Post-Quanten-Verschlüsselung für E-Mail: was wirklich geschützt ist

Nisdos Mail schützt den wertvollsten Schlüssel eines Postfachs mit Verwahrung auf dem Gerät jetzt mit Verschlüsselung, die Quantencomputer überdauern soll. Das ist ein Schlüssel — nicht das ganze Postfach — und der Abstand zwischen diesen beiden Aussagen ist das Thema dieser Seite.

Die Details für alle, die sie wollen: richtet ein Browser ein Gerät ein, erzeugt er jetzt einen Hybridschlüssel aus ML-KEM-768 ⊕ X25519 statt eines reinen X25519-Schlüssels. Ihre gespeicherten Nachrichten sind noch nicht abgedeckt. Unten steht, warum diese Reihenfolge richtig war und was noch fehlt.

Wovor schützt Post-Quanten-Verschlüsselung?

Vor einer Kopie des heutigen Schlüsseltexts, geöffnet in zwanzig Jahren. Der Angriff heißt „jetzt ernten, später entschlüsseln“ und setzt keinen existierenden Quantencomputer voraus — nur jemanden, der Ihre verschlüsselten Daten heute speichert und wartet.

Der Shor-Algorithmus rekonstruiert auf einem ausreichend großen Quantencomputer den privaten Schlüssel aus einem öffentlichen X25519- oder RSA-Schlüssel. Diese Maschine hat niemand. Wer heute Schlüsseltext kopieren kann — ein Cloud-Betreiber, eine Anordnung, ein gestohlenes Backup, ein falsch konfigurierter Bucket — kann ihn aufbewahren, bis es sie gibt. Symmetrische Verschlüsselung steht anders da: der Grover-Algorithmus halbiert nur die effektive Schlüssellänge, und ein 256-Bit-Schlüssel steckt das mit Reserve weg.

E-Mail ist für diese Bedrohung fast der schlechteste Fall, weil ein Postfach ein Archiv ist und keine Sitzung. Web-Verkehr ist flüchtig, Mail wird absichtlich aufbewahrt. Ein Vertrag, eine Diagnose, ein Schriftsatz, ein Wiederherstellungslink, der noch funktioniert: was 2026 verschlüsselt werden musste, ist 2045 häufig genau das, was sich zu lesen lohnt.

Welcher Teil eines Postfachs ist heute post-quanten-sicher?

Der Geräteschlüssel, also die Verpackung um den Schlüsselbund des Postfachs. Sonst nichts.

Ein Postfach mit Verwahrung auf dem Gerät hat drei Schlüsselebenen, und „verpackt“ heißt im Folgenden nur: in einem anderen Schlüssel eingeschlossen. Jeder Nachrichtentext wird mit einem eigenen Zufallsschlüssel verschlüsselt. Dieser Nachrichtenschlüssel wird an den aktuellen Generationsschlüssel des Postfachs verpackt, also an den Schlüssel, an den alles verschlüsselt wird, was heute ankommt. Und der Schlüsselbund — jede Generation, die das Postfach je hatte, plus der Ed25519-Seed, der neue Geräte autorisiert — wird für jedes eingerichtete Gerät einzeln an dessen Schlüssel verpackt.

Was	Verfahren	Quantensicher
Nachrichtentext	ChaCha20-Poly1305	Ja, symmetrisch
Verpackung je Nachricht, an den Generationsschlüssel	X25519	Nein
Verpackung des Schlüsselbunds, an jeden Geräteschlüssel	ML-KEM-768 ⊕ X25519	Ja

Die dritte Zeile kam aus zwei Gründen zuerst. Der verpackte Schlüsselbund ist der wertvollste Schlüsseltext im System: er enthält jede Generation, die das Postfach je hatte, und den Seed, der Geräte autorisiert, und er liegt in unserer Datenbank neben dem öffentlichen Schlüssel, an den er verpackt wurde — so lange, wie das Postfach existiert. Ein Bruch dort ist vollständig: alle Mail, vergangen und künftig, dazu die Möglichkeit, ein neues Gerät einzurichten und das Postfach regulär ausgehändigt zu bekommen.

Es ist außerdem die einzige Verpackung, bei der beide Hälften Client-Arbeit sind. Der Browser verpackt den Schlüsselbund, der Browser öffnet ihn, unser Server reicht Bytes weiter, die er nicht lesen kann. Das Verfahren dort zu wechseln, brauchte die Zustimmung von nichts anderem.

Warum ist meine gespeicherte Mail noch nicht post-quanten-sicher?

Weil unser Zustellweg in Rust geschrieben ist und die Rust-Implementierung von age nicht an einen Post-Quanten-Empfänger verschlüsseln kann.

Jede eingehende Nachricht wird auf unserem MX-Host bei der Zustellung an den öffentlichen Schlüssel des Postfachs verschlüsselt. Genau das erlaubt einem Postfach mit Geräteverwahrung, Mail zu empfangen, die wir danach nicht mehr lesen können — und es läuft über die age-Crate, die in 0.11 wie in 0.12 nur X25519 als Identität kennt. Version 0.12 hat Post-Quanten-Empfänger ergänzt, allerdings nur eine getaggte Form aus ML-KEM-768 ⊕ P-256, ausschließlich zum Verschlüsseln, und niemand kann sie in einer der beiden Sprachen entschlüsseln. Die Browser-Bibliothek liefert die passende Empfängerklasse, ohne Identitätsklasse dazu.

Wir könnten die fehlende Hälfte selbst definieren. Dann hätten wir eine nicht standardisierte Schlüsselkodierung für die wertvollsten Bytes im Produkt und .age-Dateien, die die Standardwerkzeuge age und rage nicht öffnen — was einer der Gründe war, überhaupt age zu wählen. Auf einen untagged mlkem768x25519-Identitätstyp auf beiden Seiten zu warten, ist die günstigere richtige Antwort, und die Prüfung, die für Postfach-Generationen X25519 erzwingt, sagt das in einem Kommentar für den, der es zuerst angeht.

Damit bleibt eine Lücke, ausgesprochen: wer die verschlüsselten Objekte heute aus Ihrem Speicher kopiert und 2045 einen funktionierenden Quantencomputer hat, kann diese Nachrichten lesen. Im Header jedes Objekts steckt ein ephemerer X25519-Schlüssel; ihn zu brechen liefert den Dateischlüssel dieses Objekts. Der Schlüsselbund bleibt außer Reichweite, ein Gerät lässt sich also nicht einrichten und dem Postfach nicht weiter folgen — aber das kopierte Archiv geht auf. Diesen Satz schreiben wir lieber selbst, als eine Schlagzeile das Gegenteil andeuten zu lassen.

Warum nicht das alte und das neue Verfahren zusammen nutzen?

Weil zwei Verpackungen desselben Schlüssels nach dem schwächsten Glied gehen und nicht doppelt sichern. Ist ein Dateischlüssel an einen X25519-Empfänger und an einen hybriden Empfänger verpackt, bricht ein Angreifer die leichtere Seite und hat denselben Klartext. Zwei DKIM-Signaturen funktionieren umgekehrt: ein Prüfer akzeptiert eine von beiden, die zweite kommt also strikt hinzu. Schlüsselkapselung gibt Ihnen die schlechtere der beiden.

Post-Quanten bei den Nachrichtenverpackungen ist deshalb ein harter Wechsel und keine Ergänzung: eine neue Generation, an die neue Mail verschlüsselt wird, während ältere Generationen über den Schlüsselbund lesbar bleiben. Dafür fehlt noch eine Zeremonie. Heute entsteht eine neue Generation nur, wenn Sie ein Gerät entziehen, weil Entzug und Rotation eine Operation sind; ein Post-Quanten-Wechsel ist strukturell diese Operation ohne den Grabstein.

Was kostet Post-Quanten-Verschlüsselung?

Größe, nicht Geschwindigkeit. ML-KEM ist schnell, die Schlüssel sind nur groß: der Kapselungsschlüssel von ML-KEM-768 hat 1184 Bytes, der hybride age-Empfänger trägt ihn plus einen 32-Byte-X25519-Punkt — 1216 Bytes, kodiert rund 1.950 Zeichen als age1pq1….

Das ist etwa 60-mal so lang wie ein klassischer age-Empfänger, und es hat echten Code verändert. Eine Geräteabfrage, die über den eigenen öffentlichen Schlüssel des Geräts geht, kann diesen Schlüssel nicht mehr in eine URL legen; solche Anfragen tragen ihn jetzt im Body. Wird ein Gerät entzogen, löschen wir seinen öffentlichen Schlüssel mit dem verpackten Schlüsselbund zusammen, weil 1,9 KB je stillgelegtem Gerät auf Dauer toter Ballast sind — plus eine Gerätekennung, die niemand braucht.

Gehen später die Verpackungen je Nachricht hybrid, fällt der Preis pro Objekt an: etwa 1,5 KB zusätzlicher Header je gespeicherter Nachricht, bei 100.000 Nachrichten also rund 150 MB. Lohnt sich. Lohnt sich, vorher zu rechnen.

Was deckt das alles nicht ab?

Transport und Metadaten, wie vorher. Mail läuft zwischen Anbietern über SMTP mit TLS von Station zu Station, und welcher Schlüsselaustausch dort zustande kommt, entscheiden die beiden Server — MTAs sind beim hybriden Schlüsselaustausch deutlich hinter den Browsern. Umschlagdaten — wer wem wann über welche Relays geschrieben hat — sehen alle Stationen, unabhängig davon, was im Ruhezustand passiert. Eingehende Mail kommt zudem im Klartext an: deshalb ist Geräteverwahrung zero-access und nicht zero-knowledge. Wir verarbeiten eine Nachricht bei der Ankunft und können sie danach nicht mehr lesen.

Die Verwahrung auf dem Gerät ist selbst noch in Beta. Schlüssel entstehen in Ihrem Browser, unsere Kopie des Postfachschlüssels wird beim Einrichten gelöscht, und es gibt noch kein Wiederherstellungsverfahren — verlieren Sie heute alle eingerichteten Geräte, ist die Mail weg. Eine Wiederherstellung über Shamir-Teilung ist der nächste Punkt auf der Liste, und bis sie kommt, ist dieser Handel die Stufe.

Bestehende Einrichtungen werden durch nichts davon ungültig. Der Client unterscheidet die Identitätstypen, ein X25519-Gerät funktioniert also weiter und wird hybrid, sobald es sich das nächste Mal einrichtet.

Die Frage, die man jedem stellen sollte, der Post-Quanten-E-Mail ankündigt: welchen Schlüsseltext haben Sie hybrid gemacht? Lautet die Antwort „den Transport“, dann wurde der eine Teil erneuert, den niemand archiviert hat.