 719 Manuskripten; laut Repository entstanden die meisten Ergebnisse mit einem unveröffentlichten internen Modell bei durchschnittlich drei Stunden Rechenzeit je Ergebnis; laut Repository ist die Schranke ω ≤ 9/4 in Lean formalisiert (von uns nicht nachgeprüft). Die Folgearbeit von Gao und Hu betrifft das heuristische Sieben nach der BDGL-Analyse unter der sphärischen Heuristik.
    Grenzen
    Herstellerangabe ohne Begutachtung: OpenAI warnt selbst, dass nicht formalisierte Ergebnisse Fehler enthalten können, und zog am 7. Oktober drei andere Manuskripte zurück; eine unabhängige Bestätigung des Beweises oder seiner Lean-Formalisierung liegt uns nicht vor. Die Beschleunigung des Siebens setzt einen Exponenten strikt unter 9/4 voraus, den auch das OpenAI-Ergebnis nicht liefert; eine konkrete Schwächung von ML-KEM oder ML-DSA ist nicht gezeigt. Der Matrixbeweis betrifft die arithmetische Komplexität, keine praktisch nutzbaren Matrixgrößen. Die Folgearbeit wurde nur im Abstract geprüft, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    OpenAI-Manuskript datiert 02.10.2026, öffentlich seit 06.10.2026; Folgearbeit eingereicht 24.10.2026, veröffentlicht 26.10.2026
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Repository wurde die große Mehrheit der Ergebnisse mit demselben Verfahren und einem unveröffentlichten internen OpenAI-Modell erzielt; als Ausnahmen nennt OpenAI nur zwei andere Arbeiten, und das Manuskript nennt OpenAI als Autor. Den Entstehungsablauf belegt nur OpenAI selbst (Interessenkonflikt). Ob die Folgearbeit zur Gittersiebung KI nutzte, geht aus ihrem Abstract nicht hervor.

  19. A19Zurück zu Kapitel 4.0

    Evidenztyp: modellgeschätzt · Bestandsaufnahme · Quelle 13

    Geltungsbereich
    Herding-Technik nach Kelsey und Kohno, bei der Signaturen über beliebig viele Schlüssel gebündelt werden; dadurch trägt schon die erste Signatur eines Schlüssels zum Risiko eines ganzen Ökosystems bei. Die SHAKE256-Parametersätze sind laut Autor nicht betroffen.
    Grenzen
    Rechnerische Kostenschätzung weit jenseits praktischer Machbarkeit, kein durchgeführter Angriff. Einzelautor-Preprint ohne Begutachtung; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 25.10.2026, veröffentlicht 26.10.2026
    KI-Bezug
    nicht untersucht

  20. A20Zurück zu Kapitel 4.0

    Evidenztyp: modellgeschätzt · Bestandsaufnahme · Quelle 12

    Geltungsbereich
    Kombination einer geometrischen Beobachtung zur Whipping-Transformation mit dem Pseudo-Oil-Angriff und einer Reduktion für mehrere Ziele; für die Parameter der zweiten Runde sinkt die Schätzung für Stufe I und III um etwa 18 und 16 Bit, Stufe I verfehlt ihr Ziel dort um 15 Bit.
    Grenzen
    Kostenschätzungen, kein durchgeführter Angriff und keine praktische Gefährdung; MAYO ist ein Kandidat und kein Standard. Einzelautor-Preprint ohne Begutachtung; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war. Veröffentlicht im September 2026.
    Beobachtungszeitraum
    Preprint, eingereicht 28.09.2026, freigegeben 30.09.2026
    KI-Bezug
    nicht untersucht

  21. A21Zurück zu Kapitel 4.0

    Evidenztyp: modellgeschätzt · Bestandsaufnahme · Quelle 23

    Geltungsbereich
    Erwartete 2^60,9 Iterationen als Maßstab; die Beschleunigung stammt laut Autoren allein aus Darstellung, Arithmetik und Speicheranordnung, nicht aus einem neuen Algorithmus; Messungen auf einer RTX PRO 6000 Blackwell; eine Kampagne lief 2^56,68 Iterationen, 5,4 % des erwarteten Aufwands.
    Grenzen
    Hochrechnung aus gemessenen Iterationsraten, keine gelöste Herausforderung. Für die eingesetzte Kurve NIST P-256 bringen dieselben Maßnahmen laut Abstract nur das 1,52-Fache (1,632 Milliarden Iterationen pro Sekunde); P-256 bleibt damit rund 6·10^21 Kartenjahre entfernt, und die generische Schranke wird laut Autoren nicht unterboten. Die Gewinne hängen vom GPU-Modell ab. Nicht begutachteter Preprint; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint vom 14.10.2026
    Quellenwert
    14,64 Milliarden Pollard-Rho-Iterationen pro Sekunde auf einer RTX PRO 6000 Blackwell
    Vergleichsbasis
    Bitslice-Kontrollversion: 0,85 Milliarden Iterationen pro Sekunde
    Vergleich
    17,2-fache Steigerung im geprüften Kampagnen-Build; eine spätere Version erreicht 15,88
    Unsicherheit
    Keine Unsicherheitsangabe im Abstract
    KI-Bezug
    nicht untersucht

  22. A22Zurück zu Kapitel 4.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 22

    Geltungsbereich
    Zertifikate auf Basis elliptischer Kurven, die mit komplexer Multiplikation konstruiert werden; eine Rekonstruktion über ein Normgitter faktorisiert den Modul in erwarteter Polynomialzeit, wenn die Frobenius-Abbildung in einem bekannten imaginärquadratischen Körper liegt oder Spur null hat; auch vorgeschlagene Reparaturen werden unter den genannten Annahmen gebrochen.
    Grenzen
    Betrifft vorgeschlagene Zertifikatsverfahren und öffentlich gestellte Beispielzahlen, nicht die übliche RSA-Schlüsselerzeugung. Offen bleibt laut Autor, ob sich effizient ein sicheres öffentliches Zertifikat dieser Art erzeugen lässt. Einzelautor-Preprint ohne Begutachtung; geprüft wurde nur der Abstract, weil der Volltext am 26.10.2026 durch einen Bot-Schutz gesperrt war.
    Beobachtungszeitraum
    Preprint, eingereicht 24.10.2026, revidiert 26.10.2026
    KI-Bezug
    nicht untersucht

  23. A23Zurück zu Kapitel 5.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 26

    Geltungsbereich
    Speicherexperimente mit je 20 Syndromrunden; bei Distanz 7 29.000 Durchläufe mit drei logischen Fehlern (Hauptdecoder Tesseract); zusätzlich kodierte Zwei-Qubit-Benchmarks sowie zwei nur mit Emulatordaten trainierte neuronale Decoder (CNN und Transformer), die bei Distanz 7 ähnliche Werte, insgesamt aber kleinere Unterdrückungsfaktoren (7 und 8) erreichten.
    Grenzen
    Studie des Herstellers (Interessenkonflikt), nicht begutachtet. Der Spitzenwert beruht auf drei Fehlschlägen und hat ein weites Unsicherheitsintervall; er stammt aus einem Speicherexperiment ohne nutzbare Rechnung, weit entfernt von der Größe, die für Angriffe auf heutige Kryptografie nötig wäre. Alle Decoder liefen offline; die Spitzenwerte stammen vom algorithmischen Decoder Tesseract, die neuronalen Decoder verbesserten sie nicht.
    Beobachtungszeitraum
    Preprint vom 16.10.2026; Messzeitraum nicht angegeben
    Quellenwert
    0,000005 logische Fehlerrate pro Syndromrunde bei Farbcode-Distanz 7 (Speicherexperiment)
    Vergleichsbasis
    Distanz 5: 3,8·10^-5; Distanz 3: 5,5·10^-4 (gleicher Decoder, Tabelle 1 der Quelle)
    Vergleich
    Unterdrückungsfaktor je Distanzstufe Λ = 12 (+3/−2)
    Unsicherheit
    1σ-Wilson-Intervall 3·10^-6 bis 9·10^-6; drei logische Fehler in 29.000 Durchläufen zu je 20 Runden
    KI-Bezug
    nicht belegt

  24. A24Zurück zu Kapitel 5.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 39

    Geltungsbereich
    Rotierter Oberflächencode als Speicher; eine optimierte Syndromauslese (kurze Auslese, kombinierte Messung und Reset, Echo-Pulse) senkte den Median-Fehler pro Runde um den Faktor 3,8 (X) bzw. 1,4 (Z); Experimente mit bis zu 150 Runden.
    Grenzen
    Bei langen Läufen schwächt sich der Distanzvorteil ab, begleitet von langlebigen Korrelationen, die auf eine dauerhafte Fehlerkomponente hindeuten können; die Leistung schwankt je nach Position auf dem Chip. Unterdrückungsfaktoren unter 2 sind weit von dem entfernt, was Angriffe auf heutige Kryptografie erfordern würden. Unabhängige Nutzer der Cloud-Hardware ohne IBM-Autoren, aber nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 16.10.2026
    Quellenwert
    1,85 Unterdrückungsfaktor des logischen Fehlers pro Runde (X-Speicher, Maximum-Likelihood-Dekodierung)
    Vergleichsbasis
    Geschützte Distanz 3: 0,52 % logischer Fehler pro Runde
    Vergleich
    Geschützte Distanz 6: 0,22 %; Z-Speicher 0,53 % zu 0,24 %, Faktor 1,68
    Unsicherheit
    Angepasstes Intervall laut Ergebnisteil: 1,71 bis 2,00 (Z-Speicher: 1,68 mit 1,57 bis 1,81)
    KI-Bezug
    nicht belegt

  25. A25Zurück zu Kapitel 5.0

    Evidenztyp: modellgeschätzt · Bestandsaufnahme · Quelle 33

    Geltungsbereich
    Rahmenwerk, das aus Hardwaredaten abgeleitete Annahmen durch fünf Kostenmodelle für Oberflächencodes propagiert, mit vorab registrierter Auswertung; die Modelle weichen um einen stabilen Faktor zwei voneinander ab, und zwei verbreitete Schätzwerkzeuge (Azure Quantum Resource Estimator, Qualtran) können 80 bis 100 % des realistischen Parameterraums nicht abbilden.
    Grenzen
    Modellrechnung, keine Messung an einem Angriff. Der Fehlerraten-Median enthält einen als Modellannahme gesetzten Zuschlag von 30 %; ohne ihn liegt der RSA-2048-Median etwa 2,9-mal über der Punktschätzung, und das Intervall umfasst etwa einen Faktor 23. Die Analyse stützt sich auf ältere Schaltkreiszählungen (für RSA-2048 die Schätzung von Gidney und Ekerå aus 2021) und eine supraleitende Architektur mit Oberflächencode; neuere sparsamere Algorithmen und andere Codes fehlen. Laut Offenlegung half ein Sprachmodell bei Software, Experimenten und Text. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 07.10.2026
    Quellenwert
    4,6 -facher Median der benötigten physikalischen Qubits für RSA-2048 gegenüber der üblichen Punktschätzung
    Vergleichsbasis
    Punktschätzung von rund 2·10^7 physikalischen Qubits bei der Planungsannahme 10^-3
    Vergleich
    Median 1,01·10^8 physikalische Qubits mit der aus Hardwaredaten abgeleiteten Fehlerrate (Median etwa 4·10^-3)
    Unsicherheit
    90-%-Intervall 2,86·10^7 bis 1,18·10^9 physikalische Qubits (Faktor 41); ohne den Zuschlag von 30 % etwa 2,9-fach und Faktor 23
    KI-Bezug
    nicht belegt

  26. A26Zurück zu Kapitel 5.0

    Evidenztyp: offen · Bestandsaufnahme · Quellen 37, 38

    Geltungsbereich
    Simon baut auf Regevs Reduktion auf; der Beweis eines Lemmas der Erstfassung war nach seiner eigenen Notiz fehlerhaft und wurde überarbeitet. Die Gegenarbeit von Gupte, Ragavan und Zhandry argumentiert, dass der Algorithmus das niedrigstwertige Bit des Geheimnisses nicht mit nennenswertem Vorteil bestimmt, und will eine breitere Klasse solcher Algorithmen ausschließen.
    Grenzen
    Ungeklärter Fachstreit zwischen nicht begutachteten Preprints ohne Entscheidung durch Begutachtung oder unabhängige Prüfung. Ein Bruch von ML-KEM oder anderen eingesetzten Gitterverfahren ist nicht belegt, und selbst ein korrekter Algorithmus bräuchte einen großen fehlerkorrigierten Quantencomputer. Beide Arbeiten wurden nur über Abstract und Notizen der ePrint-Seiten geprüft, weil die Volltexte hinter einer Bot-Abfrage lagen; den Inhalt der Notiz des Autors konnten wir nicht prüfen. Erstfassungen vom August 2026, daher nur als Kontext.
    Beobachtungszeitraum
    Erstfassung 03.08.2026, sechste Revision 08.10.2026; Gegenarbeit eingereicht 15.08.2026, revidiert 01.09.2026
    KI-Bezug
    nicht untersucht

  27. A27Zurück zu Kapitel 5.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 30

    Geltungsbereich
    Supraleitender Prozessor mit schnellem Reset; der Ausschluss schwacher Qubits und Koppler halbierte den logischen Fehler pro Runde bei Distanz 5 von 1,9 % auf 0,9 %; Stabilitätsexperiment über 170 Messrunden.
    Grenzen
    Die Bell-Fidelitäten beruhen auf Nachauswahl mit einem verwertbaren Anteil von etwa 40 %; ein Mitautor arbeitet bei IBM (Interessenkonflikt). Logische Fehler knapp unter 1 % pro Runde sind weit entfernt von dem, was Angriffe auf heutige Kryptografie erfordern würden. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 23.10.2026
    KI-Bezug
    nicht belegt

  28. A28Zurück zu Kapitel 5.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 29

    Geltungsbereich
    Fehlererkennende Codes [[8,3,2]] und [[4,2,2]] mit einer zusätzlichen algorithmischen Prüfung, die die effektive Fehlerdistanz vieler Schaltkreisstellen von zwei auf vier erhöht; klassische Eingaben mit bis zu fünf Bit.
    Grenzen
    Fehlererkennung mit Verwerfen fehlerhafter Durchläufe statt Fehlerkorrektur: Der Anteil verwertbarer Durchläufe sank von gut 60 % bei einem Bit auf etwa 1 % bei fünf Bit, und Aufträge mit Fehlerhäufungen wurden nachträglich herausgefiltert. Der Bestwert beruht auf einem einzigen Fehlschlag. Nur klassische Eingaben; die Arbeit zielt nicht auf Kryptoanalyse und ist weit von Rechnungen entfernt, die Angriffe auf heutige Kryptografie erfordern würden. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 09.10.2026
    Quellenwert
    0,00006 geschätzte logische Fehlerrate der 1-Bit-Addition (nach Filterung von Fehlerhäufungen)
    Vergleichsbasis
    Unkodierte 1-Bit-Addition auf derselben Hardware: (3,5 ± 1,3)·10^-3
    Vergleich
    Kodiert mit [[8,3,2]]- und [[4,2,2]]-Codes plus algorithmischer Prüfung
    Unsicherheit
    ± 5,9·10^-5; ein einziger beobachteter Fehlschlag
    KI-Bezug
    nicht belegt

  29. A29Zurück zu Kapitel 5.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 31

    Geltungsbereich
    Vier sogenannte L-Koppler zwischen zwei Modulen mit je zwei abstimmbaren Hilfsqubits und zwei Kopplern; Erzeugung verschränkter Zustände über beide Prozessoren, auch zweier Bell-Paare gleichzeitig.
    Grenzen
    Herstellerstudie (Interessenkonflikt), nicht begutachtet. Ob diese Fidelitäten für fehlerkorrigierte Rechnungen über Modulgrenzen genügen, zeigt die Arbeit nicht.
    Beobachtungszeitraum
    Preprint vom 21.10.2026
    Quellenwert
    94,75 % mittlere Fidelität von CZ-Gattern zwischen Qubits zweier Module
    Vergleichsbasis
    Zustandsübertragung über dieselben Verbindungen: im Mittel 99,00 %
    Vergleich
    Beste Verbindung: 96,42 ± 0,28 %
    Unsicherheit
    ± 0,28 Prozentpunkte für die beste Verbindung; für den Mittelwert keine Angabe in der Quelle
    KI-Bezug
    nicht belegt

  30. A30Zurück zu Kapitel 5.0

    Evidenztyp: modellgeschätzt · Bestandsaufnahme · Quelle 32

    Geltungsbereich
    Theoretische Konstruktion: Superpositions-Maskierung und Phasenschätzung mit Fibonacci-Potenzen erlauben, die Kontrollqubits zu streamen und wiederzuverwenden; die frühere Variante von Ragavan und Vaikuntanathan brauchte 11,32n Qubits.
    Grenzen
    Asymptotische Qubit-Zahl, keine vollständige Ressourcenschätzung mit Fehlerkorrektur und Laufzeit für RSA-2048; die Arbeit macht Shors Algorithmus nicht günstiger. Laut Offenlegung stammen die Kernideen von Menschen, KI half bei numerischem Code und beim Manuskript. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 05.10.2026
    KI-Bezug
    nicht belegt

  31. A31Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 1

    Geltungsbereich
    Seeds der Primkurven aus FIPS 186-2 und ANSI X9.62, die ohne Begründung von der NSA geliefert worden waren; zusätzlich die Basispunkte von sechs 1997 erzeugten Kurven. Veröffentlichung mit Reproduktionscode.
    Grenzen
    Kein kryptografischer Bruch und kein neuer Angriff; laut Anthropic macht der Befund eine gezielte Hintertür über die Seeds deutlich weniger plausibel. Offen bleiben der Seed der Binärkurve B-163, die Basispunkte von P-224, P-256, P-384 und P-521 sowie, warum einige taugliche Kandidaten übersprungen wurden. Interessenkonflikte: Den Entdeckungsablauf mit KI beschreibt nur Anthropic selbst, das damit die Fähigkeiten des eigenen Modells darstellt; zudem wurden die Entwürfe dieses Berichts mit einem Claude-Modell von Anthropic erstellt. Unabhängig nachgeprüft haben wir nur die Mathematik (eigene Nachrechnung aller fünf Seeds).
    Beobachtungszeitraum
    Entdeckung im Oktober 2026, Veröffentlichung 16.10.2026; betrifft die Kurvenerzeugung 1997/98
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Anthropic beschreibt, dass ein internes Claude-Forschungsmodell auf Anfrage eines Mitarbeiters ohne Hinweis auf die frühere Passphrasen-Spur die Herkunft fand. Die Mathematik ist nachprüfbar (eigene Nachrechnung am 26.10.2026), der Entdeckungsablauf nicht; Anthropic ist Hersteller des Modells.

  32. A32Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 25

    Geltungsbereich
    Studie von Forschern der Harvard University, von Anthropic und von QuEra zu acht Kompilieraufgaben aus Numerik, Chemie, Optimierung, Simulation und Zahlentheorie; in sieben Aufgaben sanken laut den Autoren Toffoli- und Qubit-Zahl gegenüber den bisher besten Schaltungen. Die Inversion ist der teuerste Teil der Punktaddition, die Shors Algorithmus für elliptische Kurven wiederholt ausführt (in der zitierten Fenstervariante 28-mal).
    Grenzen
    Baustein, kein vollständiger Angriff und ein neuer Kompromiss zwischen Qubit- und Gatterzahl, keine Verbesserung in beiden Größen: Das Produkt beider Größen liegt über dem der Konstruktion mit 1.446 Qubits. Qubit-Zahlen auf Schaltkreisebene ohne Kosten der Fehlerkorrektur und ohne physikalische Qubits; keine heutige Hardware kann eine solche Rechnung ausführen. Zwei der vier Autoren sind mit Anthropic verbunden, dem Anbieter des eingesetzten Modells (Interessenkonflikt); verglichen wird mit veröffentlichten Schaltungen, nicht mit einer Suche ohne Sprachmodell. Kein Beleg für eine Gefährdung von Bitcoin oder anderen Systemen; nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 15.10.2026
    Quellenwert
    935 Qubits (Spitzenbedarf auf Schaltkreisebene, ohne Fehlerkorrektur) für eine Punktaddition auf secp256k1 mit der neuen Inversion
    Vergleichsbasis
    Frühere Konstruktionen laut Tabelle S3: 1.446 Qubits bei 1,9 Mio. Toffoli-Gattern sowie 838 Qubits bei 70 Mio. Toffoli-Gattern
    Vergleich
    Neue Schaltung: 4,0 Mio. Toffoli-Gatter; Produkt aus Toffoli-Gattern und Qubits 3,7·10^9 gegenüber 2,7·10^9 beziehungsweise 5,8·10^10
    Unsicherheit
    Keine statistische Unsicherheit; die Schaltung darf je Punktaddition mit höchstens 2·10^-4 Wahrscheinlichkeit scheitern (vier Fehlschläge in 100.000 Tests)
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Methodenteil schlug Claude Mythos 5 in einer evolutionären Suche (OpenEvolve) Architekturen und Programmänderungen vor und erzeugte die Schaltungen ohne wesentliche menschliche Eingriffe; ein unabhängiger Prüfer testete jede Schaltung, die Punktaddition mit 100.000 Tests. Zwei Autoren sind mit Anthropic verbunden.

  33. A33Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 17

    Geltungsbereich
    Formalisierung in Lean 4, die nur auf Leans Standardaxiomen beruht; eine eigene Programmsprache erzwingt lokale Operationen und klassische Kommunikation (LOCC); Agenten auf Basis von Claude und GPT übersetzten Aussagen aus Fachartikeln nach Lean, ein lokal betriebenes GLM-5.3-Flash-Modell schrieb unter Anleitung von Claude Opus 5 einige Teilresultate; die Bibliothek ist quelloffen.
    Grenzen
    Betrifft Quantenschlüsselverteilung (QKD) im idealisierten Qubit-Modell, nicht Post-Quanten-Verfahren und nicht praktische Decoy-State-Systeme. Menschliche Prüfung der Definitionen blieb nötig: Sie fing etwa ein KI-erzeugtes Protokoll ab, das den Schlüssel aus den Daten beider Parteien berechnete, obwohl keine Partei beide kannte. Nicht begutachteter Preprint; der Umfang der Automatisierung ist nicht beziffert.
    Beobachtungszeitraum
    Preprint vom 12.10.2026
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Abschnitt II entwickelten die Autoren die Formalisierung iterativ mit Sprachmodell-Agenten auf Basis von Claude und GPT, die Aussagen übersetzten, Beweise zerlegten und Hilfsresultate entwickelten; mehrere formale Resultate schrieb ein offenes GLM-5.3-Flash-Modell. Der Lean-Kern prüfte jeden Beweis, Menschen prüften Definitionen und Aussagen.

  34. A34Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 34

    Geltungsbereich
    Graph-rekurrentes Netz, in der Simulation vortrainiert und auf Hardwaredaten feinjustiert; zusätzlich ein Stabilitätsexperiment mit variabler Messfehlerrate und ein Lattice-Surgery-Experiment zweier Patches der Distanz 3; Training auf einzelnen GPUs.
    Grenzen
    Auf dem IBM-Gerät lag der Fehler pro Runde bei Distanz 5 mit 2,48 % höher als bei Distanz 3; das Gerät arbeitete in diesem Experiment also nicht unterhalb der Schwelle. Auf den Google-Daten erreichte der Decoder bei Distanz 7 0,179 % gegenüber 0,130 % für AlphaQubit. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 02.10.2026
    Quellenwert
    1,47 % logischer Fehler pro Runde bei Distanz 3 auf einem IBM-Nighthawk-Prozessor (neuronaler Decoder)
    Vergleichsbasis
    MWPM auf denselben Messdaten: 2,79 %
    Vergleich
    Zweite Chipregion: 1,26 % gegenüber 2,60 %; Distanz 5: 2,48 % gegenüber 3,79 %
    Unsicherheit
    Keine Unsicherheitsangabe in Tabelle II
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Der Decoder ist ein neuronales Netz; der Vergleich mit dem algorithmischen Decoder MWPM auf denselben Hardwaredaten (Tabelle II) zeigt seinen Beitrag direkt. Klassisches maschinelles Lernen, kein Sprachmodell.

  35. A35Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 35

    Geltungsbereich
    1.142 Codevorschläge, davon 1.081 aus Sprachmodell-Programmen; zertifizierte Codes wie [[96,4,10]], [[140,6,10]] und [[180,4,14]]; Vergleich mit einem bekannten Code-Archiv und mit drei Zufallssuchen mit gleichen Stichprobenvorgaben.
    Grenzen
    Beide Ansätze umfassten je 6.444 Auswertungen; bei der sprachmodellgeführten Suche ergaben sie nur 936 verschiedene Vorschläge, bei den Zufallssuchen 6.444, die deshalb mehr zusammenhängende zertifizierte Klassen fanden (566 bis 572 gegenüber 311); auch die beste in der Kampagne zertifizierte Klasse [[180,4,14]] tauchte in den Zufallssuchen auf. Bessere Codes können den Aufwand künftiger Fehlerkorrektur senken, belegen aber keinen Fortschritt bei Angriffen. Einzelautor-Preprint ohne Begutachtung; der Autor arbeitet bei IBM, und beide Sprachmodelle halfen auch beim Manuskript und bei der Datenanalyse.
    Beobachtungszeitraum
    Preprint vom 05.10.2026
    Quellenwert
    87,18 % der Vorschläge mit positiver Distanz, die nachweislich Distanz 5 oder mehr erreichen (sprachmodellgeführte Suche)
    Vergleichsbasis
    Drei Zufallssuchen: 72,50 bis 74,26 %
    Vergleich
    936 verschiedene sprachmodellgeführte Vorschläge (aus 6.444 Auswertungen) gegenüber je 6.444 verschiedenen Zufallsvorschlägen
    Unsicherheit
    Keine Unsicherheitsangabe; Spanne über drei Zufallskontrollen
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Methodenteil erzeugten Claude Opus 5 und GPT-5.6 Sol in OpenEvolve-Kampagnen die Suchprogramme; 1.081 der 1.142 Vorschläge gehen darauf zurück. Gegenüber drei Zufallskontrollen belegt ist nur die höhere zertifizierte Ausbeute, nicht eine breitere Abdeckung.

  36. A36Zurück zu Kapitel 6.0

    Evidenztyp: beobachtet · Bestandsaufnahme · Quelle 36

    Geltungsbereich
    Fünf Drei-Qubit-NMR-Prozessoren; der Agent bewertete Messergebnisse, wählte die nächsten Messungen und passte Abläufe an, numerische Berechnungen übernahmen deterministische Werkzeuge; Menschen bereiteten die Geräte vor und griffen physisch ein.
    Grenzen
    Sehr kleine Prozessoren eines Typs, der für Kryptoanalyse keine Rolle spielt; vier der sechs Autoren arbeiten beim Gerätehersteller SpinQ, dessen Prozessoren genutzt wurden (die Autoren erklären keine konkurrierenden Interessen). Menschen justierten die Geräte wiederholt nach, die Trennung der Gerätekontexte war nur verfahrensmäßig geregelt, und einen Vergleich mit einem rein manuellen Vorgehen enthält die Arbeit nicht. Nicht begutachteter Preprint.
    Beobachtungszeitraum
    Preprint vom 15.10.2026
    KI-Bezug
    durch den zitierten Erstbericht belegt
    Grundlage des KI-Bezugs
    Laut Methodenteil koordinierte der Agent deterministische Werkzeuge, bewertete Ergebnisse und wählte die nächsten Schritte; Gerätevorbereitung und physische Eingriffe blieben bei Menschen. Belegt ist die Beteiligung des Agenten, nicht ein Gewinn gegenüber manueller Arbeit.

Und in deinem Fall? Prüf ihn mit Quellen.

Analyse startenFür Organisationen
Alle Berichte