In den vergangenen Monaten hat sich Bitcoins langjährige Sorge um „Quantenresistenz“ von einer akademischen Neugier zu einem Thema praktischen Risikomanagements entwickelt. Christopher Wood von Jefferies entfernte Bitcoin wegen Quantenrisiken aus seinem langfristigen Modellportfolio.
Coinbase stellte ein „Independent Advisory Board on Quantum Computing and Blockchain“ auf. In der technischen Community wurde BIP 360 (ein quantenresistenter Output-Typ) als Entwurf in das offizielle BIP-Repository gemerged, und Blockstream sendete die ersten post-quanten-signierten Transaktionen auf einer produktiven Sidechain.
Seitdem hat sich die zeitliche Verdichtung nur noch beschleunigt. Am 25. März 2026 kündigte Google an, dass alle seine Systeme bis 2029 auf Post-Quanten-Kryptografie migrieren müssen. Drei Arbeiten, die zwischen Mai 2025 und März 2026 veröffentlicht wurden, senkten die geschätzten Qubit-Kosten zum Brechen von Public-Key-Kryptografie um etwa drei Größenordnungen – von rund 20 Millionen physikalischen Qubits auf potenziell weniger als 100.000.
Ein Paper von Google Quantum AI vom März 2026 schätzte, dass elliptische-Kurven-Kryptografie mit weniger als 500.000 physikalischen Qubits in Minuten gebrochen werden könnte; Google hielt die Angriffsschaltungen zurück und veröffentlichte nur einen Zero-Knowledge-Beweis des Ergebnisses. Ein Team von Caltech/Oratomic schlug vor, dass etwa 26.000 rekonfigurierbare atomare Qubits ECC‑256 in rund zehn Tagen brechen könnten. Die Lücke zwischen „Laborneugier“ und „kryptografischer Bedrohung“ schließt sich von beiden Seiten, mit gleichzeitiger algorithmischer Verdichtung und Hardwareskalierung.
Um die Bedrohung zu verstehen, hilft es zu betrachten, was Quantencomputer können und was nicht. Sie „probieren nicht alle Schlüssel parallel aus“. Shors Algorithmus liefert exponentielle Beschleunigungen für diskrete Logarithmen und Faktorisierung – die Probleme, auf denen elliptische-Kurven- und RSA-Kryptografie beruhen –, während symmetrische Kryptografie und Hashfunktionen nur eine Quadratwurzelbeschleunigung durch Grovers Algorithmus erleiden, die sich mit größeren Parametern ausgleichen lässt.
„Quanten bricht Kryptografie“ ist sowohl wahr als auch irreführend: Angegriffen werden Primitive, deren Sicherheit auf Gruppenstrukturproblemen beruht, nicht ein wahlloses Brute-Force-Wunder. Post-Quanten-Kryptografie existiert bereits und ist heute einsetzbar; NIST hat Standards (ML-KEM, ML-DSA, SLH-DSA) ausdrücklich zur Unterstützung der Migration weg von ECC/RSA finalisiert.
Speziell in Bitcoin liegt die Gefahr bei den Signaturen: Wenn ein Angreifer deinen öffentlichen Schlüssel sehen kann, kann Shors Algorithmus den privaten Schlüssel rekonstruieren. Bei Pubkey-Hash-Adressen (P2PKH/P2WPKH) wird der öffentliche Schlüssel erst beim Ausgeben offengelegt; das Hauptproblem ist Adresswiederverwendung. Taproot-Outputs (P2TR) und alte Pay-to-Pubkey-Outputs zeigen den öffentlichen Schlüssel jedoch bereits bei der Erstellung, ganz ohne Ausgabe. BIP 360s Pay-to-Merkle-Root (P2MR) adressiert dies direkt: ein Taproot-ähnlicher Output-Typ, der niemals einen öffentlichen Schlüssel on-chain legt.
Die Priorität besteht nicht darin, Bitcoins Post-Quanten-Geschichte auf dem Papier zu perfektionieren, sondern jetzt mit der Migration der Nutzer zu beginnen. Nutzer sollten einen post-quantenfesten Ausgabepfad neben ihrem bestehenden elliptischen-Kurven-Pfad anhängen können. In Friedenszeiten verwenden sie weiterhin Schnorr/ECDSA; der Post-Quanten-Schlüssel bleibt ungenutzt. Wenn eine „klare und gegenwärtige Gefahr“ auftaucht, kann das Netzwerk elliptische-Kurven-Signaturen abwerten, ohne Jahre auf eine Massenmigration warten zu müssen. Es muss nicht das endgültige Schema sein – nimm jetzt etwas Konservatives, verbessere es später. Die Migrationsuhr wird in Adoption gemessen, nicht in technischer Schwierigkeit.
Meiner Ansicht nach sollte Bitcoin für diesen Notausgang Hash-basierte Signaturen wählen. Nicht, weil Gitter (ML-DSA) schlecht wären, sondern weil Hash-basiert dem „so sicher wie möglich“ in der Kryptografie am nächsten kommt: minimale Struktur, minimale Magie, minimaler Raum für Hintertüren. Es ist außerdem überraschend leicht zu prüfen und zu verstehen, was gut zu Bitcoins Ethos passt.
SPHINCS+ (SLH-DSA) ist die Standardwahl, erzeugt aber recht große Signaturen von rund 8 kB, um „Zustandslosigkeit“ zu erreichen. Bitcoin braucht diese Eigenschaft eigentlich nicht. Das UTXO-Modell ist inhärent „use-and-discard“; systematische Adresswiederverwendung war nie Teil des Designs und die Infrastruktur unterstützt das gut. Zustandsbehaftete Schemata wie XMSS erzeugen deutlich kleinere Signaturen (rund 2,5 kB), und das Ausgabemodell von Bitcoin passt natürlich zu dieser Einschränkung.
Die SHRINCS-Konstruktion von Blockstream Research bietet beides: einen zustandsbehafteten Primärmodus mit einem zustandslosen SLH-DSA-Fallback, falls du den Zustand verlierst. Jonas Nicks SHRIMPS-Erweiterung löst das Signieren über mehrere Geräte. Beide sind rein Hash-basiert und laufen bereits auf Liquid.
Wenn ein glaubwürdiger „Shor ist da“-Schwellenwert überschritten wird, besteht die erste Aufgabe darin, irreversible Diebstähle zu stoppen, nicht jeden Legacy-Output zu retten. Der sicherste Standard ist ein Not-Aus-Schalter: elliptische-Kurven-Signaturen auf Konsensebene nicht mehr ausgebbar machen. Eine temporäre Sperre ist rückgängig zu machen; ein Quantendiebstahl nicht. Für Outputs, bei denen der öffentliche Schlüssel nie offengelegt wurde, könnte ein ZK-Beweis (z. B. ein STARK) dem rechtmäßigen Eigentümer erlauben, die Kenntnis des Entsperrzeugnisses nachzuweisen, ohne den Schlüssel zu enthüllen. Für bereits offengelegte Schlüssel stützt sich jede plausible Rettung auf ein zusätzliches Geheimnis wie den Seed einer HD-Wallet. Coins ohne einen dieser Wege – ruhende Coins, frühe Coins, Satoshis Coins – blieben gesperrt. Lieber „immer noch verloren“ als „jetzt gestohlen“.
Ein Paper von StarkWare vom April 2026 zeigt, dass quantensichere Bitcoin-Transaktionen heute unter bestehenden Konsensregeln möglich sind. Es ist eine wirklich clevere Konstruktion, aber leider legt die Reaktion darauf ein echtes Problem in der Bitcoin-Community offen. Dieser Trick ist weitgehend unpraktisch und kein Ersatz für einen Softfork, doch die Abneigung dagegen, überhaupt etwas zu tun, ist so tief verankert, dass er bereits als Argument dient, den „alles-einfach-fixen“-Schalter nicht umzulegen.
Verpass jedem eine Schwimmweste. Denk nicht zu viel nach. Das Schwierige ist nicht die Kryptografie; es ist, Millionen von Nutzern sowie jede Wallet, jeden Verwahrer, jede Börse und jedes Signiergerät zur Migration zu bewegen. Dies ist der Ansatz, den Tezos verfolgt: Behandle Post-Quanten-Bereitschaft als zwei Spuren (Migration der Nutzerschlüssel vs. Protokollkryptografie), lass Nutzer jetzt einen post-quantenfesten Backup-Schlüssel anhängen und depreziere elliptische-Kurven-Signaturen später, falls sich die Bedrohung materialisiert. Starte die soziale Migration, solange kein Zeitdruck besteht, denn Zeitdruck ist der Moment, in dem Ökosysteme Fehler machen. Zieh zuerst die Schwimmwesten an; diskutiere das Bootsdesign später.