Was ist ein Public Key – und wann wird er zum Quantenrisiko? Adresstypen, exponierte Bitcoin & BIP-360 im Check 2026

Was ist ein Public Key?

Ein Public Key (öffentlicher Schlüssel) ist die öffentliche Hälfte eines kryptografischen Schlüsselpaares; bei Bitcoin und Ethereum ist er ein Punkt auf der elliptischen Kurve secp256k1, der aus dem Private Key berechnet wird und mit dem jeder Teilnehmer prüfen kann, ob eine Signatur echt ist – Stand Oktober 2026 lässt sich aus ihm mit klassischen Computern kein Private Key zurückrechnen.

Stell dir einen Briefkasten mit Schlitz vor. Den Schlitz darf jeder sehen und benutzen, den Schlüssel zum Leeren hast nur du. Der Public Key ist in diesem Bild weniger der Schlitz selbst als der Beweis, dass genau dieser Briefkasten zu genau diesem Schlüssel gehört. Wer dir eine Zahlung schickt, braucht in der Praxis allerdings nicht den Public Key, sondern deine Adresse. Dazu gleich mehr.

Seine eigentliche Aufgabe erfüllt der Public Key beim Ausgeben. Wenn du Bitcoin versendest, unterschreibst du die Transaktion mit deinem Private Key. Jeder Node im Netzwerk nimmt dann deinen Public Key, die Nachricht und die Unterschrift und rechnet nach, ob alles zusammenpasst. Passt es, ist bewiesen, dass der Besitzer des Private Keys zugestimmt hat – ohne dass der Private Key je dein Gerät verlassen hat. Wie diese digitale Signatur mit ECDSA und Schnorr im Detail funktioniert, haben wir separat erklärt.

Dieses Prinzip heißt asymmetrische Kryptografie und ist die Grundlage dafür, dass eine Blockchain ohne zentrale Instanz überhaupt funktioniert. Niemand muss einer Bank vertrauen, die bestätigt, dass du du bist. Die Mathematik erledigt das.

Wie entsteht ein Public Key aus dem Private Key?

Ein Bitcoin-Public-Key entsteht, indem der Private Key – eine Zufallszahl mit 256 Bit – mit dem festen Generatorpunkt G der Kurve secp256k1 „multipliziert“ wird; das Ergebnis ist ein Kurvenpunkt (x, y), der als komprimierter Public Key 33 Byte und bei Taproot nach BIP-340 nur 32 Byte lang ist.

„Multiplizieren“ heißt hier: Der Punkt G wird nach den Rechenregeln elliptischer Kurven immer wieder zu sich selbst addiert, und zwar so oft, wie der Private Key groß ist. Das klingt nach einer astronomischen Zahl von Schritten, ist aber mit einem Trick („Double-and-Add“) in wenigen hundert Operationen erledigt. Dein Smartphone schafft das in Millisekunden. Wie dieser kryptografische Algorithmus im größeren Werkzeugkasten der Blockchain einzuordnen ist, steht in unserem Algorithmus-Ratgeber.

Für die Darstellung gibt es drei Formate. Der unkomprimierte Public Key beginnt mit 04 und enthält x- und y-Koordinate, insgesamt 65 Byte. Der komprimierte beginnt mit 02 oder 03, enthält nur x plus die Info, welche der beiden möglichen y-Werte gemeint ist, und ist 33 Byte lang. Seit Taproot gibt es zusätzlich den „x-only“-Key mit 32 Byte; BIP-340 legt fest, dass Public Keys dort als 32 Byte kodiert werden und Signaturen 64 Byte lang sind BIP-340.

Warum kann man den Private Key nicht einfach zurückrechnen?

Der Rückweg vom Public Key zum Private Key erfordert die Lösung des diskreten Logarithmus auf elliptischen Kurven; nach Berechnung von KryptoZukunft.com bräuchte ein klassischer Rechner mit 10^21 Operationen pro Sekunde für die rund 2^128 nötigen Schritte etwa 10,8 Milliarden Jahre – fast so lange, wie das Universum existiert.

Die 2^128 kommen daher, dass die besten bekannten klassischen Verfahren (etwa Pollard-Rho) ungefähr die Quadratwurzel der Schlüsselraumgröße an Schritten brauchen. 2^256 Möglichkeiten werden so zu 2^128 Rechenschritten. Unsere Rechnung: 2^128 ≈ 3,4 × 10^38. Geteilt durch 10^21 Operationen pro Sekunde sind das 3,4 × 10^17 Sekunden, also rund 10,8 Milliarden Jahre. Selbst wenn du optimistisch das Tausendfache an Rechenleistung annimmst, bleiben über 10 Millionen Jahre.

Genau hier setzt der Quantencomputer an. Peter Shor hat 1994 gezeigt, dass ein ausreichend großer Quantenrechner den diskreten Logarithmus in polynomieller Zeit löst. Aus „Milliarden Jahren“ werden dann Minuten. Das ist der Kern der ganzen Debatte – und deshalb ist die Frage, ob dein Public Key irgendwo sichtbar herumliegt, plötzlich keine akademische mehr. Hashfunktionen wie SHA-256 sind von Shor übrigens nicht betroffen; gegen sie hilft nur Grovers Algorithmus mit einem quadratischen Vorteil, was die Sicherheit grob halbiert, aber nicht bricht. Warum ein One-Way-Hash so robust ist, erklären wir in einem eigenen Artikel.

Was ist der Unterschied zwischen Public Key, Private Key und Adresse?

Der Private Key ist eine geheime 256-Bit-Zahl, der Public Key ein daraus berechneter öffentlicher Kurvenpunkt und die Adresse bei den meisten Bitcoin-Typen ein Hash dieses Public Keys mit Prüfsumme – nur Taproot-Adressen (bc1p) und die alten P2PK-Ausgaben enthalten den Public Key direkt.

Die meisten Wallets erzeugen alle Schlüssel heute aus einer einzigen Seed Phrase mit 12 oder 24 Wörtern. Aus ihr werden Tausende Private Keys abgeleitet, aus jedem ein Public Key und aus jedem Public Key eine Adresse. Deshalb kann deine Wallet dir für jede Zahlung eine neue Adresse anzeigen, ohne dass du je ein neues Backup brauchst.

Ist die Wallet-Adresse dasselbe wie der Public Key?

Bei den Bitcoin-Adresstypen P2PKH (beginnt mit 1), P2SH (3) und P2WPKH (bc1q) ist die Adresse ein 20-Byte-Hash des Public Keys und nicht der Key selbst; bei Taproot (bc1p) dagegen ist der 32-Byte-Public-Key direkt in der Adresse kodiert.

Das ist der Punkt, den wir in der alten Fassung zu flach behandelt hatten. Für den Alltag ist der Unterschied egal: Beide Varianten sind 2026 sicher. Für das Quantenszenario ist er entscheidend. Ein Hash ist eine Einbahnstraße, die auch ein Quantencomputer nicht sinnvoll umkehren kann. Solange nur der Hash bekannt ist, hat ein Angreifer nichts, worauf er Shors Algorithmus anwenden könnte. Ein offen liegender Public Key dagegen ist genau das Material, das er braucht.

Bei Ethereum ist die Adresse ebenfalls ein Hash, nämlich die letzten 20 Byte des Keccak-256-Hashes des Public Keys. Sobald ein Ethereum-Konto aber eine einzige Transaktion gesendet hat, ist sein Public Key aus der Signatur rekonstruierbar. Weil Ethereum-Konten typischerweise dauerhaft dieselbe Adresse nutzen, liegt der Public Key bei fast jedem aktiven Konto offen. Mehr zum Aufbau des Netzwerks findest du in unserem Grundlagentext Was ist Ethereum?.

Wann wird mein Public Key auf der Blockchain sichtbar?

Dein Bitcoin-Public-Key wird spätestens in dem Moment öffentlich, in dem du zum ersten Mal von einer Adresse ausgibst, weil die Transaktion ihn zur Signaturprüfung enthalten muss; bei Taproot-Adressen ist er schon ab dem ersten Empfang sichtbar, bei P2PK-Ausgaben seit jeher.

Daraus folgt eine einfache Faustregel: Gefährdet wäre in einem Quantenszenario nicht „Bitcoin“ als Ganzes, sondern jede einzelne Münze, deren Public Key heute schon im öffentlichen Datensatz steht. Die folgende Tabelle zeigt, wie sich die Adresstypen unterscheiden.

Warum zeigt Taproot den Public Key schon beim Empfang?

Taproot (P2TR, aktiv seit 2021) schreibt einen 32-Byte-Public-Key direkt in die Ausgabe, damit der Besitzer per „Key-Path“ mit einer einzigen Schnorr-Signatur ausgeben kann; das spart Gebühren und verbessert die Privatsphäre, macht den Key aber ab dem Empfang sichtbar – Chaincode Labs zählte im Mai 2025 rund 146.715 BTC in solchen Ausgaben.

Taproot war ein Effizienz- und Privatsphäre-Upgrade, kein Quanten-Upgrade. Komplexe Bedingungen wie Multisig oder Zeitsperren verschwinden in einem Skriptbaum, nach außen sieht jede Ausgabe gleich aus. Den Preis dafür zahlt man im Quantenszenario: Der Key-Path-Schlüssel steht von Anfang an im Klartext da. Chaincode Labs schreibt dazu, dass P2TR rund 32,5 % aller UTXOs, aber nur etwa 0,74 % des Werts ausmacht Chaincode Labs, Mai 2025. Glassnode kam im Mai 2026 auf rund 200.000 BTC in Taproot-Adressen Glassnode via Cointelegraph, 20.05.2026.

Unsere Einschätzung: Taproot ist nicht „unsicher“. Die Menge ist klein, viele Taproot-Ausgaben sind Wechselgeld, Ordinals oder kurzfristig geparkte Beträge. Und Chaincode weist darauf hin, dass ein späterer Soft Fork den Key-Path deaktivieren könnte. Wer aber heute eine Cold-Storage-Adresse für die nächsten zehn Jahre anlegt, fährt mit bc1q ohne Wiederverwendung vorsichtiger. Die Unterschiede zwischen Cold Wallet und Hot Wallet spielen dabei eine größere Rolle als der Adresstyp: Ein gehackter Rechner kostet dich dein Geld heute, ein Quantencomputer vielleicht in vielen Jahren.

Wie viele Bitcoin liegen 2026 unter offenen Public Keys?

Laut Glassnode lagen im Mai 2026 rund 1,92 Millionen BTC – etwa 9,6 % des Angebots – in Ausgabetypen, die den Public Key strukturell offenlegen; nach Berechnung von KryptoZukunft.com entspricht das beim Kurs vom 16. Oktober 2026 (72.984 Euro) einem Wert von rund 140 Milliarden Euro.

Glassnode hat das Angebot im Mai 2026 in drei Töpfe sortiert. Strukturell unsicher, weil der Ausgabetyp den Key offenlegt: rund 1,92 Mio. BTC. Operativ unsicher, also gefährdet durch Wiederverwendung und schlechtes Schlüsselmanagement: rund 4,12 Mio. BTC oder 20,6 %. Nicht exponiert: rund 13,99 Mio. BTC oder 69,8 % Glassnode via Cointelegraph, 20.05.2026. Die erste Gruppe besteht zum größten Teil aus Münzen der Satoshi-Ära (rund 1,1 Mio. plus 620.000 BTC) und zu einem kleinen Teil aus Taproot.

Was heißt das für dich? Sehr wahrscheinlich gehören deine Coins zur großen, nicht exponierten Gruppe – sofern du eine moderne Wallet nutzt und Adressen nicht wiederverwendest. Interessanter ist die mittlere Gruppe. 4,12 Mio. BTC sind nicht wegen des Adresstyps exponiert, sondern weil jemand von einer Adresse gesendet und Restguthaben dort liegen gelassen hat. Das ist reines Nutzerverhalten und damit auch reparierbar.

Spannend ist der Blick auf große Verwahrer. Glassnode schätzte, dass bei Franklin Templeton, WisdomTree und Robinhood praktisch 100 % der Bestände in exponierten Ausgaben liegen, bei Grayscale 52 % und bei Fidelity nur 2 %. Bei Börsen: rund 85 % der BTC von Binance, aber nur etwa 5 % bei Coinbase Glassnode via Cointelegraph, 20.05.2026. Das sagt nichts über die Sicherheit dieser Anbieter heute aus, wohl aber darüber, wie viel Umzugsarbeit sie im Ernstfall hätten.

Warum gehen die Schätzungen von 1,9 bis 6,3 Millionen BTC so weit auseinander?

Die Schätzungen der quantengefährdeten Bitcoin reichen 2026 von rund 1,92 Mio. BTC (Glassnode, nur strukturell exponierte Ausgabetypen) bis 6,26 Mio. BTC (Project Eleven, inklusive aller Adressen mit wiederverwendetem und damit sichtbarem Public Key), weil die Studien unterschiedlich definieren, was als „exponiert“ zählt.

Chaincode Labs hat im Mai 2025 die bis dahin umfassendste Übersicht vorgelegt. Darin stehen rund 1.720.747 BTC in P2PK-Ausgaben, also etwa 8,68 % des Werts, obwohl diese nur 0,025 % aller UTXOs ausmachen. Für Adress-Wiederverwendung zitiert der Bericht Project Eleven mit rund 6,26 Mio. BTC in etwa 11,1 Mio. Adressen mit sichtbarem Public Key Chaincode Labs, Mai 2025. Google Quantum AI wiederum kommt in seiner Studie auf etwa 1,7 Mio. BTC in P2PK plus rund 600.000 BTC durch Wiederverwendung und andere Wege, also rund 2,3 Mio. BTC an ruhendem, gefährdetem Bestand PostQuantum.com, 31.03.2026.

Aus der Praxis: Für die Einschätzung deines eigenen Risikos ist die Spanne fast egal. Für den Markt ist sie wichtig. 1,92 Mio. BTC sind etwa 140 Mrd. Euro, 6,26 Mio. BTC wären nach unserer Rechnung rund 457 Mrd. Euro. Die eine Zahl ist eine Fußnote, die andere ein Viertel des Marktes. Welche Zahl stimmt, hängt davon ab, wie viele Besitzer bis zum Tag X ihre Coins umziehen. Den aktuellen Kursrahmen dazu ordnet unser Marktbericht Bitcoin kurz unter 80.000 Dollar ein.

Was hat Googles Quantenstudie vom 31. März 2026 verändert?

Google Quantum AI hat am 31. März 2026 gezeigt, dass Shors Algorithmus gegen die 256-Bit-Kurve secp256k1 mit unter 1.200 logischen Qubits und 90 Millionen Toffoli-Gattern oder alternativ unter 1.450 logischen Qubits und 70 Millionen Toffoli-Gattern laufen könnte – auf einer Maschine mit weniger als 500.000 physischen Qubits in wenigen Minuten, etwa 20-mal weniger physische Qubits als frühere Schätzungen.

Der Blogbeitrag von Ryan Babbush und Hartmut Neven nennt diese Werte ausdrücklich und spricht von einer rund 20-fachen Reduktion bei den physischen Qubits Google Research, 31.03.2026. Bemerkenswert ist das Vorgehen: Google hat die Schaltkreise nicht veröffentlicht, sondern einen Zero-Knowledge-Beweis, mit dem Dritte die Ressourcenschätzung prüfen können, ohne eine Bauanleitung zu bekommen. Vorab gab es Gespräche mit der US-Regierung. Unter den Co-Autoren sind auch Justin Drake von der Ethereum Foundation und der Stanford-Kryptograf Dan Boneh PostQuantum.com, 31.03.2026.

Die Empfehlungen an die Kryptobranche sind nüchtern: Blockchains auf Post-Quanten-Kryptografie umstellen, keine verwundbaren Adressen offenlegen oder wiederverwenden, und politische Optionen für verlassene Coins prüfen Google Research, 31.03.2026. Ein Satz aus dem Paper hat in der Szene besonders gesessen: Es sei denkbar, dass die Existenz früher kryptografisch relevanter Quantencomputer zuerst auf der Blockchain entdeckt statt angekündigt werde PostQuantum.com, 31.03.2026. Sprich: Der erste Hinweis könnte sein, dass alte Satoshi-Coins sich bewegen.

Was die Studie nicht sagt: Sie behauptet nicht, dass so eine Maschine existiert oder kurz bevorsteht, und sie nennt kein Datum. Wer daraus „Bitcoin ist 2027 geknackt“ macht, liest etwas hinein, das nicht drinsteht.

Was bedeuten 41 Prozent Angriffschance im Mempool?

Google schätzt, dass ein vorbereiteter Quantenrechner einen Private Key in etwa 9 Minuten aus einem frisch offengelegten Public Key berechnen könnte; bei Bitcoins mittlerer Blockzeit von 10 Minuten ergibt das nach Nachrechnung von KryptoZukunft.com eine Wahrscheinlichkeit von e^(-0,9) ≈ 40,7 %, dass der Angreifer vor der ersten Bestätigung fertig ist – praktisch identisch mit Googles Angabe von rund 41 %.

Das ist der sogenannte Short-Exposure-Angriff. Du sendest eine Transaktion von einer bislang „sauberen“ bc1q-Adresse. In diesem Moment steht dein Public Key im Mempool. Der Angreifer rechnet, erhält deinen Private Key und schickt eine konkurrierende Transaktion mit höherer Gebühr an seine eigene Adresse. Gewinnt er das Rennen, ist das Geld weg. Laut der Analyse von PostQuantum.com braucht die gatter-optimierte Variante etwa 18 Minuten, mit Vorberechnung etwa 9 Minuten; die Laufzeit-Tabelle nennt 9 bis 23 Minuten PostQuantum.com, 31.03.2026.

Warum stimmt unsere Rechnung so genau? Blöcke werden bei Bitcoin zufällig gefunden, die Wartezeit folgt näherungsweise einer Exponentialverteilung. Die Wahrscheinlichkeit, dass nach t Minuten noch kein Block da ist, beträgt e^(-t/10). Bei 9 Minuten sind das 40,7 %, bei 18 Minuten 16,5 %, bei 23 Minuten 10,0 %. Ein Litecoin-artiges Netz mit 2,5 Minuten Blockzeit läge bei 9 Minuten Angriffsdauer nur noch bei 2,7 %.

Wie weit sind echte Quantencomputer von 1.200 logischen Qubits entfernt?

Der konkreteste öffentliche Fahrplan, IBMs Roadmap vom 10. Juni 2025, sieht für 2029 das System „Starling“ mit 200 logischen Qubits und 100 Millionen Operationen vor; das ist nach Rechnung von KryptoZukunft.com etwa ein Sechstel der rund 1.200 logischen Qubits, die Google für einen Angriff auf secp256k1 veranschlagt.

Logische Qubits sind fehlerkorrigierte Recheneinheiten, die jeweils aus vielen physischen Qubits zusammengesetzt werden. Genau daran scheitern Quantencomputer heute noch: Die physischen Qubits sind zu fehleranfällig, um lange Rechnungen wie Shors Algorithmus durchzuhalten. IBM plant nach Starling den Nachfolger „Blue Jay“ mit 2.000 logischen Qubits und einer Milliarde Operationen The Quantum Insider, 10.06.2025. Das läge über den 1.200 bis 1.450 logischen Qubits aus Googles Schätzung. Für die Anzahl der Gatteroperationen (70 bis 90 Millionen Toffoli-Gatter) läge schon Starling mit 100 Millionen Operationen in der passenden Größenordnung, nur eben mit zu wenigen Qubits.

Zum Vergleich: Ark Invest hatte laut Glassnode-Bericht rund 2.330 logische Qubits als Schwelle angesetzt Glassnode via Cointelegraph, 20.05.2026. Die Zahlen werden also nicht nur durch bessere Hardware kleiner, sondern auch durch bessere Algorithmen. Das ist der eigentliche Grund, warum Fachleute nervöser geworden sind: Der Abstand schrumpft von zwei Seiten.

Unsere Einschätzung: Wer heute mit Sicherheit sagt „nie vor 2040“ oder „spätestens 2030“, rät. Belastbar ist nur, dass die großen Hersteller öffentlich Systeme für Ende des Jahrzehnts planen und dass Google selbst seine eigene Post-Quanten-Migration bis 2029 abschließen will Google Research, 31.03.2026. Ein Unternehmen setzt sich so ein Datum nicht aus Langeweile.

Was ist BIP-360 (P2MR) – und schützt es deine Coins?

BIP-360 ist ein Bitcoin-Verbesserungsvorschlag im Status „Draft“ (Version 0.12.1) von Hunter Beast, Ethan Heilman und Isabel Foxen Duke, der den neuen Ausgabetyp Pay-to-Merkle-Root (P2MR) einführt: wie Taproot, aber ohne Key-Path, als SegWit-Version 2 mit Adressen ab „bc1z“ – er schützt ruhende Coins vor Long-Exposure-Angriffen, nicht aber vor Short-Exposure-Angriffen im Mempool.

Die Idee ist bewusst konservativ. Statt sofort neue, große Signaturverfahren einzubauen, entfernt P2MR einfach die Stelle, an der Taproot einen Public Key offenlegt. Ausgegeben wird immer über den Skriptbaum: Du zeigst ein Skript-Blatt und einen Merkle-Beweis vor. Laut Spezifikation besteht eine P2MR-Ausgabe aus dem Versionsbyte 2 und der Merkle-Wurzel des Skriptbaums BIP-360, Draft v0.12.1. Die BIP-Nummer wurde am 18. Dezember 2024 vergeben.

Cointelegraph fasst die Grenzen gut zusammen: P2MR ersetzt weder ECDSA noch Schnorr durch Verfahren wie ML-DSA oder SPHINCS+, alte Ausgaben bleiben verwundbar, bis ihre Besitzer umziehen, und Transaktionen werden etwas größer als Taproot-Key-Path-Ausgaben Cointelegraph, 10.03.2026. Für die Aktivierung bräuchte es einen Soft Fork, also eine abwärtskompatible Regeländerung. Wie solche Soft und Hard Forks ablaufen und warum sie bei Bitcoin Jahre dauern, haben wir ausführlich beschrieben.

Was du daraus mitnehmen solltest: BIP-360 ist ein Baustein, kein Schutzschild. Selbst wenn es aktiviert würde, müsstest du deine Coins aktiv auf eine bc1z-Adresse schicken. Und in dem Moment, in dem du später von dort ausgibst, liegt beim Signieren mit klassischem Schnorr wieder ein Public Key im Mempool – das Short-Exposure-Problem bleibt, bis echte Post-Quanten-Signaturen kommen.

Warum gibt es noch keine Post-Quanten-Signatur in Bitcoin?

Post-Quanten-Signaturen sind um ein Vielfaches größer als heutige: ML-DSA-44 aus dem NIST-Standard FIPS 204 (veröffentlicht am 13. August 2024) benötigt 1.312 Byte Public Key und 2.420 Byte Signatur, zusammen nach Rechnung von KryptoZukunft.com rund 39-mal so viel wie die 96 Byte aus Schnorr-Key und -Signatur nach BIP-340.

Das ist kein Detail. Bitcoins Blockgröße ist begrenzt, jede zusätzliche Byte-Zahl pro Transaktion senkt den Durchsatz und erhöht Gebühren. NIST hat mit FIPS 204 (ML-DSA, gitterbasiert) NIST FIPS 204, 13.08.2024 und FIPS 205 (SLH-DSA, hashbasiert) Standards geschaffen, aber keiner ist für eine Blockchain mit knappem Platz optimiert. Hashbasierte Verfahren gelten als besonders konservativ, weil sie nur auf der Sicherheit von Hashfunktionen beruhen – dafür sind die Signaturen mit fast 8 KB noch größer. Wie Bitcoins Proof of Work und die Blockgrößen-Grenze zusammenhängen, erklärt unser Mining-Artikel.

Ein weiteres Problem ist die Migrationszeit. Chaincode Labs hat ausgerechnet, dass allein das Umziehen aller UTXOs bei voller Blockplatz-Nutzung etwa 76 bis 142 Tage dauern würde, bei nur 25 % des Blockplatzes rund 305 bis 568 Tage Chaincode Labs, Mai 2025. Nach unserer Rechnung sind das 0,8 bis 1,6 Jahre, in denen Bitcoin gleichzeitig ganz normal weiterlaufen müsste. Chaincode schlägt deshalb zwei parallele Pfade vor: einen kurzfristigen Notfallplan (rund zwei Jahre) und einen langfristigen, umfassenden Umbau (rund sieben Jahre).

Das Ergebnis des Rechners erklärt, warum Entwickler nicht einfach „ML-DSA einbauen“. Bei 5 sat/vB und 72.984 Euro je BTC kosten zwei Inputs mit Schnorr rund 12 Cent Witness-Gebühr, mit ML-DSA-44 rund 6,81 Euro. Bei hoher Netzlast und 50 sat/vB wären es 68 Euro. Für Kleinbeträge würde das Netz unbrauchbar, Second-Layer-Lösungen wie das Lightning Network bekämen eine noch wichtigere Rolle – müssten aber selbst ebenfalls migrieren.

Was planen Ethereum und andere Blockchains gegen Quantenangriffe?

Die Ethereum Foundation hat im Januar 2026 ein eigenes Post-Quanten-Team gegründet und peilt laut ethereum.org (Stand 8. September 2026) an, die zentrale Post-Quanten-Infrastruktur bis etwa 2029 fertigzustellen; Konten sollen über Account Abstraction (EIP-8141, im Gespräch für das Hegotá-Upgrade) individuell auf Post-Quanten-Signaturen wechseln können.

Ethereum hat es in einer Hinsicht schwerer als Bitcoin. Neben den Konto-Signaturen (ECDSA) sind auch die BLS-Signaturen der Validatoren und die KZG-Commitments für Rollup-Daten quantenanfällig, weil sie auf Paarungen elliptischer Kurven beruhen. Der Plan sieht vor, BLS durch das hashbasierte leanXMSS zu ersetzen und die größeren Signaturen über eine „leanVM“ etwa 250-fach zu komprimieren ethereum.org, Stand 08.09.2026. STARK-basierte Beweissysteme gelten bereits als quantenresistent.

In einer Hinsicht hat Ethereum es leichter: Über Account Abstraction kann jedes Konto selbst festlegen, wie es Signaturen prüft. Das ermöglicht einen schrittweisen Wechsel ohne einen einzigen großen Stichtag. Die Seite betont, dass du derzeit nichts tun musst und dass Wallets dich durch die Migration führen sollen. Wie Ethereum sich dabei von Bitcoins Proof of Stake gegenüber Proof of Work unterscheidet, spielt für die Signaturfrage übrigens kaum eine Rolle – beide Konsensverfahren verlassen sich auf klassische Signaturen.

Bei Privacy-Coins ist die Lage gemischt: Zcash hat im Zuge seiner Roadmap ebenfalls Quantensicherheit zum Thema gemacht, was in unserer Zcash-Analyse 2026 eine Rolle spielt. Ein „quantensicherer Coin“ ist aber nur so viel wert wie sein Netzwerk, seine Dezentralisierung und seine Liquidität. Allein mit dem Label „post-quantum“ verdient noch kein Projekt Vertrauen.

Welche Fristen setzen NIST, BSI und EU für Post-Quanten-Kryptografie?

Die EU erwartet, dass alle Mitgliedstaaten bis Ende 2026 mit der Umstellung beginnen und Hochrisiko-Anwendungen spätestens bis Ende 2030 auf Post-Quanten-Kryptografie umstellen; das BSI empfiehlt klassische Signaturverfahren ab dem 31. Dezember 2035 nicht mehr allein, und NIST plant laut ethereum.org, ECDSA 2030 abzukündigen und 2035 zu untersagen.

Die EU-Seite formuliert das so: Alle Mitgliedstaaten sollten bis Ende 2026 mit dem Übergang beginnen, Hochrisiko-Anwendungen sollen so bald wie möglich, spätestens Ende 2030 umgestellt sein EU-Kommission, PQC-Fahrplan Juni 2025. Das BSI empfiehlt in der Technischen Richtlinie TR-02102-1 hybride Verfahren, also klassische und Post-Quanten-Algorithmen gemeinsam, und nennt ML-DSA, SLH-DSA, XMSS und LMS für Signaturen BSI TR-02102-1 via PostQuantum.com, 11.02.2026. NIST hat den Übergangsbericht IR 8547 im November 2024 als Entwurf vorgelegt NIST IR 8547 (Entwurf), 12.11.2024, die Jahreszahlen 2030 und 2035 für ECDSA nennt ethereum.org in seinem Zeitplan ethereum.org, Stand 08.09.2026.

Für Bitcoin sind das keine verbindlichen Vorgaben, denn niemand kann einem dezentralen Netz Fristen setzen. Indirekt wirken sie trotzdem. Regulierte Verwahrer, ETF-Emittenten und Banken müssen sich an Behördenstandards orientieren. Wenn eine Bankenaufsicht 2032 fragt, wie ein Verwahrer seine Kundengelder gegen Quantenangriffe absichert, wird „Bitcoin hat noch keinen Soft Fork“ als Antwort kaum reichen. Unter der MiCA-Verordnung gelten für Krypto-Dienstleister schon heute Anforderungen an IT-Sicherheit, die sich mittelfristig auch auf Kryptografie-Standards erstrecken dürften.

Was passiert mit Satoshis Coins und anderen verlorenen Schlüsseln?

Rund 1,72 Millionen BTC liegen laut Chaincode Labs (Mai 2025) in P2PK-Ausgaben mit offenem Public Key, deren Besitzer größtenteils seit über einem Jahrzehnt inaktiv sind; weil verlorene Schlüssel nicht umziehen können, diskutiert die Bitcoin-Community, ob solche Coins vor dem Eintreffen leistungsfähiger Quantencomputer eingefroren werden sollen – eine Frage ohne Konsens.

Das ist der vielleicht heikelste Teil der Debatte, und er hat wenig mit Technik zu tun. Variante eins: Man lässt alles, wie es ist. Dann könnte der erste, der einen kryptografisch relevanten Quantencomputer besitzt, Hunderttausende Satoshi-Coins auf den Markt werfen. Variante zwei: Man setzt eine Frist, nach der alte Ausgabetypen nicht mehr mit klassischen Signaturen ausgegeben werden dürfen. Dann würden Coins faktisch eingefroren, auch die von Menschen, die ihre Schlüssel noch haben, aber die Frist verpasst haben.

Beide Varianten verletzen ein Grundprinzip. Die erste das Prinzip „deine Schlüssel, deine Coins“, weil ein Dieb mit Quantenrechner zum neuen Besitzer würde. Die zweite das Prinzip, dass niemand die Regeln für bestehende Coins rückwirkend ändern darf. Google empfiehlt der Branche ausdrücklich, Politik-Optionen für verlassene Coins zu prüfen Google Research, 31.03.2026. Konkrete Mehrheiten gibt es nicht. Wir halten es für realistisch, dass genau an dieser Frage irgendwann ein Kettensplit droht.

Aus der Praxis: Für dich als Anleger ist das vor allem ein Kursrisiko, kein direktes Sicherheitsrisiko. Wer Bitcoin langfristig hält, sollte sich klarmachen, dass 1,72 Mio. BTC – nach unserer Rechnung rund 126 Mrd. Euro – theoretisch eines Tages unerwartet in Bewegung geraten könnten.

Was solltest du 2026 konkret tun, um deinen Public Key zu schützen?

Die wirksamste Maßnahme gegen ein künftiges Quantenrisiko kostet 2026 nichts: Verwende keine Bitcoin-Adresse zweimal, lagere große Langfrist-Bestände auf frischen bc1q-Adressen statt auf Taproot und ziehe Restguthaben von Adressen, von denen du schon gesendet hast, bei Gelegenheit auf eine neue Adresse um – Glassnode zählte im Mai 2026 rund 4,12 Millionen BTC, die allein durch solches Nutzerverhalten exponiert sind.

Klingt unspektakulär, ist aber die Maßnahme mit dem größten Hebel. Moderne Wallets erzeugen für jeden Empfang automatisch eine neue Adresse und schicken Wechselgeld an eine neue Change-Adresse. Probleme entstehen meist dort, wo Menschen eine Adresse „als Kontonummer“ benutzen: als Spendenadresse, als feste Auszahlungsadresse an der Börse oder als Notiz auf einem Zettel im Tresor.

Ein Rechenbeispiel. Lisa hat 2021 auf einer Legacy-Adresse 0,5 BTC empfangen, 2023 davon 0,25 BTC verkauft und das Wechselgeld auf derselben Adresse belassen, weil ihre damalige Wallet das so machte. Heute liegen dort 0,25 BTC, nach Kurs vom 16. Oktober 2026 rund 18.246 Euro, mit offenem Public Key. Ihr heutiges Risiko ist null. Ihr Risiko in einem Quantenszenario ist real. Die Lösung kostet sie eine Transaktion auf eine neue bc1q-Adresse ihrer Hardware-Wallet, bei 5 sat/vB ein paar Cent. Steuerlich ist ein solcher Umzug zwischen eigenen Wallets in Deutschland kein Verkauf; wie das Finanzamt dabei überhaupt Einblick hat, steht in unserem Ratgeber Kann das Finanzamt meine Wallet sehen?.

Und dann gibt es die Dinge, die 2026 viel wichtiger sind als Quanten. Die meisten Bitcoin gehen nicht durch Kryptografie verloren, sondern durch Phishing, manipulierte Geräte und verlorene Backups. Erst im Oktober 2026 wurden über einen Händler manipulierte Ledger-Geräte mit über 86 Mio. Dollar Schaden bekannt, siehe unseren Bericht zur Ledger-Lieferkette über CryptoBilis. Kaufe Hardware-Wallets direkt beim Hersteller und erzeuge die Seed Phrase immer selbst.

Soll ich meine Taproot-Adresse jetzt sofort verlassen?

Ein sofortiger Umzug weg von Taproot (bc1p) ist im Oktober 2026 nicht nötig, weil nach öffentlichem Kenntnisstand kein Quantencomputer mit den nötigen rund 1.200 logischen Qubits existiert; für Bestände, die du zehn Jahre und länger unangetastet lassen willst, ist eine frische bc1q-Adresse ohne Wiederverwendung aber die vorsichtigere Wahl.

Wir würden es so priorisieren: Wenn du ohnehin gerade eine neue Cold-Storage-Lösung einrichtest, wähle Native SegWit (bc1q). Wenn du Taproot für den Alltag, für Lightning-Kanäle oder kleinere Beträge nutzt, gibt es keinen Grund zur Eile. Wenn du eine Erbschaftslösung mit Zeitsperren baust, sprich mit dem Anbieter, wie er mit einem späteren Soft Fork umgehen würde. Unser Leitfaden zum Krypto-Nachlass zeigt, wie du so etwas dokumentierst, damit deine Erben auch einen späteren Wallet-Umzug hinbekommen.

Sind Coins auf einer Börse besser vor Quantenangriffen geschützt?

Börsen sind nicht automatisch quantensicherer als eine eigene Wallet: Glassnode schätzte im Mai 2026, dass rund 85 Prozent der Bitcoin-Bestände von Binance, aber nur etwa 5 Prozent bei Coinbase in Ausgaben mit offenem Public Key liegen, und zusätzlich trägst du bei jeder Börse das Insolvenz- und Hack-Risiko.

Der Vorteil großer Verwahrer: Sie haben Technikteams, die eine Migration professionell abwickeln können, sobald ein neuer Ausgabetyp verfügbar ist. Der Nachteil: Sie entscheiden, nicht du. Und bei einer Pleite hilft dir keine Kryptografie. Was dann mit deinen Coins passiert, haben wir in Was passiert, wenn die Krypto-Börse pleite geht? nach MiCA und deutschem Recht durchgespielt.

Woran erkennst du Betrug mit „quantensicheren“ Wallets und Coins?

Ein seriöses Bitcoin-Produkt kann im Oktober 2026 keine „quantensichere Bitcoin-Wallet“ anbieten, weil das Bitcoin-Mainnet noch keine Post-Quanten-Signaturen unterstützt und BIP-360 nur ein Entwurf ist; wer dir dafür Geld, deine Seed Phrase oder einen „Schutz-Transfer“ an eine fremde Adresse abverlangt, versucht mit hoher Wahrscheinlichkeit zu betrügen.

Betrüger lieben Themen, die Angst machen und technisch klingen. Das Muster ist immer ähnlich: eine E-Mail oder Telegram-Nachricht, die vor einem „Quantenangriff auf deine Wallet“ warnt, ein Link zu einer professionell wirkenden Seite, und am Ende die Aufforderung, deine Seed Phrase „zu migrieren“ oder Coins an eine „sichere Adresse“ zu senden. Die Grundregel bleibt: Deine Seed Phrase gibst du niemandem, nie. Weitere typische Maschen beschreibt unser Ratgeber zu Krypto-Betrug.

Ähnlich vorsichtig solltest du bei Token sein, die mit „Post-Quantum“ werben. Ein Smart Contract mit dem Label „quantenresistent“ ist nicht automatisch geprüft. Ob ein Projekt überhaupt ein unabhängiges Smart-Contract-Audit hat, ist meist die bessere Frage als die nach dem Signaturverfahren.

Kann jemand mit meinem Public Key heute meine Coins stehlen?

Nein: Mit klassischen Computern lässt sich aus einem secp256k1-Public-Key kein Private Key berechnen, und nach öffentlichem Kenntnisstand vom 16. Oktober 2026 existiert kein Quantencomputer, der Googles Mindestanforderung von rund 1.200 logischen Qubits erfüllt – ein sichtbarer Public Key ist heute kein Sicherheitsproblem, sondern eine mögliche Angriffsfläche der Zukunft.

Was ein sichtbarer Public Key heute verrät, ist eher eine Frage der Privatsphäre. Über den Public Key lassen sich Transaktionen derselben Wallet verknüpfen, und Analysefirmen nutzen genau solche Muster. Wer Wert auf Diskretion legt, sollte deshalb auch aus diesem Grund keine Adressen wiederverwenden. Geräte, Börsenkonten und der Mensch vor dem Bildschirm sind 2026 die viel größeren Schwachstellen. Wer Coins zwischen Netzwerken tauschen will, ohne einer Börse zu vertrauen, nutzt übrigens dieselbe Signaturlogik, etwa beim Atomic Swap über HTLC.

Wer verstehen will, warum all das funktioniert, ohne dass eine zentrale Stelle Identitäten prüft, findet die Grundlagen in unserem großen Leitfaden Was ist Bitcoin?. Der Public Key ist dort nur ein Baustein, aber einer, ohne den das ganze System nicht laufen würde.

Quiz: Wie gut kennst du deinen Public Key?

Richtige Antworten: 1b, 2c, 3b, 4a, 5b.

Häufige Fragen zum Public Key

Weiterlesen

Quellen

1. Google Research, 31.03.2026
2. PostQuantum.com, 31.03.2026
3. BIP-360, Draft v0.12.1
4. Cointelegraph, 10.03.2026
5. Glassnode via Cointelegraph, 20.05.2026
6. Chaincode Labs, Mai 2025
7. BIP-340
8. The Quantum Insider, 10.06.2025
9. NIST FIPS 204, 13.08.2024
10. NIST IR 8547 (Entwurf), 12.11.2024
11. EU-Kommission, PQC-Fahrplan Juni 2025
12. BSI TR-02102-1 via PostQuantum.com, 11.02.2026
13. ethereum.org, Stand 08.09.2026
14. Cryptoticker, 16.10.2026

Zitiervorschlag: Rieger, Felix (2026): Was ist ein Public Key – und wann wird er zum Quantenrisiko? Adresstypen, exponierte Bitcoin & BIP-360 im Check 2026. KryptoZukunft.com, aktualisiert am 16. Oktober 2026. https://kryptozukunft.com/2025/03/14/public-key/

Hinweis: Dieser Artikel dient ausschließlich der Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Kryptowährungen sind hochvolatil, ein Totalverlust ist möglich. Alle Zahlen und Kurse mit Stand 16. Oktober 2026; Schätzungen zu Quantencomputern sind mit großer Unsicherheit behaftet. Eigene Berechnungen von KryptoZukunft.com sind als solche gekennzeichnet.