Quantenrisiko in der Kryptowelt: Panik ist verfrüht

Als Googles Quantenforschungsteam im März eine Studie veröffentlichte, in der die benötigten Ressourcen zum Knacken der Elliptische-Kurven-Kryptografie neu berechnet wurden, reagierte die Kryptobranche ziemlich überzogen. Manche gingen sogar so weit, dies als das Ende von Bitcoin zu bezeichnen.

Frühere Schätzungen kamen zu dem Ergebnis, dass es Zehntausende logische Qubits erfordern würde, die 256-Bit-Elliptische-Kurven-Kryptografie mit Shors Algorithmus zu knacken. Googles Team senkte diese Zahl jedoch auf weniger als 1.200 logische Qubits – eine Verringerung der geschätzten Angriffskosten um den Faktor 20.

Da der Angriff in der Theorie nun weniger Aufwand erfordert: Was bedeutet das in zehn Jahren für die Bitcoin in deinem Wallet? Schließlich ist kein Quantencomputer auf der Erde auch nur annähernd in der Lage, 1.200 fehlertolerante logische Qubits stabil zu betreiben.

Ich will nicht klingen wie jener Herr, der erklärte, der Mensch werde erst in einer Million Jahren fliegen – nur neun Tage bevor die Gebrüder Wright abhoben. Doch um dieses Niveau zu erreichen, wären Durchbrüche nötig, wie man sie im dritten Akt von Science-Fiction-Filmen sieht.

Nehmen wir also an, der Durchbruch steht kurz bevor. Für alle, die Vermögenswerte auf einer durch Elliptische-Kurven-Kryptografie gesicherten Blockchain halten, stellt sich dann nur noch eine Frage: Wie viel Zeit bleibt uns?

Meiner Ansicht nach ist das die sinnvollere Art, über das Problem nachzudenken: nicht die Frage, ob Quantencomputer irgendwann die heutige Kryptografie knacken werden, sondern ob die Branche migrieren kann, bevor das möglich wird.

Nicht alle Kryptowährungen

Shors Algorithmus kann aus einem öffentlichen Schlüssel den zugehörigen privaten Schlüssel ermitteln. Ist der öffentliche Schlüssel nicht on-chain offengelegt, kann der Algorithmus nichts damit anfangen.

Bei den meisten modernen Bitcoin-Adresstypen bleibt der öffentliche Schlüssel verborgen, bis Guthaben ausgegeben werden. P2PKH und P2WPKH bilden daraus einen Hash, während P2PK und Taproot ihn sofort offenlegen. Das Risiko konzentriert sich auf Adressen, bei denen eine frühere Transaktion den Schlüssel bereits preisgegeben hat.

On-Chain-Analysen zeigen, dass bei über 34 % aller im Umlauf befindlichen Bitcoin die öffentlichen Schlüssel offengelegt wurden. Das entspricht etwa 1,7 Millionen BTC, verteilt auf rund 20.000 offengelegte Schlüssel in älteren Adressen.

Ethereum ist mit einer weiterreichenden Variante desselben Problems konfrontiert. Jedes extern kontrollierte Konto, das jemals eine Transaktion signiert hat, hat genügend Informationen preisgegeben, um seinen öffentlichen Schlüssel rekonstruieren zu können. Über einzelne Konten hinaus hängen auch BLS-Signaturen von Validatoren, KZG-Commitments und einige Zero-Knowledge-Beweissysteme von Kryptografie ab, die ein hinreichend leistungsstarker Quantencomputer knacken könnte.

Die Migration läuft bereits

Quantencomputer bedrohen RSA und Elliptische-Kurven-Kryptografie im Bankwesen, bei staatlichen PKI-Systemen und in der sicheren Kommunikation. Blockchains sind daher nur ein Teil eines viel umfassenderen Übergangs.

Das NIST hat im August 2024 seine ersten drei Post-Quanten-Kryptografiestandards fertiggestellt: ML-KEM für die Schlüsselvereinbarung sowie ML-DSA und SLH-DSA für digitale Signaturen. Auf der Blockchain-Seite gibt es bei Bitcoin BIP-360, das im Februar 2026 in das offizielle Repository aufgenommen wurde. Dieser Vorschlag machte es unnötig, einen klassischen öffentlichen Schlüssel on-chain offenzulegen.

Der Protocol-Cluster von Ethereum strebt bis Dezember 2029 eine quantenresistente Basisschicht für Ausführung, Konsens und Daten an.

Für die Umsetzung sind fünf Hard Forks im Abstand von jeweils ungefähr sieben Monaten erforderlich.

Diese Zeitpläne sind nicht nur für die Kryptowelt relevant. Google hat sich intern das Ziel gesetzt, die Migration auf Post-Quanten-Kryptografie bis 2029 abzuschließen, während das National Cyber Security Centre des Vereinigten Königreichs den Abschluss bis 2035 anstrebt. Blockchain-Netzwerke migrieren also im Rahmen eines viel umfassenderen kryptografischen Wandels und reagieren nicht auf eine Bedrohung, die nur die Kryptowelt betrifft.

Die zeitliche Einordnung

Ein Bericht von Citigroup bezifferte Anfang dieses Jahres die Wahrscheinlichkeit, dass bis 2034 ein kryptografisch relevanter Quantencomputer verfügbar wird, auf 19–34 %.

Die Migrationspläne der meisten Blockchains sehen den Abschluss vor 2034 vor. Derzeit haben die Verteidiger das Rennen also auf ihrer Seite.

Ich glaube, hier liegt die Branche mit ihrer derzeitigen Panik falsch, was den Zeitrahmen angeht. Die Quantenbedrohung ist real, aber die entscheidende Frist ist nicht der Tag, an dem ein Quantencomputer in Betrieb geht. Entscheidend ist, bis wann anfällige Vermögenswerte und Infrastruktur verlagert werden müssen, bevor das geschieht.

Die einzige Sorge, die jetzt bleibt, ist das Schlupfloch „jetzt abgreifen, später entschlüsseln“. Ein Angreifer kann heute offengelegte öffentliche Schlüssel erfassen und versuchen, sie wiederherzustellen, sobald eine leistungsfähige Maschine verfügbar ist.

Deshalb kann die Planung der Migration nicht warten, bis Quantencomputer verfügbar sind. Wenn es so weit ist, ist jeder offengelegte Schlüssel bereits gefährdet.

Was wir jetzt tun können

Für die meisten Nutzer sind Phishing, das Signieren von Transaktionen mit bösartigen dApps, kompromittierte Firmware und eine unzureichende Entropie bei der Generierung heute weitaus wahrscheinlichere Ursachen für finanzielle Verluste als ein Quantencomputer.

Vernünftig ist es, beide Tatsachen gleichzeitig im Blick zu behalten: die Abwehr gegen aktuelle Angriffe zu stärken, Adressen nicht wiederzuverwenden, Wallet-Software zu nutzen, die standardmäßig Ausgabetypen verwendet, bei denen öffentliche Schlüssel verborgen bleiben, und die Migrationszeitpläne zu verfolgen.