Fragen, klar beantwortet.

Fast alle heute eingesetzte Verschlüsselung schützt ihren Schlüsselaustausch mit Mathematik, die ein grosser Quantencomputer schnell lösen würde. Dass jemand einen gebaut hätte, ist nicht bekannt. Die Schwierigkeit: Datenverkehr, der heute mitgeschnitten wird, kann gespeichert und später entschlüsselt werden. Daten, deren Vertraulichkeit die Ankunft einer solchen Maschine überdauern muss, sind also bereits exponiert. Aufgezeichnet wird jetzt, entschlüsselt wird, sobald es möglich ist. Dieses Vorgehen wird üblicherweise als harvest now, decrypt later bezeichnet.

Nein. Ein kryptografisch relevanter Quantencomputer ist nicht bekannt, und das US Office of Management and Budget hat das schriftlich festgehalten. Das heutige TLS erfüllt seinen Zweck gegen die heutigen Angreifer. Die Frage ist nicht, ob es gebrochen ist, sondern wie lange die Daten dahinter geheim bleiben müssen. Verkehr, der in einem Jahr niemanden mehr interessiert, ist ein anderes Problem als ein Patientendossier oder ein Signierschlüssel. Die datierten Positionen stehen auf der Zeitplan-Seite.

Das hängt ganz davon ab, wer Sie reguliert, und die ehrliche Antwort ist: Die meisten veröffentlichten Leitlinien empfehlen, statt zu verlangen. Einige wenige Instrumente sind verbindlich, etwa eine US-Executive-Order und die Weisung eines Schweizer Kantons für die eigene Verwaltung; die meisten sind es nicht. Jedes Datum, das wir verifizieren konnten, steht auf der Zeitplan-Seite, markiert als verbindlich oder nicht, weil genau dieser Unterschied regelmässig verloren geht, wenn diese Daten zitiert werden.

Eine Roadmap, aufgebaut auf einem Inventar der eingesetzten Kryptografie. Die FINMA-Aufsichtsmitteilung zu Quantencomputing legt sie nahe, statt sie zu verlangen. Sie hält aber auch fest, dass die Governance- und Risikovorgaben, die bereits für Sie gelten, das Quantenrisiko abdecken, und dass sie das Thema in der Aufsicht vertieft anschauen wird. Was die Mitteilung nahelegt, Schritt für Schritt.

Es gibt keine einheitliche Antwort, und genau das ist die nützliche Erkenntnis. Die Behörden sind sich uneinig: Eine schreibt einen einzigen Parametersatz vor und sonst nichts, eine andere lässt eine breitere Auswahl zu, darunter Algorithmen auf anderer mathematischer Grundlage, und eine Kantonsverwaltung erlaubt zwei, die die erste verbietet. Ein Produkt, das an einem Ort konform ist, kann an einem anderen als nicht konform gelten. Die Positionen stehen dort nebeneinander.

Das hängt davon ab, wer fragt. Ein hybrider Schlüsselaustausch kombiniert einen klassischen Algorithmus mit einem Post-Quantum-Verfahren, sodass das Brechen von nur einem der beiden nicht genügt, und mehrere Behörden verlangen genau das. Mindestens ein Framework rechnet ihn gar nicht an und zählt alles unterhalb von vollständig Post-Quantum als nicht konform. Wichtig ist auch: Ein quantensicherer Handshake vor einem klassischen Zertifikat ist nicht dasselbe wie Readiness, und ein Bericht, der ihn als ready zählt, misst das Falsche.

Mehr als der Algorithmusname in einer Konfigurationsdatei. Post-Quantum-Signaturen sind erheblich grösser als die, die sie ersetzen, und diese Grösse landet auf jedem Zertifikat, in jeder Kette und in jedem Handshake. Das bricht Puffer, Embedded Clients und Hardware, lange bevor irgendetwas Kryptografisches bricht. Die Arbeit ist in der Regel eine Kartierung von Abhängigkeiten, die in Kryptografie endet, und kein Kryptografie-Projekt.

Weil die Arbeit über alles verteilt ist, was eine Verbindung terminiert oder validiert: Zertifikate, Protokoll-Bibliotheken, Appliances, Embedded-Geräte, Code-Signing und alles, was archivierte Daten hält. Historisch wurde der Weg von der Veröffentlichung eines Standards bis zu seiner vollständigen Integration eher in Jahrzehnten als in Jahren gemessen. Die Migrations-Seite beschreibt die Phasen und wo jede üblicherweise schiefgeht.

Mit einem Inventar, weil jede spätere Entscheidung davon abhängt. Sie können nicht priorisieren, was Sie nicht sehen, und in den meisten Umgebungen ist die Lücke zwischen dem, was die CMDB kennt, und dem, was im Netz tatsächlich antwortet, bereits der Befund. Priorisiert wird anschliessend nach der Zeit, die die Daten geheim bleiben müssen, nicht danach, wie leicht ein System zu ändern ist. Die sechs Phasen sind hier beschrieben.

Es findet die Zertifikate, Schlüssel, Protokolle und Cipher Suites, die in Ihrer Infrastruktur im Einsatz sind, hält sie in einem Inventar, bewertet sie anhand einer Policy, die Sie selbst festlegen, und weist die Readiness gegenüber veröffentlichten Frameworks aus. Zudem hilft es Ihnen, die Migration zu planen: welche Arbeit zuerst kommt, bis wann, und wer dafür verantwortlich ist.

Es ist keine Certificate Authority und stellt nichts aus und erneuert nichts. Es ist kein Internet-Scanner: Es scannt nur die Zielliste, die Sie pflegen, und jedes Ziel wird vor dem Verbindungsaufbau gegen einen Guard geprüft. Es ist kein SIEM. Es misst, bewertet und plant; die Änderungen selbst führen Sie durch.

Nein. Es öffnet eine TLS-Verbindung und liest, was der Endpunkt anbietet: Protokolle, Cipher Suites, Zertifikatskette, Schlüsselaustausch, und speichert das Ergebnis. Es gibt in der Software keinen Pfad, der auf einem gescannten Host etwas ausstellt, erneuert, verteilt oder umkonfiguriert. Der Host-Scanner liest nur Zertifikatsspeicher, Schlüsseldateien und Konfiguration seiner Maschine und sendet nie einen privaten Schlüssel.

Auf vier Wegen, und die meisten Umgebungen brauchen mehr als einen. Es führt einen aktiven TLS-Handshake gegen Endpunkte aus, die Sie auflisten oder per Netzbereich-Sweep entdecken. Ein Host-Scanner läuft auf der Maschine selbst und liefert ein Inventar aus Zertifikaten, Schlüsseln, Bibliotheken und Diensten. Eine Remote Engine deckt Segmente ab, die der Server nicht erreicht. Was sich nicht scannen lässt, importieren Sie als Zertifikatsdateien, CBOM oder Host-Liste, oder Sie erfassen es von Hand.

Für Netzwerk-Scans nicht; sie benötigen nichts auf dem Zielsystem. Ein Host-Scanner ist nur dort nötig, wo das Netzwerk nicht hineinsieht, etwa bei Windows-Zertifikatsspeichern, Schlüsseldateien, internen Certificate Authorities und Maschinen ohne lauschenden Dienst. Er kann dauerhaft laufen, einmalig laufen und wieder entfernt werden, oder remote über SSH oder PowerShell Remoting ausgeführt werden, ganz ohne Installation.

Dafür gibt es eine Remote Engine: ein kleiner Container, den Sie im Segment selbst betreiben. Sie öffnet eine einzige ausgehende Verbindung zu Post Quantum Leap und erhält ihre Arbeit über diese Verbindung. Es braucht also keine eingehende Firewall-Regel, und der Server kennt keine Adresse der Engine. Sie führt dort dieselben Scans aus, und Host-Scanner in diesem Segment liefern an sie statt an den Server, brauchen also ebenfalls keinen eigenen Weg hinaus.

Dort, wo Sie es betreiben. Self-hosted bleibt alles in Ihrer Datenbank auf Ihrer Infrastruktur. Wenn wir es für Sie hosten, läuft es in einer Schweizer Region, und die Daten bleiben in der Schweiz unter Schweizer Recht. Die Deployment-Optionen stehen hier.

Nein. Es gibt keine Telemetrie und keinen Lizenz-Check-in. Die einzigen ausgehenden Verbindungen der Software sind die, die Sie selbst konfigurieren: Ihr Identity Provider, wenn Sie Single Sign-on aktivieren, und eine Certificate Authority, wenn die Software ihr eigenes Zertifikat automatisch beziehen soll. Nichts meldet sich bei uns.

Ja, und dieser Fall hat mehrere Entscheidungen geprägt. Endpunkte laden den Host-Scanner von Post Quantum Leap selbst statt aus dem Internet, die Trust Anchors für die Validierung werden mitgeliefert, und es gibt keinen Lizenz-Call, der fehlschlagen könnte. Scan-Profile für Offline- und air-gapped Maschinen sind enthalten.

Drei Rollen, jede enthält die vorherige: Ein Reader sieht Inventar, Dashboards und Berichte; ein Operator kann Ziele erfassen, Scans starten, Zertifikate importieren und Governance-Attribute setzen; ein Administrator ändert Policy, Benutzer, Anmeldung und den Zeitplan. Jede Konfigurationsänderung wird festgehalten, mit Urheber und vorherigem Zustand, und dieses Protokoll ist durchsuchbar.

Mit einem lokalen Konto und Passwort oder Passkey, oder über Ihren Identity Provider per OpenID Connect, inklusive Microsoft Entra ID, mit Provisionierung beim ersten Login. SAML wird noch nicht unterstützt und steht auf der Roadmap.

Mehrere, darunter die NIST-Post-Quantum-Standards, CNSA 2.0, BSI TR-02102, PCI DSS, DORA und die FINMA-Aufsichtsmitteilung für Schweizer Institute, jedes als eigener Bericht mit eigenen Regeln. Jeder Bericht sagt, was er nicht feststellen kann. Der FIPS-Bericht zum Beispiel kann eine formale Modul-Validierung nicht bestätigen und sagt das. Die Berichte sind unabhängig von Ihrer eigenen Bewertungs-Policy, ein Auditor sieht also die Regeln des Frameworks und nicht Ihre.

Ja, wenn Sie es zulassen. Darum ist die Scan-Rate konfigurierbar, bis hinunter zu einem bewusst langsamen Modus, und geplante Scans verwenden dieselbe Einstellung. Scans laufen über Ihre bestehenden Proxies, wo es sie gibt. Es lohnt sich trotzdem, vor dem ersten vollen Durchlauf diejenigen zu informieren, die das Intrusion-Detection-System betreuen.

Ja. Jede gefilterte Ansicht exportiert nach Excel oder als CycloneDX-CBOM, wahlweise die ganze Auswahl oder nur die markierten Zeilen, und jeder Compliance-Bericht ebenso. Die gesamte Konfiguration samt Inventar lässt sich als eine Datei zwischen Instanzen umziehen. Es gibt hier kein Format, das Sie ohne uns nicht lesen könnten.

Als Container, mit einer Datenbank und einem Reverse Proxy, der TLS terminiert und das Zertifikat der Instanz selbst beschafft. Das läuft unter Docker oder Podman, auf Kubernetes mit einem Helm-Chart, auf einem Container-Host in Ihrer eigenen Cloud oder im Rechenzentrum. Die Architektur ist hier gezeichnet.