Alles, was durch RSA-Schlüsseltransport oder einen (EC)DH-Schlüsselaustausch geschützt ist, darunter TLS-, SSH-, VPN- und Messaging-Sitzungen, kann gespeichert und später entschlüsselt werden, wenn der Schlüsselaustausch fällt. Forward Secrecy hilft nicht, weil der Angreifer jeden ephemeren Austausch aus dem aufgezeichneten Handshake heraus bricht. Daten, deren Vertraulichkeit länger halten muss als die Zeit bis zu einem kryptografisch relevanten Quantencomputer, sind schon heute gefährdet: Nach der Faustregel von Michele Mosca solltest du dir Sorgen machen, wenn die Jahre, die die Daten geheim bleiben müssen, plus die Jahre, die eine Migration dauert, mehr sind als die Jahre, bis ein solcher Computer existiert.
Die Gegenmaßnahme ist hybrider Post-Quanten-Schlüsselaustausch, und zwar jetzt: X25519MLKEM768 in TLS 1.3 (seit 2024–2025 Standard in den großen Browsern und vielen Servern), mlkem768x25519-sha256 in OpenSSH 10, PQ3 in iMessage und PQXDH in Signal. Signaturen sind nicht rückwirkend betroffen: Eine später gefälschte Signatur ändert nichts an einer vergangenen Authentifizierung, die Migration der Signaturen kann also nachfolgen – außer bei langlebigen Signaturen, etwa für Vertrauensanker von Firmware und für Dokumente.