Jens Eisert: Was uns das Quanteninternet bringt

Wir leben in einer zunehmend unsicheren Welt. Vor nicht allzu langer Zeit schien es noch vielen selbstverständlich, dass Wohlstand wachsen würde, politische Systeme sich stabilisieren und internationale Konflikte an Bedeutung verlieren würden. Heute stehen wir vor neuen Herausforderungen – und Sicherheit spielt dabei eine neue Rolle.

Das gilt auch und gerade für Information. Staaten und Unternehmen müssen Informationen davor schützen, in die Hände der Falschen zu geraten. Aber auch im Privaten verlassen wir uns jeden Tag darauf, dass unsere Kommunikation geschützt ist. Wir schreiben Nachrichten, erledigen Bankgeschäfte im Internet und gehen selbstverständlich davon aus, dass nicht irgendjemand unsere Konten leer räumen kann.

Unsere Gesellschaft hängt daran, dass Information zwar überall verfügbar, ihr Zugang aber dennoch kontrollierbar ist. Wir behandeln diese digitale Sicherheit als selbstverständlich. Dabei beruht sie auf erstaunlich speziellen Voraussetzungen.

Wer heute im Internet eine verschlüsselte Verbindung zu seiner Bank aufbaut, vertraut unter anderem auf Mathematik. Dabei ist das Problem der vollkommen sicheren Verschlüsselung theoretisch längst gelöst. Die eigentliche Schwierigkeit liegt an anderer Stelle: beim Austausch des geheimen Schlüssels.

Die Idee eines solchen Schlüssels ist beinahe so alt wie die Kryptographie selbst. Von den Spartanern ist die Verwendung der Skytale überliefert. Ein Streifen wurde um einen zylindrischen Holzstab gewickelt und die Nachricht daraufgeschrieben. Lesbar wurde sie für den Empfänger, wenn er den Streifen um einen Stab mit demselben Durchmesser wickelte. Der passende Stab übernahm, in sehr handgreiflicher Form, die Rolle eines geheimen Schlüssels.

Eine mathematisch ungleich stärkere Variante entwickelte im Jahr 1917 der amerikanische Ingenieur Gilbert Vernam. Wird eine wirklich zufällige Zeichenfolge als Schlüssel verwendet, die mindestens so lang wie die Nachricht ist und nur ein einziges Mal benutzt wird, dann entsteht das sogenannte One-Time-Pad. Das ist eine Verschlüsselung, die informationstheoretisch sicher sein kann. Selbst ein Angreifer mit unbegrenzter Rechenleistung kann aus der verschlüsselten Nachricht allein nicht auf ihren Inhalt schließen.

Doch die Lösung verschiebt das Problem nur. Wie bekommt der Empfänger den Schlüssel, ohne dass ein Angreifer ihn unterwegs kopiert? Die geniale Leistung der Public-Key-Kryptographie bestand darin, dieses Henne-Ei-Problem zu lösen: Wie vereinbart man über einen unsicheren Kanal ein Geheimnis, wenn man noch gar kein gemeinsames Geheimnis besitzt?

Eines der bekanntesten Verfahren dafür verbirgt sich hinter dem Kürzel RSA, benannt nach den Wissenschaftlern Ronald Rivest, Adi Shamir und Leonard Adleman. Es nutzt eine bemerkenswerte mathematische Asymmetrie: Zwei sehr große Primzahlen miteinander zu multiplizieren, ist einfach. Aus ihrem Produkt die ursprünglichen Primzahlen wieder zu bestimmen, kann dagegen ungeheuer schwierig sein. Diese Einbahnstraße erlaubt es, einen Teil des Schlüssels öffentlich bekannt zu machen, während der entscheidende andere Teil geheim bleibt. Jeder kann eine Nachricht für den Empfänger verschlüsseln, aber nur dieser kann sie wieder entschlüsseln.

Das Revolutionäre daran ist, dass Sicherheit nun nicht mehr davon abhängt, einen geheimen Schlüssel heimlich von A nach B zu transportieren. Stattdessen vertrauen die Anwender darauf, dass bestimmte mathematische Aufgaben praktisch nicht zu bewältigen sind. Nur ist das eine Annahme, kein mathematischer Beweis. Es könnte eines Tages jemand einen effizienten Algorithmus für die Faktorisierung finden.

Schlimmer noch: Für Quantencomputer kennen wir einen solchen Algorithmus schon. Der amerikanische Mathematiker Peter Shor entdeckte im Jahr 1994 einen Quantenalgorithmus, mit dem sich große Zahlen effizient faktorisieren lassen. Ein hinreichend großer Quantencomputer könnte damit genau jene mathematische Einbahnstraße überwinden, auf die das gängige, uns bislang so nützliche RSA-Verschlüsselungskonzept vertraut.

Lange war das vor allem eine theoretische Einsicht. Quantencomputer waren faszinierende Gedankenmodelle (der Autor dieses Artikels beschäftigt sich seit einem Vierteljahrhundert mit ihnen), aber von praktisch relevanten Maschinen waren wir weit entfernt. Das hat sich geändert. Quantencomputer werden mit enormem wissenschaftlichen und industriellen Aufwand entwickelt. Ob und wann eine Maschine entstehen wird, die RSA-Schlüssel heutiger Größe brechen kann, weiß niemand. Die Möglichkeit wird aber so ernst genommen, dass sich die Kryptographie schon auf eine Welt nach RSA vorbereitet.

Die sogenannte Post-Quantum-Kryptographie liefert eine partielle Lösung. Sie ersetzt die mathematischen Probleme, auf denen RSA beruht, durch andere, für die auch Quantencomputer bislang keine effizienten Lösungsverfahren kennen. Solche Verfahren werden schon standardisiert und eingesetzt. Doch auch ihre Sicherheit beruht auf einer Annahme: dass niemand wiederum einen überraschend effizienten Algorithmus findet.

Quantenkryptographie verfolgt einen radikal anderen Ansatz. Ihre Sicherheit soll nicht auf der vermuteten Schwierigkeit mathematischer Probleme beruhen, sondern auf den Gesetzen der Natur selbst. Die Quantenmechanik erlaubt Protokolle, deren Sicherheit sich – unter klar benannten Voraussetzungen – mathematisch aus physikalischen Prinzipien ableiten lässt.

Die Quantenmechanik beschreibt Atome, Moleküle und Lichtquanten mit einer Präzision, die in der Physik ihresgleichen sucht. Zugleich widerspricht sie unserer Alltagserfahrung. Quantensysteme können sich in Überlagerungen verschiedener Zustände befinden, und der Versuch, Information über einen unbekannten Quantenzustand zu gewinnen, kann diesen verändern. Genau diese Eigentümlichkeit wird in der Quantenkryptographie zum Vorteil.

Zwei Parteien schicken etwa einzelne Photonen durch eine Glasfaser oder durch die Luft und kodieren darin Information, aus der sie einen gemeinsamen geheimen Schlüssel gewinnen. Die Kodierung wird so gewählt, dass ein Lauscher die relevanten Quantenzustände nicht zuverlässig auslesen kann, ohne Spuren zu hinterlassen. Sender und Empfänger können einen Teil ihrer Messergebnisse vergleichen und so feststellen, ob die Übertragung hinreichend ungestört war. Charles Bennett und Gilles Brassard stellten im Jahr 1984 mit BB84 das erste Protokoll dieser Art vor. Artur Ekert zeigte im Jahr 1991, dass sich die Sicherheit auch auf die Verschränkung räumlich getrennter Quantensysteme gründen lässt.

Tatsächlich liefern solche Verfahren ein Sicherheitsniveau, das absurd hoch ist. Einem Angreifer kann man nahezu übermenschliche Fähigkeiten zugestehen, beliebig leistungsfähige Quantencomputer, perfekte Quantenspeicher und die vollständige Kontrolle über den Kommunikationskanal. Sämtliche Verluste und Störungen darf man vorsichtshalber ihm zuschreiben. Kurz: Man erlaubt dem Angreifer alles, was die Gesetze der Quantenmechanik erlauben, unabhängig davon, ob es technologisch realistisch ist.

Und dennoch kann das idealisierte Protokoll unter klar benannten Annahmen mit der Präzision eines mathematischen Theorems als sicher bewiesen werden. Reale Implementierungen haben natürlich zusätzliche Schwachstellen, die technisch beherrscht werden müssen.

Über kurze Distanzen funktioniert dies längst außerhalb des Labors. Bei den Schweizer Bundeswahlen im Kanton Genf wurde im Jahr 2007 eine kritische Verbindung zwischen Stimmenauszählung und Rechenzentrum mit Quantenkryptographie abgesichert. Unternehmen wie ID Quantique oder Toshiba verkaufen heute Systeme zur Quantenschlüsselverteilung.

Der Haken liegt in der Reichweite. Über große Distanzen werden die Verluste in Glasfasern so hoch, dass immer weniger Photonen beim Empfänger ankommen. Da man in einem strengen Sicherheitsbeweis verlorene Signale vorsichtshalber einem Angreifer zuschreiben muss, lässt sich schließlich kein sicherer Schlüssel mehr mit praktisch nutzbarer Rate erzeugen.

Eine naheliegende Lösung sind Zwischenstationen. In China entstand unter maßgeblicher Leitung des Quantenphysikers Jian-Wei Pan eine mehr als 2000 Kilometer lange Quantenkommunikationsverbindung zwischen Peking und Shanghai, die im Jahr 2017 in Betrieb ging und 32 Zwischenstationen umfasst. Zusammen mit dem Quantensatelliten Micius entstand später ein Netz mit Verbindungen über bis zu 4600 Kilometer.

Nur haben diese Zwischenstationen einen entscheidenden Haken: Man muss ihnen vertrauen. Der geheime Schlüssel wird von Abschnitt zu Abschnitt weitergereicht und ist an den Zwischenstationen zugänglich. Wird eine Station kompromittiert, ist auch die Verbindung gefährdet.

Die eigentliche Vision des Quanteninternets geht deshalb weiter. Gesucht werden Zwischenstationen, denen man nicht vertrauen muss, sogenannte Quantenrepeater. Die grundlegende Idee formulierten Hans-Jürgen Briegel, Wolfgang Dür, Juan Ignacio Cirac und Peter Zoller im Jahr 1998. Statt ein fragiles Quantensignal über die gesamte Strecke zu schicken, zerlegt man diese in kürzere Abschnitte. Zunächst erzeugt man Verschränkung zwischen benachbarten Stationen und verbindet diese anschließend durch geeignete Quantenoperationen, bis schließlich auch weit voneinander entfernte Endpunkte verschränkt sind.

Zur Erinnerung: Verschränkung bezeichnet eine besonders enge Form quantenmechanischer Korrelation; zwei Quantensysteme besitzen dann einen gemeinsamen Zustand, der sich nicht mehr in voneinander unabhängige Zustände der einzelnen Systeme zerlegen lässt. Selbst wenn die Systeme weit voneinander entfernt sind, müssen sie deshalb als Teile eines gemeinsamen quantenmechanischen Ganzen beschrieben werden.

Der entscheidende Unterschied zu „Trusted Nodes“ ist einfach: Ein Quantenrepeater muss funktionieren, aber man muss ihm nicht vertrauen. Er hilft, die quantenmechanische Verbindung zwischen den Endpunkten herzustellen, erhält aber selbst keinen geheimen Schlüssel, den er verraten könnte.

Dabei ist man keineswegs auf Glasfasern angewiesen. Photonen lassen sich auch durch die freie Atmosphäre übertragen. Schon im Jahr 2007 demonstrierte die Gruppe um den späteren Nobelpreisträger Anton Zeilinger Quantenkryptographie mit verschränkten Photonen über 144 Kilometer zwischen La Palma und Teneriffa. In einer späteren Zusammenarbeit der Gruppen von Jian-Wei Pan und Zeilinger wurde mithilfe des Satelliten Micius eine quantengesicherte Verbindung zwischen China und Österreich über rund 7600 Kilometer demonstriert. Noch musste der Satellit selbst eine vertrauenswürdige Zwischenstation sein. Langfristig könnten Quantennetzwerke sichere Kommunikation über den Globus ermöglichen, ohne dass den Zwischenstationen vertraut werden muss.

Technologisch ist dies extrem herausfordernd. Für den Transport über große Entfernungen eignet sich vor allem Licht; zum Speichern und Verarbeiten von Quanteninformation sind dagegen häufig Materiesysteme wie einzelne Ionen, Atome, atomare Ensembles oder Defektzentren besonders geeignet. Damit müssen zwei Welten verbunden werden: Licht zum Transport, Materie zur Speicherung und Verarbeitung.

Die Details sind anspruchsvoll. Viele Quantenspeicher wechselwirken besonders gut mit Licht einer anderen Wellenlänge als jener, die sich mit geringen Verlusten durch Telekommunikationsfasern schicken lässt. Also muss man die Wellenlänge einzelner Photonen verändern und dabei ihre empfindlichen quantenmechanischen Eigenschaften erhalten. Quantenzustände müssen mit Materie gekoppelt, gespeichert und manipuliert und schließlich wieder auf Licht übertragen werden.

Je nach Repeaterarchitektur müssen Fehler zudem durch Verschränkungsreinigung oder Quantenfehlerkorrektur bekämpft werden. Die wesentlichen Bausteine sind experimentell schon demonstriert. Die Herausforderung besteht darin, sie gleichzeitig mit geringen Verlusten, hoher Präzision und brauchbaren Übertragungsraten zusammenzubringen.

Dafür müssen viele Forschungsfelder zusammenspielen. Experimentelle Quantenoptik, die Kontrolle von Atomen und Ionen und die Entwicklung von Quantenspeichern sind ebenso wichtig wie theoretische Fragen: Welche Repeaterprotokolle funktionieren unter realistischen Bedingungen am besten? Wie lassen sich Fehler korrigieren, Ressourcen minimieren und Quantennetze optimal steuern?

Entsprechend haben sich weltweit große Forschungsverbünde gebildet. In Europa vereint die von der Quantenphysikerin Stephanie Wehner am QuTech in Delft geleitete Quantum Internet Alliance führende Forschungsgruppen und Unternehmen mit dem Ziel, ein programmierbares Quantennetz aufzubauen. In den USA entwickeln nationale Laboratorien wie Argonne und Fermilab sowie Universitäten Quantennetzwerke und ihre Komponenten. In Japan gehört Rodney Van Meter von der Keio University zu den prägenden Forschern für Netzwerkarchitekturen und verteiltes Quantenrechnen; auch das japanische Moonshot-Programm investiert in Quantennetzwerke.

Deutschland spielt in diesem internationalen Rennen weiterhin eine wichtige Rolle. Mit den vom Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) geförderten Verbünden QR.N und QuNET wurden große nationale Forschungsprogramme zur Quantenkommunikation aufgebaut. Ihre Themen reichen von Photonen und Quantenspeichern über Frequenzkonversion und Quantenrepeater bis zu Protokollen, Netzarchitekturen und Sicherheit.

China wiederum hat unter Jian-Wei Pan einige der sichtbarsten großskaligen Quantennetze und Satellitenexperimente realisiert. Das Quanteninternet ist damit von einer exotischen Idee einiger Physiker zu einem internationalen wissenschaftlichen Großprojekt geworden.

Dabei ist längst klar, dass es weitaus mehr – und vielleicht noch faszinierendere – Möglichkeiten bietet, als kryptographische Schlüssel zu verteilen. Ein solches Netz könnte Verschränkung zwischen weit voneinander entfernten Quantensystemen herstellen und als Ressource verfügbar machen. Würde man dies Erwin Schrödinger erzählen, der im Jahr 1935 den Begriff der Verschränkung prägte und in ihr einen charakteristischen Wesenszug der Quantenmechanik erkannte, würde er vermutlich seinen Ohren nicht trauen: Ausgerechnet jenes Phänomen, das ihm noch als Ausdruck der Fremdartigkeit der Quantentheorie erschien, soll zur technischen Ressource eines weltweiten Netzes werden.

Eine Anwendung liegt in der Quantenmetrologie. Räumlich getrennte Sensoren könnten durch Verschränkung verbunden werden und bei bestimmten Aufgaben eine Präzision erreichen, die unabhängigen Sensoren nicht möglich ist. Noch weitreichender ist eine andere Möglichkeit. Weltweit wird mit großem Aufwand an fehlertoleranten Quantencomputern gearbeitet. Ein Quanteninternet könnte solche Rechner miteinander verbinden und gemeinsam rechnen lassen, ähnlich wie das klassische Internet Rechner auf der ganzen Welt verbindet, nur dass hier auch Verschränkung und Quanteninformation ausgetauscht würden.

So wird das Quanteninternet zu einer faszinierenden technologischen Vision. Welche Anwendungen daraus entstehen, wissen wir heute ebenso wenig, wie die Pioniere des klassischen Internets absehen konnten, welche Rolle ihre Erfindung wenige Jahrzehnte später spielen würde. Wahrscheinlich wird abhörsicherer Informationsaustausch über große Distanzen eine wichtige Rolle spielen. Weiter gedacht könnten verteilte Quantencomputer neue Möglichkeiten in der Optimierung und insbesondere in der Simulation von Molekülen und Materialien eröffnen.

Ob daraus einmal bessere Batterien, neue Katalysatoren oder auch neue Werkzeuge für komplexe Probleme wie Turbulenz und Klimamodellierung entstehen, ist offen. Doch genau solche Möglichkeiten machen die Erforschung neuer Rechen- und Kommunikationsformen interessant. Gerade deshalb sollte man weder in Heilsversprechen noch in Technikpessimismus verfallen. Neue Technologien lösen gesellschaftliche Probleme nicht von selbst. Verantwortlich entwickelt und eingesetzt können sie uns aber Möglichkeiten geben, die wir heute (noch) nicht besitzen.

Vielleicht ist die Marsmission deshalb mehr als eine Metapher für die technische Schwierigkeit des Quanteninternets. Wie bei einem solchen Großprojekt müssen Menschen aus vielen Ländern und Disziplinen über Jahre an einem Ziel arbeiten, das keine Gruppe allein erreichen kann. Physik, Mathematik, Informatik und Ingenieurwissenschaften treffen aufeinander, Grundlagenforschung und Technologieentwicklung gehen Hand in Hand.

Ob am Ende tatsächlich ein weltumspannendes Quanteninternet entsteht, wissen wir nicht. Aber schon der Weg dorthin erweitert unsere Fähigkeit, die Gesetze der Natur nicht nur zu verstehen. Sondern sie gemeinsam und verantwortungsvoll zu nutzen.