Key Takeaways
- Quantencomputer stellen langfristig ein Risiko dar, aber keine unmittelbare Bedrohung.
- Nicht nur Bitcoin ist betroffen: Banken, HTTPS-Verschlüsselung, Passwörter und industrielle Legacy-Infrastruktur (z.B. Krankenhaus-IT, Behördensysteme) basieren auf denselben kryptografischen Verfahren.
- Bei Bitcoin ist vor allem die Signaturtechnik ECDSA betroffen, nicht das Mining über SHA-256.
- SHA-256 bleibt auch mit Quantencomputern robust, da nur ein begrenzter Geschwindigkeitsschub möglich ist und die Difficulty-Anpassung diesen Vorteil automatisch ausgleicht.
- Bitcoin kann sich durch Protokoll-Updates und Post-Quantum-Kryptografie anpassen. Mit BIP-360 liegt bereits ein konkreter Vorschlag vor.
Was ist ein Quantencomputer und wie unterscheidet er sich von einem normalen Computer?
Um die tatsächliche Bedrohung zu verstehen, muss man zunächst mit einem verbreiteten Missverständnis aufräumen. Quantencomputer sind keine super-schnellen normalen Computer, sondern funktionieren fundamental anders.
Klassische Rechner arbeiten mit Bits, also klar definierten Zuständen: 0 oder 1. Wie ein Lichtschalter, der entweder an oder aus ist. Quantencomputer nutzen sogenannte Qubits, die dank eines Effekts namens Superposition mehrere Zustände gleichzeitig annehmen können, also gewissermaßen an und aus zur selben Zeit. Das erlaubt bestimmte Rechenoperationen parallel auszuführen, was für ganz spezifische Probleme enorme Vorteile bringt.
Ein zweites wichtiges Prinzip ist die Verschränkung. Qubits können miteinander verbunden sein, sodass die Veränderung eines Qubits sofort den Zustand eines anderen beeinflusst. Das eröffnet völlig neue Rechenansätze, die mit klassischen Architekturen schlicht nicht möglich sind.
Trotzdem sind Quantencomputer kein Allzweckwerkzeug. Sie sind nur bei spezifischen mathematischen Problemen überlegen, etwa bei der Faktorisierung großer Zahlen oder beim Lösen diskreter Logarithmenprobleme. Für typische Alltagsanwendungen wie Textverarbeitung, Datenbanken oder Streaming bleiben klassische Computer effizienter und praktischer.
Für die digitale Sicherheit ist jedoch genau einer dieser Spezialbereiche entscheidend: die Kryptografie. Und auf ihr basieren Bitcoin, Banken, HTTPS und nahezu alle verschlüsselten Systeme des Internets. Für Angriffe auf kryptografische Systeme sind vor allem zwei Quantenalgorithmen relevant: der Shor-Algorithmus, der asymmetrische Verschlüsselung wie RSA oder ECDSA angreifen kann, und der Grover-Algorithmus, der Hashfunktionen wie SHA-256 schneller durchsucht.
Welche Bereiche sind durch Quantencomputer bedroht?
Bitcoin steht in der öffentlichen Debatte oft im Mittelpunkt, ist jedoch nur ein kleiner Teil des Gesamtbildes. Die Quantenbedrohung betrifft praktisch jede Form moderner digitaler Verschlüsselung.
Banken und Zahlungsverkehr
Das gesamte globale Bankensystem basiert auf RSA und Elliptic Curve Cryptography, also kryptografischen Verfahren, die durch den Shor-Algorithmus angreifbar sind. Betroffen sind SWIFT-Transaktionen, Kreditkartenzahlungen, Online-Banking und das Interbanken-Settlement. Im Unterschied zu Bitcoin können Banken eine Umstellung auf quantenresistente Verfahren jedoch zentral entscheiden und regulatorisch durchsetzen, was die Migration schnell und planbar macht.
HTTPS und Internet-Verschlüsselung
Jede Website mit verschlüsselter Verbindung (Schloss-Symbol im Browser) nutzt das Protokoll TLS, um Daten zwischen Nutzer und Server verschlüsselt zu übertragen. TLS basiert auf mathematischen Verfahren wie ECDSA und ist damit ebenfalls durch den Shor-Algorithmus angreifbar. Große Anbieter wie Google Chrome und Cloudflare setzen bereits erste quantenresistente Algorithmen wie ML-KEM ein. Die vollständige Umstellung des Internets wird jedoch Jahre dauern.
Passwörter und Login-Systeme
Passwörter werden auf Servern in der Regel nicht im Klartext, sondern als Hash gespeichert, etwa über Verfahren wie bcrypt, Argon2 oder SHA-256. Diese Hashes sind durch Grovers Algorithmus zwar angreifbar, allerdings nur mit dem geringen quadratischen Geschwindigkeitsvorteil. Längere Passwörter und stärkere Hashing-Verfahren bieten hier ausreichend Schutz. Das eigentliche Problem liegt nicht beim gespeicherten Passwort, sondern bei seiner Übertragung: Beim Login wird das Passwort über eine TLS-verschlüsselte Verbindung an den Server geschickt, und genau dieser Übertragungsweg ist durch Quantencomputer kompromittierbar.
Legacy-Infrastruktur
Industrielle und kritische Infrastruktur wie Kraftwerke, Wasserversorgung, Krankenhäuser oder Steuerungssysteme in der Produktion läuft häufig auf Hardware, die vor Jahrzehnten installiert wurde. Diese Systeme verwenden teilweise Verschlüsselungsverfahren aus den frühen 2000er-Jahren und lassen sich technisch gar nicht aktualisieren. Ein Austausch wäre in vielen Fällen nur durch komplette Neuinstallation möglich, was diese Bereiche überaus verwundbar macht.
Auf welchen kryptografischen Säulen basiert Bitcoin?
Bitcoin ist nicht einfach „verschlüsselt“, sondern basiert auf zwei klar getrennten kryptografischen Bausteinen. Diese Trennung ist entscheidend, um das Risiko durch Quantencomputer korrekt einzuschätzen.
SHA-256 und Proof-of-Work
Sobald eine Bitcoin-Transaktion ausgelöst wird, landet sie gemeinsam mit vielen anderen in einem neuen Block, der von einem Miner über das sogenannte Proof-of-Work-Verfahren bestätigt werden muss. Dafür kommt SHA-256 zum Einsatz, ein Rechenverfahren, das aus den Blockdaten und einer zusätzlichen Zahl (der Nonce) eine feste Zeichenfolge erzeugt, den sogenannten Hash. Das Netzwerk akzeptiert den Block jedoch nur, wenn dieser Hash mit einer bestimmten Anzahl Nullen beginnt. Da sich das Ergebnis nicht vorhersagen lässt, testen Miner Milliarden Nonces pro Sekunde. Wer zuerst eine passende findet, fügt den Block zur Blockchain hinzu und erhält die Belohnung. Wichtig ist, dass SHA-256 kein Public-Key-System ist. Es schützt nicht direkt Besitzer von Coins, sondern sorgt für die Integrität der gesamten Blockchain. Der Prozess ist bewusst einseitig gestaltet: Ein Hash lässt sich nicht zurückrechnen. Das macht ihn zu einem zuverlässigen Fingerabdruck für Blöcke und Transaktionen.
ECDSA und Wallet-Sicherheit
Während SHA-256 die Blockchain als Ganzes schützt, sichert ECDSA (Elliptic Curve Digital Signature Algorithm) den individuellen Besitz von Bitcoin. Jede Wallet basiert auf einem mathematisch verbundenen Schlüsselpaar: einem privaten Schlüssel, der geheim bleibt und nur dem Besitzer den Zugriff auf seine Coins ermöglicht, und einem öffentlichen Schlüssel, aus dem die Bitcoin-Adresse abgeleitet wird. Möchte der Besitzer Coins versenden, signiert er die Transaktion mit seinem privaten Schlüssel. Das Netzwerk kann diese Signatur anschließend mithilfe des öffentlichen Schlüssels überprüfen, ohne den privaten Schlüssel jemals zu sehen.
Eine wichtige Feinheit: Der öffentliche Schlüssel bleibt bei den meisten Adressen so lange verborgen, bis eine Transaktion gesendet wird. Erst dann entsteht ein potenzielles Angriffsziel für Quantencomputer.
Wie unterscheiden sich die Risikoprofile von Mining (SHA-256) und Wallets (ECDSA)?
Nicht alle Teile von Bitcoin sind gleichermaßen durch Quantencomputer gefährdet. Die Unterschiede zwischen Mining und Wallet-Sicherheit sind dabei entscheidend.
SHA-256 und der Grover-Algorithmus
Quantencomputer könnten mithilfe des sogenannten Grover-Algorithmus theoretisch schneller passende Hashwerte finden als klassische Computer. Der Vorteil liegt dabei nicht in einer höheren Geschwindigkeit pro Versuch, sondern in der Mathematik selbst. Während für das Finden eines bestimmten Hashes grundsätzlich 2256 Möglichkeiten durchgegangen werden müssen, reduziert Grovers Algorithmus diese Zahl auf die Quadratwurzel davon, also 2128 Versuche. Die effektive Sicherheit von SHA-256 halbiert sich damit von 256 auf 128 Bit. Der Schutz wird also nicht gebrochen, sondern lediglich reduziert, und 128 Bit gelten nach heutigem Stand weiterhin als sicher.
Hinzu kommt ein eingebauter Schutzmechanismus: Die Mining-Schwierigkeit (Difficulty) passt sich automatisch an die verfügbare Rechenleistung im Netzwerk an. Sobald Blöcke schneller gefunden werden, erhöht das Netzwerk die Anforderungen. Ein Quantencomputer hätte zwar einen Geschwindigkeitsvorteil, dieser würde aber durch die steigende Difficulty wieder ausgeglichen. Ein existenzielles Risiko für die Blockchain entsteht auf dieser Ebene also nicht.
ECDSA und der Shor-Algorithmus
Der Shor-Algorithmus ist der eigentliche Risikofaktor. Er kann die mathematische Grundlage von ECDSA angreifen, indem er diskrete Logarithmen auf elliptischen Kurven effizient löst. Was das konkret bedeutet: mit einem ausreichend leistungsfähigen Quantencomputer ließe sich so ein privater Schlüssel aus dem öffentlichen Schlüssel berechnen.
Entscheidend ist dabei die Sichtbarkeit des öffentlichen Schlüssels. Solange dieser verborgen bleibt und nur die daraus abgeleitete Adresse on-chain sichtbar ist, bietet ECDSA keinen direkten Angriffspunkt. Kritisch wird es jedoch in zwei Fällen: nach einer ausgehenden Transaktion, durch die der öffentliche Schlüssel offengelegt wird, und bei Adress-Wiederverwendung, also wenn dieselbe Adresse mehrfach genutzt wird. Besonders exponiert sind außerdem Wallet-Formate, bei denen der öffentliche Schlüssel von Anfang an direkt on-chain hinterlegt ist (z.B. P2PK-Outputs aus der Satoshi-Ära sowie P2TR Taproot-Adressen). Genau diese Wallets gelten als die verwundbarsten Ziele eines zukünftigen Quantenangriffs.
Was ist das Taproot-Upgrade und welche neue Angriffsfläche hat dieses geschaffen?
Ein wichtiger Aspekt der aktuellen Debatte betrifft das Taproot-Upgrade aus dem Jahr 2021. Taproot brachte erhebliche Vorteile in Bezug auf Datenschutz, Effizienz und Smart-Contract-Möglichkeiten, hat jedoch zugleich eine neue Angriffsfläche eröffnet.
Bei Taproot-Adressen wird der öffentliche Schlüssel standardmäßig dauerhaft on-chain gespeichert, noch bevor irgendeine Transaktion stattfindet. Das ist ein grundlegender Unterschied zu Formaten wie P2PKH oder SegWit (bc1q), bei denen der öffentliche Schlüssel erst beim Senden sichtbar wird. Bei Taproot hingegen ist er permanent einseh- und auswertbar. Für einen Quantenangreifer ist das eine komfortable Situation: Er hat unbegrenzt Zeit, den gespeicherten öffentlichen Schlüssel anzugreifen, ohne zeitlichen Druck durch laufende Transaktionen.
Noch heikler ist die Situation bei frühen Coins aus der Anfangszeit von Bitcoin. Viele sogenannte P2PK-Outputs aus der Satoshi-Ära haben ihre öffentlichen Schlüssel ebenfalls dauerhaft on-chain. Diese Coins gelten als besonders exponiert, falls Quantencomputer eines Tages kryptografisch relevant werden.
Wie weit entfernt sind Quantencomputer, die das wirklich leisten können?
Die entscheidende Frage ist der Zeitrahmen, und hier liegt der größte Unterschied zwischen Schlagzeilen und Realität.
Der aktuelle Stand der Hardware
Moderne Quantencomputer befinden sich noch weit entfernt von der nötigen Kapazität. IBM präsentierte Ende 2025 seinen Nighthawk-Prozessor mit 120 Qubits. Microsoft stellte im selben Jahr den Majorana-1-Chip vor, der stabilere Qubits durch einen neuartigen topologischen Materiezustand ermöglichen soll. Googles Willow-Chip verbesserte die Fehlerkorrektur exponentiell.
Diese Fortschritte sind beeindruckend, aber die Lücke zur echten Bedrohung ist noch enorm. Ein Angriff auf ECDSA würde Schätzungen zufolge rund 1.200 bis 1.450 logische Qubits erfordern. Ein logisches Qubit besteht dabei aus vielen physischen Qubits, die sich gegenseitig gegen Fehler absichern. In der Praxis wären je nach Fehlerrate Hunderttausende physischer Qubits nötig. Aktuelle Systeme arbeiten mit wenigen Hundert bis einigen Tausend physischen Qubits, und deren Fehlerraten sind noch weit zu hoch für kryptografisch relevante Berechnungen.
Was Experten und Industrieroadmaps sagen
Die Spanne der Einschätzungen ist groß. Viele Forscher gehen von frühestens 10 bis 30 Jahren aus, bevor ein ausreichend leistungsfähiger Quantencomputer existiert. Optimistischere Szenarien sehen ein realistisches Zeitfenster ab den 2030er-Jahren. Roadmaps von IBM, Google, Microsoft, Amazon und Intel deuten an, dass es in 2 bis 5 Jahren erste kritische Durchbrüche geben könnte, die eine Neubewertung des Risikos erfordern.
Der Coinbase-Forschungschef David Duong warnte Anfang 2026, die Bedrohung könnte schneller Realität werden, als bislang angenommen. Auf der anderen Seite bezeichnen Persönlichkeiten wie Adam Back und Michael Saylor die aktuelle Debatte als deutlich verfrüht. Die Wahrheit liegt wohl irgendwo dazwischen. Quantencomputer sind kein unmittelbares Risiko, aber auch kein Problem, das man auf die lange Bank schieben sollte.
Wie bereitet sich Bitcoin auf die Quantenbedrohung vor?
Die gute Nachricht ist, dass das Problem bekannt ist und aktiv bearbeitet wird. Zudem ist Bitcoin nicht allein damit, denn die gesamte Infrastruktur des Internets ist durch diese Veränderung betroffen. Damit müssen also nicht nur die Entwickler von Bitcoin eine Route finden, sondern alle anderen Teilnehmer auch. Im Prinzip muss jeder, der sich auf aktuelle Verschlüsselungsstandards verlässt, einen Plan haben, seine Systeme zu migrieren.
NIST-Standards für Post-Quantum-Kryptografie
Im Jahr 2024 hat das US-Standardisierungsgremium NIST die ersten offiziellen Post-Quantum-Standards veröffentlicht. Dazu gehören ML-KEM (Kyber), ML-DSA (Dilithium) und SLH-DSA (SPHINCS+). Diese Verfahren basieren auf mathematischen Problemen wie Gitterproblemen oder Hash-basierten Strukturen, die auch für Quantencomputer als schwer lösbar gelten. Die US-Bundesregierung hat zudem ein Mandat erlassen, ECDSA bis 2035 vollständig abzulösen.
BIP-360: Der konkrete Vorschlag für Bitcoin
Auch innerhalb der Bitcoin-Community wird aktiv an einer Lösung gearbeitet. Der wichtigste technische Vorschlag heißt BIP-360 und wurde von den Entwicklern Ethan Heilman, Hunter Beast und weiteren eingebracht. Im Februar 2026 wurde er offiziell in das BIP-Repository aufgenommen, also in die Sammlung anerkannter Verbesserungsvorschläge für Bitcoin.
Kern des Vorschlags ist ein neuer Adresstyp mit dem Namen Pay-to-Merkle-Root (P2MR). Anders als bei Taproot wird hier kein öffentlicher Schlüssel dauerhaft on-chain hinterlegt, was die strukturelle Angriffsfläche für Quantencomputer schließt. BIP-360 ist dabei selbst noch kein vollständiger Quantenschutz, sondern schafft den technischen Rahmen, in den künftige quantensichere Signaturverfahren wie FALCON oder Dilithium eingebaut werden können.
Parallel dazu arbeiten weitere Entwickler an ergänzenden Lösungen. Ein Vorschlag von Jameson Lopp und Kollegen vom Juli 2025 sieht beispielsweise einen Soft Fork vor, der die bisherigen ECDSA- und Schnorr-Signaturen schrittweise durch ein neues, quantenresistentes Format namens P2QRH ersetzen würde.
Insgesamt arbeiten mehrere namentlich bekannte Forscher und Entwickler aktiv an Post-Quantum-Lösungen für Bitcoin, darunter renommierte Namen wie Pieter Wuille und Jonas Nick. Es liegen über 13 verschiedene Vorschläge auf dem Tisch, erste Testnet-Implementierungen laufen, und auf der Liquid-Sidechain wurden bereits erste quantenresistente Transaktionen erfolgreich durchgeführt.
Was können Miner und „Hodler“ heute tun?
Es gibt einige konkrete Maßnahmen, die bereits heute sinnvoll sind:
- Adressen nie mehrfach verwenden. So bleibt der öffentliche Schlüssel so lange wie möglich verborgen.
- Große Bestände aus Taproot-Adressen migrieren. Frisch generierte P2WPKH-Adressen (bc1q...) sind strukturell besser geschützt, da der öffentliche Schlüssel nicht dauerhaft on-chain steht.
- Cold Storage nutzen. Offline gehaltene Schlüssel werden nie unnötig exponiert und bieten zusätzlichen Schutz.
- Protokollentwicklung verfolgen. Insbesondere die Fortschritte rund um BIP-360 und kommende Upgrades sollten im Blick behalten werden, um rechtzeitig handeln zu können.
Für Miner:
- Keine unmittelbare Bedrohung für ASIC-Hardware. Das Mining über SHA-256 ist kein realistisches Angriffsziel.
- Difficulty-Anpassung gleicht Quantenvorteile aus. Solange das Netzwerk Blöcke im 10-Minuten-Takt produziert (bis voraussichtlich 2140 wird der letzte Block gemined), kompensiert die automatische Schwierigkeitsanpassung selbst einen theoretischen Grover-Vorteil.
Bei Fragen zu Quantensicherheit, Wallet-Strategie oder professionellem Bitcoin-Hosting beraten unsere Bitkern-Experten gerne unverbindlich: Termin buchen
FAQ
Können Quantencomputer Bitcoin schneller minen?
Ja, theoretisch durch Grovers Algorithmus. Der Vorteil ist aber nur quadratisch und würde durch die Difficulty-Anpassung ausgeglichen. Es entsteht kein existenzielles Risiko für das Netzwerk.
Können Quantencomputer Bitcoin aus Wallets stehlen?
Nur unter bestimmten Bedingungen. Ein Angriff wäre möglich, wenn der öffentliche Schlüssel dauerhaft sichtbar ist und ein ausreichend starker Quantencomputer existiert. Heute ist das nicht der Fall. Taproot-Adressen und alte P2PK-Outputs sind längerfristig besonders exponiert.
Was ist BIP-360?
Ein technischer Vorschlag, der Bitcoin einen neuen Adresstyp (P2MR) gibt, der keine dauerhaft sichtbaren öffentlichen Schlüssel erzeugt. Er wurde im Februar 2026 in das offizielle Bitcoin-Repository aufgenommen und gilt als erster Schritt Richtung Quantenresistenz.
Wann werden Quantencomputer zur realen Bedrohung?
Die meisten Einschätzungen liegen bei frühestens 2030 oder deutlich später. Industrieroadmaps von Google, IBM und Microsoft legen nahe, dass innerhalb der nächsten 2 bis 5 Jahre kritische Meilensteine erreicht werden könnten, die eine erneute Risikobewertung erfordern.
Muss Bitcoin seinen Code ändern?
Wahrscheinlich ja, langfristig. Post-Quantum-Kryptografie wird klassische Signaturen ersetzen müssen. Bitcoin kann solche Änderungen über Soft Forks umsetzen, wie bereits in der Vergangenheit bei SegWit und Taproot demonstriert wurde. Der politische Konsens innerhalb der Community wird dabei die größere Herausforderung sein als die Technik selbst.
Ist Bitcoin durch Quantencomputer stärker gefährdet als andere Systeme?
Nein. Banken, HTTPS-Verbindungen, IoT-Geräte und ältere Industriesysteme basieren auf denselben kryptografischen Verfahren und sind teilweise sogar schwieriger zu aktualisieren. Bitcoin ist transparent dokumentiert und kann über Soft Forks angepasst werden, während Legacy-Hardware häufig nicht patchbar ist.
