Die Debatte über Quantencomputing bei Bitcoin ist nicht einfach eine technische Frage der Kryptografie. Sie ist auch ein Streit darüber, welche Prinzipien gelten sollen, wenn Ellipsenkurven-Signaturen das Eigentum nicht mehr zuverlässig authentifizieren können: das Versprechen, dass gültige Coins von ihren Eigentümern ausgebbar bleiben, oder die Notwendigkeit, Bitcoin vor einem quantenfähigen Angreifer zu schützen, der einen erheblichen Teil des Angebots an sich bringen könnte.

Jede ernsthafte Option erzeugt einen Konflikt. Nichts zu tun würde die aktuellen Konsensregeln bewahren, könnte aber künftigen Quantenangreifern erlauben, Coins zu nehmen, deren Eigentümer nie zugestimmt haben. Das Einfrieren gefährdeter Coins könnte diesen Diebstahl verhindern, würde aber rückwirkend etablierte Ausgabebedingungen ungültig machen. Eine erzwungene Migration zu Post-Quantum-Signaturen könnte kluges Engineering sein, zugleich aber wie ein mit Fristen bewehrtes Konfiskationsregime wirken.

Die zentrale Frage lautet daher, wie die Gesamtverletzung von Eigentumsrechten minimiert werden kann, wenn Ellipsenkurven-Signaturen rechtmäßige Eigentümer nicht mehr zuverlässig identifizieren.

Die Quantenbedrohung

Das aktuelle Autorisierungssystem von Bitcoin beruht auf Ellipsenkurven-Kryptografie. Veraltete ECDSA-Signaturen und Schnorr-Signaturen nutzen die Kurve secp256k1. Unter klassischen Rechenannahmen ist es rechnerisch unmöglich, aus einem öffentlichen Schlüssel einen privaten Schlüssel abzuleiten. Ein hinreichend leistungsfähiger, kryptografisch relevanter Quantencomputer, der Shors Algorithmus ausführt, könnte das ändern: Sobald ein öffentlicher Schlüssel offengelegt ist, könnte ein Angreifer den zugehörigen privaten Schlüssel ableiten und eine Transaktion erstellen, die das Netzwerk als güig akzeptieren würde.

Nicht alle Bitcoin-Outputs legen öffentliche Schlüssel zur gleichen Zeit offen. Alte Pay-to-Public-Key-Outputs und Taproot-Outputs zeigen öffentliche Schlüssel on-chain und könnten langfristigen Angriffen ausgesetzt sein. Andere Outputs verbergen den öffentlichen Schlüssel hinter einem Hash, bis der Eigentümer ausgibt. In diesen Fällen könnte ein kurzfristiger Angreifer eine Transaktion beobachten, den privaten Schlüssel schnell ableiten und versuchen, die Ausgabe zu ersetzen oder zu überholen.

Quanten-Mining ist ein anderes Thema. Grovers Algorithmus könnte theoretisch eine quadratische Beschleunigung bei der Suche nach einem gültigen Block-Hash bieten, während Shors Algorithmus eine superpolynomielle Beschleunigung gegen die Annahmen hinter ECDSA und Schnorr liefert. Der Vorteil von Quantencomputing beim Mining gilt daher als deutlich weniger praktikabel als der Einsatz gegen Ellipsenkurven-Signaturen.

Unsicherheit über Quantencomputer

Ob jemals ein kryptografisch relevanter Quantencomputer gebaut wird, ist ungewiss. Quanten-Skeptiker bestreiten in der Regel nicht, dass Shors Algorithmus die Ellipsenkurven-Kryptografie brechen könnte. Sie argumentieren, es gebe keinen klaren Grund zu glauben, dass Ingenieure die leistungsfähigen, fehlertoleranten Maschinen bauen werden, die für einen relevanten Maßstab nötig wären.

Aktuelle verrauschte Quantenprozessoren können ECC nicht brechen. Ein solcher Angriff würde viele zuverlässige logische Qubits, extrem niedrige Fehlerraten, lange kohärente Berechnungen und in großem Maßstab funktionierende Quantenfehlerkorrektur erfordern.

Mikhail Dyakonov hat argumentiert, dass der Schwellensatz der Quanten-Fehlertoleranz auf idealisierten Annahmen beruht, darunter ausreichend unabhängiges Rauschen, genaue Gatter, begrenzte unerwünschte Wechselwirkungen und die Fähigkeit, Fehler in einem sehr großen System unterhalb einer Schwelle zu halten. Gil Kalai hat eine strukturellere Kritik vorgebracht: Korreliertes Rauschen und Rauschakkumulation könnten hochwertige Quantenfehlerkorrektur-Codes an einer Skalierung hindern. In seiner Arbeit von 2011 untersuchte Kalai, wie physikalische Implementierungen von Quanten-Codes, Korrelationen in stochastischen Systemen und akkumuliertes Rauschen skalierbare Quantencomputer verhindern könnten.

Skeptiker lehnen auch einfache Extrapolationen aus Fortschritten bei der Zahl physikalischer Qubits ab. Der Sprung von 50, 100 oder 1.000 physikalischen Qubits auf Millionen physikalischer oder Tausende logischer Qubits würde die Kontrolle von Crosstalk, Leakage, korrelierten Fehlern, Kalibrierungsdrift, thermischen Effekten, Messfehlern, Fertigungsschwankungen und Steuerrauschen erfordern. Aktuelle Demonstrationen, die klassische Simulationen nur bei sorgfältig ausgewählten Sampling-Aufgaben übertreffen, liefern begrenzte Belege für die Fähigkeit, einen langen, strukturierten Algorithmus wie Shors Algorithmus zuverlässig genug auszuführen, um einen 256-Bit-ECC-Privatschlüssel zu rekonstruieren.

Warum Migration wichtig ist

Erscheint ein kryptografisch relev Quantencomputer, würde es nicht schützen, den Nutzern lediglich die Option auf Post-Quantum-Kryptografie zu geben. Die gefährdete Menge umfasst frühe Pay-to-Public-Key-Coins, Coins mit wiederverwendeten öffentlichen Schlüsseln, Taproot-Outputs sowie Coins, deren öffentliche oder erweiterte öffentliche Schlüssel außerhalb der Blockchain offengelegt wurden.

Alte P2PK-Outputs machen nur einen kleinen Anteil der UTXOs aus, repräsentieren aber etwa 1,7 Millionen BTC. Breitere Schätzungen auf Basis von Output-Typen, Aktivitätsmustern und bekanntem Eigentum deuten darauf hin, dass mindestens 2,6 Millionen BTC gefährdet blieben, selbst wenn aktive Bitcoin-Nutzer ihre Wallets auf Post-Quantum-Kryptografie umstellten. Der Artikel schätzt, dass rund 2,6 Millionen BTC, etwa 13 % der aktuellen Gesamtmenge, nicht zu quantensicheren Locking-Scripts migrieren könnten.

Diese Coins könnten Systemrisiken weit über den Direktverkauf hinaus schaffen. Ein Quantenangreifer könnte sie nutzen, um Märkte zu destabilisieren, das Vertrauen zu untergraben, das Netzwerk zu schädigen oder genug Hashrate für einen 51-%-Angriff zu erlangen. Der Schutz dieser Coins würde daher Konsensänderungen erfordern, die die Verwendung gefährdeter ECDSA- oder Schnorr-Signaturen verhindern.

Begriffe wie „Konfiskation“, „Verbrennen“, „Einfrieren“, „Stehlen“ und „Rettung“ beschreiben unterschiedliche Mechanismen. Ein Freeze würde Coins weder an den Staat, Miner, Entwickler noch an einen Rettungsfonds übertragen. Er würde bestimmte Outputs mit gefährdeten Signaturen unausgebbar machen. Befürworter sprechen manchmal von „Burn“, weil die Coins nicht neu zugewiesen würden; ein rechtmäßiger Eigentümer mit dem Originalschlüssel könnte die praktische Wirkung jedoch durchaus als konfiskatorisch empfinden.

BIP-361 gliedert die Migration in Phasen. Sobald ein quantenresistener Adresstyp existiert, würden keine neuen Coins mehr an quantenverwundbare Adressen gesendet. Nach einem mehrjährigen Zeitraum könnten veraltete ECDSA- und Schnorr-Ausgaben ungültig werden. Der Vorschlägt lässt zudem Rettungsmethoden offen für Nutzer, die ihr Eigentum nachweisen können, ohne allein auf gebrochenes ECC angewiesen zu sein – etwa durch einen Zero-Knowledge-Beweis aus einer Seed-Phrase oder HD-Wallet-Struktur. Sein erklärter Zweck ist es, Anreize und Fristen zu schaffen, damit Nutzer, Börsen, Custodians, Wallets und Institutionen migrieren, bevor ECC abgelöst wird.

Argumente für das Einfrieren

Befürworter eines Freezes argumentieren, dass ein Angreifer, der per Quantenberechnung einen privaten Schlüssel ableitet, in keinem sinnvollen Sinne der rechtmäßige Eigentümer ist. Gefährdete Coins nehmen zu lassen sei keine Neutralität; sie erlaube den ersten quantenfähigen Akteuren, Outputs zu plündern, die durch eine bekannte Schwäche geschützt seien.

Eine erfolgreiche Abräumung könnte Wohlstand an einen Akteur umverteilen, der dafür relativ wenig Aufwand betrieben hat, und womöglich das Sicherheitsmodell von Bitcoin untergraben, das davon ausgeht, dass ökonomisch rationale Teilnehmer motiviert sind, den Wert ihrer Bestände zu schützen. Verlorene Coins sind ein besonderes Anliegen. Wenn Angre als dauerhaft verloren geltende Coins bergen, könnte das effektive Umlaufangebot steigen, obwohl die formale Obergrenze von 21 Millionen unverändert bliebe.

Die Bedrohung kann auch politisch statt rein finanziell sein. Ein Angreifer könnte Märkte destabilisieren, Vertrauen untergraben oder große Mengen BTC als Druckmittel halten. Pieter Wuilles Kommentare in der Mailinglisten-Debatte betonen, dass die Gefahr bereits aus dem glaubhaften Glauben entstehen könnte, ein Quantencomputer stehe bald bevor – noch vor einem tatsächlichen Angriff. Ein glaubwürdiger Plan zur Deaktivierung gefährdeter Ausgaben könnte daher selbst ein Beruhigungsmechanismus sein.

Befürworter argumentieren auch, dass eine freiwillige Migration langsam verlaufen würde. Hardware-Wallets, Börsen, Custodians, Nachlasspläne, Multisig-Koordinatoren und Cold-Storage-Prozeduren brauchen Jahre. Matt Corallo hat argumentiert, Bitcoin sollte eine einfache Post-Quantum-Fähigkeit deutlich früher hinzufügen, als nötig, damit Wallets früh anfangen können, quantenresistente öffentliche Schlüssel einzubetten oder zu committen.

Eine bekannte Frist gäbe börsennotierten Unternehmen, ETFs, Custodians, Börsen, Compliance-Abteilungen und Risikokomitees einen konkreten Migrationsplan. BIP-361 argumentiert, dass Börsen und Custodians nach einer Frist unter treuhänderischem und rechtlichem Druck handeln müssten. Befürworter weisen zudem darauf hin, dass dieselbe Vorbereitung bei anderen Situationen helfen könnte, in denen ECC über Zeit geschwächt wird.

Aus dieser Sicht wäre ein objektiver Soft Fork, der einen nachweislich unsicheren Ausgabepfad deaktiviert, eher dem Austausch eines defekten Schlosses vergleichbar als einer willkürlichen politischen Konfiskation. Die Regel würde an Skript-Typen statt an namentliche Eigentümer anknüpfen und könnte Jahre im Voraus mit einem gangbaren Migrationspfad angekündigt werden.

Argumente gegen das Einfrieren

Gegner beginnen mit der etablierten Eigentumsrechte-Erwartung von Bitcoin: Ein gültiger Coin bleibt unter den beim Empfang akzeptierten Konsensregeln vom Inhaber des zugehörigen Schlüssels ausgebbar. Diesen Ausgabepfad rückwirkend ungültig zu machen, verwandle „Not your keys, not your coins“ in „Not your upgraded-by-deadline, not your coins“.

Kritiker befürchten, dass ein Freeze einen Präzedenzfall dafür schüfe, unter UTXO-Eigentümern Gewinner und Verlierer zu wählen. Selbst wenn die Regel technisch objektiv wäre, träfe sie Nutzer aufgrund von Adresswahl, Wallet-Design, Inaktivität oder Handlungsunfähigkeit. Künftige Koalitionen könnten ähnliche Eingriffe wegen Sanktionen, Diebstahl-Rückholung, Erbstreitigkeiten, Staatsdruck oder vermeintlich verlorener Coins fordern.

Ein Freeze könnte verlorene Coins nicht unterscheiden von ruhenden Coins, inhaftierten Eigentümern, verstorbenen Eigentümern mit Erben, Nutzern in feindlichen Jurisdiktionen, Timelock-Vereinbarungen, vergessenem Cold Storage oder bewusstem Langzeit-Sparen. Er könnte zudem einen Interessenkonflikt schaffen: Aktive Halter könnten von einem reduzierten effektiven Angebot profitieren, während inaktive rechtmäßige Eigentümer den Verlust trügen.

Es besteht auch Unsicherheit über Quanten-Zeitlinien und -Fähigkeiten. Ein Quantencomputer könnte später kommen, eine andere Form annehmen, geheim bleiben oder mit weniger drastischen Mitteln begegnet werden. Millionen Coins dauerhaft zu verbrennen, bevor die Bedrohung eintritt, könnte selbst eine irreversible Verletzung von Eigentumsrechten werden.

Auch das technische Ziel ist unsicher. NIST hat ML-DSA, SLH-DSA und ML-KEM standardisiert, doch Bitcoin benötigt kompakte, skriptkompatible Eigentumsnachweise mit beherrschbaren Verifikationskosten. Chaincodes Vergleich der Kandidaten-Schemata stellt fest, dass Post-Quantum-Signaturen und -Schlüssel deutlich größer als Schnorr oder ECDSA sein können und sich erheblich in Reife, Größe, Signierkosten, Verifikationskosten und Sicherheitsannahmen unterscheiden. Eine schlechte Migration könnte den Durchsatz senken, Gebühren erhöhen, UTXO- oder Witness-Data-Lasten vergrößern, neue Annahmen einführen oder eine weitere Migration erfordern.

Alternativen zum dauerhaften Freeze

Mehrere Vorschläge zielen darauf ab, Systemrisiken zu reduzieren, ohne alte Eigentumsansprüche sofort zu vernichten. BIP-361s Phase A würde neue gefährdete Outputs verhindern, bestehende vorläufig ausgebbar lassen. Boris Nagaev hat ein temporäres Lock mit künftigem Re-Enable-Blockhöhe vorgeschlagen, während Conduition Interaktionen mit P2QRH- oder P2MR-ähnlichen Outputs untersucht und gewarnt hat, dass ein breites Verbot von EC-Prüfungen Hybrid-Konstruktionen treffen könnte.

Der Hourglass-V2-Vorschlag würde alte P2PK-Ausgaben ratenlimitieren auf einen P2PK-Input pro Block, mit einer Nettogrenze von einem BTC pro Block. Die Autoren sagen, dies verhindere sowohl sofortiges Verbrennen als auch eine uneingeschränkte Quantum-Liquidation. Kritiker erwidern, dass dies weiterhin permissionless Spending einschränken und ein jahrzehntelanges Rennen zwischen rechtmäßigen Eigentümern und Angreifern schaffen könnte.

Commit-Delay-Reveal-Schemata, teils mit Guy-Fawkes-artigen Konstruktionen verbunden, würden einem Nutzer erlauben, eine kftige Ausgabe zu committen, auf Bestätigung zu warten und später die zur Validierung nötige Information offenzulegen. Chaincode beschreibt den Ansatz als Opt-in, während die Optech-Zusammenfassung anmerkt, dass er die Migrationsdringlichkeit reduzieren und Coins vor Kurzzeit-Expositionsangriffen schützen könnte.

Eine weitere mögliche Rettungsmethode wäre der Nachweis der Kenntnis einer Seed oder eines Derivationspfads statt der Kontrolle über einen verwundbaren öffentlichen Schlüssel. Or Sattath und andere haben „Signature Lifting“ diskutiert, und Olaoluwa Osuntokun baute einen Proof of Concept mit zk-STARKs, um zu beweisen, dass ein Taproot-BIP-86-Output-Key aus einem BIP-32-Seed-Pfad abgeleitet wurde. Die neueste optimierte Version erfordert einen 200-KB-Beweis. Die Bergung kleiner UTXOs könnte unwirtschaftlich werden, da Gebühren mehrere hundert Dollar kosten und bei höheren Gebührensätzen Tausende oder Zehntausende erreichen könnten. Weitere Bedenken umfassen Beweisgröße, Verifikationskomplexität, Privatsphäre-Leakage, Wallet-Derivationsannahmen und das Risiko neuartiger Kryptografie im Bitcoin-Konsens.

Marc Johnson und andere haben eine marktbasierte Migration vorgeschlagen: quantenresistente Outputs, optionale Doppelsignaturen sowie Gebühren- oder Policy-Anreize. Dieser Ansatz würde Eigentumsrechte besser wahren, könnte das Systemrisiko jedoch nicht lösen, wenn große Mengen wertvoller BTC gefährdet bleiben.

Technische und ökonomische Abwägungen

NISTs Post-Quantum-Standards bieten eine Grundlage: FIPS 204 standardisiert ML-DSA, FIPS 205 SLH-DSA und FIPS 203 ML-KEM zur Schlüsseletablierung. Dennoch benötigt Bitcoin digitale Signaturen und skriptkompatible Eigentumsnachweise statt nur allgemeiner Standards.

Hash-basierte Signaturen bieten konservative Annahmen, sind aber groß. Lamport-artige Signaturen ließen sich über Skript-Upgrades wie OP_CAT aktivieren, doch ein quantenverwundbarer Taproot-Key-Path müsste weiterhin entfernt oder deaktiviert werden. BIP-347s OP_CAT-Diskussion benennt dieses Problem. Gitterbasierte Schemata wie ML-DSA sind kompakter als viele hash-basierte Optionen, bringen aber andere Annahmen und Implementierungsrisiken. Falcon-artige Signaturen sind kompakt, aber schwerer zu implementieren, während SPHINCS+/SLH-DSA konservativ, aber groß ist.

Chaincode schätzt, dass die Migration aller UTXOs bei voller Blockspace-Nutzung etwa 76 bis 142 Tage dauern könnte, bei 25 % der Blockspace 305 bis 568 Tage. Diese Zahlen schließen Wallet-Upgrades, institutionelle Genehmigungen, Air-Gapped-Signing, Hardware-Austausch, Buchhaltungs-Workflows und Koordination aus. Eine vollständige Migration würde daher wahrscheinlich Jahre dauern. Chaincodes Grobschätzung reicht von etwa fünf Jahren im Bestfall bis etwa 15 Jahren im Worstfall; im Notfall ließe sich der Prozess potenziell auf zwei Jahre verdichten, wobei der Bericht anmerkt, dass historische Notfall-Fixes nicht direkt vergleichbar sind.

Historische Präzedenzfälle und Governance

Der Value Overflow Incident zeigt, dass Bitcoin-Konsensregeln geändert wurden, um Coins zu entfernen, die unter gültig befolgten Regeln entstanden waren. Am 15. August 2010 enthielt Block 74.638 eine Transaktion, die 184.467.440.737,09551616 BTC für drei Adressen erschuf. Zwei Adressen erhielten je 92,2 Milliarden BTC, der Miner zusätzlich 0,01 BTC. Der Fehler beruhte auf einem Integer-Overflow in der Transaktionsvalidierung.

Innerhalb von fünf Stunden erschien ein neuer Client, der solche Transaktionen über eine Soft-Fork-Konsensänderung ablehnte. Die Blockchain spaltete sich, und die „gute“ Chain überholte die andere bei Blockhöhe 74.691. Die ungültige Transaktion und die erschaffenen Coins existieren auf der Chain mit der größten kumulierten Proof of Work nicht mehr.

Der DAO-Vorfall bei Ethereum liefert einen weiteren Vergleich. 2016 hatte die Community etwa einen Monat, um auf einen Angreifer zu reagieren, der 5 % aller ETH kontrollierte, weil The DAOs Vertrag eine Verzögerung vor der Abhebung enthielt. Ethereum hard-forkte schließlich, um die Gelder zurückzuholen, während die ursprüngliche Chain zu Ethereum Classic wurde. Ethereum Classic erreichte mühsam 10 % des Marktwerts von Ethereum, obwohl beide Netzwerke unterschiedliche Geschichten und Strukturen haben.

Eine BIP-361-artige Änderung bei Bitcoin wäre ein Soft Fork statt eines Hard Forks. Gegner des DAO-Forks konnten einfach bei den Originalregeln bleiben, während die Opposition gegen einen Quantum-Migrations-Soft-Fork mit Hashrate-Supermehrheit die Koordination eines User Rejected Soft Fork erfordern würde – etwas, das nie zuvor gelungen ist.

Bitcoin hat keine zentrale Autorität, die eine solche Änderung erzwingen könnte. Jede ECC-Ablösung würde breite Zustimmung von Node-Betreibern, Minern, Börsen, Wallets, Custodians, Händlern und Nutzern erfordern. Erst nach einem Beweis für einen kryptografisch relevanten Quantencomputer zu handeln, könnte Entscheidungen inmitten von Panik und Marktstress bedeuten. Zu früh zu handeln, könnte irreversible Kosten verursachen, bevor die Bedrohung hinreichend glaubwürdig ist.

Ein möglicher Weg nach vorn

Matt Corallo hat argumentiert, die Debatte sollte so gerahmt werden, dass Eigentumsrechte bestmöglich geschützt werden, statt schlicht jede Frozen-Option abzulehnen. Unter diesem Rahmen wäre die Ablösung von ECC nur vertretbar, wenn ein breit geprüftes quantenresistentes Ziel existiert, das Migrationsfenster lang genug ist, die Regeln objektiv und eng gefasst sind und Rettungsoptionen verfügbar sind.

Für BIP-361 wurde ein fünfjähriger Migrationszeitraum vorgeschlagen, weil eine zu frühe Migration unnötige Kosten verursachen oder Bitcoin in ein unreifes Schema sperren könnte, während eine zu späte Migration das System einem Systemrisiko aussetzen würde. Der Artikel stellt fest, dass eine Aktivierung nicht ernsthaft erwogen werden sollte, solange ein kryptografisch relevanter Quantencomputer nicht wahrscheinlich weniger als 10 Jahre entfernt ist.

Die nächsten Schritte umfassen nicht die Aktivierung von BIP-361. Dazu gehören die Reduzierung von Adresswiederverwendung, Forschung zu Recovery-Proofs, weniger Abhängigkeit von xpub-Sharing, effizientere Post-Quantum-Schemata, die Aktivierung von Opt-in-ensicheren Locking-Scripts und die Vorbereitung mehrerer Notfallpläne.

Bitcoin Quantenproblem ist nicht in dem Sinne dringend, dass Nutzer heute in Panik geraten sollten. Es ist dringend, weil dezentrale Systeme schwierige Koordinationsprobleme lösen müssen, bevor sie zu Notfällen werden. Die Debatte steht nicht einfach zwischen Achtung und Verletzung von Eigentumsrechten; sie steht zwischen konkurrierenden Formen des Scheiterns von Eigentumsrechten. Der Artikel kommt zu dem Schluss, dass Bitcoin Quantencomputing als reales, aber nicht quantifizierbares Systemrisiko behandeln sollte, während verfristete und kontroverse Änderungen, die allein auf Unsicherheit beruhen, zu vermeiden sind.

Dieser Artikel erscheint in der aktuellen Print-Ausgabe von Bitcoin Magazine, The Quantum Issue, und wird als früher Einblick in die Ideen der Ausgabe geteilt. Verfasst von Shinobi, zuerst erschienen auf Bitcoin Magazine.