{"id":900,"date":"2026-11-10T10:26:36","date_gmt":"2026-11-10T10:26:36","guid":{"rendered":"https:\/\/hoge.gg\/de\/taproot-bip-361-quanten-migration-2026\/"},"modified":"2026-11-10T10:26:36","modified_gmt":"2026-11-10T10:26:36","slug":"taproot-bip-361-quanten-migration-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/taproot-bip-361-quanten-migration-2026\/","title":{"rendered":"Einfrieren oder verlieren: Taproot und Bitcoins Quantenplan"},"content":{"rendered":"

Am 16. Oktober 2026 stellten neun Krypto-Unternehmen, darunter die Sicherheitsfirma Hacken, die von Charles Hoskinson mitgetragene Midnight Foundation sowie die Spezialisten Quantus und Postquant Labs, eine gemeinsame Initiative vor. Ihr Ziel: ein Standard daf\u00fcr, wie sich Bitcoin, Ethereum und andere Netzwerke gegen Quantencomputer wappnen. Die n\u00fcchterne Zahl, die diese Quantum Alliance<\/a> dabei nannte, lie\u00df aufhorchen: Rund 6,4 Millionen Bitcoin, gut 30 Prozent aller je ausgegebenen Coins, liegen auf Adressen mit offengelegtem \u00f6ffentlichem Schl\u00fcssel und w\u00e4ren angreifbar, sobald ein ausreichend gro\u00dfer Quantencomputer existiert. Darunter die gesch\u00e4tzt 1,1 Millionen BTC, die Satoshi Nakamoto zugeschrieben werden.<\/p>

Zum Kurs von rund 66.300 Euro je Bitcoin (CoinGecko<\/a>) entspricht das einem Gegenwert von \u00fcber 400 Milliarden Euro. Noch existiert kein Rechner, der diese Schl\u00fcssel brechen k\u00f6nnte. Aber die Debatte dar\u00fcber, was Bitcoin tun soll, bevor es so weit ist, hat 2026 eine neue Sch\u00e4rfe bekommen. Im Zentrum steht ausgerechnet das Upgrade, das viele als Bitcoins elegantestes gefeiert haben: Taproot.<\/p>

Denn Taproot hat neben allen Vorz\u00fcgen eine Eigenschaft, die 2021 kaum jemand betonte: Es legt \u00f6ffentliche Schl\u00fcssel von Haus aus offen auf der Blockchain ab. Genau das macht die Quantenfrage von einem abstrakten Zukunftsthema zu einer konkreten Design-Entscheidung. Dieser Text erkl\u00e4rt, was Taproot technisch ist, warum es die Quantenfrage versch\u00e4rft und wie die beiden Vorschl\u00e4ge BIP-360 und BIP-361 jenen Migrationsplan skizzieren, \u00fcber den Bitcoin gerade streitet.<\/p>

Was Taproot ist, in zwei Minuten erkl\u00e4rt<\/h2>

Taproot ist das bislang letzte gro\u00dfe Soft-Fork-Upgrade von Bitcoin. Es wurde \u00fcber den Mechanismus „Speedy Trial“ aktiviert: In Block 687.284 am 12. Juni 2021 signalisierten mehr als 90 Prozent der Miner Zustimmung, die eigentliche Aktivierung folgte in Block 709.632 am 14. November 2021 (CoinDesk<\/a>). Technisch besteht Taproot aus drei Bitcoin Improvement Proposals, die als Paket zusammengeh\u00f6ren: BIP 341<\/a> (die eigentliche Taproot-Struktur und das neue Ausgabeformat P2TR), BIP 340 (Schnorr-Signaturen) und BIP 342 (Tapscript, die angepasste Skriptsprache). Die Autoren waren unter anderem Pieter Wuille, Jonas Nick, Tim Ruffing und Anthony Towns.<\/p>

Nach au\u00dfen erkennt man Taproot an einem neuen Adresstyp: Adressen, die mit bc1p<\/strong> beginnen, sind Taproot-Ausgaben (Pay-to-Taproot, kurz P2TR). Zum Vergleich: bc1q<\/strong> steht f\u00fcr das \u00e4ltere SegWit-Format (Version 0), eine f\u00fchrende 1<\/strong> f\u00fcr Legacy-Adressen aus Bitcoins Fr\u00fchzeit. Taproot verfolgte drei Versprechen auf einmal: kleinere und g\u00fcnstigere Transaktionen, bessere Vertraulichkeit (eine einfache Zahlung und ein komplexer Smart Contract sollen on-chain gleich aussehen) und eine saubere Grundlage f\u00fcr fortgeschrittene Skripte. Alle drei Versprechen beruhen auf einem einzigen kryptografischen Baustein, den Taproot in Bitcoin brachte: Schnorr-Signaturen.<\/p>

Schnorr-Signaturen: kleiner, eleganter, offener<\/h2>

Bis Taproot nutzte Bitcoin f\u00fcr Signaturen das Verfahren ECDSA. Schnorr-Signaturen l\u00f6sen dasselbe Grundproblem (beweise, dass du den privaten Schl\u00fcssel kennst, ohne ihn zu verraten), tun das aber mathematisch sauberer. Eine Schnorr-Signatur ist exakt 64 Byte gro\u00df, der dazugeh\u00f6rige \u00f6ffentliche Schl\u00fcssel in der sogenannten x-only-Form nur 32 Byte. Das spart Platz und damit Geb\u00fchren.<\/p>

Der entscheidende Unterschied ist aber die Linearit\u00e4t<\/strong>. Bei Schnorr gilt, grob gesagt: Addiert man zwei Signaturen, ergibt das eine g\u00fcltige Signatur f\u00fcr die Summe der beiden \u00f6ffentlichen Schl\u00fcssel. ECDSA kann das nicht. Aus dieser Eigenschaft folgt die Schl\u00fcsselaggregation: Mehrere Unterzeichner k\u00f6nnen ihre Schl\u00fcssel zu einem einzigen zusammenrechnen, sodass eine 2-von-2- oder 3-von-5-Konstruktion auf der Blockchain wie eine ganz normale Einzelsignatur aussieht. Das ist die Grundlage von Verfahren wie MuSig2 (standardisiert als BIP 327), mit dem sich Multisig praktisch unsichtbar machen l\u00e4sst, ein Thema, das an anderer Stelle<\/a> ausf\u00fchrlich behandelt ist.<\/p>

F\u00fcr die Quantenfrage ist ein Detail wichtig, das in den Effizienz-Jubelmeldungen von 2021 unterging: Diese Eleganz erkauft Taproot damit, dass der \u00f6ffentliche Schl\u00fcssel direkt im Ausgabeformat steht. Dazu sp\u00e4ter mehr; zun\u00e4chst das zweite gro\u00dfe Bauteil.<\/p>

MAST und Tapscript: nur der genutzte Ast wird sichtbar<\/h2>

Komplexe Ausgabebedingungen (etwa „entweder unterschreiben Alice und Bob gemeinsam, oder nach drei Monaten darf Alice allein“) wurden vor Taproot vollst\u00e4ndig on-chain ver\u00f6ffentlicht, sobald man das Geld ausgab, inklusive aller ungenutzten Zweige. Taproot ersetzt das durch einen Merkle-Baum aus Skripten, genannt MAST (Merkelized Alternative Script Trees). Dabei wird nur der tats\u00e4chlich genutzte Ast offengelegt, der Rest bleibt verborgen.<\/p>

Jede Taproot-Ausgabe kennt deshalb zwei Wege, sie auszugeben. Der Key-Path<\/strong> ist der einfache Fall: Eine einzige Schnorr-Signatur des (ggf. aggregierten) Schl\u00fcssels gen\u00fcgt. Der Script-Path<\/strong> ist der R\u00fcckfall-Weg, \u00fcber den beliebig verschachtelte Skript-Bedingungen laufen, etwa Zeitschl\u00f6sser f\u00fcr Erbschaftsl\u00f6sungen oder Vaults. Weil der kooperative Normalfall \u00fcber den Key-Path l\u00e4uft, sieht die \u00fcberw\u00e4ltigende Mehrheit der Taproot-Zahlungen on-chain identisch aus, egal ob dahinter eine Einzelperson, eine Firmen-Schatzkammer oder ein Lightning-Kanal steckt. Technisch steckt die neue Skriptlogik in Tapscript (BIP 342). Dort wurde unter anderem der alte Multisig-Befehl OP_CHECKMULTISIG deaktiviert und durch das effizientere OP_CHECKSIGADD ersetzt.<\/p>

Gefeiert wurde Taproot aber vor allem f\u00fcr das, was es sp\u00e4ter m\u00f6glich machte. Auf seiner Grundlage entstanden die Taproot-Kan\u00e4le im Lightning Network, das Token-Protokoll Taproot Assets, \u00fcber das inzwischen sogar Dollar-Stablecoins auf Lightning laufen, sowie neue Zweitschichten wie Ark und Spark. Auch die Inschriften-Welle rund um Ordinals und Runes, die 2023 und 2024 die Bl\u00f6cke f\u00fcllte, griff auf Taproot-Strukturen zur\u00fcck. Ein gro\u00dfer Teil der Bitcoin-Innovation der vergangenen Jahre steht damit auf dem Fundament, das dieses Upgrade gelegt hat, und genau deshalb wiegt die Quantenfrage, die an ebendiesem Fundament kratzt, so schwer.<\/p>

Der Haken, den 2021 kaum jemand betonte<\/h2>

Hier liegt der Dreh- und Angelpunkt dieses Artikels. Bei den \u00e4lteren Adressformaten P2PKH (Legacy) und P2WPKH (bc1q-SegWit) enth\u00e4lt die Ausgabe nicht den \u00f6ffentlichen Schl\u00fcssel selbst, sondern nur dessen Hash (konkret einen HASH160-Wert). Der echte \u00f6ffentliche Schl\u00fcssel taucht erst in dem Moment auf, in dem man die M\u00fcnze ausgibt. Solange eine solche Adresse unber\u00fchrt und nie wiederverwendet bleibt, ist der \u00f6ffentliche Schl\u00fcssel hinter einer Hash-Funktion versteckt.<\/p>

Bei Taproot ist das anders. Der sogenannte Output-Key, ein 32 Byte langer \u00f6ffentlicher Schl\u00fcssel, steht direkt im Ausgabeskript, ab dem Moment, in dem die Ausgabe entsteht. Vereinfacht gesagt verschmilzt Taproot den internen Schl\u00fcssel mit dem Wurzel-Hash des Skriptbaums zu diesem einen \u00f6ffentlichen Output-Key. Das ist genau die Eigenschaft, die den Key-Path so effizient und privat macht, und zugleich die, die jede Taproot-Ausgabe von Geburt an dem Blick eines k\u00fcnftigen Quantencomputers aussetzt. Die Forschungsabteilung Google Quantum AI<\/a> formulierte es Ende M\u00e4rz 2026 so: Taproot habe \u00f6ffentliche Schl\u00fcssel standardm\u00e4\u00dfig auf der Blockchain sichtbar gemacht und damit eine Schutzschicht entfernt, die \u00e4ltere Adressformate noch boten.<\/p>

Das ist keine Sicherheitsl\u00fccke im klassischen Sinn. Gegen heutige Rechner ist ein offengelegter Schl\u00fcssel v\u00f6llig unproblematisch, das R\u00fcckrechnen vom \u00f6ffentlichen zum privaten Schl\u00fcssel (das Diskrete-Logarithmus-Problem auf der Kurve secp256k1) ist praktisch unm\u00f6glich. Es ist eine Design-Entscheidung, die erst dann relevant wird, wenn ein hinreichend gro\u00dfer Quantencomputer existiert. Die folgende Tabelle zeigt, wie die g\u00e4ngigen Adresstypen sich beim Thema Schl\u00fcssel-Offenlegung unterscheiden.<\/p>

Adresstyp<\/th>Pr\u00e4fix<\/th>\u00d6ffentlicher Schl\u00fcssel sichtbar?<\/th>Quanten-Exposition<\/th><\/tr><\/thead>
P2PK (Fr\u00fchzeit, u. a. Satoshi)<\/td>kein Pr\u00e4fix<\/td>Ja, direkt im Output<\/td>Dauerhaft exponiert<\/td><\/tr>
P2PKH (Legacy)<\/td>1…<\/td>Nur als Hash, bis zur Ausgabe<\/td>Gesch\u00fctzt bis zur ersten Ausgabe<\/td><\/tr>
P2WPKH (SegWit)<\/td>bc1q<\/td>Nur als Hash, bis zur Ausgabe<\/td>Gesch\u00fctzt bis zur ersten Ausgabe<\/td><\/tr>
P2TR (Taproot)<\/td>bc1p<\/td>Ja, als Output-Key ab Entstehung<\/td>Ab Entstehung exponiert<\/td><\/tr><\/tbody><\/table>
Nur nie wiederverwendete Hash-Adressen bleiben gesch\u00fctzt; wer eine bc1q- oder bc1p-Adresse mehrfach nutzt, legt den Schl\u00fcssel ebenfalls offen.<\/figcaption><\/figure>

Ein wichtiger Zusatz: Auch Hash-gesch\u00fctzte Adressen verlieren ihren Schutz, sobald sie wiederverwendet werden. Jede Ausgabe legt den \u00f6ffentlichen Schl\u00fcssel offen; wer danach erneut auf dieselbe Adresse einzahlt, parkt sein Geld hinter einem bereits bekannten Schl\u00fcssel. Adress-Wiederverwendung, in Bitcoin ohnehin als schlechte Praxis verp\u00f6nt, wird im Quantenkontext zum konkreten Risiko.<\/p>

Wie ein Quantencomputer Bitcoin wirklich angreifen w\u00fcrde<\/h2>

Die Bedrohung l\u00e4uft \u00fcber einen Algorithmus namens Shor, der auf einem leistungsf\u00e4higen Quantencomputer das Diskrete-Logarithmus-Problem effizient l\u00f6sen k\u00f6nnte. Praktisch hei\u00dft das: Wer einen offengelegten \u00f6ffentlichen Schl\u00fcssel sieht, k\u00f6nnte den dazugeh\u00f6rigen privaten Schl\u00fcssel berechnen und die M\u00fcnzen bewegen. Es gibt zwei Angriffsvarianten, und sie zielen auf unterschiedliche Opfer.<\/p>

Wichtig zur Einordnung: Nicht jeder Teil von Bitcoin ist gleicherma\u00dfen betroffen. Quantencomputer bedrohen \u00fcber den Shor-Algorithmus die Signatur-Kryptografie auf Basis elliptischer Kurven, also den Eigentumsnachweis. Bitcoins Mining und die Hash-Funktion SHA-256 sind dagegen nur \u00fcber den schw\u00e4cheren Grover-Algorithmus angreifbar, der lediglich eine quadratische Beschleunigung bringt; dem lie\u00dfe sich notfalls mit h\u00f6herer Schwierigkeit begegnen. Das eigentliche Problem ist also nicht, dass Quantencomputer Bitcoin „sch\u00fcrfen“, sondern dass sie fremde Schl\u00fcssel f\u00e4lschen k\u00f6nnten.<\/p>

Die erste ist die Langzeit-Ernte<\/strong>, oft als „harvest now, decrypt later“ beschrieben. Alle bereits offengelegten Schl\u00fcssel stehen f\u00fcr immer \u00f6ffentlich in der Blockchain. Ein Angreifer muss nichts abfangen; er wartet einfach, bis die Hardware so weit ist, und greift dann ruhende, exponierte Best\u00e4nde an. Genau hier liegen Satoshis fr\u00fche P2PK-M\u00fcnzen und jede wiederverwendete oder als bc1p geparkte Adresse. Die zweite Variante ist der Live-Angriff im Mempool<\/strong>. Sobald jemand eine Transaktion von einer Hash-gesch\u00fctzten Adresse sendet, wird der Schl\u00fcssel f\u00fcr die Dauer der Best\u00e4tigung sichtbar. Ein Quantencomputer m\u00fcsste in diesem Fenster den Schl\u00fcssel brechen und eine konkurrierende Transaktion einschleusen.<\/p>

Wie eng dieses Fenster ist, hat die erw\u00e4hnte Google-Forschung beziffert: Ein passender Rechner k\u00f6nnte den Angriff in etwa neun Minuten abschlie\u00dfen, sobald eine Transaktion erscheint, mit rund 41 Prozent Erfolgschance gegen Bitcoins typisches Zehn-Minuten-Best\u00e4tigungsfenster. Die Gesamtbilanz der Exposition f\u00e4llt je nach Z\u00e4hlweise unterschiedlich aus: Die genannte Google-Studie spricht von rund 6,9 Millionen BTC (etwa ein Drittel des Umlaufs) auf Adressen mit irgendwann offengelegtem Schl\u00fcssel, die Quantum Alliance von 6,4 Millionen. Sch\u00e4tzungen reiner P2PK-Altbest\u00e4nde beginnen bei etwa 1,9 Millionen BTC. In allen Varianten enthalten: die rund 1,1 Millionen BTC, die Satoshi zugeschrieben werden und die, falls die Schl\u00fcssel verloren sind, niemand mehr migrieren kann.<\/p>

Wie real ist die Gefahr? Der Stand der Hardware 2026<\/h2>

Die wichtigste Nachricht zuerst: Ein kryptografisch relevanter Quantencomputer (im Fachjargon CRQC) existiert Ende 2026 nicht. Die beste \u00f6ffentlich bekannte Hardware liegt bei grob 1.000 bis 1.500 physischen Qubits, mit einer Handvoll bis wenigen Dutzend fehlerkorrigierter logischer Qubits. Google demonstrierte mit seinem Willow-Chip 105 Qubits, IBM peilt rund 200 logische Qubits bis 2029 an, und Quantinuum meldete<\/a> im Oktober 2026 f\u00fcr sein Helios-System eine logische Zuverl\u00e4ssigkeit von 99,9995 Prozent. Fortschritte, aber keiner davon ist ein funktionierender Angriffsrechner.<\/p>

Zur Einordnung der L\u00fccke: Die Google-Forschung sch\u00e4tzt, dass ein Angriff auf Bitcoins Signaturverfahren weniger als 500.000 physische oder etwa 1.200 bis 1.450 hochwertige logische Qubits erfordert. Googles eigener Zielhorizont f\u00fcr „n\u00fctzliche Quantensysteme“ liegt bei etwa 2029. Die folgende Tabelle stellt den heutigen Stand dem gesch\u00e4tzten Schwellwert gegen\u00fcber.<\/p>

Kennzahl<\/th>Stand Ende 2026<\/th>Schwelle f\u00fcr Bitcoin-Angriff<\/th><\/tr><\/thead>
Logische (fehlerkorrigierte) Qubits<\/td>Einstellige bis niedrige zweistellige Zahl<\/td>ca. 1.200 bis 1.450<\/td><\/tr>
Physische Qubits<\/td>ca. 1.000 bis 1.500<\/td>unter 500.000<\/td><\/tr>
Nachgewiesener Krypto-Angriff<\/td>keiner<\/td>erforderlich<\/td><\/tr>
Zeithorizont (Google-Sch\u00e4tzung)<\/td>heute<\/td>„n\u00fctzliche Systeme“ um 2029<\/td><\/tr><\/tbody><\/table>
Die Kluft ist gro\u00df, aber Fachleute halten es f\u00fcr fahrl\u00e4ssig, erst mit der Migration zu beginnen, wenn sie geschlossen ist.<\/figcaption><\/figure>

Wann dieser „Q-Day“ kommt, ist hochumstritten. Die Sch\u00e4tzungen reichen von rund 2028 \u00fcber Googles 2029-Marke f\u00fcr n\u00fctzliche Systeme bis zu Prognosen, die ein kryptografisch relevantes Ger\u00e4t erst in den 2030er-Jahren oder noch sp\u00e4ter erwarten. Genau diese Unsicherheit ist das Problem: Weil niemand das Datum kennt, l\u00e4sst sich der richtige Startzeitpunkt f\u00fcr eine jahrelange Migration nicht sauber bestimmen. Wer zu fr\u00fch handelt, zahlt unn\u00f6tige Kosten; wer zu sp\u00e4t handelt, riskiert alles.<\/p>

Warum also die Eile? Weil Bitcoins Antwort kein Software-Update ist, das man \u00fcber Nacht einspielt, sondern ein koordinierter Soft Fork samt mehrj\u00e4hriger Wanderung von Milliarden an Werten. Das dauert, und es muss abgeschlossen sein, bevor und nicht nachdem die Hardware reif ist. Genau daf\u00fcr gibt es seit 2026 zwei konkrete Baupl\u00e4ne.<\/p>

BIP-360: eine Adresse, die den Schl\u00fcssel wieder versteckt<\/h2>

Der erste Baustein ist BIP-360<\/a>, ma\u00dfgeblich vom Entwickler Hunter Beast vorangetrieben. Der Vorschlag begann 2024 unter dem Namen Pay-to-Quantum-Resistant-Hash (P2QRH) und firmiert inzwischen als Pay-to-Merkle-Root (P2MR). Er f\u00fchrt einen neuen Adresstyp mit eigener SegWit-Witness-Version ein, der dieselbe Tapscript-Funktionalit\u00e4t wie Taproot bietet, aber ohne den quantenanf\u00e4lligen Key-Path. Kurz: eine Taproot-\u00e4hnliche Ausgabe, die den \u00f6ffentlichen Schl\u00fcssel eben nicht mehr offen ausstellt. BIP-360 wurde im Februar 2026 in das offizielle Bitcoin-Repository aufgenommen, als formaler Entwurf, nicht als aktivierte Konsensregel. Seit M\u00e4rz 2026 l\u00e4uft dazu ein Testnetz, auf dem bereits quantenresistente Transaktionen produziert werden.<\/p>

Wichtig ist, was BIP-360 bewusst offenl\u00e4sst: Der Vorschlag legt den Adressrahmen fest, aber noch nicht das konkrete Signaturverfahren. Zur Wahl stehen hash-basierte Verfahren wie SPHINCS+ (sehr robust, aber mit gro\u00dfen Signaturen) und gitterbasierte Verfahren (kompakter, aber weniger kampferprobt), beide aus der Riege der vom US-Standardisierungsinstitut NIST gepr\u00fcften Post-Quantum-Algorithmen. Der Haken: Post-Quantum-Signaturen sind deutlich gr\u00f6\u00dfer als die 64 Byte von Schnorr. Das belebt die alte Blockgr\u00f6\u00dfen- und Geb\u00fchrendebatte neu, denn gr\u00f6\u00dfere Signaturen bedeuten vollere Bl\u00f6cke und h\u00f6here Kosten. Dieselbe Frage nach dem knappen Blockraum und dem Geb\u00fchrenmarkt bestimmt auch die Diskussion um Taproots leere Bl\u00f6cke und das Sicherheitsbudget<\/a>.<\/p>

BIP-361: der Fahrplan in drei Phasen<\/h2>

BIP-360 schafft nur das Ziel. Der eigentliche Z\u00fcndstoff steckt im zweiten Baustein, der die Wanderung dorthin erzwingen w\u00fcrde. BIP-361<\/a>, formal betitelt „Post Quantum Migration and Legacy Signature Sunset“, wurde am 14. April 2026 vom bekannten Entwickler Jameson Lopp zusammen mit f\u00fcnf Mitautoren eingereicht. Der Vorschlag beschreibt einen Weg in drei Phasen, an dessen Ende nicht migrierte Coins in quantenanf\u00e4lligen Adressen dauerhaft unbeweglich w\u00fcrden.<\/p>

Phase<\/th>Zeitpunkt (nach Aktivierung)<\/th>Was passiert<\/th><\/tr><\/thead>
A: Adress-Abk\u00fcndigung<\/td>ca. 3 Jahre (rund 160.000 Bl\u00f6cke)<\/td>Das Netzwerk lehnt neue Zahlungen an quantenanf\u00e4llige Adresstypen ab; Bestandshalter k\u00f6nnen noch ausgeben, sollen aber migrieren.<\/td><\/tr>
B: Signatur-Abschaltung<\/td>ca. 5 Jahre<\/td>ECDSA- und Schnorr-Signaturen aus anf\u00e4lligen Ausgaben werden nicht mehr akzeptiert; nicht migrierte Coins sind faktisch eingefroren.<\/td><\/tr>
C: Wiederherstellung<\/td>offen<\/td>Ein spekulativer Mechanismus mit Zero-Knowledge-Beweisen soll es Berechtigten erlauben, Eigentum nachzuweisen und Coins zu retten; noch Forschung.<\/td><\/tr><\/tbody><\/table>
Konkrete Kalenderdaten nennt BIP-361 bewusst nicht; als grobe Illustration, orientiert an Taproots 90-Prozent-Miner-Signalisierung, kursieren 2032 f\u00fcr Phase A und 2034 f\u00fcr Phase B.<\/figcaption><\/figure>

Phase C ist dabei die Wette auf die Zukunft. Die Idee: Wer seine anf\u00e4lligen Coins nicht rechtzeitig bewegt hat, soll per Zero-Knowledge-Beweis<\/a> belegen k\u00f6nnen, dass er den Schl\u00fcssel kennt, ohne ihn offenzulegen, und die M\u00fcnzen so auf eine quantenresistente Adresse retten. Ob das f\u00fcr sehr alte Ausgaben vor dem Wallet-Standard BIP-39 \u00fcberhaupt funktioniert, ist unklar. Lopp selbst betont, der Zeitplan sei kein fixer Kalender, sondern eine Notfallplanung.<\/p>

Das eigentliche Dilemma: einfrieren oder stehlen lassen<\/h2>

Hinter dem technischen Fahrplan steckt eine unbequeme Grundsatzfrage, und sie ist der Grund, warum BIP-361 so viel Widerspruch ausl\u00f6st. Wenn ein Quantencomputer private Schl\u00fcssel aus offengelegten \u00f6ffentlichen Schl\u00fcsseln berechnen kann, dann verliert die Signatur ihre Funktion als Eigentumsnachweis. Ab diesem Punkt gibt es nur noch zwei Richtungen: Entweder das Netzwerk friert die anf\u00e4lligen Coins per Konsens ein, bevor jemand sie stiehlt, oder es l\u00e4sst sie beweglich und riskiert, dass der erste Betreiber eines solchen Rechners Millionen BTC abr\u00e4umt. Beides verletzt ein Prinzip, das Bitcoin-Nutzern wichtig ist.<\/p>

Lopp hat diese Zwickm\u00fchle in einem vielbeachteten Essay<\/a> ausbuchstabiert. Sein Kernsatz: Jede ernsthafte Option verletze ein Prinzip, das Bitcoin-Nutzern am Herzen liege. Er stellt dem klassischen Grundsatz „not your keys, not your coins“ eine Erg\u00e4nzung gegen\u00fcber, „your keys, only your coins“, und argumentiert, ein Quantenangreifer breche genau diese Erg\u00e4nzung, weil eine Signatur dann kein Beweis f\u00fcr tats\u00e4chliche Kontrolle mehr sei. Lopp h\u00e4lt beide Lager f\u00fcr legitim: Beide Seiten verteidigten Bitcoins Prinzipien, nur eben in unterschiedlicher Auslegung. Die Debatte sei weniger ein „einfrieren oder nicht“ als die Frage, wie sich die Summe aller Eigentumsverletzungen minimieren lasse, wenn ECDSA rechtm\u00e4\u00dfiges Eigentum nicht mehr zuverl\u00e4ssig beweise.<\/p>

Bemerkenswert ist, dass der Autor des Vorschlags selbst zur Zur\u00fcckhaltung mahnt. Lopp hat \u00f6ffentlich erkl\u00e4rt, er erwarte nicht, dass irgendjemand BIP-361 ernsthaft zur Aktivierung vorschlage, solange es nicht sehr wahrscheinlich erscheine, dass ein kryptografisch relevanter Quantencomputer weniger als zehn Jahre entfernt sei. Mit anderen Worten: BIP-361 ist ein Plan in der Schublade, kein Antrag auf morgen.<\/p>

Die Lager und ihre Gegenentw\u00fcrfe<\/h2>

Kaum war BIP-361 ver\u00f6ffentlicht, formierten sich die Fronten. Nur einen Tag sp\u00e4ter sprach sich Blockstream-Chef Adam Back auf der Paris Blockchain Week f\u00fcr den Gegenentwurf aus: Bitcoin solle quantenresistente Upgrades jetzt bauen, aber als freiwillige Option, ohne Zwangs-Einfrieren (CoinDesk<\/a>). Auch Tadge Dryja, Mitautor des Lightning-Whitepapers, pl\u00e4dierte daf\u00fcr, die Einf\u00fchrung quantenresistenter Adressen von der Abschaltung alter Ausgaben zu trennen und auf starre Fristen zu verzichten. Auf der anderen Seite steht prominent Binance-Gr\u00fcnder Changpeng Zhao, der vorgeschlagen hat, zumindest Satoshis 1,1 Millionen BTC einzufrieren.<\/p>

Die bereits erw\u00e4hnte Quantum Alliance hat diese Linien im Oktober 2026 noch einmal sichtbar gemacht. Christopher Smith, CEO der Sicherheitsfirma Quantus, warnte unverbl\u00fcmt, wer den ersten CRQC besitze, werde die exponierten Coins nehmen, wahrscheinlich mit staatlicher R\u00fcckendeckung. Bryn Bennett, Chief Revenue Officer beim Dienstleister The Vault, brachte den Einwand der Gegenseite auf den Punkt: Das Einfrieren von Coins sei eine Governance-Entscheidung des Bitcoin-Netzwerks, nicht der Industrie. Und Richard Carback, Technikchef von Postquant Labs, zog eine dritte Linie: lieber bewegen als einfrieren, etwa \u00fcber Treuhandl\u00f6sungen, und er nannte 2028 als realistischen Zeithorizont f\u00fcr die Bedrohung. Drei Fachleute, drei Haltungen, kein Konsens, exakt das Bild, das die \u00dcberschrift der CoinDesk-Berichterstattung einfing: Alle sind sich einig, dass Quantencomputer Satoshis Bitcoin gef\u00e4hrden k\u00f6nnten, nur nicht dar\u00fcber, was als N\u00e4chstes zu tun ist.<\/p>

BIP-361 ist nicht der einzige Entwurf im Umlauf, und seine Sch\u00e4rfe hat milderen Vorschl\u00e4gen Auftrieb gegeben. Drei Ans\u00e4tze werden besonders diskutiert:<\/p>