BSI rät von Classic McEliece ab: Post-Quanten-Verfahren schwächer als angenommen, FrodoKEM und ML-KEM bevorzugen

Eines der ältesten Post-Quanten-Verfahren verliert das Vertrauen des Bundesamts für Sicherheit in der Informationstechnik (BSI). Seit dem 1. Oktober 2026 empfiehlt die Behörde, Classic McEliece nicht mehr für Neuentwicklungen und bei der Planung neuer kryptografischer Anwendungen einzusetzen. Grund sind nach BSI-Angaben jüngste Fortschritte in der Kryptoanalyse: Strukturelle Angriffe gegen das McEliece-Kryptosystem wurden wesentlich verbessert, weitere Entwicklungen seien zu erwarten. Das Sicherheitsniveau liege substanziell unter dem bisher angenommenen.

Für bestehende Systeme gibt das BSI vorerst Entwarnung mit Einschränkung: Mit den in der Technischen Richtlinie TR-02102-1 empfohlenen Parametern gibt es derzeit keinen praktischen Angriff, und die Richtlinie hatte von Anfang an verlangt, das Verfahren nur hybrid mit einem klassischen Schlüsselaustausch zu kombinieren. Solche Kombinationen gelten weiter als geschützt. Für neue Systeme sollen FrodoKEM und ML-KEM vorgezogen werden, ebenfalls hybrid; HQC kommt dazu, sobald der Standard vorliegt. Die TR-02102 wird Anfang 2027 überarbeitet.

Classic McEliece stand seit 2020 in der BSI-Richtlinie und galt wegen seiner langen Geschichte als besonders konservative Wahl. An der Dringlichkeit der Migration auf quantensichere Verfahren ändert die Meldung nach BSI-Lesart nichts.