Am 14. November 2021 aktivierte das Bitcoin-Netzwerk bei Block 709.632 sein bis heute gr\u00f6\u00dftes Upgrade seit SegWit. Taproot war damals wochenlang Gespr\u00e4chsthema, doch vier Jahre sp\u00e4ter gilt f\u00fcr die meisten dasselbe wie f\u00fcr eine gute Infrastruktur: Man bemerkt sie erst, wenn man genau hinsieht. Fast jede moderne Wallet erzeugt inzwischen Taproot-Adressen, das Lightning Network nutzt Taproot-Kan\u00e4le, und Protokolle wie Taproot Assets oder Silent Payments bauen direkt darauf auf. Trotzdem k\u00f6nnen nur wenige erkl\u00e4ren, was Schnorr-Signaturen, MAST und die kryptisch wirkende Adresse mit dem Pr\u00e4fix bc1p eigentlich leisten.<\/p>
Dieser Leitfaden holt das nach. Er erkl\u00e4rt Taproot von Grund auf, zeigt, warum Bitcoin das Upgrade \u00fcberhaupt brauchte, und f\u00fchrt bis an die beiden R\u00e4nder, an denen 2026 die eigentliche Musik spielt: Silent Payments als neue Privatsph\u00e4re-Schicht und die Frage, was ein k\u00fcnftiger Quantencomputer mit offen sichtbaren \u00f6ffentlichen Schl\u00fcsseln anstellen k\u00f6nnte. Der Bitcoin-Kurs liegt derzeit bei rund 68.800 EUR, etwa 36 Prozent unter dem Allzeithoch von knapp 107.700 EUR aus dem Oktober 2025 (CoinGecko<\/a>). Die Technik unter der Haube entwickelt sich jedoch unabh\u00e4ngig vom Preis weiter.<\/p> Der Text ist als Landkarte gedacht: von den drei Bausteinen (Schnorr, MAST, Tapscript) \u00fcber die sichtbare bc1p-Adresse und die Geschichte der Aktivierung bis zu den Anwendungen in Lightning, bei Token und in der Privatsph\u00e4re. Wer nur ein einzelnes Stichwort sucht, kann direkt zur passenden \u00dcberschrift springen; wer Taproot zum ersten Mal begegnet, liest am besten der Reihe nach, weil die Bausteine aufeinander aufbauen.<\/p> Taproot ist eine Sammlung von drei zusammengeh\u00f6rigen \u00c4nderungen an den Bitcoin-Regeln (ein sogenannter Soft Fork), die Signaturen effizienter, Skripte privater und Vertr\u00e4ge flexibler machen. Technisch besteht das Upgrade aus drei Bitcoin Improvement Proposals: BIP 340 f\u00fchrt Schnorr-Signaturen ein, BIP 341 definiert den eigentlichen Taproot-Output samt der Baumstruktur MAST, und BIP 342 liefert mit Tapscript die passende Skriptsprache dazu.<\/p> Der Kerngedanke l\u00e4sst sich knapp zusammenfassen: Taproot sorgt daf\u00fcr, dass eine komplizierte Ausgabebedingung (etwa ein Multisig-Wallet mit mehreren Mitunterzeichnern oder ein Lightning-Kanal) im Normalfall genauso aussieht wie eine ganz gew\u00f6hnliche Einzelzahlung. Was dahintersteht, bleibt verborgen, solange alle Beteiligten kooperieren. Erst wenn es zum Streitfall kommt, muss \u00fcberhaupt offengelegt werden, welche alternativen Regeln gegolten h\u00e4tten.<\/p> Vor Taproot nutzte Bitcoin f\u00fcr jede Signatur das Verfahren ECDSA. Das funktioniert, hat aber zwei praktische Nachteile. Erstens sind ECDSA-Signaturen nicht linear, das hei\u00dft, mehrere Signaturen lassen sich nicht sauber zu einer einzigen zusammenrechnen. Ein 2-von-3-Multisig musste deshalb alle beteiligten \u00f6ffentlichen Schl\u00fcssel und Signaturen einzeln in die Blockchain schreiben. Das war teuer, und jeder Beobachter konnte sofort erkennen, dass hier ein Multisig-Wallet und kein einfaches Konto im Spiel war.<\/p> Zweitens legte das \u00e4ltere Skriptmodell P2SH beim Ausgeben das komplette Skript offen, auch jene Zweige, die gar nicht genutzt wurden. Wer ein Wallet mit mehreren alternativen Bedingungen baute (sofort mit drei Schl\u00fcsseln, ersatzweise nach drei Monaten mit einem einzigen), zeigte der ganzen Welt s\u00e4mtliche Varianten. Das kostet Platz, Geb\u00fchren und Privatsph\u00e4re. Taproot r\u00e4umt beide Probleme auf einmal aus, indem es Schnorr-Signaturen mit einer Baumstruktur f\u00fcr Skripte verbindet.<\/p> Der Ursprung reicht bis Anfang 2018 zur\u00fcck, als der Entwickler Greg Maxwell die Grundidee von Taproot skizzierte. Der Reiz lag von Beginn an weniger in einer einzelnen Funktion als in einer Vereinheitlichung: Wenn der einfache und der komplizierte Ausgabefall ununterscheidbar werden, profitieren auch gew\u00f6hnliche Nutzer von einer Privatsph\u00e4re, die sonst nur wenige Spezialanwendungen h\u00e4tten. Diese Logik, dass mehr gemeinsame Ununterscheidbarkeit am Ende allen hilft, zieht sich wie ein roter Faden durch das gesamte Design und erkl\u00e4rt, warum Entwickler so lange an dem Upgrade feilten.<\/p> Schnorr-Signaturen sind das Herzst\u00fcck von Taproot. Sie nutzen dieselbe mathematische Kurve wie das alte ECDSA (secp256k1), haben aber eine entscheidende Eigenschaft: Sie sind linear. Addiert man zwei Schnorr-Signaturen, ergibt das eine g\u00fcltige Signatur f\u00fcr die Summe der beiden zugeh\u00f6rigen \u00f6ffentlichen Schl\u00fcssel. Diese Linearit\u00e4t klingt nach technischem Detail, ist aber der Hebel f\u00fcr fast alles, was Taproot interessant macht (BIP 340<\/a>).<\/p> Praktisch hei\u00dft das: Mehrere Unterzeichner k\u00f6nnen ihre Teilsignaturen zu einer einzigen, nur 64 Byte kurzen Signatur verschmelzen, und mehrere Schl\u00fcssel lassen sich zu einem einzigen \u00f6ffentlichen Schl\u00fcssel aggregieren. Ein n-von-n-Multisig sieht auf der Blockchain dann exakt wie eine Einzelsignatur aus. Genau dieses Verfahren steckt hinter MuSig2, dem heute verbreiteten Schema f\u00fcr unsichtbares Multisig. Hinzu kommt, dass Schnorr-Signaturen beweisbar sicher und frei von der sogenannten Malleability sind, einem alten Bitcoin-\u00c4rgernis, bei dem sich eine Signatur ohne Kenntnis des Schl\u00fcssels geringf\u00fcgig ab\u00e4ndern lie\u00df.<\/p> In Zahlen: Ein Taproot-Output verwendet einen x-only-Pubkey von 32 Byte, die Signatur ist konstant 64 Byte lang, egal ob eine Person oder zwanzig unterschrieben haben. Bei komplexen Wallets spart das sp\u00fcrbar Platz und damit Geb\u00fchren, und es verwischt den Unterschied zwischen einfachen und komplizierten Ausgaben, was wiederum der Privatsph\u00e4re aller Nutzer zugutekommt.<\/p> Der Unterschied zu fr\u00fcher ist grundlegend. Unter ECDSA war jedes Multisig im Kern eine Ansammlung einzeln gepr\u00fcfter Signaturen, die alle in den Block mussten. Unter Schnorr kann daraus ein einziges kryptografisches Objekt werden, das sich nicht von einer gew\u00f6hnlichen Signatur unterscheidet. Das ist der Grund, warum Verfahren wie MuSig2 und darauf aufbauende Schwellenwert-Schemata (bei denen etwa drei von f\u00fcnf Schl\u00fcsseln zum Unterschreiben gen\u00fcgen) \u00fcberhaupt praktikabel wurden, ohne dass die Beteiligten ihre Wallet-Struktur der ganzen Welt offenbaren m\u00fcssen.<\/p> Die zweite S\u00e4ule ist MAST, kurz f\u00fcr Merkelized Alternative Script Tree. Statt alle m\u00f6glichen Ausgabebedingungen in ein einziges Skript zu packen, ordnet Taproot sie als Bl\u00e4tter eines Merkle-Baums an. Nach au\u00dfen sichtbar ist nur die Wurzel dieses Baums, verrechnet mit einem \u00f6ffentlichen Schl\u00fcssel. Wer sp\u00e4ter ausgibt, muss nur den tats\u00e4chlich genutzten Zweig plus einen kurzen Beweispfad offenlegen; alle anderen Zweige bleiben f\u00fcr immer verborgen (BIP 341<\/a>).<\/p> Daraus ergeben sich zwei Wege, einen Taproot-Output auszugeben. Der Key-Path ist der Normalfall: eine einzige Schnorr-Signatur mit dem leicht modifizierten \u00f6ffentlichen Schl\u00fcssel. Das ist am g\u00fcnstigsten, am schnellsten und am privatesten, weil niemand erkennt, ob dahinter eine Person oder ein kompliziertes Regelwerk steckt. Der Script-Path ist der R\u00fcckfallweg: Hier offenbart der Ausgebende ein konkretes Blatt-Skript und beweist, dass es Teil des Baums war. Nur dieser eine Zweig wird \u00f6ffentlich, der Rest des Vertrags bleibt Privatsache.<\/p> F\u00fcr die Skripte im Baum ist Tapscript zust\u00e4ndig, eine \u00fcberarbeitete Fassung der Bitcoin-Skriptsprache (BIP 342). Wichtig f\u00fcr das Verst\u00e4ndnis: Der alte Befehl OP_CHECKMULTISIG ist in Tapscript deaktiviert und wurde durch OP_CHECKSIGADD ersetzt, das besser mit Schnorr und Signatur-Aggregation harmoniert. Au\u00dferdem reserviert Tapscript mehrere OP_SUCCESS-Opcodes als Platzhalter, \u00fcber die sich Bitcoin k\u00fcnftig per Soft Fork erweitern l\u00e4sst. Taproot ist damit nicht nur ein Upgrade, sondern auch eine Startrampe f\u00fcr die n\u00e4chsten.<\/p> Ein Beispiel macht das greifbar. Angenommen, ein Paar sichert gemeinsame Ersparnisse: Im Normalfall unterschreiben beide (ein 2-von-2 \u00fcber den Key-Path), als Notfallregel soll nach einem Jahr aber auch eine einzelne Person mit einem Backup-Schl\u00fcssel herankommen. Vor Taproot h\u00e4tte jede Ausgabe beide Varianten offengelegt. Mit Taproot liegt die Notfallregel als verborgenes Blatt im Baum; solange das Paar kooperiert und gemeinsam \u00fcber den Key-Path ausgibt, sieht die Blockchain nur eine schlichte Einzelsignatur, und die Zeitschloss-Klausel bleibt f\u00fcr immer geheim.<\/p> Am sichtbarsten wird Taproot an der Adresse. Taproot-Outputs werden als Witness-Version 1 kodiert, und daf\u00fcr kam ein neues Adressformat namens Bech32m zum Einsatz (BIP 350<\/a>). Es behebt einen kleinen Sch\u00f6nheitsfehler im \u00e4lteren Bech32-Format und sorgt daf\u00fcr, dass sich Tippfehler zuverl\u00e4ssig erkennen lassen. Im Alltag erkennt man eine Taproot-Adresse am Pr\u00e4fix bc1p, w\u00e4hrend SegWit-Adressen mit bc1q beginnen und \u00e4ltere Adressen mit einer 1 oder einer 3.<\/p> F\u00fcr Nutzer \u00e4ndert sich sonst wenig: Man kopiert eine Adresse und sendet. Wichtig ist aber, dass einige sehr alte Wallets oder B\u00f6rsen bc1p-Adressen bis heute nicht sauber unterst\u00fctzen und eine Zahlung dann ablehnen. Die folgende Tabelle ordnet die g\u00e4ngigen Adresstypen ein.<\/p>Was Taproot ist, in einem Satz<\/h2>
Warum Bitcoin Taproot brauchte<\/h2>
Schnorr-Signaturen: das Herzst\u00fcck<\/h2>
MAST, Tapscript und die zwei Wege, einen Output auszugeben<\/h2>
bc1p: Wie eine Taproot-Adresse aussieht<\/h2>