{"id":860,"date":"2026-10-31T10:30:23","date_gmt":"2026-10-31T10:30:23","guid":{"rendered":"https:\/\/hoge.gg\/de\/taproot-schnorr-bc1p-quantenrisiko-2026\/"},"modified":"2026-10-31T10:30:23","modified_gmt":"2026-10-31T10:30:23","slug":"taproot-schnorr-bc1p-quantenrisiko-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/taproot-schnorr-bc1p-quantenrisiko-2026\/","title":{"rendered":"Taproot verstehen: Schnorr, bc1p und das Quantenrisiko"},"content":{"rendered":"

Ein Upgrade, das nach f\u00fcnf Jahren immer noch angeschaltet wird<\/h2>

Im Oktober 2026 \u00f6ffnete Robin Linus, Erfinder des Bitcoin-Werkzeugs BitVM, einen unscheinbaren Pull Request im Bitcoin-Core-Repository. Vorschlag Nummer 36466 will den sogenannten Taproot-Annex k\u00fcnftig standardm\u00e4\u00dfig durch das Netzwerk weiterleiten. Der Annex ist ein optionales Datenfeld in der Witness-Struktur jeder Taproot-Ausgabe, das bei der Aktivierung 2021 bewusst reserviert, aber ohne konkrete Verwendung gelassen wurde. Linus braucht es f\u00fcr sein Protokoll Glass Coins, das Daten auf der Hauptkette ablegen muss, um Doppelausgaben zu verhindern (btcpp insider<\/a>). Die Episode zeigt etwas Grunds\u00e4tzliches: F\u00fcnf Jahre nach seiner Aktivierung wird Taproot immer noch St\u00fcck f\u00fcr St\u00fcck in Betrieb genommen.<\/p>

Zur gleichen Zeit l\u00e4uft die entgegengesetzte Debatte. Prominente Analysten raten Haltern, ihre Best\u00e4nde von bc1p-Adressen wegzubewegen, weil ausgerechnet Taproot die \u00f6ffentlichen Schl\u00fcssel sichtbar auf der Blockchain ablegt und damit, so die Sorge, ein k\u00fcnftiges Quantenrisiko vergr\u00f6\u00dfert. Taproot ist deshalb beides zugleich: Bitcoins ehrgeizigstes Upgrade seit SegWit und sein meistdiskutiertes. Der Kurs bildet die Nervosit\u00e4t ab; ein Bitcoin kostet Ende Oktober 2026 knapp 69.000 Euro, rund sieben Prozent weniger als einen Monat zuvor und klar unter dem Rekord von 107.662 Euro vom Oktober 2025 (CoinGecko<\/a>).<\/p>

Dieser Text ordnet das Thema vollst\u00e4ndig ein: wie Taproot technisch funktioniert (Schnorr, MAST, Tapscript), woran man eine bc1p-Adresse erkennt, was MuSig2 und Silent Payments praktisch bringen, warum die sichtbare Nutzung trotzdem gering bleibt, welche Rolle Taproot f\u00fcr Bitcoins zweite Schicht spielt und was das Quantenrisiko samt BIP-360 f\u00fcr deutsche Anleger bedeutet.<\/p>

Was Taproot ist: drei BIPs und ein Softfork<\/h2>

Taproot wurde am 14. November 2021 bei Blockh\u00f6he 709.632 aktiv. Festgeschrieben (locked in) war das Upgrade bereits am 12. Juni 2021 bei Block 687.284, nachdem \u00fcber 90 Prozent der Miner im Rahmen des Verfahrens Speedy Trial daf\u00fcr signalisiert hatten (CoinDesk<\/a>). Es war Bitcoins erstes gro\u00dfes Protokoll-Update seit SegWit 2017 und, wie SegWit, ein Softfork: abw\u00e4rtskompatibel, sodass \u00e4ltere Knoten die neuen Transaktionen weiterhin als g\u00fcltig ansehen.<\/p>

Hinter dem Namen stecken drei getrennte Bitcoin Improvement Proposals, die gemeinsam aktiviert wurden. BIP 340 f\u00fchrt Schnorr-Signaturen ein, BIP 341 definiert den eigentlichen Taproot-Ausgabetyp samt der Merkle-Baum-Struktur f\u00fcr Skripte, und BIP 342 liefert mit Tapscript die passende Skriptsprache. Entworfen haben sie Bitcoin-Entwickler um Pieter Wuille, Jonas Nick, Tim Ruffing und Anthony Towns (bitcoin\/bips<\/a>). Die folgende Tabelle fasst die drei Bausteine zusammen.<\/p>

BIP<\/th>Baustein<\/th>Was es bringt<\/th><\/tr><\/thead>
BIP 340<\/td>Schnorr-Signaturen<\/td>Neues Signaturverfahren \u00fcber secp256k1; 64-Byte-Signaturen, Schl\u00fcssel- und Signaturaggregation, Stapelpr\u00fcfung<\/td><\/tr>
BIP 341<\/td>Taproot (P2TR) und MAST<\/td>Neuer Ausgabetyp mit Schl\u00fcssel-Pfad und Skript-Pfad; verborgene Bedingungen im Merkle-Baum<\/td><\/tr>
BIP 342<\/td>Tapscript<\/td>Skriptsprache f\u00fcr Taproot; OP_CHECKSIGADD statt OP_CHECKMULTISIG, flexiblere Ressourcengrenzen<\/td><\/tr><\/tbody><\/table><\/figure>

Weil Taproot ein Softfork ist, mussten Nutzer es nicht erzwungen \u00fcbernehmen. Alte Wallets funktionieren weiter, die neuen Funktionen stehen nur dem offen, der bewusst eine bc1p-Adresse verwendet. Das erkl\u00e4rt einen Teil des langsamen Tempos: Es gibt keinen Stichtag, an dem alle umsteigen, sondern einen freiwilligen, \u00fcber Jahre verteilten \u00dcbergang.<\/p>

Dass Taproot \u00fcberhaupt so reibungslos aktiviert wurde, war keine Selbstverst\u00e4ndlichkeit. Noch die SegWit-Aktivierung 2017 hatte das Netzwerk an den Rand einer Spaltung gebracht, mit einem drohenden Nutzer-aktivierten Softfork (UASF) auf der einen und dem gescheiterten SegWit2x-Kompromiss auf der anderen Seite. Aus diesen Narben lernten die Entwickler: Speedy Trial setzte eine kurze, klar befristete Signalisierungsphase an, um die Entscheidung schnell herbeizuf\u00fchren und eine H\u00e4ngepartie zu vermeiden. Taproot war technisch zudem unumstritten, es gab praktisch keine Gegner der eigentlichen Funktionen, sodass der gro\u00dfe Streit diesmal ausblieb.<\/p>

Schnorr-Signaturen: die Mathematik hinter dem Upgrade<\/h2>

Das Herzst\u00fcck ist BIP 340. Bis Taproot nutzte Bitcoin f\u00fcr jede Unterschrift das Verfahren ECDSA. Schnorr-Signaturen leisten dasselbe (sie beweisen den Besitz eines privaten Schl\u00fcssels), besitzen aber eine Eigenschaft, die ECDSA fehlt: Linearit\u00e4t. Vereinfacht hei\u00dft das, die Summe zweier g\u00fcltiger Schnorr-Signaturen ergibt eine g\u00fcltige Signatur f\u00fcr die Summe der zugeh\u00f6rigen \u00f6ffentlichen Schl\u00fcssel. Genau diese Rechenregel macht es m\u00f6glich, mehrere Schl\u00fcssel und Signaturen zu einer einzigen zusammenzufassen (bitcoin\/bips<\/a>).<\/p>

Dazu kommen handfeste Effizienzgewinne. Eine Schnorr-Signatur ist mit 64 Byte kompakt und konstant lang, der \u00f6ffentliche Schl\u00fcssel schrumpft auf eine 32-Byte-Variante (x-only). Signaturen lassen sich zudem im Stapel pr\u00fcfen, was die Validierung ganzer Bl\u00f6cke beschleunigt. Hinzu kommt ein Sicherheitsargument: Schnorr-Signaturen gelten unter Standardannahmen als beweisbar sicher, w\u00e4hrend ECDSA auf schw\u00e4cheren Voraussetzungen ruht. F\u00fcr ein System, das Milliardenwerte absichert, ist diese Beweisbarkeit mehr als akademisch. Ein fr\u00fcher Patentschutz, der eine \u00dcbernahme lange verz\u00f6gert hatte, war l\u00e4ngst ausgelaufen, als Bitcoin seine eigene Variante \u00fcber die Kurve secp256k1 standardisierte.<\/p>

Der Nutzen der Aggregation w\u00e4chst mit der Zahl der Beteiligten. Wo fr\u00fcher jede zus\u00e4tzliche Unterschrift einer Multisignatur den Platzbedarf und die Geb\u00fchr erh\u00f6hte, gen\u00fcgt mit Schnorr am Ende eine einzige kombinierte Signatur, unabh\u00e4ngig davon, ob zwei oder zwanzig Schl\u00fcssel beteiligt waren. Diese Zusammenfassung ist allerdings kein Selbstl\u00e4ufer: Naiv addierte Schl\u00fcssel w\u00e4ren anf\u00e4llig f\u00fcr den sogenannten Rogue-Key-Angriff, bei dem ein Teilnehmer seinen Schl\u00fcssel so w\u00e4hlt, dass er am Ende allein unterschreiben kann. Erst Protokolle wie MuSig2 schlie\u00dfen diese L\u00fccke sauber, weshalb die reine Mathematik aus BIP 340 und die sichere Anwendung darauf zwei verschiedene Paar Schuhe sind.<\/p>

Schl\u00fcssel-Pfad und Skript-Pfad: wie man eine Taproot-Ausgabe ausgibt<\/h2>

Eine Taproot-Ausgabe (Pay-to-Taproot, kurz P2TR) sieht auf der Kette aus wie ein einziger \u00f6ffentlicher Schl\u00fcssel. Tats\u00e4chlich ist dieser Schl\u00fcssel zusammengesetzt: Ein interner Schl\u00fcssel wird mit einer Verpflichtung auf einen Baum aus Skripten verrechnet (im Jargon getweakt). Daraus ergeben sich zwei Wege, die Coins sp\u00e4ter auszugeben.<\/p>

Der erste ist der Schl\u00fcssel-Pfad: Sind sich alle Beteiligten einig, unterschreiben sie gemeinsam mit dem zusammengesetzten Schl\u00fcssel. Auf der Blockchain erscheint dann nur eine einzige Signatur, nicht unterscheidbar von einer gew\u00f6hnlichen Einzelunterschrift. Das ist der g\u00fcnstigste und privateste Fall. Der zweite ist der Skript-Pfad: Klappt die Einigung nicht, l\u00e4sst sich stattdessen genau ein Zweig des Skriptbaums offenlegen und erf\u00fcllen, etwa eine R\u00fcckfall-Regel mit Zeitschloss (timelock).<\/p>

Ein Beispiel verdeutlicht den Reiz. Bei einer 2-of-2-Firmenkasse unterschreiben im Normalfall beide Parteien gemeinsam \u00fcber den Schl\u00fcssel-Pfad, und die Ausgabe wirkt wie eine simple Einzelzahlung. Nur wenn eine Partei ausf\u00e4llt, greift ein hinterlegter Skript-Pfad, etwa eine Auszahlung an die verbliebene Partei nach einer Wartezeit. Der teure, auff\u00e4llige Fall tritt also nur im Streit ein, w\u00e4hrend der Alltag billig und unauff\u00e4llig bleibt.<\/p>

MAST und Tapscript: Bedingungen, die verborgen bleiben<\/h2>

Der Skriptbaum hinter dem Schl\u00fcssel-Pfad tr\u00e4gt einen eigenen Namen: MAST, f\u00fcr Merkelized Alternative Script Trees. Alle m\u00f6glichen Ausgabebedingungen werden als Bl\u00e4tter eines Merkle-Baums angeordnet. Beim Ausgeben muss nur der tats\u00e4chlich genutzte Zweig gezeigt werden; alle anderen Bedingungen bleiben f\u00fcr immer verborgen. Ein Erbschafts-Wallet mit zehn R\u00fcckfall-Regeln belastet die Kette also nur mit der einen Regel, die am Ende greift, nicht mit allen zehn. Das spart Geb\u00fchren und gibt die interne Logik eines Vertrags nicht preis.<\/p>

BIP 342, Tapscript, ist die Skriptsprache f\u00fcr diese Bl\u00e4tter. Sie entspricht weitgehend dem alten Bitcoin-Skript, bringt aber wichtige Anpassungen. Die alte Multisignatur-Anweisung OP_CHECKMULTISIG ist in Tapscript deaktiviert und durch OP_CHECKSIGADD ersetzt, das besser mit Schnorrs Stapelpr\u00fcfung harmoniert. Au\u00dferdem weicht die starre Obergrenze von 201 Opcodes einem flexibleren Ressourcenbudget, was ausgerechnet den sehr gro\u00dfen Skripten zugutekommt, auf denen sp\u00e4tere Layer-2-Konstruktionen aufbauen.<\/p>

bc1p: so erkennen und nutzen Sie Taproot-Adressen<\/h2>

Im Alltag begegnet Taproot den meisten Nutzern als Adressformat. Taproot-Adressen beginnen mit bc1p und verwenden die Kodierung bech32m (festgehalten in BIP 350), eine korrigierte Fassung des bech32-Formats von SegWit. Zur Einordnung: Alte Adressen beginnen mit einer 1 (P2PKH) oder einer 3 (P2SH), SegWit-Adressen mit bc1q, und Taproot eben mit bc1p. Das Zeichen direkt nach bc1 kodiert die sogenannte Witness-Version; q steht f\u00fcr Version 0, p f\u00fcr Version 1.<\/p>

Praktisch hei\u00dft das: Fast alle gro\u00dfen Wallets und B\u00f6rsen k\u00f6nnen inzwischen an bc1p senden und daraus empfangen; einige wenige Nachz\u00fcgler scheitern noch am neuen Pr\u00e4fix. Wer eine bc1p-Adresse nutzt, erh\u00e4lt im kooperativen Fall die niedrigsten Geb\u00fchren und die beste Privatsph\u00e4re. Ein Detail wird sp\u00e4ter wichtig: Anders als bei den \u00e4lteren Formaten liegt bei einer bef\u00fcllten, noch nicht ausgegebenen Taproot-Adresse der volle \u00f6ffentliche Schl\u00fcssel offen auf der Kette, nicht nur dessen Hash. Die Tabelle stellt die Formate gegen\u00fcber.<\/p>

Typ<\/th>Pr\u00e4fix<\/th>Witness-Version<\/th>Schl\u00fcssel on-chain<\/th>Relative Geb\u00fchr<\/th><\/tr><\/thead>
Legacy (P2PKH)<\/td>1…<\/td>keine<\/td>als Hash verborgen<\/td>hoch<\/td><\/tr>
P2SH<\/td>3…<\/td>keine<\/td>als Hash verborgen<\/td>mittel<\/td><\/tr>
SegWit (P2WPKH)<\/td>bc1q<\/td>0<\/td>als Hash verborgen<\/td>niedrig<\/td><\/tr>
Taproot (P2TR)<\/td>bc1p<\/td>1<\/td>offen sichtbar<\/td>am niedrigsten (Schl\u00fcssel-Pfad)<\/td><\/tr>
Silent Payment<\/td>sp1<\/td>pro Zahlung neue P2TR-Ausgabe<\/td>je Zahlung neu abgeleitet<\/td>wie Taproot<\/td><\/tr><\/tbody><\/table><\/figure>

F\u00fcr Anleger lautet die wichtigste Faustregel: bc1p zu nutzen ist f\u00fcr den Alltag unproblematisch, solange die eigene Wallet und die Gegenstelle das Format beherrschen. Ein kleiner Testbetrag vor der ersten gro\u00dfen \u00dcberweisung an eine neue Adresse bleibt guter Brauch, unabh\u00e4ngig vom Format.<\/p>

In den ersten Jahren nach der Aktivierung war genau diese Kompatibilit\u00e4t ein \u00c4rgernis. Mehrere gro\u00dfe B\u00f6rsen konnten anfangs nicht an bc1p auszahlen, weil ihre Systeme das Format nicht kannten, und Nutzer mussten den Umweg \u00fcber eine SegWit-Adresse nehmen. Bis 2026 hat sich das weitgehend erledigt; die gro\u00dfen Anbieter unterst\u00fctzen Ein- und Auszahlungen in bc1p. Wer dennoch auf eine Fehlermeldung st\u00f6\u00dft, erkennt am Pr\u00e4fix sofort, wo das Problem liegt, und kann im Zweifel eine bc1q-Adresse als Zwischenschritt nutzen.<\/p>

MuSig2 und das unsichtbare Multisig<\/h2>

Schnorrs Linearit\u00e4t entfaltet ihren gr\u00f6\u00dften praktischen Nutzen bei Multisignaturen. Mit dem Verfahren MuSig2 (standardisiert als BIP 327) fassen mehrere Teilnehmer ihre Schl\u00fcssel zu einem einzigen zusammen und erzeugen in zwei Kommunikationsrunden eine gemeinsame Signatur. Auf der Kette ist eine solche n-of-n-Konstruktion nicht von einer simplen Einzeladresse zu unterscheiden. Genau das meint der Begriff unsichtbares Multisig: Sicherheit auf mehreren Schl\u00fcsseln, ohne dass Dritte es sehen.<\/p>

Im April 2025 brachte Ledger MuSig2 mit Version 2.4.0 seiner Bitcoin-App als erster gro\u00dfer Hardware-Hersteller in die Praxis; die App kann bis zu acht solcher Signaturvorg\u00e4nge parallel abwickeln. Mitautor des begleitenden Blogbeitrags war Yannick Seurin, einer der Erfinder von MuSig2. Ledger beschreibt den Anwendungsfall als Invisible Cosigner: F\u00fcr jeden, der die Wallet-Regel nicht kennt, ist der Mitunterzeichner weder erkennbar, noch hinterl\u00e4sst er eine Spur auf der Kette (Ledger<\/a>). Eine Schwellensignatur-Variante namens FROST erlaubt zus\u00e4tzlich t-of-n-Modelle, bei denen nicht alle, sondern nur eine Teilmenge der Schl\u00fcssel unterschreiben muss. Entscheidend ist dabei die Disziplin bei den kryptografischen Zufallswerten (nonces): Wird ein nonce wiederverwendet, l\u00e4sst sich der private Schl\u00fcssel rekonstruieren. Wie daraus kollaborative Verwahrung entsteht, hat HOGE Wire in einer eigenen Analyse zu Taproot, MuSig2 und FROST<\/a> aufgeschl\u00fcsselt.<\/p>

Was Taproot f\u00fcr Geb\u00fchren und Privatsph\u00e4re bringt<\/h2>

Der wirtschaftliche Reiz von Taproot liegt in zwei Effekten. Erstens sind Signaturen kleiner und landen im rabattierten Witness-Bereich eines Blocks, was die Geb\u00fchren dr\u00fcckt; ein Schl\u00fcssel-Pfad-Ausgang ist der g\u00fcnstigste Transaktionstyp, den Bitcoin heute kennt. Zweitens entsteht Privatsph\u00e4re durch Gleichf\u00f6rmigkeit: Eine kooperative Multisig, ein Lightning-Kanal und ein komplexer Vertrag sehen im Schl\u00fcssel-Pfad alle aus wie eine banale Einzelzahlung. Das vergr\u00f6\u00dfert die Anonymit\u00e4tsmenge, von der am Ende alle Nutzer profitieren.<\/p>

Dieser Gewinn hat eine Bedingung: Er gilt nur, solange der Schl\u00fcssel-Pfad genutzt wird. Sobald der Skript-Pfad zum Einsatz kommt, wird die Struktur des offengelegten Zweigs sichtbar. F\u00fcr das Geb\u00fchrenbild der gesamten Kette ist das relevant, weil mit sinkender Blockbelohnung langfristig die Transaktionsgeb\u00fchren das Sicherheitsbudget der Miner tragen m\u00fcssen, ein Spannungsfeld, das HOGE Wire am Beispiel des Solo-Minings gegen die Difficulty<\/a> beschrieben hat. Effiziente Taproot-Transaktionen zahlen tendenziell weniger pro Vorgang, w\u00e4hrend datenhungrige Anwendungen wie Inscriptions den knappen Blockraum teurer machen.<\/p>

Konkret hei\u00dft g\u00fcnstiger nicht, dass jede Taproot-Transaktion automatisch weniger kostet als jede SegWit-Transaktion; die Geb\u00fchr h\u00e4ngt immer von der Gr\u00f6\u00dfe in virtuellen Byte und der aktuellen Auslastung ab. Der Vorteil greift vor allem dort, wo fr\u00fcher viel Platz n\u00f6tig war: bei Multisignaturen und komplexen Vertr\u00e4gen, die im Schl\u00fcssel-Pfad auf die Gr\u00f6\u00dfe einer simplen Zahlung zusammenschrumpfen. F\u00fcr eine gew\u00f6hnliche Einzel\u00fcberweisung ist der Unterschied zu einer bc1q-Adresse dagegen gering.<\/p>

Silent Payments: Bitcoins n\u00e4chster Privatsph\u00e4re-Sprung<\/h2>

Taproot verbessert die Privatsph\u00e4re beim Ausgeben, l\u00f6st aber nicht das Grundproblem beim Empfangen: Wer eine feste Adresse mehrfach weitergibt, macht seine Zahlungen verkettbar. Hier setzt BIP 352 an, die Silent Payments. Der Empf\u00e4nger ver\u00f6ffentlicht eine einzige, dauerhaft wiederverwendbare Adresse mit dem Pr\u00e4fix sp1; der Sender leitet daraus \u00fcber ein gemeinsames Geheimnis (per Schnorr und Diffie-Hellman) f\u00fcr jede Zahlung eine frische, unverkettbare Taproot-Ausgabe ab, ganz ohne vorherige Interaktion (bitcoin\/bips<\/a>). Silent Payments bauen damit direkt auf Taproot und Schnorr auf.<\/p>

2026 ist aus dem Konzept Praxis geworden. Mehrere Wallets unterst\u00fctzen das Format inzwischen in unterschiedlichem Umfang (Spark<\/a>):<\/p>