Was ist eine digitale Signatur? ECDSA, Schnorr, Blind Signing und der Post-Quanten-Umstieg 2026 erklärt

Was ist eine digitale Signatur?

Eine digitale Signatur ist ein mathematischer Nachweis, dass eine Nachricht vom Inhaber eines bestimmten privaten Schlüssels freigegeben und danach nicht verändert wurde; bei Bitcoin ist sie seit Taproot (November 2021) im Schnorr-Format genau 64 Byte groß und lässt sich mit dem öffentlichen Schlüssel von jedem prüfen.

Stell dir vor, du unterschreibst einen Mietvertrag. Deine Unterschrift soll drei Dinge belegen: dass du es warst, dass du genau diesen Vertrag gemeint hast und dass du später nicht behaupten kannst, nie unterschrieben zu haben. Eine handschriftliche Unterschrift erfüllt das eher schlecht. Sie lässt sich fälschen, und sie hängt nicht am Inhalt – wer Seite 3 austauscht, lässt deine Unterschrift auf Seite 4 unberührt.

Eine digitale Signatur löst beide Probleme. Sie ist für jede Nachricht anders, weil sie aus dem Inhalt berechnet wird. Ändert jemand auch nur ein Komma, passt die Signatur nicht mehr. Und sie lässt sich nur mit einem Geheimnis erzeugen, das allein du kennst: deinem privaten Schlüssel. Prüfen kann sie dagegen jeder, der deinen öffentlichen Schlüssel kennt. Genau diese Asymmetrie macht Kryptowährungen erst möglich. Ohne sie bräuchte jede Blockchain eine Bank, die bestätigt, wem was gehört.

Fachlich spricht man von drei Garantien. Authentizität heißt, die Signatur stammt vom Schlüsselinhaber. Integrität bedeutet, die Nachricht ist unverändert. Nichtabstreitbarkeit heißt, der Unterzeichner kann die Freigabe später nicht glaubhaft leugnen. Die US-Normungsbehörde NIST formuliert das in ihrem Standard für Post-Quanten-Signaturen fast wortgleich NIST FIPS 204, 13.08.2024.

Aus der Praxis: Wenn du in deiner Wallet auf „Senden“ tippst, passiert für dich sichtbar wenig. Im Hintergrund erzeugt die Software aber genau eine solche Signatur. Sie ist das Einzige, was zwischen deinen Coins und dem Rest der Welt steht. Jede Diskussion über Krypto-Sicherheit, ob Hardware-Wallet, Phishing oder Quantencomputer, ist im Kern eine Diskussion darüber, wer wann was signieren kann.

Wie funktioniert eine digitale Signatur bei Bitcoin Schritt für Schritt?

Bei Bitcoin wird die Transaktion zuerst mit SHA-256 zu einem Fingerabdruck verdichtet, dieser Fingerabdruck mit dem privaten Schlüssel signiert und die Signatur zusammen mit der Transaktion ins Netz gesendet, wo jeder Full Node sie mit dem öffentlichen Schlüssel prüft, ohne den privaten Schlüssel je zu sehen.

Gehen wir es an einem Beispiel durch. Du willst deiner Schwester 0,01 BTC schicken, Stand 13. Oktober 2026 rund 746 Euro mempool.space, Kurs 74.630 €/BTC, 13.10.2026. Deine Wallet baut zunächst eine Transaktion: Welche deiner bisherigen Coins (UTXOs) werden ausgegeben, an welche Adresse gehen 0,01 BTC, wie viel Wechselgeld kommt zurück, welche Gebühr zahlst du?

Diese Daten werden nicht direkt signiert, sondern erst durch eine Hashfunktion geschickt. Ein Hashwert ist ein Fingerabdruck fester Länge. Er hat zwei wichtige Eigenschaften: Schon die kleinste Änderung am Input verändert ihn komplett, und aus dem Hash lässt sich der Input nicht zurückrechnen. Wie das genau funktioniert, erklären wir im Ratgeber zum One-Way-Hash.

Dann folgt der eigentliche Signaturschritt. Die Wallet nimmt den Hash, deinen privaten Schlüssel und eine frische Zufallszahl und berechnet daraus die Signatur. Diese hängt an der Transaktion, die nun an das Netzwerk geht. Jeder Node rechnet nach: Passt diese Signatur zu diesem Hash und zu diesem öffentlichen Schlüssel? Wenn ja, landet die Transaktion im Mempool und später in einem Block. Wenn nein, wird sie verworfen. Kein Miner, keine Mehrheit und keine Behörde kann daran etwas ändern.

Ein Punkt in der rechten Spalte wird später noch wichtig: Spätestens mit dem Ausgeben wird dein öffentlicher Schlüssel sichtbar. Für heutige Computer ist das egal. Für einen künftigen Quantencomputer wäre es der Ansatzpunkt.

Ist eine digitale Signatur dasselbe wie Verschlüsselung?

Nein: Verschlüsselung macht Inhalte geheim, eine digitale Signatur macht Herkunft und Unverändertheit nachprüfbar – Bitcoin-Transaktionen sind deshalb seit dem Start im Januar 2009 vollständig öffentlich und trotzdem fälschungssicher, weil sie signiert, aber nicht verschlüsselt werden.

Diese Verwechslung ist so verbreitet, dass sie auch in unserer alten Version stand. Bei RSA, dem Klassiker aus dem Internet der Neunziger, gibt es tatsächlich eine gewisse Spiegelbildlichkeit: Man kann mit dem öffentlichen Schlüssel verschlüsseln und mit dem privaten entschlüsseln. Daraus entstand die Eselsbrücke „signieren ist verschlüsseln mit dem privaten Schlüssel“. Schon für RSA ist das nur eine grobe Vereinfachung. Für die Verfahren von Bitcoin und Ethereum ist sie schlicht falsch. ECDSA und Schnorr sind reine Signaturverfahren. Mit ihnen lässt sich nichts ver- oder entschlüsseln.

Warum ist das mehr als Haarspalterei? Weil es erklärt, warum deine Transaktionen öffentlich sind. Jeder kann auf einem Block-Explorer sehen, welche Adresse wann wie viel bewegt hat. Was niemand kann: in deinem Namen eine neue Transaktion erzeugen. Die Blockchain ist ein öffentliches Kassenbuch mit fälschungssicheren Unterschriften – kein Tresor mit verschlossenen Fächern.

Was ist der Unterschied zwischen Private Key, Public Key, Seed Phrase und Adresse?

Der Private Key ist eine geheime 256-Bit-Zahl zum Signieren, der Public Key wird daraus per Kurvenmultiplikation berechnet und dient zum Prüfen, die Adresse ist eine kodierte Form davon zum Empfangen, und die Seed Phrase aus 12 oder 24 Wörtern ist das Master-Backup, aus dem eine Wallet beliebig viele dieser Schlüsselpaare ableitet.

Diese vier Begriffe werden ständig durcheinandergeworfen, deshalb einmal sauber sortiert. Ganz oben steht die Seed Phrase. Aus ihr erzeugt deine Wallet nach dem Standard BIP-32 einen ganzen Baum von privaten Schlüsseln, für jede Adresse einen eigenen. Wer die Seed Phrase hat, hat also nicht einen Schlüssel, sondern alle. Deshalb war der Satz „Private Key entspricht der Seed Phrase“ in unserer alten Version irreführend.

Jeder private Schlüssel ist eine Zahl zwischen 1 und knapp 2²⁵⁶. Aus ihm berechnet die Wallet den Public Key, indem sie einen festen Startpunkt auf der elliptischen Kurve entsprechend oft „addiert“. Diese Rechnung geht in eine Richtung in Millisekunden. Rückwärts, also vom Public Key auf den privaten Schlüssel, bräuchte ein klassischer Computer länger, als das Universum alt ist. Darauf beruht die ganze Sicherheit.

Die Adresse schließlich ist das, was du anderen gibst. Bei alten Legacy-Adressen (beginnen mit 1) und Native-SegWit-Adressen (bc1q…) ist sie ein Hash des Public Keys. Der Public Key selbst bleibt verborgen, bis du zum ersten Mal von dieser Adresse sendest. Bei Taproot-Adressen (bc1p…) ist es anders: Sie enthalten den (rechnerisch verschobenen) Public Key direkt. Für den Alltag spielt das keine Rolle. Für die Quantenfrage schon, dazu weiter unten mehr.

Was ist ECDSA und warum nutzt Bitcoin die Kurve secp256k1?

ECDSA (Elliptic Curve Digital Signature Algorithm) ist das Signaturverfahren, das Bitcoin seit dem Genesis-Block vom 3. Januar 2009 auf der elliptischen Kurve secp256k1 nutzt; seine Sicherheit beruht darauf, dass sich aus einem Public Key der private Schlüssel mit klassischen Computern praktisch nicht berechnen lässt.

Elliptische Kurven klingen nach Abiturmathe, sind aber erstaunlich elegant. Vereinfacht: Auf einer solchen Kurve kann man Punkte „addieren“ und erhält wieder einen Punkt auf der Kurve. Nimmt man einen festen Startpunkt und addiert ihn 5 Milliarden Mal mit sich selbst, kommt ein bestimmter Punkt heraus. Kennt man nur das Ergebnis, ist es extrem schwer herauszufinden, wie oft addiert wurde. Diese Zahl ist dein privater Schlüssel, der Ergebnispunkt dein öffentlicher.

Satoshi Nakamoto wählte damals eine eher ungewöhnliche Kurve namens secp256k1, statt der von NIST empfohlenen P-256. Über die Gründe wird bis heute spekuliert. Ein häufig genanntes Argument: Die Parameter von secp256k1 sind sehr einfach gewählt und lassen wenig Raum für versteckte Hintertüren. Ein Vorteil, den Bitcoin-Entwickler später ausnutzten, ist die schnelle Verifikation dank spezieller Kurveneigenschaften. Ethereum übernahm dieselbe Kurve, kombiniert sie aber mit dem Hash Keccak-256 statt SHA-256.

ECDSA hat zwei Schwächen, die nichts mit Quantencomputern zu tun haben. Erstens ist die Signatur „formbar“: Aus einer gültigen Signatur lässt sich eine zweite, ebenfalls gültige berechnen. Das führte bis zum SegWit-Upgrade 2017 zu Problemen mit Transaktions-IDs. Zweitens ist ECDSA gnadenlos, wenn die Zufallszahl beim Signieren nicht wirklich zufällig ist. Dazu gleich ein eigener Abschnitt.

Was ist eine Schnorr-Signatur und was hat Taproot geändert?

Eine Schnorr-Signatur ist ein mit dem Taproot-Upgrade im November 2021 eingeführtes Signaturverfahren nach BIP-340, das auf derselben Kurve wie ECDSA arbeitet, aber feste 64-Byte-Signaturen und 32-Byte-Public-Keys nutzt, mehrere Signaturen effizient bündeln kann und Stapelprüfungen erlaubt.

Claus-Peter Schnorr, ein deutscher Mathematiker, hatte das Verfahren schon 1989 entwickelt und patentiert. Erst als das Patent 2008 auslief, war es frei nutzbar – kurz bevor Bitcoin entstand, aber zu spät für die erste Version. Die Bitcoin-Spezifikation BIP-340 stammt von Pieter Wuille, Jonas Nick und Tim Ruffing BIP-340, GitHub.

Der wichtigste Vorteil heißt Linearität. Bei Schnorr kann man Signaturen und Schlüssel mehrerer Personen so zusammenrechnen, dass am Ende ein einziger Public Key und eine einzige Signatur herauskommen. Für die Blockchain sieht ein Konto, das drei Unterschriften braucht, aus wie ein ganz normales Einzelkonto. Das spart Platz und verbessert die Privatsphäre. Die Verfahren dafür heißen MuSig2 (BIP-327) für „alle müssen unterschreiben“ und FROST für „k von n müssen unterschreiben“.

Hinzu kommt die Stapelprüfung: Ein Node kann viele Schnorr-Signaturen gemeinsam schneller prüfen als jede einzeln. Und die Signaturen sind nicht mehr formbar. Unsere Einschätzung: Taproot war das technisch sauberste Upgrade, das Bitcoin bisher bekommen hat. Dass es bei der Nutzung trotzdem hinterherhinkt, zeigt der nächste Abschnitt.

Wie viele Bitcoin-Transaktionen nutzen 2026 Taproot?

Taproot-Transaktionen machen 2026 laut einer Auswertung von Spark vom 27. September 2026 nur noch etwa 15 bis 20 Prozent aller Bitcoin-Transaktionen aus, nach durchschnittlich 42 Prozent im Inscriptions-Boom 2024 und 21,68 Prozent im Jahr 2025.

Diese Zahl überrascht viele. Die Spitzenwerte von 2023 und 2024 kamen überwiegend von Ordinals, BRC-20 und Runes, also Inschriften, die technisch den Taproot-Skriptpfad nutzen. Als dieser Hype abebbte, fiel auch der Taproot-Anteil Spark Research, 27.09.2026. Nach Anzahl sind Taproot-Ausgaben zwar die häufigste Coin-Art im System, im April 2025 waren es 34,2 Prozent aller UTXOs. Nach Wert halten sie aber weniger als 1 Prozent aller Bitcoin, weil sehr viele davon winzige Inschrift-Reste sind.

Was heißt das für dich? Die meisten großen Bitcoin-Bestände liegen weiterhin auf SegWit- oder Legacy-Adressen mit ECDSA. Wenn du eine moderne Wallet nutzt, ist meist Native SegWit (bc1q…) voreingestellt. Das ist eine gute Wahl. Taproot bringt Vorteile vor allem bei Multisig und komplexeren Verträgen, aber, wie wir sehen werden, einen kleinen Nachteil in der Quantendiskussion.

Warum ist die Zufallszahl (Nonce) bei Signaturen so gefährlich?

Bei ECDSA und Schnorr braucht jede Signatur eine neue, geheime Zufallszahl (Nonce); wird dieselbe Nonce für zwei verschiedene Nachrichten verwendet, lässt sich der private Schlüssel mit Schulmathematik ausrechnen – genau dieser Fehler machte im August 2013 alle bis dahin auf Android erzeugten Bitcoin-Wallets angreifbar.

Hier liegt die eigentliche Achillesferse klassischer Signaturen, und sie hat schon Millionen gekostet. Beim Signieren fließt neben dem Hash und deinem privaten Schlüssel eine einmalige Zufallszahl ein. Sie sorgt dafür, dass zwei Signaturen nichts über den Schlüssel verraten. Nutzt eine fehlerhafte Software aber zweimal dieselbe Zahl, entstehen zwei Gleichungen mit zwei Unbekannten. Die kann jeder lösen, der in der Schule lineare Gleichungssysteme hatte. Ergebnis: dein privater Schlüssel.

Das bekannteste Beispiel betraf Android. Am 11. August 2013 warnte bitcoin.org, dass ein Fehler im Zufallszahlengenerator von Android alle damals auf dem Handy erzeugten Wallets gefährde. Betroffen waren Apps wie Bitcoin Wallet, Mycelium und blockchain.info. Die Empfehlung: App aktualisieren, neue Schlüssel erzeugen, Guthaben an sich selbst umbuchen bitcoin.org, 11.08.2013. Schon 2010 war Sonys PlayStation 3 aus demselben Grund geknackt worden: Sony nutzte für alle Signaturen dieselbe „Zufallszahl“.

Moderne Wallets erzeugen die Nonce deshalb nicht mehr rein zufällig, sondern deterministisch aus Schlüssel und Nachricht (RFC 6979 bei ECDSA, ein ähnliches Verfahren bei BIP-340). Damit kann derselbe Fehler kaum noch passieren. Das Restrisiko liegt heute bei selbstgebauten Skripten, exotischer Hardware und manipulierten Geräten. Unsere Einschätzung: Wenn du keine Software selbst entwickelst, musst du dir um Nonces keine Sorgen machen, solange du etablierte, aktualisierte Wallets nutzt. Wichtig ist die Lehre dahinter: Die Mathematik hinter Signaturen ist stark, die Umsetzung ist die Schwachstelle.

Wie signiert Ethereum – und was ist EIP-712?

Ethereum-Konten signieren wie Bitcoin mit ECDSA auf secp256k1, nutzen aber Keccak-256 als Hash und den Standard EIP-712 für strukturierte Nachrichten; darauf baut etwa EIP-2612 „Permit“ auf, mit dem eine reine Signatur ohne Transaktion einem Dritten Zugriff auf deine Token geben kann.

Bei Bitcoin signierst du fast immer eine Überweisung. Bei Ethereum ist die Welt bunter. Du signierst Transaktionen, aber auch Nachrichten: Logins bei DeFi-Apps („Sign in with Ethereum“), Orders auf Marktplätzen oder Freigaben für Smart Contracts. Damit Menschen sehen können, was sie unterschreiben, wurde EIP-712 entwickelt. Statt eines unlesbaren Hex-Strings zeigt die Wallet strukturierte Felder an: Token, Empfänger, Betrag, Ablaufdatum.

Ein besonders mächtiges Beispiel ist Permit nach EIP-2612. Mit einer einzigen signierten Nachricht erlaubst du einem anderen Konto, eine bestimmte Menge deiner Token zu bewegen. Du zahlst dafür keine Gas-Gebühr, weil jemand anderes die Signatur später einreicht EIP-2612, Status Final. Für DEXe wie Uniswap ist das sehr komfortabel. Für Betrüger ist es ein Geschenk, denn eine Signatur fühlt sich harmlos an. Sie kostet nichts, löst keine Transaktion aus, und trotzdem kann sie die Tür zu deinem Guthaben öffnen.

Auch auf Ethereums Layer-2-Netzwerken wie Arbitrum oder Base gilt dasselbe Prinzip. Gleiches Konto, gleicher Schlüssel, gleiche Signatur-Logik. Wer auf einer Layer 2 eine bösartige Permit-Signatur abgibt, verliert dort genauso.

Was ist Blind Signing und warum war es beim Bybit-Hack entscheidend?

Blind Signing bedeutet, eine Transaktion zu signieren, deren tatsächlichen Inhalt man nicht prüfen kann; beim bisher größten Krypto-Diebstahl am 21. Februar 2025 genehmigten Bybit-Mitarbeiter so eine manipulierte Multisig-Transaktion, wodurch nach FBI-Angaben rund 1,5 Milliarden US-Dollar an nordkoreanische Hacker gingen.

Der Bybit-Fall ist das Lehrstück schlechthin. Bybit bewahrte große Teile seiner Ether in einer Multisig-Cold-Wallet auf, mehrere Personen mussten jede Auszahlung freigeben. Klingt sicher. Die Angreifer knackten aber nicht die Kryptografie, sondern die Oberfläche. Laut den Forensikern von Sygnia und Verichains hatten sie den Rechner eines Entwicklers bei Safe{Wallet} kompromittiert und schädliches JavaScript auf app.safe.global eingeschleust. Der Code wurde nur für Bybit aktiv. Die Unterzeichner sahen eine scheinbar normale Umbuchung von der Cold- in die Hot-Wallet, signierten in Wahrheit aber eine Änderung der Vertragslogik BleepingComputer, 26.02.2025.

Das FBI ordnete den Diebstahl am 26. Februar 2025 der nordkoreanischen Gruppe „TraderTraitor“ zu und bezifferte ihn auf rund 1,5 Milliarden US-Dollar FBI IC3, 26.02.2025. Nach Daten von Chainalysis wurden 2025 insgesamt über 3,4 Milliarden US-Dollar gestohlen Chainalysis, 18.12.2025. Nach Berechnung von KryptoZukunft.com entfiel damit rund 44 Prozent der gesamten Jahresbeute auf eine einzige falsch verstandene Signatur.

Die Lehre ist unbequem: Mehrere Unterschriften helfen nichts, wenn alle Unterzeichner auf denselben manipulierten Bildschirm schauen. Eine digitale Signatur beweist nur, dass du etwas unterschrieben hast, nicht, dass du verstanden hast, was. Das ist bei großen Hacks wie dem Bitget-Hack vom September 2026 ähnlich: Angegriffen wird fast nie die Mathematik, sondern Menschen, Prozesse und Schlüsselverwaltung. Auch ein bestandenes Smart-Contract-Audit schützt nicht davor, wenn die Freigabe über eine kompromittierte Oberfläche läuft.

Was ist Permit-Phishing und wie viel Geld ging 2025 dadurch verloren?

Permit-Phishing ist eine Betrugsmasche, bei der Opfer auf einer gefälschten Seite eine harmlos wirkende Signatur abgeben, die Angreifern Zugriff auf ihre Token gewährt; laut Scam Sniffer sanken die Wallet-Phishing-Verluste 2025 zwar um 83 Prozent auf 83,85 Millionen US-Dollar, der größte Einzelfall von 6,5 Millionen Dollar lief aber genau über eine Permit-Signatur.

Der Ablauf ist fast immer gleich. Du landest über einen gefälschten Airdrop, eine Google-Anzeige oder eine Nachricht auf X auf einer Seite, die aussieht wie eine bekannte App. Sie bittet dich, deine Wallet zu verbinden und „nur kurz zu signieren“, angeblich für den Login oder den Claim. Tatsächlich unterschreibst du eine Permit- oder Permit2-Freigabe. Minuten später sind deine Token weg. Weil keine Transaktion von dir ausging, hast du nicht einmal Gas bezahlt und merkst oft erst danach, was passiert ist.

Die Zahlen von Scam Sniffer für 2025: 83,85 Millionen US-Dollar Verlust bei 106.106 Opfern, nach 494 Millionen Dollar und 332.000 Opfern im Jahr 2024. Permit und Permit2 machten 38 Prozent der Verluste in Großfällen ab einer Million Dollar aus. Neu sind Angriffe über EIP-7702, das seit dem Pectra-Upgrade normale Konten zeitweise wie Smart Contracts agieren lässt; zwei Fälle im August 2025 kosteten zusammen 2,54 Millionen Dollar Scam Sniffer, 03.01.2026.

Unsere Rechnung: Der durchschnittliche Schaden pro Opfer fiel von rund 1.488 Dollar (2024) auf rund 790 Dollar (2025). Das klingt nach Entwarnung, ist es aber nur halb. Die Angreifer erwischen weniger Menschen, aber die Großfälle bleiben. Und im Januar 2026 meldete Scam Sniffer bereits wieder einen kräftigen Anstieg der Signatur-Angriffe Decrypt, Februar 2026. Woran du unseriöse Seiten und Apps erkennst, haben wir im Ratgeber zu unseriösen Krypto-Apps gesammelt.

Schützt eine Hardware-Wallet vor falschen Signaturen?

Eine Hardware-Wallet schützt den privaten Schlüssel vor Schadsoftware auf dem Computer, aber nicht davor, dass du eine bösartige Transaktion bestätigst, und auch nicht vor manipulierter Hardware: Im Oktober 2026 bestätigte Ledger ein verstecktes Implantat in einem über den Händler CryptoBilis verkauften Gerät, Schätzungen beziffern die Schäden auf rund 93 Millionen US-Dollar.

Das Prinzip einer Hardware-Wallet ist gut: Der private Schlüssel verlässt das Gerät nie. Der Computer schickt die zu signierende Transaktion hinüber, das Gerät zeigt sie auf seinem eigenen Display an, du bestätigst per Knopfdruck, und nur die Signatur kommt zurück. Selbst ein komplett verseuchter PC kann so nicht unbemerkt signieren. Welche Geräte das gut umsetzen, zeigt unser Krypto-Wallet-Vergleich 2026, die Grundsatzfrage klärt der Vergleich Cold Wallet vs. Hot Wallet.

Zwei Lücken bleiben. Die erste ist das Display. Zeigt das Gerät nur „Contract data: 0xa9059c…“ an, signierst du blind, genau wie die Bybit-Mitarbeiter. Seit einigen Jahren lesen gute Geräte Ethereum-Transaktionen zunehmend im Klartext aus (Clear Signing), aber eben nicht alle und nicht bei jedem Vertrag. Die zweite Lücke ist das Gerät selbst. Am 10. Oktober 2026 bestätigte Ledger erstmals ein nicht autorisiertes Hardware-Implantat in einem Kundengerät. Nach Analysen des Bitcoin-Veteranen Mark Karpelès las eine versteckte Platine die Wiederherstellungswörter beim Einrichten vom Display mit und funkte sie hinaus, ohne das Secure Element anzugreifen. Datenanbieter schätzen den Schaden auf 92,9 bis 93,4 Millionen Dollar Bitcoin.com News, 10.10.2026. Unsere Zusammenfassung des Falls findest du im Artikel über die manipulierten Ledger-Geräte von CryptoBilis, die deutschen Folgen im Beitrag zum Ledger-Verkaufsstopp bei MediaMarktSaturn.

Auch reine Firmware kann Signaturen schwächen. Im August 2026 berichteten wir über einen Coldcard-Firmware-Fehler mit hohen Verlusten. Aus der Praxis: Kauf Hardware-Wallets nur direkt beim Hersteller, richte sie selbst ein, nutze keine vorab ausgefüllten Seed-Karten und lies bei jeder Bestätigung die Empfängeradresse auf dem Gerät, nicht auf dem Bildschirm des Computers. Wer ganz ohne Elektronik arbeiten möchte, findet im Update zu Paper Wallets eine ehrliche Einschätzung, warum das 2026 selten die bessere Lösung ist.

Was ist Multisig und wie funktionieren MuSig2 und FROST?

Multisig bedeutet, dass mehrere unabhängige Signaturen nötig sind, um Coins zu bewegen, etwa 2 von 3 Schlüsseln; mit Schnorr-Verfahren wie MuSig2 (BIP-327) und FROST lassen sich diese Unterschriften seit Taproot zu einer einzigen 64-Byte-Signatur bündeln, sodass ein Gemeinschaftskonto on-chain wie ein Einzelkonto aussieht.

Multisig ist die vielleicht wirksamste Maßnahme gegen den Verlust eines einzelnen Schlüssels. Ein klassisches Setup für Privatanleger mit größerem Vermögen: drei Hardware-Wallets verschiedener Hersteller, an drei Orten, zwei davon müssen unterschreiben. Fällt ein Gerät aus oder wird gestohlen, sind die Coins weder verloren noch in Gefahr. Gerade für die Frage, was mit deinen Bitcoin im Erbfall passiert, ist das ein starkes Werkzeug; mehr dazu im Leitfaden zum Krypto-Nachlass.

Technisch gibt es zwei Wege. Die alte Variante schreibt alle Public Keys und alle Signaturen in die Transaktion. Das ist transparent, teuer und verrät jedem, dass hier ein Gemeinschaftskonto am Werk ist. Die neue Variante mit MuSig2 oder FROST rechnet die Beiträge vorab zusammen. Heraus kommt ein Schlüssel und eine Signatur. Laut BIP-340 ist genau diese Linearität einer der Hauptgründe für die Einführung von Schnorr gewesen.

Unsere Einschätzung: Für Beträge unter etwa 10.000 Euro ist ein sauber eingerichtetes Einzelgerät mit gut verwahrter Seed Phrase meist ausreichend. Darüber lohnt sich Multisig, aber nur, wenn du die Wiederherstellung einmal real geübt hast. Ein Multisig, das du im Ernstfall nicht bedienen kannst, ist gefährlicher als ein einfaches Setup. Und wie Bybit zeigt: Multisig schützt nicht, wenn alle Beteiligten auf dieselbe gefälschte Anzeige vertrauen.

Können Quantencomputer digitale Signaturen brechen?

Ja, theoretisch: Laut einem Paper von Google Quantum AI vom 31. März 2026 würde ein Quantencomputer mit 1.200 bis 1.450 logischen Qubits und weniger als 500.000 physischen Qubits genügen, um die 256-Bit-Kurvenkryptografie von Bitcoin und Ethereum zu brechen – ein solches Gerät existiert im Oktober 2026 aber nicht.

Der Angriff beruht auf dem Shor-Algorithmus von 1994. Ein ausreichend großer, fehlerkorrigierter Quantencomputer könnte damit genau die Rechnung umkehren, auf der ECDSA und Schnorr beruhen: aus dem Public Key den privaten Schlüssel bestimmen. Hashfunktionen wie SHA-256 sind dagegen deutlich robuster; ein Quantencomputer halbiert dort grob die effektive Sicherheit, was bei 256 Bit verkraftbar ist.

Neu ist im Jahr 2026 die Größenordnung. Das Paper „Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities“ stammt von Forschern um Ryan Babbush und Craig Gidney bei Google, mit Justin Drake von der Ethereum Foundation und dem Stanford-Kryptografen Dan Boneh als Mitautoren. Es beschreibt zwei Schaltkreise: einen mit 1.200 logischen Qubits und 90 Millionen Toffoli-Gattern, einen mit 1.450 Qubits und 70 Millionen Gattern. Die schnellere Variante bräuchte etwa 18 Minuten, nach Vorberechnung rund 9 Minuten ab dem Moment, in dem ein Public Key sichtbar wird PostQuantum.com, 31.03.2026. Frühere Schätzungen lagen bei rund 9 Millionen physischen Qubits; nach unserer Rechnung ist das ein Rückgang um den Faktor 18 innerhalb von drei Jahren. Ein paralleles Paper von Forschern aus Harvard, Caltech und Google kommt für Neutralatom-Rechner auf noch kleinere Zahlen QRL-Blog, 02.04.2026.

Die 9 Minuten sind der eigentliche Schreckmoment. Ein Bitcoin-Block dauert im Schnitt 10 Minuten. Ein Angreifer, der eine Transaktion im Mempool sieht, könnte aus dem dort offengelegten Public Key den privaten Schlüssel berechnen und eine konkurrierende Transaktion mit höherer Gebühr senden, bevor die echte bestätigt ist. Unsere Einschätzung: Das ist heute Theorie. Kein existierender Rechner kommt auch nur in die Nähe von 1.200 stabilen logischen Qubits. Aber die Richtung ist klar, und Krypto-Migrationen dauern Jahre. Ausführlich mit Szenarien behandeln wir das im Ratgeber Quantencomputer & Bitcoin: Sind deine Coins sicher? – dieser Artikel konzentriert sich auf die Signaturen selbst.

Wie viele Bitcoin sind durch Quantencomputer gefährdet?

Rund 1,7 Millionen Bitcoin liegen laut Google Quantum AI (März 2026) auf alten P2PK-Adressen mit offen sichtbarem Public Key, weitere etwa 600.000 BTC sind durch Adress-Wiederverwendung exponiert; nach Berechnung von KryptoZukunft.com entsprechen die zusammen 2,3 Millionen BTC knapp 11 Prozent des Maximalangebots und rund 172 Milliarden Euro (Kurs 13.10.2026).

Gefährdet ist nicht jeder Bitcoin gleich. Entscheidend ist, ob der Public Key schon on-chain sichtbar ist. Bei den ältesten Adressen aus den Jahren 2009 und 2010 (Typ P2PK, darunter viele Satoshi zugeschriebene Coins) steht er direkt in der Blockchain. Bei Legacy- und SegWit-Adressen wird er erst beim Ausgeben sichtbar; wer dieselbe Adresse danach weiter nutzt, hat ihn also offengelegt. Taproot-Adressen legen ihn per Design sofort offen.

Die Schätzungen gehen weit auseinander, weil sie Unterschiedliches messen. Google kommt auf 1,7 Millionen BTC in P2PK plus etwa 600.000 BTC über andere Wege, insgesamt rund 2,3 Millionen ruhende, angreifbare Coins. CoinShares argumentiert im Februar 2026, dass realistisch nur etwa 10.000 BTC so konzentriert lägen, dass ihr plötzlicher Verkauf den Markt spürbar bewegen würde Decrypt, 09.02.2026. Höhere Zahlen um 25 bis 35 Prozent, wie sie auch in unserer alten Version standen, zählen jede jemals offengelegte Adresse mit, auch wenn die Coins längst weitergezogen sind.

Was das praktisch heißt: Wenn du eine moderne Wallet nutzt und für jede Zahlung eine neue Empfangsadresse verwendest, was die meisten Wallets automatisch tun, gehören deine Coins im Ruhezustand nicht zu den exponierten. Ein Restrisiko bleibt im Moment des Ausgebens. Dagegen hilft kein Verhalten, nur ein Protokoll-Upgrade. Welche das sein könnten, zeigen die nächsten Abschnitte. Hintergründe zur Funktionsweise und zur Geschichte findest du in unserem großen Leitfaden Was ist Bitcoin?

Welche Post-Quanten-Signaturen hat NIST standardisiert?

NIST hat am 13. August 2024 die Post-Quanten-Signaturstandards ML-DSA (FIPS 204, gitterbasiert) und SLH-DSA (FIPS 205, hashbasiert) veröffentlicht; ein dritter, kompakterer Standard FN-DSA (FIPS 206, ehemals Falcon) war im Oktober 2026 noch im Entwurfsstadium.

Post-Quanten-Signaturen beruhen auf mathematischen Problemen, für die auch Quantencomputer keinen bekannten schnellen Lösungsweg haben. ML-DSA, früher Dilithium genannt, nutzt Gitter, also hochdimensionale Punktmuster. SLH-DSA, früher SPHINCS+, beruht allein auf Hashfunktionen und gilt deshalb als besonders konservativ NIST FIPS 205, 13.08.2024. FN-DSA liefert die kleinsten Signaturen der drei, ist aber schwieriger sicher zu implementieren; NIST reichte den Entwurf im August 2025 zur Genehmigung ein, die finale Fassung wird für Ende 2026 oder Anfang 2027 erwartet Encryption Consulting, 11.07.2026.

Der Haken ist die Größe. Eine Schnorr-Signatur hat 64 Byte. Eine ML-DSA-44-Signatur hat 2.420 Byte, der Public Key 1.312 Byte NIST FIPS 204, Tabelle 2. FN-DSA-512 kommt auf 666 Byte Signatur und 897 Byte Public Key Project Eleven PQ Registry, 2026. Für ein Netzwerk, dessen Blockgröße bewusst knapp gehalten wird, ist das ein echtes Problem.

Was würden Post-Quanten-Signaturen eine Bitcoin-Transaktion kosten?

Nach Berechnung von KryptoZukunft.com wäre eine typische Bitcoin-Transaktion mit einem Input und zwei Outputs mit ML-DSA-44 statt Schnorr rund 1.071 statt 154 virtuelle Byte groß, also etwa 7-mal so groß; bei 10 sat/vB und 74.630 €/BTC stiege die Gebühr von etwa 1,15 Euro auf rund 8 Euro, und in einen Block passten statt rund 6.490 nur noch etwa 930 solcher Transaktionen.

Wir haben das vereinfacht nachgerechnet. Annahmen: Eine Taproot-Transaktion mit einem Input und zwei Outputs hat rund 154 vByte. Davon entfallen 16 vByte auf die Signatur, weil Witness-Daten bei Bitcoin nur zu einem Viertel zählen. Ersetzen wir die Signatur durch ML-DSA-44 und legen den größeren Public Key mit in den Witness, kommen 3.732 Byte hinzu, also 933 vByte. Ergebnis: rund 1.071 vByte. Für FN-DSA-512 wären es etwa 529 vByte, für SLH-DSA-128s etwa 2.110 vByte. Die Rechnung ignoriert mögliche Tricks wie Signatur-Aggregation, die die Lücke in der Praxis verkleinern könnten.

Am 13. Oktober 2026 kostete Blockplatz gerade einmal 1 sat/vB mempool.space, 13.10.2026. Da wären auch Post-Quanten-Transaktionen mit rund 80 Cent bezahlbar. Kritisch wird es in Phasen hoher Nachfrage: Bei 50 sat/vB zahlst du mit Schnorr etwa 5,75 Euro, mit ML-DSA-44 rund 40 Euro. Und weil der Block nicht größer wird, schrumpft der Durchsatz um rund 86 Prozent. Unsere Einschätzung: Genau deshalb drängt niemand in der Bitcoin-Entwicklung auf einen sofortigen Wechsel. Man will ein Fluchtfahrzeug bereitstellen, nicht alle sofort umsteigen lassen.

Was ist BIP-360 und macht es Bitcoin quantensicher?

BIP-360 ist ein im Frühjahr 2026 veröffentlichter Bitcoin-Verbesserungsvorschlag für den neuen Ausgabetyp Pay-to-Merkle-Root (P2MR), der wie Taproot funktioniert, aber auf den Schlüsselpfad mit sichtbarem Public Key verzichtet; er macht Bitcoin nicht vollständig quantensicher, weil er selbst noch keine Post-Quanten-Signaturen einführt.

Die Idee ist ein Zwischenschritt. Taproot-Ausgaben enthalten einen Public Key, mit dem man direkt ausgeben kann (Key Path), plus einen Baum alternativer Skripte (Script Path). P2MR streicht den Key Path. Übrig bleibt nur die Wurzel des Skriptbaums, ein Hash. Damit liegt im Ruhezustand kein Public Key offen. Multisig, Zeitsperren und Verwahrungslösungen bleiben möglich, Transaktionen werden etwas größer Cointelegraph, 10.03.2026.

Was BIP-360 nicht tut: bestehende Coins automatisch schützen. Jeder müsste seine Bitcoin aktiv auf P2MR-Adressen umziehen. Und die Signaturen darin wären weiterhin Schnorr oder ECDSA, also im Moment des Ausgebens angreifbar. Ein späteres Soft-Fork-Update könnte dann Post-Quanten-Signaturen als neue Skript-Option nachrüsten. Unsere Einschätzung: BIP-360 ist sinnvoll, weil es die Angriffsfläche ruhender Coins verkleinert, ohne sofort das Gebührenproblem aus der Tabelle oben auszulösen. Ob und wann es aktiviert wird, ist offen; Bitcoins Konsensprozess ist bewusst langsam. Für Taproot vergingen von der ersten Idee bis zur Aktivierung rund vier Jahre.

Wie bereitet sich Ethereum auf Post-Quanten-Signaturen vor?

Ethereum setzt auf einen schrittweisen, freiwilligen Umstieg: Nutzerkonten sollen über Account Abstraction (vorgesehen ist EIP-8141 für das Upgrade Hegotá in der zweiten Jahreshälfte 2026) individuell auf Post-Quanten-Signaturen wechseln können, Validatoren sollen BLS gegen das hashbasierte leanXMSS tauschen, und die Ethereum Foundation peilt die Kerninfrastruktur bis etwa 2029 an.

Ethereum hat ein doppeltes Signaturproblem. Normale Konten signieren mit ECDSA, die Validatoren im Proof-of-Stake-Konsens mit BLS-Signaturen, die sich hervorragend bündeln lassen, aber ebenfalls auf elliptischen Kurven beruhen. Beide wären durch einen großen Quantencomputer angreifbar. Laut ethereum.org soll BLS durch leanXMSS ersetzt werden, ein hashbasiertes Verfahren. Weil diese Signaturen viel größer sind, sollen sie über einen kleinen zkVM namens leanVM komprimiert werden, nach Projektangaben etwa um den Faktor 250 ethereum.org, aktualisiert 08.09.2026.

Für normale Konten gibt es keinen „Flag Day“, an dem alle gleichzeitig umsteigen. Stattdessen sollen Konten über Account Abstraction ihre Signaturlogik selbst wählen können. Die Ethereum Foundation hat dafür im Januar 2026 ein eigenes Post-Quantum-Team gegründet, das seinen Fahrplan auf pq.ethereum.org veröffentlicht. Dort heißt es, dass die meisten Technik-Roadmaps einen kryptografisch relevanten Quantencomputer Anfang bis Mitte der 2030er-Jahre verorten und die L1-Upgrades bis 2029 abgeschlossen sein könnten Ethereum Foundation, pq.ethereum.org, 27.06.2026.

Unsere Einschätzung: Ethereum ist bei diesem Thema strukturell im Vorteil, weil es Upgrades schneller durchsetzt und Smart-Contract-Wallets schon heute verbreitet sind. Der Nachteil: Ethereum-Konten werden viel häufiger wiederverwendet als Bitcoin-Adressen, fast jeder aktive Account hat seinen Public Key längst offengelegt. Für Anwendungen wie den Atomic Swap, die auf Hash-Zeitsperren und Signaturen beider Seiten beruhen, gilt die Migration ebenfalls; sie müssen auf beiden beteiligten Chains nachziehen.

Was sagt das BSI zum Umstieg auf Post-Quanten-Kryptografie?

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt laut Pressemitteilung vom 11. Februar 2026, klassische asymmetrische Verschlüsselung ab Ende 2031 (höchstsensitiv: Ende 2030) nicht mehr allein einzusetzen und klassische Signaturverfahren bis Ende 2035 abzulösen; am 12. Oktober 2026 folgte eine Leitlinie, nach der Hochrisiko-Systeme bis Ende 2030 migriert sein sollen.

Deutschland ist bei dem Thema erstaunlich konkret. Im Februar 2026 legte das BSI Fristen vor: Bei Verschlüsselung soll ab Ende 2031 nur noch hybrid gearbeitet werden, also klassisch kombiniert mit Post-Quanten-Verfahren. Für Signaturen gilt eine längere Frist bis Ende 2035 BSI, 11.02.2026. Der Grund für die Staffelung: Verschlüsselte Daten können heute abgefangen und später entschlüsselt werden („Store now, decrypt later“). Eine Signatur dagegen muss nur so lange halten, wie sie geprüft wird.

Gestern, am 12. Oktober 2026, veröffentlichten BMI, Digitalministerium und BSI eine Leitlinie zur nationalen Umsetzung der EU-Roadmap. Die Kernsätze: Anwendungsfälle mit hohem Risiko sollen so früh wie möglich und spätestens bis Ende 2030 umgestellt werden, bis 2035 soll die gesamte Umstellung weitgehend abgeschlossen sein. Zentrales Stichwort ist Kryptoagilität, also Systeme so zu bauen, dass sich Verfahren schnell austauschen lassen BSI, 12.10.2026. Schon im Oktober 2025 hatte das BSI geschätzt, dass ein kryptografisch relevanter Quantencomputer höchstwahrscheinlich innerhalb von höchstens 16 Jahren realisierbar ist BSI, 31.10.2025.

Warum das für Krypto-Anleger zählt: Bitcoin und Ethereum sind nicht an BSI-Fristen gebunden. Aber Banken, Verwahrer und Börsen mit EU-Lizenz nach der MiCA-Verordnung werden zunehmend gefragt werden, wie sie ihre Signaturschlüssel quantensicher machen. Ein Netzwerk, das bis 2035 keinen klaren Migrationspfad hat, dürfte für regulierte Verwahrer unattraktiver werden. Das ist eine eigene Ableitung von uns, keine Aussage des BSI.

Ist eine digitale Signatur in der EU rechtlich gültig?

Ja, aber nicht jede: Nach der EU-Verordnung eIDAS (Nr. 910/2014) ist nur die qualifizierte elektronische Signatur der handschriftlichen Unterschrift gleichgestellt, und eine Bitcoin-Signatur ist rechtlich keine solche; die deutsche EUDI-Wallet soll laut Bund Anfang 2027 kostenlos starten und später um die qualifizierte Signatur erweitert werden.

Technisch sind eine Bitcoin-Signatur und eine digitale Unterschrift unter einem Mietvertrag Geschwister. Rechtlich trennt sie einiges. Die eIDAS-Verordnung kennt drei Stufen: die einfache elektronische Signatur (etwa ein eingescannter Namenszug), die fortgeschrittene (eindeutig dem Unterzeichner zugeordnet, mit Daten verknüpft, die nur er kontrolliert) und die qualifizierte. Nur Letztere ersetzt die Schriftform, weil sie zusätzlich auf einem qualifizierten Zertifikat eines Vertrauensdiensteanbieters beruht EUR-Lex, Verordnung (EU) 910/2014.

Eine Signatur mit deinem Wallet-Schlüssel erfüllt technisch viele Merkmale einer fortgeschrittenen Signatur, aber dein Schlüssel ist an keine geprüfte Identität gebunden. Für Verträge, Kündigungen oder Behördengänge ersetzt sie die Unterschrift daher nicht. Spannend wird die EUDI-Wallet: Die deutsche Version soll Anfang 2027 als kostenlose App erscheinen, zunächst mit digitalem Ausweis und selektiver Offenlegung (etwa „über 18“ ohne Geburtsdatum), später auch mit qualifizierter elektronischer Signatur EUDI-Wallet Deutschland, 2026. Dann hättest du zwei Wallets in der Hosentasche, die beide mit Signaturen arbeiten, aber völlig unterschiedliche Rechtswirkungen haben.

Was solltest du jetzt konkret tun, um deine Signaturen sicher zu machen?

Die wirksamsten Schritte im Oktober 2026 sind nach Einschätzung von KryptoZukunft.com: nichts signieren, was du nicht lesen kannst, Hardware-Wallets nur beim Hersteller kaufen und selbst einrichten, Freigaben (Approvals) regelmäßig widerrufen, Adressen nicht wiederverwenden und alte P2PK- oder mehrfach genutzte Adressen in frische Native-SegWit-Adressen umziehen.

Die Reihenfolge ist bewusst gewählt. Das größte Risiko für dein Geld ist 2026 nicht der Quantencomputer, sondern eine falsche Signatur, die du heute abgibst. Erst danach kommt Hardware-Manipulation, dann Adresshygiene, dann die Quantenvorsorge.

Erstens: Lesen vor Signieren. Wenn deine Wallet einen Hex-Code, „eth_sign“ oder „Unknown method“ anzeigt, brich ab. Öffne DeFi-Apps über ein Lesezeichen, nicht über Links. Gib keine Signaturen auf Seiten ab, die dir ein Airdrop-Versprechen geschickt hat. Zweitens: Freigaben pflegen. Über Tools wie revoke.cash oder die Approval-Ansicht deines Block-Explorers kannst du alte, unbegrenzte Freigaben zurückziehen. Das kostet eine kleine Gebühr und schließt Türen, die du vergessen hast. Drittens: Hardware sauber beschaffen. Nur Herstellershop, Siegel prüfen, Seed Phrase selbst erzeugen, nie eine mitgelieferte nutzen.

Viertens: Adresshygiene. Nutze für jede Einzahlung eine neue Adresse, das machen moderne Wallets automatisch. Wenn du noch Coins aus den frühen Jahren auf einer Adresse hast, von der du schon gesendet hast, zieh sie in eine frische Native-SegWit-Adresse um. Das kostet heute bei 1 sat/vB nur Cent-Beträge. Fünftens: Informiert bleiben, nicht nervös werden. Wenn Bitcoin einen Post-Quanten-Adresstyp aktiviert, wirst du deine Coins einmal umziehen müssen. Dafür ist Zeit. Wer jetzt aus Angst seine Coins auf eine Börse legt, tauscht ein theoretisches Risiko gegen ein sehr praktisches.

Als ich die alte Version dieses Artikels noch einmal gelesen habe, war mir ehrlich gesagt etwas unwohl. Da stand der Satz, dass beim Signieren der eine Schlüssel verschlüsselt und der andere entschlüsselt. Das habe ich selbst jahrelang so erklärt, weil es einfach klingt. Es ist aber falsch, und gerade bei einem Grundlagenthema darf so etwas nicht passieren. Ähnlich ging es mir mit der Quantenfrage: Wir hatten Zahlen aus zweiter Hand übernommen, ohne sie gegen die Originalquellen zu prüfen. Das habe ich jetzt nachgeholt. Was mich bei der Recherche am meisten beschäftigt hat, ist etwas anderes. Wir reden in der Szene seit Monaten über Qubits, und gleichzeitig verlieren Menschen ganz real Geld, weil sie auf einer gefälschten Seite eine Nachricht unterschreiben, die sie nicht verstehen. Bei Bybit haben Profis mit Multisig und Cold Wallet genau das getan. Den Reflex, ein Bestätigungsfenster in der Wallet schnell wegzuklicken, weil gerade alles eilig ist, kennt wohl jeder von uns, ich nehme mich da nicht aus. Meistens geht es gut, und genau das macht ihn so gefährlich. Mein Fazit: Die Kryptografie ist das stärkste Glied in der Kette, wir Menschen sind das schwächste. Quantensicherheit kommt, und sie wird für Bitcoin anstrengend. Aber die Signatur, die du heute leichtfertig abgibst, ist das größere Risiko. Das hier ist keine Anlage-, Steuer- oder Rechtsberatung. Felix Rieger · Gründer & Chefredakteur · KryptoZukunft.com · 13. Oktober 2026

Quiz: Wie gut kennst du digitale Signaturen?

Sechs Fragen, sofortige Auflösung. Ohne JavaScript siehst du die richtigen Antworten in der Auflösung unter dem Quiz.

Häufige Fragen zur digitalen Signatur

Weiterlesen auf KryptoZukunft.com

Zitiervorschlag: Rieger, Felix (2026): Was ist eine digitale Signatur? ECDSA, Schnorr, Blind Signing und der Post-Quanten-Umstieg 2026 erklärt. KryptoZukunft.com, aktualisiert am 13. Oktober 2026. https://kryptozukunft.com/2025/03/10/digitale-signatur/

Hinweis: Dieser Artikel dient ausschließlich der Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Kryptowährungen sind hochvolatil, ein Totalverlust ist möglich. Alle Zahlen beziehen sich auf den genannten Stichtag; eigene Rechnungen von KryptoZukunft.com beruhen auf vereinfachten Annahmen und können von der späteren Praxis abweichen. Prüfe sicherheitsrelevante Schritte immer selbst und im Zweifel mit fachkundiger Hilfe.