Die kryptografischen Grundlagen des Internets wurden für eine Welt geschaffen, die nicht mehr existiert — oder genauer gesagt: für eine Welt, der allmählich die Zeit davonläuft. Q-Day, der Zeitpunkt, an dem ein Quantencomputer stark genug ist, moderne Public-Key-Verschlüsselung zu brechen, ist kein theoretischer Horizont mehr. Nach Ansicht vieler Kryptografie-Veteranen handelt es sich um ein Problem der späten 2020er-Jahre. Damit liegt es näher, als es die meisten institutionellen Roadmaps vermuten lassen, und deutlich näher, als der durchschnittliche Krypto-Nutzer erwarten würde. Im Zentrum steht Shors Algorithmus, veröffentlicht 1994: Eine ausreichend große, fehlerkorrigierte Quantenmaschine könnte ihn nutzen, um die privaten Schlüssel hinter RSA- und elliptischer Kurvenkryptografie abzuleiten — also den Verfahren, die den größten Teil des Internetverkehrs und nahezu die gesamte Krypto-Welt absichern. Kein heute existierender Computer kann den Algorithmus in diesem Maßstab ausführen; deshalb dreht sich die Debatte unter Experten um den Zeitpunkt des Eintreffens und nicht um die zugrunde liegende Mathematik.

Joseph Gabriel Mattia III, COO von Quantus — dem Unternehmen, das Post-Quantum-Kryptografie in die Infrastruktur von Hardware-Wallets integriert — beschäftigt sich mit der Frage, wie dieser Übergang auf Protokollebene, auf Verwahrungsebene und für den gewöhnlichen Inhaber aussieht, der alles, was er über Sicherheit zu wissen glaubte, aus der Verpackung einer Hardware-Wallet gelernt hat. Seine Antworten sind weniger beruhigend, als es die derzeitige Haltung der Branche vermuten lässt. Der Verwaltungskey eines Stablecoins bereitet ihm mehr Sorgen als Satoshis Wallet. Multisig biete gegen einen Quantenangreifer, so seine Argumentation, keinen nennenswerten Schutz — nur weitere Schlösser derselben kaputten Art. Und jedes große Krypto-Asset, das von migration.fail, einem öffentlichen Bereitschaftstracker, erfasst wird, gilt derzeit auf Signaturebene als verwundbar.

Es folgt ein Gespräch über die Bedrohung, die die Branche noch immer nicht ernst genug nimmt, darüber, warum das Warten auf einen Proof of Concept bereits zu spät sein könnte, und darüber, wie Quanten-Readiness tatsächlich aussehen muss — nicht als Marketinglabel, sondern als etwas Verifizierbares, Auditierbares und standardmäßig in den Stack eingebautes.

Wann erwarten Sie, dass „Q-Day“ eintritt — also der Punkt, an dem ein Quantencomputer moderne Public-Key-Kryptografie brechen kann? Welche Systeme, Daten, Assets, Protokolle oder Infrastrukturen würden Angreifer zuerst ins Visier nehmen? Warum?

Wahrscheinlich irgendwann in den späten 2020er-Jahren. Über das genaue Jahr wird noch gestritten, aber viele Kryptografie-Veteranen glauben, dass es innerhalb der nächsten vier Jahre passieren wird.

Was die ersten Ziele betrifft, erwarte ich nicht, dass Satoshis Bitcoin eines davon sein wird, auch wenn die Gedanken vieler Menschen genau dorthin gehen.

Wenn ein Angreifer über diese Fähigkeit verfügt, würde ein sichtbares Ziel die ganze Welt darauf aufmerksam machen und einen enormen strategischen Vorteil zerstören. Wahrscheinlich würden sie sich auf Schlüssel konzentrieren, die ihnen das meiste Maß an Kontrolle oder Wert verschaffen und dabei so wenig Aufmerksamkeit wie möglich erregen.

Im Krypto-Bereich würde mir etwa der Verwaltungskey eines großen Stablecoins mehr Sorgen bereiten. Ein kompromittierter Schlüssel könnte das gesamte Ökosystem beeinflussen, was ihn zu einem viel größeren Ziel macht als jede einzelne Wallet.

Außerhalb von Krypto würde ich auf geheime Regierungskommunikation, Militärnetzwerke und Nachrichtensysteme schauen, wo das Brechen von Public-Key-Kryptografie hochsensible Daten offenlegen könnte.

Viele Projekte behaupten heute „quantum resistance“, doch ohne eine einheitliche, auditierbare Checkliste sind solche Aussagen nicht überprüfbar. Was gilt aus Ihrer Sicht als Mindestschwelle für Quanten-Readiness?

Für mich ist die Mindestschwelle, dass ein Projekt genau zeigen kann, wo in seinem Stack noch quantenverwundbare Kryptografie vorhanden ist. Der Einsatz eines post-quantum-sicheren Autorisierungsmechanismus ist ein guter Anfang, macht das gesamte Netzwerk aber noch nicht quantenbereit.

Die Transaktionsautorisierung sollte auf einem anerkannten post-quantum-sicheren Verfahren beruhen, und das Projekt sollte öffentlich dokumentieren, was seine P2P-Verbindungen, seinen Konsens, Zero-Knowledge-Systeme, die Datenschicht, Bridges und andere kritische Infrastruktur schützt.

Außerdem muss klar unterschieden werden, was heute live ist und was nur auf einer Roadmap steht.

Am wichtigsten ist jedoch, dass diese Aussagen auditierbar sein müssen. Jeder sollte sehen können, welche Algorithmen und Parameter-Sets verwendet werden, die Implementierung prüfen und verifizieren können, dass die Sicherheit nicht auf einem intransparenten oder nicht verifizierbaren Schema oder einem Marketinglabel beruht.

Wenn man nicht die konkrete Kryptografie benennen kann, die jeden kritischen Teil des Systems schützt, bedeutet „quantenbereit“ meiner Meinung nach nicht viel.

Wer sollte für die Festlegung einheitlicher, verifizierbarer Kriterien für Quanten-Readiness verantwortlich sein? Was muss darin enthalten sein?

Ich würde NIST als Referenzpunkt für die Kryptografie selbst beibehalten. Ihr Post-Quantum-Prozess brachte Forscher aus aller Welt zusammen und machte es schwer, dass ein einzelner Staat oder ein einzelnes Unternehmen das Ergebnis steuert. Dieser Prozess — ein offener, mehrjähriger Wettbewerb, der 2016 gestartet wurde — brachte im August 2024 seine ersten endgültigen Standards hervor: ML-KEM für den Schlüsselaustausch sowie die Signaturschemata ML-DSA und SLH-DSA.

Für Blockchains muss die nächste Ebene von Protokollteams aufgebaut werden, die offen arbeiten und Forschern sowie Prüfern ausreichend Raum geben, Design und Ergebnisse rigoros zu hinterfragen.

Die Kriterien müssen dann widerspiegeln, wie das Netzwerk heute funktioniert. Das beginnt mit der Kryptografie, die für die Autorisierung von Transaktionen verwendet wird, und mit der Frage, ob Post-Quantum-Schutz standardmäßig aktiviert ist. Jede verbleibende Abhängigkeit von verwundbaren Signaturen muss klar offengelegt werden.

Auch die Migration muss Teil dieses Bildes sein, denn ein Netzwerk kann zwar post-quantum-sichere Schlüssel unterstützen, während der Großteil seiner Nutzer noch alte Schlüssel verwendet.

Hardware-Wallets schützen Schlüssel vor physischem Diebstahl, aber nicht vor Quantenangriffen auf Public Keys. Wie schätzen Sie das aktuelle Bewusstsein der Nutzer für diesen Unterschied ein? Gibt es heute ein sicheres Speichermodell für den Durchschnittsnutzer, oder braucht die Branche ein neues Wallet-Paradigma?

Es gibt immer noch ein großes Missverständnis darüber, wovor eine Hardware-Wallet schützt. Sie hält Ihren privaten Schlüssel von Ihrem Laptop oder Smartphone getrennt, was äußerst nützlich ist. Ein Quantenangreifer müsste das Gerät aber gar nicht berühren. Sobald ein verwundbarer Public Key offengelegt ist, kann der Angreifer direkt die Kryptografie angreifen, ohne jemals die Hardware-Wallet anzufassen.

Das macht Hardware-Wallets nicht obsolet. Wir haben bereits Post-Quantum-Unterstützung in Keystone für Quantus integriert, sodass sich das Hardware-Modell weiterentwickeln kann. Die Einschränkung besteht darin, dass eine Wallet Bitcoin oder Ethereum nicht allein post-quantum machen kann — auch das zugrunde liegende Netzwerk muss neue Signaturen unterstützen.

Ein besseres Modell verankert Post-Quantum-Schutz standardmäßig sowohl in der Wallet als auch im Netzwerk. Nutzer sollten nicht wissen müssen, wann die Kryptografie unter ihnen veraltet ist.

Multisignatur-Schemata erhöhen die Angriffs-Komplexität nur linear, nicht exponentiell. Heißt das, dass institutionelle Verwahrungsarchitekturen auf Basis von Multisig ein falsches Sicherheitsgefühl erzeugen?

Multisig ist nach wie vor äußerst nützlich, und ich möchte nicht, dass Institutionen darauf verzichten. Es schützt vor den Bedrohungen, mit denen Verwahrungssysteme heute zu tun haben, etwa einem gestohlenen Schlüssel oder einem kompromittierten Signierer.

Gefährlich wird es, wenn Menschen anfangen, mehr Schlüssel als Schutz gegen Quantenangriffe zu betrachten. Ein 3-aus-5-Setup, das vollständig auf demselben verwundbaren Signaturschema basiert, hat weiterhin dieselbe zugrunde liegende Schwäche. Ein Quantenangreifer muss zwar möglicherweise mehrere Schlüssel wiederherstellen, löst aber jedes Mal dieselbe Art von Problem. Fünf Schlösser helfen wenig, wenn sie alle denselben verwundbaren Mechanismus teilen.

Ja, Multisig kann also ein falsches Sicherheitsgefühl erzeugen, wenn Institutionen Redundanz mit Quantenresistenz gleichsetzen. Der bessere Weg ist, die verteilte Verwahrung beizubehalten, aber die verwundbare Autorisierung darunter durch etwas zu ersetzen, das einem Quantenangreifer standhält.

Sind große Börsen und Verwahrer auf ein Szenario vorbereitet, in dem ein Quantencomputer in Minuten einen privaten Schlüssel aus einem öffentlichen Schlüssel ableiten kann? Und was ist mit normalen Nutzern?

Die meisten großen Börsen sind gut darin, sich gegen die Angriffe zu verteidigen, die wir heute kennen. Ich habe bisher nicht viel dafür gesehen, dass sie auf einen Angriff vorbereitet sind, bei dem ein privater Schlüssel ganz ohne Eingriff in ihre Infrastruktur rekonstruiert werden kann.

Wir verfolgen das über migration.fail, einen öffentlichen Bereitschaftstracker, der bewertet, ob große Blockchain-Netzwerke noch auf quantenverwundbare Kryptografie angewiesen sind. Derzeit werden alle 20 Top-Krypto-Assets, die dort erfasst sind, auf Signaturebene als verwundbar eingestuft.

Ein ernstzunehmender Reaktionsplan muss berücksichtigen, welche operativen Schlüssel offenliegen und wie schnell Gelder bewegt werden könnten, sobald einer verdächtig wird. Eine böswillige Transaktion kann on-chain weiterhin völlig gültig aussehen, was eine frühe Reaktion erschwert.

Normale Nutzer liegen noch weiter zurück. Die meisten erfahren erst, dass sie migrieren müssen, wenn eine Wallet oder Börse sie darauf hinweist. Deshalb muss jeder realistische Plan diesen Schritt so einfach machen, dass er sicher abgeschlossen werden kann.

Warum ist die Bedrohung durch „harvest now, decrypt later“ schon heute relevant — lange bevor großskalige Quantencomputer verfügbar sind?

Zunächst möchte ich das von der Quantenbedrohung für Blockchain-Signaturen trennen, weil beides oft in einen Topf geworfen wird. Eine Bitcoin-Transaktion ist bereits öffentlich. Ein Angreifer muss heute nichts aufzeichnen, um es in zehn Jahren zu entschlüsseln.

Das lässt sich jedoch nicht auf Banken, Regierungen und andere Institutionen übertragen, deren verschlüsselte Daten auch in Jahren noch sensibel sein können — und es wahrscheinlich auch sein werden. Jemand kann diesen Verkehr heute sammeln und aufbewahren, bis die Technologie nachzieht.

Signal, iMessage und Cloudflare haben bereits Teile ihrer Systeme auf Post-Quantum-Schutz umgestellt — Signal aktivierte 2023 den post-quantum-sicheren Schlüsselaustausch für neue Chats, Apple rollte 2024 sein PQ3-Protokoll über iMessage aus, und Cloudflare hat hybriden post-quantum-sicheren Schlüsselaustausch im gesamten Netzwerk aktiviert — und die meisten Nutzer haben es kaum bemerkt. So sollte dieser Übergang wahrscheinlich aussehen.

Sensible Daten sollten nicht auf quantenverwundbarer Verschlüsselung bleiben, bis jemand beweist, dass ein Quantencomputer sie brechen kann. Bis dahin könnten jahrelange Datenströme bereits im Archiv jemand anderes liegen.

Blockchain-Daten sind unveränderlich und öffentlich. Kann man etwas gegen bereits aufgezeichnete Transaktionen tun, oder sind diese Daten für immer kompromittiert?

Aufgezeichnete Blockchain-Daten sind dauerhaft, aber Dauerhaftigkeit bedeutet nicht, dass jede alte Transaktion nach Q-Day plötzlich gefährlich wird. Das meiste davon war ohnehin schon auf einer transparenten Chain öffentlich.

Die Ausnahme sind Public Keys, weil Bitcoin offenliegende Schlüssel bereits dauerhaft aufzeichnet. Standard-Bitcoin-Adressen veröffentlichen zunächst nur einen Hash des Public Keys, bis Coins von ihnen ausgegeben werden; die frühesten Pay-to-Public-Key-Ausgaben des Netzwerks — und jede wiederverwendete oder bereits ausgegebene Adresse — zeigen den Public Key jedoch direkt an. Ein Angreifer muss heute weder ein privates Archiv anlegen noch im Voraus etwas abfangen. Jahre später kann er über dasselbe öffentliche Ledger zurückgehen und jeden offenliegenden Schlüssel angreifen, der noch etwas Wertvolles kontrolliert.

Das Verschieben von Geldern auf post-quantum-sichere Schlüssel kann den Wert dieser alten Offenlegung beseitigen, aber nicht die historische Aufzeichnung bereinigen.

Bei privaten Transaktionen ist das Problem etwas anders. Die Daten liegen Jahre später noch immer on-chain; wenn die sie schützende Kryptografie irgendwann gebrochen wird, könnten Informationen, die damals verborgen waren, im Nachhinein sichtbar werden.

Welche messbaren, durchsetzbaren Standards für Quanten-Readiness sollte die Branche in den nächsten 12 bis 24 Monaten etablieren?

Ein nützlicher Maßstab ist das, was die US-Regierung derzeit tut: Bundesbehörden müssen ihre kryptografische Angriffsfläche erfassen und bestimmte Personen für die Migration verantwortlich machen. Diese Vorgaben gehen auf National Security Memorandum 10 und nachfolgende Anweisungen des Haushaltsamts zurück, und NISTs Entwurf für den Übergang schlägt vor, RSA-2048 und elliptische Kurvenkryptografie bis 2030 abzuwerten und bis 2035 vollständig zu verbieten. Systeme mit hohem Wert haben feste Fristen für die Migration zu Post-Quantum-Kryptografie, und es wird an einem cryptographic bill of materials gearbeitet, um diese Abhängigkeiten leichter nachzuverfolgen.

Die Krypto-Branche braucht in den nächsten 12 bis 24 Monaten ihre eigene Form dieser Disziplin. Große Protokolle sollten veröffentlichen, wo noch verwundbare Kryptografie im Einsatz ist, und Termine für den Abschluss der Umstellung nennen. Börsen und Verwahrer sollten offenlegen, wie viel Wert noch hinter Legacy-Schlüsseln liegt.

Sobald diese Zahlen öffentlich sind, können Listing-Prüfungen und Sicherheitsaudits sie ebenfalls verwenden. Das gibt der Branche etwas Konkretes, das gemessen werden kann.

Was ist das größte einzelne Hindernis bei der Skalierung solcher Standards? Wie sollte die Branche unmittelbar darauf reagieren?

Am schwierigsten ist es, Millionen unabhängiger Halter dazu zu bringen, sich zu bewegen, wenn es keinen zentralen Schalter gibt, den jemand umlegen kann. Ein Protokoll kann Post-Quantum-Unterstützung hinzufügen, aber Coins, die jahrelang in Cold Storage liegen, müssen dennoch von ihren Eigentümern bewegt werden.

Die unmittelbare Arbeit muss sich darauf konzentrieren, diese Migration so einfach wie möglich zu machen. Wallets brauchen Abläufe, die Nutzer mit minimaler Reibung zu sichereren Schlüsseln führen, während Börsen und Verwahrer Verfahren benötigen, die sie bereits unter Last getestet haben. Auf Protokollebene müssen wir außerdem vermeiden, einfach ein verwundbares System durch etwas zu ersetzen, das unvertretbare Bandbreiten-, Speicher- oder Datenschutzkosten verursacht. Diese Einschränkung ist nicht abstrakt: NISTs ML-DSA-Signaturen liegen im Kilobyte-Bereich, also um ein Vielfaches über den 64- bis 72-Byte-Elliptic-Curve-Signaturen, die heute auf Blockchains üblich sind, und hashbasierte Alternativen bringen ihre eigenen Kompromisse bei Signaturgröße und Zustandsverwaltung mit sich. Wenn man mit dem Design wartet, bis die Bedrohung dringend erscheint, bleibt kaum Raum für Fehler.

Inaktive Assets machen das Problem noch schwerer. Einige Eigentümer werden nie zur Migration erscheinen, also müssen Netzwerke auch entscheiden, wie sie mit verwundbaren Coins umgehen, die zurückbleiben.