Einfrieren oder verlieren: Taproot und Bitcoins Quantenplan

Am 16. Oktober 2026 stellten neun Krypto-Unternehmen, darunter die Sicherheitsfirma Hacken, die von Charles Hoskinson mitgetragene Midnight Foundation sowie die Spezialisten Quantus und Postquant Labs, eine gemeinsame Initiative vor. Ihr Ziel: ein Standard dafür, wie sich Bitcoin, Ethereum und andere Netzwerke gegen Quantencomputer wappnen. Die nüchterne Zahl, die diese Quantum Alliance dabei nannte, ließ aufhorchen: Rund 6,4 Millionen Bitcoin, gut 30 Prozent aller je ausgegebenen Coins, liegen auf Adressen mit offengelegtem öffentlichem Schlüssel und wären angreifbar, sobald ein ausreichend großer Quantencomputer existiert. Darunter die geschätzt 1,1 Millionen BTC, die Satoshi Nakamoto zugeschrieben werden.

Zum Kurs von rund 66.300 Euro je Bitcoin (CoinGecko) entspricht das einem Gegenwert von über 400 Milliarden Euro. Noch existiert kein Rechner, der diese Schlüssel brechen könnte. Aber die Debatte darüber, was Bitcoin tun soll, bevor es so weit ist, hat 2026 eine neue Schärfe bekommen. Im Zentrum steht ausgerechnet das Upgrade, das viele als Bitcoins elegantestes gefeiert haben: Taproot.

Denn Taproot hat neben allen Vorzügen eine Eigenschaft, die 2021 kaum jemand betonte: Es legt öffentliche Schlüssel von Haus aus offen auf der Blockchain ab. Genau das macht die Quantenfrage von einem abstrakten Zukunftsthema zu einer konkreten Design-Entscheidung. Dieser Text erklärt, was Taproot technisch ist, warum es die Quantenfrage verschärft und wie die beiden Vorschläge BIP-360 und BIP-361 jenen Migrationsplan skizzieren, über den Bitcoin gerade streitet.

Was Taproot ist, in zwei Minuten erklärt

Taproot ist das bislang letzte große Soft-Fork-Upgrade von Bitcoin. Es wurde über den Mechanismus „Speedy Trial“ aktiviert: In Block 687.284 am 12. Juni 2021 signalisierten mehr als 90 Prozent der Miner Zustimmung, die eigentliche Aktivierung folgte in Block 709.632 am 14. November 2021 (CoinDesk). Technisch besteht Taproot aus drei Bitcoin Improvement Proposals, die als Paket zusammengehören: BIP 341 (die eigentliche Taproot-Struktur und das neue Ausgabeformat P2TR), BIP 340 (Schnorr-Signaturen) und BIP 342 (Tapscript, die angepasste Skriptsprache). Die Autoren waren unter anderem Pieter Wuille, Jonas Nick, Tim Ruffing und Anthony Towns.

Nach außen erkennt man Taproot an einem neuen Adresstyp: Adressen, die mit bc1p beginnen, sind Taproot-Ausgaben (Pay-to-Taproot, kurz P2TR). Zum Vergleich: bc1q steht für das ältere SegWit-Format (Version 0), eine führende 1 für Legacy-Adressen aus Bitcoins Frühzeit. Taproot verfolgte drei Versprechen auf einmal: kleinere und günstigere Transaktionen, bessere Vertraulichkeit (eine einfache Zahlung und ein komplexer Smart Contract sollen on-chain gleich aussehen) und eine saubere Grundlage für fortgeschrittene Skripte. Alle drei Versprechen beruhen auf einem einzigen kryptografischen Baustein, den Taproot in Bitcoin brachte: Schnorr-Signaturen.

Schnorr-Signaturen: kleiner, eleganter, offener

Bis Taproot nutzte Bitcoin für Signaturen das Verfahren ECDSA. Schnorr-Signaturen lösen dasselbe Grundproblem (beweise, dass du den privaten Schlüssel kennst, ohne ihn zu verraten), tun das aber mathematisch sauberer. Eine Schnorr-Signatur ist exakt 64 Byte groß, der dazugehörige öffentliche Schlüssel in der sogenannten x-only-Form nur 32 Byte. Das spart Platz und damit Gebühren.

Der entscheidende Unterschied ist aber die Linearität. Bei Schnorr gilt, grob gesagt: Addiert man zwei Signaturen, ergibt das eine gültige Signatur für die Summe der beiden öffentlichen Schlüssel. ECDSA kann das nicht. Aus dieser Eigenschaft folgt die Schlüsselaggregation: Mehrere Unterzeichner können ihre Schlüssel zu einem einzigen zusammenrechnen, sodass eine 2-von-2- oder 3-von-5-Konstruktion auf der Blockchain wie eine ganz normale Einzelsignatur aussieht. Das ist die Grundlage von Verfahren wie MuSig2 (standardisiert als BIP 327), mit dem sich Multisig praktisch unsichtbar machen lässt, ein Thema, das an anderer Stelle ausführlich behandelt ist.

Für die Quantenfrage ist ein Detail wichtig, das in den Effizienz-Jubelmeldungen von 2021 unterging: Diese Eleganz erkauft Taproot damit, dass der öffentliche Schlüssel direkt im Ausgabeformat steht. Dazu später mehr; zunächst das zweite große Bauteil.

MAST und Tapscript: nur der genutzte Ast wird sichtbar

Komplexe Ausgabebedingungen (etwa „entweder unterschreiben Alice und Bob gemeinsam, oder nach drei Monaten darf Alice allein“) wurden vor Taproot vollständig on-chain veröffentlicht, sobald man das Geld ausgab, inklusive aller ungenutzten Zweige. Taproot ersetzt das durch einen Merkle-Baum aus Skripten, genannt MAST (Merkelized Alternative Script Trees). Dabei wird nur der tatsächlich genutzte Ast offengelegt, der Rest bleibt verborgen.

Jede Taproot-Ausgabe kennt deshalb zwei Wege, sie auszugeben. Der Key-Path ist der einfache Fall: Eine einzige Schnorr-Signatur des (ggf. aggregierten) Schlüssels genügt. Der Script-Path ist der Rückfall-Weg, über den beliebig verschachtelte Skript-Bedingungen laufen, etwa Zeitschlösser für Erbschaftslösungen oder Vaults. Weil der kooperative Normalfall über den Key-Path läuft, sieht die überwältigende Mehrheit der Taproot-Zahlungen on-chain identisch aus, egal ob dahinter eine Einzelperson, eine Firmen-Schatzkammer oder ein Lightning-Kanal steckt. Technisch steckt die neue Skriptlogik in Tapscript (BIP 342). Dort wurde unter anderem der alte Multisig-Befehl OP_CHECKMULTISIG deaktiviert und durch das effizientere OP_CHECKSIGADD ersetzt.

Gefeiert wurde Taproot aber vor allem für das, was es später möglich machte. Auf seiner Grundlage entstanden die Taproot-Kanäle im Lightning Network, das Token-Protokoll Taproot Assets, über das inzwischen sogar Dollar-Stablecoins auf Lightning laufen, sowie neue Zweitschichten wie Ark und Spark. Auch die Inschriften-Welle rund um Ordinals und Runes, die 2023 und 2024 die Blöcke füllte, griff auf Taproot-Strukturen zurück. Ein großer Teil der Bitcoin-Innovation der vergangenen Jahre steht damit auf dem Fundament, das dieses Upgrade gelegt hat, und genau deshalb wiegt die Quantenfrage, die an ebendiesem Fundament kratzt, so schwer.

Der Haken, den 2021 kaum jemand betonte

Hier liegt der Dreh- und Angelpunkt dieses Artikels. Bei den älteren Adressformaten P2PKH (Legacy) und P2WPKH (bc1q-SegWit) enthält die Ausgabe nicht den öffentlichen Schlüssel selbst, sondern nur dessen Hash (konkret einen HASH160-Wert). Der echte öffentliche Schlüssel taucht erst in dem Moment auf, in dem man die Münze ausgibt. Solange eine solche Adresse unberührt und nie wiederverwendet bleibt, ist der öffentliche Schlüssel hinter einer Hash-Funktion versteckt.

Bei Taproot ist das anders. Der sogenannte Output-Key, ein 32 Byte langer öffentlicher Schlüssel, steht direkt im Ausgabeskript, ab dem Moment, in dem die Ausgabe entsteht. Vereinfacht gesagt verschmilzt Taproot den internen Schlüssel mit dem Wurzel-Hash des Skriptbaums zu diesem einen öffentlichen Output-Key. Das ist genau die Eigenschaft, die den Key-Path so effizient und privat macht, und zugleich die, die jede Taproot-Ausgabe von Geburt an dem Blick eines künftigen Quantencomputers aussetzt. Die Forschungsabteilung Google Quantum AI formulierte es Ende März 2026 so: Taproot habe öffentliche Schlüssel standardmäßig auf der Blockchain sichtbar gemacht und damit eine Schutzschicht entfernt, die ältere Adressformate noch boten.

Das ist keine Sicherheitslücke im klassischen Sinn. Gegen heutige Rechner ist ein offengelegter Schlüssel völlig unproblematisch, das Rückrechnen vom öffentlichen zum privaten Schlüssel (das Diskrete-Logarithmus-Problem auf der Kurve secp256k1) ist praktisch unmöglich. Es ist eine Design-Entscheidung, die erst dann relevant wird, wenn ein hinreichend großer Quantencomputer existiert. Die folgende Tabelle zeigt, wie die gängigen Adresstypen sich beim Thema Schlüssel-Offenlegung unterscheiden.

Ein wichtiger Zusatz: Auch Hash-geschützte Adressen verlieren ihren Schutz, sobald sie wiederverwendet werden. Jede Ausgabe legt den öffentlichen Schlüssel offen; wer danach erneut auf dieselbe Adresse einzahlt, parkt sein Geld hinter einem bereits bekannten Schlüssel. Adress-Wiederverwendung, in Bitcoin ohnehin als schlechte Praxis verpönt, wird im Quantenkontext zum konkreten Risiko.

Wie ein Quantencomputer Bitcoin wirklich angreifen würde

Die Bedrohung läuft über einen Algorithmus namens Shor, der auf einem leistungsfähigen Quantencomputer das Diskrete-Logarithmus-Problem effizient lösen könnte. Praktisch heißt das: Wer einen offengelegten öffentlichen Schlüssel sieht, könnte den dazugehörigen privaten Schlüssel berechnen und die Münzen bewegen. Es gibt zwei Angriffsvarianten, und sie zielen auf unterschiedliche Opfer.

Wichtig zur Einordnung: Nicht jeder Teil von Bitcoin ist gleichermaßen betroffen. Quantencomputer bedrohen über den Shor-Algorithmus die Signatur-Kryptografie auf Basis elliptischer Kurven, also den Eigentumsnachweis. Bitcoins Mining und die Hash-Funktion SHA-256 sind dagegen nur über den schwächeren Grover-Algorithmus angreifbar, der lediglich eine quadratische Beschleunigung bringt; dem ließe sich notfalls mit höherer Schwierigkeit begegnen. Das eigentliche Problem ist also nicht, dass Quantencomputer Bitcoin „schürfen“, sondern dass sie fremde Schlüssel fälschen könnten.

Die erste ist die Langzeit-Ernte, oft als „harvest now, decrypt later“ beschrieben. Alle bereits offengelegten Schlüssel stehen für immer öffentlich in der Blockchain. Ein Angreifer muss nichts abfangen; er wartet einfach, bis die Hardware so weit ist, und greift dann ruhende, exponierte Bestände an. Genau hier liegen Satoshis frühe P2PK-Münzen und jede wiederverwendete oder als bc1p geparkte Adresse. Die zweite Variante ist der Live-Angriff im Mempool. Sobald jemand eine Transaktion von einer Hash-geschützten Adresse sendet, wird der Schlüssel für die Dauer der Bestätigung sichtbar. Ein Quantencomputer müsste in diesem Fenster den Schlüssel brechen und eine konkurrierende Transaktion einschleusen.

Wie eng dieses Fenster ist, hat die erwähnte Google-Forschung beziffert: Ein passender Rechner könnte den Angriff in etwa neun Minuten abschließen, sobald eine Transaktion erscheint, mit rund 41 Prozent Erfolgschance gegen Bitcoins typisches Zehn-Minuten-Bestätigungsfenster. Die Gesamtbilanz der Exposition fällt je nach Zählweise unterschiedlich aus: Die genannte Google-Studie spricht von rund 6,9 Millionen BTC (etwa ein Drittel des Umlaufs) auf Adressen mit irgendwann offengelegtem Schlüssel, die Quantum Alliance von 6,4 Millionen. Schätzungen reiner P2PK-Altbestände beginnen bei etwa 1,9 Millionen BTC. In allen Varianten enthalten: die rund 1,1 Millionen BTC, die Satoshi zugeschrieben werden und die, falls die Schlüssel verloren sind, niemand mehr migrieren kann.

Wie real ist die Gefahr? Der Stand der Hardware 2026

Die wichtigste Nachricht zuerst: Ein kryptografisch relevanter Quantencomputer (im Fachjargon CRQC) existiert Ende 2026 nicht. Die beste öffentlich bekannte Hardware liegt bei grob 1.000 bis 1.500 physischen Qubits, mit einer Handvoll bis wenigen Dutzend fehlerkorrigierter logischer Qubits. Google demonstrierte mit seinem Willow-Chip 105 Qubits, IBM peilt rund 200 logische Qubits bis 2029 an, und Quantinuum meldete im Oktober 2026 für sein Helios-System eine logische Zuverlässigkeit von 99,9995 Prozent. Fortschritte, aber keiner davon ist ein funktionierender Angriffsrechner.

Zur Einordnung der Lücke: Die Google-Forschung schätzt, dass ein Angriff auf Bitcoins Signaturverfahren weniger als 500.000 physische oder etwa 1.200 bis 1.450 hochwertige logische Qubits erfordert. Googles eigener Zielhorizont für „nützliche Quantensysteme“ liegt bei etwa 2029. Die folgende Tabelle stellt den heutigen Stand dem geschätzten Schwellwert gegenüber.

Wann dieser „Q-Day“ kommt, ist hochumstritten. Die Schätzungen reichen von rund 2028 über Googles 2029-Marke für nützliche Systeme bis zu Prognosen, die ein kryptografisch relevantes Gerät erst in den 2030er-Jahren oder noch später erwarten. Genau diese Unsicherheit ist das Problem: Weil niemand das Datum kennt, lässt sich der richtige Startzeitpunkt für eine jahrelange Migration nicht sauber bestimmen. Wer zu früh handelt, zahlt unnötige Kosten; wer zu spät handelt, riskiert alles.

Warum also die Eile? Weil Bitcoins Antwort kein Software-Update ist, das man über Nacht einspielt, sondern ein koordinierter Soft Fork samt mehrjähriger Wanderung von Milliarden an Werten. Das dauert, und es muss abgeschlossen sein, bevor und nicht nachdem die Hardware reif ist. Genau dafür gibt es seit 2026 zwei konkrete Baupläne.

BIP-360: eine Adresse, die den Schlüssel wieder versteckt

Der erste Baustein ist BIP-360, maßgeblich vom Entwickler Hunter Beast vorangetrieben. Der Vorschlag begann 2024 unter dem Namen Pay-to-Quantum-Resistant-Hash (P2QRH) und firmiert inzwischen als Pay-to-Merkle-Root (P2MR). Er führt einen neuen Adresstyp mit eigener SegWit-Witness-Version ein, der dieselbe Tapscript-Funktionalität wie Taproot bietet, aber ohne den quantenanfälligen Key-Path. Kurz: eine Taproot-ähnliche Ausgabe, die den öffentlichen Schlüssel eben nicht mehr offen ausstellt. BIP-360 wurde im Februar 2026 in das offizielle Bitcoin-Repository aufgenommen, als formaler Entwurf, nicht als aktivierte Konsensregel. Seit März 2026 läuft dazu ein Testnetz, auf dem bereits quantenresistente Transaktionen produziert werden.

Wichtig ist, was BIP-360 bewusst offenlässt: Der Vorschlag legt den Adressrahmen fest, aber noch nicht das konkrete Signaturverfahren. Zur Wahl stehen hash-basierte Verfahren wie SPHINCS+ (sehr robust, aber mit großen Signaturen) und gitterbasierte Verfahren (kompakter, aber weniger kampferprobt), beide aus der Riege der vom US-Standardisierungsinstitut NIST geprüften Post-Quantum-Algorithmen. Der Haken: Post-Quantum-Signaturen sind deutlich größer als die 64 Byte von Schnorr. Das belebt die alte Blockgrößen- und Gebührendebatte neu, denn größere Signaturen bedeuten vollere Blöcke und höhere Kosten. Dieselbe Frage nach dem knappen Blockraum und dem Gebührenmarkt bestimmt auch die Diskussion um Taproots leere Blöcke und das Sicherheitsbudget.

BIP-361: der Fahrplan in drei Phasen

BIP-360 schafft nur das Ziel. Der eigentliche Zündstoff steckt im zweiten Baustein, der die Wanderung dorthin erzwingen würde. BIP-361, formal betitelt „Post Quantum Migration and Legacy Signature Sunset“, wurde am 14. April 2026 vom bekannten Entwickler Jameson Lopp zusammen mit fünf Mitautoren eingereicht. Der Vorschlag beschreibt einen Weg in drei Phasen, an dessen Ende nicht migrierte Coins in quantenanfälligen Adressen dauerhaft unbeweglich würden.

Phase C ist dabei die Wette auf die Zukunft. Die Idee: Wer seine anfälligen Coins nicht rechtzeitig bewegt hat, soll per Zero-Knowledge-Beweis belegen können, dass er den Schlüssel kennt, ohne ihn offenzulegen, und die Münzen so auf eine quantenresistente Adresse retten. Ob das für sehr alte Ausgaben vor dem Wallet-Standard BIP-39 überhaupt funktioniert, ist unklar. Lopp selbst betont, der Zeitplan sei kein fixer Kalender, sondern eine Notfallplanung.

Das eigentliche Dilemma: einfrieren oder stehlen lassen

Hinter dem technischen Fahrplan steckt eine unbequeme Grundsatzfrage, und sie ist der Grund, warum BIP-361 so viel Widerspruch auslöst. Wenn ein Quantencomputer private Schlüssel aus offengelegten öffentlichen Schlüsseln berechnen kann, dann verliert die Signatur ihre Funktion als Eigentumsnachweis. Ab diesem Punkt gibt es nur noch zwei Richtungen: Entweder das Netzwerk friert die anfälligen Coins per Konsens ein, bevor jemand sie stiehlt, oder es lässt sie beweglich und riskiert, dass der erste Betreiber eines solchen Rechners Millionen BTC abräumt. Beides verletzt ein Prinzip, das Bitcoin-Nutzern wichtig ist.

Lopp hat diese Zwickmühle in einem vielbeachteten Essay ausbuchstabiert. Sein Kernsatz: Jede ernsthafte Option verletze ein Prinzip, das Bitcoin-Nutzern am Herzen liege. Er stellt dem klassischen Grundsatz „not your keys, not your coins“ eine Ergänzung gegenüber, „your keys, only your coins“, und argumentiert, ein Quantenangreifer breche genau diese Ergänzung, weil eine Signatur dann kein Beweis für tatsächliche Kontrolle mehr sei. Lopp hält beide Lager für legitim: Beide Seiten verteidigten Bitcoins Prinzipien, nur eben in unterschiedlicher Auslegung. Die Debatte sei weniger ein „einfrieren oder nicht“ als die Frage, wie sich die Summe aller Eigentumsverletzungen minimieren lasse, wenn ECDSA rechtmäßiges Eigentum nicht mehr zuverlässig beweise.

Bemerkenswert ist, dass der Autor des Vorschlags selbst zur Zurückhaltung mahnt. Lopp hat öffentlich erklärt, er erwarte nicht, dass irgendjemand BIP-361 ernsthaft zur Aktivierung vorschlage, solange es nicht sehr wahrscheinlich erscheine, dass ein kryptografisch relevanter Quantencomputer weniger als zehn Jahre entfernt sei. Mit anderen Worten: BIP-361 ist ein Plan in der Schublade, kein Antrag auf morgen.

Die Lager und ihre Gegenentwürfe

Kaum war BIP-361 veröffentlicht, formierten sich die Fronten. Nur einen Tag später sprach sich Blockstream-Chef Adam Back auf der Paris Blockchain Week für den Gegenentwurf aus: Bitcoin solle quantenresistente Upgrades jetzt bauen, aber als freiwillige Option, ohne Zwangs-Einfrieren (CoinDesk). Auch Tadge Dryja, Mitautor des Lightning-Whitepapers, plädierte dafür, die Einführung quantenresistenter Adressen von der Abschaltung alter Ausgaben zu trennen und auf starre Fristen zu verzichten. Auf der anderen Seite steht prominent Binance-Gründer Changpeng Zhao, der vorgeschlagen hat, zumindest Satoshis 1,1 Millionen BTC einzufrieren.

Die bereits erwähnte Quantum Alliance hat diese Linien im Oktober 2026 noch einmal sichtbar gemacht. Christopher Smith, CEO der Sicherheitsfirma Quantus, warnte unverblümt, wer den ersten CRQC besitze, werde die exponierten Coins nehmen, wahrscheinlich mit staatlicher Rückendeckung. Bryn Bennett, Chief Revenue Officer beim Dienstleister The Vault, brachte den Einwand der Gegenseite auf den Punkt: Das Einfrieren von Coins sei eine Governance-Entscheidung des Bitcoin-Netzwerks, nicht der Industrie. Und Richard Carback, Technikchef von Postquant Labs, zog eine dritte Linie: lieber bewegen als einfrieren, etwa über Treuhandlösungen, und er nannte 2028 als realistischen Zeithorizont für die Bedrohung. Drei Fachleute, drei Haltungen, kein Konsens, exakt das Bild, das die Überschrift der CoinDesk-Berichterstattung einfing: Alle sind sich einig, dass Quantencomputer Satoshis Bitcoin gefährden könnten, nur nicht darüber, was als Nächstes zu tun ist.

BIP-361 ist nicht der einzige Entwurf im Umlauf, und seine Schärfe hat milderen Vorschlägen Auftrieb gegeben. Drei Ansätze werden besonders diskutiert:

• Quantum Canary (von BitMEX Research): ein empirischer Auslöser. Statt nach Kalender einzufrieren, legt man eine Köder-Adresse mit bekanntem Schlüssel an; erst wenn diese nachweislich geplündert wird, also ein Quantenangriff real demonstriert ist, greifen Schutzmaßnahmen.
• Freiwillige Migration (die Linie von Adam Back): quantenresistente Adressen bereitstellen, aber niemanden zwingen und nichts einfrieren. Das schont die Eigentumsrechte, verlagert das Risiko aber vollständig auf jene, die nicht rechtzeitig umziehen.
• Hourglass V2: kein Einfrieren, aber eine Durchsatzbremse. Gestohlene oder anfällige Coins dürfen nur gedrosselt ausgegeben werden, um den Marktschock eines plötzlichen Millionen-BTC-Verkaufs abzufedern.

Jeder dieser Wege handelt denselben Kompromiss anders aus: Wie viel Zwang ist zulässig, um systemischen Schaden abzuwenden, und wer trägt am Ende das Risiko, der Einzelne oder das Netzwerk? Ein echter Konsens zeichnet sich 2026 nicht ab, und genau das ist Teil der Geschichte.

Was das für Lightning, Spark und Layer 2 bedeutet

Die Quantenfrage endet nicht an der Basisschicht. Gerade die Skalierungslösungen, die Taproot überhaupt erst ermöglicht hat, haben ein eigenes Expositionsproblem. Das Lightning Network legt durch seine Kanäle und das Routing laufend öffentliche Schlüssel offen, strukturell also breiter exponiert als eine einzelne ruhende Ausgabe. Statechains wie Spark setzen auf FROST-Schwellensignaturen und koordinieren viel off-chain, was die Exposition verengt, benötigen aber ihrerseits ein quantenresistentes Schwellensignatur-Verfahren, das noch entwickelt werden muss.

Das rückt eine Frage in den Vordergrund, die ohnehin über jeder Layer-2-Debatte schwebt: Was macht eine zweite Schicht wirklich sicher und wem gehört das Geld, wenn eine Annahme bricht? Der Absturz von ECX hat vorgeführt, wie schnell eine vermeintliche Bitcoin-Layer-2 ihr Sicherheitsversprechen verlieren kann. Quantenresistenz ist in diesem Licht keine exotische Zusatzfunktion, sondern Teil derselben Vertrauensfrage, nur mit einem längeren Zeithorizont.

Was der Markt schon tut, und was Anleger tun können

Während Entwickler über Fristen streiten, haben Teile des Marktes bereits reagiert. Taproots Anteil an den On-Chain-Transaktionen war nie so hoch, wie die frühe Begeisterung vermuten ließ: Nach dem von Ordinals und Runes getriebenen Zwischenhoch von über 40 Prozent Anfang 2024 pendelte er sich wieder ein und lag laut Glassnode 2026 meist im einstelligen bis niedrig zweistelligen Prozentbereich. Der Anteil von P2TR an den Adressen fiel von knapp 54 Prozent Anfang 2024 auf rund 22 Prozent Anfang 2026.

Ein Teil dieses Rückgangs ist schlicht das Abklingen des Inschriften-Hypes, der ohnehin eng mit der Gebühren- und Sicherheitsbudget-Frage verwoben ist. Ein anderer Teil geht laut On-Chain-Analysten auf die Quantensorge zurück: Der bekannte Analyst Willy Woo etwa beobachtete einen Rückgang der Taproot-Nutzung von rund 42 auf etwa 20 Prozent und riet Haltern, Bestände vorsorglich von bc1p zurück auf hash-geschützte Adressen zu bewegen. Man kann darüber streiten, ob das verfrüht ist. Aber es zeigt, dass die Debatte um BIP-360 und BIP-361 keine rein akademische ist, sie beeinflusst heute schon, wie Menschen ihre Coins verwahren.

Die ehrlichste Antwort lautet: nicht in Panik verfallen. Es gibt Ende 2026 keinen Rechner, der eine Bitcoin-Adresse brechen kann, und jeder seriöse Fahrplan rechnet in Jahren, nicht in Wochen. Trotzdem gibt es risikoarme Gewohnheiten, die unabhängig von der Quantenfrage sinnvoll sind und die Exposition senken:

• Adressen nicht wiederverwenden. Jede Ausgabe legt den öffentlichen Schlüssel offen; eine frische Adresse pro Empfang hält den Schlüssel hash-geschützt.
• Größere, lange ruhende Bestände auf nie genutzten Hash-Adressen (Legacy oder bc1q) halten, statt sie auf wiederverwendeten oder bc1p-Adressen zu parken.
• Software und Hardware-Wallets aktuell halten, um einem künftigen quantenresistenten Adresstyp folgen zu können, sobald er aktiviert ist.
• Keine überstürzten Umzüge wegen Panikmeldungen. Wer jetzt hektisch Coins verschiebt, zahlt Gebühren und macht Fehler, ohne ein reales Risiko abzuwenden.

Steuerlich ist in Deutschland wichtig: Das Verschieben eigener Coins zwischen eigenen Adressen, egal ob von bc1p zurück nach bc1q oder künftig auf eine quantenresistente Adresse, ist keine Veräußerung im Sinne des Paragraf 23 EStG. Es löst keinen steuerbaren Vorgang aus und setzt die einjährige Haltefrist nicht zurück. Verwechseln sollte man das nicht mit laufenden Erträgen aus Staking oder Lending, die eigenen Regeln folgen.

Wer entscheidet das überhaupt? Nicht die BaFin

Bei einer Frage von dieser Tragweite liegt der Reflex nahe, nach einer Aufsichtsbehörde zu rufen. Doch so funktioniert Bitcoin nicht. Die BaFin und die europäische MiCA-Verordnung regulieren Krypto-Dienstleister (Börsen, Verwahrer, Emittenten), nicht das Protokoll oder die Konsensregeln selbst. Ihre Zuständigkeit setzt an den Schnittstellen zur regulierten Finanzwelt an; das geht aus der Merkblatt-Guidance der BaFin zu Kryptowerte-Dienstleistungen vom 3. Januar 2025 hervor. Ob Bitcoin einen quantenresistenten Soft Fork aktiviert, ob und wann Phase B von BIP-361 greift, das entscheidet keine Behörde, sondern der raue Konsens aus Entwicklern, Minern, Node-Betreibern und Nutzern.

Das ist zugleich Bitcoins größte Stärke und in diesem Fall seine größte Hürde. Ein Soft Fork, der Transaktionen von bestimmten Adressen dauerhaft ungültig macht, berührt den Kern dessen, was Bitcoin verspricht: dass niemand dir deine Coins wegnehmen oder einfrieren kann. Genau deshalb warnen Kritiker, ein Einfrier-Mechanismus schaffe einen Präzedenzfall, der sich später für Sanktionen oder Zensur missbrauchen ließe, eine technische Fähigkeit, die man vielleicht gar nicht erst erschaffen sollte. Befürworter halten dagegen, ein kontrolliertes Einfrieren sei strikt weniger schädlich als ein unkontrollierter Diebstahl, der obendrein Millionen Coins auf den Markt werfen und das gesamte System destabilisieren könnte. Beide Argumente stimmen, und das ist der Grund, warum die Debatte so hart geführt wird.

Fazit: Taproots Erbe ist eine offene Rechnung

Taproot war und ist ein technisch gelungenes Upgrade: Schnorr, MAST und Tapscript haben Bitcoin effizienter, privater und flexibler gemacht und eine ganze Welt zweiter Schichten erst möglich gemacht. Aber dieselbe Design-Entscheidung, die den Key-Path so elegant macht, hat Bitcoins öffentliche Schlüssel ins Schaufenster gestellt. 2026 ist das Jahr, in dem diese Rechnung sichtbar wurde, nicht als akuter Notfall, sondern als unausweichliche Hausaufgabe.

BIP-360 zeigt, wie das Ziel aussehen könnte, eine Adresse, die den Schlüssel wieder versteckt. BIP-361 zeigt, wie steinig der Weg dorthin ist und wie tief er an Bitcoins Selbstverständnis rührt. Zwischen dem Gründer des Vorschlags, der zur Zurückhaltung mahnt, einem Blockstream-Chef, der auf Freiwilligkeit setzt, und einer Industrieallianz, die den Druck erhöht, ist eine Sache klar geworden: Die Quantenfrage ist bei Bitcoin keine Frage der Physik mehr, sondern eine der Governance. Und die wird nicht in einem Labor entschieden, sondern im zähen Ringen der Community, lange bevor der erste Quantencomputer jemals eine Signatur knackt.

Frequently Asked Questions

Was ist Taproot bei Bitcoin einfach erklärt?

Taproot ist ein Soft-Fork-Upgrade, das Bitcoin im November 2021 aktiviert hat. Es brachte Schnorr-Signaturen, den Skriptbaum MAST und die Skriptsprache Tapscript und machte Transaktionen kleiner, günstiger und privater. Erkennbar ist es am Adresstyp, der mit bc1p beginnt.

Macht Taproot Bitcoin anfällig für Quantencomputer?

Gegen heutige Computer ist Taproot sicher. Allerdings legt es den öffentlichen Schlüssel von Anfang an offen auf der Blockchain ab, während ältere Formate wie bc1q ihn bis zur ersten Ausgabe hinter einem Hash verbergen. Gäbe es je einen ausreichend großen Quantencomputer, wären offengelegte Schlüssel das erste Ziel, weshalb Taproot in der Quantendebatte besonders im Fokus steht.

Was ist der Unterschied zwischen BIP-360 und BIP-361?

BIP-360 definiert einen neuen, quantenresistenten Adresstyp ohne den anfälligen Key-Path und wurde im Februar 2026 ins Bitcoin-Repository aufgenommen. BIP-361 ist der umstrittenere Fahrplan dazu: Er würde in drei Phasen alte Signaturen abschalten und nicht migrierte Coins am Ende einfrieren. BIP-360 schafft also das Ziel, BIP-361 den erzwungenen Weg dorthin.

Werden meine Bitcoin eingefroren, wenn ich eine bc1p-Adresse nutze?

Aktuell nicht. BIP-361 ist nur ein Vorschlag und nicht aktiviert; sein Hauptautor Jameson Lopp hat betont, eine Aktivierung komme erst infrage, wenn ein tauglicher Quantencomputer als weniger als zehn Jahre entfernt gilt. Ein mögliches Einfrieren läge nach dem Entwurf Jahre in der Zukunft und beträfe nur Coins, die bis dahin nicht auf einen sicheren Adresstyp migriert wurden.

Kann ein Quantencomputer Bitcoin heute schon knacken?

Nein. Ende 2026 liegt die beste öffentlich bekannte Hardware bei etwa 1.000 bis 1.500 physischen Qubits, während Schätzungen für einen Angriff auf Bitcoin unter 500.000 physische oder rund 1.200 bis 1.450 logische Qubits annehmen. Googles Zeithorizont für nützliche Quantensysteme liegt bei etwa 2029, ein nachgewiesener Angriff existiert nicht.

Marcus Okafor berichtet für HOGE Wire über Bitcoin, Protokoll-Upgrades und die Technik der Basisschicht.