Shors Algorithmus faktorisiert große Zahlen und berechnet diskrete Logarithmen effizient, deshalb fallen RSA, DH über endlichen Körpern, ECDH, ECDSA und EdDSA alle einem kryptografisch relevanten Quantencomputer zum Opfer. Post-Quanten-Verfahren beruhen auf Problemen, für die keine schnellere Lösung per Quantencomputer bekannt ist: strukturierten Gittern (ML-KEM, ML-DSA, FN-DSA), Hashfunktionen (SLH-DSA, LMS, XMSS) und fehlerkorrigierenden Codes (HQC, Classic McEliece). Symmetrische Verschlüsselungsverfahren und Hashes sind nur von der Quadratwurzel-Beschleunigung durch Grovers Algorithmus betroffen, deshalb bleiben AES-256, AES-128 und SHA-256 nutzbar.
NIST veröffentlichte FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) am 13. August 2024; FN-DSA (FIPS 206, aus Falcon hervorgegangen) und HQC sind noch Entwürfe. NIST IR 8547 (erster öffentlicher Entwurf) schlägt vor, klassische 112-Bit-Algorithmen nach 2030 abzukündigen und alle durch Quantencomputer gefährdeten Public-Key-Algorithmen nach 2035 nicht mehr zuzulassen; CNSA 2.0 der NSA setzt für nationale Sicherheitssysteme frühere Termine.
Die Reihenfolge der Migration in der Praxis: zuerst hybrider Schlüsselaustausch, weil aufgezeichneter Datenverkehr später entschlüsselt werden kann (in TLS sind X25519MLKEM768 und in SSH mlkem768x25519-sha256 bereits Standard), danach Signaturen und PKI, wo Größen und die Verteilung von Vertrauen schwierigere Probleme sind. Der PQC-Algorithmenzoo vergleicht Größen und Geschwindigkeiten.