Grundsätzlich wird der Einsatz eines hybriden IKEv2-Schlüsselaustausch zum aktuellen Zeitpunkt empfohlen. Dazu wird ein klassisches Verfahren z. B. mit einem postquantenresistenten ML-KEM-Verfahren kombiniert. Für ein Sicherheitsniveau von etwa 128 Bit bietet sich die Kombination aus ECP256 (DH-Gruppe 19) oder X25519 (DH-Gruppe 31) und ML-KEM-768 an. Für höhere Sicherheitsanforderungen kann ECP384 (Gruppe 20) zusammen mit ML-KEM-1024 verwendet werden. Ältere MODP-Gruppen (z. B. DH14) sollten nur aus Kompatibilitätsgründen eingesetzt werden. Die konkrete Auswahl ist anhand der aktuellen BSI-Empfehlungen, des Schutzbedarfs und der von der Gegenstelle unterstützten Verfahren zu treffen.
Die Kombination aus klassischem DH und ML-KEM schützt zunächst den Schlüsselaustausch. Sie macht nicht automatisch die gesamte IKEv2-Authentisierung quantenresistent. Werden beispielsweise klassische RSA- oder ECDSA-Signaturen für Zertifikate verwendet, können diese langfristig weiterhin durch Quantencomputer gefährdet sein. Neuere Verfahren, z. B. für die Zertifikatsbasierte Authentifizierung, befinden sich bei der IETF in der Standardisierungsphase.
Es ist grundsätzlich möglich, den Schlüsseltausch mit Post-quantum Preshared Keys nach RFC 8784 zu kombinieren.
