Taproot verstehen: Schnorr, bc1p und das Quantenrisiko

Ein Upgrade, das nach fünf Jahren immer noch angeschaltet wird

Im Oktober 2026 öffnete Robin Linus, Erfinder des Bitcoin-Werkzeugs BitVM, einen unscheinbaren Pull Request im Bitcoin-Core-Repository. Vorschlag Nummer 36466 will den sogenannten Taproot-Annex künftig standardmäßig durch das Netzwerk weiterleiten. Der Annex ist ein optionales Datenfeld in der Witness-Struktur jeder Taproot-Ausgabe, das bei der Aktivierung 2021 bewusst reserviert, aber ohne konkrete Verwendung gelassen wurde. Linus braucht es für sein Protokoll Glass Coins, das Daten auf der Hauptkette ablegen muss, um Doppelausgaben zu verhindern (btcpp insider). Die Episode zeigt etwas Grundsätzliches: Fünf Jahre nach seiner Aktivierung wird Taproot immer noch Stück für Stück in Betrieb genommen.

Zur gleichen Zeit läuft die entgegengesetzte Debatte. Prominente Analysten raten Haltern, ihre Bestände von bc1p-Adressen wegzubewegen, weil ausgerechnet Taproot die öffentlichen Schlüssel sichtbar auf der Blockchain ablegt und damit, so die Sorge, ein künftiges Quantenrisiko vergrößert. Taproot ist deshalb beides zugleich: Bitcoins ehrgeizigstes Upgrade seit SegWit und sein meistdiskutiertes. Der Kurs bildet die Nervosität ab; ein Bitcoin kostet Ende Oktober 2026 knapp 69.000 Euro, rund sieben Prozent weniger als einen Monat zuvor und klar unter dem Rekord von 107.662 Euro vom Oktober 2025 (CoinGecko).

Dieser Text ordnet das Thema vollständig ein: wie Taproot technisch funktioniert (Schnorr, MAST, Tapscript), woran man eine bc1p-Adresse erkennt, was MuSig2 und Silent Payments praktisch bringen, warum die sichtbare Nutzung trotzdem gering bleibt, welche Rolle Taproot für Bitcoins zweite Schicht spielt und was das Quantenrisiko samt BIP-360 für deutsche Anleger bedeutet.

Was Taproot ist: drei BIPs und ein Softfork

Taproot wurde am 14. November 2021 bei Blockhöhe 709.632 aktiv. Festgeschrieben (locked in) war das Upgrade bereits am 12. Juni 2021 bei Block 687.284, nachdem über 90 Prozent der Miner im Rahmen des Verfahrens Speedy Trial dafür signalisiert hatten (CoinDesk). Es war Bitcoins erstes großes Protokoll-Update seit SegWit 2017 und, wie SegWit, ein Softfork: abwärtskompatibel, sodass ältere Knoten die neuen Transaktionen weiterhin als gültig ansehen.

Hinter dem Namen stecken drei getrennte Bitcoin Improvement Proposals, die gemeinsam aktiviert wurden. BIP 340 führt Schnorr-Signaturen ein, BIP 341 definiert den eigentlichen Taproot-Ausgabetyp samt der Merkle-Baum-Struktur für Skripte, und BIP 342 liefert mit Tapscript die passende Skriptsprache. Entworfen haben sie Bitcoin-Entwickler um Pieter Wuille, Jonas Nick, Tim Ruffing und Anthony Towns (bitcoin/bips). Die folgende Tabelle fasst die drei Bausteine zusammen.

Weil Taproot ein Softfork ist, mussten Nutzer es nicht erzwungen übernehmen. Alte Wallets funktionieren weiter, die neuen Funktionen stehen nur dem offen, der bewusst eine bc1p-Adresse verwendet. Das erklärt einen Teil des langsamen Tempos: Es gibt keinen Stichtag, an dem alle umsteigen, sondern einen freiwilligen, über Jahre verteilten Übergang.

Dass Taproot überhaupt so reibungslos aktiviert wurde, war keine Selbstverständlichkeit. Noch die SegWit-Aktivierung 2017 hatte das Netzwerk an den Rand einer Spaltung gebracht, mit einem drohenden Nutzer-aktivierten Softfork (UASF) auf der einen und dem gescheiterten SegWit2x-Kompromiss auf der anderen Seite. Aus diesen Narben lernten die Entwickler: Speedy Trial setzte eine kurze, klar befristete Signalisierungsphase an, um die Entscheidung schnell herbeizuführen und eine Hängepartie zu vermeiden. Taproot war technisch zudem unumstritten, es gab praktisch keine Gegner der eigentlichen Funktionen, sodass der große Streit diesmal ausblieb.

Schnorr-Signaturen: die Mathematik hinter dem Upgrade

Das Herzstück ist BIP 340. Bis Taproot nutzte Bitcoin für jede Unterschrift das Verfahren ECDSA. Schnorr-Signaturen leisten dasselbe (sie beweisen den Besitz eines privaten Schlüssels), besitzen aber eine Eigenschaft, die ECDSA fehlt: Linearität. Vereinfacht heißt das, die Summe zweier gültiger Schnorr-Signaturen ergibt eine gültige Signatur für die Summe der zugehörigen öffentlichen Schlüssel. Genau diese Rechenregel macht es möglich, mehrere Schlüssel und Signaturen zu einer einzigen zusammenzufassen (bitcoin/bips).

Dazu kommen handfeste Effizienzgewinne. Eine Schnorr-Signatur ist mit 64 Byte kompakt und konstant lang, der öffentliche Schlüssel schrumpft auf eine 32-Byte-Variante (x-only). Signaturen lassen sich zudem im Stapel prüfen, was die Validierung ganzer Blöcke beschleunigt. Hinzu kommt ein Sicherheitsargument: Schnorr-Signaturen gelten unter Standardannahmen als beweisbar sicher, während ECDSA auf schwächeren Voraussetzungen ruht. Für ein System, das Milliardenwerte absichert, ist diese Beweisbarkeit mehr als akademisch. Ein früher Patentschutz, der eine Übernahme lange verzögert hatte, war längst ausgelaufen, als Bitcoin seine eigene Variante über die Kurve secp256k1 standardisierte.

Der Nutzen der Aggregation wächst mit der Zahl der Beteiligten. Wo früher jede zusätzliche Unterschrift einer Multisignatur den Platzbedarf und die Gebühr erhöhte, genügt mit Schnorr am Ende eine einzige kombinierte Signatur, unabhängig davon, ob zwei oder zwanzig Schlüssel beteiligt waren. Diese Zusammenfassung ist allerdings kein Selbstläufer: Naiv addierte Schlüssel wären anfällig für den sogenannten Rogue-Key-Angriff, bei dem ein Teilnehmer seinen Schlüssel so wählt, dass er am Ende allein unterschreiben kann. Erst Protokolle wie MuSig2 schließen diese Lücke sauber, weshalb die reine Mathematik aus BIP 340 und die sichere Anwendung darauf zwei verschiedene Paar Schuhe sind.

Schlüssel-Pfad und Skript-Pfad: wie man eine Taproot-Ausgabe ausgibt

Eine Taproot-Ausgabe (Pay-to-Taproot, kurz P2TR) sieht auf der Kette aus wie ein einziger öffentlicher Schlüssel. Tatsächlich ist dieser Schlüssel zusammengesetzt: Ein interner Schlüssel wird mit einer Verpflichtung auf einen Baum aus Skripten verrechnet (im Jargon getweakt). Daraus ergeben sich zwei Wege, die Coins später auszugeben.

Der erste ist der Schlüssel-Pfad: Sind sich alle Beteiligten einig, unterschreiben sie gemeinsam mit dem zusammengesetzten Schlüssel. Auf der Blockchain erscheint dann nur eine einzige Signatur, nicht unterscheidbar von einer gewöhnlichen Einzelunterschrift. Das ist der günstigste und privateste Fall. Der zweite ist der Skript-Pfad: Klappt die Einigung nicht, lässt sich stattdessen genau ein Zweig des Skriptbaums offenlegen und erfüllen, etwa eine Rückfall-Regel mit Zeitschloss (timelock).

Ein Beispiel verdeutlicht den Reiz. Bei einer 2-of-2-Firmenkasse unterschreiben im Normalfall beide Parteien gemeinsam über den Schlüssel-Pfad, und die Ausgabe wirkt wie eine simple Einzelzahlung. Nur wenn eine Partei ausfällt, greift ein hinterlegter Skript-Pfad, etwa eine Auszahlung an die verbliebene Partei nach einer Wartezeit. Der teure, auffällige Fall tritt also nur im Streit ein, während der Alltag billig und unauffällig bleibt.

MAST und Tapscript: Bedingungen, die verborgen bleiben

Der Skriptbaum hinter dem Schlüssel-Pfad trägt einen eigenen Namen: MAST, für Merkelized Alternative Script Trees. Alle möglichen Ausgabebedingungen werden als Blätter eines Merkle-Baums angeordnet. Beim Ausgeben muss nur der tatsächlich genutzte Zweig gezeigt werden; alle anderen Bedingungen bleiben für immer verborgen. Ein Erbschafts-Wallet mit zehn Rückfall-Regeln belastet die Kette also nur mit der einen Regel, die am Ende greift, nicht mit allen zehn. Das spart Gebühren und gibt die interne Logik eines Vertrags nicht preis.

BIP 342, Tapscript, ist die Skriptsprache für diese Blätter. Sie entspricht weitgehend dem alten Bitcoin-Skript, bringt aber wichtige Anpassungen. Die alte Multisignatur-Anweisung OP_CHECKMULTISIG ist in Tapscript deaktiviert und durch OP_CHECKSIGADD ersetzt, das besser mit Schnorrs Stapelprüfung harmoniert. Außerdem weicht die starre Obergrenze von 201 Opcodes einem flexibleren Ressourcenbudget, was ausgerechnet den sehr großen Skripten zugutekommt, auf denen spätere Layer-2-Konstruktionen aufbauen.

bc1p: so erkennen und nutzen Sie Taproot-Adressen

Im Alltag begegnet Taproot den meisten Nutzern als Adressformat. Taproot-Adressen beginnen mit bc1p und verwenden die Kodierung bech32m (festgehalten in BIP 350), eine korrigierte Fassung des bech32-Formats von SegWit. Zur Einordnung: Alte Adressen beginnen mit einer 1 (P2PKH) oder einer 3 (P2SH), SegWit-Adressen mit bc1q, und Taproot eben mit bc1p. Das Zeichen direkt nach bc1 kodiert die sogenannte Witness-Version; q steht für Version 0, p für Version 1.

Praktisch heißt das: Fast alle großen Wallets und Börsen können inzwischen an bc1p senden und daraus empfangen; einige wenige Nachzügler scheitern noch am neuen Präfix. Wer eine bc1p-Adresse nutzt, erhält im kooperativen Fall die niedrigsten Gebühren und die beste Privatsphäre. Ein Detail wird später wichtig: Anders als bei den älteren Formaten liegt bei einer befüllten, noch nicht ausgegebenen Taproot-Adresse der volle öffentliche Schlüssel offen auf der Kette, nicht nur dessen Hash. Die Tabelle stellt die Formate gegenüber.

Für Anleger lautet die wichtigste Faustregel: bc1p zu nutzen ist für den Alltag unproblematisch, solange die eigene Wallet und die Gegenstelle das Format beherrschen. Ein kleiner Testbetrag vor der ersten großen Überweisung an eine neue Adresse bleibt guter Brauch, unabhängig vom Format.

In den ersten Jahren nach der Aktivierung war genau diese Kompatibilität ein Ärgernis. Mehrere große Börsen konnten anfangs nicht an bc1p auszahlen, weil ihre Systeme das Format nicht kannten, und Nutzer mussten den Umweg über eine SegWit-Adresse nehmen. Bis 2026 hat sich das weitgehend erledigt; die großen Anbieter unterstützen Ein- und Auszahlungen in bc1p. Wer dennoch auf eine Fehlermeldung stößt, erkennt am Präfix sofort, wo das Problem liegt, und kann im Zweifel eine bc1q-Adresse als Zwischenschritt nutzen.

MuSig2 und das unsichtbare Multisig

Schnorrs Linearität entfaltet ihren größten praktischen Nutzen bei Multisignaturen. Mit dem Verfahren MuSig2 (standardisiert als BIP 327) fassen mehrere Teilnehmer ihre Schlüssel zu einem einzigen zusammen und erzeugen in zwei Kommunikationsrunden eine gemeinsame Signatur. Auf der Kette ist eine solche n-of-n-Konstruktion nicht von einer simplen Einzeladresse zu unterscheiden. Genau das meint der Begriff unsichtbares Multisig: Sicherheit auf mehreren Schlüsseln, ohne dass Dritte es sehen.

Im April 2025 brachte Ledger MuSig2 mit Version 2.4.0 seiner Bitcoin-App als erster großer Hardware-Hersteller in die Praxis; die App kann bis zu acht solcher Signaturvorgänge parallel abwickeln. Mitautor des begleitenden Blogbeitrags war Yannick Seurin, einer der Erfinder von MuSig2. Ledger beschreibt den Anwendungsfall als Invisible Cosigner: Für jeden, der die Wallet-Regel nicht kennt, ist der Mitunterzeichner weder erkennbar, noch hinterlässt er eine Spur auf der Kette (Ledger). Eine Schwellensignatur-Variante namens FROST erlaubt zusätzlich t-of-n-Modelle, bei denen nicht alle, sondern nur eine Teilmenge der Schlüssel unterschreiben muss. Entscheidend ist dabei die Disziplin bei den kryptografischen Zufallswerten (nonces): Wird ein nonce wiederverwendet, lässt sich der private Schlüssel rekonstruieren. Wie daraus kollaborative Verwahrung entsteht, hat HOGE Wire in einer eigenen Analyse zu Taproot, MuSig2 und FROST aufgeschlüsselt.

Was Taproot für Gebühren und Privatsphäre bringt

Der wirtschaftliche Reiz von Taproot liegt in zwei Effekten. Erstens sind Signaturen kleiner und landen im rabattierten Witness-Bereich eines Blocks, was die Gebühren drückt; ein Schlüssel-Pfad-Ausgang ist der günstigste Transaktionstyp, den Bitcoin heute kennt. Zweitens entsteht Privatsphäre durch Gleichförmigkeit: Eine kooperative Multisig, ein Lightning-Kanal und ein komplexer Vertrag sehen im Schlüssel-Pfad alle aus wie eine banale Einzelzahlung. Das vergrößert die Anonymitätsmenge, von der am Ende alle Nutzer profitieren.

Dieser Gewinn hat eine Bedingung: Er gilt nur, solange der Schlüssel-Pfad genutzt wird. Sobald der Skript-Pfad zum Einsatz kommt, wird die Struktur des offengelegten Zweigs sichtbar. Für das Gebührenbild der gesamten Kette ist das relevant, weil mit sinkender Blockbelohnung langfristig die Transaktionsgebühren das Sicherheitsbudget der Miner tragen müssen, ein Spannungsfeld, das HOGE Wire am Beispiel des Solo-Minings gegen die Difficulty beschrieben hat. Effiziente Taproot-Transaktionen zahlen tendenziell weniger pro Vorgang, während datenhungrige Anwendungen wie Inscriptions den knappen Blockraum teurer machen.

Konkret heißt günstiger nicht, dass jede Taproot-Transaktion automatisch weniger kostet als jede SegWit-Transaktion; die Gebühr hängt immer von der Größe in virtuellen Byte und der aktuellen Auslastung ab. Der Vorteil greift vor allem dort, wo früher viel Platz nötig war: bei Multisignaturen und komplexen Verträgen, die im Schlüssel-Pfad auf die Größe einer simplen Zahlung zusammenschrumpfen. Für eine gewöhnliche Einzelüberweisung ist der Unterschied zu einer bc1q-Adresse dagegen gering.

Silent Payments: Bitcoins nächster Privatsphäre-Sprung

Taproot verbessert die Privatsphäre beim Ausgeben, löst aber nicht das Grundproblem beim Empfangen: Wer eine feste Adresse mehrfach weitergibt, macht seine Zahlungen verkettbar. Hier setzt BIP 352 an, die Silent Payments. Der Empfänger veröffentlicht eine einzige, dauerhaft wiederverwendbare Adresse mit dem Präfix sp1; der Sender leitet daraus über ein gemeinsames Geheimnis (per Schnorr und Diffie-Hellman) für jede Zahlung eine frische, unverkettbare Taproot-Ausgabe ab, ganz ohne vorherige Interaktion (bitcoin/bips). Silent Payments bauen damit direkt auf Taproot und Schnorr auf.

2026 ist aus dem Konzept Praxis geworden. Mehrere Wallets unterstützen das Format inzwischen in unterschiedlichem Umfang (Spark):

• Cake Wallet: senden und empfangen
• Sparrow Wallet: senden seit Version 2.3.0 (Oktober 2025), empfangen seit Version 2.5.0 (Mai 2026)
• Nunchuk: senden und empfangen
• Silentium: spezialisierte Wallet, senden und empfangen
• BitBox02 und Wasabi: bislang nur senden

In Bitcoin Core sind die kryptografischen Bausteine zwar in der mitgelieferten Bibliothek libsecp256k1 vorhanden, eine fertige Wallet-Funktion wurde aber noch in keiner Version ausgeliefert; die Arbeit läuft unter GitHub-Issue 28536. Entsprechend klein ist die Nutzung: Schätzungen zufolge verwendet weit weniger als ein Prozent der aktiven Bitcoin-Nutzer Silent Payments. Der Preis für die Privatsphäre ist Rechenaufwand beim Empfänger, der die Kette nach seinen Zahlungen abscannen muss, was leichte Wallets vor Infrastrukturfragen stellt. Genau hier entscheidet sich, ob aus einem Nischenformat ein Standard wird.

Das Adoptionsparadox: überall drin, kaum sichtbar

Die nackten Zahlen wirken ernüchternd. Der Anteil der Taproot-Nutzung schoss Anfang 2024 kurzzeitig über 40 Prozent, getrieben von Ordinals und Runes, die den Witness-Bereich zum Einschreiben von Daten nutzten. Seither ist er auf grob 15 bis 20 Prozent zurückgegangen (Spark); misst man strenger nur Transaktionen mit mindestens einem Taproot-Eingang, lag der Wert Mitte 2026 sogar nur bei rund 6 Prozent (Glassnode). SegWit bleibt mit grob 85 bis 90 Prozent der Transaktionen die Norm.

Das ist das Paradox: Gemessen an der sichtbaren Kettennutzung wirkt Taproot wie ein Nischenformat, obwohl es faktisch überall steckt. Lightnings moderne Kanäle (simple taproot channels) nutzen es, ebenso Taproot Assets für Token und Dollar-Stablecoins auf Bitcoin, die Verwahrlösungen mit MuSig2 und zweite Schichten wie Ark oder Spark. Die on-chain-Statistik schrumpfte vor allem, weil der spekulative Inscription-Hype abkühlte, nicht weil die Technik verschwindet. Die Ordinals-Welle selbst hatte Casey Rodarmor Anfang 2023 ausgelöst, das darauf aufbauende Token-Protokoll Runes folgte zum Halving im April 2024. Gleichzeitig ziehen manche Halter aus Sorge vor Quantenrisiken Guthaben zurück auf bc1q, was die sichtbare Taproot-Quote zusätzlich dämpft.

Für die Bewertung des Upgrades heißt das: Die reine Prozentzahl taugt nicht als Erfolgsmaß. Entscheidend ist, dass Taproot als Standardwerkzeug in der Infrastruktur angekommen ist, auf der neue Wallets, Verwahrdienste und zweite Schichten aufsetzen. Ein Format, das im Hintergrund jede moderne Lightning-Verbindung absichert, ist auch dann erfolgreich, wenn es in der reinen Blockchain-Statistik bescheiden aussieht.

Taproot als Fundament der zweiten Schicht

Taproots eigentliche Wirkung entfaltet sich oberhalb der Basiskette. Lightning-Kanäle lassen sich dank Taproot so aufsetzen, dass sie beim Öffnen und Schließen wie gewöhnliche Einzelzahlungen aussehen, was Privatsphäre und Gebühren verbessert; die Grundlagen dazu erklärt unser Überblick zum Lightning Network. Taproot Assets wiederum nutzt die Kette als Verankerung, um Token und sogar Dollar-Stablecoins über Lightning zu bewegen.

Taproot Assets zeigt dabei, wie unterschiedlich Bitcoin-Token-Welten aussehen können. Anders als Runes, die ihre Daten direkt in der Basiskette verankern, legt Taproot Assets die eigentliche Buchführung in verankerte Taproot-Ausgaben und reicht Vermögenswerte über Lightning weiter, was vor allem Dollar-Stablecoins eine schnelle und günstige Transportschicht geben soll. Für Nutzer verschwimmt die Grenze zwischen Bitcoin-Zahlung und Token-Transfer; technisch bleibt beides an denselben Taproot-Bausteinen hängen.

Noch ehrgeiziger sind Rollups. BitVM2 kommt ohne neuen Softfork aus und stützt sich auf die großen Skriptbäume, die Tapscript erlaubt, um Betrugsbeweise auf Bitcoin abzuwickeln. Darauf baut Citrea, der erste ZK-Rollup, der direkt auf Bitcoin abschließt und im Januar 2026 sein Mainnet startete (The Block); die Hintergründe hat HOGE Wire in einer eigenen Analyse zu Citrea beleuchtet. In dieselbe Kategorie gehört der eingangs erwähnte Vorschlag von Robin Linus: Protokolle mit clientseitiger Validierung wollen den bislang brachliegenden Taproot-Annex nutzen, um kleine Datenanker auf der Hauptkette zu setzen. Taproot liefert also nicht nur Adressen, sondern das Baumaterial einer ganzen Werkzeugkiste.

Das Quantenrisiko: warum bc1p im Fokus steht

Die unangenehmste Debatte rund um Taproot betrifft Quantencomputer. Der Mechanismus ist technisch, aber wichtig: Eine Taproot-Ausgabe legt den vollständigen öffentlichen Schlüssel von Anfang an offen auf der Kette ab. Bei den älteren Formaten (P2PKH, P2WPKH) ist der Schlüssel dagegen hinter einem Hash verborgen, bis die Coins zum ersten Mal ausgegeben werden. Ein ausreichend leistungsfähiger Quantencomputer könnte aus einem offenliegenden Schlüssel den privaten Schlüssel ableiten; bei bc1p ist dieser Angriffspunkt also dauerhaft gegeben, nicht nur im Moment des Ausgebens.

Zur Einordnung gehört, dass Quantencomputer Bitcoin auf zwei sehr unterschiedliche Arten bedrohen. Der ernste Angriff zielt mit dem Shor-Algorithmus auf die Signaturen, also auf das Ableiten privater aus öffentlichen Schlüsseln; genau hier ist Taproot exponiert. Das Mining dagegen beruht auf der Hashfunktion SHA-256, gegen die nur der schwächere Grover-Algorithmus greift, der den Aufwand bestenfalls halbiert und sich durch eine höhere Difficulty abfedern ließe. Wenn über das Quantenrisiko von Bitcoin gesprochen wird, geht es fast immer um die Signaturen, nicht um das Schürfen.

Im März 2026 veröffentlichte Googles Quantum-AI-Team eine Schätzung, die aufhorchen ließ: Das Brechen einer Bitcoin-Signatur könnte weniger als 500.000 physische Qubits erfordern, deutlich weniger als frühere Annahmen im Millionenbereich. Das konkrete Angriffsmodell veranschlagt etwa 1.200 bis 1.450 hochwertige (logische) Qubits und könnte eine konkurrierende Transaktion in rund neun Minuten fälschen, mit grob 41 Prozent Chance, eine zehnminütige Bestätigung zu schlagen (CoinDesk). Googles eigener Zeithorizont für nützliche Quantensysteme liegt bei etwa 2029. Schätzungen zufolge liegt bereits rund ein Drittel aller umlaufenden Bitcoin auf Adressen mit offengelegtem Schlüssel.

Die Reaktionen fallen unterschiedlich aus. Der On-Chain-Analyst Willy Woo warnt, heutige bc1p-Adressen seien nicht quantensicher, weil sie den öffentlichen Schlüssel einbetten, und rät, Guthaben übergangsweise auf hash-basierte SegWit-Adressen zu verschieben und möglichst nicht auszugeben, bis eine Lösung steht (Yahoo Finance). Charles Edwards, Gründer von Capriole Investments, fordert dagegen ein koordiniertes Protokoll-Upgrade noch in diesem Jahrzehnt und brachte einen Quantum Discount Factor ins Spiel, einen Bewertungsabschlag für das ungelöste Risiko (blockchain.news). Einig sind sich die Lager vor allem darin, dass ein Umzug auf hash-basierte Adressen bestenfalls eine Übergangsmaßnahme ist, keine dauerhafte Lösung.

BIP-360 und der Weg zur Quantenresistenz

Die eigentliche Antwort auf das Quantenproblem heißt BIP-360. Der von Hunter Beast vorangetriebene Vorschlag hat mehrere Namen durchlaufen (von Pay to Quantum Resistant Hash über Pay to Tapscript Hash zum heutigen Pay to Merkle Root) und führt einen neuen Ausgabetyp ein, der statt Schnorr auf quantenresistente Signaturen nach NIST-Standard setzt, konkret die gitterbasierte Familie ML-DSA, oft noch unter ihrem früheren Namen Dilithium geführt. Im Februar 2026 wurde BIP-360 in das offizielle bitcoin/bips-Repository aufgenommen, also als formaler Vorschlag anerkannt, keineswegs aber auf dem Mainnet aktiviert (Forbes).

Praktische Tests gibt es schon. Das Unternehmen BTQ Technologies betreibt ein Bitcoin-Quantum-Testnet, dessen Version 0.3.0 eine erste lauffähige P2MR-Umsetzung mit Dilithium-Signaturen, einem neuen SegWit-Versionstyp und eigenem Adresspräfix sowie vollständigem Wallet- und RPC-Werkzeug zeigt (The Quantum Insider). Offen bleiben drei große Fragen: Quantenresistente Signaturen sind deutlich größer als Schnorr, was die alte Blockgröße-Debatte neu entfacht; der Umzug der bereits gefährdeten Coins ist ungelöst; und selbst BIP-360 schützt ein Guthaben in Ruhe, nicht aber eine Transaktion im Moment ihrer Bestätigung. Dass über all das überhaupt gestritten wird, verteidigt der Blockstream-Entwickler Andrew Poelstra ausdrücklich: Bitcoin sei kein Fossil, sondern entwickle sich weiter, und Entwickler müssten für sinnvolle Änderungen leidenschaftlich und korrekt argumentieren (Bitcoin Magazine).

Die vielleicht schwierigste Frage ist der Übergang. Selbst wenn BIP-360 eines Tages aktiviert wird, müssten Millionen Bitcoin aktiv auf die neuen Adressen umgezogen werden, und zwar bevor ein Quantencomputer existiert, nicht erst danach. Für verlorene Wallets, deren Schlüssel niemand mehr besitzt, gibt es diesen Weg gar nicht; ihre Coins blieben dauerhaft exponiert. Manche Entwickler diskutieren deshalb umstrittene Notfallmaßnahmen bis hin zum Einfrieren alter Ausgaben, was im Widerspruch zu Bitcoins Versprechen der Zensurresistenz stünde. Eine saubere Antwort darauf gibt es bislang nicht.

Taproot, BaFin und die Steuer: der Blick aus Deutschland

Für deutsche Anleger lohnt eine Einordnung, die oft untergeht: Ein Protokoll-Upgrade wie Taproot oder ein künftiges BIP-360 ist nichts, das eine Aufsichtsbehörde genehmigt oder blockiert. MiCA und die BaFin regulieren Krypto-Dienstleister (CASPs) und Emittenten, nicht die Konsensregeln von Bitcoin; das stellt die BaFin in ihrem Merkblatt zu Kryptowerte-Dienstleistungen vom 3. Januar 2025 klar (bafin.de). Wer Taproot privat nutzt, braucht also keine Freigabe; wer eine Börse oder Verwahrung betreibt, sehr wohl.

Steuerlich ist vor allem eine Frage praktisch, gerade mit Blick auf die Quantendebatte: Löst der Umzug eigener Coins von bc1q nach bc1p (oder umgekehrt) etwas aus? Nach der Logik des Paragrafen 23 EStG ist das Verschieben eigener Bitcoin zwischen eigenen Adressen keine Veräußerung. Es gibt keinen Verkauf, keinen Tausch und keinen neuen Erwerb, also setzt auch die einjährige Haltefrist nicht neu an und es fällt keine Steuer an. Dieselbe Logik, dass nur eine echte Veräußerung zählt, zieht sich durch andere Streitfragen des deutschen Krypto-Steuerrechts, etwa die zur Haltefrist bei virtuellem Land. Wer seine Coins aus Vorsicht vor bc1p wegbewegt, tut das in Deutschland also steuerneutral.

Frequently Asked Questions

Was ist Taproot bei Bitcoin einfach erklärt?

Taproot ist ein Softfork von 2021, der drei Neuerungen bündelt: Schnorr-Signaturen, den Taproot-Ausgabetyp mit verborgenen Skriptbäumen (MAST) und die Skriptsprache Tapscript. Zusammen machen sie Transaktionen günstiger, privater und flexibler, weil komplexe Bedingungen auf der Kette aussehen können wie eine einfache Einzelzahlung.

Was ist eine bc1p-Adresse und ist sie sicher?

Eine bc1p-Adresse ist eine Taproot-Adresse im Format bech32m. Für den normalen Gebrauch ist sie sicher und bietet die niedrigsten Gebühren. Der einzige breit diskutierte Nachteil ist langfristiger Natur: Sie legt den öffentlichen Schlüssel offen auf der Kette ab, was im Fall sehr leistungsfähiger Quantencomputer theoretisch angreifbar wäre.

Ist Taproot durch Quantencomputer gefährdet?

Aktuell nicht: Es gibt keinen Quantencomputer, der Bitcoins Signaturen brechen kann. Weil Taproot den öffentlichen Schlüssel aber dauerhaft sichtbar macht, gilt bc1p als stärker exponiert als hash-basierte Formate. Die langfristige Lösung ist der Vorschlag BIP-360 mit quantenresistenten Signaturen, der 2026 als Entwurf vorliegt, aber noch nicht aktiviert ist.

Was ist der Unterschied zwischen Taproot und SegWit?

SegWit (2017, Adressen mit bc1q) verlagerte Signaturdaten in einen rabattierten Witness-Bereich und senkte so die Gebühren. Taproot (2021, Adressen mit bc1p) setzt darauf auf und ergänzt Schnorr-Signaturen, verborgene Skriptbäume und bessere Privatsphäre. SegWit bleibt mit grob 85 bis 90 Prozent der Transaktionen die meistgenutzte Variante.

Muss ich wegen Taproot meine Coins umziehen?

Für den Alltag besteht kein Zwang; viele Wallets nutzen Taproot ohnehin automatisch. Einige Analysten raten vorsorglich, größere Bestände vorerst auf hash-basierte Adressen zu halten. In Deutschland ist das Verschieben eigener Coins zwischen eigenen Adressen keine Veräußerung nach Paragraf 23 EStG, löst also keine Steuer aus und setzt die Haltefrist nicht zurück.

Marcus Okafor berichtet für HOGE Wire über Bitcoins Basisschicht, Mining und die Protokollpolitik rund um Softforks.