Harvest now, decrypt later: waarom versleutelde data van vandaag morgen alsnog gekraakt kan worden

Bijgewerkt: 4 augustus 2026 · 6 min leestijd

Stel je voor: een inbreker kan een kluis nu niet openkrijgen, maar besluit hem toch te stelen. Hij zet de kluis in zijn schuur en wacht. Over tien jaar bestaat er misschien gereedschap dat elk slot opent. Dan haalt hij de kluis weer tevoorschijn en pakt alsnog wat erin zit. Precies dat principe zit achter de harvest-now-decrypt-later-aanval (afgekort HNDL, letterlijk "nu oogsten, later ontsleutelen"): versleuteld internetverkeer wordt vandaag onderschept en opgeslagen, in de verwachting dat toekomstige technologie — met name de kwantumcomputer — de versleuteling later alsnog kan breken.

Het bijzondere aan deze aanval is dat er nu niets "gebeurt" dat je kunt zien of voelen. Er wordt niet ingebroken op een server, er lekt geen wachtwoord. Er wordt alleen kopieën gemaakt van data die toch al over kabels en satellieten heen en weer gaat, in de vorm van onleesbare cijferbrij. Pas jaren later, als de aanvaller over voldoende rekenkracht beschikt, wordt duidelijk wat die brij ooit betekende. Voor gegevens die maar kort geheim hoeven te blijven — een creditcardtransactie, een appje over het avondeten — is dat onschuldig. Voor staatsgeheimen, medische dossiers, broncodes of langlopende diplomatieke correspondentie ligt dat anders: die moeten soms tientallen jaren vertrouwelijk blijven, en dat is precies waarom overheden en bedrijven zich nu al zorgen maken over een dreiging die (nog) niet bestaat.

Wat is het precies?

Vrijwel al het beveiligde verkeer op internet — een bankwebsite, een appje, een videobelletje — wordt beschermd met een combinatie van twee soorten cryptografie. Eerst wordt met asymmetrische cryptografie (zoals RSA of elliptische-krommecryptografie, afgekort ECC) een geheime sleutel afgesproken tussen twee apparaten, zonder dat een afluisteraar die sleutel kan afleiden. Daarna wordt met die sleutel de eigenlijke inhoud versleuteld met snellere symmetrische cryptografie, zoals AES.

De veiligheid van RSA en ECC steunt op wiskundige problemen die voor gewone computers vrijwel onmogelijk op te lossen zijn binnen een mensenleven, zoals het ontbinden van een heel groot getal in priemfactoren. In 1994 bedacht wiskundige Peter Shor echter een algoritme — nu bekend als Shor's algoritme — dat dit soort problemen in theorie razendsnel kan oplossen, mits je beschikt over een kwantumcomputer die groot en stabiel genoeg is. Zo'n machine bestaat vandaag nog niet, maar als hij er ooit komt, vallen RSA en ECC in één klap om.

Een aanvaller die dit weet, hoeft dus niet te wachten tot zo'n computer bestaat om te beginnen. Hij kan nu al grote hoeveelheden versleuteld verkeer aftappen en opslaan — bijvoorbeeld via een kabel, een cloudprovider, of een datacenter — en simpelweg wachten. Zodra een bruikbare kwantumcomputer beschikbaar komt, wordt de destijds vastgelegde sleuteluitwisseling alsnog gekraakt, en daarmee met terugwerkende kracht ook de inhoud die ermee versleuteld was. Symmetrische versleuteling zoals AES is trouwens veel minder kwetsbaar: een kwantumcomputer maakt die aanvallen met het zogeheten Grover-algoritme hooguit kwadratisch sneller, wat met een iets langere sleutel eenvoudig te compenseren is. Het probleem zit dus vrijwel volledig in het sleuteluitwisselingsdeel.

Wat wil men ermee bereiken?

Voor een aanvaller — doorgaans een inlichtingendienst met de middelen om jarenlang dataverkeer te verzamelen en op te slaan — is het doel simpel: toegang krijgen tot informatie die nu ontoegankelijk is, maar over vijf, tien of twintig jaar nog steeds waardevol kan zijn. Denk aan diplomatieke telegrammen, wapenontwerpen, broncode van kritieke infrastructuur, of medische en genetische gegevens die per definitie levenslang gevoelig blijven.

Voor de verdedigende kant — bedrijven, overheden, standaardisatie-instituten — is het doel het omgekeerde: ervoor zorgen dat data die vandaag wordt verstuurd, ook over decennia nog veilig is. Dat is de drijfveer achter post-kwantumcryptografie (PQC): nieuwe wiskundige technieken die, voor zover nu bekend, ook door een kwantumcomputer niet efficiënt te kraken zijn. Belangrijk is dat migratie naar zulke technieken vandaag moet gebeuren, niet pas wanneer de dreiging concreet wordt — tegen die tijd is het voor alle nu al onderschepte data namelijk te laat. Dit besef heeft ook geleid tot het streven naar "crypto-agiliteit": systemen zo bouwen dat versleutelingsmethoden relatief eenvoudig te vervangen zijn, zodat een volgende dreiging niet weer jarenlange noodoperaties vergt.

Voorbeelden uit de praktijk

De reactie op HNDL is inmiddels verder dan alleen theorie. Enkele concrete stappen die al gezet zijn:

In augustus 2024 rondde het Amerikaanse standaardisatie-instituut NIST zijn jarenlange zoektocht af met drie definitieve standaarden: FIPS 203 (ML-KEM, gebaseerd op het algoritme Kyber) voor sleuteluitwisseling, FIPS 204 (ML-DSA, gebaseerd op Dilithium) en FIPS 205 (SLH-DSA, gebaseerd op SPHINCS+) voor digitale handtekeningen. Een vierde standaard, gebaseerd op het algoritme Falcon, was eind 2024 nog in de conceptfase.
Google voegde in 2023 aan zijn Chrome-browser een hybride sleuteluitwisseling toe (X25519Kyber768), die de klassieke methode combineert met het nieuwe Kyber-algoritme, zodat verkeer beschermd is zelfs als één van de twee ooit zou breken.
De berichten-app Signal introduceerde in september 2023 het protocol PQXDH, dat op vergelijkbare wijze klassieke en post-kwantumcryptografie combineert om chatberichten te beschermen tegen toekomstige ontsleuteling.
Apple kondigde in februari 2024 het protocol PQ3 aan voor iMessage, met als expliciete motivatie bescherming tegen precies dit soort "verzamel nu, kraak later"-scenario's.
Netwerkbedrijf Cloudflare, dat een aanzienlijk deel van het wereldwijde webverkeer afhandelt, is sinds 2022-2023 bezig post-kwantumbescherming standaard uit te rollen op zijn infrastructuur, waardoor een groeiend deel van het "gewone" internetverkeer al hybride beschermd is zonder dat gebruikers dit merken.

Hoe ver is de techniek?

Er zijn hier eigenlijk twee aparte ontwikkelingen om in de gaten te houden, en het is belangrijk ze niet te verwarren. De eerste is de verdediging: hoe ver staat post-kwantumcryptografie? Die is inmiddels behoorlijk volwassen. De wiskundige standaarden liggen sinds 2024 vast, grote techbedrijven passen ze al toe, en internetstandaarden voor protocollen als TLS en SSH worden aangepast om ze te ondersteunen. Het knelpunt zit vooral in de omvang van de operatie: de hele wereldwijde IT-infrastructuur — routers, smartcards, verouderde bedrijfssoftware, certificaten, chips in auto's en betaalterminals — moet worden omgezet. Vergelijkbare, veel kleinere overstappen in het verleden (zoals het uitfaseren van het verouderde hash-algoritme SHA-1) namen al meer dan tien jaar in beslag. De Amerikaanse veiligheidsdienst NSA heeft met zijn CNSA 2.0-richtlijn een concreet tijdpad neergezet voor overheids- en defensiesystemen, met als uiteindelijk streven een vrijwel volledige overstap ergens rond 2033 — al is dit een beleidsdoel, geen technische garantie.

De tweede ontwikkeling is de dreiging: hoe dicht staan we bij een kwantumcomputer die daadwerkelijk RSA of ECC kan kraken? Hier is veel meer onzekerheid. Huidige kwantumcomputers hebben orden van grootte honderden tot ruim duizend fysieke qubits (de kwantumequivalent van een bit), terwijl schattingen voor het kraken van bijvoorbeeld RSA-2048 uitgaan van vele miljoenen foutbestendige qubits — een drempel die nog niet in zicht is. De aankondiging van Google's Willow-chip in december 2024 was vooral een doorbraak op het gebied van foutcorrectie (het onderdrukken van rekenfouten), niet een stap richting het breken van encryptie. IBM heeft een routekaart naar grootschalige, foutbestendige kwantumsystemen tegen het einde van dit decennium, maar dit soort planningen zijn in het verleden vaker naar achteren geschoven. Experts zijn het er niet over eens wanneer, of zelfs óf, een "cryptografisch relevante" kwantumcomputer er komt: schattingen lopen uiteen van ruim tien tot enkele decennia. Juist die onzekerheid is de reden waarom HNDL als reëel risico wordt behandeld: niemand kan uitsluiten dat het sneller gaat dan gedacht, en data die vandaag wordt onderschept, kan niet met terugwerkende kracht worden beschermd.

Wie werken eraan?

Aan de verdedigende kant loopt het Amerikaanse NIST voorop met zijn sinds 2016 lopende standaardisatietraject, met internationale wiskundigen als medeontwerpers van de gekozen algoritmen. In Europa werkt het standaardisatie-instituut ETSI aan aanverwante specificaties, en cyberveiligheidsagentschappen zoals het Europese ENISA en het Nederlandse NCSC publiceren richtlijnen die organisaties oproepen hun cryptografie te inventariseren en migratieplannen te maken. Grote technologiebedrijven als Google, Apple, Microsoft, Amazon en Cloudflare, en de non-profit achter Signal, bouwen de nieuwe algoritmen inmiddels actief in hun producten.

Aan de kant van de dreiging — de ontwikkeling van kwantumcomputers zelf — investeren vooral de Verenigde Staten en China zwaar, samen met de Europese Unie. Bedrijven als Google, IBM en IonQ behoren tot de bekendste namen in de race om steeds grotere en stabielere kwantumsystemen te bouwen. Deze bedrijven werken overigens niet aan het kraken van cryptografie als doel op zich; hun onderzoek naar kwantumcomputers voor bijvoorbeeld scheikunde en logistiek is precies de reden waarom deze techniek toch relevant wordt voor cryptografie.