Vorne Hightech-Tresor, hinten offen: Webseiten sind quantensicher, doch die E-Mail wird vergessen.

Vorne quantensicher, hinten offen: Laut einer Messung von sichergenug.de schützen 76 % der PQC-Vorreiter zwar ihre Haupt-Webseite, lassen Mailserver und Nebendienste aber oft ungesichert.

Energieversorger, Kliniken, Banken, Behörden, Hochschulen, IT-Dienstleister und Industrie sollen nach NIS-2 und DORA nachweisen, dass ihre Verschlüsselung dem Stand der Technik entspricht. Wie es tatsächlich aussieht, hat sichergenug.de am 29. Oktober 2026 gemessen: von außen, mit gewöhnlichen Verbindungsaufbauten, ohne Logins und ohne Angriffe. Untersucht wurden 1.019 öffentlich erreichbare Dienste von 180 bewusst ausgewählten, überwiegend großen deutschen Organisationen, je 30 aus sechs Sektoren.

Die Startseite schneidet gut ab: 90,4 Prozent der Haupt-Webseiten sprechen das moderne TLS 1.3, gut die Hälfte (53,4 Prozent) nutzt sogar schon den gegen Quantencomputer gehärteten Schlüsselaustausch ML-KEM (NIST FIPS 203). Hinter der Fassade wird die Lage deutlich schlechter.

E-Mail ist der vergessene Nebeneingang

ML-KEM handeln 45,9 Prozent der Haupt-Webseiten-Endpunkte aus, aber nur 10,5 Prozent der selbst betriebenen Mailserver und 4,5 Prozent der Mailserver externer Anbieter. Gerade bei E-Mail zählt das: Vertrauliche Nachrichten, die heute mitgeschnitten werden, könnten künftig mit leistungsfähigen Quantencomputern entschlüsselt werden ("Harvest now, decrypt later").

Das Fassaden-Paradoxon: drei von vier nur vorne geschützt

Von 75 Organisationen, deren Webseite bereits Post-Quanten-Verschlüsselung nutzt und die weitere eigene Dienste betreiben, bieten 57 (76 Prozent) diesen Schutz nicht auf allen Diensten an. Bei 142 von 154 Organisationen mit erreichbarem Mailempfang (92 Prozent) fehlt zudem ein DNSSEC-gesicherter DANE/TLSA-Eintrag, wie ihn die BSI TR-03108 vorsieht. 44,7 Prozent der RSA-Zertifikate liegen unter den von der BSI TR-02102 empfohlenen 3.000 Bit; betroffen sind mehr als zwei Drittel der Organisationen.

Nur 6 Prozent durchgängig grün

Nach dem Bewertungsmodell von sichergenug.de, das Post-Quanten-Verschlüsselung für "Grün" voraussetzt, erreichen nur 11 der 180 Organisationen auf allen geprüften Systemen die Bestnote. Auch zwischen den Sektoren gibt es Unterschiede: In Industrie, Logistik und Handel nutzen 80 Prozent der Haupt-Webseiten bereits ML-KEM, bei Gesundheit und Kliniken nur 30 Prozent.

Die Lösung liegt oft nur ein Update entfernt

"Die Messung ist kein Grund zur Panik. Im Gegenteil: Sie zeigt, wie nah viele Organisationen am Ziel sind", sagt Frank-Ringo Gutacker, Gründer von sichergenug.de, der seit fast dreißig Jahren in der IT arbeitet und sich in CERTs engagiert. "Wer seine Webseite schon umgestellt hat, hat bewiesen, dass er es kann. Jetzt geht es darum, denselben Standard auf Mailserver, VPN und Kundenportal zu übertragen. Angreifer klopfen nicht vorne an, sie suchen die Tür, an die niemand gedacht hat."

Oft reichen wenige Schritte: OpenSSL ab 3.5 und OpenSSH ab 9.9 bringen den hybriden Post-Quanten-Schlüsselaustausch bereits mit; bei SSH nutzen ihn schon 59,3 Prozent der geprüften Zugänge. Der Wechsel von RSA-2048 auf ECDSA-Zertifikate ist meist der einfachste Weg. Und wer, wie 59,4 Prozent der Organisationen, Mail ausschließlich über externe Anbieter empfängt, sollte Post-Quanten-Schutz und DANE bei der Anbieterauswahl einfordern.

Mit derselben Prüf-Engine können Organisationen ihre eigene Domain inklusive Subdomains, Mailservern und SSH-Zugängen kostenlos und ohne Anmeldung prüfen: https://sichergenug.de

Studie, Methodik und Sektorvergleich: https://sichergenug.de/studie-pqc-nis2-2026

Methodik und Einordnung: Einmalige Stichtagsmessung am 29.10.2026; Hostnamen passiv aus Certificate-Transparency-Logs und DNS ermittelt, anschließend TLS- und SSH-Handshakes auf acht Standardports sowie DNSSEC-validierte TLSA-Abfragen. Die Stichprobe ist bewusst ausgewählt und nicht repräsentativ; pro Organisation wurden höchstens 8 Hosts geprüft. Einzelne Organisationen werden nicht genannt. Die Messung wurde von sichergenug.de durchgeführt und nicht extern begutachtet; sichergenug.de bietet kostenpflichtige Prüfberichte und Konfigurationspakete zu den untersuchten Themen an. Anonymisierte Rohdaten stehen Redaktionen auf Anfrage zur Verfügung.

Über sichergenug.de: sichergenug.de aus Potsdam prüft von außen, wie öffentlich erreichbare Web-, Mail- und SSH-Dienste einer Domain verschlüsselt sind, orientiert an BSI TR-02102 und TR-03108. Der Kurzcheck ist kostenlos; optionale Prüfberichte unterstützen die Dokumentation nach § 30 BSIG (NIS-2) und DORA Art. 9. sichergenug.de ist ein unabhängiges Angebot und keine Stelle des BSI.

Verantwortlicher für diese Pressemitteilung:

Heck & Kuhn GmbH i.L.
Herr Frank-Ringo Gutacker
Mittelstr. 34
14467 Potsdam
Deutschland

fon ..: 03315880033
web ..: https://sichergenug.de
email : support@sichergenug.de

sichergenug.de ist ein unabhängiges Prüfangebot aus Potsdam für die Verschlüsselung öffentlich erreichbarer IT-Systeme. Der Krypto-Check misst von außen, wie Webseiten, Subdomains, Mailserver und SSH-Zugänge einer Domain ihre Verbindungen absichern, und bewertet das Ergebnis anhand der Technischen Richtlinien BSI TR-02102 und TR-03108. Geprüft werden unter anderem TLS-Version, Zertifikatsschlüssel, Forward Secrecy, DANE/TLSA für den Mailempfang und der hybride Post-Quanten-Schlüsselaustausch ML-KEM.

Die Prüfung ist schonend und nachvollziehbar: Es werden ausschließlich reguläre Verbindungsaufbauten und öffentliche DNS-Abfragen durchgeführt, ohne Logins, Exploits oder Lasttests. Methodik und Bewertungsmaßstab sind offengelegt, Betreiber können ihre Domain über eine Opt-out-Liste dauerhaft ausschließen lassen.

Der Kurzcheck ist kostenlos und ohne Anmeldung nutzbar. Organisationen mit Dokumentationspflichten nach NIS-2 (§ 30 BSIG) und DORA Art. 9 erhalten optional einen Stichtags-Prüfbericht mit maschinenlesbarem Krypto-Inventar (CycloneDX CBOM) sowie vorausgefüllte Vorlagen für Kryptografie-Richtlinie und Lieferanten-Fragebogen. Zielgruppen sind Geschäftsleitungen, IT-Leitungen, Banken und Finanzdienstleister, Berater und Revision.

Hinter sichergenug.de steht Frank-Ringo Gutacker. Er arbeitet seit fast dreißig Jahren in der IT, in kleinen und großen Projekten, komplexen Infrastrukturen und im täglichen Betrieb, und hat zahlreiche Sicherheitsvorfälle direkt begleitet. Er engagiert sich in CERTs (Computer Emergency Response Teams) bei der Früherkennung von Angriffen. Seine Erfahrung hat er in englischsprachigen Fachbüchern veröffentlicht, darunter "The IT Emergency Playbook", "The One-Person IT Department" und "The AI-Powered IT Leader".

sichergenug.de ist keine Stelle des BSI oder einer anderen Behörde. Der Prüfbericht ist eine Dokumentationshilfe, keine Zertifizierung und keine Rechtsberatung.

Pressekontakt:

Gutacker, Frank-Ringo
Herr Frank-Ringo Gutacker
Mittelstr. 34
14469 Potsdam

fon ..: 03315880033
email : support@sichergenug.de