Gilles Brassard, BB84 und der Turing Award 2025 für Quanteninformation

Am 18. März 2026 hat die Association for Computing Machinery Gilles Brassard, Informatiker an der Université de Montréal, und Charles H. Bennett, Physiker bei IBM Research, gemeinsam zu Preisträgern des A.M. Turing Award 2025 erklärt. Der Preis ist mit 1 Million US-Dollar dotiert, finanziell unterstützt von Google. Die Begründung würdigt, dass die beiden die Grundlagen der Quanteninformationswissenschaft gelegt und die sichere Kommunikation und das sichere Rechnen verändert hätten. Es ist der erste Turing Award, der sich um die Quanteninformationswissenschaft dreht. Im Zentrum der Arbeit steht ein Protokoll von 1984, BB84. Es erlaubt zwei Parteien, sich auf einen geheimen Schlüssel zu einigen, dessen Geheimhaltung auf Physik beruht und nicht auf der Schwierigkeit eines mathematischen Problems.

01Vom Schwimmen auf der Konferenz zum Protokoll

Brassards Weg in das Fachgebiet begann in den frühen Jahren der akademischen Kryptografie. Laut der Université de Montréal (UdeM) begann er dort 1968 im Alter von 13 Jahren zu studieren und promovierte später an der Cornell University in theoretischer Informatik. Die UdeM gibt an, seine Dissertation habe die theoretische Existenz eines „Orakels“ bewiesen, das Public-Key-Kryptografie beweisbar sicher machen würde. Mit 24 Jahren schloss er die Promotion ab und wurde Assistant Professor in Montréal.

Die entscheidende Begegnung fand 1979 auf dem IEEE Symposium on Foundations of Computer Science in Puerto Rico statt. Brassard ging schwimmen, und Bennett, damals am Watson Research Center von IBM, schwamm zu ihm hinüber, um ihm von einem Freund zu erzählen: Stephen Wiesner hatte gezeigt, wie sich mit Quanteneffekten fälschungssichere Banknoten herstellen lassen. Wiesners Manuskript stammt von etwa 1969, wurde aber erst 1983 veröffentlicht. 1982 verfassten die drei gemeinsam eine erste Arbeit zur Quantenkryptografie.

Das Problem, dem sich Bennett und Brassard widmeten, war die Schlüsselverteilung. Symmetrische Verschlüsselungsverfahren sind schnell, aber beide Parteien benötigen ein gemeinsames Geheimnis. Public-Key-Verfahren kommen ohne vorherigen Austausch aus, ihre Sicherheit beruht jedoch auf Annahmen über schwierige Berechnungen. Brassard sagt, sie hätten das nicht getan, weil sie ein Versagen der bestehenden Kryptografie erwartet hätten. Sie hätten die Quantenschlüsselerzeugung nicht in der Überzeugung erfunden, dass die kryptografische Infrastruktur zusammenbrechen werde. Peter Shors Algorithmus von 1994 machte diese Sorge später konkret: Er würde es einem Quantencomputer erlauben, die klassischen Schlüsselaustauschverfahren hinter der Public-Key-Infrastruktur schnell zu brechen.

02Wie BB84 funktioniert

Die Arbeit von 1984, „Quantum Cryptography: Public Key Distribution and Coin Tossing“, zeigte, dass zwei Parteien einen geheimen Schlüssel erzeugen können, dessen Sicherheit von der Physik garantiert wird, selbst gegenüber Angreifern mit unbegrenzter Rechenleistung, etwa einem Quantencomputer. In der Standardvariante mit Photonenpolarisation laufen folgende Schritte ab:

• Präparation. Der Sender, üblicherweise Alice genannt, wählt für jedes Photon ein zufälliges Bit und eine zufällige Basis. Die vier Zustände sind vertikale, horizontale, 45-Grad- und 135-Grad-Polarisation.
• Messung. Der Empfänger, Bob, wählt für die Messung jedes Photons eine von zwei Basen, rektilinear oder diagonal.
• Sifting. Die beiden vergleichen ihre Basiswahl über einen authentifizierten klassischen Kanal. Ergebnisse mit unterschiedlicher Basis verwerfen sie, den Rest behalten sie. Etwa die Hälfte der Daten bleibt übrig.
• Fehlerabschätzung. Sie vergleichen eine zufällige Stichprobe der gesiebten Bits, um die Quantenbitfehlerrate zu bestimmen. Ist sie zu hoch, brechen sie ab. Andernfalls führen sie Fehlerkorrektur und Privacy Amplification durch, um den geheimen Schlüssel zu extrahieren.

Die Sicherheit stammt aus der Quantenmechanik. Alices zwei Basen sind konjugiert, sodass eine Messung in der falschen Basis ein zufälliges Ergebnis liefert und den Zustand stört. Ein Lauscher weiß nicht, welche Basis für welches Photon verwendet wurde. Messen und erneutes Senden verursacht daher nachweisbare Fehler; im Lehrbuchfall des Abfangens und erneuten Sendens (Intercept-and-Resend) ist rund ein Viertel der Bits des gesiebten Schlüssels falsch. Eine Universitätszusammenfassung formuliert es so: Jeder Abhörversuch hinterlässt nachweisbare Spuren. Die Privacy Amplification verkürzt den Schlüssel anschließend, um jene Teilinformationen zu beseitigen, die ein Angreifer unterhalb der Abbruchschwelle gewonnen haben könnte.

Ein Punkt wird leicht übersehen: BB84 macht Authentifizierung nicht überflüssig. Der klassische Kanal muss authentifiziert sein, und wenn dafür Public-Key-Signaturen verwendet werden, gilt die informationstheoretische Garantie nur für Schlüssel, die erzeugt wurden, bevor diese Signaturen gebrochen werden. In der Praxis kommt ein kleines vorab geteiltes Geheimnis zum Einsatz, das das Protokoll dann streckt.

03Vom Labortisch zu Glasfaser und Satellit

Zuerst kam die Theorie, das Experiment brauchte Jahre. Die erste Demonstration gelang 1989, fünf Jahre nach dem Vorschlag. Ein Überblicksartikel zum Fachgebiet beschreibt den Aufbau als stark abgeschwächte Laserpulse statt echter Einzelphotonen, übertragen über 30 cm offene Luft bei 10 Hz. Ein Porträt in den Communications of the ACM nennt eine Kanallänge von 32 cm und eine Veröffentlichung der Ergebnisse im Jahr 1992. Laut IBM baute Bennett das Gerät in seinem Büro aus Spiegeln, Polarisatoren und Photonendetektoren, mit Software von Brassard und seinen Studierenden.

Die Distanz war das frühe Hindernis. Derselbe Überblicksartikel hält fest, dass die optische Ausrichtung im freien Raum die Reichweite begrenzte; bis 1993 hatten Gruppen faserbasierte QKD über 10 km Telekommunikationsfaser demonstriert. Eine Übersichtsarbeit aus den frühen 2000er-Jahren stellte fest, dass diese Realisierungen weiterhin unter niedrigen Bitraten und einer maximalen Reichweite von etwa 100 km litten. Sie nannte eine Schlüsselrate von 210 Hz über 23 km. Diese Zahlen sind veraltet; aktuelle Werte habe ich für diesen Artikel nicht überprüft. Laut IBM wurde das Verfahren inzwischen experimentell über bis zu 1.200 km zwischen einem Satelliten und der Erde eingesetzt.

Die Einschränkungen sind struktureller Natur. Photonen lassen sich nicht wie klassische Signale verstärken, denn ein Quantenrepeater muss fragile Zustände erhalten. Reale Geräte weichen zudem vom idealisierten Modell ab, weshalb es in der Literatur Arbeiten zu sicherer QKD mit realistischen Geräten gibt. Schwache Laserpulse, Detektorfehler und Seitenkanäle sind die üblichen Schwachstellen. Die Beschreibung von BB84 durch die UdeM als „in der Theorie“ unhackbar ist mit diesem Vorbehalt zu lesen: Die Beweise gelten für das Protokoll, und die Ingenieurarbeit muss die Lücke zur Hardware schließen.

04Teleportation und ein breiteres Feld

Brassards Beitrag reicht über die Schlüsselverteilung hinaus. Die UdeM gibt an, er habe die Quantenteleportation mitentwickelt und 1992 gemeinsam mit Claude Crépeau, heute an der École de technologie supérieure, deren Grundlagen gelegt. Die ACM verortet die Einführung 1993 und nennt weitere Mitwirkende. Die beiden Jahreszahlen spiegeln wahrscheinlich den Unterschied zwischen Forschung und Veröffentlichung wider, bestätigt habe ich das allerdings nicht. Die Technik kombiniert klassische Kommunikation mit Verschränkung, die für sich genommen keine Kommunikationskapazität besitzt. Bennett selbst erklärt, es handle sich um eine Methode, Daten innerhalb eines Quantencomputers zu bewegen, nicht Objekte.

Für Ingenieure ist der praktische Punkt, dass Verschränkung zu einer messbaren Ressource wurde. Laut ACM bilden die Arbeiten der beiden auch die Grundlage für Quantennetzwerke und großskalige Quantencomputersysteme, ebenso wie für die Verschränkungsdestillation. CIFAR, das Brassard seit 2002 als Mitglied führt, würdigt die beiden als Brückenbauer zwischen Physik und Informatik.

05Was der Preis bedeutet und was offen bleibt

Brassard versteht den Preis als Argument. In der Mitteilung der UdeM sagte er, er helfe ihm, seine Forderung zu untermauern, dass wir uns nicht länger allein auf veraltete kryptografische Infrastruktur verlassen dürfen, die fallen wird, sobald ein voll leistungsfähiger Quantencomputer existiert. Der Zeitpunkt ist ungewiss. Niemand kann sagen, wann eine solche Maschine kommt, daher sind Migrationspläne Risikomanagement und keine Prognosen.

BB84 ist zudem nicht die einzige Antwort. Im August 2024 hat das NIST seine ersten Post-Quanten-Standards finalisiert; FIPS 203 basiert auf CRYSTALS-Kyber, umbenannt in ML-KEM. Post-Quanten-Kryptografie läuft auf heutiger Hardware und in heutigen Netzen. Sie stützt sich weiterhin auf rechnerische Annahmen, genau jenen Kompromiss, den BB84 vermeiden sollte. QKD braucht dedizierte optische Strecken, vertrauenswürdige Knoten oder Satelliten sowie authentifizierte Kanäle. Für die meisten Einsatzszenarien sind das einander ergänzende Werkzeuge, keine Ersatzlösungen.

Die Ehrungen rund um den Turing Award zeigen, wie weit die Idee gekommen ist. Brassard und Bennett teilten sich 2022 den Breakthrough Prize in Fundamental Physics; Brassard ist außerdem Träger des Wolf-Preises für Physik und Fellow der Royal Society. Die UdeM gibt an, er sei erst der achte kanadische Turing-Preisträger. Yoshua Bengio ist mit seiner Auszeichnung von 2018 der andere Preisträger der UdeM. Brassard selbst hat gesagt, dass er und Bennett sich zu Beginn nie eine Technologie im Wert von Milliarden Dollar vorgestellt hätten. Für ein Protokoll, das erstmals über etwa 30 Zentimeter Laborluft demonstriert wurde, ist das ein beachtlicher Weg.