Jeden Monat messen wir, wie viele Schweizer Organisationen auf ihrer öffentlichen Website bereits einen Post-Quanten-Schlüsselaustausch (ML-KEM) aushandeln. Keine Umfrage, sondern ein TLS-Handshake, von aussen beobachtet.
Die Zahlen
- 39,5 % der 276 von uns gemessenen Schweizer Organisationen handeln auf ihrer öffentlichen Website ML-KEM aus. Im gesamten Index (6503 Organisationen in 50 Ländern) sind es 38,4 %.
- Rang 11 von 32 Ländern mit mindestens 40 gemessenen Organisationen.
- 46 % der 80 gemessenen Schweizer Banken handeln ML-KEM aus, der höchste Wert unter den sechs Finanzplätzen mit mindestens 20 Banken im Index.
- 63/100 beträgt der durchschnittliche Quantum Risk Score des Schweizer Panels, in der Stufe «verwundbar» (50 bis 69). Der Durchschnitt des Index liegt bei 59.
Die Banken ziehen das Land
Banken (80 Organisationen) und Industrie (54) sind die beiden Schweizer Sektoren, die gross genug für einen Vergleich sind, und beide liegen über dem Index-Durchschnitt. Die übrigen vierzehn Sektoren zählen in unserem Schweizer Panel je zehn bis zwölf Organisationen. Diese Werte sind indikativ: Bei zehn Websites verschiebt eine einzige den Wert um zehn Punkte.
Im Bankensektor liegt die Schweiz vorn
Über alle 807 Banken im Index handeln 29 % ML-KEM aus. Schweizer Banken erreichen 46 %, vor den Niederlanden (43 %), dem Vereinigten Königreich (39 %), den USA (29 %), Japan (23 %) und Deutschland (19 %).
Innerhalb der Schweiz ist der Unterschied gering: 10 von 24 Kantonalbanken (42 %) und 27 von 56 übrigen Banken (48 %: Privat-, Regional-, Retail- und Onlinebanken). Wir veröffentlichen kein Ergebnis einer einzelnen Bank, nur Gruppen von mindestens 20 Organisationen.
Oft entscheidet das CDN
Von den 109 Schweizer Organisationen, die ML-KEM aushandeln, tun 46 dies, weil der Dienst, der ihr TLS terminiert, es ab Werk aktiviert: Cloudflare, Amazon CloudFront, Imperva oder Azure Front Door. Keine von ihnen hat dafür ein Post-Quanten-Projekt durchgeführt. Betreibt die Organisation ihr Frontend selbst, sinkt der Anteil auf 32 %. Hinter anderen CDNs und Hosting-Plattformen sind es 0 von 36: Die Einstellung existiert teilweise, ist aber nicht standardmässig aktiv.
Drei Fragen für Ihre nächste Geschäftsleitungssitzung
- Wer terminiert unser TLS? Ist es ein CDN, ist Post-Quanten-Kryptografie auf der öffentlichen Website vielleicht schon aktiv oder nur eine Einstellung entfernt. Ist es eine eigene Appliance, ist es ein Projekt.
- Die Fassade ist nicht der Kern. ML-KEM auf der öffentlichen Website sagt nichts über interne APIs, VPNs, Zertifikate oder Anwendungsschlüssel aus. Dort liegt der grösste Teil der Migrationsarbeit.
- Haben wir ein Inventar? Ohne eine Liste der eingesetzten Algorithmen und Zertifikate (CBOM) gibt es weder einen Migrationsplan noch eine Antwort für die Aufsicht.
Das Barometer sieht nur die öffentliche Website. Um den Rest Ihrer Umgebung zu messen (Zertifikate, Schlüssel und eingesetzte Algorithmen) und einen Migrationsplan zu erhalten, siehe den Quantum Risk Score.
So messen wir
- Messung. Ein Live-TLS- und DNS-Handshake gegen die öffentliche Website jeder Organisation, ohne Selbstauskunft und ohne privilegierten Zugang. «Handelt ML-KEM aus» bedeutet, dass der Server einen X25519MLKEM768-Schlüsselaustausch akzeptiert.
- Score. Der Quantum Risk Score (0 bis 100) kombiniert vier Signale: Widerstandsfähigkeit der Algorithmen, kryptografische Agilität, Exposition gegenüber passiver Datensammlung und Migrationsstand. Stufen: ab 70 hybride Migration; 50 bis 69 verwundbar; unter 50 kritisch.
- Nicht gemessen. Interne Systeme, Lieferantenportale und Fernzugriffe. Der Score ist weder ein Sicherheitsaudit noch ein Penetrationstest noch eine regulatorische Bestätigung.
- Panel. 276 Schweizer Organisationen aus den 16 NIS2-Sektoren, innerhalb eines Index von 6503 Organisationen in 50 Ländern. Das Panel wächst seit September, daher weisen wir keine Veränderungen von Monat zu Monat aus, bis es stabil ist.
- Vertraulichkeit. Keine Organisation wird genannt, kein Einzelscore veröffentlicht. Vergleiche beruhen auf Gruppen von mindestens 20 Organisationen; kleinere Sektoren sind als indikativ markiert. Frontend-Anbieter sind Bezeichnungen aus DNS und Antwort-Headern, keine Messung.
- Daten. DuoKey-Index, Messungen vom 3. September bis 4. November 2026 (Medianalter 23 Tage).
