Website-Icon AI Crypto News

Bitcoin-Quantencomputer-Gefahr: Panikmache oder echte Bedrohung?

Hodl Herald
Bitcoin and Quantum Computers: How Serious Is the Threat Really?

Image created with ChatGPT

In der Bitcoin-Szene gibt es Diskussionen, die immer wieder auftauchen, kurz eskalieren und dann in den Hintergrund rauschen. Die Bitcoin-Quantencomputer-Debatte wirkt auf den ersten Blick wie genau so ein Thema.

Und doch: Seit Anfang 2026 ist sie spürbar aus der Nerd-Ecke herausgekippt. Da sitzt plötzlich ein Großbank-CEO in Davos und spricht über Quantenrisiken. Da wird ein BIP mit Quantum-Label nicht nur in irgendeinem Forum diskutiert, sondern als Baustein einer “Roadmap” herumgereicht. Und während sich einige Entwickler über “FUD” ärgern, schauen Institutionen auf das Thema wie auf eine Asset-Liability-Frage: “Wie groß ist der Tail-Risk, und wer trägt ihn?”

Die ehrliche Antwort auf die Überschrift ist deshalb nicht “Ja” oder “Nein”, sondern ein Bündel aus technischen Details, Zeithorizonten, Governance-Reibung und einem unangenehmen moralischen Dilemma, das Bitcoin sonst gern umschifft: Was passiert mit Coins, die nicht migrieren können oder nicht migrieren werden?

Warum Quantencomputer bei Bitcoin überhaupt weh tun könnten

Die zentrale Angriffsfläche ist nicht Mining (dazu später), sondern Signaturen. Sobald ein “Cryptographically Relevant Quantum Computer” (CRQC) Shor-Style Diskrete-Log-Probleme praktisch lösen kann, kippt die Sicherheitsannahme hinter ECDSA und Schnorr. Das ist keine neue Erkenntnis — Shor hat das Grundprinzip vor Jahrzehnten gezeigt — aber die praktische Frage lautet: Wann gibt es Hardware, die ausreichend viele logische Qubits stabil genug hält, um das in einem realistischen Zeitfenster durchzuziehen?

Bitcoin ist in dieser Hinsicht paradox positioniert. Ein großer Teil der Coins hängt an Output-Typen, bei denen der Public Key nicht dauerhaft “on-chain offenliegt” (klassisch: P2PKH, SegWit-Varianten). Das hilft gegen “Long-Exposure”-Angriffe — also Angriffe auf Public Keys, die über lange Zeiträume sichtbar sind. Aber es hilft nicht gegen “Short-Exposure”-Szenarien, in denen der Public Key beim Spend in der Mempool-Phase sichtbar wird und ein Angreifer schnell genug ist, in diesem Fenster einen konkurrierenden Spend zu signieren.

Und hier kommt eine zweite, eher “Bitcoin-spezifische” Schieflage ins Spiel: ein nicht triviales Altlasten-Paket aus Script-Typen der Frühzeit (P2PK, “raw multisig”) und aus Adress-Reuse. Ein Report von Chaincode Labs vom Mai 2025 fasst es trocken zusammen: P2PK-UTXOs sind zwar ein kleiner Teil der UTXO-Anzahl, aber sie binden (zum damaligen Zeitpunkt) einen disproportional großen Anteil am Wert — und sind per Design “immediately vulnerable”, weil der Public Key direkt im ScriptPubKey steht.

Der gleiche Report legt außerdem den Finger auf ein oft übersehenes Thema, das in Custody- und Treasury-Welten weh tut: xpubs und “public key leakage” außerhalb der Chain. Wer Extended Public Keys breit teilt, verändert in einem Post-Quantum-Szenario das Risikoprofil dramatisch (Stichwort: Kaskadeneffekte über nicht-hardened Derivationspfade). Das ist kein Bitcoin-Paperclip im Randbereich, sondern Alltag in Payment-Setups.

Wie nah ist Q-Day wirklich

Das Timing ist der Kern der Auseinandersetzung. Nicht, weil irgendjemand die Mathematik bestreitet, sondern weil der Unterschied zwischen “theoretisch möglich” und “operativ gefährlich” in der Quantenwelt riesig ist. Genau das macht es so schwierig, eine Bitcoin-Quantencomputer-Gefahr sauber zu “price’n”.

Ein Punkt, auf den sich erstaunlich viele seriöse Quellen einigen: Migrationen dauern lange. National Institute of Standards and Technology schreibt in seinem Draft zu Migration Considerations ziemlich nüchtern, dass PQC-Übergänge erheblich Zeit kosten können und früheren Kryptomigrationen oft “über ein Jahrzehnt” gedauert haben. In derselben Logik taucht Mosca’s Theorem als Erinnerung auf: Wenn die Umstellung länger dauert als die Zeit bis zur Bedrohung minus die “Schutzdauer” der Daten, ist man zu spät.

NIST ist in einem anderen Dokument-Teil sehr konkret zu Zeitachsen: classical digital signature schemes wie ECDSA werden (im Draft) “Deprecated after 2030” und “Disallowed after 2035” geführt. Man muss das nicht 1:1 auf Bitcoin übertragen — NIST schreibt Standards für Behörden/Industrie — aber als Signal ist es laut: ECC wird in offiziellen Übergangsplänen nicht als “für immer okay” behandelt.

Parallel dazu kommt Druck aus der Sicherheitsbürokratie. Die National Security Agency hat mit CNSA 2.0 eine Timeline skizziert, in der bestimmte Systemklassen bis 2030 bzw. 2033 “exclusively” auf CNSA-2.0-Algorithmen umstellen sollen (Browser/Cloud/OS etc.). Wieder: nicht Bitcoin-spezifisch, aber es verschiebt den Overton-Window. Es ist schwer zu behaupten, die Welt nehme Post-Quantum “erst 2045” ernst, wenn Behörden-Ports 2030/2033 als Planungsdatum in PDFs drucken.

Und dann sind da die Stimmen aus der Quantenforschung selbst. In einem DL-News-Interview fiel ein Satz, der hängenbleibt, weil er so unjournalistisch direkt ist: “The time to start thinking about this is now. An even better time would have been yesterday,” sagte Scott Aaronson, wissenschaftlicher Berater bei StarkWare.

Gleich danach relativiert er (ebenfalls in DL News) Roadmaps und Milestones: große “2030”-Pläne sollten mit Vorsicht gelesen werden, aber wenn große Player Milestones tatsächlich treffen, ist das zumindest ein datapoint, den man nicht wegwischen sollte.

Wichtig ist auch die “Qubit-Debatte” in der richtigen Sprache zu führen. Physical qubits sind nicht logical qubits; Fehlerkorrektur frisst Größenordnungen. Resource-Estimate-Arbeiten wie Roetteler/Naehrig/Svore/Lauter haben der Szene genau deshalb einen Dienst erwiesen: Sie bringen das Problem aus dem Nebel (“Quantum bricht alles”) in Zahlenräume (“so viele Qubits, so viele Gates”). Und fast jede ernsthafte Zahl hängt an Annahmen über Fehlerraten, Codes, Architektur. Der Spielraum ist groß.

Das Warnlager: “prepared, not scared” und trotzdem unruhig

Das Warnlager klingt 2026 weniger nach Panik und mehr nach Projektmanagement. Es geht um Pfadabhängigkeiten: Wenn die Migration fünf bis zehn Jahre braucht und die Bedrohung im Worst Case schneller kommt, muss man früh anfangen. Sonst ist man irgendwann im Modus “Soft Fork unter Feuer” — und das ist bei Bitcoin traditionell ein schlechter Ort.

Ethan Heilman formulierte das mit einer Mischung aus Detail und Schulterzucken. Er skizziert eine optimistische Timeline: “Three years until it activates… Seven years total, but I’m just spitballing here. No one actually knows.” Er begründet seine Arbeit daran genau damit: der Prozess könne “many years” dauern, und jedes Stück Vorarbeit kaufe Zeit.

Dann gibt es da noch einen Punkt , den Bitcoiners gern verdrängen: Eine Migration ist nicht nur ein Core-Problem. Wallets, Custodians, Payment-Flows, Lightning-Nodes, Treasury-Software — das Zeug müsste alles nachziehen. Und wenn man ehrlich ist, ist das Ökosystem nicht gerade dafür bekannt, Upgrades wie ein Betriebssystem-Patch auszurollen.

Hunter Beast, als Autor von BIP 360, bringt den Tonfall, der aktuell wahrscheinlich am meisten anschlussfähig ist: “prepared, not scared.” Das sagte er gegenüber DL News — und es klingt wie die bewusste Abgrenzung von “Q-Day ist morgen”.

Aber dann tauchen in seinen Zitaten (und in den umgebenden Debatten) sofort die harten Kanten auf. In Jameson Lopps Essay von 2025 steht ein Beast-Zitat, das den Philosophieteil der Migration direkt anspringt: “I don’t see why old coins should be confiscated… let those with quantum computers free up old coins.”

Kurz: selbst im Warnlager gibt es zwei Strömungen. Die eine sagt “opt-in, vorsichtig, kein staatlicher-style Eingriff”. Die andere sagt “wenn es ernst wird, dann ist ‘nicht eingreifen’ auch ein Eingriff — nur mit anderem Gewinner”.

Alex Pruden von Project Eleven ist in seinen Podcast-Statements deutlicher als viele Bitcoin-Entwickler, aber er argumentiert nicht bloß technisch, sondern sozial: “Quantum computing poses a significant future threat to Bitcoin due to its slow governance.” Das ist ein Satz, den man als Entwickler fast schon beleidigend lesen kann — aber als Außenstehender nickt man halt, weil Bitcoin-Governance eben langsam ist.

Pruden formuliert auch die Kernintution sehr anschaulich: “There needs to be a new island we all go to… there needs to be a bridge… a migration protocol.” Das ist im Grunde die ganze Bitcoin-Quantencomputer-Frage in einem Bild.

Und dann ist da Nic Carter als politischer Verstärker: weniger “wie viele Qubits” und mehr “was macht das mit Kapital?”. In einem DL-News-Stück sagt er: “virtually everyone I have talked to is quietly concerned about Bitcoin” — und: er habe “yet to encounter” jemanden, der die Gefahr ernst analysiert und dann komplett wegwinkt.

Das sind keine mathematischen Argumente. Es sind Kapitalmarkt-Argumente. Und sie wirken, weil “Quantum” inzwischen bis in UBS und Jefferies hochdiffundiert ist. UBS-CEO Sergio Ermotti sagte in Davos gegenüber CNBC: “The potential effect of quantum computing on the safety of [cryptocurrencies] still needs to be proved.” Das klingt harmlos, ist aber in der Sprache von Risiko-Management ein gelber Zettel: “unproven safety” ist kein Gütesiegel.

Das Gegenlager: “viel Lärm, wenig Qubits”

Das Gegenlager ist nicht homogen. Es reicht von “Bedrohung ist real, aber nicht heute” bis zu “bitte hört auf, Märkte mit Science-Fiction zu bewegen”. Und manche Stimmen wechseln je nach Kontext die Tonlage.

Michael Saylor spielt den zweiten Typ. In einem Coin Stories Podcast sagte er: “I don’t actually think that the quantum narrative is the greatest security threat to Bitcoin right now.” Danach kommt der Saylor-typische Meta-Kommentar: alle paar Jahre sei da “ein neues Narrativ”, und Bitcoin habe bisher immer weitergemacht.

Das ist ein valides Argument — aber es ist auch ein bisschen ein Kategorienfehler. “China Mining Ban war auch nicht das Ende” ist nicht dasselbe wie “die Signaturannahme bricht”. Trotzdem: für viele Investoren klingt es beruhigend, weil es Bitcoin wieder in die vertraute Schublade “FUD-Wellen” stopft.

Adam Back ist in dieser Debatte eher der “Anti-Hysterie”-Pol. In einem viel zitierten Tweet, wiedergegeben, schreibt er: “Bitcoiners and developers are NOT in denial… quietly doing research… You’re not helping…” — gerichtet an Nic Carter. Dieser Ton ist typisch Back: weniger “Quantum ist unmöglich”, mehr “Timing und Signalwirkung sind schief”.

Und dann ist da Bitcoin Core-Entwickler Matt Corallo — wichtig, weil er nicht einfach “wegwinkt”, sondern weil seine Skepsis an einem Punkt ansetzt, den das Warnlager oft unterschätzt: Adoption.

In einer bitcoin-dev-Mail (Februar 2026) bringt er es brutal auf den Punkt: Eine neue, teurere Adresse werde “~zero adoption in consumer wallets” sehen “until its urgent, at which point its obviously… way too late.” Das ist nicht einmal ein Quantum-Argument, sondern ein “Menschen sind träge”-Argument.

Corallo dreht die Debatte damit um: Wenn eine Lösung nicht vor Q-Day nennenswert genutzt wird, dient sie primär als Beruhigungspille. Und Beruhigungspillen sind schlecht, wenn das Problem später real wird. “The drawback being that it will see zero relevant adoption until its way too late,” schreibt er.

Das Gegenlager hat noch einen zweiten, technisch soliden Punkt: “Zu früh upgraden” ist auch riskant. Post-Quantum-Signaturen sind jung, Ökosystem-Support muss erst entstehen, Implementierungen sind komplexer, und es gab bereits Beispiele im NIST-Wettbewerb, wo Kandidaten gebrochen wurden. Das führt zur unangenehmen Balance: zu früh = vielleicht falsches Kryptosystem; zu spät = Scherbenhaufen.

Was bisher gemacht wird und warum BIP 360 hier nicht “die Lösung” ist
Ein Evergreen-Fehler wäre, BIP 360 als “Quantum-Fix” zu verkaufen. Das tut der BIP-Text selbst nicht. Im Gegenteil: Er steckt seine Reichweite auffällig eng.

BIP 360 (“Pay-to-Merkle-Root”, P2MR) ist als Soft Fork gedacht und will P2TR-ähnliche Funktionalität (Script Trees, Tapscript) erhalten, während der Key-Path-Spend entfernt wird. Damit sollen P2MR-Outputs gegen “long exposure attacks” durch CRQCs resistent sein, weil kein dauerhaft sichtbarer Taproot-Key mehr “als Zielscheibe” im Output steckt.

Der Text schreibt es explizit: P2MR schützt nicht gegen “short exposure attacks” (Public Key im Mempool). Dafür wären “post-quantum signatures” nötig und dafür, so heißt es, solle später ein separater Vorschlag kommen.

Praktisch heißt das: BIP 360 ist eher ein “Quantum-Ready-Container” als der eigentliche PQ-Signaturwechsel. Und genau deshalb ist er politisch clever. Er vermeidet einen großen Teil der “Welche PQ-Signatur? Welche Parameter? Welcher Standard?”-Schlacht und schafft erst einmal einen Output-Typ, der spätere OpCodes aufnehmen kann.

Außerdem hat BIP 360 ein kleines, aber für SEO und Narrativ relevantes Detail: neue Hauptnetz-Adressen würden mit bc1z anfangen (SegWit v2, Bech32m). Das ist die Art “sichtbare Veränderung”, die Wallets und Custodians zwingt, sich überhaupt mit dem Thema zu beschäftigen — zumindest theoretisch.

Warum “theoretisch”? Weil Adoption ein soziales Problem bleibt. Hier kollidieren zwei Denkschulen, direkt im bitcoin-dev-Thread:
Heilman will mit P2MR + hashbasierter PQ-Signatur (in der Diskussion als SLH-DSA/SPHINCS+ gedacht) Zeit kaufen und Algorithmus-Agilität erhöhen.

Corallo hält dagegen: wenn es 10x teurer ist, nutzt es niemand, bis die Hütte brennt.

Diese Reibung ist nicht “Drama”, sie ist der Kern. Bitcoin-Quantencomputer-Resilienz ist weniger ein Kryptoproblem als ein Koordinationsproblem. Das steht auch in Klartext im Chaincode-Labs-Report: breitere Engagements fehlen, Initiativen sind “early and exploratory”, und die Community muss Entscheidungen treffen, die tief in Ideologie und Eigentumsverständnis greifen (“burn vs steal”).

Für das Gesamtbild lohnt ein Blick auf die Top-Down-Realität: Der BIPs-Prozess selbst ist ein Publishing- und Diskussionskanal, kein Aktivierungsstempel. Das BIPs-Repository sagt explizit, dass “published here” nicht bedeutet, dass es “community consensus” gibt oder dass es “about to be adopted” ist.

Wie eine Migration in der Praxis aussehen könnte

Eine Bitcoin-Quantencomputer-Migration ist kein “Upgrade-Button”. Sie ist eher ein mehrjähriger Umbau mit mehreren Schichten — Protokoll, Wallets, Infrastruktur, und dann die wirklich schwierige Phase: UTXO-Bewegung bei globaler Beteiligung.

Eine plausible Migrationsskizze, die sich aus BIP 360, den bitcoin-dev-Diskussionen und dem Chaincode-Labs-Report ableiten lässt, sieht ungefähr so aus:

Zuerst braucht es einen “sicheren Zielhafen” im Protokoll. BIP 360 ist genau als solcher “Harbor” gedacht: Script Trees ja, Key-Path nein. Das schützt gegen Long-Exposure-Angriffe auf Taproot-Key-Targets und schafft eine Plattform, um später PQ-Signaturen als OpCodes zu integrieren.

Dann kommt der Teil, den viele unterschätzen: Wallet- und Custody-Upgrade-Wellen. Heilman spricht in seinem Interview nicht ohne Grund von Jahren für Spezifikation, Review, Test, Aktivierung — und danach nochmal Jahren, bis “90%” durch sind (und selbst das nennt er “optimistic”/“spitballing”).

Und irgendwann muss das Netzwerk “Value” bewegen. Nicht theoretisch, sondern on-chain. Der Chaincode-Labs-Report nennt dafür eine Dual-Track-Strategie: kurzfristige Contingency-Maßnahmen (~2 Jahre) parallel zu einem längeren Pfad (~7 Jahre). Das ist im Grunde die Einsicht: Niemand weiß, ob die Gefahr 2035 oder 2045 real wird. Also baut man erst ein Notfallkit, während die “saubere Lösung” reift.

Ein konkretes Beispiel, wie solche Notfallpfade aussehen könnten, ist Commit-Delay-Reveal (CDR). Der Report beschreibt CDR als dreistufigen Prozess, der es Nutzern erlauben soll, Funds von alten (nicht-quantum-resistenten) Outputs in quantum-resistente Outputs zu bewegen, mit einer verpflichtenden Verzögerungsphase als Sicherheitsmaßnahme. Wichtig: CDR ist nicht “nice UX”, sondern ein Mechanismus, der in einem stressigen Szenario die Angriffsoptionen reduzieren soll.

Parallel dazu diskutiert die bitcoin-dev-Liste konkrete Bausteine wie eine neue CHECKSIG-Variante für SLH-DSA (NISTs SLH-DSA ist die Standard-Bezeichnung für SPHINCS+; sie taucht in NIST IR 8547 als PQ-Signaturfamilie auf). In der Mailing-List-Notation fällt dann ein Platzhalter wie OP_SLH_CHECKSIG bzw. OP_SHRINCS_CHECKSIG. Das sind keine aktivierten Features, aber es zeigt: die Diskussion ist längst im Implementation-Frame angekommen.

Und jetzt kommt der politisch toxische Teil: Was passiert mit Coins, die nicht migrieren? Lopp beschreibt das als “Freeze or not to freeze?”, und er macht klar, dass “confiscation” vielleicht nicht das präziseste Wort ist — es wäre eher “burning”, also Ausgaben dauerhaft unspendable machen. Er schreibt, es sei “far from a crisis”, aber wegen der Bitcoin-Änderungsträgheit lohne es sich, jetzt ernsthaft zu diskutieren.

Diese Entscheidung hängt direkt an Marktmechanik. Corallo argumentiert im Mailing-List-Thread (sinngemäß), dass der Markt Forks bevorzugen wird, die unsichere Spend-Pfade deaktivieren. In einer Zusammenfassung seiner Aussagen wird das sogar als “market is gonna prefer the fork with insecure spend paths disabled” zitiert. Man muss nicht jede Formulierung lieben, aber die Logik ist klar: Wenn ein Chain-Split zwischen “mehr Supply (weil gestohlene Coins zirkulieren)” und “weniger Supply (weil geburnt)” entsteht, ist der ökonomische Magnet nicht neutral.

Heilman bringt im selben Thread eine verwandte Marktbeobachtung auf den Punkt: Er sieht “no scenario” in dem der Markt die Seite mit “materially… 5-10x higher supply” wählt. Das ist ein bemerkenswerter Satz, weil er die moralische Frage in eine Preisfrage übersetzt.

Die unbequemen Nebenfragen, die zum Thema dazugehören

Ein Teil der Bitcoin-Quantencomputer-Debatte ist ehrlich gesagt Ablenkung. Der andere Teil ist genau das, was Bitcoin langfristig bricht oder stärkt: die second-order effects.

Und schließlich: es ist noch nicht bekannt, ob Bitcoin im Ernstfall “einen” Weg findet oder ob es zu einem Split kommt. Pruden sagt sinngemäß, er halte einen Fork für wahrscheinlich, wenn die großen Streitfragen (Migration + Umgang mit unupgradbaren Coins) nicht gelöst werden. Lopp wiederum versucht, die Diskussion bewusst von der “Wann kommt Q-Day?”-Spekulation wegzuziehen und auf die Spieltheorie des Migrationsdesigns zu fokussieren. Das fühlt sich sehr nach dem an, was Bitcoin am Ende wirklich entscheidet: nicht die Physik allein, sondern die Koordination.

Die mobile Version verlassen