Security-Schulungen aktualisieren, wenn das BSI Classic McEliece für Neuentwicklungen nicht empfiehlt

Wenn sich eine fachliche Empfehlung für ein kryptographisches Verfahren ändert, reicht es nicht, eine Folie auszutauschen. Schulungen können Aussagen enthalten, die neue Architekturentscheidungen beeinflussen, Übungen mit überholten Vorgaben verwenden oder Wissenschecks abfragen, deren erwartete Antwort nicht mehr zum aktuellen Stand passt. Für L&D, Security, Compliance und Teamleitungen entsteht daraus eine konkrete Aufgabe: Inhalte schnell prüfen, fachlich freigeben, gezielt kommunizieren und die Änderung nachweisbar machen.

Das BSI weist seit dem 1. Oktober 2026 darauf hin, dass Classic McEliece derzeit für Neuentwicklungen sowie bei der Planung neuer kryptographischer Anwendungen nicht verwendet werden sollte. Zugleich stellt der Hinweis klar, dass die bisherigen Ergebnisse keinen praktischen Angriff auf Classic McEliece mit den in TR-02102-1 empfohlenen Parametersätzen ermöglichen. Für Schulungen ist diese Unterscheidung entscheidend: Der Hinweis ist kein Freifahrtschein für pauschale Aussagen über bestehende Systeme, aber ein klarer Anlass, Lerninhalte zu neuen Vorhaben und Planungsentscheidungen zu aktualisieren.

Was sich für Schulungen konkret ändert

Eine fachliche Empfehlung wird erst dann handlungsfähig, wenn sie in überprüfbare Lernentscheidungen übersetzt wird. In diesem Fall sollte die Schulung nicht behaupten, Classic McEliece sei generell „gebrochen“ oder müsse zwingend überall entfernt werden. Belastbar ist vielmehr: Für neue Entwicklungen und die Planung neuer kryptographischer Anwendungen empfiehlt das BSI derzeit, das Verfahren nicht zu verwenden. Die Auswahl konkreter Alternativen, Migrationsschritte oder Parameter gehört in die fachliche Bewertung durch die zuständigen Kryptografie-, Architektur- und Security-Verantwortlichen.

Die BSI-Reihe TR-02102 richtet sich insbesondere an Personen, die neue kryptographische Infrastrukturen planen, und bietet Orientierung bei der Wahl geeigneter Verfahren. Sie ersetzt jedoch nicht die Prüfung des jeweiligen Einsatzkontexts. Deshalb sollten Lernmaterialien klar zwischen einer allgemeinen Sensibilisierung und einer verbindlichen organisationsinternen Vorgabe unterscheiden.

Leitprinzip für die Aktualisierung: Ändern Sie nicht nur den Algorithmusnamen. Prüfen Sie, welche Lernziele, Entscheidungen, Übungen und Nachweise von der bisherigen Aussage abhängen.

Schnellprüfung: Welche Schulungen und Materialien können betroffen sein?

Starten Sie mit einer fokussierten Inhaltsinventur. Ziel ist nicht, jede Security-Schulung vorsorglich neu zu schreiben. Suchen Sie stattdessen nach Stellen, an denen Lernende Verfahren für neue Systeme auswählen, kryptographische Roadmaps planen oder technische Entscheidungen begründen sollen.

• Kurskatalog und Lernpfade: Prüfen Sie PQC-, Secure-Development-, Cloud-Security-, Architektur- und Kryptografie-Module.
• Lernziele: Markieren Sie Ziele wie „geeignete Verfahren für Neuentwicklungen auswählen“ oder „eine PQC-Planung begründen“.
• Lernobjekte: Durchsuchen Sie Folien, Videoskripte, Handouts, Glossare, Spickzettel und verlinkte Referenzdokumente nach „Classic McEliece“, „McEliece“, „KEM“, „PQC“ und „Schlüsselvereinbarung“.
• Aktivitäten: Prüfen Sie Architekturfallstudien, Code-Reviews, Threat-Modeling-Übungen, Gruppenaufgaben und Entscheidungsbäume.
• Leistungsnachweise: Kontrollieren Sie Quizfragen, Musterlösungen, Bewertungsraster und Zertifikatskriterien.
• Wiederverwendung: Erfassen Sie, welche Inhalte in Onboarding, Pflichtunterweisungen, Academy-Angeboten oder Kundenschulungen mehrfach eingebettet sind.

Priorisieren Sie Materialien, die Lernende zu einer Auswahl für ein neues Vorhaben anleiten. Eine historische Einordnung kann weiter nützlich sein, sofern sie zeitlich eingeordnet wird und nicht als aktuelle Handlungsempfehlung erscheint.

Rollenbasiert aktualisieren statt allen dieselbe Nachricht zu senden

Die gleiche fachliche Änderung hat je nach Rolle eine andere Lernrelevanz. Eine allgemeine Rundmail an alle Teilnehmenden erzeugt leicht entweder unnötige Unruhe oder zu wenig Handlungsorientierung. Besser ist eine abgestufte Aktualisierung nach Entscheidungseinfluss.

Damit vermeiden Sie zwei typische Fehler: Entwicklerinnen und Entwickler erhalten keine umsetzbare Orientierung, während Fachexpertinnen und Fachexperten zu spät erfahren, dass eine alte Empfehlung noch in Lernmaterialien weiterwirkt.

Inhalte sicher ersetzen: Aussagen, Fallbeispiele und Wissenschecks

Bearbeiten Sie jedes Fundstück mit einer klaren Entscheidung: beibehalten, zeitlich einordnen, ersetzen, entfernen oder zur fachlichen Prüfung eskalieren. Besonders riskant sind verkürzte Formulierungen wie „Classic McEliece ist empfohlen“ oder „Für PQC-Projekte wählen wir Classic McEliece“. Solche Aussagen sollten nicht stillschweigend gelöscht werden, wenn die Lernlogik dadurch unklar wird.

Eine belastbarere Ersatzformulierung lautet beispielsweise: „Für Neuentwicklungen und die Planung neuer kryptographischer Anwendungen sollte Classic McEliece derzeit nicht eingesetzt werden. Die Auswahl eines geeigneten Verfahrens erfolgt nach den aktuellen fachlichen Vorgaben und dem konkreten Anwendungskontext.“ Diese Formulierung überträgt den BSI-Hinweis, ohne eine nicht geprüfte technische Alternative vorzuschreiben.

Überarbeiten Sie anschließend auch die didaktischen Bausteine rund um die Aussage:

1. Fallbeispiel ändern: Lassen Sie Lernende in einem neuen Projekt erkennen, dass die Verfahrenswahl fachlich geprüft werden muss, statt einen vorgegebenen Algorithmus auszuwählen.
2. Musterlösung anpassen: Bewerten Sie nicht nur den Namen eines Verfahrens, sondern den Entscheidungsweg: Quelle prüfen, Anwendungsfall einordnen, Fachfreigabe einholen und Entscheidung dokumentieren.
3. Quizfragen bereinigen: Entfernen Sie Fragen, die eine frühere Empfehlung als zeitlos richtige Antwort behandeln.
4. Quellen sichtbar datieren: Geben Sie bei Referenzfolien Version, Abrufdatum und verantwortliche Fachstelle an.
5. Freigabe trennen: Die fachliche Richtigkeit bestätigt eine geeignete Security- oder Kryptografie-Rolle; L&D verantwortet Verständlichkeit, Lernzielbezug und Ausspielung.

Vorlage: Änderungsfolgen-Matrix für Security-Schulungen

Die folgende Matrix ist als ausfüllbare Arbeitsvorlage gedacht. Führen Sie eine Zeile pro betroffenem Lernziel oder Lernobjekt. So wird aus einer Nachricht ein nachvollziehbarer Änderungsprozess.

Kommunizieren, ohne den Schulungsstand falsch darzustellen

Kommunikation sollte präzise sein. Vermeiden Sie Formulierungen wie „Der Kurs war falsch“ oder „Alle bisherigen Teilnahmen sind ungültig“. Ob eine erneute Unterweisung erforderlich ist, hängt vom internen Risikokontext, der Rolle, der Verbindlichkeit des Kurses und den bestehenden Vorgaben ab. Diese Entscheidung sollte daher dokumentiert und fachlich abgestimmt werden.

Eine sachliche Nachricht kann drei Punkte enthalten: was sich geändert hat, wen es betrifft und welche Handlung erwartet wird. Beispiel: Der Lernbaustein zur Auswahl kryptographischer Verfahren wurde aktualisiert, weil das BSI Classic McEliece derzeit nicht für Neuentwicklungen und Planungen neuer kryptographischer Anwendungen empfiehlt. Personen mit Architektur- oder Entwicklungsentscheidungen nehmen den aktualisierten Abschnitt zur Kenntnis; für offene Projekte wird die zuständige Fachstelle einbezogen.

Kennzeichnen Sie außerdem den Versionsstatus direkt im Lernsystem und im Material: etwa „aktualisiert am“, „fachlich freigegeben am“ und „gilt für Lernziele zu Neuentwicklungen“. Das schützt Lernende davor, eine alte PDF-Datei oder gespeicherte Folie als aktuellen Stand zu missverstehen.

30-Tage-Plan für die Aktualisierung einer Security-Schulung

Die Aktualisierung als wiederholbaren Lernprozess aufbauen

Der konkrete BSI-Hinweis ist ein Anlass, einen allgemeinen Ablauf für die Frage wie man Schulungen nach Rechts- oder Softwareänderungen aktualisiert zu etablieren. Die Kernschritte bleiben gleich: Quelle und Geltungsbereich prüfen, betroffene Lernziele ermitteln, Inhalte fachlich freigeben, Zielgruppen passend ansprechen und Nachweise sichern. So wird nicht jede Änderung zu einem improvisierten Projekt.

SubSchool kann Teams dabei unterstützen, wiederkehrende Arbeitsschritte rund um Versionen, Zielgruppen und Lernkommunikation zu strukturieren, während die fachlich verantwortlichen Personen die Inhalte erstellen und die finale Bildungsentscheidung treffen. Wenn Sie einen nachvollziehbaren Prozess für Security- und Compliance-Schulungen aufbauen möchten, erfahren Sie mehr über SubSchool für Unternehmen.