Taproot erklärt 2026: Von Schnorr-Signaturen zu Silent Payments

Am 14. November 2021 aktivierte das Bitcoin-Netzwerk bei Block 709.632 sein bis heute größtes Upgrade seit SegWit. Taproot war damals wochenlang Gesprächsthema, doch vier Jahre später gilt für die meisten dasselbe wie für eine gute Infrastruktur: Man bemerkt sie erst, wenn man genau hinsieht. Fast jede moderne Wallet erzeugt inzwischen Taproot-Adressen, das Lightning Network nutzt Taproot-Kanäle, und Protokolle wie Taproot Assets oder Silent Payments bauen direkt darauf auf. Trotzdem können nur wenige erklären, was Schnorr-Signaturen, MAST und die kryptisch wirkende Adresse mit dem Präfix bc1p eigentlich leisten.

Dieser Leitfaden holt das nach. Er erklärt Taproot von Grund auf, zeigt, warum Bitcoin das Upgrade überhaupt brauchte, und führt bis an die beiden Ränder, an denen 2026 die eigentliche Musik spielt: Silent Payments als neue Privatsphäre-Schicht und die Frage, was ein künftiger Quantencomputer mit offen sichtbaren öffentlichen Schlüsseln anstellen könnte. Der Bitcoin-Kurs liegt derzeit bei rund 68.800 EUR, etwa 36 Prozent unter dem Allzeithoch von knapp 107.700 EUR aus dem Oktober 2025 (CoinGecko). Die Technik unter der Haube entwickelt sich jedoch unabhängig vom Preis weiter.

Der Text ist als Landkarte gedacht: von den drei Bausteinen (Schnorr, MAST, Tapscript) über die sichtbare bc1p-Adresse und die Geschichte der Aktivierung bis zu den Anwendungen in Lightning, bei Token und in der Privatsphäre. Wer nur ein einzelnes Stichwort sucht, kann direkt zur passenden Überschrift springen; wer Taproot zum ersten Mal begegnet, liest am besten der Reihe nach, weil die Bausteine aufeinander aufbauen.

Was Taproot ist, in einem Satz

Taproot ist eine Sammlung von drei zusammengehörigen Änderungen an den Bitcoin-Regeln (ein sogenannter Soft Fork), die Signaturen effizienter, Skripte privater und Verträge flexibler machen. Technisch besteht das Upgrade aus drei Bitcoin Improvement Proposals: BIP 340 führt Schnorr-Signaturen ein, BIP 341 definiert den eigentlichen Taproot-Output samt der Baumstruktur MAST, und BIP 342 liefert mit Tapscript die passende Skriptsprache dazu.

Der Kerngedanke lässt sich knapp zusammenfassen: Taproot sorgt dafür, dass eine komplizierte Ausgabebedingung (etwa ein Multisig-Wallet mit mehreren Mitunterzeichnern oder ein Lightning-Kanal) im Normalfall genauso aussieht wie eine ganz gewöhnliche Einzelzahlung. Was dahintersteht, bleibt verborgen, solange alle Beteiligten kooperieren. Erst wenn es zum Streitfall kommt, muss überhaupt offengelegt werden, welche alternativen Regeln gegolten hätten.

Warum Bitcoin Taproot brauchte

Vor Taproot nutzte Bitcoin für jede Signatur das Verfahren ECDSA. Das funktioniert, hat aber zwei praktische Nachteile. Erstens sind ECDSA-Signaturen nicht linear, das heißt, mehrere Signaturen lassen sich nicht sauber zu einer einzigen zusammenrechnen. Ein 2-von-3-Multisig musste deshalb alle beteiligten öffentlichen Schlüssel und Signaturen einzeln in die Blockchain schreiben. Das war teuer, und jeder Beobachter konnte sofort erkennen, dass hier ein Multisig-Wallet und kein einfaches Konto im Spiel war.

Zweitens legte das ältere Skriptmodell P2SH beim Ausgeben das komplette Skript offen, auch jene Zweige, die gar nicht genutzt wurden. Wer ein Wallet mit mehreren alternativen Bedingungen baute (sofort mit drei Schlüsseln, ersatzweise nach drei Monaten mit einem einzigen), zeigte der ganzen Welt sämtliche Varianten. Das kostet Platz, Gebühren und Privatsphäre. Taproot räumt beide Probleme auf einmal aus, indem es Schnorr-Signaturen mit einer Baumstruktur für Skripte verbindet.

Der Ursprung reicht bis Anfang 2018 zurück, als der Entwickler Greg Maxwell die Grundidee von Taproot skizzierte. Der Reiz lag von Beginn an weniger in einer einzelnen Funktion als in einer Vereinheitlichung: Wenn der einfache und der komplizierte Ausgabefall ununterscheidbar werden, profitieren auch gewöhnliche Nutzer von einer Privatsphäre, die sonst nur wenige Spezialanwendungen hätten. Diese Logik, dass mehr gemeinsame Ununterscheidbarkeit am Ende allen hilft, zieht sich wie ein roter Faden durch das gesamte Design und erklärt, warum Entwickler so lange an dem Upgrade feilten.

Schnorr-Signaturen: das Herzstück

Schnorr-Signaturen sind das Herzstück von Taproot. Sie nutzen dieselbe mathematische Kurve wie das alte ECDSA (secp256k1), haben aber eine entscheidende Eigenschaft: Sie sind linear. Addiert man zwei Schnorr-Signaturen, ergibt das eine gültige Signatur für die Summe der beiden zugehörigen öffentlichen Schlüssel. Diese Linearität klingt nach technischem Detail, ist aber der Hebel für fast alles, was Taproot interessant macht (BIP 340).

Praktisch heißt das: Mehrere Unterzeichner können ihre Teilsignaturen zu einer einzigen, nur 64 Byte kurzen Signatur verschmelzen, und mehrere Schlüssel lassen sich zu einem einzigen öffentlichen Schlüssel aggregieren. Ein n-von-n-Multisig sieht auf der Blockchain dann exakt wie eine Einzelsignatur aus. Genau dieses Verfahren steckt hinter MuSig2, dem heute verbreiteten Schema für unsichtbares Multisig. Hinzu kommt, dass Schnorr-Signaturen beweisbar sicher und frei von der sogenannten Malleability sind, einem alten Bitcoin-Ärgernis, bei dem sich eine Signatur ohne Kenntnis des Schlüssels geringfügig abändern ließ.

In Zahlen: Ein Taproot-Output verwendet einen x-only-Pubkey von 32 Byte, die Signatur ist konstant 64 Byte lang, egal ob eine Person oder zwanzig unterschrieben haben. Bei komplexen Wallets spart das spürbar Platz und damit Gebühren, und es verwischt den Unterschied zwischen einfachen und komplizierten Ausgaben, was wiederum der Privatsphäre aller Nutzer zugutekommt.

Der Unterschied zu früher ist grundlegend. Unter ECDSA war jedes Multisig im Kern eine Ansammlung einzeln geprüfter Signaturen, die alle in den Block mussten. Unter Schnorr kann daraus ein einziges kryptografisches Objekt werden, das sich nicht von einer gewöhnlichen Signatur unterscheidet. Das ist der Grund, warum Verfahren wie MuSig2 und darauf aufbauende Schwellenwert-Schemata (bei denen etwa drei von fünf Schlüsseln zum Unterschreiben genügen) überhaupt praktikabel wurden, ohne dass die Beteiligten ihre Wallet-Struktur der ganzen Welt offenbaren müssen.

MAST, Tapscript und die zwei Wege, einen Output auszugeben

Die zweite Säule ist MAST, kurz für Merkelized Alternative Script Tree. Statt alle möglichen Ausgabebedingungen in ein einziges Skript zu packen, ordnet Taproot sie als Blätter eines Merkle-Baums an. Nach außen sichtbar ist nur die Wurzel dieses Baums, verrechnet mit einem öffentlichen Schlüssel. Wer später ausgibt, muss nur den tatsächlich genutzten Zweig plus einen kurzen Beweispfad offenlegen; alle anderen Zweige bleiben für immer verborgen (BIP 341).

Daraus ergeben sich zwei Wege, einen Taproot-Output auszugeben. Der Key-Path ist der Normalfall: eine einzige Schnorr-Signatur mit dem leicht modifizierten öffentlichen Schlüssel. Das ist am günstigsten, am schnellsten und am privatesten, weil niemand erkennt, ob dahinter eine Person oder ein kompliziertes Regelwerk steckt. Der Script-Path ist der Rückfallweg: Hier offenbart der Ausgebende ein konkretes Blatt-Skript und beweist, dass es Teil des Baums war. Nur dieser eine Zweig wird öffentlich, der Rest des Vertrags bleibt Privatsache.

Für die Skripte im Baum ist Tapscript zuständig, eine überarbeitete Fassung der Bitcoin-Skriptsprache (BIP 342). Wichtig für das Verständnis: Der alte Befehl OP_CHECKMULTISIG ist in Tapscript deaktiviert und wurde durch OP_CHECKSIGADD ersetzt, das besser mit Schnorr und Signatur-Aggregation harmoniert. Außerdem reserviert Tapscript mehrere OP_SUCCESS-Opcodes als Platzhalter, über die sich Bitcoin künftig per Soft Fork erweitern lässt. Taproot ist damit nicht nur ein Upgrade, sondern auch eine Startrampe für die nächsten.

Ein Beispiel macht das greifbar. Angenommen, ein Paar sichert gemeinsame Ersparnisse: Im Normalfall unterschreiben beide (ein 2-von-2 über den Key-Path), als Notfallregel soll nach einem Jahr aber auch eine einzelne Person mit einem Backup-Schlüssel herankommen. Vor Taproot hätte jede Ausgabe beide Varianten offengelegt. Mit Taproot liegt die Notfallregel als verborgenes Blatt im Baum; solange das Paar kooperiert und gemeinsam über den Key-Path ausgibt, sieht die Blockchain nur eine schlichte Einzelsignatur, und die Zeitschloss-Klausel bleibt für immer geheim.

bc1p: Wie eine Taproot-Adresse aussieht

Am sichtbarsten wird Taproot an der Adresse. Taproot-Outputs werden als Witness-Version 1 kodiert, und dafür kam ein neues Adressformat namens Bech32m zum Einsatz (BIP 350). Es behebt einen kleinen Schönheitsfehler im älteren Bech32-Format und sorgt dafür, dass sich Tippfehler zuverlässig erkennen lassen. Im Alltag erkennt man eine Taproot-Adresse am Präfix bc1p, während SegWit-Adressen mit bc1q beginnen und ältere Adressen mit einer 1 oder einer 3.

Für Nutzer ändert sich sonst wenig: Man kopiert eine Adresse und sendet. Wichtig ist aber, dass einige sehr alte Wallets oder Börsen bc1p-Adressen bis heute nicht sauber unterstützen und eine Zahlung dann ablehnen. Die folgende Tabelle ordnet die gängigen Adresstypen ein.

Ein kurzer Praxistipp: Wer unsicher ist, ob ein Dienst Taproot unterstützt, kann zunächst eine kleine Testüberweisung an die eigene bc1p-Adresse schicken, bevor er größere Beträge bewegt. Moderne Wallets wie Sparrow oder BlueWallet und die gängigen Hardware-Wallets erzeugen bc1p-Adressen inzwischen standardmäßig oder zumindest auf Wunsch, während manche ältere Börsenkonten weiterhin nur bc1q- oder Legacy-Adressen ausgeben.

Speedy Trial: Wie Taproot aktiviert wurde

Anders als der erbitterte Streit um SegWit und die Blockgröße im Jahr 2017 verlief die Taproot-Aktivierung geräuschlos. Genutzt wurde ein Verfahren namens Speedy Trial, bei dem Miner über einen festgelegten Zeitraum signalisieren, ob sie die neuen Regeln unterstützen. Als im Juni 2021 mehr als 90 Prozent der Miner bei Block 687.284 zustimmten, war das Upgrade gesperrt (locked in), und am 14. November 2021 um 05:15 UTC trat es bei Block 709.632 in Kraft (CoinDesk).

Wichtig zu verstehen: Miner haben Taproot nicht beschlossen, sondern nur den Zeitpunkt der Aktivierung koordiniert. Durchgesetzt werden die Regeln am Ende von den Full Nodes, die jede Transaktion gegen die Konsensregeln prüfen. Weil Taproot ein Soft Fork ist, blieben nicht aktualisierte Knoten kompatibel; sie betrachten Taproot-Ausgaben technisch als für jeden ausgebbar, lehnen sie aber nicht ab. Wer die Rolle der Miner genauer nachvollziehen will, findet in unserem Beitrag zum Solo-Mining gegen die Difficulty die Mechanik hinter dem Signalisieren.

Dass es so reibungslos lief, war keine Selbstverständlichkeit. Nach dem zermürbenden Blockgrößenstreit rund um SegWit stritten Entwickler lange über das richtige Aktivierungsverfahren. Speedy Trial war der Kompromiss: ein kurzes, klar begrenztes Zeitfenster für das Miner-Signal, das eine Blockade durch einzelne Lager verhindern sollte, ohne gleich zu einer erzwungenen Aktivierung durch die Nutzer (einer User Activated Soft Fork) greifen zu müssen. Weil am Ende niemand die Änderung ernsthaft bekämpfte, gilt das Verfahren vielen seither als Vorlage für künftige, ähnlich unstrittige Upgrades.

Was Taproot im Alltag bringt: Gebühren, Privatsphäre, Multisig

Für die meisten Nutzer zeigt sich Taproot an drei Stellen. Erstens an den Gebühren: Eine Key-Path-Ausgabe ist kompakt, und selbst anspruchsvolle Verträge kosten über den Script-Path weniger, weil nur der genutzte Zweig in den Block wandert. Zweitens an der Privatsphäre: Ob Single-Sig, Multisig oder Lightning-Kanal, im kooperativen Normalfall sieht auf der Blockchain alles gleich aus. Drittens am Multisig selbst: Mit MuSig2 lässt sich ein gemeinschaftliches Wallet bauen, das on-chain nicht als solches zu erkennen ist.

Ein paar konkrete Vorteile im Überblick:

• günstigere und kleinere Transaktionen bei kooperativen Ausgaben
• Multisig-Wallets, die sich nach außen wie normale Zahlungen verhalten
• flexiblere Vertragslogik dank MAST und Tapscript
• bessere Grundlage für Lightning, DLCs und Zweitschichten
• reservierte Opcodes für künftige Erweiterungen ohne Hard Fork

Wie groß die Ersparnis ausfällt, hängt stark von der Auslastung des Netzwerks ab. In ruhigen Phasen liegen die absoluten Kosten für eine einfache Zahlung oft nur bei wenigen Cent bis einigen Euro; bei einem Multisig-Wallet oder einem komplexen Vertrag macht der Taproot-Rabatt dann prozentual am meisten aus, weil nur der genutzte Zweig und eine einzige kompakte Signatur bezahlt werden müssen. In Phasen hoher Gebühren, etwa während eines Ordinals-Ansturms, wird dieser Vorteil entsprechend wertvoller.

Taproot und das Lightning Network

Das Lightning Network, Bitcoins bekannteste Zahlungsschicht, profitiert unmittelbar von Taproot. Sogenannte simple taproot channels lassen das Eröffnen und Schließen eines Kanals wie eine ganz gewöhnliche Taproot-Zahlung wirken, statt es als Lightning-Kanal zu verraten. Das verbessert die Privatsphäre spürbar und senkt die Gebühren bei der Abwicklung.

Darüber hinaus ermöglichen Schnorr-Signaturen sogenannte Adaptor Signatures, die Grundlage für Point Time-Locked Contracts (PTLCs). Diese sollen die heutigen Hash Time-Locked Contracts ablösen und Zahlungen über mehrere Zwischenstationen hinweg schwerer verkettbar machen. Welche Rolle Taproot im größeren Bild der Zahlungsschicht spielt, samt schrumpfender Knotenzahl und dem Vormarsch von Stablecoins, ordnet unser Überblick zum Lightning Network 2026 ein.

Für Betreiber von Lightning-Knoten ist das mehr als Kosmetik. Weil sich ein Kanal nach außen wie eine gewöhnliche Zahlung tarnt, lässt sich schwerer rekonstruieren, wie viel Kapital wo gebunden ist, und Analysefirmen verlieren einen bequemen Anhaltspunkt. In Kombination mit Taproot Assets eröffnet das zudem die Perspektive, nicht nur Bitcoin, sondern auch tokenisierte Dollar über dieselbe Infrastruktur zu routen, ohne dass jede dieser Bewegungen sofort als solche erkennbar wäre.

Taproot Assets, Runes und Ordinals: Token auf Bitcoin

Taproot hat auf Bitcoin eine ganze Welle neuer Anwendungen ausgelöst, nicht immer zur Freude der Puristen. Die Ordinals-Protokolle nutzen den Witness-Bereich von Taproot-Transaktionen, um beliebige Daten (Bilder, Text, später ganze Token-Standards) direkt in die Blockchain zu schreiben. Casey Rodarmor startete Ordinals Anfang 2023, 2024 folgte mit Runes ein Standard für fungible Token. Beide trieben die Taproot-Nutzung zeitweise massiv nach oben, was die Adoptionszahlen bis heute verzerrt.

Praktisch relevanter für Zahlungen ist Taproot Assets, ein Protokoll von Lightning Labs, das Vermögenswerte in Taproot-Outputs verankert und über Lightning übertragbar macht. Darüber lassen sich etwa Dollar-Stablecoins auf Bitcoin ausgeben und in Sekunden verschicken. Für den europäischen Markt ist dabei die regulatorische Frage spannend, wer Euro-Stablecoins überhaupt herausgeben darf; den Stand dazu schildert unsere Analyse zu den Euro-Stablecoins 2026. Technisch zeigt Taproot Assets, wofür der Script-Path eigentlich gedacht war: programmierbare Bedingungen, die nur offengelegt werden, wenn es wirklich nötig ist.

Diese neuen Anwendungen sind nicht unumstritten. Kritiker sehen in Inschriften und Token eine Zweckentfremdung des Blockraums, der eigentlich für Zahlungen gedacht sei; Befürworter verweisen auf die zusätzlichen Gebühren, die das Sicherheitsbudget der Miner stützen, gerade mit Blick auf die über die Jahre sinkende Blockbelohnung. Unstrittig ist vor allem eines: Taproot hat diese Debatte überhaupt erst möglich gemacht, weil sein Witness-Bereich das Einbetten solcher Daten vergleichsweise günstig machte.

Silent Payments: Taproots stille Privatsphäre-Erweiterung

Wer eine feste Bitcoin-Adresse öffentlich teilt, etwa für Spenden, handelt sich ein Privatsphäre-Problem ein: Jeder kann alle Zahlungen an diese Adresse auf der Blockchain mitlesen. Silent Payments lösen das, ohne zusätzliche Daten in die Blockchain zu schreiben. Vorgeschlagen hat das Verfahren Ruben Somsen im März 2022; spezifiziert ist es heute als BIP 352, gemeinsam mit den Entwicklern josibake und Sebastian Falbesoner, und seit Mai 2024 im offiziellen BIP-Repository (BIP 352).

Die Idee funktioniert so: Der Empfänger veröffentlicht eine statische Adresse mit dem Präfix sp1q, die zwei öffentliche Schlüssel enthält, einen zum Erkennen eingehender Zahlungen (Scan) und einen zum Ausgeben (Spend). Der Absender kombiniert seine eigenen Eingangsschlüssel per Diffie-Hellman-Schlüsselaustausch (ECDH) mit dem Scan-Schlüssel des Empfängers und leitet daraus für jede Zahlung eine frische, einmalige Taproot-Adresse ab. Auf der Blockchain entsteht ein ganz normaler bc1p-Output, nicht von anderen Taproot-Zahlungen zu unterscheiden.

Der Clou: Dieselbe veröffentlichte Adresse führt bei jeder Zahlung zu einem anderen Output, sodass sich die einzelnen Zahlungen nicht miteinander verketten lassen. Anders als ältere Ansätze wie wiederverwendbare Zahlungscodes oder Stealth-Adressen braucht das Verfahren dafür keinerlei zusätzliche On-Chain-Daten (Bitcoin Magazine). Der Preis dafür liegt beim Empfänger: Seine Wallet muss den relevanten Teil der Blockchain durchsuchen, um eingehende Zahlungen zu finden. Auf einem vollständigen Knoten dauert das je nach Hardware rund acht bis zwölf Stunden, und für leichte Wallets ohne eigene Node fehlt bislang eine wirklich ausgereifte Lösung.

Unterstützt wird das Verfahren inzwischen von mehreren Wallets, auch wenn die Infrastruktur noch jung ist:

• Cake Wallet: vollständiges Senden und Empfangen auf iOS und Android
• Silentium: eigens für Silent Payments entwickelt
• BlueWallet und BitBox02: wachsende Unterstützung
• Sparrow: Empfang über einen erweiterten Electrum-Server
• Bitcoin Core: mehrere Entwicklungsvorschläge in Arbeit, noch in keinem Release

Für Somsen ist das Ziel eine Adresse, die man gefahrlos auf eine Website, in ein Social-Media-Profil oder auf eine Rechnung schreiben kann, ohne die eigene Finanzhistorie offenzulegen. Dass Silent Payments dafür ausgerechnet auf dem Taproot-Output aufsetzen, ist kein Zufall: Ihre Tarnung funktioniert nur, weil bc1p-Zahlungen ohnehin zum Alltag geworden sind.

Noch ist Silent Payments eher etwas für technisch versierte Nutzer. Die lange Scan-Dauer, die Abhängigkeit von spezialisierten Servern und die fehlende Unterstützung in der Bitcoin-Core-Wallet bremsen die Verbreitung. Zugleich zeigt das Interesse großer Wallet-Anbieter, dass ein echter Bedarf besteht: eine wiederverwendbare Adresse ohne die Privatsphäre-Nachteile der klassischen Adresswiederverwendung. Ob sich das Verfahren durchsetzt, hängt vor allem davon ab, wie schnell leichte Clients ohne eigene Node zuverlässig und sparsam scannen können.

Die Adoptionsfrage: überall verbaut, on-chain kaum sichtbar

Trotz all dessen bleibt Taproots Bilanz zwiespältig. Je nach Messmethode liegt der Anteil an den Bitcoin-Transaktionen 2026 bei grob 15 bis 20 Prozent, während SegWit mit rund 85 bis 90 Prozent weiter dominiert. Eine engere Kennzahl von Glassnode, die nur Transaktionen mit mindestens einem Taproot-Input zählt, lag Mitte 2026 sogar bei wenigen Prozent (Glassnode). Der kurzzeitige Höhenflug über 40 Prozent Anfang 2024 war vor allem der Ordinals- und Runes-Spekulation geschuldet und wieder abgeebbt, als die Nachfrage nachließ.

Das wirkt paradox: Taproot steckt in fast jeder neuen Wallet, in Lightning-Kanälen, in Taproot Assets und in Silent Payments, und doch bleibt sein sichtbarer On-Chain-Anteil überschaubar. Die Erklärung ist, dass ein großer Teil der Aktivität off-chain oder in wenigen großen Outputs stattfindet und dass das Umschichten von Altbeständen schlicht Zeit braucht. Ein Upgrade setzt sich in Bitcoin nicht per Dekret durch, sondern Wallet für Wallet und Protokoll für Protokoll.

Hinzu kommt eine schlichte Trägheit auf der Anbieterseite. Manche Börsen und Zahlungsdienste rüsteten die Unterstützung für bc1p erst spät nach, sodass viele Nutzer ihre Auszahlungen über Jahre weiter auf SegWit-Adressen erhielten. Das Angebot an Taproot-fähiger Software wuchs also deutlich schneller als die tatsächliche Nutzung im Alltag, und genau diese Lücke zwischen Verfügbarkeit und Gebrauch erklärt einen Großteil der niedrigen On-Chain-Zahlen.

Covenants und Bitcoins Fork-Frage

Taproots reservierte Opcodes haben eine Debatte neu entfacht, die Bitcoin seit Jahren begleitet: Welche weiteren Erweiterungen sollte das Protokoll bekommen, und sollte es überhaupt noch welche bekommen? Im Zentrum stehen sogenannte Covenants, also Regeln, die vorschreiben, wie ein Coin nach dem Empfang weiter ausgegeben werden darf. Vorschläge wie OP_CHECKTEMPLATEVERIFY (BIP 119) oder das wiederbelebte OP_CAT (BIP 347) könnten damit Tresore (Vaults), Staukontrolle und komplexere Zweitschichten ermöglichen.

Einig ist sich die Entwicklergemeinde dabei nicht. Die einen sehen Covenants als logische Fortsetzung dessen, was Taproot begonnen hat; die anderen warnen vor neuen Risiken und einer schleichenden Verkomplizierung von Bitcoin. Parallel zeigen Projekte wie BitVM2, dass sich anspruchsvolle Logik und sogar Rollups auf Bitcoin bauen lassen, ohne auf einen neuen Soft Fork zu warten. Taproot ist in dieser Debatte weniger Streitobjekt als Fundament: Fast jeder dieser Ansätze nutzt Schnorr, MAST oder den Script-Path als Baustein.

Manche Entwickler plädieren inzwischen sogar für eine weitgehende Erstarrung (Ossifikation) des Protokolls: Je weniger sich an den Grundregeln ändere, desto berechenbarer bleibe Bitcoin als Wertaufbewahrung. Andere halten dagegen, dass gerade Taproot vorgeführt habe, wie sich Bitcoin behutsam und ohne Spaltung weiterentwickeln lasse. Die Quantenfrage dürfte diese Grundsatzdebatte in den kommenden Jahren zuspitzen, weil sie womöglich eine Änderung erzwingt, über die sich sonst niemand hätte einigen müssen.

Das Quantenrisiko und BIP-360

Ausgerechnet Taproots Eleganz bringt eine Debatte mit sich, die 2026 an Fahrt aufgenommen hat. Ein Taproot-Output zeigt den öffentlichen Schlüssel direkt und offen in der Blockchain, nicht wie ältere Adresstypen nur dessen Hash, der erst beim Ausgeben gelüftet wird. Ein ausreichend großer Quantencomputer könnte mit dem Shor-Algorithmus aus einem offen sichtbaren öffentlichen Schlüssel theoretisch den privaten Schlüssel berechnen. Betroffen wären nicht nur bc1p-Adressen, sondern alle Coins mit exponiertem Pubkey, etwa aus wiederverwendeten Adressen und der frühen P2PK-Ära. Schätzungen reichen von mehreren Millionen BTC bis hin zu rund einem Viertel des gesamten Umlaufs.

Die technische Antwort darauf ist BIP 360, verfasst von Hunter Beast (MARA), Ethan Heilman und Isabel Foxen Duke und am 11. Februar 2026 als Entwurf ins offizielle BIP-Repository aufgenommen (BIP 360). Der ursprünglich P2QRH (Pay to Quantum Resistant Hash) genannte Vorschlag heißt heute Pay to Merkle Root (P2MR). Er funktioniert fast wie ein Taproot-Output, lässt aber genau den verwundbaren Key-Path weg und nutzt quantensichere Signaturverfahren nach NIST-Standard. Weil es sich um einen rückwärtskompatiblen Soft Fork handelt, würden nicht aktualisierte Knoten den neuen Output-Typ einfach ignorieren. Einen festen Aktivierungstermin gibt es nicht; ein Mitautor rechnet mit einem mehrjährigen Umstellungsprozess.

Das eigentliche Problem ist dabei weniger die neue Adresse als der Umzug der alten Bestände. Selbst wenn ein quantensicherer Output-Typ aktiviert wäre, müssten Millionen von Nutzern ihre Coins aktiv auf neue Adressen bewegen, und verlorene oder herrenlose Bestände (darunter mutmaßlich die frühen Coins von Satoshi Nakamoto) kann niemand migrieren. Genau an dieser Lücke entzündet sich die Freeze-Debatte: Wer schützt das Netzwerk, wenn ein Angreifer eines Tages auf unbewegliche, aber verwundbare Coins zugreifen könnte?

Umstrittener ist, was mit Coins geschieht, die nie migrieren. Jameson Lopp, Mitgründer und Technikchef des Verwahrers Casa, legte am 14. April 2026 mit mehreren Koautoren BIP 361 vor, einen dreiphasigen Plan, der quantenverwundbare Bitcoin nach einer Übergangsfrist einfrieren würde. Lopp selbst nennt den Vorschlag einen Notfallplan, den er nie aktiviert sehen möchte, und sagte dem Branchendienst CoinDesk, er wolle niemandem seine Bitcoin wegnehmen, halte das Stilllegen ruhender Coins aber womöglich für das kleinere Übel (CoinDesk).

Zugleich warnt Lopp vor Panikmache. Im Oktober 2026 betonte er, man sei noch Größenordnungen von einem brauchbaren Quantencomputer entfernt, der die Algorithmen hinter Bitcoin tatsächlich knacken könne, auch wenn die Vorbereitungen auf einen solchen Tag bereits hinter dem Zeitplan lägen (Tokenpost). Wer die kryptografischen Details und die Rolle der bc1p-Adresse vertiefen möchte, findet sie in unserem Beitrag zu Schnorr, bc1p und dem Quantenrisiko. Die drei großen Linien der Debatte fasst die folgende Tabelle zusammen.

Regulierung und Steuern in Deutschland

Für deutsche Anleger ist wichtig, was Taproot regulatorisch nicht ist. MiCA und die BaFin beaufsichtigen Krypto-Dienstleister und Emittenten, also Börsen, Verwahrer und Token-Herausgeber, nicht aber das Bitcoin-Protokoll selbst. Ein Soft Fork wie Taproot oder eine künftige BIP-360-Aktivierung wird von keiner Behörde genehmigt oder blockiert; die BaFin stellt in ihrem Merkblatt zu Kryptowerte-Dienstleistungen klar, dass sie an der Dienstleistung ansetzt, nicht an der Konsensschicht (BaFin).

Steuerlich gilt eine für viele überraschende Entwarnung: Wer eigene Coins zwischen eigenen Adresstypen verschiebt, etwa von einer bc1q- auf eine bc1p-Adresse, löst damit keine Veräußerung im Sinne von Paragraf 23 EStG aus. Es findet kein Eigentümerwechsel statt, also wird auch die einjährige Haltefrist nicht zurückgesetzt. Erst der Verkauf oder der Tausch gegen andere Werte ist steuerlich relevant. Warum gerade die Haltefrist in anderen Zusammenhängen heikel werden kann, zeigt unser Beitrag zur Metaverse-Steuer 2027. Wichtig: Das ersetzt keine individuelle Steuerberatung.

Unterm Strich ist Taproot ein gutes Beispiel dafür, wie Bitcoin funktioniert: Die Technik ändert sich über Jahre in kleinen, abwärtskompatiblen Schritten, während Aufsicht und Steuerrecht an der Oberfläche ansetzen, nämlich bei Dienstleistern und beim Verkauf, nicht am Protokoll selbst. Für Anlegerinnen und Anleger heißt das vor allem, dass die eigene Verantwortung für Schlüssel und Adressformate bestehen bleibt, ganz gleich, welches Upgrade als Nächstes kommt.

Häufig gestellte Fragen

Was ist Taproot bei Bitcoin einfach erklärt?

Taproot ist ein Bitcoin-Upgrade vom November 2021, das aus drei Teilen besteht: Schnorr-Signaturen, der Baumstruktur MAST und der Skriptsprache Tapscript. Zusammen machen sie Transaktionen günstiger und privater, weil komplexe Ausgabebedingungen wie ein Multisig-Wallet nach außen wie eine normale Einzelzahlung aussehen.

Woran erkenne ich eine Taproot-Adresse?

Eine Taproot-Adresse beginnt mit dem Präfix bc1p und ist im Format Bech32m kodiert. SegWit-Adressen starten dagegen mit bc1q, ältere Adressen mit einer 1 oder einer 3.

Ist Taproot sicher gegen Quantencomputer?

Nach heutigem Stand gibt es keinen Quantencomputer, der Bitcoin knacken könnte. Allerdings zeigt ein Taproot-Output den öffentlichen Schlüssel offen in der Blockchain, was ihn langfristig angreifbarer macht als ältere Adresstypen. Vorschläge wie BIP 360 sollen mit einem quantensicheren Output-Typ vorbeugen, sind aber noch nicht aktiviert.

Was sind Silent Payments und brauche ich dafür Taproot?

Silent Payments (BIP 352) erlauben eine statische Empfangsadresse, die man öffentlich teilen kann, ohne dass sich die Zahlungen auf der Blockchain verketten lassen. Für jede Zahlung entsteht ein frischer Taproot-Output, deshalb setzt das Verfahren direkt auf Taproot auf.

Spart eine Taproot-Transaktion Gebühren?

In der Regel ja. Eine kooperative Ausgabe über den Key-Path ist kompakt, und selbst komplexe Verträge kosten weniger, weil über den Script-Path nur der tatsächlich genutzte Zweig offengelegt wird. Der Spareffekt ist bei Multisig und anspruchsvollen Skripten am größten.

Von Marcus Okafor, Redakteur für Bitcoin und Layer-1-Protokolle bei HOGE Wire.