Wie nah sind wir dran? Die Quantum Timeline

Wenn Sie Bitcoin halten, besitzen Sie im Kern das Wissen um einen privaten Schlüssel. Elliptic Curve Cryptography (ECC) ermöglicht es Ihnen, nachzuweisen, dass Sie diesen Schlüssel kennen, ohne ihn jemals offenzulegen – mithilfe einer digitalen Signatur und eines entsprechenden öffentlichen Schlüssels.

Ein ausreichend leistungsfähiger Quantencomputer, der Shors Algorithmus ausführt, könnte jedoch aus einem offengelegten öffentlichen Schlüssel den privaten Schlüssel ableiten. Rund 7 Millionen BTC befinden sich in Adressen, bei denen der öffentliche Schlüssel bereits sichtbar ist.

Eine solche Maschine existiert heute noch nicht – nicht einmal annähernd. Doch der Abstand wird kleiner. Damit stellt sich die naheliegende Frage: Wann?

Ehrlich gesagt weiss das niemand. Und wer Ihnen ein präzises Datum mit grosser Sicherheit nennt, spekuliert. Was wir jedoch wissen: wie eine solche Maschine aussehen müsste, wie schnell sich die technischen Anforderungen verschieben und was jene Akteure bereits tun, die am meisten zu verlieren haben.

Die meiste Berichterstattung verwechselt physische Qubits mit logischen Qubits. Ein physisches Qubit ist die tatsächliche Hardware, die hergestellt wird – beispielsweise ein supraleitender Schaltkreis oder ein neutrales Atom. Für sich genommen weist es relativ hohe Fehlerraten auf, die viel zu hoch sind, um Shors Algorithmus in kryptografisch relevantem Massstab direkt auszuführen.

Ein logisches Qubit entsteht, indem Fehlerkorrekturverfahren auf eine Gruppe physischer Qubits angewendet werden. Je grösser diese Gruppe ist, desto stärker lässt sich die Fehlerrate senken – potenziell bis auf ein Niveau, das Public-Key-Kryptografie bedrohen könnte. Während die Fehlerraten physischer Qubits durch Rauschen verursacht werden, unterliegen logische Qubits dieser physischen Einschränkung nicht in gleicher Weise. Sie könnten effektiv als ideale Recheneinheiten fungieren. Genau deshalb sind sie die Einheit, die zählt.

Wenn also ein Quantum Chip mit «tausend Qubits» angekündigt wird, sollte man zuerst fragen, ob es sich um physische oder logische Qubits handelt – und zweitens, wie hoch die Fehlerrate ist. Eine hohe Zahl logischer Qubits bedeutet wenig, wenn die Fehlerquote hoch ist. Das kann etwa daran liegen, dass die zugrunde liegenden physischen Qubits nicht gut genug sind oder dass zu wenige physische Qubits für ein einzelnes logisches Qubit verwendet werden. Ebenso wenig reicht es aus, wenn das Ergebnis lediglich Fehlererkennung statt Echtzeitkorrektur ist oder wenn es sich auf Post-Selection stützt.

Es gibt zudem keinen festen Wechselkurs: Ein logisches Qubit kann zehn physische Qubits kosten oder tausend – je nach erforderlicher logischer Fehlerrate und je nach Fehlerkorrekturcode, der wiederum nur für bestimmte Qubit-Technologien praktikabel sein kann. Man kann also nicht einfach die besten Kennzahlen konkurrierender Technologien zu einer Kurve zusammensetzen und daraus ableiten, dass wir nur noch zwei Jahre entfernt sind.

Das Ziel liegt in der Grössenordnung von tausend logischen Qubits bei etwa einem Fehler pro Billion Operationen. Heute liegen wir bei weniger als hundert – und weit entfernt von diesen Fehlerraten. Die Lücke ist gross. Das ist der ehrliche Ausgangspunkt.

Roadmaps von Unternehmen sollte man mit einer guten Portion Vorsicht lesen. Einige waren in der Vergangenheit ausgesprochen ambitioniert, andere haben ihre Meilensteine Jahr für Jahr erreicht. Lässt man die Ausreisser ausser Acht, verdichten sich die glaubwürdigen Pläne auf zwei Zeitpunkte.

Um 2029 erwarten mehrere Gruppen Hunderte logische Qubits mit niedrigen Fehlerraten. Das wäre noch nicht genug, um ECC zu brechen, aber es wäre der Punkt, an dem die Bedrohung nicht mehr grundsätzlich infrage gestellt würde. Um 2032 projizieren dieselben Roadmaps Tausende logische Qubits bei Fehlerraten, die niedrig genug wären, um relevant zu werden. Das wäre ein kryptografisch relevanter Quantencomputer, ein sogenannter Cryptographically Relevant Quantum Computer (CRQC).

Der entscheidende Punkt ist die Fehlerrate – und diese ist schwieriger zu erreichen als die reine Anzahl Qubits. Tausend logische Qubits bis 2032 sind plausibel. Tausend logische Qubits bei nur einem Fehler pro Billion Operationen liegen jedoch am optimistischen Ende der Bandbreite.

Die Hürde sinkt an zwei Fronten. Auf der algorithmischen Seite haben intelligentere Implementierungen von Shors Methode aus dem Jahr 1994 die Anforderungen, um RSA – ein weiteres weit verbreitetes Public-Key-System – zu brechen, deutlich reduziert: von 20 Millionen physischen Qubits im Jahr 2021 auf rund eine Million vier Jahre später. Beide Schätzungen stammen aus derselben Gruppe bei Google.

Auf der logischen Ebene sank die Anforderung für die Ausführung von Shors Algorithmus Anfang dieses Jahres von einigen Tausend logischen Qubits auf rund tausend. Gleichzeitig wurde auch die Zahl der für die Ausführung des Algorithmus erforderlichen Operationen reduziert, wodurch sich die Anforderungen an die logische Fehlerrate lockerten. Zuletzt zeigten unabhängige Forschende, wie KI zentrale Schritte des Algorithmus optimieren kann – und damit die Lücke zwischen heutigen Fähigkeiten und kryptografischer Relevanz weiter verkleinert.

Die Schätzung, die ich am genauesten verfolge, betrifft Bitcoin selbst. Für eine Maschine auf Basis neutraler Atome wird geschätzt, dass das Brechen elliptischer Kurvenkryptografie auf dem Sicherheitsniveau von Bitcoin eine Anzahl physischer Qubits im Bereich von Zehntausenden erfordern würde. Erste Experimente wurden bislang jedoch nur auf wenige Tausend atomare Qubits skaliert.

Dennoch geht es bei diesen Experimenten bisher vor allem um Kontrolle – noch nicht um dauerhafte Berechnung. Bessere Software wird die Algorithmen weiter verfeinern, aber sie wird niemandem einfach ein funktionierendes System mit extrem niedriger Fehlerrate in grossem Massstab liefern. Der Computer muss weiterhin gebaut werden. Und das geschieht nicht über Nacht.

Blicken Sie über Medienmitteilungen hinaus – auf jene Institutionen, deren Aufgabe es ist, früh und sorgfältig zu handeln. Im Anschluss an ein Mandat der US-Regierung aus dem Jahr 2022 definierte das National Institute of Standards and Technology (NIST) einen Zeitplan für die heutige Public-Key-Kryptografie: ab etwa 2030 als «deprecated», also weiterhin erlaubt, aber nicht mehr empfohlen; nach 2035 dann nicht mehr zugelassen.

2024 verlangte die National Security Agency (NSA), dass Systeme der nationalen Sicherheit bis 2032 auf Post-Quantum-Kryptografie umgestellt werden. Im Juni 2026 legte die US-Regierung noch strengere Fristen fest: 2030 für den Schlüsselaustausch, der für Verschlüsselung erforderlich ist, und 2031 für digitale Signaturen.

Die Quantum Benchmarking Initiative der Defense Advanced Research Projects Agency (DARPA) prüft, ob bis 2033 eine industriell nutzbare Maschine erreichbar ist. Im März 2026 sagte ihr Managing Director erstmals, es erscheine nun «wahrscheinlich, dass jemand bis 2033 einen Quantum Computer im industriell nutzbaren Massstab bauen wird».

Die Ersatzlösungen sind unterdessen bereit: Post-Quantum-Signaturverfahren, gitterbasiert und hashbasiert, standardisiert, getestet und nicht anfällig für Shors Algorithmus. Legt man die Daten von White House, NSA und DARPA nebeneinander, verdichten sie sich im selben Zeitraum: Es besteht ein konkretes Risiko, dass ein CRQC Anfang der 2030er-Jahre Realität wird. Der Rest der digitalen Welt hat bereits begonnen, auf dieser Grundlage umzusteigen.

Wie nah sind wir also dran? Das glaubwürdige Zeitfenster reicht bis in die frühen bis mittleren 2030er-Jahre, und die sinkenden Anforderungen verschieben diesen Zeitpunkt weiter nach vorne. Ich würde nicht völlig ausschliessen, dass ein CRQC bereits 2029 realisiert wird. Vielleicht extrem langsam und teuer, aber theoretisch dennoch in der Lage, aus einem öffentlichen Schlüssel einen privaten Schlüssel abzuleiten.

Warten Sie nicht auf ein eindeutiges Signal. Und denken Sie daran: Wir können nicht davon ausgehen, dass alle Fortschritte umgehend öffentlich offengelegt werden. Wenn ein Quantum Computer sichtbar nachweist, dass er die heutige Kryptografie brechen kann, ist die Chance auf eine geordnete Migration bereits vorbei.

Worauf ich achte, ist dauerhafte Fehlerkorrektur bei Operationen mit mehreren logischen Qubits – und niedrige Fehlerraten, gemessen über eine vollständige Berechnung hinweg. Dazu gehört auch das System rund um die Quantum Processing Unit, vom Input bis zum finalen Output. Das ist bisher nicht gelungen. Wenn es gelingt, verändert sich die Diskussion sehr schnell.

Nichts davon ist ein Grund zur Panik oder dazu, alle Coins heute überstürzt zu bewegen. Es ist ein Grund, aufmerksam zu bleiben – und bereit zu sein, früh statt spät zu migrieren. Wenn sich der Weg öffnet, ist das einfacher mit einem Verwahrer, der von Anfang an in diesem Bereich zuhause war.