Quantencomputer und Bitcoin: Die Migration nimmt Gestalt an

Die Bedrohung der elliptischen Kurvenkryptografie (ECC) von Bitcoin durch Quantencomputer ist längst nicht mehr nur theoretischer Natur. An die Stelle der Frage, ob Bitcoin auf Post-Quanten-Kryptografie migrieren muss, ist die konkrete Arbeit an der Umsetzung getreten.

Die Debatte darüber, was mit Coins geschieht, die nicht migriert werden können, hat drei grundsätzliche Positionen hervorgebracht: gefährdete Coins einfrieren und damit einen Präzedenzfall für Konfiszierung riskieren, sie ungeschützt lassen und einen Angebotsschock in Kauf nehmen oder durch eine Begrenzung der Transaktionsrate einen Mittelweg finden. Die Diskussion hält an und dürfte kontrovers bleiben. Die gute Nachricht ist jedoch, dass sie die Protokollentwicklung nicht aufhält.

Mehrere Entwicklungen im August haben die technische Infrastruktur vorangebracht, die bestimmen wird, wie diese Migration in der Praxis funktioniert – sowohl für Bitcoin als auch für das breitere Krypto-Ökosystem. Vier davon stechen besonders hervor.

Eine der folgenreichsten Entwicklungen in der Migrationsdebatte betrifft sogenannte Rettungsprotokolle. Diese Mechanismen ermöglichen es den Eigentümern eingefrorener Coins, ihren Besitz nachzuweisen und wieder auf ihre Vermögenswerte zuzugreifen, ohne sich ausschliesslich auf ihren privaten Schlüssel zu stützen. Dieser könnte kompromittiert werden, sobald ein kryptografisch relevanter Quantencomputer (CRQC) existiert.

Im August wurden zwei Vorschläge weiterentwickelt. Dropkick, am 1. August vom pseudonymen Entwickler Conduition veröffentlicht, ist ein neues Commit-Reveal-Rettungsprotokoll. Lifeboat von Tadge Dryja wurde aktualisiert und kürzlich an der Bitcoin++-Konferenz vorgestellt.

Beide basieren auf einem ähnlichen zweistufigen Verfahren: Um gefährdete Coins nach ihrer Sperrung wiederzuerlangen, hinterlegt der Eigentümer zunächst Informationen, die seinen Besitz belegen, und legt diese später offen, um eine Rettungstransaktion zu autorisieren. Entscheidend ist, dass ein CRQC diese Informationen nicht im Voraus ableiten kann. Die Details unterscheiden sich, das Prinzip ist jedoch dasselbe.

Warum ist das relevant? BIP-361 sieht vor, ECC-basierte Transaktionen letztlich zu deaktivieren. Coins, die nicht migriert werden, könnten dann nicht mehr ausgegeben werden: Sie wären entweder dauerhaft verloren oder vorübergehend eingefroren. Rettungsprotokolle machen ein «vorübergehendes Einfrieren» zu einem realistischen Szenario statt zu einer beschönigenden Umschreibung.

Diese Protokolle sind zudem konservativer als der zuvor für die letzte Phase von BIP-361 vorgesehene Ansatz, der auf quantensicheren ZK-SNARKs beruhte. «Konservativer» bedeutet hier, dass sie mit höherer Wahrscheinlichkeit sicher sind und korrekt funktionieren, da die zugrunde liegenden kryptografischen Annahmen einfacher sind. Für den Umgang mit eingefrorenen Coins bedeutet dies eine erhebliche Risikoreduktion.

Die praktische Folge: Selbst wenn Bitcoin eines Tages gezwungen sein sollte, ECC zu deaktivieren, während noch Millionen von BTC nicht migriert wurden, könnte ein Grossteil dieser Coins weiterhin wiederhergestellt werden. Nicht alle, denn einige Adresstypen können nicht von Rettungsprotokollen profitieren, und bei tatsächlich verlorenen Coins gibt es niemanden mehr, der einen Eigentumsnachweis hinterlegen könnte. Für einen wachsenden Anteil der nicht migrierten Coins würde «eingefroren» jedoch nicht mehr «dauerhaft verloren» bedeuten.

Einige sind der Ansicht, dass das Post-Quanten-Kryptografie-Upgrade von Bitcoin technisch bereits geklärt sei und lediglich noch ein gesellschaftlicher und governancebezogener Konsens über die Migrationsstrategie gefunden werden müsse. Das stimmt jedoch nur teilweise.

BIP-360 schlägt P2MR (Pay-to-Merkle-Root) als neuen quantensicheren Transaktionsausgabetyp vor. Dies ist jedoch nicht die einzige diskutierte Option. Entwickler prüfen derzeit aktiv Alternativen wie P2TRv2, P2TRH und P2QR. Die technische Frage, welche Ausgabetypen Bitcoin einführen sollte, ist somit noch offen – und die Entscheidung ist weit mehr als ein reines Implementierungsdetail.

Der Ausgabetyp beeinflusst, wie schnell die Eigentümer ihre Bitcoin voraussichtlich migrieren werden. Vermieden werden soll eine überstürzte, durch Panik ausgelöste Migration, sobald die praktische Einsatzfähigkeit eines CRQC nicht mehr zu bestreiten ist. Zudem bestimmt die Wahl mit, ob ECC vollständig oder nur selektiv für bestimmte Adresstypen deaktiviert werden muss. Davon hängt wiederum ab, ob die Abschaltung von ECC als Konfiszierung oder als erwartbarer Protokollübergang wahrgenommen wird – eine zentrale Spannung in der Debatte über Bitcoins Quantum Governance.

Parallel dazu schreitet auch die Diskussion darüber voran, welches Post-Quanten-Signaturverfahren verwendet werden soll. Während der Ausgabetyp festlegt, wie Bitcoin ausgegeben werden können, belegt die Signatur, dass die ausgebende Person dazu berechtigt ist. Blockstream Research veröffentlichte einen Bericht, in dem gitterbasierte Signaturen für Bitcoin untersucht werden. Falcon-1024 wurde dabei zum jetzigen Zeitpunkt als stärkste gitterbasierte Option identifiziert.

Dies ändert nichts daran, dass hashbasierte Kryptografie weiterhin als führender Kandidat für ein quantensicheres Bitcoin gilt. Entsprechend haben Jonas Nick und seine Mitautoren die hashbasierte SHRINCS-Spezifikation in einem BIP-Entwurf formalisiert. Dabei handelt es sich um das erste konkrete Post-Quanten-Signaturverfahren, das speziell auf die technischen Anforderungen von Bitcoin zugeschnitten wurde.

Fazit: Das Post-Quanten-Upgrade von Bitcoin ist technisch noch nicht abschliessend geklärt. Die Fortschritte sind jedoch ermutigend: Entwickler vergleichen inzwischen konkrete Ausgabedesigns und Signaturverfahren im Rahmen öffentlicher Diskussionen und Prüfungen in Code-Repositories, auf der Bitcoin Development Mailing List und bei Delving Bitcoin. Wer institutionell von der langfristigen Entwicklung des Bitcoin-Protokolls betroffen ist, sollte diese Arbeiten aufmerksam verfolgen.

Ethereums Plan zur Vorbereitung auf das Quantenzeitalter verfolgt einen mehrstufigen Ansatz, um gefährdete kryptografische Verfahren zu ersetzen. Ein Bestandteil dieses Plans hat sich nun wesentlich verändert.

Ursprünglich hatte sich Ethereum für Poseidon als Hashfunktion für die zur Quantensicherheit erforderliche hashbasierte Kryptografie entschieden. Poseidon wurde speziell für den effizienten Einsatz innerhalb von SNARKs entwickelt – jenen Zero-Knowledge-Beweissystemen, auf die Ethereums Roadmap setzt. Die Hashfunktion ist jedoch noch vergleichsweise neu und wurde bislang nicht so umfassend kryptoanalytisch geprüft wie etablierte Standards wie SHA oder BLAKE.

Diese Bedenken konnten nun auf unerwartete Weise ausgeräumt werden. Neue SNARK-Designs haben gezeigt, dass traditionelle, langjährig bewährte Hashfunktionen innerhalb eines SNARK dieselbe Leistung wie Poseidon erreichen können. Justin Drake fasste es folgendermassen zusammen: Entscheidend seien nicht SNARK-freundliche Hashfunktionen, sondern Hash-freundliche SNARKs.

Ethereum stellt den Kern seiner Post-Quanten-Kryptografie nun auf SHA oder BLAKE um. Damit wird die Roadmap robuster: Eine neuere, weniger erprobte Komponente wird durch einen Industriestandard ersetzt, der auf jahrzehntelanger kryptoanalytischer Prüfung basiert.

Google Cloud hat im August eine detaillierte Roadmap für Post-Quanten-Kryptografie veröffentlicht, deren Umsetzung bis 2029 abgeschlossen sein soll. Diese Frist wurde erstmals im März angekündigt und inzwischen auch von Cloudflare und Microsoft übernommen. Die neue Roadmap liefert jedoch deutlich mehr operative Details dazu, wie Google dieses Ziel erreichen will.

Das Zieljahr 2029 beruht nicht auf der Prognose, dass bis dahin kryptografisch relevante Quantencomputer (CRQCs) existieren werden. Vielmehr handelt es sich um eine strategische Entscheidung, die Migration deutlich vor den regulatorischen Fristen abzuschliessen, die sich gemäss den NIST-Leitlinien in den meisten Rechtsordnungen bis 2035 erstrecken.

Ich erwähne dies, weil es nach wie vor Stimmen gibt – auch unter den Teilnehmern des Kryptomarktes –, die davon ausgehen, dass Quantencomputer, welche ECC brechen können, noch Jahrzehnte entfernt sind oder womöglich nie entwickelt werden. Diese Position lässt sich zunehmend schwer mit den Investitionsentscheidungen jener Unternehmen vereinbaren, die die weltweite IT-Infrastruktur entwickeln und betreiben.

Google, Cloudflare und Microsoft migrieren nicht, weil sie gerne technische Ressourcen für hypothetische Bedrohungen aufwenden. Sie tun es, weil ihre Risikobewertungen diesen Schritt nahelegen. Das Krypto-Ökosystem wäre gut beraten, seine eigene Vorbereitung an diesem Tempo zu messen.

All diese Entwicklungen haben eines gemeinsam: den Übergang vom «Ob» zum «Wie». Rettungsprotokolle werden entwickelt und verfeinert. Post-Quanten-Ausgabetypen werden ernsthaft diskutiert. Ein erstes Post-Quanten-Signaturverfahren für Bitcoin wurde formal spezifiziert. Ethereum hat seine Roadmap durch die Wahl langjährig bewährter kryptografischer Verfahren gestärkt. Gleichzeitig arbeitet der traditionelle Technologiesektor auf verbindliche Fristen hin.

Die technischen Bausteine für die Vorbereitung auf das Quantenzeitalter entwickeln sich an mehreren Fronten weiter. Ungelöst bleiben jedoch die Fragen rund um Governance und Konsens, die letztlich über die Auswirkungen für die Eigentümer entscheiden werden – und die sich auch durch noch so viel technische Entwicklungsarbeit nicht abkürzen lassen.

Das Titelbild ist AI-generiert.