Magic States und rekordniedrige Fehlerraten: Die Quantenfehlerkorrektur hält Schritt

Das Knacken der elliptischen Kurvenkryptographie (ECC) von Bitcoin würde einen Quantencomputer erfordern, der Shors Algorithmus auf rund tausend logischen Qubits ausführt, die jeweils aus vielen fehleranfälligen physischen Qubits aufgebaut sind. Auf dem Papier sinkt diese Anforderung kontinuierlich, und die Schätzung von Google aus dem März für die Bitcoin-Kurve lag bei weniger als 500'000 physischen Qubits. Der Durchbruch, der begründete Zweifel ausräumen würde, wäre eine Quantenfehlerkorrektur, die über sämtliche Operationen hinweg Bestand hat, von denen Shors Algorithmus abhängt, Ende-zu-Ende über eine vollständige Berechnung gemessen wird, wiederholt reproduzierbar ist und sich mit zunehmender Skalierung verbessert. Bislang konnte keine Hardware dies nachweisen.

Doch innerhalb von nur vier Tagen veröffentlichten Google und Quantinuum im Oktober Hardware-Ergebnisse, die jeweils einen Teil dieser Herausforderung adressieren. Google demonstrierte einen effizienteren Ansatz zur Erzeugung der Magic States, auf die Shors Algorithmus angewiesen ist, während Quantinuum von rekordniedrigen logischen Fehlerraten berichtete, die mit zunehmender Codedistanz deutlich zurückgingen. Keines der beiden Ergebnisse vervollständigt jedoch für sich allein das Gesamtbild.

On October 15, Google Quantum AI published in Science the results of an experiment on its Willow processor demonstrating magic state cultivation, a major milestone toward universal fault-tolerant quantum computing. 

To achieve cryptographic relevance, Shor's algorithm needs tens of millions of Toffoli gates, which are built from T gates and Clifford operations. Error correction protects Clifford operations directly. T gates can't be protected that way, so each one consumes a magic state, a quantum state prepared separately to very high quality and used up in the process. A machine running Shor's algorithm therefore needs a constant supply of magic states, and producing them takes up a large share of its qubits. 

The previously established method, magic state distillation, combines many noisy copies into fewer, superior ones at a high cost in qubits. By contrast, cultivation, proposed by Google researchers in 2024, grows a single encoded state while checking it repeatedly, and discards any attempt in which an error appears. On Willow, it cut errors about 40-fold compared with uncultivated states and reached a fidelity of at least 99.99%. 

This matters for Bitcoin because Google's March estimate of under 500,000 physical qubits assumes cultivation, which until now had only been simulated. 

Google prepared and tested the cultivated magic states but did not use them to run an error-protected T gate, which the team lists as future work. The experiment also cultivated its states in the smallest version of its error-correcting code, reaching about one error in 10,000.  The far lower error rates a cryptographic attack needs would come from running cultivation in larger codes, which Google also lists among its next steps.

Vier Tage später meldete Quantinuum auf Helios, seinem Quantencomputer auf Basis gefangener Ionen, einen Rekord in der Quantenfehlerkorrektur. Fehlerkorrektur funktioniert durch Kodierung: Die Information eines einzelnen logischen Qubits wird auf eine Gruppe physischer Qubits verteilt, sodass Fehler in einzelnen Qubits erkannt und korrigiert werden können. Dieser Prozess erfolgt in wiederholten Zyklen, wobei Quantinuums logische Qubits im besten Fall nur fünfmal pro Million Zyklen versagten. Das ist ein Rekordwert, liegt jedoch noch weit entfernt von den ungefähr einem Fehler pro Billion, die für die Ausführung von Shors Algorithmus gegen ECC erforderlich wären.

Das Schliessen dieser Lücke hängt von der Codedistanz ab, die die Grösse dieser Gruppe bestimmt: Eine grössere Distanz bedeutet, dass mehr physische Qubits für jedes logische Qubit eingesetzt werden. Quantinuum testete drei verschiedene Distanzen, wobei jede Erhöhung die Fehlerrate im Durchschnitt um den bemerkenswert hohen Faktor 12 reduzierte. Je stärker die Fehlerraten mit jedem zusätzlichen Distanzschritt sinken, desto weniger physische Qubits benötigt ein logisches Qubit, um ein bestimmtes Mass an Zuverlässigkeit zu erreichen.

Der Rekord bezieht sich auf ein logisches Qubit, das seinen Zustand lediglich speichert, ohne eine Berechnung auszuführen. Die Publikation behandelt diesen Aspekt getrennt von Rechenoperationen und untersucht stattdessen Operationen zwischen zwei kodierten logischen Qubits. Dabei lag die Fehlerrate bei etwa 70 Fehlern pro Million Operationen, wobei jede Erhöhung der Codedistanz diese Rate um etwa den Faktor 9 verringerte. Im Vergleich zu denselben Operationen auf ungeschützten physischen Qubits reduzierte die Kodierung die Fehler um den Faktor 14. Im September hatte Quantinuum hier noch eine Verbesserung um den Faktor 4,3 erreicht.

a { text-decoration: none; color: #464feb; } tr th, tr td { border: 1px solid #e6e6e6; } tr th { background-color: #f5f5f5; }

Auch diese Experimente bleiben noch hinter einem voll funktionsfähigen fehlertoleranten Quantencomputer zurück. Das Decoding, also die Identifizierung von Fehlern anhand der Prüfungen jeder Korrekturrunde, erfolgte nach jedem Durchlauf und nicht während des laufenden Betriebs des Quantencomputers. Allerdings arbeitet Helios langsam genug, dass ich nicht davon ausgehe, dass das Decoding zu einem Engpass werden würde.

Magic States sind nicht Gegenstand der Publikation, doch Quantinuum erzeugte bereits 2025 Magic States mit hoher Fidelität. Bislang hat das Unternehmen jedoch nicht gezeigt, dass sich deren Qualität mit zunehmender Grösse der Fehlerkorrektur-Codes verbessert. Die Publikation bezeichnet dies ausdrücklich als einen noch ausstehenden Schritt.

Quantinuum erklärt, dass die vorliegenden Ergebnisse den Entwicklungspfad zu einem fehlertoleranten Quantencomputer bis 2029 bestätigen. Zudem geht das Unternehmen davon aus, dafür deutlich weniger physische Qubits zu benötigen als konkurrierende Ansätze. Dieser Vergleich bezieht sich jedoch auf kommerzielle Anwendungsfälle wie Chemie- und Finanzberechnungen.

Die beiden Quantencomputer unterscheiden sich zudem in ihrer Geschwindigkeit, und genau diese Geschwindigkeit bestimmt, welche Art von Angriff auf Bitcoin ein Quantencomputer voraussichtlich zuerst durchführen könnte. Quantencomputer auf Basis gefangener Ionen weisen zwar niedrigere Fehlerraten auf, doch eine Runde der Fehlerkorrektur auf Quantinuums Helios dauert rund 200 Millisekunden. Demgegenüber geht Google für Quantencomputer auf Basis supraleitender Qubits von lediglich einer Mikrosekunde pro Fehlerkorrekturrunde aus. Googles Whitepaper kommt zu dem Schluss, dass ein ausreichend schneller Quantencomputer sogenannte On-Spend-Angriffe ermöglichen würde, bei denen ein privater Schlüssel in den wenigen Minuten zwischen der Übertragung einer Transaktion und ihrer Bestätigung abgeleitet wird. Gegen einen solchen Quantencomputer bietet das Verbergen des öffentlichen Schlüssels hinter dessen Hash nur begrenzten Schutz, da der öffentliche Schlüssel sichtbar wird, sobald die betreffenden Bitcoin ausgegeben werden.

Eine langsame Maschine würde Millionen zusätzlicher Qubits benötigen, um einen Angriff in diesem Zeitrahmen durchzuführen. Daher wären ihre ersten Ziele öffentliche Schlüssel, die bereits offengelegt wurden. Die Schätzung von IonQ aus dem September für einen Quantencomputer auf Basis gefangener Ionen mit rund 20'000 Qubits veranschlagte die Dauer eines einzelnen Angriffs auf die Bitcoin-Kurve auf 26 Tage. Gegen einen solchen Quantencomputer bleibt das Verbergen öffentlicher Schlüssel bis zur Ausgabe der Coins ein wirksamer Schutz.

Beide Ergebnisse sind bedeutend, und ich denke nicht, dass sie den Zeitplan verändern. Es handelt sich um die Art von Fortschritten, die ich von zwei der führenden Unternehmen im Bereich Quantenhardware erwartet habe, und meine Schätzung hat solche Fortschritte bereits berücksichtigt. Wären sie ausgeblieben, hätte ich meine Einschätzung nach hinten verschoben.

Zusammengenommen zeigen die beiden Ergebnisse, wo die verbleibenden Herausforderungen liegen. Quantinuum demonstrierte Fehlerkorrektur für Operationen zwischen logischen Qubits in Rekordqualität, während Google zeigte, dass die Magic-State-Kultivierung, die effizientere Methode zur Erzeugung der von T-Gattern benötigten Magic States, auf seiner Hardware funktioniert.

Der Meilenstein, auf den ich achte, erfordert die Kombination beider Fortschritte: Magic States, die in eine fehlerkorrigierte Berechnung eingespeist werden, mit Echtzeit-Decoding verarbeitet werden und in zunehmend grösserem Massstab funktionieren. Beide Unternehmen nennen genau dies als ihren nächsten Entwicklungsschritt.

Da die Anforderungen auf dem Papier sinken und sich die Hardware schrittweise darauf zubewegt, bleibt die skeptische Sichtweise vor allem deshalb vertretbar, weil die Distanz zum Ziel nach wie vor gross ist. Es könnte noch unbekannte Hürden geben, die dieses Feld zu mehr machen als „nur ein Engineering-Problem“. Dennoch stärken die aktuellen Ergebnisse die optimistischen Roadmaps. Fortschritte bei mehreren unterschiedlichen Hardware-Ansätzen bedeuten, dass ein unerwartetes Hindernis zwar einen Ansatz ausbremsen könnte, ohne jedoch die anderen zwangsläufig auszuschliessen. Vor diesem Hintergrund schätze ich die Wahrscheinlichkeit, dass bis 2030 ein kryptographisch relevanter Quantencomputer verfügbar sein wird, auf etwa 10 %.

All dies basiert jedoch auf dem, was die Forschungslabore veröffentlichen. Würde der Strom neuer Ergebnisse abnehmen, liesse sich nicht feststellen, ob der Fortschritt ins Stocken geraten ist oder ob die Resultate lediglich nicht mehr offengelegt werden. Letztlich kann ich nur beurteilen, was öffentlich sichtbar ist.

Nichts davon verändert, was Bitcoin-Inhaber heute tun sollten. Die von uns empfohlenen Adressierungspraktiken bleiben die richtigen Massnahmen, unabhängig davon, welche Art von Quantencomputer zuerst einsatzfähig wird.

Die Hardware entwickelt sich mit dem Tempo weiter, das die glaubwürdigen Roadmaps bereits vorausgesetzt haben. Genau dieses Tempo muss die Migration von Bitcoin übertreffen. Fortschritte, die im erwarteten Zeitrahmen erzielt werden, sind genau das Szenario, für das ein Migrationsplan ausgelegt sein muss.

Wir verfolgen diese Entwicklungen auf unserem Quantum Hub und analysieren sie monatlich im Quantum Update.