Größen in Byte (FIPS 203, Tabelle 3), Kapselungsschlüssel / Chiffrat: ML-KEM-512 800 / 768 (Kategorie 1), ML-KEM-768 1.184 / 1.088 (Kategorie 3), ML-KEM-1024 1.568 / 1.568 (Kategorie 5); das gemeinsame Geheimnis ist immer 32 Byte lang. Entkapselungsschlüssel lassen sich als 64-Byte-Seed d ‖ z speichern. Auf einem Kern eines Apple M4 Max schafft OpenSSL 3.6.5 etwa 41.000 ML-KEM-768-Schlüsselerzeugungen, 63.000 Kapselungen und 40.000 Entkapselungen pro Sekunde.
Eine Fujisaki-Okamoto-Transformation mit impliziter Zurückweisung (Implicit Rejection) macht ML-KEM sicher gegen Chosen-Ciphertext-Angriffe: Ein ungültiges Chiffrat liefert statt eines Fehlers ein pseudozufälliges Geheimnis. FIPS 203 verlangt Eingabeprüfungen für Kapselungsschlüssel (§7.2) und Entkapselungsschlüssel (§7.3); Implementierungen müssen außerdem die Timing-Lecks vermeiden, die frühen Kyber-Code betrafen (KyberSlash, 2024).
ML-KEM-768 ist das Arbeitspferd des hybriden Schlüsselaustauschs: TLS X25519MLKEM768, SSH mlkem768x25519-sha256, HPKE und X-Wing, iMessage PQ3 von Apple und PQXDH von Signal. ML-KEM-1024 ist die Wahl für CNSA 2.0. ML-KEM ist nicht interoperabel mit Kyber aus Runde 3.