Let’s Encrypt setzt bei PQC auf Merkle Tree Certificates
Let’s Encrypt hat einen konkreten Fahrplan für post-quanten-sichere Zertifikate in der Public Web PKI vorgestellt. Die Zertifizierungsstelle plant, künftig auf sogenannte Merkle Tree Certificates zu setzen. Damit zeichnet sich ein möglicher Migrationspfad für öffentliche TLS-Zertifikate ab, der Post-Quanten-Kryptographie mit weiterhin schlanken TLS-Handshakes verbinden soll. Die Ankündigung ist vor allem deshalb relevant, weil Let’s Encrypt zu den weltweit bedeutenden Public CAs für automatisiert ausgestellte TLS-Zertifikate gehört. Änderungen in diesem Umfeld haben häufig Signalwirkung für Browser, ACME-Clients, Kryptobibliotheken und weitere Komponenten des Web-PKI-Ökosystems. Eine Testumgebung für Merkle Tree Certificates soll Ende 2026 bereitstehen, ein produktionsreifes Angebot ist für 2027 geplant.
Warum Post-Quanten-Signaturen ein Problem für TLS-Handshakes sind
Die Diskussion um Post-Quanten-Kryptographie konzentrierte sich lange vor allem auf den Schlüsselaustausch. Dort besteht bereits heute ein konkretes Langzeitrisiko: Verschlüsselter Datenverkehr kann mitgeschnitten und gespeichert werden, auch wenn seine Entschlüsselung erst zu einem späteren Zeitpunkt mit einem leistungsfähigen Quantencomputer möglich wäre. Dieses Szenario wird häufig als „harvest now, decrypt later“ beschrieben. Entscheidend ist dabei der Schutzbedarf über die Zeit: Je länger Daten vertraulich bleiben müssen, desto relevanter wird dieses Risiko bereits heute.
Bei Zertifikaten und digitalen Signaturen ist die Ausgangslage anders. Ein Angreifer müsste eine Signatur während der laufenden Kommunikation fälschen. Dennoch rückt auch die Authentifizierung stärker in den Fokus, da Standards, Browserhersteller und Infrastrukturbetreiber ihre Migrationspfade für die kommenden Jahre vorbereiten.
Die technische Herausforderung liegt vor allem darin, dass post-quanten-sichere Signaturen umfangreicher ausfallen als heute verbreitete Signaturverfahren. Verfahren wie ML-DSA benötigen mehr Speicherplatz als ECDSA oder RSA. Würden bestehende X.509-Zertifikate und Zertifikatsketten einfach auf Post-Quanten-Signaturen mit höherem Datenvolumen umgestellt, könnten TLS-Handshakes spürbar anwachsen. Das hätte Auswirkungen auf Performance, Bandbreite und Verbindungsstabilität.
Merkle Tree Certificates als alternativer Ansatz
Merkle Tree Certificates, kurz MTCs, verfolgen deshalb einen anderen Weg. Die Zertifizierungsstelle signiert nicht jedes Zertifikat separat im klassischen X.509-Modell. Stattdessen werden viele Zertifikate in einer Merkle-Baumstruktur zusammengefasst. Eine Signatur bezieht sich auf die Wurzel dieses Baums. Im MTC-Verfahren prüfen Clients über einen kompakten Nachweis, dass ein bestimmtes Zertifikat Teil dieser Struktur ist.
Im Regelfall besteht der Authentifizierungsanteil im TLS-Handshake damit aus einer Signatur, einem öffentlichen Schlüssel und einem sogenannten Inclusion Proof. Der zusätzliche Aufwand durch Post-Quanten-Signaturen lässt sich dadurch deutlich reduzieren.
Der Ansatz hat noch eine zweite Dimension: Certificate Transparency wird enger mit dem Zertifikatsmodell verbunden. CT-Logs nutzen bereits heute Merkle-Bäume, allerdings als separates Transparenzsystem neben der eigentlichen Zertifikatsausstellung. Heute stellt eine CA ein Zertifikat aus und protokolliert es separat in Certificate-Transparency-Logs. Bei Merkle Tree Certificates ist jedes Zertifikat Bestandteil eines veröffentlichten Merkle-Baums. Ausstellung und Transparenz rücken damit näher zusammen.
Bedeutung für die Public Web PKI
Für die Public Web PKI könnte dieser Ansatz zu einem wichtigen Baustein der Post-Quanten-Migration werden. Cloudflare und Chrome testen Merkle Tree Certificates bereits mit realem Internet-Traffic. Chrome hat MTC als bevorzugten Weg für post-quanten-sichere Zertifikate im öffentlichen Web bezeichnet.
Bis zur breiten Nutzung ist jedoch noch viel Arbeit erforderlich. Die Standardisierung läuft unter anderem in der IETF-Arbeitsgruppe PLANTS. Zusätzlich müssen ACME-Protokoll, Browser, Kryptobibliotheken, ACME-Clients und Root-Programme die neuen Verfahren unterstützen. Für Nutzer von Let’s Encrypt ändert sich kurzfristig nichts: Bestehende Zertifikate werden weiterhin wie gewohnt ausgestellt und erneuert.
Private PKIs brauchen eine eigene Betrachtung
Für Private PKIs lässt sich daraus derzeit noch kein allgemeiner Migrationspfad ableiten. Anders als in der öffentlichen Web-PKI folgen interne PKI-Umgebungen häufig anderen Anforderungen. Während Let’s Encrypt mit MTCs vor allem die Skalierungs- und Performanceanforderungen öffentlicher TLS-Zertifikate adressiert, müssen Organisationen ihre internen Vertrauensinfrastrukturen gesondert bewerten.
Dazu gehören die Inventarisierung bestehender kryptografischer Verfahren, die Priorisierung besonders relevanter Systeme und die Frage, wie sich neue Algorithmen kontrolliert in bestehende PKI-Umgebungen integrieren lassen. Welche Rolle Merkle Tree Certificates in Private PKIs spielen können, werden wir in einem weiteren Beitrag genauer einordnen.
Die weitere Entwicklung wird zeigen, wie sich dieser Migrationspfad im öffentlichen Web-PKI-Ökosystem etabliert. Parallel bleibt für Organisationen die Frage, welche Anforderungen sich aus der Post-Quanten-Migration für ihre eigenen Vertrauensinfrastrukturen ergeben. Gerade Private PKIs benötigen hier eine gesonderte Betrachtung.