{"id":832,"date":"2026-10-25T10:30:23","date_gmt":"2026-10-25T10:30:23","guid":{"rendered":"https:\/\/hoge.gg\/de\/taproot-musig2-frost-unsichtbares-multisig-2026\/"},"modified":"2026-10-25T10:30:23","modified_gmt":"2026-10-25T10:30:23","slug":"taproot-musig2-frost-unsichtbares-multisig-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/taproot-musig2-frost-unsichtbares-multisig-2026\/","title":{"rendered":"Unsichtbares Multisig: Taproot, MuSig2 und FROST 2026"},"content":{"rendered":"

Wenn \u00fcber Taproot gesprochen wird, geht es meist um Ordinals, um Rollups wie Citrea oder um die Frage, ob Bitcoin \u00fcberhaupt noch einen Soft Fork aktivieren kann. Der praktisch wichtigste Effekt des Upgrades vom November 2021 steht dagegen selten im Rampenlicht: Taproot hat ver\u00e4ndert, wie Schl\u00fcssel sich zu einer Signatur verbinden. Mehrere Unterschriften lassen sich seither zu einer einzigen verschmelzen, die auf der Blockchain aussieht wie eine ganz normale Zahlung von einer einzelnen Person.<\/p>

Das klingt nach Kryptografie-Detail, hat aber handfeste Folgen f\u00fcr jeden, der Bitcoin selbst verwahrt, zu mehreren verwahrt oder f\u00fcr Kunden verwahrt. Multisig, also die Absicherung \u00fcber mehrere Schl\u00fcssel, war vor Taproot teuer, gut sichtbar und ein Datenschutzproblem. Mit zwei Verfahren namens MuSig2 und FROST wird daraus ein Werkzeug, das kaum noch Spuren hinterl\u00e4sst. Bei einem Bitcoin-Kurs von rund 71.600 Euro am 25. Oktober 2026 (CoinGecko<\/a>), gut ein Drittel unter dem Allzeithoch von etwa 107.662 Euro aus dem Oktober 2025, ist die Frage, wer die Schl\u00fcssel h\u00e4lt und wie, wichtiger als jede Kursprognose.<\/p>

Dieser Text erkl\u00e4rt, wie aus vielen Schl\u00fcsseln eine Signatur wird, welche Wallets das 2026 bereits k\u00f6nnen, wo die Fallstricke liegen und was BaFin, MiCA und das deutsche Steuerrecht dazu sagen. Es ist die Geschichte des Key-Pfads, nicht die der Token, die Taproot nebenbei erm\u00f6glicht hat.<\/p>

Warum Multisig vor Taproot teuer und sichtbar war<\/h2>

Multisig gibt es in Bitcoin seit Langem. Eine 2-von-3-Wallet verlangt, dass zwei von drei Schl\u00fcsseln eine Ausgabe unterschreiben; das sch\u00fctzt vor einem verlorenen Ger\u00e4t, vor einem einzelnen Dieb und vor dem eigenen Fehler. Umgesetzt wurde das \u00fcber den Opcode OP_CHECKMULTISIG, verpackt in eine P2SH- und sp\u00e4ter eine P2WSH-Adresse (SegWit). Technisch funktioniert das bis heute.<\/p>

Der Preis daf\u00fcr war hoch, in jeder Hinsicht. Beim Ausgeben schrieb die Wallet alle beteiligten \u00f6ffentlichen Schl\u00fcssel und die Regel (etwa zwei von drei) offen in die Transaktion. Jede Beobachterin konnte daran ablesen, dass hier kein einzelner Nutzer zahlt, sondern ein Tresor, eine Firma oder ein Gemeinschaftskonto. Chain-Analyse-Firmen nutzen genau solche Muster, um Adressen zu gruppieren. Zweitens kostete jeder zus\u00e4tzliche Schl\u00fcssel Platz im Block und damit Geb\u00fchren; ein 3-von-5-Setup war sp\u00fcrbar teurer als eine einfache Zahlung. Drittens war das Ganze ein Datenschutzleck: Wer Multisig nutzte, verriet, dass er etwas zu sch\u00fctzen hatte.<\/p>

Der tiefere Grund lag in der Signatur selbst. Bitcoin nutzte bis Taproot ECDSA, und ECDSA l\u00e4sst sich nicht einfach zusammenrechnen. Es gibt zwar aufwendige Mehrparteien-Verfahren f\u00fcr ECDSA, doch im Protokoll blieb nur der Weg, jeden Schl\u00fcssel und jede Unterschrift einzeln aufzuf\u00fchren. Multisig war also die sicherheitsbewusste Wahl, aber sie machte den Nutzer auf der Blockchain nackt und kostete ihn bei jeder Ausgabe extra.<\/p>

Schnorr: die Mathematik hinter der Aggregation<\/h2>

Taproot brachte mit BIP 340 die Schnorr-Signatur nach Bitcoin, und damit eine Eigenschaft, die ECDSA fehlt: Linearit\u00e4t. Vereinfacht hei\u00dft das, man kann Signaturen und Schl\u00fcssel addieren. Die Spark-Research-Erkl\u00e4rung bringt es auf den Punkt: Addiert man zwei Schnorr-Signaturen f\u00fcr dieselbe Nachricht, erh\u00e4lt man eine g\u00fcltige Signatur zur Summe der beiden \u00f6ffentlichen Schl\u00fcssel (Spark<\/a>).<\/p>

Diese eine Eigenschaft ist der Hebel f\u00fcr alles Folgende. Weil sich Schl\u00fcssel addieren lassen, k\u00f6nnen mehrere Personen einen gemeinsamen \u00f6ffentlichen Schl\u00fcssel berechnen, der genauso aussieht wie der Schl\u00fcssel einer einzelnen Person: 32 Byte lang, nicht von einem gew\u00f6hnlichen Schl\u00fcssel zu unterscheiden. Und sie k\u00f6nnen gemeinsam eine Signatur erzeugen, die zu diesem Schl\u00fcssel passt und ebenfalls die normale Gr\u00f6\u00dfe von 64 Byte hat. Die Blockchain sieht am Ende einen Schl\u00fcssel und eine Signatur, egal ob eine Person oder f\u00fcnf unterschrieben haben.<\/p>

ECDSA konnte das nicht, weil ihm genau diese additive Struktur fehlt; ein naives Zusammenrechnen bricht die Sicherheitsgarantien. Deshalb musste altes Multisig jeden Schl\u00fcssel offenlegen, w\u00e4hrend Schnorr-Multisig ihn verstecken kann. Die beiden Protokolle, die diese Idee praktisch nutzbar machen, hei\u00dfen MuSig2 und FROST. Bevor wir sie anschauen, lohnt ein kurzer Blick darauf, wie Taproot \u00fcberhaupt zwischen sichtbarem und unsichtbarem Ausgeben unterscheidet.<\/p>

Taproot in drei Bausteinen und zwei Wegen<\/h2>

Taproot besteht aus drei Bausteinen: BIP 340 (Schnorr-Signaturen, von Pieter Wuille, Jonas Nick und Tim Ruffing), BIP 341 (Taproot selbst, also der Ausgabetyp P2TR samt MAST, von Wuille, Nick und Anthony Towns) und BIP 342 (Tapscript, die Skriptsprache f\u00fcr den Zweigfall). Aktiviert wurde das Paket am 14. November 2021 bei Block 709.632, nachdem im Juni 2021 bei Block 687.284 \u00fcber 90 Prozent der Miner signalisiert hatten; das Verfahren hie\u00df Speedy Trial (CoinDesk<\/a>). Taproot-Adressen beginnen mit bc1p, SegWit-Adressen mit bc1q.<\/p>

Entscheidend f\u00fcr das Thema hier ist, dass eine Taproot-Ausgabe zwei Wege kennt, ausgegeben zu werden. Der Key-Pfad bedeutet: Man unterschreibt direkt mit dem Ausgabe-Schl\u00fcssel. Das ist der billigste und privateste Weg, denn auf der Blockchain erscheint nur ein Schl\u00fcssel und eine Signatur. Der Script-Pfad bedeutet: Man legt einen Zweig eines versteckten Skriptbaums (MAST) offen und erf\u00fcllt dessen Bedingung. Der Ausgabe-Schl\u00fcssel ist dabei der innere Schl\u00fcssel plus ein kleiner Zusatz, der den Skriptbaum einbindet, ohne ihn zu zeigen.<\/p>

Der Clou: Der innere Schl\u00fcssel darf selbst schon eine Summe vieler Schl\u00fcssel sein. Dann ist der Key-Pfad das Multisig, und zwar unsichtbar. Wie breit Taproot sonst eingesetzt wird und warum sein On-Chain-Anteil trotzdem schrumpft, haben wir an anderer Stelle beleuchtet (siehe Taproot nach f\u00fcnf Jahren<\/a>); auch die Token-Welt aus Ordinals und Runes<\/a> sitzt am Script-Pfad. Hier folgen wir konsequent dem Key-Pfad.<\/p>

Drei Wege zum Multisig nach Taproot<\/h2>

Nach Taproot gibt es drei Arten, mehrere Schl\u00fcssel zu verlangen, und sie unterscheiden sich vor allem darin, wie viel sie verraten. Erstens das klassische Script-Multisig mit OP_CHECKMULTISIG in P2SH oder P2WSH, der Weg aus der Zeit vor Taproot; er funktioniert in nahezu jeder Wallet und braucht keine Abstimmung zwischen den Unterzeichnern, zeigt aber alles. Zweitens das Taproot-Script-Multisig: In Tapscript ist OP_CHECKMULTISIG deaktiviert, an seine Stelle tritt OP_CHECKSIGADD, das Signaturen einzeln z\u00e4hlt. Nutzt man einen solchen Skriptzweig, wird nur dieser eine Zweig sichtbar, ungenutzte Bedingungen bleiben verborgen. Drittens das Key-Pfad-Multisig \u00fcber MuSig2 oder FROST, bei dem gar nichts von der Mehrparteien-Natur zu sehen ist.<\/p>

Verfahren<\/th>On-Chain sichtbar<\/th>Abstimmung n\u00f6tig<\/th>Geb\u00fchren<\/th>Typischer Einsatz<\/th><\/tr><\/thead>
OP_CHECKMULTISIG (P2SH\/P2WSH)<\/td>Ja, alle Schl\u00fcssel plus Regel<\/td>Nein<\/td>Hoch, w\u00e4chst je Schl\u00fcssel<\/td>Alt-Wallets, breite Kompatibilit\u00e4t<\/td><\/tr>
Taproot Script-Pfad (OP_CHECKSIGADD)<\/td>Nur der genutzte Zweig<\/td>Nein<\/td>Mittel, ungenutzte Zweige bleiben verborgen<\/td>Ungleiche Regeln, Zeitschl\u00f6sser, Erbe<\/td><\/tr>
Taproot Key-Pfad (MuSig2 \/ FROST)<\/td>Nein, wie eine Single-Sig<\/td>Ja, zwei Runden<\/td>Niedrig, eine 64-Byte-Signatur<\/td>Maximale Privatsph\u00e4re, Firmen-Treasury<\/td><\/tr><\/tbody><\/table><\/figure>

Diese Tabelle ist das Ger\u00fcst des gesamten Artikels. Der Script-Pfad bleibt f\u00fcr alles unverzichtbar, was ungleiche Bedingungen braucht, etwa ein Zeitschloss, \u00fcber das nach einem Jahr ein Ersatzschl\u00fcssel freigeschaltet wird. Der Key-Pfad dagegen ist die Antwort auf die Frage: Wie bekomme ich die Sicherheit von Multisig, ohne dass es jemand merkt und ohne Aufpreis bei der Geb\u00fchr?<\/p>

MuSig2: n-von-n in einer einzigen Signatur<\/h2>

MuSig2 geht auf eine Arbeit von Jonas Nick, Tim Ruffing und Yannick Seurin aus dem Jahr 2020 zur\u00fcck, ver\u00f6ffentlicht auf der Kryptografie-Konferenz CRYPTO 2021, und ist heute als BIP 327 standardisiert. Es ist ein n-von-n-Verfahren: Alle Unterzeichner m\u00fcssen jedes Mal mitmachen. Der Fortschritt gegen\u00fcber dem Vorg\u00e4nger MuSig war, dass statt drei nur noch zwei Kommunikationsrunden n\u00f6tig sind.<\/p>

Der Ablauf hat drei Schritte. Zuerst die Schl\u00fcssel-Aggregation: Jeder \u00f6ffentliche Schl\u00fcssel wird mit einem Koeffizienten multipliziert, der aus dem Hash aller beteiligten Schl\u00fcssel entsteht. Das verhindert den sogenannten Rogue-Key-Angriff, bei dem ein b\u00f6swilliger Teilnehmer seinen Schl\u00fcssel so w\u00e4hlt, dass er allein \u00fcber das Konto verf\u00fcgen k\u00f6nnte. In Runde eins tauschen die Unterzeichner \u00f6ffentliche Nonces aus, je zwei pro Person; das kann sogar geschehen, bevor die zu unterschreibende Zahlung feststeht. In Runde zwei liefert jeder eine Teilsignatur, die zur gemeinsamen Nonce passt, und alle Teilsignaturen werden zu einer einzigen 64-Byte-Signatur addiert.<\/p>

Ein wichtiger Vorteil: Die Schl\u00fcssel-Aggregation ist nicht interaktiv. Jeder Teilnehmer erzeugt einfach ein normales Schl\u00fcsselpaar, eine Zeremonie braucht es nicht. Das Ergebnis auf der Blockchain ist von einer gew\u00f6hnlichen Key-Pfad-Zahlung nicht zu unterscheiden. MuSig2 steckt bereits in der Referenzbibliothek libsecp256k1, in der Lightning-Software LND und in der Ledger-Hardware; es ist also kein Laborprojekt mehr.<\/p>

Was das praktisch bedeutet, zeigt ein Firmenbeispiel. Eine 3-von-3-Kasse, bei der Gesch\u00e4ftsf\u00fchrung, Finanzabteilung und ein externer Treuh\u00e4nder je einen Schl\u00fcssel halten, sieht nach au\u00dfen aus wie eine gew\u00f6hnliche Privat-Wallet. Weder Wettbewerber noch Chain-Analyse-Firmen noch potenzielle Angreifer erkennen, dass hier ein Mehraugenprinzip greift. Der Schutz steigt, w\u00e4hrend die \u00f6ffentlich sichtbare Angriffsfl\u00e4che sinkt; genau diese Kombination war mit dem alten OP_CHECKMULTISIG unm\u00f6glich.<\/p>

FROST und ChillDKG: Schwellenwert f\u00fcrs echte Leben<\/h2>

MuSig2 hat eine harte Grenze: n-von-n hei\u00dft, f\u00e4llt ein einziger Schl\u00fcssel aus, l\u00e4sst sich nichts mehr bewegen. F\u00fcr einen Tresor, der zwei von drei oder drei von f\u00fcnf verlangt und bei dem einzelne Beteiligte offline sein d\u00fcrfen, braucht es ein Schwellenwert-Verfahren. Genau das ist FROST, kurz f\u00fcr Flexible Round-Optimized Schnorr Threshold, urspr\u00fcnglich von Chelsea Komlo und Ian Goldberg beschrieben.<\/p>

FROST erlaubt, dass beliebige t von n Teilnehmern gemeinsam unterschreiben, w\u00e4hrend die \u00fcbrigen nicht erreichbar sein m\u00fcssen. Der Preis daf\u00fcr ist eine einmalige, interaktive Schl\u00fcsselzeremonie, die verteilte Schl\u00fcsselerzeugung (Distributed Key Generation, DKG), bei der nie eine einzelne Partei den gesamten Schl\u00fcssel in der Hand h\u00e4lt. Ein Standard daf\u00fcr hei\u00dft ChillDKG aus der Blockstream-Forschung. FROST kennt zudem identifizierbare Abbr\u00fcche: Liefert jemand eine ung\u00fcltige Teilsignatur, l\u00e4sst sich der Verursacher benennen. Die Standardisierung l\u00e4uft \u00fcber BIP 445 (die FROST3-Variante, als Entwurf seit Januar 2026, kompatibel mit Taproot), begleitet von einer auditierten Referenzimplementierung und der Spezifikation RFC 9591 von 2024 (bitcoin\/bips PR 2070<\/a>). In Produktion nutzt es bisher vor allem die Statechain-L\u00f6sung Spark f\u00fcr ihr Betreibermodell.<\/p>

Ein greifbares Beispiel ist der klassische 2-von-3-Tresor. Mit FROST liegen drei Schl\u00fcsselanteile bei drei Personen oder Ger\u00e4ten; zwei beliebige davon gen\u00fcgen, um zu unterschreiben, der dritte darf verloren gehen oder offline bleiben. Auf der Blockchain bleibt davon nichts sichtbar, und anders als bei MuSig2 blockiert ein einzelner Ausfall nicht das ganze Konto. Der Preis ist die anf\u00e4ngliche Zeremonie, in der die Anteile erzeugt werden, ohne dass je ein vollst\u00e4ndiger Schl\u00fcssel an einem Ort existiert.<\/p>

Ein verwandtes Verfahren namens ROAST baut um FROST eine Robustheitsschicht, sodass t ehrliche Unterzeichner garantiert zu einer g\u00fcltigen Signatur kommen, selbst wenn St\u00f6rer das Netz bremsen; es bleibt bislang ein Forschungsprototyp. Die folgende Tabelle ordnet die Verfahren ein, inklusive des klassischen Script-Multisig und der institutionellen MPC-Verwahrung (Spark<\/a>).<\/p>

Verfahren<\/th>Schwelle<\/th>Signer offline m\u00f6glich<\/th>Setup<\/th>On-Chain<\/th>Status 2026<\/th><\/tr><\/thead>
Script-Multisig<\/td>m-von-n<\/td>Ja<\/td>Keines<\/td>Sichtbar<\/td>\u00dcberall verf\u00fcgbar<\/td><\/tr>
MuSig2 (BIP 327)<\/td>n-von-n<\/td>Nein<\/td>Keine Zeremonie<\/td>Wie Single-Sig<\/td>Ausgeliefert (Core, LND, Ledger)<\/td><\/tr>
FROST (BIP 445)<\/td>t-von-n<\/td>Ja<\/td>DKG-Zeremonie<\/td>Wie Single-Sig<\/td>Entwurf, erste Produktion<\/td><\/tr>
ROAST<\/td>t-von-n<\/td>Ja<\/td>DKG-Zeremonie<\/td>Wie Single-Sig<\/td>Forschungsprototyp<\/td><\/tr>
MPC (off-chain)<\/td>t-von-n<\/td>Ja<\/td>Providerabh\u00e4ngig<\/td>Wie Single-Sig<\/td>Institutionell verbreitet<\/td><\/tr><\/tbody><\/table><\/figure>

Die Nonce-Falle: der eine Fehler, der alles kostet<\/h2>

Aggregation ist nicht gratis. Sie erkauft Privatsph\u00e4re und niedrige Geb\u00fchren mit zwei Dingen: Die Unterzeichner m\u00fcssen in zwei Runden miteinander reden, und sie m\u00fcssen mit den Nonces extrem sorgf\u00e4ltig umgehen. Eine Nonce ist der frische Zufallswert, den jede Signatur braucht. Bei Schnorr gilt: Verwendet ein Unterzeichner dasselbe Nonce-Paar in zwei verschiedenen Sitzungen, l\u00e4sst sich sein geheimer Schl\u00fcssel rein rechnerisch rekonstruieren (Spark<\/a>). Nonce-Wiederverwendung ist also kein Sch\u00f6nheitsfehler, sondern der Totalverlust.<\/p>

Deshalb ist MuSig2 zweirundig aufgebaut, und deshalb muss die Software oder Hardware garantieren, dass Nonces frisch sind, sicher gespeichert und danach gel\u00f6scht werden; vor allem darf sie sich nicht dazu verleiten lassen, Teile einer Sitzung unbemerkt zu wiederholen. Es gibt eine Variante mit deterministischen Nonces, MuSig-DN, die gegen diesen Wiederholungsangriff immun ist, aber deutlich aufwendiger zu bauen.<\/p>

Genau diese Zustandsverwaltung erkl\u00e4rt, warum MuSig2 erst sp\u00e4t auf Hardware-Wallets ankam und warum manche Anbieter es vorsichtig einf\u00fchren. Die Kryptografie ist elegant; die Buchf\u00fchrung \u00fcber offene Sitzungen ist die eigentliche Ingenieursarbeit. Wer einen Chip baut, der niemals eine Nonce doppelt herausgibt, hat das schwierige St\u00fcck gel\u00f6st.<\/p>

Wer MuSig2 und FROST 2026 schon ausliefert<\/h2>

Die erste gro\u00dfe Hardware-Wallet mit MuSig2 war Ledger, eingef\u00fchrt am 24. April 2025 mit Version 2.4.0 der Bitcoin-App. Bemerkenswert ist die Autorenschaft des Ank\u00fcndigungstexts: Verfasst haben ihn der Bitcoin-Ingenieur Salvatore Ingala und der Kryptograf Yannick Seurin, einer der Erfinder von MuSig2, der inzwischen bei Ledger arbeitet. Mehrere Schl\u00fcssel w\u00fcrden, so die beiden, zu einem einzigen aggregierten Schl\u00fcssel verschmolzen, und eine Zahlung \u00fcber diesen Schl\u00fcssel sei von jeder anderen Key-Pfad-Zahlung nicht zu unterscheiden; der zus\u00e4tzliche Mitunterzeichner sei „totally invisible to people“ und das Verfahren fast ohne Interaktion nutzbar (Ledger<\/a>). Die App kann bis zu acht solcher MuSig2-Transaktionen gleichzeitig unterschreiben.<\/p>

Auf der Software-Seite bietet Nunchuk ein Taproot-Multisig an, das Schnorr, MuSig2 und Taproot kombiniert. Es nutzt einen Key-Pfad f\u00fcr den optimalen Schl\u00fcssel-Satz und den Script-Pfad als R\u00fcckfallebene. Taproot mache Multisig-Aktivit\u00e4t von Single-Sig auf der Blockchain ununterscheidbar, hei\u00dft es in der Dokumentation; Beobachter k\u00f6nnten nicht erkennen, wie viele Parteien beteiligt waren (Nunchuk<\/a>). Allerdings ist die Funktion ausdr\u00fccklich Beta: vorerst nur mit Hot Keys statt Hardware, maximal f\u00fcnf Schl\u00fcssel und mit zwei Signaturrunden; die Firma r\u00e4t davon ab, gr\u00f6\u00dfere Summen hineinzulegen, bis die Funktion reift. Im Lightning-Netzwerk wiederum nutzt LND MuSig2 f\u00fcr die neuen Taproot-Kan\u00e4le, deren Er\u00f6ffnung und Schlie\u00dfung dadurch g\u00fcnstiger und unauff\u00e4lliger werden.<\/p>

So ermutigend das klingt: Key-Pfad-Aggregation ist 2026 noch die Ausnahme. Das meiste Multisig l\u00e4uft weiter \u00fcber klassisches Script-Multisig, weil es \u00fcberall unterst\u00fctzt wird und keine Abstimmung zwischen offline liegenden Schl\u00fcsseln verlangt. Wer seine Schl\u00fcssel selbst betreibt, wei\u00df ohnehin, dass Souver\u00e4nit\u00e4t Arbeit ist, \u00e4hnlich wie beim Solo-Staking am heimischen Validator<\/a>; die unsichtbare Variante kommt, ist aber noch nicht \u00fcberall.<\/p>

Collaborative Custody: ein Schl\u00fcssel beim Anbieter<\/h2>

Zwischen vollst\u00e4ndiger Selbstverwahrung und einem Verwahrer, der alles kontrolliert, liegt ein Mittelweg: die kollaborative Verwahrung. Dabei h\u00e4lt der Nutzer die Mehrheit der Schl\u00fcssel, w\u00e4hrend ein Dienstleister einen einzelnen Schl\u00fcssel als Notfallreserve verwahrt. Der Anbieter kann die Bitcoin niemals allein bewegen; er kann nur mitunterschreiben, wenn der Nutzer einen Schl\u00fcssel verliert oder Hilfe bei der Wiederherstellung braucht (Unchained<\/a>).<\/p>

Anbieter<\/th>Modell<\/th>Preis pro Jahr (circa)<\/th>Besonderheit<\/th><\/tr><\/thead>
Casa<\/td>2-von-3 (Standard), 3-von-5 (Premium)<\/td>rund 215 bzw. 1.800 Euro<\/td>Video-Support, Nachlassplanung<\/td><\/tr>
Unchained<\/td>2-von-3<\/td>rund 215 Euro<\/td>Finanzplattform rund um Multisig<\/td><\/tr>
Nunchuk<\/td>DIY oder 2-von-3 mit Co-Signer<\/td>kostenlos bzw. rund 105 Euro<\/td>Open Source, Taproot-Multisig in Beta<\/td><\/tr><\/tbody><\/table><\/figure>

Die Preise sind umgerechnete Richtwerte, denn die Anbieter rechnen in US-Dollar ab. Wichtig ist eine Einschr\u00e4nkung, die in den Marketingtexten gern untergeht: Die meisten dieser Dienste setzen bislang auf klassisches Script-Multisig, nicht auf MuSig2-Key-Pfad. Die Setups sind also sicher, aber auf der Blockchain als Multisig erkennbar. Die unsichtbare Variante ist der n\u00e4chste Schritt, nicht der heutige Standard.<\/p>

F\u00fcr viele Privatanleger ist der eigentliche Gewinn nicht die Mehrfachsignatur an sich, sondern die geregelte Wiederherstellung. Geht ein Schl\u00fcssel verloren, springt der Anbieter als Mitunterzeichner ein, statt dass das gesamte Verm\u00f6gen unerreichbar wird; einige Dienste koppeln daran eine Nachlassregelung, \u00fcber die benannte Erben nach einem definierten Prozess Zugriff erhalten. Der Preis ist ein St\u00fcck Vertrauen und ein St\u00fcck Privatsph\u00e4re, denn der Anbieter kennt die Struktur des Tresors. Wer das nicht m\u00f6chte, baut dasselbe mit offener Software wie Sparrow oder dem DIY-Zweig von Nunchuk selbst nach und bleibt alleiniger Herr \u00fcber alle Schl\u00fcssel.<\/p>

MuSig2, FROST oder doch klassisches Script-Multisig?<\/h2>

Welches Verfahren passt, h\u00e4ngt vom Bedrohungsmodell ab, nicht von der Mode. Key-Pfad-Aggregation lohnt sich, wenn Privatsph\u00e4re und niedrige Geb\u00fchren z\u00e4hlen und alle Unterzeichner koordiniert online sein k\u00f6nnen (MuSig2) oder wenn man einen Schwellenwert mit teils offline liegenden Schl\u00fcsseln braucht und die DKG-Zeremonie stemmen kann (FROST). Der Script-Pfad mit Miniscript ist die bessere Wahl, sobald ungleiche Bedingungen ins Spiel kommen: Zeitschl\u00f6sser, ein nach Monaten freiwerdender Ersatzschl\u00fcssel, ein Erbe-Zweig, eine Wiederherstellung ohne Abstimmung. Und das schlichte Script-Multisig bleibt sinnvoll, wenn maximale Wallet-Kompatibilit\u00e4t und einfache Wiederherstellung wichtiger sind als Unauff\u00e4lligkeit.<\/p>

Dazu passt eine Warnung aus berufenem Munde. Ledger-Technikchef Charles Guillemet riet nach dem Coldcard-Vorfall im Sommer 2026 ausdr\u00fccklich davon ab, reflexartig auf Multisig umzusteigen; zus\u00e4tzliche Komplexit\u00e4t schaffe neue Fehlerquellen, statt alte zu beseitigen. Als Mittelweg nannte er Miniscript, mit dem sich Erbregeln, zeitverz\u00f6gerte Ersatzschl\u00fcssel und 2-von-3-Richtlinien abbilden lassen, ohne den vollen Aufwand eines klassischen Multisig; eine funktionierende Miniscript-Wallet habe er in wenigen Stunden gebaut. MuSig2 bezeichnete er als kryptografische Alternative, die mehrere Schl\u00fcssel zu einer Signatur b\u00fcndelt, und verwies darauf, dass Ledger bislang die einzige Hardware mit dieser Funktion sei. F\u00fcr die meisten Menschen aber bleibe eine gut gesicherte Single-Sig-Hardware-Wallet die praktischste L\u00f6sung (Cryptonomist<\/a>). Aggregation ist ein Werkzeug, kein Upgrade, das man sich schuldet.<\/p>

Das Problem, das Aggregation nicht l\u00f6st: Blind Signing<\/h2>

MuSig2 macht die Signatur unsichtbar. Es pr\u00fcft aber nicht, wohin die Bitcoin gehen. Die gr\u00f6\u00dften Multisig-Verluste der j\u00fcngeren Geschichte beruhten nicht auf gebrochener Kryptografie oder gestohlenen Schl\u00fcsseln, sondern darauf, dass Unterzeichner etwas anderes freigaben, als sie zu sehen glaubten. Beim Bybit-Diebstahl vom 21. Februar 2025, mit rund 1,3 Milliarden Euro der gr\u00f6\u00dfte Krypto-Raub \u00fcberhaupt, hatten Angreifer die Oberfl\u00e4che der verwendeten Multisig-Software manipuliert; die Unterzeichner sahen eine harmlose Zahlung und signierten in Wahrheit die \u00dcbergabe der Kasse (The Block<\/a>). Die Schl\u00fcssel waren nie kompromittiert; das Multisig funktionierte tadellos, nur eben an der falschen Transaktion.<\/p>

Daran \u00e4ndert Aggregation nichts. Weiterhin gilt: Man muss Ziel und Betrag auf einem Ger\u00e4t pr\u00fcfen, dem man vertraut (Clear Signing), au\u00dferhalb des Kanals best\u00e4tigen und verd\u00e4chtige Vorg\u00e4nge \u00fcberwachen. Die Security Alliance (SEAL) fasst die operative Hygiene f\u00fcr Multisig in klaren Leitplanken zusammen (SEAL<\/a>):<\/p>