Bitcoin vererben mit Taproot: Miniscript, Vaults und Zeitschlösser

Über Taproot wird meist in der Vergangenheitsform geschrieben. Das Upgrade ging am 14. November 2021 bei Block 709.632 live und gilt seither als Bitcoins letzte große, erfolgreich aktivierte Konsensänderung (CoinDesk). Was in den fünf Jahren danach die Schlagzeilen füllte, waren Ordinals, Runes, der Streit um OP_RETURN und die Frage, wann ein Quantencomputer die Signaturen knackt. Eine ganze Hälfte von Taproot blieb dabei fast unbemerkt: der Skriptpfad, also die Fähigkeit, Bitcoin an Bedingungen zu knüpfen, die weit über „eine Unterschrift genügt“ hinausgehen.

Diese Hälfte wird 2026 aus einem unbequemen Grund wichtig. Analysten von Chainalysis schätzen, dass zwischen 2,3 und 3,7 Millionen Bitcoin dauerhaft verloren sind, und die frühen Halter sind heute in ihren Vierzigern und Fünfzigern (CryptoSlate). Die Branche spricht offen von einer Erbe-Zeitbombe. Ein juristisch sauberes Testament nützt wenig, wenn niemand an die privaten Schlüssel kommt, denn ein Gericht kann keinen Bitcoin bewegen, nur ein Schlüssel kann das.

Der Skriptpfad von Taproot liefert darauf eine Antwort, die ohne Verwahrer und ohne einen weiteren Soft Fork auskommt. In Kombination mit einer Beschreibungssprache namens Miniscript und mit Zeitschlössern, die direkt in der Blockchain ticken, lässt sich Verwahrung programmieren: Coins, die nach einem Jahr Inaktivität an einen Erben fallen, ein Multisig, das mit der Zeit einfacher wird, ein Recovery-Pfad, der niemandem vorab Kontrolle gibt. Dieser Report erklärt, wie das technisch funktioniert, welche Wallets es heute können, wo die Grenze zu echten Vaults verläuft und wie BaFin und deutsches Erbrecht dazu stehen.

Taproots vergessene Hälfte: der Skriptpfad

Jeder Taproot-Output, jede Adresse mit dem Präfix bc1p, hat zwei Gesichter. Das eine ist der Schlüsselpfad: eine einzige Schnorr-Signatur genügt, und für einen Beobachter der Blockchain sieht die Ausgabe aus wie jede andere gewöhnliche Zahlung. Das war die Werbebotschaft von 2021, und mit MuSig2 lässt sich daraus sogar ein Multisig bauen, das nach außen wie eine Einzelunterschrift wirkt. Das ist die stille, elegante Seite von Taproot, und sie hat auf HOGE Wire bereits eine eigene Betrachtung bekommen.

Das zweite Gesicht ist der Skriptpfad. Hinter derselben bc1p-Adresse kann ein ganzer Baum von Ausgabebedingungen liegen, von denen bei einer Ausgabe nur genau eine offengelegt wird. Dieser Baum, technisch ein MAST (Merkelized Alternative Script Tree), ist der Ort, an dem Bitcoin programmierbar wird, ohne dass ein zweiter Layer, ein fremdes Netzwerk oder ein Treuhänder nötig wäre. Wer über den Schlüsselpfad ausgibt, verrät nichts über die anderen Zweige des Baums; wer über den Skriptpfad ausgibt, deckt nur das eine genutzte Blatt auf und lässt den Rest verborgen.

Fünf Jahre lang stand vor allem der Schlüsselpfad im Rampenlicht, meist wegen Ordinals und Runes, die den Skriptpfad zwar intensiv nutzten, aber für etwas anderes als das, wofür er gedacht war. Die eigentliche Idee, komplexe und trotzdem prüfbare Ausgabebedingungen, ist erst 2026 in der breiten Praxis angekommen. Der Auslöser ist unromantisch: Immer mehr Coins liegen auf Adressen, deren Eigentümer sie nicht mehr bewegen können oder eines Tages nicht mehr bewegen werden. Der Skriptpfad ist die Bitcoin-eigene Antwort darauf.

Was Tapscript und MAST technisch möglich machen

Taproot besteht aus drei zusammengehörigen Vorschlägen: BIP-340 führte Schnorr-Signaturen ein, BIP-341 definierte den Taproot-Output-Typ P2TR samt MAST, und BIP-342, genannt Tapscript, überarbeitete die Skriptsprache für den Skriptpfad. Der letzte Punkt ist der entscheidende für programmierbare Verwahrung, und er tut mehr, als die meisten Zusammenfassungen erwähnen.

Tapscript ersetzt das alte OP_CHECKMULTISIG, das schlecht mit Schnorr zusammenspielte, durch OP_CHECKSIGADD (Opcode 186), das Signaturprüfungen zählt statt sie in einem Block abzuarbeiten (BIP-342). Vor allem aber hebt Tapscript zwei harte Grenzen auf: Das bisherige Limit von 10.000 Byte pro Skript gilt im Skriptpfad nicht mehr, und das Limit von 201 Nicht-Push-Opcodes ebenfalls nicht. An ihre Stelle tritt ein Sigops-Budget von 50 plus der Größe des Witness in Bytes, von dem jede Signaturprüfung 50 abzieht. Diese Änderungen klingen technisch, sind aber die Voraussetzung dafür, dass ein Skript mehrere Erben, gestaffelte Zeitschlösser und Fallback-Pfade in einem einzigen Blatt unterbringen kann, ohne an eine Größengrenze zu stoßen.

MAST sorgt dafür, dass diese Komplexität nichts kostet, solange man sie nicht braucht. Der Baum aus Ausgabebedingungen wird zu einer einzigen Adresse zusammengefasst. Bei einer Skriptpfad-Ausgabe wird nur das genutzte Blatt offengelegt, zusammen mit einem sogenannten Control Block, der den internen Schlüssel und pro Baumebene 32 Byte an Beweisdaten enthält. Ein Baum mit einem Dutzend Erbregelungen zeigt beim Ausgeben also nur die eine, die tatsächlich angewendet wird. Der Rest, inklusive der Namen und Schlüssel aller anderen Beteiligten, bleibt für immer verborgen.

Vor Taproot war das anders. Ein klassisches P2SH- oder P2WSH-Multisig legte beim Ausgeben stets das gesamte Skript offen, also jede Bedingung und jeden beteiligten Schlüssel, egal welcher Zweig genutzt wurde. Ein Erbplan mit mehreren Fallback-Optionen verriet damit von Anfang an seine komplette Struktur, sobald man ihn zum ersten Mal nutzte. Taproot und MAST drehen das um: Was man nicht braucht, sieht niemand. Für Verwahrungslogik, die naturgemäß viele selten genutzte Notpfade enthält, ist das der eigentliche Fortschritt.

Miniscript: Skripte, die man lesen und prüfen kann

Bitcoin Script von Hand zu schreiben ist gefährlich. Ein falsch gesetzter Opcode kann Coins unausgebbar machen, und es gibt kein Rückgängig. Genau dieses Problem löst Miniscript, eine strukturierte, analysierbare Teilmenge von Script, die Pieter Wuille, Andrew Poelstra und Sanket Kanjalkar 2019 vorstellten (CoinDesk). Statt roher Opcodes schreibt man eine lesbare Ausgaberichtlinie, eine sogenannte Policy, die zu Miniscript und dann zu nativem Script kompiliert wird. Aus einem Satz wie „zwei von drei Schlüsseln, oder nach einem Jahr ein einzelner Recovery-Schlüssel“ wird deterministisch ein korrektes Skript.

Wuille beschrieb 2019 ein einfaches Beispiel, ein Skript, das „permits A to take the coins at any time, and B after one day“, und betonte, dass umfangreiche Zufallstests bestätigt hätten, dass die Sprache mit den bestehenden Konsens- und Standardregeln kompatibel ist. Genau diese Prüfbarkeit ist der Punkt: Eine Wallet kann für ein Miniscript maschinell feststellen, ob es überhaupt ausgabefähig ist, wie groß der Witness maximal wird und welche Schlüssel wann gebraucht werden. Ohne diese Analyse wären mehrstufige Erbschafts- und Recovery-Skripte in der Praxis zu riskant, um sie echten Ersparnissen anzuvertrauen.

Miniscript ist als BIP-379 spezifiziert, an dem unter anderem Antoine Poinsot und Ava Chow mitgearbeitet haben, und es ist längst kein Papier mehr. Bitcoin Core hat Miniscript in P2WSH-Deskriptoren mit Version 24.0 teilweise und mit Version 26.0 im Dezember 2023 vollständig aufgenommen, inklusive Unterstützung innerhalb von Taproot über tr()-Deskriptoren (Bitcoin Core, descriptors.md). Auch Ledger hat Miniscript in seine Geräte gebracht (Ledger). Damit ist die Sprache, die Erbschaft und Recovery erst praktikabel macht, in der Standardsoftware angekommen.

Zeitschlösser: die Uhr in der Blockchain

Der zweite Baustein neben Signaturen sind Zeitschlösser, und Bitcoin kennt zwei Sorten. Ein absolutes Zeitschloss über OP_CHECKLOCKTIMEVERIFY (BIP-65) bindet eine Ausgabe an einen festen Zeitpunkt oder eine feste Blockhöhe: nicht vor dem 1. Januar 2030, nicht vor Block 1.100.000. Ein relatives Zeitschloss über OP_CHECKSEQUENCEVERIFY (BIP-112 zusammen mit BIP-68) misst dagegen die Zeit ab dem Moment, in dem die Coins zuletzt empfangen wurden.

Der Unterschied ist für Erbschaft entscheidend. Ein relatives Zeitschloss startet seine Uhr bei jedem Empfang neu und wird bei jeder Ausgabe zurückgesetzt. Wer seine Coins regelmäßig bewegt oder auch nur zu einer frischen Adresse innerhalb der eigenen Wallet schickt, setzt die Uhr damit immer wieder auf null. Genau das ist die Grundlage für einen sogenannten Toten-Mann-Schalter: Solange der Eigentümer aktiv ist und seine Coins von Zeit zu Zeit anfasst, wird der Recovery-Pfad nie scharf. Erst wenn ein Jahr oder mehr keine Bewegung stattfindet, weil der Eigentümer verstorben oder handlungsunfähig ist, öffnet sich der Zweig für den Erben.

In Blockhöhen gerechnet entsprechen rund 52.560 Blöcke etwa einem Jahr und 26.280 Blöcke etwa einem halben Jahr, weil im Schnitt alle zehn Minuten ein Block entsteht. Relative Zeitschlösser haben allerdings eine Obergrenze von rund 65.535 Blöcken, also etwa fünfzehn Monaten; wer längere Fristen will, kombiniert relative und absolute Zeitschlösser oder staffelt mehrere Stufen. Wichtig ist, dass diese Uhr nicht von einem Server oder einer App abhängt, sondern von den Konsensregeln des Netzwerks selbst. Kein Anbieter kann sie manipulieren, abschalten oder vorziehen.

Das verlorene Drittel: warum 2026 zum Erbe-Jahr wird

Warum jetzt? Weil die Zahlen unbequem geworden sind. Zu den geschätzt 2,3 bis 3,7 Millionen dauerhaft verlorenen Bitcoin kommt ein zweiter, subtilerer Trend. Fidelity Digital Assets hat auf Basis von Glassnode-Daten gezeigt, dass die sogenannte ancient supply, also Coins, die seit über zehn Jahren nicht bewegt wurden, inzwischen schneller wächst, als neue Coins geschürft werden (Fidelity Digital Assets). Nach dem Halving von 2024 entstehen rund 450 BTC pro Tag, während täglich mehr als 566 BTC in die Zehn-Jahre-Kategorie hineinaltern.

BitGo hat dasselbe Phänomen als unsichtbaren Schwund beschrieben: Wenn man die verlorenen und die scheinbar dauerhaft ruhenden Bestände abzieht, liegt der effektiv verfügbare Umlauf eher bei 15,8 bis 17,5 Millionen als bei den nominell geschürften rund 20 Millionen BTC (BitGo). Ein Teil davon ist Satoshis unberührter Bestand, ein Teil sind verlegte Schlüssel aus der Frühzeit. Der wachsende Teil aber ist demografisch: Wer 2013 dabei war und damals dreißig war, ist heute in den Vierzigern, und die Kohorte altert weiter.

CryptoSlate hat das auf die Formel der Erbe-Zeitbombe gebracht, die 2026 zu ticken beginnt. Die Selbstverwahrungskultur, die Bitcoin stark gemacht hat, hat eine Kehrseite: Ein Schlüssel, den nur eine Person versteht, wird mit dem Tod dieser Person zu einem unbeweglichen Denkmal. Ein Seed-Wort in einem Bankschließfach hilft den Erben nur, wenn sie davon wissen, es finden und damit umgehen können, ohne selbst Opfer eines Diebstahls oder eines Fehlers zu werden. Genau hier setzt die programmierbare Verwahrung an.

Vererben ohne Verwahrer: der Recovery-Pfad

Das einfachste programmierbare Erbe kombiniert genau zwei der bisher beschriebenen Bausteine. In einem Blatt des Taproot-Baums steht: Der Eigentümer kann jederzeit mit seinem Schlüssel ausgeben. In einem zweiten Blatt steht: Nach zum Beispiel einem Jahr relativer Inaktivität kann ein Erbe mit seinem Schlüssel ausgeben. Solange der Eigentümer lebt und seine Coins gelegentlich anfasst, wird der zweite Zweig nie erreichbar. Fällt der Eigentümer aus, öffnet das Netzwerk den Recovery-Pfad von selbst.

Das ist keine Theorie. Die erste ausgelieferte Miniscript-Wallet war Liana von der Firma Wizardsardine, vorgestellt auf der Bitcoin-Konferenz 2023 in Miami. Ihr Mitgründer Antoine Poinsot, zugleich Bitcoin-Core-Entwickler, beschrieb das Prinzip in der Ankündigung so, dass man neben der Frage, wer ausgeben darf, nun auch definieren könne, wann jemand Zugriff erhält: „In addition to who can spend the funds, you can now define when they gain access“ (Wizardsardine). Die zugehörige Policy liest sich fast wie ein Satz: eine Signatur für den primären Schlüssel, oder ein Jahr warten und dann eine Signatur für den Recovery-Schlüssel.

Der entscheidende Vorteil gegenüber den üblichen Notlösungen liegt darin, dass niemandem vorab Kontrolle übergeben wird. Wer sein Seed-Wort einem Anwalt oder einem Familienmitglied gibt, muss dieser Person ab sofort vertrauen. Wer stattdessen einen zeitgeschlossenen Recovery-Pfad einrichtet, behält die alleinige Kontrolle, bis die Frist wirklich abläuft. Wizardsardine bringt das in seiner Analyse zur Nachlassplanung auf den Punkt: Zeitschlösser seien „very powerful as it does not require any trusted third parties“, während bei kollaborativer Verwahrung gelte, „the more parties involved, the broader the attack surface“ (Wizardsardine). Poinsot fasst das Ziel als eine schlankere Selbstverwahrung zusammen, die den Schwerpunkt darauf legt, „protecting against loss without degrading security“.

Verfallendes Multisig und die gestaffelte Übergabe

Der Recovery-Pfad ist nur der Anfang. Weil Miniscript beliebige Bedingungen kombinieren kann, lassen sich ganze Übergabepläne in ein Skript gießen. Das bekannteste Muster ist das verfallende Multisig: Eine Wallet verlangt heute drei von drei Schlüsseln, nach einem Jahr Inaktivität nur noch zwei von drei, später nur noch einen. Liana zeigt in seiner Dokumentation genau so ein Beispiel, in dem ein 3-von-3 zwischen mehreren Geräten mit der Zeit zu einem 2-von-3 und dann zu einem 1-von-3 wird und in dem am Ende Familienangehörige oder Notare allein unterschreiben können (GitHub, Liana). Der Sinn: Solange der Eigentümer fit ist, ist die Hürde hoch und diebstahlsicher; verliert er im Alter Schlüssel oder Fähigkeiten, sinkt die Hürde automatisch, ohne dass die Coins je unter fremde Kontrolle geraten.

Nunchuk hat dasselbe Prinzip in ein Abo-Produkt gegossen. Die Honey-Badger-Wallet ist ein assistiertes 2-von-4-Multisig mit einem zeitgeschlossenen Inheritance-Key, der erst zu einem vom Nutzer gewählten Datum verwendbar wird (Nunchuk). Mit Nunchuk 2.0 beschreibt die Firma ihre Lösung als erste assistierte Erbschaftslösung, die das Unternehmen überleben soll, das sie gebaut hat, weil die Durchsetzung über Miniscript und On-Chain-Zeitschlösser beim Netzwerk selbst liegt und nicht bei einem Server (Nunchuk). Selbst wenn Nunchuk verschwände, bliebe der Anspruch der Erben durchsetzbar.

Ein weiterer, oft übersehener Baustein ist die gestaffelte Verteilung. Standardmäßig geht bei einer Erbschaft alles auf einmal an eine Person, sobald der Plan auslöst. Nunchuk hat mit seinem Phased Rollout gezeigt, dass sich das aufteilen lässt, sodass unterschiedliche Erben zu unterschiedlichen Zeitpunkten oder in unterschiedlichen Anteilen Zugriff bekommen (Nunchuk). Auch das ist reines Miniscript, ausgedrückt in einem Baum aus Blättern, von denen jedes eine eigene Bedingung und ein eigenes Zeitschloss trägt.

Warum nicht einfach den Seed aufteilen?

Eine naheliegende Alternative zur programmierbaren Verwahrung ist das Aufteilen des Seeds. Das Verfahren Shamir Secret Sharing, in Hardware-Wallets als SLIP-39 umgesetzt und unter anderem von Trezor unterstützt, zerlegt ein Seed in mehrere Anteile, von denen eine festgelegte Mindestzahl den Seed wiederherstellt. Drei von fünf Anteilen etwa genügen, einzelne Anteile verraten nichts. Als Backup gegen den Verlust eines einzelnen Zettels ist das elegant.

Für die Erbschaft hat es jedoch zwei Schwächen, die der Skriptpfad nicht teilt. Erstens entsteht beim Zusammenführen der Anteile wieder ein einziger Seed; wer ihn rekonstruiert, hat sofort die volle und alleinige Kontrolle, ohne Zeitschloss, ohne Wartefrist, ohne dass das Netzwerk irgendetwas erzwingt. Zweitens ist Seed-Splitting ein reines Backup-Schema und kein Vererbungsmechanismus: Es kennt keinen Begriff von Inaktivität, keinen Toten-Mann-Schalter und keine gestaffelte Übergabe. Wer einem Erben heute Anteile gibt, muss ihm ab heute vertrauen.

Ein Miniscript-Erbe geht den umgekehrten Weg. Die Schlüssel bleiben getrennt, niemand führt sie je zu einem einzigen Geheimnis zusammen, und die Bedingung, wann ein Erbe zugreifen darf, wird nicht von Vertrauen, sondern von den Konsensregeln durchgesetzt. Beide Werkzeuge lassen sich sogar kombinieren, indem man die einzelnen Schlüssel eines Skripts jeweils per Shamir sichert. Doch die Frage, wer wann ausgeben darf, gehört in das Skript, nicht in ein Backup-Verfahren.

Die Wallets, die es heute können

Programmierbare Verwahrung ist 2026 kein Bastelprojekt mehr, aber sie ist auch nicht überall gleich weit. Liana ist die Referenz für zeitschlossbasierte Selbstverwahrung; mit der Version 8.0 hat Wizardsardine das Einrichten deutlich vereinfacht, was für ein Feature entscheidend ist, das ganze Familien überstehen soll (Wizardsardine). Nunchuk bedient eher jene, die geführte Assistenz wollen, ohne die Selbstverwahrung aufzugeben. Als Signaturgeräte kommen dieselben Hardware-Wallets zum Einsatz, die viele ohnehin nutzen: Coldcard unterstützt Tapscript-Miniscript mit bis zu acht Blättern, BitBox02 und Ledger haben tap-miniscript ebenfalls integriert, und Nunchuk erlaubt inzwischen Coldcard neben TAPSIGNER als Inheritance-Key (Nunchuk).

Der gemeinsame Nenner all dieser Wallets ist der Output-Deskriptor, ein standardisierter Textstring, der das gesamte Ausgabemuster beschreibt. Wer den Deskriptor und die zugehörigen Seeds hat, kann die Wallet in jeder kompatiblen Software wiederherstellen. Das ist zugleich die wichtigste Hausaufgabe: Ein Miniscript-Erbe funktioniert nur, wenn die Erben nicht nur an die Schlüssel kommen, sondern auch an den Deskriptor, der erklärt, wie diese Schlüssel zusammengehören. Ein Backup des Seed-Worts allein genügt bei komplexen Skripten nicht mehr.

Vaults: wo Miniscript an seine Grenze stößt

So mächtig der Skriptpfad ist, er hat eine klare Grenze. Miniscript kann Signaturen, Zeitschlösser und Hashlocks durchsetzen, also die Fragen beantworten, wer ausgeben darf und ab wann. Was es nicht durchsetzen kann, ist die Frage, wohin die Coins als Nächstes fließen dürfen. Sobald eine Bedingung erfüllt ist, ist der Empfänger frei, den Output an eine beliebige Adresse zu schicken. Für ein Erbe reicht das; für einen echten reaktiven Vault reicht es nicht.

Ein Vault im engeren Sinn ist eine Konstruktion, die eine Auszahlung erzwingt, bevor Coins ihr Ziel erreichen. James O’Beirne hat mit OP_VAULT (BIP-345, später mit Greg Sanders als Mitautor) genau das entworfen: Eine Ausgabe aus dem Vault geht zunächst nur an eine Zwischenadresse, wo sie eine festgelegte Verzögerung durchläuft. Während dieser Frist kann der Eigentümer die Coins in eine tiefe Kaltlagerung zurückholen, falls die Auszahlung ein Angriff war; erst danach dürfen sie an das eigentliche Ziel (Bitcoin Magazine). Solche Clawback-Mechanismen und die verwandten Rettungsverfahren für eine spätere Quantenmigration lehnen sich zunehmend an kryptografische Beweise an, ein Feld, das HOGE Wire in seiner Betrachtung zu Verifiable Compute aufgearbeitet hat.

Der Haken: OP_VAULT hängt von einem sogenannten Covenant ab, einer Opcode-Familie, die einschränkt, wie ein Output weiter ausgegeben werden darf. Die Kandidaten OP_CTV (BIP-119), OP_CSFS und OP_CAT (BIP-347) waren 2026 alle nicht aktiviert; nach dem gescheiterten Aktivierungsversuch von BIP-110 im August steckt die ganze Warteschlange fest. Für Anleger heißt das: Zeitgeschlossenes Erbe und verfallendes Multisig gehen heute, ohne jede Protokolländerung. Ein echter reaktiver Vault, der einen Diebstahl aktiv abfangen kann, muss dagegen auf einen künftigen Soft Fork warten, dessen Zeitplan offen ist.

Der Preis des Skriptpfads: Gebühren, Privatsphäre, Aufwand

Programmierbare Verwahrung ist kein Nulltarif. Eine Ausgabe über den Skriptpfad ist größer als eine schlichte Schnorr-Signatur, weil zusätzlich zum genutzten Blatt der Control Block mit dem Beweis der Baumzugehörigkeit mitgeliefert werden muss. Wer den Recovery-Pfad zieht, zahlt also mehr Gebühren als jemand, der über den Schlüsselpfad ausgibt. In der Praxis ist das verkraftbar, weil der teure Pfad selten und im Zweifel nur einmal genutzt wird, doch bei sehr verschachtelten Bäumen mit vielen Ebenen summiert sich der Beweis-Overhead.

Die Privatsphäre ist dagegen erstaunlich gut. Solange der Eigentümer normal über den Schlüsselpfad ausgibt, sieht die Kette nur eine gewöhnliche Taproot-Zahlung; niemand kann erkennen, dass dahinter ein Erbplan mit fünf Blättern steckt. Erst der Skriptpfad-Spend legt das eine genutzte Blatt offen, und auch dann bleiben alle anderen Zweige verborgen. Diese Eigenschaft ist der Grund, warum MAST für Verwahrungslogik so gut geeignet ist: Man verrät seine Sicherheitsarchitektur nicht, bevor man sie tatsächlich braucht.

Der eigentliche Preis ist Aufwand und Sorgfalt. Ein Miniscript-Erbe muss regelmäßig aufgefrischt werden, wenn die relative Uhr nicht ungewollt ablaufen soll, es hängt an einem korrekt gesicherten Deskriptor, und die Erben müssen instruiert sein. Zugleich schützt kein Skript vor allem: Es sichert gegen Schlüsselverlust und gegen den Ausfall des Eigentümers, aber nicht gegen einen Fehler in der eigenen Ausgaberichtlinie und auch nicht gegen Angriffe auf der Konsensebene. Was passiert, wenn die Mehrheit der Hashrate feindlich würde, ist eine ganz andere Frage, die HOGE Wire in der Betrachtung zur 51-Prozent-Frage behandelt. Persönliche Verwahrungssicherheit und Netzwerksicherheit sind zwei verschiedene Baustellen.

Selbstverwahrung, BaFin und das deutsche Erbrecht

Wichtig für deutsche Halter: Kein Aufseher genehmigt oder blockiert ein Taproot-Skript. MiCA und die BaFin regulieren Krypto-Dienstleister und Emittenten, also Börsen, Verwahrer und Token-Ausgeber, nicht das Bitcoin-Protokoll und schon gar nicht die Skripte, mit denen jemand seine eigenen Coins verwahrt. Das entsprechende Merkblatt der BaFin zu Kryptowerte-Dienstleistungen beschreibt genau diese Grenze zwischen erlaubnispflichtiger Dienstleistung und eigenverantwortlicher Selbstverwahrung (bafin.de). Dieselbe Logik der Zuständigkeit haben wir bei der Einordnung von MiCA und NFTs ausbuchstabiert: Reguliert wird der Dienstleister, nicht die Kette.

Steuerlich ist eine oft gestellte Frage schnell beantwortet: Das Verschieben eigener Bitcoin zwischen eigenen Adressen, etwa von einer alten SegWit-Adresse in ein neues Taproot-Erb-Skript, ist keine Veräußerung im Sinne von Paragraf 23 EStG, weil kein Eigentümerwechsel stattfindet. Die einjährige Haltefrist läuft ungestört weiter und wird durch die Umschichtung nicht zurückgesetzt. Steuerlich relevant wird es erst beim Verkauf oder Tausch. Wer sein Verwahr-Setup modernisiert, löst also keinen steuerbaren Vorgang aus, sollte den Vorgang aber sauber dokumentieren.

Beim tatsächlichen Erbfall trifft Technik auf Recht, und hier klafft eine Lücke. Das deutsche Erbrecht kennt kein bestimmtes technisches Schema; für die Erbschaftsteuer zählt der Wert der Coins zum Stichtag, nicht die Adressart, auf der sie liegen. Ein Miniscript-Erbe stellt sicher, dass die Erben technisch an die Coins kommen, ersetzt aber keine juristische Nachlassplanung: Das Testament muss die Existenz der Bitcoin überhaupt benennen, die Erben müssen wissen, wo Deskriptor und Schlüssel liegen, und die Steuer ist unabhängig davon fällig, ob der Zugriff reibungslos gelingt. Programmierbare Verwahrung löst das Zugriffsproblem, nicht das Dokumentationsproblem.

Schlüssel statt Verwahrer: die Kontrollfrage

Die programmierbare Selbstverwahrung steht in einem interessanten Spannungsverhältnis zum anderen großen Trend des Jahres, der Institutionalisierung. Wer einen Bitcoin-ETF hält, hat den Zugriffs- und Erbschaftsaufwand ausgelagert: Der Verwahrer hält die Schlüssel, die Erben brauchen nur ein Depot und einen Erbschein. Das ist bequem, hat aber einen Preis, den Wizardsardine so beschreibt, dass man nur Papier-Bitcoin besitze, solange man nicht die eigenen Schlüssel halte: „you only have paper bitcoin until you hold your own keys“. Die Frage, unter welchen Bedingungen Zulassungen für solche Produkte überhaupt zustande kommen, haben wir nach dem CLARITY-Aus gesondert eingeordnet.

Der Skriptpfad bietet einen Mittelweg, den es vor Taproot in dieser Form nicht gab. Man kann die alleinige Kontrolle behalten und trotzdem für den Ernstfall vorsorgen, ohne einem Dritten vorab Zugriff zu geben. Casa etwa verkauft ein schlüsselfertiges Erbprotokoll auf Basis von assistiertem Multisig, bei dem die Erben mit einer Sterbeurkunde und einer Wartefrist an die Coins kommen; Liana und Nunchuk verlagern denselben Ablauf so weit wie möglich in das Skript selbst. In beiden Fällen bleibt der Nutzer der Verwahrer, nicht ein Unternehmen.

Damit verschiebt sich, was Selbstverwahrung überhaupt bedeutet. Sie ist nicht mehr nur die einsame Verantwortung für ein Seed-Wort, sondern eine gestaltbare Politik: Wer darf wann unter welchen Umständen. Genau das war die stille Verheißung des Skriptpfads von 2021, und sie wird erst jetzt eingelöst, getrieben von der wenig glamourösen, aber unausweichlichen Frage, was mit den Coins geschieht, wenn der Eigentümer nicht mehr da ist.

Marktlage und Ausblick

Der Zeitpunkt ist kein Zufall. Bitcoin notiert am 16. September 2026 bei rund 65.800 Euro, mit einer Marktkapitalisierung um 1,32 Billionen Euro und einem Umlauf von gut 20 Millionen Coins, während das Allzeithoch bei etwa 107.662 Euro liegt (CoinGecko). Ein Markt, der seit dem Hoch deutlich korrigiert hat und an dem heute zudem die US-Notenbank ihre Zinsentscheidung fällt, lenkt den Blick weg vom kurzfristigen Kurs und hin zu langfristigen Fragen: Wer kontrolliert diese Coins in zehn, zwanzig, dreißig Jahren?

Für die kommenden Monate zeichnen sich zwei Linien ab. Die eine ist evolutionär: Miniscript in Taproot wird in mehr Wallets zum Standard, die Erb- und Recovery-Vorlagen werden benutzerfreundlicher, und die Deskriptor-Backups werden robuster. Die andere hängt an der Politik: Erst wenn Bitcoin einen Weg findet, ein Covenant wie OP_CTV oder OP_VAULT zu aktivieren, kommen echte reaktive Vaults hinzu, und erst dann lässt sich programmierbare Verwahrung von reiner Erbschaftslogik zu aktivem Diebstahlschutz erweitern. Beides zeigt, dass Taproots leiseste Hälfte auch fünf Jahre nach der Aktivierung noch nicht ausgereizt ist.

Die praktische Botschaft für 2026 ist trotzdem klar. Man muss nicht auf einen Soft Fork warten, um sein Bitcoin-Erbe technisch abzusichern. Die Bausteine, Tapscript, Miniscript und die beiden Zeitschloss-Opcodes, liegen bereit und sind in Standardsoftware angekommen. Was fehlt, ist meist nicht die Technik, sondern die Entscheidung, sich der unangenehmen Frage zu stellen, bevor die Zeitbombe der Branche auch die eigenen Coins erreicht.

Häufige Fragen (Frequently Asked Questions)

Was ist der Unterschied zwischen Schlüsselpfad und Skriptpfad bei Taproot?

Der Schlüsselpfad gibt einen Taproot-Output über eine einzige Schnorr-Signatur aus und sieht on-chain aus wie eine gewöhnliche Zahlung. Der Skriptpfad legt stattdessen eines von mehreren versteckten Skripten offen und kann komplexe Bedingungen wie Zeitschlösser, Multisig oder Kombinationen daraus durchsetzen. Beide gehören zum selben bc1p-Output; der Skriptpfad wird nur genutzt, wenn die einfache Signatur nicht ausreicht.

Kann man Bitcoin mit einem Zeitschloss vererben, ohne einen Verwahrer zu nutzen?

Ja. Mit einem relativen Zeitschloss über OP_CHECKSEQUENCEVERIFY lässt sich ein Recovery-Pfad bauen, der erst nach einer festgelegten Inaktivität aktiv wird, etwa nach einem Jahr ohne Bewegung. Bis dahin kontrolliert nur der Eigentümer die Coins; danach kann ein Erbe mit seinem Schlüssel ausgeben. Wallets wie Liana und Nunchuk setzen genau dieses Muster ein, ganz ohne dritte Partei, die die Coins verwahrt.

Was ist Miniscript und wozu braucht man es?

Miniscript ist eine strukturierte, analysierbare Teilmenge von Bitcoin Script. Entwickler schreiben eine lesbare Ausgaberichtlinie, die zu Miniscript und dann zu nativem Script kompiliert wird. Der Vorteil: Wallets können prüfen, ob ein Skript korrekt und ausgabefähig ist, es sichern und wiederherstellen, und mehrere Signaturgeräte können zuverlässig zusammenarbeiten. Ohne diese Analysierbarkeit wären komplexe Erbschafts- und Recovery-Skripte in der Praxis zu riskant.

Braucht programmierbare Bitcoin-Verwahrung einen weiteren Soft Fork?

Nein. Zeitgeschlossenes Erbe, verfallendes Multisig und Recovery-Pfade funktionieren heute mit den bereits aktiven Bausteinen aus Taproot, Tapscript und den Zeitschloss-Opcodes. Was noch fehlt, sind echte reaktive Vaults, die festlegen, wohin Coins als Nächstes fließen dürfen. Dafür bräuchte es ein Covenant wie OP_VAULT oder OP_CTV, und diese Vorschläge waren 2026 nicht aktiviert.

Ist das Verschieben eigener Bitcoin in ein Taproot-Skript in Deutschland steuerpflichtig?

Nach der gängigen Auslegung von Paragraf 23 EStG ist das Verschieben eigener Bitcoin zwischen eigenen Adressen keine Veräußerung, weil kein Eigentümerwechsel stattfindet. Die Haltefrist läuft weiter und wird nicht zurückgesetzt. Steuerlich relevant wird es erst beim Verkauf oder Tausch; im Erbfall greift die Erbschaftsteuer auf den Wert der Coins. Für die konkrete Situation sollte man steuerlichen Rat einholen.

Von Marcus Okafor, HOGE Wire. Dieser Beitrag ist eine journalistische Einordnung und keine Steuer-, Rechts- oder Anlageberatung.