Die Migration ist der schwierige Teil

Ein ausreichend leistungsfähiger Quantencomputer, der Shors Algorithmus ausführt, könnte private Schlüssel aus offengelegten öffentlichen Schlüsseln ableiten und damit die elliptische Kurvenkryptografie (ECC) brechen, auf die Bitcoin für digitale Signaturen angewiesen ist. Das Zeitfenster für die Vorbereitung wird in Jahren gemessen, nicht in Jahrzehnten – und die Uhr läuft bereits. Doch die Umsetzung einer Lösung könnte sich als ebenso anspruchsvoll erweisen wie ihre Entwicklung.

Einige kryptografische Alternativen zu ECC existieren bereits, sind standardisiert und gelten als sicher. Das ist die gute Nachricht. Das Problem ist: Diese Standards wurden nicht für Bitcoin optimiert. Eine reibungslose Einführung erfordert Konsens unter Tausenden von Nodes, die aktive Beteiligung von Millionen von Inhaberinnen und Inhabern sowie eine über Jahre koordinierte Umsetzung in einem Netzwerk, das bewusst darauf ausgelegt ist, Veränderungen zu erschweren.

Die bislang vom National Institute of Standards and Technology (NIST) standardisierten Post-Quantum-Signaturverfahren fallen in zwei kryptografische Familien: gitterbasierte und hashbasierte Verfahren. Beide stützen sich auf mathematische Probleme, die nach heutigem Kenntnisstand von keinem Quantenalgorithmus effizient gelöst werden können.

Beide Familien gelten auch gegenüber klassischen Angriffen als sicher. Hashbasierte digitale Signaturen sind jedoch die konservativere Wahl, da sie lediglich auf den Sicherheitseigenschaften von Hashfunktionen beruhen – und diese sind bereits ein grundlegender Bestandteil des Bitcoin-Designs. Aus diesem Grund besteht zumindest grobe Einigkeit darüber, hashbasierte Post-Quantum-Kryptografie für Bitcoin zu bevorzugen, zumindest als ersten Schritt. Das von NIST standardisierte hashbasierte Verfahren SLH-DSA erzeugt jedoch Signaturen von rund 8 Kilobyte. Eine heutige ECC-Signatur ist 64 Byte gross. Das entspricht einer Grössenzunahme um etwa das 125-Fache.

Würde man Bitcoins heutige Signaturen einfach durch SLH-DSA ersetzen, würde der Durchsatz des Netzwerks von rund sechs Transaktionen pro Sekunde auf 0,3 fallen – also auf eine Transaktion alle drei Sekunden, für die ganze Welt. Genau deshalb kann die Migration nicht wie ein einfaches Software-Update behandelt werden. Die NIST-Standards wurden für allgemeine Kryptografie entwickelt, nicht für Blockchains mit harten Beschränkungen beim Blockspace.

Dennoch arbeiten Bitcoin-Entwickler an Optimierungen, die diesen Nachteil reduzieren. Der SHRINCS-Vorschlag von Blockstream erreicht beispielsweise eine Signaturgrösse von 324 Byte. Das ist dramatisch kleiner als die NIST-Basisvariante, aber immer noch rund fünfmal grösser als das, was Bitcoin heute verwendet.

Grundsätzlich gibt es keinen «perfekten» Ersatz für digitale ECC-Signaturen: Post-Quantum-Signaturen bringen Trade-offs mit sich – zwischen Grösse, Signier- und Verifizierungsgeschwindigkeit, Eignung für Aggregation und der Stärke der zugrunde liegenden Sicherheitsannahmen.

Selbst wenn sich ein Konsens über ein für Bitcoin geeignetes Post-Quantum-Signaturverfahren herausbildet, müssen alle Halter ihre Coins aktiv auf einen neuen Adresstyp migrieren. Das geschieht nicht automatisch – jede Halterin und jeder Halter muss diesen Schritt selbst ausführen.

Einige werden dazu nicht in der Lage sein. Schlüssel gehen verloren, Wallets werden aufgegeben, und die Coins in diesen Adressen können ohne Beteiligung ihrer Eigentümer nicht aktualisiert werden. Daraus ergibt sich eine Frage, die zugleich technisch und politisch ist: Soll die Migration zeitlich unbegrenzt offenbleiben, oder soll das Netzwerk eine Frist setzen?

Ohne Frist bleiben nicht migrierte Coins dauerhaft verwundbar. Ein ausreichend leistungsfähiger Quantencomputer könnte die privaten Schlüssel extrahieren und die Mittel bewegen. Mit einer Frist würden Coins, die nicht migriert wurden, nicht mehr ausgabbar – effektiv eingefroren, möglicherweise durch weitere Änderungen an Bitcoin wiederherstellbar, oder dauerhaft verbrannt, je nachdem, wie die Schlüssel erzeugt wurden. Das schützt das Netzwerk vor den Auswirkungen von «Quantum Theft», zerstört aber den Zugang für alle, die das Zeitfenster verpasst haben oder nicht rechtzeitig handeln konnten.

Und die Durchsatzbeschränkung macht den Zeitplan tatsächlich anspruchsvoll. Selbst unter optimistischen Annahmen über eine priorisierte und effiziente Nutzung des Blockspace würde die Migration des gesamten UTXO-Sets Monate dauern. Realistisch betrachtet wird die Koordination von Wallets, Börsen, Verwahrern, Minern und einzelnen Haltern Jahre in Anspruch nehmen.

Bitcoins Dezentralisierung ist seine grundlegendste Eigenschaft. Sein Wachstum und sein Erfolg als Wertspeicher und Bezahlmittel hängen davon ab, dass immer deutlicher wird: Keine Person, keine Institution und keine koordinierte Gruppe kann die Regeln des Protokolls einseitig ändern oder Mittel konfiszieren. Genau das macht koordinierte Protokolländerungen jedoch ausserordentlich schwierig. Die Blocksize-Debatte von 2015 bis 2017 hat gezeigt, wie umstritten Bitcoin-Upgrades sein können – und dieser Streit führte zu Spaltungen in der Community, die bis heute nachwirken.

Die Post-Quantum-Migration öffnet dieselben Bruchlinien erneut. Wenn grössere Signaturen grössere Blocks erfordern, lässt sich die technische Frage nicht mehr von der politischen trennen. Anders als hoch technische Fragen mit messbaren Trade-offs, die an eine kleinere Gruppe von Expertinnen und Experten delegiert werden können, berührt die Frage nach verlorenen Coins die monetäre Legitimität von Bitcoin auf subjektivere Weise. Sie dürfte in der gesamten Community starke Positionen hervorrufen – möglicherweise sogar mit langfristigen Chain Splits als Folge.

Konsens in Bitcoin braucht Jahre, und die eigentliche Migrationsuhr beginnt erst zu laufen, nachdem dieser Konsens erreicht ist. Ein Chain Split ist besser als Stillstand, wenn der Versuch, vollständigen Konsens über Migrationsstrategien zu erreichen, zu Paralyse führt. Die gute Nachricht ist: Erste Schritte im Migrationsprozess können unternommen werden, ohne bereits eine Entscheidung über die Migrationsfrist zu erzwingen.

BIP-360, das im Februar 2026 in das offizielle Repository der Bitcoin Improvement Proposals aufgenommen wurde, dürfte der erste konkrete Schritt sein. Es führt einen neuen Output-Typ namens Pay-to-Merkle-Root (P2MR) ein, der strukturell Taproot ähnelt – Bitcoins jüngstem grossen Upgrade dafür, wie Transaktionen signiert und verifiziert werden –, aber den quantenverwundbaren Spending Path entfernt, bei dem öffentliche Schlüssel on-chain offengelegt werden. Damit entsteht die strukturelle Grundlage, um Post-Quantum-Signaturverfahren über einen späteren Soft Fork einzuführen. Testnets laufen bereits.

BIP-360 ist jedoch ausdrücklich ein erster Schritt, keine Lösung. Es schreibt nicht vor, welchen Post-Quantum-Signaturalgorithmus Bitcoin übernehmen sollte – diese Entscheidung bleibt mit all ihren Trade-offs offen. Nach BIP-360 ist mindestens ein weiterer Fork erforderlich, um das Signieren mit einem Post-Quantum-Verfahren tatsächlich zu ermöglichen. Die Wahl des Algorithmus, die Gebührenauswirkungen grösserer Signaturen und die Migrationsmechanik selbst liegen alle noch vor uns.

BIP-361, das im Mai 2026 als informational BIP aufgenommen wurde, geht weiter: Es schlägt eine schrittweise Abfolge von Soft Forks vor, die zunächst das Senden an quantenverwundbare Adressen einschränken, anschliessend das Ausgeben von diesen Adressen vollständig deaktivieren – und damit faktisch eine Migrationsfrist einführen – und schliesslich einen Recovery Path für Halter ermöglichen würden, die nachweisen können, dass sie den zur Schlüsselerzeugung verwendeten Seed kennen. Das Hauptziel dieses Vorschlags ist es, eine formale Grundlage für die Diskussion von Migrationsstrategien zu schaffen, die voraussichtlich hoch umstritten sein wird.

Die kryptografischen Werkzeuge, um erste Schritte in Richtung eines quantum-resistenten Bitcoin zu gehen, existieren bereits heute. Die Frage ist, ob der Koordinationszeitplan schneller vorankommen kann, als sich der Bedrohungszeitplan verkürzt. Grosse Infrastrukturanbieter und andere Blockchain-Protokolle zielen für ihre eigenen Post-Quantum-Übergänge auf 2029 ab. Inzwischen gilt als Konsens, dass Vermögenswerte und Systeme mit hohem Wert bis zu diesem Zeitpunkt oder kurz danach vollständig post-quantum-sicher sein sollten.

Die bevorstehenden Entscheidungen – von der Wahl des Signaturalgorithmus bis hin zur Frage, ob nicht migrierte, nicht wiederherstellbare Coins irgendwann verbrannt werden sollten – werden Bitcoin über Jahrzehnte prägen. Sie erfordern breiten Konsens, und dieser Konsens wird umkämpft sein. Bitcoin verdient eine umkämpfte Debatte, aber keine endlose: Jedes Jahr ohne Entscheidung reduziert die Zeit, die für eine geordnete Migration bleibt. Damit Bitcoin seine Post-Quantum-Migration bis Anfang der 2030er-Jahre erfolgreich abschliessen kann, muss sich der Governance-Prozess beschleunigen.