Quantencomputer-Risiko: Wie es die Bitcoin-Kryptografie beeinflussen könnte

Das Quantencomputer-Risiko bezeichnet die Möglichkeit, dass ein ausreichend großer und zuverlässiger Quantencomputer die Kryptografie schwächen könnte, auf der Bitcoin beruht. Ein Quantencomputer ist eine Maschine, die mithilfe der Quantenphysik bestimmte Probleme deutlich schneller lösen kann als heutige Computer. Kryptografie ist die Mathematik, mit der Bitcoin überprüft, wer BTC ausgeben darf, und mit der die Blöcke miteinander verknüpft werden.

Welche Quantenalgorithmen sind für Bitcoin relevant?

Für Bitcoin sind vor allem zwei Quantenalgorithmen relevant: der Shor-Algorithmus und der Grover-Algorithmus. Ein Algorithmus ist eine feste Abfolge von Schritten zur Lösung eines Problems.

Was bewirkt der Shor-Algorithmus bei Bitcoin-Signaturen?

Der Shor-Algorithmus könnte es einem ausreichend großen und zuverlässigen Quantencomputer ermöglichen, aus dem zugehörigen öffentlichen Schlüssel einen privaten Bitcoin-Schlüssel abzuleiten. Wer einen solchen Computer betreibt, könnte dann im Namen des Schlüsselinhabers signieren.

Ein privater Schlüssel ist die geheime Zahl, die digitale Signaturen erzeugt, welche belegen, dass der Inhaber eine Ausgabe autorisiert hat. Bitcoin verwendet den Elliptic Curve Digital Signature Algorithm (ECDSA) oder Schnorr-Signaturen. Ein privater Bitcoin-Schlüssel ist eine 256-Bit-Zahl, das heißt, er wird mit 256 Bit dargestellt, wobei ein Bit eine Ziffer ist, die entweder 0 oder 1 sein kann.

Ein öffentlicher Schlüssel ist der mitteilbare Wert, der aus dem privaten Schlüssel durch eine Einwegberechnung ermittelt wird. Eine elliptische Kurve ist eine durch eine Gleichung definierte Kurve, und die Schlüsselberechnung erfolgt auf ihren Punkten. Die Signaturen von Bitcoin nutzen eine elliptische Kurve namens secp256k1.

Auf einer elliptischen Kurve beschreibt das diskrete Logarithmusproblem die Aufgabe, einen privaten Schlüssel zu finden, wenn nur der zugehörige öffentliche Schlüssel bekannt ist. Auf klassischen Computern, also Computern ohne Quanteneffekte, ist dieses Problem so konzipiert, dass es praktisch nicht lösbar ist. Der Shor-Algorithmus ist ein Quantenalgorithmus, der dieses Problem auf einem ausreichend großen Quantencomputer in einer Anzahl von Schritten löst, die mit zunehmender Schlüssellänge nur moderat wächst.

Was bewirkt der Grover-Algorithmus beim Bitcoin-Hashing?

Der Grover-Algorithmus könnte die Suche nach einer Eingabe, die einen bestimmten Bitcoin-Hash erzeugt, auf etwa die Quadratwurzel der ursprünglichen Schrittanzahl reduzieren. Die Quadratwurzel einer Zahl ist jene Zahl, die mit sich selbst multipliziert die ursprüngliche Zahl ergibt – die Quadratwurzel von 1 Million ist also 1.000.

Der Grover-Algorithmus ist ein Quantenalgorithmus, der eine unstrukturierte Menge von N Elementen in etwa der Quadratwurzel von N Schritten durchsucht. Eine unstrukturierte Menge besitzt keine ausnutzbare Ordnung, weshalb eine klassische Suche die Elemente einzeln prüfen muss und dafür etwa N geteilt durch 2 Schritte benötigt. Die Reduktion von N Schritten auf die Quadratwurzel von N Schritten nennt man eine quadratische Beschleunigung.

Eine Hashfunktion ist eine Funktion, die eine Eingabe beliebiger Länge in eine Ausgabe fester Größe, den sogenannten Hash, umwandelt. SHA-256 ist eine Hashfunktion mit einer 256-Bit-Ausgabe, auf die sich Bitcoin beim Block-Hashing, bei Transaktions-IDs und bei Adressen mit einem einzelnen Schlüssel stützt. Eine Eingabe zu finden, die einen bestimmten Hash erzeugt, ist eine Suche, da eine Hashfunktion so konzipiert ist, dass sie nur vorwärts, nicht aber rückwärts berechnet werden kann.

Ein 256-Bit-Hash hat 2 hoch 256 mögliche Ausgaben, eine Zahl mit 78 Stellen. In der einfachsten Betrachtung ist die Quadratwurzel von 2 hoch 256 gleich 2 hoch 128, sodass eine quadratische Beschleunigung eine solche Suche auf etwa 2 hoch 128 Schritte reduzieren könnte – der Aufwand sinkt damit, verschwindet aber nicht vollständig.

Eine Standardisierungsorganisation weist darauf hin, dass der Grover-Algorithmus seine volle Beschleunigung nur entfaltet, wenn die Schritte in einer langen, nacheinander ablaufenden Berechnung ausgeführt werden – was schwer umzusetzen ist. Angriffe, die auf viele Maschinen verteilt werden, profitieren daher weniger stark.

Können Quantencomputer Bitcoin knacken?

Quantencomputer könnten die Signaturen von Bitcoin knacken, wenn einer groß und zuverlässig genug würde, um den Shor-Algorithmus auf einer 256-Bit-elliptischen-Kurve auszuführen. Die Antwort hängt von Größe und Zuverlässigkeit der Maschine ab – es ist also keine einfache Ja-oder-Nein-Frage.

Ein Qubit ist das Quantenpendant zu einem Bit: Während ein Bit entweder 0 oder 1 ist, kann ein Qubit auch eine Kombination beider Zustände annehmen. Ein physisches Qubit ist ein tatsächliches Hardware-Qubit.

Eine zuletzt im Mai 2026 aktualisierte Seite einer Standardisierungsorganisation beschreibt die dort behandelten Maschinen als Systeme mit Hunderten miteinander verbundenen Qubits, bei denen etwa bei jeder 1.000sten Operation ein Fehler auftritt. Eine Operation ist ein einzelner Schritt, den eine Maschine an ihren Qubits ausführt.

Eine 2022 in einer Fachpublikation veröffentlichte Schätzung beziffert die für das Knacken eines 256-Bit-Schlüssels auf einer elliptischen Kurve nötige Maschine auf etwa 317 Millionen physische Qubits, falls der Angriff innerhalb von 1 Stunde abgeschlossen sein muss, beziehungsweise auf etwa 13 Millionen, falls er 1 Tag dauern darf. Die Schätzung geht von einer Fehlerrate von etwa 1 zu 1.000 Operationen aus und, im Fall der 1-Stunden-Variante, von einer Zykluszeit von 1 Mikrosekunde. Ein Zyklus ist eine sich wiederholende Runde der Operationen einer Maschine, und eine Mikrosekunde ist ein Millionstel einer Sekunde.

Eine 2023 in einer Fachpublikation veröffentlichte Schätzung beziffert die für das Knacken eines 256-Bit-Schlüssels auf einer elliptischen Kurve – durch Berechnung seines diskreten Logarithmus mit dem Shor-Algorithmus – nötige Maschine auf 126.133 Cat-Qubits, die etwa 9 Stunden laufen müssten. Die Schätzung geht von Cat-Qubits aus, einem Qubit-Design mit eingebautem Fehlerschutz, sowie von einer Zykluszeit von 500 Nanosekunden, also einer halben Mikrosekunde.

Die beiden Schätzungen beruhen auf unterschiedlichen Qubit-Designs, weshalb ihre Qubit-Zahlen nicht direkt vergleichbar sind. Die Schätzungen unterscheiden sich zudem in Zykluszeit und erlaubter Laufzeit, und es wird nicht angegeben, in welchem Umfang jede dieser Annahmen zum Unterschied beiträgt. Dieser Beitrag vergleicht keine der beiden Schätzungen mit der oben beschriebenen Maschine.

Stand Oktober 2026 berichten neuere Schätzungen, veröffentlicht als Preprints ohne Peer-Review, von kleineren Maschinen als den Werten aus 2022 und 2023 – diese Zahlen stellen also keine feste Obergrenze dar. Weder die Schätzung von 2022 noch die von 2023 nennt einen Zeitpunkt, zu dem ein Quantencomputer der jeweils beschriebenen Größe existieren könnte, und auch diese Definition nennt kein Datum.

Welche Bitcoin-Komponenten beruhen auf Signaturen und welche auf Hashes?

Signaturen und Schlüssel beruhen auf der Mathematik elliptischer Kurven, während Adressen mit einem einzelnen Schlüssel, Blockverknüpfungen und der Proof of Work auf Hashfunktionen beruhen. Proof of Work ist das System, bei dem Miner Rechenaufwand betreiben, um einen Block zu erzeugen, den andere Computer überprüfen können. Ein Output ist ein BTC-Betrag, der durch eine Bedingung gesperrt ist, üblicherweise eine Signatur mit einem Schlüssel.

Komponente	Beruht auf	Auswirkung des jeweiligen Algorithmus
Transaktionssignaturen (ECDSA und Schnorr)	Dem diskreten Logarithmusproblem auf elliptischen Kurven	Shor-Algorithmus: Ein ausreichend großer Quantencomputer könnte aus einem öffentlichen Schlüssel einen privaten Schlüssel ableiten.
Outputs, die einen öffentlichen Schlüssel direkt enthalten	Demselben Problem, wobei der öffentliche Schlüssel direkt im Output gespeichert ist	Shor-Algorithmus: Ein ausreichend großer Quantencomputer könnte den privaten Schlüssel aus dem öffentlichen Schlüssel ableiten, der im Output bereits sichtbar ist.
Adressen mit einem einzelnen Schlüssel, die aus einem Hash eines öffentlichen Schlüssels gebildet werden	SHA-256, dann RIPEMD-160 (eine zweite Hashfunktion), und schließlich einer Signatur, sobald der Output ausgegeben wird	Grover-Algorithmus: eine quadratische Beschleunigung bei der Suche nach einer Eingabe zu einem bestimmten Hash.
Proof of Work und Blockverknüpfungen	Zweifach angewendetem SHA-256	Grover-Algorithmus: eine quadratische Beschleunigung für Suchen im Allgemeinen, wobei die volle Beschleunigung eine lange, sequenzielle Berechnung erfordert.

Welche öffentlichen Schlüssel sind offengelegt, und was ändert das?

Ein offengelegter öffentlicher Schlüssel ist ein öffentlicher Schlüssel, der auf der Blockchain sichtbar ist, dem öffentlichen Verzeichnis der Bitcoin-Transaktionen. Ein öffentlicher Schlüssel wird sichtbar, sobald ein Output ausgegeben wird, da die Daten, die einen Legacy- oder SegWit-Version-0-Output mit einem einzelnen Schlüssel freigeben, den vollständigen öffentlichen Schlüssel enthalten.

Ein Pay-to-Public-Key-Output, ein älterer Output-Typ, speichert den öffentlichen Schlüssel direkt im Output selbst. Ein Taproot-Output, ein im November 2021 bei Bitcoin eingeführter Typ, speichert ebenfalls den öffentlichen Schlüssel direkt im Output. Pay-to-Public-Key- und Taproot-Outputs zeigen den Schlüssel daher von dem Moment an, in dem sie existieren.

Eine Legacy- oder SegWit-Version-0-Adresse mit einem einzelnen Schlüssel, die erst einmal BTC empfangen hat, hält ihren öffentlichen Schlüssel gehasht, bis die an sie gesendeten Mittel erstmals ausgegeben werden.

Ein Quantenangriff, also ein auf einem Quantencomputer ausgeführter Angriff, muss aus einem öffentlichen Schlüssel einen privaten Schlüssel ableiten. Bei einem bereits sichtbaren Schlüssel muss ein solcher Angriff nicht erst auf eine Ausgabe warten.

Nodes sind Computer, die sich mit dem Bitcoin-Netzwerk verbinden und Blöcke überprüfen. Ein Mempool ist der Wartebereich, in dem Nodes Transaktionen vorhalten, die noch in keinem Block enthalten sind. Bei einem hinter einem Hash verborgenen Schlüssel erscheint dieser erst, wenn sein Besitzer eine Ausgabe sendet, und ein Quantenangriff auf diesen Schlüssel könnte frühestens ab diesem Zeitpunkt beginnen, während die Transaktion im Mempool wartet.

Was würde Bitcoin quantenresistent machen?

Bitcoin würde als quantenresistent gelten, wenn es Post-Quanten-Kryptografie einführen würde. Post-Quanten-Kryptografie ist Kryptografie, die darauf ausgelegt ist, Angriffen durch Quantencomputer standzuhalten. Quantenresistenz ist ein Entwurfsziel, kein Beweis.

Im August 2024 veröffentlichte eine Standardisierungsorganisation ihre ersten Post-Quanten-Standards: einen für den Schlüsselaustausch, der es zwei Parteien ermöglicht, sich auf einen gemeinsamen geheimen Schlüssel zu einigen, sowie zwei für digitale Signaturen. Die beiden Signaturstandards sind nach der verwendeten Mathematik benannt – einer für gitterbasierte Signaturen und einer für hashbasierte Signaturen. Dieselbe Standardisierungsorganisation beschreibt ihren gitterbasierten Signaturstandard als voraussichtlich widerstandsfähig selbst gegenüber einem großskaligen Quantencomputer.

Die Post-Quanten-Standards von 2024 sind allgemeiner Natur: Sie wurden nicht für Bitcoin geschrieben und sind nicht Teil der Bitcoin-Regeln. Eine Änderung der Bitcoin-Regeln erfolgt entweder als Soft Fork, den nicht aktualisierte Nodes weiterhin akzeptieren, oder als Hard Fork, den sie ablehnen können.

Stand Oktober 2026 sind die für diesen Beitrag geprüften Vorschläge für Bitcoin nicht übernommen, und mindestens einer davon ist ein Vorschlag, über einen Soft Fork einen neuen Output-Typ – eine neue Art, BTC zu sperren – einzuführen.