Bitcoins Quantenproblem: Warum 6,7 Millionen Coins für immer eingefroren werden könnten

Unter Bitcoin-Entwicklern kursiert ein Vorschlag, der rund ein Drittel aller Bitcoin dauerhaft unbrauchbar machen würde. Nicht gestohlen, nicht von einem Staat beschlagnahmt, sondern schlicht durch die Regeln des Netzwerks selbst gesperrt. Betroffen wären auch etwa 1,7 Millionen Coins, die nach verbreiteter Einschätzung dem anonymen Erfinder von Bitcoin gehören.

Es handelt sich dabei nicht um eine Randmeinung. Zu den Autoren zählt Jameson Lopp, Mitgründer des Verwahrdienstleisters Casa und einer der etabliertesten Sicherheitsforscher der Branche. Der Vorschlag trägt eine offizielle Nummer im Vorschlagssystem von Bitcoin. Und er existiert wegen einer Gefahr, die sich in den vergangenen anderthalb Jahren von einer fernen Theorie zu einer Frage des Zeitplans entwickelt hat.

Dieser Beitrag erklärt, was konkret vorgeschlagen wird, warum die Bedrohung als glaubwürdig gilt und weshalb die vorgeschlagene Therapie umstrittener ist als die Krankheit.

Worum geht es konkret?

Änderungen am Bitcoin-Protokoll werden in einem nummerierten System veröffentlicht. Jeder Vorschlag heißt Bitcoin Improvement Proposal, kurz BIP. Eine Nummer bedeutet weder Zustimmung noch einen Zeitplan. Sie bedeutet lediglich, dass eine Idee in einem einheitlichen Format dokumentiert wurde, damit die Gemeinschaft sie prüfen kann. Die meisten BIPs werden nie umgesetzt.

Zwei davon sind hier relevant, und sie bauen aufeinander auf.

• Der erste, BIP-360, schafft einen neuen Adresstyp, den ein Quantencomputer nicht knacken könnte. Das ist der konstruktive Teil. Er ergänzt eine Option, ohne etwas wegzunehmen, und ist entsprechend wenig umstritten.
• Der zweite, BIP-361, offiziell betitelt als "Post Quantum Migration and Legacy Signature Sunset", ist der strittige Teil. Er setzt eine Frist. Coins, die bis zu diesem Stichtag nicht auf den neuen, quantensicheren Adresstyp umgezogen sind, ließen sich anschließend nicht mehr bewegen. Der Vorschlag erhielt seine Nummer am 11. Februar 2026 und befindet sich weiterhin im Entwurfsstadium. Aktiviert wurde nichts, ein Datum steht nicht fest.

Entscheidend ist ein Detail, das in der Berichterstattung meist untergeht: BIP-361 funktioniert erst, wenn BIP-360 aktiviert ist. Die Frist beginnt also frühestens dann zu laufen, wenn das sichere Ziel überhaupt existiert.

Warum kann ein Quantencomputer Bitcoin überhaupt stehlen?

Um das Argument nachzuvollziehen, braucht es einen technischen Begriff.

Jede Bitcoin-Wallet verwahrt zwei mathematisch miteinander verknüpfte Zahlen. Der private Schlüssel ist das Geheimnis, das eine Zahlung autorisiert. Der öffentliche Schlüssel leitet sich daraus ab und lässt sich gefahrlos weitergeben. Diese Beziehung funktioniert nur in eine Richtung: Aus dem privaten Schlüssel den öffentlichen zu berechnen, ist trivial. Der umgekehrte Weg würde einen herkömmlichen Rechner länger beschäftigen, als das Universum alt ist.

Genau diese Einbahnstraße sichert Bitcoin ab. Und genau sie würde ein ausreichend leistungsfähiger Quantencomputer aufheben. Quantenmaschinen können Verfahren ausführen, die diese Rückrechnung von unmöglich zu machbar verschieben.

Ob eine Adresse angreifbar ist, hängt damit an einer einzigen Frage: Wurde ihr öffentlicher Schlüssel jemals auf der Blockchain sichtbar?

Bei den meisten modernen Adressen lautet die Antwort nein. Die Adresse, die du weitergibst, ist eine verkürzte und verschlüsselte Fassung des öffentlichen Schlüssels. Der Schlüssel selbst wird erst sichtbar, sobald du von dieser Adresse aus zahlst. Zwei Kategorien von Coins sind allerdings dauerhaft offengelegt. Erstens das älteste Adressformat aus den Jahren 2009 und 2010, das den öffentlichen Schlüssel direkt in der Blockchain veröffentlichte. Zweitens jede Adresse, von der bereits gezahlt wurde und die anschließend erneut Geld empfangen hat. Diese Mehrfachnutzung von Adressen ist bis heute verbreitet und legt den Schlüssel dauerhaft offen.

Ein weiterer Punkt macht die Sache besonders unangenehm: Ein Angriff wäre womöglich gar nicht zu erkennen. Wer einen Schlüssel knackt, muss nicht sofort zugreifen. Die Autoren des Vorschlags beschreiben ein Szenario, in dem private Schlüssel im Stillen berechnet und die Guthaben anschließend über Wochen oder Monate nach und nach abgezogen werden, um niemanden zu alarmieren. In diesem Fall würde die Branche erst lange nach Beginn eines Quantenangriffs davon erfahren.

Wie viele Bitcoin sind tatsächlich betroffen?

Der Vorschlag nennt eine eigene Zahl: Zum 1. März 2026 hatten mehr als 34 Prozent aller Bitcoin ihren öffentlichen Schlüssel auf der Blockchain offengelegt. Eine von Google beauftragte Untersuchung beziffert den Bestand in angreifbaren Adressen auf rund 6,7 Millionen $BTC.

Davon entfallen etwa 1,7 Millionen Coins auf das älteste Adressformat aus den ersten beiden Jahren. Sie werden weithin den Beständen von Satoshi Nakamoto zugerechnet und haben sich nie bewegt. Sind die Schlüssel verloren, wovon allgemein ausgegangen wird, ist eine Migration ohnehin ausgeschlossen, weil niemand mehr da ist, der sie durchführen könnte.

Zu aktuellen Kursen entspricht der angreifbare Bestand einem Gegenwert von grob 425 Milliarden Dollar. Diese Größenordnung macht aus einer kryptografischen Frage eine Marktfrage. Ein erfolgreicher Angriff würde nicht nur Coins an einen Angreifer übertragen. Er brächte enormes zusätzliches Angebot in den Markt und würde vor allem eines belegen: dass das Sicherheitsversprechen von Bitcoin nicht hält.

Wie realistisch ist die Gefahr?

Eine Maschine, die dazu in der Lage wäre, existiert heute nicht. Das gehört betont, weil beim Thema Quantencomputer viel übertrieben wird.

Verändert hat sich der Zeithorizont. McKinsey verortet das Auftauchen eines kryptografisch relevanten Quantencomputers, also einer Maschine, die diese Verschlüsselung tatsächlich brechen kann, auf frühestens 2027 bis 2030. Fachumfragen beziffern die Wahrscheinlichkeit, dass es vor den späten 2030er-Jahren so weit ist, auf über 50 Prozent.

Bemerkenswerter ist die Entwicklung auf der Softwareseite. Googles Sicherheitsforscher haben bei Quantenalgorithmen Fortschritte um bis zum Zwanzigfachen dokumentiert. Das senkt den Hardwarebedarf für einen Angriff erheblich. Anders gesagt: Das Ziel rückt selbst dann näher, wenn die Quantenrechner gerade keine großen Sprünge machen.

Die Standardisierungsgremien haben bereits reagiert. Die US-Behörde NIST verabschiedete 2024 drei Standards für Post-Quanten-Kryptografie und stellt der Branche damit geprüfte Ersatzverfahren zur Verfügung. Bitcoins Problem ist also nicht die fehlende Lösung. Es ist, dass keine große Blockchain eine solche Umstellung bislang abgeschlossen hat und dass Bitcoins Entscheidungsstrukturen Veränderungen bewusst erschweren.

Wie würde die Umstellung ablaufen?

BIP-361 sieht drei Phasen vor. Die folgende Übersicht gibt den Vorschlagstext wieder.

An Phase C hängt, wie hart die Sache am Ende wirklich wird, und ausgerechnet dieser Teil ist am wenigsten ausgearbeitet. Funktioniert der Nachweis, könnten Besitzer mit ihrer Wiederherstellungsphrase auch nach dem Stichtag wieder an ihr Geld. Aus der Sperre würde dann eine kräftige Unannehmlichkeit statt eines endgültigen Verlusts. Funktioniert er nicht, ist Phase B endgültig. Der Vorschlag führt Phase C ausdrücklich als offen: abhängig von Forschung, Nachfrage und Konsens.

Ein Detail zum Zeitplan ist für alle relevant, die das Thema verfolgen. Laut Vorschlag würde die Abstimmung der Miner frühestens am 1. Januar 2027 beginnen und eine Zustimmung von 90 Prozent erfordern. Das ist eine bewusst hohe Hürde. Zum Vergleich: BIP-110, dessen Abstimmungsfenster in diesem August erreicht wurde, kommt auf weniger als 2 Prozent Zustimmung unter den Minern.

Warum ist der Vorschlag so umstritten?

Weil er mit dem zentralen Versprechen von Bitcoin kollidiert.

Der Satz "Not your keys, not your coins" bringt die Vorstellung auf den Punkt, dass der private Schlüssel absolut gilt und keine Instanz zwischen dich und dein Geld treten kann. BIP-361 schlägt vor, dass ausgerechnet das Netzwerk selbst bestimmte Guthaben für unbeweglich erklärt. Kritiker sehen darin faktisch eine Enteignung, auch wenn formal niemand etwas erhält, weil die Coins ja an niemanden übergehen. Ihr stärkstes Argument ist der Präzedenzfall: Wenn das Netzwerk eine Gruppe von Guthaben aus einem guten Grund sperren kann, existiert der Mechanismus auch für schlechtere Gründe.

Dazu kommt die Frage der Zuständigkeit. Wer legt fest, was als angreifbar gilt, und nach welchem Zeitplan? Bitcoin hat keinen Vorstand und keine Stiftung, die eine Konsensänderung durchsetzen könnte. Die letzte war Taproot im November 2021. Seither wurde an den Regeln nichts geändert.

Genau deshalb hat sich die Debatte von der Kryptografie zur Frage der Entscheidungsfindung verschoben. Dahinter steht die eigentliche Frage: Kann sich ein System, das gezielt auf Veränderungsresistenz ausgelegt ist, auf ein großes Upgrade einigen, bevor es dringend wird?

Was spricht dafür?

Die Befürworter stellen die Wahl nicht als Entscheidung zwischen schlecht und gut dar, sondern zwischen zwei schlechten Ausgängen.

• Ihr Hauptargument: Nichtstun bewahrt die angreifbaren Coins nicht. Es überlässt sie demjenigen, der als Erster über Quantenfähigkeit verfügt. Der Vorschlag skizziert drei mögliche Wege. Entweder darf jeder auf die angreifbaren Coins zugreifen, oder der Zugriff wird gedrosselt, oder niemand kommt heran. Eine vierte Variante, in der die Coins einfach unangetastet sicher bleiben, gibt es nicht. Das Einfrieren, so die Lesart, bewahrt Eigentum, statt es zu entziehen, insbesondere wenn der Rettungsweg aus Phase C tatsächlich gebaut wird.
• Das zweite Argument betrifft die Motivlage. Ein wirtschaftlich motivierter Angreifer möchte unentdeckt bleiben und leise abschöpfen. Ein politisch motivierter will womöglich nur das Vertrauen in Bitcoin zerstören. Da sich vorab nicht erkennen lässt, mit wem man es zu tun bekommt, muss die Verteidigung nach Ansicht der Autoren lange vor dem Angriff stehen.
• Das dritte Argument ist die Zeit. Wallet-Anbieter, Börsen, Hardwarehersteller und Verwahrer unter einen Hut zu bringen, hat bei Bitcoin historisch Jahre gedauert. Erst ein fester, öffentlich bekannter Stichtag macht aus einem kollektiven Problem, das sich beliebig aufschieben lässt, ein privates, das jeder für sich lösen muss. Das ist der eigentliche Mechanismus des Vorschlags: Er zwingt heute niemanden zu irgendetwas, aber er nimmt die Möglichkeit, ewig zu warten.

Was bedeutet das für Bitcoin-Besitzer?

Heute ist nichts zu tun. BIP-361 ist ein Entwurf. Er ist nicht aktiviert, er hängt an einer Voraussetzung, die ebenfalls nicht aktiviert ist, und die Abstimmung könnte laut Vorschlagstext nicht vor 2027 beginnen. Wer behauptet, du müsstest sofort handeln, ist entweder schlecht informiert oder will dir etwas verkaufen.

Trotzdem ist die Richtung klar genug für ein paar Beobachtungen.

Coins in modernen Adressformaten, von denen nie gezahlt wurde, sind derzeit nicht angreifbar, weil der öffentliche Schlüssel nicht veröffentlicht wurde. Die Mehrfachnutzung von Adressen ist es, die aus einer sicheren Adresse eine offengelegte macht. Sie zu vermeiden, ist unabhängig von Quantencomputern eine vernünftige Gewohnheit. Wer über einen Verwahrer oder über börsengehandelte Produkte investiert ist, hat es ohnehin nicht mit einer privaten, sondern mit einer institutionellen Frage zu tun, denn die Umstellung läge dann beim Anbieter.

Wichtiger ist der lange Horizont. Bitcoin, der über ein Jahrzehnt oder länger unangetastet liegen soll, trägt inzwischen eine Umstellungspflicht mit sich, die es vor zwei Jahren noch nicht gab. Das betrifft Nachlassregelungen ebenso wie langfristige Unternehmensbestände. Wer davon ausgeht, dass eine Wiederherstellungsphrase im Tresor auf unbestimmte Zeit ausreicht, sollte diese Annahme prüfen.

Worauf kommt es als Nächstes an?

Drei Punkte zeigen, ob aus der Debatte Umsetzung wird.

• Der erste ist der Fortschritt bei BIP-360, denn ohne diesen Baustein läuft bei BIP-361 gar nichts. Er hat das Testnetz erreicht, was ein echter Schritt ist, von der Aktivierung aber weit entfernt.
• Der zweite ist die Forschung zu Phase C. Lässt sich ein funktionierender Rettungsweg zeigen, verliert die Gegenseite ihr stärkstes Argument, weil aus dauerhaftem Verlust eine behebbare Hürde wird.
• Der dritte ist das im Vorschlag verankerte Abstimmungsfenster ab Januar 2027 und konkret die Frage, ob die Zustimmung der Miner in die Nähe der 90 Prozent kommt. Die jüngsten Erfahrungen mit Konsensentscheidungen bei Bitcoin geben dazu wenig Anlass zu Optimismus.

Das wahrscheinlichste Ergebnis der kommenden zwei Jahre ist weder Annahme noch Ablehnung, sondern anhaltender Stillstand, während der geschätzte Zeitpunkt der Quantenfähigkeit näher rückt. Das ist eine unbequeme Lage. Und es ist genau die, in der Bitcoin gerade steckt.