Quantencomputer und deine Coins: was wirklich gefährdet ist
Quantencomputing ist das Krypto-Thema, über das mit verlässlicher Regelmäßigkeit schlecht gesprochen wird. Das eine Lager sagt, gleich breche alles zusammen; das andere sagt, das dauere noch Jahrzehnte, und denkt nicht weiter. Beide überspringen den wirklich nützlichen Teil, nämlich zu wissen, welcher Teil des Systems verwundbar ist und welche deiner Coins offenliegen.
Denn die Antwort ist nicht einheitlich. Manche Ausgänge sind spürbar stärker gefährdet als andere, und dieser Unterschied ist etwas, worauf du schon heute reagieren kannst.
Zwei Algorithmen, zwei sehr verschiedene Probleme
Fast die gesamte Sorge lässt sich auf zwei Ergebnisse aus den Neunzigern zurückführen.
Shors Algorithmus löst effizient jene Probleme, auf die sich die Public-Key-Kryptografie stützt: die Faktorisierung und das diskrete Logarithmusproblem, auf dem secp256k1-Signaturen aufbauen. Ein hinreichend großer Quantencomputer, der Shor ausführt, könnte einen privaten Schlüssel aus einem öffentlichen ableiten. Das ist die eigentliche Bedrohung, und sie ist keine kleine: Sie bricht Signaturen vollständig, statt sie nur zu schwächen.
Grovers Algorithmus beschleunigt die unstrukturierte Suche, aber nur quadratisch. Gegen eine Hashfunktion halbiert er die effektive Sicherheit ungefähr. SHA-256 fällt von 256 Bit auf etwa 128 Bit Widerstandsfähigkeit, was weiterhin weit außer Reichweite liegt. Das Mining erhält eine theoretische Beschleunigung, die viel weniger bedeutet, als es klingt, denn Proof of Work ist ein Wettlauf gegen andere Miner, nicht gegen ein festes Ziel.
Die Zusammenfassung, auf die es wirklich ankommt, lautet also: Hashing ist in Ordnung, Signaturen sind es nicht. Jede ernsthafte Sorge folgt aus diesem einen Satz.
Warum eine Adresse kein öffentlicher Schlüssel ist
Hier kommt der Teil, den die meisten Diskussionen auslassen — und ausgerechnet er bestimmt, wie stark du betroffen bist.
Bitcoin-Adressen sind keine öffentlichen Schlüssel. Sie sind Hashes öffentlicher Schlüssel oder, bei skriptbasierten Adressen, Hashes eines Skripts. Der öffentliche Schlüssel erscheint nicht in der Kette, wenn du Geld empfängst. Er erscheint, wenn du es ausgibst, denn Ausgeben erfordert das Veröffentlichen einer Signatur und des Schlüssels, der sie prüft.
Daraus entstehen zwei Kategorien von Coins:
Gehasht und nicht ausgegeben. Die Kette zeigt nur einen Hash. Um ihn anzugreifen, müsste ein Quantengegner zuerst den Hash brechen, und dorthin bringt ihn Grover nicht. Diese Ausgänge sind durch eine zusätzliche Schicht geschützt, die mit Signaturen nichts zu tun hat.
Öffentlicher Schlüssel offengelegt. Sobald du von einer Adresse ausgibst, ist der Schlüssel für immer öffentlich. Alles, was danach noch dort liegt, wird allein vom Signaturverfahren geschützt.
Diese Unterscheidung ist der Grund, warum sich „Adressen nicht wiederverwenden“ als quantenrelevanter Rat erweist, nachdem er jahrelang allein aus Datenschutzgründen empfohlen wurde. Eine Adresse wiederzuverwenden heißt, dass die zweite Zahlung hinter einem offengelegten Schlüssel liegt statt hinter einem Hash.
Was heute tatsächlich offenliegt
Frühe Bitcoin-Ausgänge. Die frühesten Transaktionen zahlten direkt an öffentliche Schlüssel statt an Hashes. Diese rohen Schlüssel sind in der Kette jetzt sichtbar. Ein großer Teil sehr alter, nie bewegter Coins — darunter vieles von dem, was Satoshi zugeschrieben wird — fällt in diese Kategorie.
Jede wiederverwendete Adresse. Gib einmal aus, und alles, was du dort danach empfängst, liegt hinter einem veröffentlichten Schlüssel.
Jede Ethereum-Adresse, die je eine Transaktion gesendet hat. Das gehört klar gesagt, weil es viele überrascht: Auf EVM-Ketten lässt sich der öffentliche Schlüssel aus jeder Signatur zurückrechnen. Hat eine Adresse auch nur eine einzige Transaktion gesendet, ist ihr Schlüssel faktisch öffentlich. Ethereum kennt kein Gegenstück zu Bitcoins Kategorie „gehasht und nicht ausgegeben“.
Taproot-Ausgänge. Taproot legt einen öffentlichen Schlüssel direkt in den Ausgang statt eines Hashes davon. Das ist ein elegantes Design mit echten Vorteilen bei Privatsphäre und Effizienz, und es bedeutet tatsächlich, dass Key-Path-Ausgänge ab dem Moment ihrer Finanzierung einen Schlüssel offenlegen. Gut zu wissen; heute kein Grund zur Beunruhigung.
Das Mempool-Fenster. Wenn du ausgibst, wird dein öffentlicher Schlüssel in dem Augenblick sichtbar, in dem du sendest — vor der Bestätigung. Ein Quantenangreifer, der schnell genug wäre, einen Schlüssel abzuleiten und innerhalb dieses Fensters eine konkurrierende Transaktion in einen Block zu bekommen, könnte Mittel im Flug stehlen. Das ist ein realer theoretischer Angriff, und er verlangt Fähigkeiten weit jenseits alles Demonstrierten.
Wo SSP steht, ehrlich gesagt
SSPs Bitcoin-Adressen sind P2WSH — ein Hash eines Witness-Skripts. Damit liegen deine nicht ausgegebenen Coins in der Hash-Kategorie: Was vor dem Ausgeben in der Kette steht, ist ein Hash, keine Schlüssel. Beim Ausgeben werden das Skript und beide öffentlichen Schlüssel offengelegt, genau wie bei jedem anderen skriptbasierten Ausgang.
Und nun der Teil, bei dem sich leicht zu viel versprechen ließe, also lassen wir das. Hilft 2-von-2-Multisig gegen Quanten? Kaum.
Ein Angreifer, der Shor gegen dein ausgegebenes Skript laufen lässt, muss zwei Schlüssel ableiten statt einen. Das ist ungefähr doppelt so viel Arbeit. Das Doppelte ist ein konstanter Faktor, und konstante Faktoren sind keine Sicherheit — wer eine secp256k1-Schlüssel brechen kann, kann mit an Sicherheit grenzender Wahrscheinlichkeit auch zwei brechen. Zwei-von-zwei-Multisig ist ein hervorragender Schutz gegen Gerätekompromittierung, Phishing, Diebstahl und Nötigung bei einem einzelnen Schlüssel. Gegen einen kryptografisch relevanten Quantencomputer ist er nahezu bedeutungslos, und wer dir Multisig als Quantenschutz verkauft, führt dich in die Irre.
Worauf es wirklich ankommt, ist die Migration zu Post-Quanten-Signaturen auf Kettenebene, und das kann keine Wallet im Alleingang leisten.
Wie nah ist das alles?
Nicht nah, bei jeder ehrlichen Betrachtung.
secp256k1 mit Shor zu brechen erfordert einen großen, fehlerkorrigierten Quantencomputer. Weil physische Qubits verrauscht sind, braucht man viele davon für ein zuverlässiges logisches Qubit, und veröffentlichte Schätzungen für Angriffe auf reale Schlüsselgrößen gehen in die Millionen physischer Qubits. Heutige Maschinen liegen um viele Größenordnungen darunter — es geht nicht um eine weitere Hardwaregeneration.
Zwei Dinge verhindern, dass das ein Grund wäre, das Thema zu ignorieren.
Erstens ist der Zeithorizont wirklich ungewiss. „Viele Größenordnungen entfernt“ beschreibt das Heute ehrlich und taugt schlecht als Grundlage für zuversichtliche Vorhersagen über 2040.
Zweitens, und wichtiger: offengelegte Schlüssel verfallen nicht. Bei verschlüsselten Daten gibt es die Sorge „jetzt sammeln, später entschlüsseln“. Bei Coins ist das Gegenstück einfacher und schlimmer — ein heute sichtbarer öffentlicher Schlüssel bleibt sichtbar, und die dahinterliegenden Coins können genommen werden, sobald die Fähigkeit da ist. Es gibt kein Fenster, das sich schließt. Das ist das Argument dafür, sich jetzt darum zu kümmern, in welcher Kategorie deine Coins liegen, auch wenn die Bedrohung fern bleibt.
Was tatsächlich getan wird
Die kryptografische Grundlagenarbeit existiert. Das NIST hat Post-Quanten-Signaturverfahren standardisiert — ML-DSA und SLH-DSA, hervorgegangen aus den Einreichungen Dilithium und SPHINCS+ — und sie lassen sich heute in gewöhnlicher Software einsetzen.
Blockchains sind der schwierige Fall. Das Signaturverfahren zu ändern ist eine Konsensänderung: Jede Node, jede Wallet, jede Börse, jedes Stück Infrastruktur muss zustimmen und migrieren. Post-Quanten-Signaturen sind zudem erheblich größer als die heutigen, was unmittelbare Folgen für Blockplatz und Gebühren hat. Und irgendjemand muss entscheiden, was mit Coins geschieht, deren Eigentümer nie migrieren — einschließlich alter Ausgänge, deren Eigentümer unerreichbar oder tot sein könnten. Das ist ein Governance-Problem, mindestens so hart wie das technische.
Es wird daran gearbeitet. Dringend ist es noch nicht, und es wird Jahre dauern, wenn es dringend wird.
Was zu tun ist
Verwende Adressen nicht wieder. Das solltest du der Privatsphäre wegen ohnehin tun. Es hält deine Coins außerdem in der Hash-Kategorie statt hinter offengelegten Schlüsseln. Es ist das einzig Sinnvolle, was eine Einzelperson heute tun kann, und es kostet nichts.
Schichte deine Bestände deswegen nicht um. Keine Panikbewegung ist gerechtfertigt. Wer dich drängt, wegen Quantencomputing dringend Mittel zu bewegen, betreibt einen Betrug oder verkauft dir etwas.
Halte die Bedrohung im Verhältnis. Realistisch verlierst du Krypto weit eher durch eine verlorene Seed-Phrase, eine Phishing-Seite oder eine Freigabe, die du nicht gelesen hast, als durch einen Quantencomputer. Das sind die Risiken von heute, und sie verdienen die Aufmerksamkeit von heute.
Erwarte, dass es auf Protokollebene gelöst wird. Wenn die Migration kommt, kommt sie als Ketten-Upgrade mit langer Übergangszeit, nicht als etwas, das deine Wallet still im Hintergrund repariert.
Die ehrliche Position ist unglamourös: ein reales, richtig erkanntes Problem, noch fern, in Bearbeitung — und derzeit nicht das, was zwischen dir und dem Verlust deines Geldes steht.
