Jede SSH-Verbindung, die du heute von deinem iPhone aus aufbaust, könnte irgendwo still mitgeschnitten und gespeichert werden. Ziel des Mitschnitts ist nicht das sofortige Entschlüsseln, sondern das Warten auf den Tag, an dem Quantencomputer ausgereift genug sind, um alles im Nachhinein massenhaft zu entschlüsseln. Die Sicherheitsbranche hat dieser Angriffsmethode einen treuherzigen Namen gegeben: Harvest Now, Decrypt Later.

Die gute Nachricht: Die Verteidigungsmittel sind inzwischen ein offizieller Standard. Das NIST hat 2024 den Post-Quanten-Schlüsselkapselungsalgorithmus ML-KEM (FIPS 203) finalisiert, und OpenSSH hat ihn in den Standard-Schlüsselaustausch aufgenommen. Jetzt bringt NeoServer ML-KEM auf iOS – dein iPhone kann echte Post-Quanten-SSH-Verbindungen aufbauen, und das völlig ohne Konfiguration.

Harvest Now, Decrypt Later: Warum du dich jetzt kümmern solltest

Die Vertraulichkeit klassischen SSHs beruht auf mathematischen Hartnäckigkeitsproblemen wie ECDH und RSA. Für heutige Computer sind sie sicher genug – doch sobald ein Quantencomputer den Shor-Algorithmus ausführt, werden diese Probleme effizient gebrochen. Das wirklich Fatale ist der Zeitversatz:

1. Der Mitschnitt geschieht heute. WLAN am Flughafen oder im Café, kompromittierte Router, jedes beliebige Glied auf der Übertragungsstrecke kann den verschlüsselten Datenverkehr speichern – für den Mitschneidenden kostet das praktisch nichts.
2. Die Entschlüsselung geschieht in der Zukunft. Sobald ein hinreichend großer Quantencomputer existiert, kann jede heute aufgezeichnete klassische Schlüsselvereinbarung rückwirkend gebrochen werden – ohne dass du dann noch irgendeinen Fehler begehen müsstest.
3. Eine SSH-Sitzung, einmal entschlüsselt, ist komplett entschlüsselt. Dein eingegebenes sudo-Passwort, per cat ausgegebene Konfigurationsdateien und Schlüssel, Tokens in Deployment-Skripten, die interne Netzwerktopologie – alles liegt im Klartext vor.

Für Serveradministratoren, NAS-Nutzer und Ops-Engineers ist der SSH-Datenverkehr ausgerechnet das Mitschnittsziel mit dem höchsten langfristigen Wert. Und die Strategie „Das kümmere ich mich, wenn Quantencomputer wirklich da sind", ist gegenüber bereits aufgezeichnetem Verkehr irreversibel.

Was ML-KEM ist: die Drei-Minuten-Version

ML-KEM (Module-Lattice-based Key Encapsulation Mechanism, ein auf Modul-Gittern basierendes Schlüsselkapselungsverfahren) ist der 2024 vom NIST finalisierte Post-Quanten-Kryptographiestandard FIPS 203, hervorgegangen aus dem Kyber-Algorithmus. Seine Sicherheit beruht auf mathematischen Problemen auf Gittern – für alle bislang bekannten Quantenalgorithmen gibt es dafür keine effiziente Lösung.

Es zuständig ist nur für eine einzige Sache, aber genau für die entscheidende: den Schlüsselaustausch. Beim Verbindungsaufbau vereinbaren beide Seiten mit ML-KEM den Sitzungsschlüssel; selbst wenn ein Quantencomputer später den gesamten Datenverkehr abspielt, kann er diesen Schlüssel nicht rekonstruieren.

Zwei Fakten, die man kennen sollte:

• OpenSSH aktiviert seit Version 9.9 (September 2024) standardmäßig den hybriden Schlüsselaustausch mlkem768x25519-sha256. Er kombiniert ML-KEM-768 mit dem klassischen X25519: Zwei mathematische Hartnäckigkeitsprobleme schützen gleichzeitig dieselbe Sitzung, und keines allein genügt zur Entschlüsselung. Die SSH-Server neuerer Linux-Distributionen der letzten zwölf Monate sowie die von macOS unterstützen ihn meist bereits standardmäßig.
• Apple rollt Post-Quanten-Kryptographie flächendeckend aus. iMessage hat mit dem PQ3-Protokoll Post-Quanten-Schutz eingeführt, und iOS 26 geht noch weiter und verschlüsselt die Kommunikation zwischen iPhone und Apple Watch mit ML-KEM. Zwischen deinem Handy und deiner Uhr läuft also bereits Post-Quanten-Verschlüsselung – und dein SSH-Client?

Das iPhone ist oft das letzte schwache Glied in der Kette

Die Server sind standardmäßig bereit, die Clients hinken hinterher: Die meisten iOS-SSH-Clients bieten bis heute nur klassischen Schlüsselaustausch an. So entsteht die peinliche Situation, dass der Server die Post-Quanten-Aushandung voll unterstützt, das Handshake aber auf der Handyseite auf klassische Algorithmen heruntergestuft wird.

Und ausgerechnet das Handy ist das exponierteste Gerät: WLAN in Cafés, Flughäfen und Hotels, Netzwerke unklarer Herkunft, mal eben schnell aufgebaute Verbindungen. Auf dem Mac legst du vielleicht noch eine WireGuard-Schicht darüber – die schnelle SSH-Verbindung vom iPhone läuft dagegen oft nackt.

NeoServer schließt diese Lücke. Beim Verbindungsaufbau verhandelt NeoServer automatisch mit Priorität mlkem768x25519-sha256:

• Server unterstützt es → sofortige Post-Quanten-Sitzung, die gesamte Verbindung ist ab dem Handshake quantensicher
• Server ist älter → sanfter Rückfall auf klassische Algorithmen, die Verbindung funktioniert ganz normal, kein Arbeitsablauf wird unterbrochen
• Null Konfiguration: Es muss keine Einstellung geändert werden, nach dem App-Update sofort wirksam

In 30 Sekunden prüfen, ob dein Server bereit ist

Führe auf dem Server aus (im NeoServer-Terminal funktioniert es genauso):

ssh -Q kex | grep mlkem
# Ausgabe mlkem768x25519-sha256 bedeutet, dass es unterstützt wird

Um das Aushandlungsergebnis mit eigenen Augen zu sehen, hänge beim Verbinden vom Desktop-Rechner -vv an:

ssh -vv user@your-server 2>&1 | grep "kex:"
# debug1: kex: algorithm: mlkem768x25519-sha256

Wenn der erste Befehl keine Ausgabe liefert, läuft auf dem Server noch eine OpenSSH-Version vor 9.9 – ein System- oder OpenSSH-Upgrade schafft Abhilfe. Danach landet die Aushandlung von NeoServer aus automatisch bei ML-KEM.

Mehr als Schlüsselaustausch: NeoServers Sicherheitsmodell

Der Post-Quanten-Schlüsselaustausch löst das Problem „mitgeschnittene Leitung"; an anderen Stellen geht NeoServer ebenfalls keine Kompromisse ein:

• Private Schlüssel liegen ausschließlich auf deinem iPhone, geschützt durch Face ID / Touch ID; bei Bedarf auf mehreren Geräten erfolgt die Synchronisierung über dein privates iCloud-Konto
• SSH-Agent-Forwarding: Der Remote-Server „leiht" sich vorübergehend die Schlüssel auf deinem Handy zur Authentifizierung, die privaten Schlüssel landen niemals auf dem Server – Details in der früheren ausführlichen Vorstellung
• Vollständige Authentifizierungsfähigkeiten: Passwort, privater Schlüssel, 2FA, Jump Server (Bastion Host), Failover, Socks5-Proxy
• Null Drittstatistiken, null Werbe-SDKs: NeoServer kommuniziert mit keinem Server, den du nicht selbst konfiguriert hast – deine Daten gehören nur dir

Darüber hinaus sorgt Mosh dafür, dass du beim Netzwerkwechsel nicht getrennt wirst, tmux/zellij-Sitzungen lassen sich nach einem Abbruch wiederherstellen, und SFTP, Serverüberwachung, Docker/Podman-Verwaltung und die Ausführung von Skripten im Batch sind ebenfalls an Bord. NeoServer ist nicht nur „ein Terminal mit ML-KEM-Unterstützung", sondern ein vollwertiger mobiler Ops-Arbeitsplatz auf dem iPhone.

Für wen ist das?

• Home-Server-Enthusiasten und NAS-Nutzer (Synology, QNAP, TrueNAS usw.)
• Website-Administratoren und Ops-Engineers
• Entwickler und Programmierer
• Wer KI-Rechenknoten und Cloud-Server verwaltet
• Und alle, die finden, dass „Entschlüsselung durch Abspielen in zehn Jahren" den heutigen Datenverkehr nicht bedrohen dürfte

Quantensicher ab der nächsten Verbindung

Das Erschreckende an Harvest-Now-Decrypt-Later-Angriffen ist ihre Asymmetrie: Der Verteidiger muss nur heute ein einziges Mal das Handshake aufrüsten, der Angreifer kann den mitgeschnittenen Datenverkehr von gestern aber für immer aufbewahren. Dein Server ist längst standardmäßig bereit – es fehlt nur ein iOS-Client mit ML-KEM-Unterstützung.

Öffne den App Store und suche nach NeoServer, oder lade es direkt im App Store herunter – damit deine nächste SSH-Verbindung vom iPhone ab dem Moment des Handshakes quantensicher ist.