Ein Output, zwei Wege: der Taproot-Leitfaden 2026

Am 14. November 2021, Block 709.632, änderte Bitcoin zum bislang letzten Mal seine Konsensregeln. Das Upgrade hieß Taproot, und fast genau fünf Jahre später steckt es fast überall: in nahezu jeder modernen Wallet, unter den Zahlungskanälen des Lightning Network, unter den neuen Layer-2-Protokollen, die 2026 Bitcoins Basisschicht wieder interessant machen. Bemerkt hat es trotzdem kaum jemand. Ein Bitcoin kostet an diesem 11. November rund 66.200 Euro (CoinGecko), und die wenigsten Besitzer wissen, dass ihre Coins längst auf einer anderen technischen Grundlage ruhen als 2020.

Die meisten Erklärstücke zählen an dieser Stelle Funktionen auf: Schnorr-Signaturen, MAST, Tapscript. Dieser Leitfaden geht anders vor. Er beginnt bei der einen Idee, aus der alles Übrige folgt: Jeder Taproot-Output ist ein öffentlicher Schlüssel, der zugleich die verborgene Wurzel eines ganzen Baums aus Ausgabebedingungen ist. Wer das verstanden hat, versteht auch, warum Privatsphäre, Effizienz und Programmierbarkeit auf einen Schlag besser wurden, warum der Ordinals-Boom technisch überhaupt möglich war, warum 2026 ein Layer-2-Wettlauf tobt und warum ausgerechnet Taproot im Zentrum der Quantendebatte steht.

Die eine Idee: ein Schlüssel, der ein Baum ist

Vor Taproot band ein Bitcoin-Output die Coins an genau eine Bedingung, die beim Ausgeben sichtbar wurde: einen Schlüssel-Hash bei einer einfachen Adresse, ein vollständiges Multisig-Skript bei einer Gemeinschaftskasse. Jede dieser Bedingungen landete im Klartext in der Blockchain, sobald man die Coins bewegte. Taproot dreht das um. Ein Taproot-Output ist nur noch ein einziger, 32 Byte kurzer öffentlicher Schlüssel (Adresstyp P2TR, Präfix bc1p). Dieser Schlüssel ist aber getweakt: Er entsteht aus einem echten Ausgabeschlüssel plus einem Aufschlag, der die Wurzel eines Merkle-Baums aus alternativen Skripten in sich trägt.

Daraus ergeben sich zwei Wege, denselben Coin auszugeben. Der erste ist der Key Path: Alle Beteiligten sind sich einig und unterschreiben gemeinsam mit dem getweakten Schlüssel. Nach außen sieht das aus wie eine ganz normale Einzelzahlung, der verborgene Baum bleibt für immer unsichtbar. Der zweite ist der Script Path: Wenn die Kooperation scheitert, deckt man genau einen Ast des Baums auf, das passende Skript plus einen kurzen Merkle-Beweis, und erfüllt dessen Bedingung. Der entscheidende Trick ist, dass immer nur der eine tatsächlich genutzte Ast offengelegt wird. Ein Baum mit zehn Notfall-Klauseln kostet nichts extra, solange man ihn nie braucht. Dieses Zusammenspiel, ein Schlüssel, der heimlich ein Baum ist, ist die ganze Idee hinter Taproot. Alles Weitere in diesem Text ist nur die Entfaltung dieser einen Sache.

Das Wort getweakt verdient eine kurze Erklärung, weil es der Dreh- und Angelpunkt ist. Man nimmt den echten Ausgabeschlüssel und addiert einen kleinen, aus der Baumwurzel berechneten Wert hinzu. Das Ergebnis ist wieder ein ganz gewöhnlich aussehender öffentlicher Schlüssel, dem niemand ansieht, dass in ihm ein Baum steckt. Wer den Key Path nutzt, rechnet diesen Aufschlag beim Signieren einfach mit. Wer den Script Path braucht, weist über den Merkle-Beweis nach, dass sein Skript zur eingebackenen Wurzel gehört. So trägt ein einziger Schlüssel zwei Bedeutungen zugleich, ohne dass die zweite jemals sichtbar werden muss.

Schnorr-Signaturen: das Fundament

Damit dieser Baum funktioniert, brauchte Bitcoin zuerst ein besseres Unterschriftsverfahren. Das liefert BIP 340, die Spezifikation der Schnorr-Signaturen, verfasst von Pieter Wuille, Jonas Nick und Tim Ruffing (bitcoin/bips, BIP 340). Bitcoins altes Verfahren, ECDSA, funktioniert zwar, besitzt aber eine Schwäche, die Schnorr elegant behebt: Es ist nicht linear. Bei Schnorr dagegen gilt eine einfache Rechenregel: Die Summe zweier gültiger Signaturen ist eine gültige Signatur für die Summe der beiden zugehörigen öffentlichen Schlüssel.

Diese Linearität klingt abstrakt, hat aber drei sehr konkrete Folgen. Erstens die Schlüssel-Aggregation: Mehrere Unterzeichner können ihre Schlüssel zu einem einzigen zusammenfassen und gemeinsam eine einzige Signatur erzeugen (das ist die Grundlage von MuSig2, BIP 327). Eine 2-von-2-Gemeinschaftskasse sieht dann in der Blockchain exakt so aus wie eine Wallet einer einzelnen Person. Zweitens die Stapelprüfung: Ein Knoten kann viele Signaturen in einem Rutsch verifizieren, was die Validierung beschleunigt. Drittens feste, kompakte Größen, eine Schnorr-Signatur ist genau 64 Byte lang, ein öffentlicher Schlüssel nur noch 32 Byte (x-only). Kleiner, günstiger und vor allem ununterscheidbar: Das sind die Zutaten, aus denen Taproot seine Privatsphäre- und Effizienzgewinne zieht.

Historisch war das keine Kleinigkeit. Multisig gab es in Bitcoin zwar schon vor Taproot, aber mit ECDSA musste jede beteiligte Signatur einzeln in die Blockchain geschrieben werden; eine 3-von-5-Kasse verriet damit nicht nur, dass es sich um Multisig handelte, sondern auch die genaue Schwelle und die Zahl der Schlüssel. Schnorrs Linearität löst das an der Wurzel, weil die Aggregation bereits vor der Kette passiert. Was on-chain ankommt, ist nur noch ein Schlüssel und eine Signatur, gleichgültig ob eine Person oder ein Konsortium aus zehn Parteien unterschrieben hat. Weniger Daten heißt weniger Gebühren, und weniger verratene Struktur heißt mehr Privatsphäre.

MAST und Tapscript: der versteckte Entscheidungsbaum

Den Baum selbst definiert BIP 341, die eigentliche Taproot-Spezifikation (Autoren Pieter Wuille, Jonas Nick, Anthony Towns; bitcoin/bips, BIP 341). Das zugrunde liegende Konzept heißt MAST, kurz für Merkelized Alternative Script Trees. Statt alle möglichen Ausgabebedingungen gemeinsam in die Blockchain zu schreiben, baut man aus ihnen einen Merkle-Baum und legt nur dessen Wurzel in den Ausgabeschlüssel. Wer über den Script Path ausgibt, zeigt ausschließlich das Blatt, das er wirklich nutzt, plus einen Merkle-Beweis, der belegt, dass dieses Blatt Teil des committeten Baums war. Alle anderen Zweige bleiben für immer geheim, niemand erfährt je, welche Notfall-Regeln noch im Baum gehangen hätten.

Die Skriptsprache für diese Blätter liefert BIP 342, genannt Tapscript. Sie ist eine angepasste Variante von Bitcoin Script, die auf Schnorr zugeschnitten ist. Wichtigster Unterschied zum alten Script: Der berüchtigte Befehl OP_CHECKMULTISIG ist in Tapscript deaktiviert und durch OP_CHECKSIGADD ersetzt, einen Befehl, der Signaturen aufsummiert und damit zu Schnorr und zur Stapelprüfung passt. Zusammen ergibt das eine einfache, aber mächtige Mechanik: Der getweakte Output-Schlüssel ist mathematisch an die Baumwurzel gebunden, ohne dass der Baum je sichtbar sein muss. Eine 3-von-5-Verwahrkonstruktion mit zehn zusätzlichen Fallback-Klauseln sieht, wenn sie kooperativ aufgelöst wird, in der Blockchain genauso aus wie die Zahlung eines Kaffees.

Der Gewinn gegenüber dem alten Verfahren ist dreifach. Erstens bleibt verborgen, dass überhaupt ein komplexer Vertrag vorlag. Zweitens zahlt man nur für den tatsächlich genutzten Ast, nicht für den gesamten Baum. Und drittens lassen sich Bedingungen bauen, die früher unpraktikabel groß gewesen wären, etwa Dutzende Erbfall- oder Notfall-Varianten, weil immer nur eine davon je das Tageslicht sieht. MAST verwandelt damit eine Frage des Platzes in eine Frage der Wahl: Der Baum darf beliebig breit sein, solange am Ende nur ein einzelnes Blatt gezeigt wird.

Key Path und Script Path: warum beides zusammen alles verändert

Die eigentliche Eleganz von Taproot liegt nicht in einem der beiden Wege, sondern in ihrer Kombination. Der teure, aufschlussreiche Script Path ist die Ausnahme; der günstige, nichtssagende Key Path ist die Regel. In der überwältigenden Mehrheit realer Transaktionen sind sich alle Beteiligten einig, also wird der Key Path genutzt, und die Blockchain zeigt nichts außer einem Schlüssel und einer Signatur. Erst wenn etwas schiefgeht, ein Partner nicht mehr mitspielt, eine Zeitsperre greift, ein Streit entsteht, kippt die Transaktion in den Script Path und legt den einen nötigen Ast offen. Die folgende Tabelle stellt beide Wege gegenüber.

Genau dieses Verhältnis, Kooperation billig und privat, Streit teuer und offen, ist der Grund, warum Taproot Privatsphäre, Effizienz und Programmierbarkeit nicht gegeneinander ausspielen muss. Es bekommt alle drei zugleich, weil die komplexe Logik im Verborgenen lebt und nur im Ausnahmefall ans Licht kommt.

Ein Beispiel macht das greifbar. Zwei Partner eröffnen einen Lightning-Kanal; der zugehörige Taproot-Output trägt im verborgenen Baum eine Klausel für den Streitfall, etwa eine Zeitsperre, die einen Betrugsversuch bestraft. Läuft alles glatt und schließen beide den Kanal einvernehmlich, nutzen sie den Key Path: eine gemeinsame Signatur, und in der Blockchain steht eine Transaktion, die von einer gewöhnlichen Zahlung nicht zu unterscheiden ist. Nur wenn einer zu betrügen versucht, deckt der andere über den Script Path die Strafklausel auf. Die aufwendige Absicherung ist also vorhanden, kostet aber nur dann Platz und Gebühren, wenn sie wirklich gebraucht wird.

Die Aktivierung: Speedy Trial und Block 709.632

Dass heute so wenige von Taproot wissen, hat auch mit der Art seiner Einführung zu tun. Nach den zermürbenden Block-Size- und SegWit-Kämpfen von 2017 wollte niemand noch einmal einen monatelangen Lagerkrieg. Also einigte man sich auf ein nüchternes Verfahren namens Speedy Trial: ein zeitlich eng begrenztes Signalisierungsfenster, in dem Miner ihre Zustimmung in die Blöcke schrieben. Erreichte die Zustimmung innerhalb einer Schwierigkeitsperiode mindestens 90 Prozent, war das Upgrade gesperrt und trat nach einer Wartezeit automatisch in Kraft.

Genau so lief es. Der Lock-in fiel bei Block 687.284 am 12. Juni 2021, als über 90 Prozent der Miner signalisierten; die tatsächliche Aktivierung folgte bei Block 709.632 am 14. November 2021 gegen 05:15 Uhr UTC (CoinDesk). Zwischen Lock-in und Aktivierung hatten Knotenbetreiber und Miner Zeit, auf Bitcoin Core 21.1 zu aktualisieren. Es gab keine Kettenspaltung, keinen Streit, keinen dramatischen Moment, nur einen neuen Adresstyp mit dem Präfix bc1p neben dem SegWit-Präfix bc1q und den alten Adressen mit führender 1. Ein Inkrafttreten ohne Aufsehen, das zum unauffälligen Charakter des gesamten Upgrades passte.

Drei Versprechen: Privatsphäre, Effizienz, Programmierbarkeit

Taproot wurde mit drei großen Versprechen beworben. Fünf Jahre später lässt sich nüchtern bilanzieren, was davon eingelöst wurde und wo die Praxis hinter der Theorie zurückbleibt. Die folgende Tabelle fasst das zusammen.

Das Muster ist deutlich: Die kryptografischen Versprechen sind technisch eingelöst, die wirtschaftliche Wirkung hängt davon ab, was Entwickler darauf bauen und wie viele Nutzer mitziehen. Privatsphäre etwa ist nur so gut wie die Gewohnheiten der Masse; wer als Einziger im Dorf eine bc1p-Adresse nutzt, fällt trotzdem auf. Der eigentliche Sprung liegt deshalb weniger in der Basisschicht selbst als in der Ebene darüber.

Was aus dem Baum wächst: Multisig, Vaults, Lightning, DLCs

Sobald jeder Output einen versteckten Bedingungsbaum tragen kann, wird die Frage spannend, was man hineinschreibt. 2026 ist die Antwort überraschend vielfältig. Die wichtigsten Anwendungen auf einen Blick:

• MuSig2 (BIP 327): n-von-n-Schlüssel-Aggregation auf dem Key Path, sozusagen unsichtbares Multisig. Ausgeliefert unter anderem in der Ledger Bitcoin App seit April 2025, in Nunchuk und in LND.
• FROST (BIP 445, Entwurf): t-von-n-Schwellen-Signaturen, bei denen Unterzeichner offline sein dürfen; unter anderem im Betreibermodell von Spark im Einsatz.
• Miniscript-Vaults: Rückhol- und Clawback-Regeln mit Zeitsperren auf dem Script Path, ideal für Nachlass und Diebstahlschutz.
• Taproot-Lightning-Kanäle: Mit LND v0.21 sind einfache Taproot-Kanäle seit Juni 2026 produktionsreif; PTLCs (Point Time-Locked Contracts) ersetzen die alten Hash-basierten HTLCs und verbessern die Privatsphäre.
• DLCs (Discreet Log Contracts): orakelgestützte Wetten und Derivate, die on-chain wie gewöhnliche Zahlungen aussehen.

Allen gemeinsam ist dieselbe Dividende der Dualität: Die komplizierte Logik wohnt im verborgenen Ast und wird nur im Konfliktfall sichtbar. Ein kooperativ geschlossener Lightning-Kanal, eine gemeinsam aufgelöste Gemeinschaftskasse, eine abgewickelte Wette, sie alle hinterlassen in der Blockchain nur die unscheinbare Spur einer einzigen Signatur.

Bemerkenswert ist, wie weit diese Bausteine 2026 bereits in echten Produkten stecken. Schwellen-Signaturen und aggregierte Schlüssel sind längst keine Laborkonstrukte mehr, sondern Teil von Hardware-Wallets und kollaborativen Verwahrdiensten, bei denen mehrere Parteien einen Schlüsselbund teilen, ohne dass die Kette es verrät. Für den Nutzer verschwindet die Komplexität hinter einer gewohnten Oberfläche; er sieht eine Adresse und eine Bestätigung, nicht den Baum dahinter. Genau das war die Absicht: Sicherheit, die man nicht sehen muss, um sie zu haben.

Die Asset-Schicht: Ordinals, Runes und Taproot Assets

Taproot hatte auch eine Nebenwirkung, die niemand seiner Autoren geplant hatte. Weil das Upgrade das Einbetten größerer Datenmengen in den Zeugnis-Teil einer Transaktion günstiger machte, nutzte Casey Rodarmor diese Lücke ab Januar 2023 für sein Ordinals-Protokoll: Daten, Bilder und Texte lassen sich seither einzelnen Satoshis einschreiben. Bis Mitte 2026 waren über 117 Millionen solcher Inschriften entstanden. Dieser Boom trieb den Taproot-Anteil an den Transaktionen 2024 kurzzeitig in die Höhe und machte Bitcoin für eine neue, spekulative Nutzergruppe interessant.

Wichtig ist hier eine Unterscheidung, die oft verwischt wird. Die eigentlichen Inschriften, also Ordinals, sind Taproot-nativ. Runes dagegen, von Rodarmor am Halving-Tag, dem 20. April 2024 bei Block 840.000, eingeführt, nutzen den OP_RETURN-Mechanismus und nicht Taproot im engeren Sinne. Wer die beiden gegeneinander abwägt oder sich fragt, wer am Ende das Sicherheitsbudget der Kette finanziert, findet die Details in unserer Analyse zu Runes und dem Sicherheitsbudget. Die dritte Säule der Asset-Schicht ist seriöser gemeint: Taproot Assets von Lightning Labs (Version 0.7 Ende 2025) verankert Token und Stablecoins in Taproot-Outputs. Anfang 2026 ging darüber USDT auf dem Lightning Network live, ein Dollar-Token, das über Bitcoins Zahlungsschicht fließt.

Diese Asset-Schicht zeigt Taproots zwiespältiges Erbe besonders deutlich. Einerseits hat der Inschriften-Boom Bitcoin eine neue Nutzerschicht und zeitweise erhebliche Gebühreneinnahmen beschert; andererseits hat er Blockplatz verteuert und hitzige Debatten darüber ausgelöst, ob solche Daten überhaupt auf die Kette gehören. Taproot Assets wiederum verlagert die Token-Ausgabe bewusst weg von der teuren Basisschicht hin zu Lightning, wo Dollar-Transfers schnell und günstig sind. Beide Entwicklungen eint, dass sie ohne Taproots größere, günstigere Zeugnis-Daten und seine Baumstruktur nicht denkbar wären.

Die zweite Schicht: BitVM, Citrea und der Layer-2-Boom

Der vielleicht folgenreichste Effekt von Taproot zeigt sich erst 2026 in voller Breite: ein Wettlauf um Bitcoin-Layer-2s. Große Tapscript-Blätter und Schnorr machten ausdrucksstärkere Prüflogik auf der Kette praktikabel, ganz ohne weiteren Soft Fork. Darauf setzt BitVM, genauer BitVM2: ein Verfahren, das aus riesigen Taproot-Skriptbäumen optimistische Betrugsbeweise baut. Vereinfacht gesagt verlagert man die schwere Rechnung nach außen und hinterlegt auf Bitcoin nur die Möglichkeit, Betrug im Streitfall nachzuweisen, erneut die Dualität in Reinform.

Das prominenteste Projekt auf dieser Grundlage ist Citrea, nach eigener Darstellung der erste ZK-Rollup mit Mainnet direkt auf Bitcoin, gestartet am 27. Januar 2026 (The Block). Daneben bauen Ark und Spark Konstruktionen aus geteilten UTXOs und Statechains auf Taproot auf. Die Abgrenzung ist dabei nicht trivial: Nicht jedes Projekt, das sich Bitcoin-Layer-2 nennt, erbt auch Bitcoins Sicherheit. Was einen echten Layer-2 von einer verkleideten Fremdkette unterscheidet, haben wir am ECX-Absturz durchbuchstabiert. Gemeinsam ist den ernsthaften Ansätzen, dass die eigentliche Logik im verborgenen Baum liegt und nur im Konfliktfall an die Oberfläche kommt.

Wichtig ist dabei das Vertrauensmodell. BitVM2 etwa kommt mit einer Annahme aus, die Fachleute als 1-von-N bezeichnen: Solange auch nur ein einziger ehrlicher Wächter zusieht und einen Betrugsbeweis einreichen kann, bleibt das System sicher. Das ist schwächer als Bitcoins eigene Garantie, aber stärker als eine klassische Brücke, bei der man einem festen Konsortium vertrauen muss. Taproot liefert hier das Werkzeug, nicht das fertige Sicherheitsversprechen; wie belastbar ein konkreter Layer-2 ist, hängt davon ab, wie seine Brücke und seine Wächter aufgebaut sind.

Das Adoptionsparadox: überall verbaut, kaum messbar

Wer Taproots Erfolg an seinem Anteil an den On-chain-Transaktionen misst, kommt zu einem verwirrenden Ergebnis. Die folgende Tabelle zeichnet die Kurve nach.

Der genaue Wert hängt stark von der Messmethode ab: Glassnode zählt den Anteil der Transaktionen, die einen Taproot-Input ausgeben, und kam Mitte 2026 auf einstellige Prozentwerte (Glassnode); breiter gefasste Tracker sprechen von 15 bis 20 Prozent der Aktivität (Spark). Der Anteil der P2TR-Adressen am Bestand fiel von knapp 54 Prozent Anfang 2024 auf etwa 22 Prozent Anfang 2026. Der scheinbare Rückgang täuscht aber. Taproots größter Erfolg liegt gerade nicht auf der Kette, sondern daneben: in Lightning-Kanälen, in Ark, in Spark, in Taproot Assets. Diese Nutzung taucht in keiner On-chain-Statistik als Taproot-Transaktion auf. Ein fallender sichtbarer Anteil kann deshalb mit wachsender realer Nutzung Hand in Hand gehen. Das ist das Adoptionsparadox: Je besser Taproot funktioniert, desto weniger sieht man davon.

Für die Einordnung heißt das: Eine einzelne Prozentzahl taugt kaum als Fortschrittsbalken. Wer Taproots Verbreitung beurteilen will, muss mindestens drei Dinge trennen, den Anteil an den On-chain-Transaktionen, den Anteil der Adressen am Bestand und die unsichtbare Nutzung in der zweiten Schicht. Erst zusammen ergeben sie ein ehrliches Bild, und dieses Bild zeigt ein Upgrade, das sich von der sichtbaren Oberfläche in die Infrastruktur verlagert hat.

Der eingefrorene Fork: Covenants und die Ossifikations-Debatte

Taproot gab jedem Output einen Baum, aber die Äste, die man hineinschreiben darf, sind begrenzt. Der am häufigsten geforderte nächste Schritt heißt Covenants: Regeln, die festlegen, wohin Coins als Nächstes wandern dürfen. Sie würden sicherere Vaults, Staugebühren-Management und vertrauensärmere Layer-2-Brücken ermöglichen. Mehrere Kandidaten liegen auf dem Tisch: OP_CTV (BIP 119), dessen Signalisierungsfenster am 30. März 2026 öffnete, mit einem Zeitrahmen bis März 2027, aber praktisch ohne Miner-Unterstützung; OP_CAT (BIP 347), dessen Spezifikation vollständig ist, aber keinen Aktivierungspfad hat; sowie die Konsens-Bereinigung BIP 54.

Dem steht ein harter Befund entgegen: Bitcoin hat seit fast fünf Jahren keine Konsensregel mehr geändert, die längste Pause seiner Geschichte. Ein Lager sieht darin keinen Stillstand, sondern ein Merkmal. Diese Ossifikation, das zunehmende Erstarren der Regeln, mache Bitcoin als hartes Geld erst verlässlich. Andrew Poelstra, Forscher bei Blockstream und an mehreren Taproot-nahen Arbeiten beteiligt, hält dagegen: Bitcoin entwickle sich längst weiter, man sehe es an Ordinals, und Entwickler müssten für gute Änderungen „leidenschaftlich und korrekt“ argumentieren (Bitcoin Magazine). Selbst Adam Back, Blockstream-Chef und Erfinder von Hashcash, der lange als Bewahrer galt, hat Covenant-Opcodes als möglichen „letzten Soft Fork“ ins Spiel gebracht, eine Änderung, die Bitcoin Script sicherer mache und künftige Eingriffe überflüssig (Cryptobriefing). Der Baum könnte also noch mächtiger werden, nur ist offen, ob das Netzwerk das will.

Konkret würde ein Covenant etwa einen echten Vault ermöglichen: eine Adresse, von der sich Coins nur an eine vorab festgelegte Rückzugsadresse und erst nach einer Wartezeit bewegen lassen. Bemerkt der Besitzer in dieser Frist einen Diebstahl, kann er die Abhebung noch abbrechen. Heute lässt sich so etwas nur näherungsweise und mit vorab signierten Transaktionen nachbilden. Genau solche Anwendungen treiben die Befürworter an, während die Gegenseite fürchtet, dass mächtigere Skriptbausteine auch neue Angriffsflächen und unerwünschte Verwendungen eröffnen.

Der Schatten über dem Key Path: das Quantenrisiko

Dieselbe Eigenschaft, die den Key Path so bequem macht, ist zugleich seine größte Schwäche. Weil der vollständige öffentliche Schlüssel von Beginn an im Output steht, ist er für einen hinreichend starken Quantencomputer angreifbar: Shors Algorithmus könnte aus einem sichtbaren öffentlichen Schlüssel den privaten ableiten. Alte und SegWit-Adressen (P2PKH, P2WPKH) verstecken den Schlüssel bis zur ersten Ausgabe hinter einem Hash; Taproot (P2TR) legt ihn ab Erstellung offen. Die folgende Tabelle zeigt die Unterschiede.

Konkret wurde die Debatte durch eine Google-Quantum-AI-Studie vom 31. März 2026 (CoinDesk): Das Brechen einer Signatur könnte weniger als 500.000 physische beziehungsweise rund 1.200 bis 1.450 logische Qubits erfordern; ein Angreifer könnte in etwa neun Minuten eine konkurrierende Transaktion fälschen, mit rund 41 Prozent Chance gegen das Zehn-Minuten-Fenster eines Blocks. Nützliche Quantensysteme erwartet Google um 2029; schon heute liegen etwa 6,9 Millionen BTC, rund ein Drittel des Bestands, auf Adressen mit offenem Schlüssel. Die technische Antwort reift parallel: BIP 360 (Autor Hunter Beast) definiert mit P2MR eine neue Witness-Version für Post-Quanten-Signaturen und wurde am 11. Februar 2026 als Entwurf aufgenommen (bip360.org); BIP 361 von Jameson Lopp und Mitautoren, eingereicht am 14. April 2026, schlägt ein stufenweises Auslaufen der alten Signaturen vor.

Lopp, Mitgründer des Verwahrdienstes Casa, bringt das Dilemma auf den Punkt: Jede ernsthafte Migrationsoption verstoße gegen eines der Grundprinzipien von Bitcoin, ob man alte Coins einfriere oder zur Bewegung zwinge (blog.lopp.net). Adam Back wiederum plädiert für optionale, quantensichere Upgrades statt eines erzwungenen Einfrierens (CoinDesk). Wie dieser Streit um Einfrieren oder Verlieren ausgeht, haben wir in unserem Stück zu Taproot und Bitcoins Quantenplan ausführlich nachgezeichnet.

Taproot, Gebühren und das Sicherheitsbudget

Das Adoptionsparadox hat eine wirtschaftliche Kehrseite, die Bitcoins Zukunft berührt. Taproots zwei größte Erfolge, der inzwischen abgeebbte On-chain-Boom der Inschriften und die Verlagerung der Aktivität in die zweite Schicht, haben gemeinsam den Gebührenmarkt der Basisschicht ausgedünnt. 2026 machen Transaktionsgebühren nur noch einen Bruchteil der Miner-Einnahmen aus, deutlich unter einem Prozent, wie das Cambridge Centre for Alternative Finance vorrechnet (CCAF). Solange die Blockbelohnung fließt, ist das kein Problem. Sie halbiert sich aber: Aktuell liegt der Block-Subsidy bei 3,125 BTC, das nächste Halving wird für das Frühjahr 2028 bei Block 1.050.000 erwartet und senkt ihn auf 1,5625 BTC.

Damit stellt sich die Frage, ob Gebühren allein die Sicherheit der Kette je tragen können, jene Größenordnung von umgerechnet elf bis zwölf Milliarden Euro pro Jahr, die das Netzwerk derzeit absichert. Taproot hat dieses Problem nicht verursacht, aber indem es Aktivität von der Kette wegzog, hat es die Frage zugespitzt. Wie eng das mit der Schwierigkeit und dem Wettlauf der Miner vor dem nächsten Halving zusammenhängt, zeigt unsere Analyse zur Mining Difficulty 2026. Der versteckte Baum hat Bitcoin flexibler gemacht; ob er die Basisschicht langfristig auch finanziert, ist eine offene Rechnung.

Optimisten halten dagegen, dass gerade die zweite Schicht am Ende Gebühren zurück auf die Basisschicht spült: Jeder eröffnete oder geschlossene Lightning-Kanal, jede Ein- und Auszahlung bei Ark oder Spark ist eine On-chain-Transaktion, die zahlt. In diesem Bild wäre Taproot kein Totengräber des Gebührenmarkts, sondern der Umbau von vielen kleinen Alltagszahlungen hin zu selteneren, aber wertvolleren Abrechnungen zwischen den Schichten. Welche Lesart stimmt, wird sich erst nach dem Halving 2028 zeigen.

Taproot, BaFin und die Steuer: was für Anleger gilt

Für deutsche Anleger ist zuerst eine Entwarnung wichtig: Ein Soft Fork wie Taproot oder eine künftige BIP-360-Aktivierung ist nichts, was eine Aufsicht genehmigt oder verbietet. BaFin und die europäische MiCAR-Verordnung regulieren Krypto-Dienstleister und Token-Emittenten, nicht das Bitcoin-Protokoll oder seine Konsensregeln (BaFin-Merkblatt vom 3. Januar 2025). Wo die Regulierung sehr wohl greift, ist die Asset-Schicht: Ein auf Euro oder Dollar lautendes Stablecoin, das über Taproot Assets ausgegeben und EU-Nutzern angeboten wird, wäre ein E-Geld-Token im Sinne von MiCA und fiele unter die Aufsicht. Wie das in der Praxis aussieht, zeigt der Fall des USDC unter EBA-Aufsicht.

Steuerlich ist die wichtigste Nachricht für Bestandshalter beruhigend. Nach Paragraf 23 EStG ist das Verschieben eigener Coins zwischen eigenen Adresstypen, etwa von bc1q nach bc1p oder später auf eine quantensichere Adresse, keine Veräußerung. Es löst keinen steuerpflichtigen Vorgang aus und setzt die einjährige Haltefrist nicht zurück. Wer seine Bitcoin aus Vorsicht auf einen anderen Adresstyp umzieht, zahlt dafür in Deutschland also keinen Cent Steuer. Das ist relevant, weil die Quantendebatte genau solche Umzüge nahelegen könnte.

Fünf Jahre nach Block 709.632 lässt sich Taproot auf einen Satz bringen: Es hat aus jedem Bitcoin einen Schlüssel gemacht, der heimlich ein Baum ist. Aus dieser einen Idee sind kooperatives Multisig, Lightning, DLCs, die Asset-Schicht und ein ganzer Layer-2-Wettlauf gewachsen, und an derselben Idee hängt auch das Quantenrisiko. Dass man davon im Alltag so wenig sieht, ist kein Zeichen von Bedeutungslosigkeit, sondern das Gegenteil: Ein Upgrade, das am besten funktioniert, wenn niemand es bemerkt, hat seinen Zweck erfüllt.

Häufig gestellte Fragen

Was ist Taproot einfach erklärt?

Taproot ist Bitcoins Upgrade vom November 2021. Es macht jeden Output zu einem öffentlichen Schlüssel, der zugleich die verborgene Wurzel eines Baums aus Ausgabebedingungen ist. Dadurch lässt sich ein Coin kooperativ mit einer einzigen Signatur ausgeben, ohne dass komplexe Regeln sichtbar werden, oder im Streitfall über einen einzelnen offengelegten Ast.

Was bringt Taproot für normale Bitcoin-Nutzer?

Für die meisten Nutzer bringt Taproot günstigere Gebühren, vor allem bei Multisig, mehr Privatsphäre auf dem Key Path und die technische Grundlage für Lightning und die neuen Layer-2-Protokolle. Wer eine Wallet mit bc1p-Adressen nutzt, profitiert bereits davon, meist ohne es zu merken.

Ist mein Bitcoin auf einer Taproot-Adresse wegen Quantencomputern unsicher?

Heute nicht. Eine Taproot-Adresse zeigt zwar den öffentlichen Schlüssel offen, aber kein existierender Quantencomputer kann ihn brechen; nützliche Systeme werden frühestens um 2029 erwartet. Mit BIP 360 und BIP 361 sind Lösungen in Arbeit. Als Zwischenschritt lässt sich Guthaben auf eine bc1q-Adresse verschieben, was in Deutschland nach Paragraf 23 EStG steuerfrei ist.

Warum ist der Taproot-Anteil an den Transaktionen so niedrig?

Weil Taproots größter Erfolg nicht auf der Kette stattfindet, sondern daneben, in Lightning-Kanälen, in Ark, in Spark und in Taproot Assets. Diese Nutzung erscheint in keiner On-chain-Statistik. Zudem sind kooperative Key-Path-Ausgaben von normalen Zahlungen nicht zu unterscheiden, sodass der sichtbare Anteil die reale Nutzung unterschätzt.

Was ist der Unterschied zwischen Key Path und Script Path?

Der Key Path ist der kooperative Weg: Alle Beteiligten unterschreiben gemeinsam mit einer einzigen Schnorr-Signatur, und niemand erfährt etwas über die hinterlegten Regeln. Der Script Path ist der Notfallweg: Er deckt genau einen Ast des versteckten Baums auf und erfüllt dessen Bedingung. Taproots Kunst besteht darin, den aufschlussreichen Script Path zur seltenen Ausnahme zu machen.

Marcus Okafor ist Senior-Redakteur bei HOGE Wire und schreibt über Bitcoins Basisschicht, Mining und die Protokollpolitik dahinter.