13. August 2026

Quantum Computing – Handlungsbedarf für Schweizer Finanzinstitute

  • Artikel
  • Daten / Technologie / IP

Quantum Computing ist kein blosses Zukunftsthema mehr: Die FINMA sieht bei vielen Finanzinstituten Nachholbedarf bei Governance und Risikomanagement.

  • Caroline Gaul

    Legal Partner

Nach der Analyse einer Umfrage aus dem Jahr 2025 bei 60 Schweizer Finanzinstituten, darunter bewilligte Banken, Versicherungsunternehmen, Verwalter von Kollektivvermögen und Finanzmarktinfrastrukturen, hat die FINMA festgestellt, dass viele beaufsichtigte Institute die zukünftigen Risiken durch Quantum Computing zwar erkennen, konkrete Massnahmen zur Bewältigung dieser Risiken hingegen erst vereinzelt ergriffen werden. Dabei stellen die Risiken, die vom Quantum Computing ausgehen, kein bloss theoretisches Zukunfts-Thema dar. Die beaufsichtigten Institute müssen sich gemäss FINMA-Aufsichtsmitteilung 05/2026 vielmehr zeitnah damit auseinandersetzen und ihre Governance und ihr Risikomanagement entsprechend ausrichten. Das Thema ist nicht nur für den regulierten Bereich, sondern für alle Unternehmen von Bedeutung, da diese gleichermassen von den Chancen und Risiken des Quantum Computing betroffen sein können.

Was ist Quantum Computing und welche Chancen bringt es?
Quantum Computing bezeichnet eine grundlegend andere Art der Informationsverarbeitung auf Basis der Quantenmechanik. Während klassische Computer auf einem binären System basieren und mit Bits arbeiten, die entweder den Wert 0 oder 1 haben, arbeitet ein Quantencomputer mit Qubits. Diese können sich in einer Überlagerung (Superposition) der Zustände 0 und 1 befinden und zudem miteinander verschränkt sein. Dadurch können Quantencomputer bestimmte Berechnungen deutlich effizienter durchführen als klassische Computer. Es wird erwartet, dass sie künftig für bestimmte Anwendungsfälle Probleme lösen können, die mit heutigen klassischen Computern praktisch nicht oder nur mit sehr hohem Aufwand lösbar sind.

Welche Risiken bestehen durch Quantum Computing?
Die grössten Risiken durch Quantum Computing sind bei der Datensicherheit zu sehen, insbesondere in Bezug auf Verschlüsselungs-, Signatur- und Authentifizierungsverfahren. Weitere hohe Risiken können sich aus einer unvollständigen Migration zu quantensicherer Verschlüsselung, fehlendem Know-how, «harvest now, decrypt later» Angriffen sowie aus der Interoperabilität mit Legacy-Systemen ergeben. Die Relevanz des Themas, auch für nicht regulierte Unternehmen, wird deutlich, wenn man sich vor Augen führt, dass zahlreiche digitale Anwendungen unseres Alltags auf Verschlüsselungs- und Signaturverfahren beruhen. Dazu zählen etwa die sichere Kommunikation über das Internet, elektronische Identitäten oder Kryptowerte wie Bitcoin. Da viele dieser Technologien durch leistungsfähige Quantencomputer künftig angreifbar werden könnten, kommt dem Thema nicht nur aus technischer, sondern auch aus rechtlicher Sicht eine erhebliche Bedeutung zu.

Was empfiehlt die FINMA?

  • Post-Quantum Strategie (PQC-Strategie) und Roadmap bis spätestens Mitte 2027
    Die FINMA legt die Erarbeitung einer Strategie und klaren Roadmap für die Migration zu quantensicherer Verschlüsselung bis spätestens Mitte 2027 nahe. Diese sollte die Festlegung von Zieldaten für die vollständige Migration sowie für die Migration der kritischen Geschäftsprozesse zu quantensicherer Kryptografie beinhalten. Die «Post Quantum Strategie» (PQC-Strategie) kann dabei auch Teil der bestehenden Strategie zu Cyberrisiken sein.
  • Risikoanalyse und Inventar
    Basis für die PQC-Strategie bildet eine Risikoanalyse hinsichtlich verwendeter kryptographischer Verfahren einerseits und hinsichtlich kritischer und langfristig schützenswerter Daten andererseits. Ausgangspunkt dafür ist eine Analyse sämtlicher Geschäftsprozesse auf die verwendeten Verschlüsselungs-, Signatur- und Authentifizierungstechnologien. Dabei sollten sämtliche Informations- und Kommunikationstechnologie-Systeme (IKT-Systeme), Applikationen sowie Infrastruktur und neuartige Technologien wie verteilte elektronische Register (vgl. Art. 973d Abs. 2 Ziff. 2 Obligationenrecht) berücksichtigt werden, unabhängig davon, ob diese selbst betrieben werden, ausgelagert sind oder als Service von externen Dienstleistern bezogen werden. Aus einem solchen Inventar soll vor allem Folgendes ersichtlich sein:
    • Liste der verwendeten kryptographischen Verfahren (bei Übertragung der Daten, z.B. VPN, TLS, HTTPS usw. als auch bei der Speicherung von Daten, die Verwendung von digitalen Signaturen, das Schlüsselmanagement und die eingesetzten Authentifizierungsmechanismen)
    • Ob die eingesetzten Algorithmen quantumanfällig sind (z.B. RSA, ECDSA, EdDSA, DH, EC-DH) und ersetzt werden müssen.
    Das Inventar ist laufend zu pflegen und auf dem aktuellen Stand zu halten.
  • Kritische Daten
    Die Risikoanalyse hat auch die Erhebung und die Analyse des Schutzbedarfs von kritischen Daten zu umfassen. Daten, die langfristig geschützt bleiben müssen, sollten prioritär behandelt und entsprechend durch PQC-Algorithmen geschützt werden, ggfs. wegen fehlender Langzeiterfahrung mit PQC unter Einsatz hybrider Lösungen aus klassischen und PQC-Algorithmen.
  • Kryptoagilität
    Kryptoagilität beschreibt die Fähigkeit eines IKT-Systems oder einer Applikation, kryptografische Algorithmen flexibel austauschen zu können. Dies geht über eine Migration zu PQC-Algorithmen hinaus und betrifft sämtliche verwendeten Algorithmen. Da auch in Zukunft nicht ausgeschlossen werden kann, dass bis anhin als sicher angesehene (PQC)-Algorithmen ersetzt werden müssen, empfiehlt die FINMA Kryptoagilität als Vorgabe für neu anzuschaffende oder zu entwickelnde IKT-Systeme und Applikationen.
  • Was bedeutet das für externe Dienstleister?
    Bei der PQC-Migration bestehen Abhängigkeiten zu externen Dienstleistern bei der Auslagerung von Funktionen und bei externen Kommunikationsschnittstellen. Die FINMA weist darauf hin, dass die Institute auch bei einer Auslagerung in der Verantwortung bleiben und entsprechende Anforderungen und Pflichten vertraglich mit externen Dienstleistern vereinbart werden müssen. Externe Dienstleister müssen daher beispielsweise damit rechnen, dass von ihnen Kryptoagilität gefordert wird.

Fazit und Ausblick
Auch wenn die mit Quantum Computing zu erwartenden Chancen heute noch kaum genutzt werden, müssen sich Unternehmen bereits heute mit den daraus resultierenden Risiken auseinandersetzen. Die FINMA wird die Entwicklungen im Bereich Quantum Computing aktiv weiterverfolgen und das Thema verstärkt in ihre laufende Aufsichtstätigkeit aufnehmen.
Zurück

Ihr Team