HAWK-Crash: Claude knackt PQC-Kandidat in 60 Stunden

Zwei Jahre lang haben Kryptografinnen und Kryptografen HAWK durchleuchtet, gepiekst und auf Herz und Nieren geprüft. Ergebnis: nichts. Zwei Jahre lang nichts, was den Kandidaten aus dem Rennen um neue Post-Quanten-Signaturverfahren werfen würde. Dann bekam ein KI-Modell 60 Stunden Zeit. Am 28. Juli 2026 veröffentlichte Anthropic den Forschungsbericht ‚Discovering cryptographic weaknesses with Claude‘ – und der liest sich wie eine Warnung mit Ausrufezeichen für alle, die gerade ihre Post-Quanten-Migration planen. Wer in der Finanzbranche für Kryptografie, Signaturverfahren oder Zahlungsinfrastruktur verantwortlich ist, sollte diesen Bericht nicht als Randnotiz abtun, sondern als Pflichtlektüre behandeln.

HAWK, das Gitter und die übersehene Symmetrie

HAWK ist kein Ladenhüter, sondern ein ernstzunehmender Kandidat im dritten Runden-Verfahren der NIST-Ausschreibung für zusätzliche digitale Signaturverfahren, wie die offizielle NIST-Projektseite dokumentiert. Das Verfahren stützt sich auf das sogenannte Lattice-Isomorphism-Problem, ein mathematisches Gitter, dessen Struktur bislang als ausreichend verworren galt, um zwei Jahre menschlicher Fachbegutachtung zu überstehen, ohne dass jemand eine ernsthafte Schwachstelle fand. Genau dort hat ‚Claude Mythos Preview‘ zugeschlagen: Das Modell entdeckte eine bislang unbekannte nichttriviale Automorphismus-Symmetrie im Gitter und baute daraus eine schnellere Enumerationsattacke.

Konkret heißt das: Der erwartete Rechenaufwand für einen vollständigen Key-Recovery-Angriff auf die kleine Parametergröße HAWK-256 sank von geschätzten 2^64 auf nachgewiesene 2^38 Operationen. Wer kurz nachrechnet, merkt schnell, wie brutal dieser Unterschied ist:

• 2^64 Operationen sind rund 18,4 Trillionen Rechenschritte.
• 2^38 Operationen sind gerade einmal 274 Milliarden.
• Der Angriff wurde also um den Faktor 2^26 schneller – das sind gut 67 Millionen Mal.

Die Schlüsselstärke von HAWK-256 wurde damit faktisch halbiert, ohne dass jemand eine einzige Codezeile im Verfahren geändert hat. Bleiben Sie trotzdem entspannt: HAWK-512 und HAWK-1024, die größeren Parametersätze, gelten laut Anthropic weiterhin als praktisch nicht angreifbar, und der Angriff selbst bleibt exponentiell – eine Polynomialzeit-Attacke, die das Verfahren komplett zerlegen würde, ist das nicht. Trotzdem zeigt der Fall exemplarisch, wie dünn die Sicherheitsmarge bei kleineren Parametergrößen tatsächlich ist, sobald jemand – oder etwas – lange genug und systematisch genug hinschaut.

NIST-PQC-Verfahren im Überblick: Was schon steht und was noch getestet wird

Um die Tragweite der HAWK-Ergebnisse richtig einzuordnen, hilft ein kurzer Blick auf die Post-Quanten-Kryptografie-Landschaft insgesamt. Die US-Standardisierungsbehörde NIST hat bereits mehrere Verfahren final freigegeben: ML-KEM für den Schlüsselaustausch und ML-DSA für digitale Signaturen, ergänzt um SLH-DSA als hash-basierte Alternative mit anderem Sicherheitsfundament. Diese drei Verfahren gelten als produktionsreif und werden bereits in ersten Pilotprojekten von Banken, Zahlungsdienstleistern und Behörden eingesetzt. Genau das ist der entscheidende Unterschied zu HAWK: HAWK gehört zu einer zweiten Welle zusätzlicher Signaturverfahren, die NIST parallel evaluiert, weil man sich bewusst nicht auf eine einzige mathematische Grundlage verlassen will.

Diese zweite Welle existiert aus gutem Grund. Sollte sich bei ML-DSA jemals eine unerwartete Schwäche zeigen, braucht die Kryptowelt Alternativen, die auf völlig anderen mathematischen Problemen basieren. HAWK ist genau so eine Alternative, gestützt auf Gitterprobleme mit besonderer Isomorphismus-Struktur statt auf die etwas anders gelagerten Gitterannahmen von ML-DSA. Dass ausgerechnet dieser Ersatzkandidat jetzt eine Schwäche zeigt, ist ärgerlich, aber kein Systemversagen der Standardisierung insgesamt – im Gegenteil, es ist der Beweis, dass der mehrgleisige Ansatz von NIST funktioniert.

Kryptoanalyse als Nebenprodukt: AES bekommt ebenfalls Besuch

Während die HAWK-Attacke noch eng von menschlichen Forschenden begleitet wurde, lief der zweite Coup fast im Autopiloten. Mythos eliminierte in einem Multi-Agent-Sandbox-Setup eine 256-fache Rate-Komponente aus einer bestehenden Meet-in-the-Middle-Attacke, intern ‚Möbius Bridge‘ genannt, und beschleunigte damit einen bekannten Angriff auf eine reduzierte AES-Variante um das 200- bis 800-fache. Wichtig für alle, die jetzt schon ans Online-Banking-Passwort denken: Betroffen ist ausschließlich eine künstlich auf wenige Runden gekürzte Forschungsvariante von AES, nicht das produktiv genutzte AES-128 mit seinen zehn Runden. Die Einordnung von CSO Online bringt es auf den Punkt: Ein Produktivsystem ist nicht betroffen, die Richtung der Entwicklung aber schon.

Ehrlich gesagt: Genau diese Kombination aus ’noch harmlos‘ und ’schon beeindruckend schnell‘ macht die Meldung interessant. Ein Modell, das autonom eine acht Jahre alte Kryptoanalyse-Technik seziert und verbessert, ist kein Taschenspielertrick mehr, sondern ein Werkzeug mit Reichweite.

KI als Kryptoanalyse-Werkzeug: Ein Wendepunkt?

Ist das nun der Anfang vom Ende klassischer Kryptografie? So weit würde ich nicht gehen. Aber ein Wendepunkt ist es schon, und zwar aus einem einfachen Grund: Kryptoanalyse war bislang eine Disziplin, die vor allem an menschlicher Geduld und menschlicher Kreativität skalierte. Mathematikerinnen und Mathematiker brauchten Jahre, um Gitterprobleme wie das von HAWK systematisch zu durchsuchen, weil jede Hypothese manuell formuliert, geprüfte und verworfen werden musste. Ein KI-Modell, das 60 Stunden lang ohne Pause, ohne Müdigkeit und ohne Ablenkung durch andere Projekte strukturiert einen riesigen mathematischen Suchraum durchkämmt, verändert genau diese Skalierungslogik fundamental.

Das bedeutet nicht automatisch, dass jedes bestehende Verfahren morgen fällt. Es bedeutet aber, dass die Zeitspanne zwischen ‚Verfahren gilt als sicher‘ und ‚Verfahren zeigt erste Risse‘ sich verkürzen kann. Für Sicherheitsverantwortliche in Banken und bei Zahlungsdienstleistern ist das eine unbequeme, aber wichtige Erkenntnis: Die Halbwertszeit kryptografischer Sicherheitsannahmen sinkt, sobald KI-Systeme systematisch auf Kryptoanalyse angesetzt werden. Wer glaubt, ein einmal validiertes Verfahren sei für immer validiert, denkt in einer Welt von vorgestern.

Warum die Post-Quanten-Party trotzdem nicht abgesagt ist

Muss jetzt jede Bank ihre gesamte PQC-Roadmap über den Haufen werfen? Nein. Mehr nicht. HAWK ist kein produktiv eingesetztes Verfahren, sondern ein Kandidat, der noch im NIST-Auswahlverfahren steckt – und genau dieses Verfahren funktioniert damit, wie es soll: Schwachstellen sollen jetzt auffliegen, nicht erst nach der Standardisierung. Die etablierten Verfahren ML-KEM und ML-DSA, die bereits final standardisiert sind, bleiben von den Mythos-Ergebnissen völlig unberührt.

Trotzdem ist der Fall ein Weckruf für Kryptoagilität, wie unser Hintergrundartikel zur Zahlungssicherheit unter Druck durch Quantencomputer-Angriffe bereits vor Wochen andeutete. Wer seine gesamte Migrationsstrategie auf einen einzigen, noch nicht final abgesegneten Algorithmus stützt, geht ein Risiko ein, das sich innerhalb von 60 Stunden Rechenzeit realisieren kann, wenn ein ausreichend hartnäckiges KI-System darauf angesetzt wird. Ich finde, das ist die eigentliche Pointe der Anthropic-Studie: Nicht HAWK ist das Problem, sondern die Monokultur in der Kryptostrategie vieler Institute.

Kryptoagilität: Der eigentliche Lerneffekt

Was genau bedeutet Kryptoagilität eigentlich konkret? Im Kern beschreibt der Begriff die Fähigkeit eines Systems, kryptografische Verfahren, Schlüssellängen oder ganze Algorithmenfamilien auszutauschen, ohne dass die gesamte Infrastruktur neu gebaut werden muss. Klingt banal, ist in der Praxis aber selten umgesetzt. Viele Zahlungssysteme, Kernbankensysteme und Signaturinfrastrukturen haben ein einziges Verfahren fest verdrahtet – RSA oder ECDSA etwa stecken oft tief in Legacy-Systemen, die seit Jahrzehnten gewachsen sind und nicht ohne weiteres modularisiert werden können.

Kryptoagile Systeme dagegen trennen die kryptografische Logik von der restlichen Anwendungslogik ab. Sie erlauben es, ein Verfahren wie HAWK gegen ein anderes wie ML-DSA auszutauschen, sobald neue Erkenntnisse das nahelegen – idealerweise per Konfigurationsänderung, nicht per monatelangem Refactoring-Projekt. Genau das ist der eigentliche Lerneffekt aus dem Mythos-Bericht: Nicht die Frage, welches einzelne Verfahren am Ende gewinnt, sondern ob Ihre Systemarchitektur überhaupt in der Lage ist, schnell zu reagieren, wenn ein Verfahren aus dem Rennen fällt. Institute, die heute noch starr auf ein einziges Signaturverfahren setzen, bauen sich ein strukturelles Risiko ein, das unabhängig von der konkreten mathematischen Schwäche existiert.

Was Banken jetzt konkret tun sollten

Konkret heißt das für Sicherheitsverantwortliche in Banken, bei Zahlungsdienstleistern und Börsenbetreibern einige klare Schritte. Erstens: Kryptografische Inventuren durchführen, also lückenlos dokumentieren, wo genau welches Verfahren mit welcher Schlüssellänge im Einsatz ist. Zweitens: Hybride Ansätze bevorzugen, die klassische Verfahren wie RSA oder ECDSA parallel zu Post-Quanten-Verfahren einsetzen, statt vollständig und ausschließlich auf einen einzigen neuen Algorithmus umzusteigen. Drittens: Abstraktionsschichten einbauen, damit ein Verfahrenswechsel später nicht zum Großprojekt wird, sondern zur Konfigurationsaufgabe.

Viertens, und das wird oft vergessen: Die eigenen Monitoring-Prozesse an die Forschungslandschaft anschließen. Wer erst durch Zufall von Berichten wie dem aus Anthropics Labor erfährt, reagiert zu spät. Fünftens sollte jede Institution prüfen, wie stark sie von einem einzelnen noch nicht final standardisierten Verfahren abhängt, und diese Abhängigkeit bewusst reduzieren. Keine dieser Maßnahmen ist spektakulär. Aber zusammen ergeben sie genau die Kryptoagilität, die im Ernstfall den Unterschied macht.

BaFin, EZB und FINMA: Quantencomputer-Warnungen werden konkreter

Aufsichtsbehörden mahnen seit Wochen fast unisono das Gleiche an: Banken, Zahlungsdienstleister und Börsenbetreiber brauchen belastbare Post-Quanten-Migrationspläne, und zwar jetzt, nicht erst wenn ein ausreichend großer Quantencomputer vor der Tür steht. Der Präzedenzfall SIKE, das beim ML-KEM/ML-DSA-Verfahren binnen einer Stunde auf einem gewöhnlichen Laptop komplett gebrochen wurde, ist seither das Menetekel jeder PQC-Diskussion. Mythos liefert nun das nächste Kapitel dieser Geschichte, diesmal mit einer KI als Angreiferin statt einer Forschungsgruppe. Der SIKE-Fall zeigt bis heute, wie schnell ein jahrelang als sicher geltendes Verfahren komplett wertlos werden kann, wenn eine einzige mathematische Beobachtung die richtige Angriffsfläche freilegt.

Für klassische Verfahren wie RSA und ECDSA, die weiterhin in vielen Banking- und Zahlungssystemen im Hintergrund laufen, ändert sich durch die HAWK-Ergebnisse zunächst nichts direkt – das eigentliche Risiko für diese Algorithmen bleibt der noch nicht existierende, ausreichend leistungsfähige Quantencomputer, nicht ein KI-Modell wie Mythos. Für den geplanten digitalen Euro und ähnliche digitale Zentralbankwährungen ist die Botschaft trotzdem relevant: Wer eine Infrastruktur für Jahrzehnte plant, muss von Anfang an mit austauschbaren Kryptobausteinen arbeiten, statt sich auf ein einziges Verfahren zu versteifen. Für Kryptowährungen und Wallets ist das Thema ohnehin nicht neu, wie unser Artikel zur Bedrohung von Bitcoin-Wallets durch künftige Quantencomputer zeigt.

Und dass Banken Quantencomputer nicht nur als Bedrohung, sondern längst auch als Werkzeug für Portfoliomanagement und Kreditvergabe testen, macht die Lage nicht einfacher: Die gleiche Technologie, die Banken Wettbewerbsvorteile verspricht, liefert gleichzeitig die Werkzeuge, um deren eigene Sicherheitsarchitektur anzugreifen. Diese Doppelrolle der Technologie – Chance und Risiko in einem Werkzeug – wird die Branche noch länger begleiten, und wer nur die eine Seite betrachtet, übersieht die andere auf eigene Gefahr.

CryptanalysisBench: Der neue Maßstab für Kryptoanalyse mit KI

Anthropic hat die Ergebnisse nicht einfach veröffentlicht und abgewartet, was passiert. Die HAWK-Autoren wurden bereits im Juni 2026 informiert, NIST war in die koordinierte Offenlegung eingebunden – Responsible Disclosure, wie man sie sich wünscht. Zusammen mit ETH Zürich, Tel Aviv University und der TU Berlin hat das Unternehmen zudem ‚CryptanalysisBench‘ veröffentlicht, einen Benchmark, mit dem andere Forschungsgruppen künftig testen können, wie gut Sprachmodelle tatsächlich kryptoanalytisch taugen. Details zur Primärstudie finden sich im Original-Forschungsbeitrag von Anthropic.

Das Team von digital-magazin.de hat sich die Methodik angesehen: Kein Zaubertrick, sondern strukturierte Suche in einem riesigen mathematischen Raum, kombiniert mit der Geduld, 60 Stunden lang stur weiterzurechnen. Genau das können Modelle inzwischen offenbar besser als müde Forschende nach Feierabend. Ein solcher Benchmark ist deshalb mehr als akademische Fleißarbeit: Er schafft eine gemeinsame Messlatte, an der sich künftig ablesen lässt, wie schnell sich die Fähigkeiten von KI-Systemen in genau diesem sicherheitskritischen Bereich weiterentwickeln, und das dürfte für Standardisierungsgremien wie NIST zu einem festen Bestandteil ihrer Risikoabschätzung werden.

Was bleibt?

Was bleibt also von dieser Meldung, außer einem mulmigen Gefühl? Zunächst: Kein einziges Produktivsystem ist aktuell in Gefahr, weder Ihr Girokonto noch die Börsenhandelsplattform um die Ecke. Aber die Zeitachse hat sich verschoben. Wenn ein KI-Modell in 60 Stunden das schafft, wofür menschliche Kryptografen zwei Jahre brauchten, um es zu übersehen, dann wird jede verbleibende Sicherheitsmarge kleiner. Wir bei digital-magazin.de werden beobachten, wie NIST auf die HAWK-Ergebnisse reagiert – eine Ausmusterung des Kandidaten wäre keine große Überraschung. Bis dahin gilt: Kryptoagilität ist keine Kür mehr, sondern die einzige verlässliche Versicherung gegen einen Angreifer, der niemals schläft und offenbar auch nicht müde wird.