Zusammenfassung

  • Die ETSI-Mitteilung vom 24. September 2026 verweist auf TR 104 171. Der Technische Bericht wurde bereits am 25. März veröffentlicht; er ist weder eine neue harmonisierte Norm noch ein Produktzertifikat.
  • Eine gleichmäßig wirkende Bitfolge muss gegenüber einem Angreifer mit Zusatzwissen nicht unvorhersagbar sein. Der Bericht verbindet die Sicherheitsbehauptung mit Quellenmodell, bedingter Entropie, Extraktion und laufender Kontrolle.
  • Für Betreiber stellt sich die Zuständigkeitsfrage: Wer erklärt die Ausgabe für nicht mehr belastbar, stoppt ihre Verwendung und dokumentiert den Übergang? Ein konkreter Angriff oder Gerätefehler wird hier nicht berichtet.

Ein Anbieter zeigt einen statistischen Prüfbericht für Zufallsbits. Eine Beschaffungsstelle könnte daraus schließen, die spätere Schlüsselerzeugung sei abgesichert. Diese Szene ist ein Gedankenbeispiel, kein ETSI-Fall. Sie übersieht, dass ein Test der vorgelegten Ausgabe nicht automatisch die Annahmen über den physikalischen Ursprung und den laufenden Betriebszustand überprüft.

ETSI hat am 24. September seine Implementation Guidelines for Quantum Random Number Generators erläutert. Der offizielle Arbeitsstand weist TR 104 171 V1.1.1 als am 25. März 2026 veröffentlichten Technischen Bericht aus; als harmonisierte Norm ist er nicht eingestuft. Aus dem Pressetermin darf deshalb kein September-Beschluss über die Zulassung von Geräten werden.

Der Bericht trennt statistische Gleichverteilung von kryptographischer Unvorhersagbarkeit. Eine Folge aus Nullen und Einsen kann auf dem Bildschirm unauffällig aussehen und dennoch für jemanden mit Informationen über Rauschen oder Messbedingungen besser abschätzbar sein. Wer eine sichere Quanten-Entropiequelle behauptet, muss ihr physikalisches Modell samt beobachtbaren Parametern darlegen und abschätzen, wie viel bedingte Min-Entropie gegenüber solchem Zusatzwissen bleibt. Der Extraktor muss zu dieser gesicherten Menge passen.

Statistische Tests bleiben als Warnsignal gegen Störungen sinnvoll, ersetzen aber nicht die Prüfung der Modellannahmen.

Im Betrieb fordert das einen weiteren Nachweis. ETSI beschreibt Online-Parameterkontrollen, Stichproben des Rohstroms, Schwellen für Auffälligkeiten, Protokollierung sowie das Isolieren oder Pausieren gefährdeter Ausgaben. Sein vorgeschlagenes Modell „Entropy Zero Trust“ bezieht außerdem Hardwareintegrität, authentisierte Transportwege und die Trennung gemeinsam genutzter Umgebungen ein. Der Bericht beschreibt mögliche Schutzschichten; er belegt weder ihre Umsetzung in einem bestimmten Produkt noch ein neues ETSI-Zertifizierungssystem.

Für einen Abnehmer sollte jeder Übergang nachvollziehbar sein: Welches Quellenmodell gilt, welche Aufbereitung wurde verwendet, was zeigten die Gesundheitsprüfungen, wie wurden Ausnahmen behandelt und welcher Dienst erhielt die Bits? Ein sicherer Ursprung schützt nicht gegen eine manipulierte Schnittstelle. Ein geschützter Transport heilt keine Quelle, die außerhalb ihres Modells arbeitet. Diese Übergabebilanz ist die redaktionelle Folgerung aus dem Bericht, keine von ETSI vorgeschriebene Vorlage.

Die vorgeschlagenen Vergleichsgrößen reichen von Vertrauensstufen bis zu Durchsatz, Strombedarf, Baugröße und Anschlüssen. Zertifizierungsmodelle und gemeinsame Protokolle für Attestierung und Protokollierung nennt ETSI dagegen als Aufgaben künftiger Standardisierung. Die Entwürfe sind Gesprächsgrundlage, noch keine amtliche Rangliste von Geräten.

Quellen