Logische Qubits machen Quantencomputer für Versicherer erstmals nutzbar – für genauere Solvenzmodelle, schärfere Tarifierung und frühere Betrugserkennung. Dieselbe Technologie bricht jedoch die Verschlüsselung, auf der Kernsysteme, Schnittstellen und Kundendaten heute beruhen. Die FINMA erwartet deshalb bis Mitte 2027 eine Roadmap für quantensichere Kryptografie. Thomas Schubert zeigt, warum diese Pflicht zur Startbahn für den Vorsprung von morgen wird.
Willkommen auf einem Ausflug in die Welt von Morgen. Quantencomputer oder besser: logische Qubits.
Quantencomputing verändert die Versicherungswirtschaft auf zwei Wegen. Fehlerkorrigierte Quantencomputer werden Solvenzmodelle, Tarifierung und Betrugserkennung beschleunigen.Dieselbe Technologie bricht die heute verbreitete asymmetrische Verschlüsselung.
Die FINMA empfiehlt Schweizer Versicherern deshalb, bis spätestens Mitte 2027 eine PQR-Roadmap für quantensichere Verschlüsselung zu erstellen. Der Einstieg ist ein kryptografisches Inventar.
Die Chance kommt mit der Fehlerkorrektur, die Pflicht gilt jetzt
Quantencomputing wird in der Versicherungswirtschaft meist als Rechenfrage diskutiert. Diese Sicht greift zu kurz. Für Geschäftsleitung und Verwaltungsrat stellen sich zwei Fragen mit verschiedenen Zeithorizonten.
Die erste ist die Chance. Quantenalgorithmen wie die Quanten-Amplitudenschätzung versprechen bei stochastischen Simulationen eine quadratische Beschleunigung gegenüber klassischen Monte-Carlo-Verfahren. Für Solvenzrechnungen unter dem Schweizer Solvenztest (SST) und Solvency II ist das relevant. Dieser Vorteil setzt fehlertolerante Hardware voraus.
Die zweite ist die Pflicht. Ein kryptografisch relevanter Quantencomputer bricht RSA (Verschlüsselungsverfahren) und elliptische Kurven, die Grundlage von TLS, VPN, digitalen Signaturen und API-Verbindungen. Diese Pflicht wartet nicht auf die Hardware, weil Daten schon heute abgegriffen und später entschlüsselt werden.
Wer beides verbindet, macht aus einer Compliance-Aufgabe einen Regulierungs-Hebel: Das kryptografische Inventar, das die Aufsicht erwartet, ist dieselbe Daten- und Governance-Basis, die jedes produktive Quantenprojekt braucht.
Logische Qubits markieren den Wendepunkt
Heutige Quantenprozessoren arbeiten mit physischen Qubits, die fehleranfällig sind. Ein logisches Qubit bündelt mehrere physische Qubits und korrigiert deren Fehler laufend. Erst mit genügend logischen Qubits und langen, fehlerfreien Rechenfolgen werden die theoretischen Vorteile praktisch nutzbar.
Für Versicherer bedeuten logische Qubits drei Veränderungen.
- Kapitalmodellierung. SST- und Solvency-II-Rechnungen mit 100’000 und mehr stochastischen Pfaden werden mit weniger Annäherung und Schätzung möglich. Das Ergebnis ist eine genauere Kapitalunterlegung und mehr Raum für Sensitivitätsanalysen.
- Optimierung. Portfolio- und Rückversicherungsstrukturen unter vielen Nebenbedingungen werden rechenbar, wo heute vereinfachende Annahmen nötig sind.
- Kryptografie. Dieselben fehlerkorrigierten Maschinen sind die Voraussetzung für den Angriff auf heutige Verschlüsselungssysteme. Die Schätzungen zum Ressourcenbedarf sind seit 2019 um mehr als den Faktor 200 gesunken. Jede neue wissenschaftliche Veröffentlichung verkürzt den Abstand.
Die Technologie, die das Solvenzmodell beschleunigt, bricht die Verschlüsselung, die dieses Modell schützt.
Hier eine Übersicht zu neuen Meilensteinen in der Quantenforschung.
| Meilenstein | Inhalt | Status |
| Quantinuum Helios (November 2025) | 98 physische Qubits, 48 fehlerkorrigierte logische Qubits bei einem Kodierungsverhältnis von 2:1 | Kommerziell verfügbar, Herstellerangabe |
| IBM Starling (Roadmap) | 200 logische Qubits, 100 Millionen Quantenoperationen | Geplant für 2029 |
| IBM Blue Jay (Roadmap) | 2’000 logische Qubits, 1 Milliarde Operationen | Nach Starling geplant |
| Gidney, Google Quantum AI (Mai 2025) | RSA-2048 mit weniger als 1 Million verrauschter physischer Qubits in unter einer Woche | Ressourcenschätzung |
| Iceberg Quantum (Februar 2026) | RSA-2048 mit weniger als 100’000 physischen Qubits | Simulation, nicht auf Hardware validiert |
Die Aufsicht hat ihre Erwartung formuliert
In der Schweiz hat die FINMA mit der Aufsichtsmitteilung 05/2026 vom 9. Juli 2026 hat die FINMA ihre Erwartungen zu Quantum Computing veröffentlicht. Befragt wurden von November 2025 bis Januar 2026 60 Institute, darunter Banken, Versicherer, Verwalter kollektiver Kapitalanlagen und Finanzmarktinfrastrukturen. Mehr als zwei Drittel erwarten, dass Quantenrisiken innerhalb von sieben Jahren direkt relevant werden. 72 Prozent haben noch keine konkreten Massnahmen geplant oder ergriffen.
Die FINMA nennt sechs Massnahmen: Strategie und Roadmap, institutsspezifische Risikoanalyse, kryptografisches Inventar, Schutz kritischer Daten vor «Harvest now, decrypt later», Einbezug externer Dienstleister und Kryptoagilität.
Die Roadmap soll bis spätestens Mitte 2027 vorliegen. Die Mitteilung schafft keine neuen Regeln. Sie stützt sich auf die bestehenden, technologieneutralen Anforderungen an Governance und Risikomanagement. Für Auslagerungen bleibt die Verantwortung beim Institut (FINMA-RS 2018/3).
In der Europäische Union gilt seit Sanuar 2025 der Digital Operational Resilience Act (DORA). Die Delegierte Verordnung (EU) 2024/1774 verlangt in Art. 6 eine Verschlüsselungsrichtlinie mit Bestimmungen, die Kryptografie bei Fortschritten der Kryptoanalyse aktualisieren. Erwägungsgrund 9 nennt Bedrohungen durch Quantenfortschritte ausdrücklich. Art. 7 verlangt ein Register aller Zertifikate.
Die EU-Roadap der NIS Cooperation Group vom Juni 2025 richtet sich damit an die EU-Mitgliedstaaten. Grundlagen bis Ende 2026, Hochrisiko-Anwendungen bis Ende 2030, mittlere Risiken bis Ende 2035 zu schützen.
In der Tabelle befindet sich eine Übersicht der Instrumente, die Anwendung von Quantencomputing beschreiben soll.
| Instrument | Ebene | Verbindlichkeit | Frist |
| FINMA-Aufsichtsmitteilung 05/2026 | Schweiz | Erwartung der Aufsicht | Roadmap bis Mitte 2027 |
| FINMA-RS 2018/3 Outsourcing | Schweiz | Verbindlich für Beaufsichtigte | In Kraft |
| Art. 8 DSG, Datensicherheit | Schweiz | Gesetz | In Kraft |
| DORA mit Del. VO 2024/1774 | EU | Verordnung | Seit 17. Januar 2025 |
| EU-PQC-Roadmap (NIS Cooperation Group) | EU-Mitgliedstaaten | Koordinierte Empfehlung | 2026, 2030, 2035 |
| EU AI Act, Hochrisiko nach Anhang III | EU | Verordnung | 2. Dezember 2027 gemäss politischer Einigung vom Mai 2026 |
| EU Quantum Act (scheduled for Q3 2027) | EU | Gesetzesvorschlag angekündigt | Vorlage für 2026 geplant, Schwerpunkt Forschung, Industrie, Lieferkette |
Ein quantenspezifisches Gesetz ist in der Schweiz nicht geplant. Die FINMA nimmt das Thema in die laufende Aufsicht auf.
Rechtsprechung fehlt, die Haftung steht
Zu Quantenrisiken oder Post-Quanten-Kryptografie existiert weder in der Schweiz noch in der EU ein Urteil. Die Haftung entsteht über bestehende Normen.
Die Oberleitung ist nach Art. 716a OR unübertragbare Aufgabe des Verwaltungsrats.
Art. 754 OR regelt seine Verantwortlichkeit. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Art. 61 lit. c DSG sanktioniert die vorsätzliche Missachtung der Mindestanforderungen mit Busse bis CHF 250’000 gegen die verantwortliche Person.
Mit der Aufsichtsmitteilung verschiebt sich der Sorgfaltsmassstab. Ab Mitte 2027 ist eine fehlende Roadmap schwer zu begründen.
Für quantenbasierte Entscheidungsmodelle gelten zusätzlich die Vorgaben zur Erklärbarkeit: Art. 21 DSG zu automatisierten Einzelentscheidungen und die FINMA-Aufsichtsmitteilung 08/2024 zur Governance von KI. Für EU-Gesellschaften kommt der AI Act hinzu, der Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung als Hochrisiko einstuft.
Compliance wird zur Architekturaufgabe
| Aufgabe | Massnahme | Verantwortung |
| Transparenz schaffen | Kryptografisches Inventar: Algorithmen, Schlüssel, Zertifikate, Datenflüsse, Partnerschnittstellen | CIO mit Risk |
| Risiko priorisieren | Daten nach Vertraulichkeitsdauer klassieren, Langzeitdaten aus Leben und Kranken zuerst | Datenschutz mit Fachbereich |
| Strategie verankern | PQC-Roadmap, vom Verwaltungsrat verabschiedet, mit Meilensteinen | Geschäftsleitung, VR |
| Partner einbinden | Migrationsanforderungen in Verträge, Release-Zyklen und SLA der Dienstleister | Einkauf mit Legal |
| Flexibilität sichern | Kryptoagilität: Verfahren austauschbar ohne Systemumbau, NIST-Standards FIPS 203 und 204 | IT-Architektur |
| Modelle beherrschen | Validierung und Audit-Trail für quantenunterstützte Modelle, hybrid-klassische Nachrechnung | Aktuariat, Compliance |
| Wirksamkeit prüfen | Tests und Red-Teaming mit Quantenszenarien, Reporting an den VR | Interne Revision |
Die Tabelle zeigt, warum das Thema in keinem Silo lösbar ist. Legal sieht den Vertrag, IT den Algorithmus, Risk die Datenklasse, die Geschäftsleitung das Budget. Silo-Freiheit heisst hier: ein Inventar, eine Roadmap, eine Verantwortung.
Der Versicherungsmarkt sortiert sich neu
Kurzfristig verändert sich das Cyber-Underwriting. Kryptoagilität und der Schutz langlebiger Daten werden zu Risikomerkmalen. Versicherer, die ihre eigene Migration im Griff haben, prüfen dieselben Fragen bei ihren Kunden glaubwürdiger.
Mittelfristig verschiebt sich der Wettbewerb in die Modelle. Wer mit fehlerkorrigierten Quantencomputern Kapital genauer berechnet, bindet weniger Eigenkapital. Wer Fraud und Betrugsnetzwerke früher erkennt, senkt die Schadenquote. Der Vorsprung gehört denen, deren Daten bereit sind, wenn die Hardware es ist.
Für die Kunden heisst das: individuellere Preise und weniger Fehlalarme in der Betrugsprüfung, verbunden mit einem Anspruch auf nachvollziehbare Entscheidungen.
Der Broker wird vom Vermittler zum Urteilsträger
Broker sind über Schnittstellen direkt mit den Kernsystemen der Versicherer verbunden und verwalten selbst grosse Kundendatenbestände. Für den Versicherer ist jede dieser Schnittstellen Teil seines kryptografischen Inventars. Nachweisfragen zu Verschlüsselung, Zertifikaten und Migrationsplänen gehen deshalb an die Broker weiter.
Darin liegt eine Chance. Der Broker, der die Quantum Readiness seiner Firmenkunden beurteilen kann, bringt dem Versicherer ein besseres Risiko und dem Kunden eine bessere Deckung. Er verkauft nicht mehr nur Deckung. Er verkauft Urteil.
Der Einsatz bei Versicherern verläuft in drei Stufen
| Stufe | Zeithorizont | Einsatz |
| Heute | NISQ-Phase, fehleranfällige Qubits | Pilotprojekte und hybride Verfahren: Portfolio-Optimierung, Graphanalyse für Betrugsnetzwerke, Kompetenzaufbau. Kein belegter Produktionsvorteil. |
| Ab etwa 2028 | Erste fehlertolerante Systeme mit Hunderten logischen Qubits | Stochastische Kapitalmodelle, Reservierung, Optimierung von Rückversicherungsstrukturen |
| Danach | Tausende logische Qubits | Quantenmaschinelles Lernen in Tarifierung und Schadenmanagement, Klimarisiko-Modelle in hoher Auflösung |
Quantenvorsprung beginnt mit der Basisprüfung
Aktuell laufen Gespräche über den Aufbau einer quantenbasierten Betrugserkennung, Q-Fraud. Die erste Arbeit darin ist keine Quantenarbeit. Es ist die Basisprüfung von Daten, Netzwerken und Governance. Welche Daten liegen vor, in welcher Qualität, über welche Wege fliessen sie, wer verantwortet sie, wie schnell und zuverlässig können die Daten besser analysiert werden?
Das ist die Ambidextrie, die das Thema verlangt. Die eine Hand prüft die Basis. Die andere baut das Modell darauf.
Wer das kryptografische Inventar für die FINMA erstellt, baut dieselbe Basis. Die Pflicht von 2027 ist die Startbahn für den Vorsprung von 2030.
Fragen undAntworten in Kürze
- Welche Rechtsprechung gibt es zu Quantencomputing? Keine. Die Haftung ergibt sich aus Art. 716a OR und Art. 754 OR sowie Art. 8 DSG.
- Welche Governance besteht bereits? FINMA-Aufsichtsmitteilung 05/2026, FINMA-RS 2018/3, Art. 8 DSG, für EU-Gesellschaften DORA mit der Delegierten Verordnung 2024/1774.
- Was planen die Schweiz und die EU? Die Schweiz plant kein Spezialgesetz. Die EU hat einen Quantum Act mit Fokus auf Forschung, Industrie und Lieferketten angekündigt und eine PQC-Roadmap für die Mitgliedstaaten verabschiedet.
- Bis wann? FINMA: Roadmap bis Mitte 2027. EU: Hochrisiko-Anwendungen bis Ende 2030, mittlere Risiken bis Ende 2035.
- Was ändern logische Qubits? Sie machen Quantenvorteile in Kapitalmodellen und Optimierung erst praktisch nutzbar und ermöglichen zugleich den Angriff auf heutige Verschlüsselung.
Eine Frage bleibt offen, und das Inventar beantwortet sie nicht: Welche Ihrer Daten müssen 2040 noch geheim sein?
TURNING REGULATION INTO VALUE!
Thomas Schubert, Mr. #DeedsCountMore
Lesen Sie auch: Blinder Fleck bei Übernahmen: Wie mangelnde GRC das Leben erschwert
Suche:
Sponsoren:
