Ein fortgeschrittener Quantencomputer könnte einige der Kryptografiesysteme untergraben, die Kommunikation, Transaktionen, Datenbanken und Blockchains absichern, erklärten die drei Finanzaufsichtsbehörden der Europäischen Union in ihrer Herbst-Risikobewertung zum Finanzsystem des Bündnisses.

Die Warnung kam vom Gemeinsamen Ausschuss der Europäischen Bankenaufsichtsbehörde, der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersvorsorge und der Europäischen Wertpapier- und Marktaufsichtsbehörde — den Gremien, die gemeinsam die Banken-, Versicherungs- und Wertpapiersektoren der EU beaufsichtigen. Sie stellte heraus, dass die Bedrohung „früher als jede tragfähige kommerzielle Anwendung“ Wirklichkeit werden könnte, das heißt, eine Maschine, die Verschlüsselung brechen kann, könnte existieren, bevor Quantencomputing für irgendetwas anderes nützlich ist. Diese Reihenfolge ist der Kern der Warnung: Die Uhr des kryptografischen Risikos läuft unabhängig von der Uhr der kommerziellen Quanten-Nützlichkeit.

Anlässlich der Bekanntgabe der Bewertung am 23. September teilte die EBA mit, die Europäischen Aufsichtsbehörden hätten drei aufkommende Schwachstellen für das Finanzsystem der EU identifiziert: Abhängigkeiten außerhalb der EU, Cyberrisiken und KI-gestützte Bedrohungen sowie wachsende Private-Credit-Risiken — wobei betont wurde, dass das System insgesamt resilient bleibt.

⚠️ The ESAs identify 3 emerging vulnerabilities for the EU financial system: 🌐 Non-EU dependencies Cyber risks & AI-driven threats 📈 Growing private credit risks The overall system remains resilient, but vigilance and preparedness are essential. 👉 pic.twitter.com/s0rRBGMN4F

— EU Banking Authority - EBA 🇪🇺 (@EBA_News) September 23, 2026

Die Bewertung stellte fest, dass verschlüsseltes Material nicht im Moment des Diebstahls gelesen werden muss. Heute gesammelte Informationen könnten in der Zukunft entschlüsselt werden, so der Bericht — eine Praxis, die in der Branche als „Harvest now, decrypt later“ bezeichnet wird. Alles, was heute abgefangen wird und in zehn Jahren noch Wert hat, ist bereits gefährdet. Für die Banken, Versicherer und Marktoperatoren, die die ESAs beaufsichtigen und deren Unterlagen und Kundendaten auch lange nach der Übertragung sensibel bleiben können, verlagert das den Ausgangspunkt des Risikos auf den heutigen Abfangzeitpunkt — nicht auf die künftige Ankunft einer entschlüsselungsfähigen Maschine.

Die Regulierungsbehörden treiben die Vorbereitung des Sektors bereits voran. Der Digital Operational Resilience Act verlangt von Finanzinstituten den Einsatz modernster Kryptografie gegen aufkommende Bedrohungen, während die NIS Cooperation Group der EU separat empfohlen hat, dass die Mitgliedstaaten bis Ende 2026 — also in drei Monaten — eine Migrationsstrategie für Post-Quanten-Kryptografie verabschieden, also einen Plan für den Wechsel zu Verschlüsselung, die Quantenangriffen standhalten soll.

Bedrohungen und Chancen

Die Aufsichtsbehörden fielen nicht durchweg negativ aus. Quantencomputing könnte den Finanzsektor mittelfristig „transformieren“, so die Behörden, und verwiesen auf die Optimierung von Finanzprozessen, Betrugs- und Compliance-Arbeit, Preisbildung und Simulation.

Für Blockchains ist die Exposition bereits messbar. Glassnode stellte im Mai fest, dass 6,04 Millionen BTC — 30,2 % der ausgegebenen Supply, zu diesem Zeitpunkt mehr als 469 Milliarden Dollar wert — öffentlich sichtbare Schlüssel on-chain hatten und ohne jede Transaktion angreifbar wären. Die Schätzungen für den Q-Day, den Zeitpunkt, an dem eine Maschine die Kryptografie hinter Bitcoin und Ethereum brechen kann, reichen von 2030 bis 2032 und später — eine Spanne, die den kryptografischen Meilenstein vor jeden nachgewiesenen kommerziellen Nutzen der Technologie setzen würde, ganz im Einklang mit der zentralen Warnung der Aufsichtsbehörden.

Zu den Empfehlungen des Berichts an Behörden und Finanzinstitute gehört der Appell, die Planung für Risiken der rasanten Entwicklung von KI und Quantencomputing fortzusetzen, neben der Aufrechterhaltung operativer Resilienz und der Stärkung von Cybersecurity-Praktiken. Der unmittelbarste Maßstab wird sein, ob die Mitgliedstaaten die Frist der NIS Cooperation Group bis Ende 2026 für nationale Migrationsstrategien einhalten — ein Test der Vorsorge, der Jahre vor den frühesten Q-Day-Schätzungen liegt.