Cryptopolitan befragte seine Newsletter-Leser dazu, ob Quantencomputing Bitcoin bis 2035 brechen könnte. Die Frage erhielt zusätzliche Dringlichkeit, nachdem am 28. Juli ein nicht veröffentlichtes KI-Modell eine Schwachstelle in einem postquanten Signaturschema entdeckte — eine Verwundbarkeit, die zwei Jahre fachlicher Begutachtung übersehen hatten. An dieser Entdeckung war kein Quantencomputer beteiligt. Dieser Bericht untersucht die zugrunde liegende kryptografische Architektur von Bitcoin, die konkrete Bedrohung, die Quantencomputing für BTC darstellt, und warum der KI-gestützte Durchbruch in der Kryptoanalyse dem Zeitplan des Quantenrisikos eine neue Dimension hinzufügt.

Wo die Leser stehen

Fasst man die Befragten, die mit „ja, wahrscheinlich werden sie“ geantwortet haben, mit der Gruppe „vor 2030“ zusammen, so halten 47% der Leser einen Quantenbruch von Bitcoin innerhalb der nächsten neun Jahre für plausibel. Der bislang größte auf echter Quantenhardware gebrochene elliptische-Kurven-Schlüssel umfasst weiterhin 15 Bit — erreicht im April von einem Forscher, der den Project Eleven's Q-Day Prize beanspruchte. Bitcoins Schlüssel sind dagegen 256 Bit lang. Diese Lücke innerhalb von neun Jahren zu schließen würde ein außergewöhnliches Tempo technischer Fortschritte erfordern. Rund ein Drittel des Publikums hält dies derzeit für eine echte Möglichkeit.

Was für BTC tatsächlich gefährdet ist

Bitcoin verschlüsselt keine Daten. Jede Transaktion im Netzwerk war seit seiner Einführung öffentlich sichtbar. Bitcoin signiert und hasht lediglich — zwei unterschiedliche mathematische Operationen mit sehr unterschiedlichen Quanten-Risikoprofilen.

Der Signaturmechanismus ist der exponierte Teil. Beim Ausgeben von Bitcoin erzeugt eine Wallet eine Signatur, die den Besitz nachweist, und dies geschieht über elliptische-Kurven-Kryptografie namens secp256k1. Bitcoin hat im Laufe der Zeit zwei Signaturverfahren verwendet: seit dem Start ECDSA und seit 2021 Schnorr. Beide beruhen auf derselben Grundannahme — dass sich aus einem öffentlichen Schlüssel kein privater Schlüssel praktikabel ableiten lässt.

Genau diese Annahme greift Shor's Algorithmus an. Mit einem ausreichend großen Quantencomputer kann er aus einem öffentlichen Schlüssel den dazugehörigen privaten Schlüssel rückwärts berechnen. Im März veröffentlichten Google-Forscher Schätzungen, wonach weniger als 1,200 logische Qubits und unter 500,000 physische Qubits erforderlich wären. Eine spätere Arbeit von Caltech und Oratomic senkte diese Zahl mit einer Neutralatom-Architektur auf rund 10,000 Qubits. Ein System auch nur in dieser Größenordnung wurde bisher nicht gebaut. IBM's fortschrittlichster öffentlich beschriebener Quantenprozessor, Condor, arbeitet mit etwa 1,121 physischen Qubits — ohne Fehlerkorrektur — und der Aufwand, verrauschte physische Qubits in stabile logische Qubits umzuwandeln, bleibt eine erhebliche technische Hürde. Allerdings lagen diese Schätzungen früher noch im Millionenbereich, und genau dieser Abwärtstrend erklärt, warum Bitcoin-Entwickler das Thema nicht mehr als Problem der 2040er-Jahre behandeln.

Die Hashing-Seite ist deutlich robuster. Bitcoin verwendet SHA-256 für das Mining, die Adressgenerierung und die Verknüpfung der Blöcke. Der bekannteste Quantenangriff darauf ist Grover's Algorithmus, der lediglich einen quadratischen Geschwindigkeitsvorteil bietet — und die 256-Bit-Sicherheit praktisch auf etwa 128 Bit reduziert, was für jede bislang theoretisch beschriebene Maschine außer Reichweite bleibt. Mining und Kettenstruktur sind hier nicht die Schwachstellen.

Die richtige Einordnung lautet daher enger gefasst als „Quantencomputing bricht Bitcoin“. Wirklich gefährdet sind Coins, deren öffentliche Schlüssel bereits offen auf der Blockchain stehen. Das ist der Fall, wenn von einer Adresse bereits einmal ausgegeben wurde oder wenn Guthaben in älteren Adressformaten liegt, die den Schlüssel standardmäßig offenlegen. Die aktuelle Schätzung liegt bei 6.5 bis 6.9 Millionen BTC, also ungefähr einem Viertel bis einem Drittel des Gesamtangebots; darin enthalten sind rund 1.7 Millionen Coins in frühen Adressen, die weithin Satoshi zugeschrieben werden.

Coins in modernen Adressen, von denen nie ausgegeben wurde, legen keinen öffentlichen Schlüssel offen. Bei ihnen hätte ein Quantenangreifer nur das kurze Zeitfenster, in dem eine Transaktion unbestätigt im Mempool liegt. Das bleibt ein ernstes Problem, aber ein deutlich kleineres, als die Schlagzeilen vermuten lassen.

Bitcoins Antwort auf die Quantenbedrohung

Am 11. Februar 2026 wurde BIP-360 in das offizielle Bitcoin-BIP-Repository aufgenommen — der erste formale Vorschlag zur Quantenresistenz des Netzwerks, der diesen Meilenstein erreichte. Er führt einen neuen Ausgabetyp namens Pay-to-Merkle-Root, kurz P2MR, ein; Autoren sind Hunter Beast, Ethan Heilman und Isabel Foxen Duke.

P2MR ist im Wesentlichen Taproot, bei dem der Ausgabepfad über den Schlüssel entfernt wurde. Taproot verpflichtet sowohl einen internen öffentlichen Schlüssel als auch eine Merkle-Root von Skripten, was bedeutet, dass der Schlüssel immer aus den On-Chain-Daten ableitbar ist. P2MR verpflichtet sich ausschließlich zur Merkle-Root. Ein öffentlicher Schlüssel erscheint erst dann, wenn tatsächlich ausgegeben wird, und selbst dann nur das konkret verwendete Blatt. Damit wird die Schwachstelle der langen Offenlegung geschlossen.

Ein Begleitvorschlag, BIP-361, folgte am 14. April mit einem Drei-Phasen-Plan, ECDSA- und Schnorr-Ausgaben vollständig auslaufen zu lassen. Dieser Vorschlag sorgt für Debatten, weil seine dritte Phase Coins faktisch einfrieren würde, die nie migriert werden.

Heilman's eigene Schätzung geht von sieben Jahren vom Entstehen eines Konsenses bis zur vollständigen Quantenresistenz aus — ein Zeitplan, den er selbst als optimistisch bezeichnet. Die Aufteilung: zweieinhalb Jahre für Prüfung und Tests, ein halbes Jahr für die Aktivierung und dann fünf weitere Jahre, bis rund 90% der Wallets, Verwahrer, Lightning-Nodes und Treasury-Software tatsächlich aktualisiert sind. Bemerkenswert ist, dass BIP-360 keine postquanten Signaturen enthält. Diese wurden im Juli 2025 entfernt und auf einen späteren Vorschlag verschoben. Die Algorithmen, die Bitcoin letztlich übernehmen wird, werden vermutlich ML-DSA oder SLH-DSA sein, beides bereits von NIST als FIPS 204 und FIPS 205 im August 2024 finalisiert, womit ein achtjähriger Standardisierungsprozess abgeschlossen wurde, an dem Kryptografen weltweit beteiligt waren. Dieselbe Schwachstelle elliptischer Kurven, mit der Bitcoin konfrontiert ist, erstreckt sich auf nahezu die gesamte digitale Infrastruktur — von TLS-Verbindungen zur Absicherung des Internetverkehrs bis zu SWIFT-Nachrichten zwischen Banken — weshalb NIST's Verfahren weit über eine einzelne Kryptowährung hinaus Bedeutung hat.

Ein postquantenes Schema scheiterte — ohne Quantencomputer

Am 28. Juli veröffentlichte Anthropic's Frontier Red Team Ergebnisse von Claude Mythos Preview, einem nicht öffentlich verfügbaren Modell. In einem halbautonomen agentischen Setup identifizierte das Modell einen zuvor unbekannten Angriff gegen HAWK — einen von neun Finalisten im zusätzlichen postquanten Signaturwettbewerb des NIST und das einzige gitterbasierte Verfahren, das im Mai in Runde drei vorgerückt war.

Der Angriff nutzte eine Symmetrie in HAWK's Gitterstruktur aus, die zuvor von keinem Gutachter verwendet worden war. Für den Parameterbereich HAWK-256 senkte er den geschätzten Rechenaufwand zur Schlüsselwiederherstellung von etwa 2^64 Operationen auf rund 2^38 — der Unterschied zwischen „kein Angreifer auf der Welt kann das versuchen“ und „ein gut finanziertes Team könnte es plausibel versuchen“.

Die Details sind beunruhigend. HAWK hatte bereits zwei Runden fachlicher Begutachtung über zwei Jahre hinweg überstanden. Das KI-Modell fand die Schwachstelle in etwa 60 Stunden bei API-Kosten von rund $100,000. Der Forscher, der das Projekt betreute, hatte einen Hintergrund in theoretischer Informatik, war aber kein Spezialist für Gitterkryptografie.

Sophie Schmieg, eine Post-Quantum-Kryptografin bei Google, fasste die Folgen knapp zusammen: „Basically with this paper, HAWK is dead.“ Das HAWK-Team zog das Verfahren am folgenden Tag aus der NIST-Prüfung zurück und verwies darauf, dass die naheliegenden Korrekturen — höhere Parameter oder der Wechsel zu Modulen höheren Rangs — es gegenüber den Alternativen unattraktiv machen würden.

Zu keinem Zeitpunkt war ein Quantencomputer beteiligt. Gebrochen wurde die postquanten Kryptografie selbst, und zwar durch ein klassisches KI-Modell an einem langen Wochenende.

Was die Umfrage tatsächlich zeigte

Jede Antwortoption in unserer Umfrage stellte letztlich dieselbe Grundfrage: Wann kommt die Quantenhardware. Die Leser waren in dieser Frage vernünftig gespalten, und dass 47% die Bedrohung innerhalb von neun Jahren verorten, ist angesichts der schnellen Bewegung der Qubit-Schätzungen in diesem Jahr eine gut vertretbare Interpretation.

Das HAWK-Ergebnis legt jedoch nahe, dass der Zeitplan der Hardware womöglich nicht die eigentliche Grenze ist. Die 33%, die „nicht so bald“ oder „erst nach 2050“ wählten, setzten auf die Entwicklung der Quantentechnik — und könnten damit durchaus recht haben. Diese Wette schützt jedoch nicht vor einem klassischen Angriff auf den letztlich gewählten Ersatzalgorithmus.

Die 20%, die „keine Ahnung“ antworteten, verdienen Anerkennung. In einem Publikum, das diese Entwicklungen genau verfolgt, ist ein Fünftel, das nicht spekulieren will, kein Zeichen von Gleichgültigkeit. Es wirkt eher wie eine realistische Einschätzung der sich überlagernden Unsicherheiten: Fortschritte bei der Hardware, Auswahl von Algorithmen, Konsens-Zeitpläne und nun KI-gestützte Kryptoanalyse, die schneller voranschreitet als die Prüfleitungen, die solche Schwächen erkennen sollen.