Satoshis Schloss
Rund ein Drittel aller Bitcoin liegt auf Adressen mit sichtbarem öffentlichem Schlüssel, darunter die Coins, die Satoshi zugeschrieben werden. Der Quantencomputer, der sie knacken könnte, fehlt noch, doch der Abstand ist 2026 deutlich geschrumpft. Jetzt streitet die Szene, ob gefährdete Coins eingefroren werden sollen.
In 5 Minuten durch
Ein ausreichend grosser Quantencomputer könnte aus einem sichtbaren öffentlichen Schlüssel den privaten Schlüssel berechnen und damit Bitcoin-Signaturen fälschen. Das Mining und die Obergrenze von 21 Millionen sind davon praktisch nicht betroffen. Im August 2026 lagen rund 7,06 Millionen Bitcoin, also 35 Prozent des Angebots, auf Adressen mit sichtbarem Schlüssel. Davon entfallen 1,72 Millionen auf das älteste Adressformat P2PK, zu dem auch die rund 1,1 Millionen Satoshi zugeschriebenen Coins gehören. Seit 2024 steigt der exponierte Anteil wieder, vor allem weil moderne Adressen wiederverwendet werden. Ein Forschungsteam von Google hat im März 2026 berechnet, dass ein Angriff mit weniger als 500'000 physischen Qubits in Minuten möglich wäre. Die beste Hardware liegt bei den zuverlässigen Rechenschritten aber noch mehr als 100'000-fach darunter. Experten sehen einen solchen Rechner innerhalb von fünf Jahren kaum, innerhalb von 15 Jahren hält ihn eine Mehrheit für wahrscheinlich. Auf dem Tisch liegen ein neuer, geschützter Adresstyp (BIP-360), eine Frist mit anschliessendem Einfrieren alter Signaturen (BIP-361) und eine Bremse für den Abfluss alter Coins (Hourglass). Aktiviert ist nichts davon. Der Streit dreht sich um die Frage, wem verlorene Coins gehören, wenn ihr Schloss nicht mehr hält. Jeder Weg hat Kosten, und jeder braucht Jahre. Für die eigenen Coins zählen Adresstyp und Wiederverwendung, beides lässt sich heute ohne Eile prüfen.
Rund eine Million Bitcoin aus den Jahren 2009 und 2010 liegen bis heute unberührt auf der Blockchain, und sie werden Satoshi Nakamoto zugeschrieben. Seit Anfang 2026 liegt ein Vorschlag auf dem Tisch, solche Coins einzufrieren, bevor ein Quantencomputer sie öffnet. Wie nah diese Maschine wirklich ist und was der Streit für alle anderen Halter bedeutet, ist die Frage dieses Berichts.
Der Mechanismus
Was ein Quantencomputer knacken kann und was nicht
Jede Bitcoin-Zahlung beruht auf einem Schlüsselpaar. Der private Schlüssel ist eine geheime Zahl, aus ihr wird der öffentliche berechnet. Mit einer Signatur beweist der Besitzer, dass er den privaten Schlüssel kennt, ohne ihn zu verraten. Den Rückweg vom öffentlichen zum privaten Schlüssel schafft kein heutiger Computer: Selbst einer der schnellsten Supercomputer der Welt bräuchte rund hundert Billiarden Jahre.
Ein Quantencomputer könnte diese Einbahnstrasse umdrehen. Mit dem sogenannten Shor-Algorithmus liesse sich aus dem öffentlichen Schlüssel der private berechnen. Damit wären die Signaturen gebrochen, die Bitcoin heute nutzt, und der Angreifer könnte fremde Coins ausgeben, als wären es seine eigenen.
Das Mining ist dagegen kaum gefährdet, denn der dafür passende Grover-Algorithmus bringt nur einen mässigen Vorteil. Selbst unter sehr optimistischen Annahmen käme ein Quantenminer auf weniger als ein Hundertstel der Leistung eines einzigen gängigen Mining-Geräts. Die Obergrenze von 21 Millionen Bitcoin steht also nicht zur Debatte.
Am einfachsten stellt man sich einen Briefkasten vor. Das Schloss ist öffentlich, den Schlüssel hat nur der Besitzer. Ein Quantencomputer wäre ein Schlosser, der aus dem Schloss einen Schlüssel nachfeilen kann, aber nur, wenn er es sieht. Bei den ältesten Adressen und bei Taproot hängt es offen da. Bei den meisten anderen steckt es in einem verschlossenen Kasten, bis der Besitzer zum ersten Mal Geld herausnimmt.
Daraus ergeben sich zwei Arten von Angriffen. Liegt der Schlüssel schon lange offen, hat der Angreifer Jahre Zeit. Wird er erst beim Ausgeben sichtbar, muss er ihn knacken, bevor die Transaktion in einem Block landet. Ein Forschungsteam von Google schätzt, dass ein schneller Quantencomputer so eine gewöhnliche Zahlung mit knapp 41 Prozent Wahrscheinlichkeit abfangen könnte. Langsamere Bauarten kämen zunächst nur an Schlüssel, die schon offen liegen.
Die Bestände
Ein Drittel aller Bitcoin hat das Schloss offen
Anfang August 2026 lagen rund 7,06 Millionen Bitcoin auf Adressen, deren öffentlicher Schlüssel auf der Blockchain sichtbar ist. Das sind 35 Prozent des damaligen Angebots. Je nach Zählweise landet man zwischen einem Viertel und gut einem Drittel.
Der grösste einzelne Block sind die 1,72 Millionen Bitcoin im ältesten Format P2PK, in dem der Schlüssel direkt im Output steht. Wiederverwendete moderne Adressen wiegen zusammen aber mehr. Allein auf Standardadressen mit bc1q liegen 1,97 Millionen Bitcoin mit offenem Schlüssel. Taproot macht mit 0,22 Millionen nur einen kleinen Teil aus.
Wiederverwendung öffnet das Schloss auf einfache Weise. Wer mehrmals Geld auf dieselbe Adresse empfängt und einmal davon ausgibt, hat den Schlüssel gezeigt. Was danach noch dort liegt, ist genauso exponiert wie eine Münze aus dem Jahr 2009.
Der exponierte Anteil fiel von 86 Prozent im Jahr 2010 auf rund 31 Prozent zwischen 2021 und 2024. Seither steigt er wieder, weil sich die exponierte Menge auf wiederverwendeten bc1q-Adressen seit Juli 2023 mehr als verdoppelt hat. Wer dahintersteht, ist nicht zu erkennen. Als typische Wiederverwender gelten grosse institutionelle Halter und Börsen.
Satoshis Coins
Der grösste ruhende Schatz liegt im ältesten Format
P2PK war das Format der frühen Mining-Belohnungen in den Jahren 2009 und 2010. Heute liegen darin rund 1,72 Millionen Bitcoin, und fast nichts davon hat sich je bewegt. Seit Oktober 2019 sind nur rund 40'000 Bitcoin abgeflossen, und neue P2PK-Outputs entstehen kaum noch.
Ein grosser Teil dieses Bestands wird Satoshi Nakamoto zugeschrieben. Der Sicherheitsforscher Sergio Lerner fand in den frühesten Blöcken anhand technischer Eigenheiten der ersten Software das Muster eines einzigen dominanten Miners. Rund 22'000 Blöcke aus den Jahren 2009 und 2010 tragen es, und fast alle Belohnungen daraus sind unberührt. Bei 50 Bitcoin je Block ergibt das rund 1,1 Millionen Bitcoin.
Die Zuschreibung ist eine statistische Schlussfolgerung und kein Beweis, vorsichtigere Schätzungen gehen bis auf 600'000 Bitcoin hinunter. Ob die Schlüssel zu diesen Coins noch existieren, weiss niemand. Sicher ist nur, dass sie im Format liegen, in dem das Schloss offen hängt.
Nicht alles Exponierte ist verloren. Von den 7,06 Millionen offenen Bitcoin wurden 3,32 Millionen im letzten Jahr bewegt, ihre Besitzer könnten umziehen, sobald es ein sicheres Ziel gibt. Rund 1,89 Millionen ruhen seit über einem Jahr, 1,86 Millionen wurden nie bewegt.
Der harte Kern sind die ruhenden und wahrscheinlich zum Teil verlorenen Coins, je nach Schätzung rund 2,3 bis 2,6 Millionen Bitcoin. Viele ihrer Besitzer dürften nicht mehr umziehen können. Allein die P2PK-Coins sind heute etwa 139 Milliarden Dollar wert.
Die Maschinen
Der Bedarf ist geschrumpft, die Hardware noch nicht
Bei Quantencomputern gibt es zwei Arten von Qubits. Physische Qubits sind die eigentlichen Bauteile, und sie machen ständig Fehler. Erst viele davon zusammen ergeben mit einer Fehlerkorrektur ein logisches Qubit, das zuverlässig rechnet. Die rohe Qubit-Zahl einer Maschine sagt deshalb wenig über ihre Rechenkraft.
Im März 2026 hat das Google-Team neu berechnet, was ein Angriff auf einen Bitcoin-Schlüssel kostet. Je nach Variante braucht es weniger als 1'200 oder 1'450 logische Qubits. Auf einem supraleitenden Rechner wären das weniger als 500'000 physische Qubits, und ein Schlüssel wäre in 18 bis 23 Minuten geknackt. Ein Forscher des französischen Instituts Inria kam im Juni unabhängig auf fast dieselben Kosten.
Der Sprung ist gross. 2021 lag die Schätzung noch bei 13 Millionen physischen Qubits für einen Angriff, der einen ganzen Tag dauert. Heute sind es 26-mal weniger Qubits, und der Angriff dauert Minuten statt eines Tages. Bei den teuren Rechenschritten, die die Laufzeit eines solchen Angriffs bestimmen, ist die Schätzung seit 2017 um rund den Faktor 1'800 gefallen.
Die Hardware ist davon noch weit entfernt. Das grösste gemeldete Qubit-Feld hat 6'100 Atome und kann noch nicht vollständig rechnen. Googles Chip Willow zeigte Ende 2024 mit 105 Qubits erstmals eine Fehlerkorrektur, bei der zusätzliche Qubits die Fehler senken statt erhöhen. Der Bedarf ist rund 80-mal so gross wie das grösste Feld und rund 4'800-mal so gross wie Willow.
Bei den zuverlässigen Rechenschritten ist der Abstand noch grösser. IBM und die University of Chicago haben im Juli 2026 mit 70 logischen Qubits 468 der teuren Rechenschritte ausgeführt. Ein Angriff braucht 70 bis 90 Millionen davon, mehr als 100'000-mal so viele.
Die Fahrpläne der Hersteller zielen genau in diese Richtung. IBM plant für 2029 einen Rechner mit 200 logischen Qubits, ab 2033 einen mit bis zu 2'000 und einer Milliarde Rechenschritten. Das läge auf dem Papier in der Grössenordnung eines Angriffs. Fahrpläne sind aber nur Absichten.
Der Zeitpunkt
Wann der Q-Day kommen könnte
Den Tag, an dem ein Quantencomputer verbreitete Verschlüsselung bricht, nennt die Branche Q-Day. In einer Umfrage des Global Risk Institute vom März 2026 hält nur einer von 26 Experten ihn innerhalb von fünf Jahren für wahrscheinlich. Innerhalb von zehn Jahren sind es 23 Prozent, innerhalb von 15 Jahren 58 Prozent.
Gegenüber der Umfrage davor sind die Erwartungen nach vorne gerückt, beim Horizont von 15 Jahren von 34 auf 58 Prozent. Gefragt wird nach dem Knacken eines RSA-Schlüssels, und Bitcoins Kurve gilt als leichteres Ziel. Zudem kam die Google-Arbeit zum Teil erst nach der Befragung. Für Bitcoin dürften die Werte deshalb eher vorsichtig sein.
Craig Gidney, einer der Google-Autoren, hält einen solchen Rechner innerhalb weniger Jahre für möglich, aber nicht für wahrscheinlich. Die US-Standardbehörde NIST hat 2024 die ersten quantensicheren Verfahren veröffentlicht, und nach ihrem Entwurf darf das Signaturverfahren, das auch Bitcoin nutzt, von US-Bundesbehörden nach 2035 nicht mehr verwendet werden.
Das Google-Team kommt zum Schluss, dass die Zeit bis zum ersten solchen Rechner noch länger ist als die Zeit, die Blockchains für eine Umstellung brauchen. Der Spielraum für Fehler werde aber immer kleiner.
Member
Vom langfristigen Risiko zur eigenen Position
Dieser Bericht zeigt, welche Coins offen liegen, wie weit die Maschinen sind und warum die Szene streitet. Ein Risiko mit einem Horizont von zehn oder mehr Jahren ist aber nur ein Teil dessen, was ich mir anschaue, wenn ich Bitcoin selbst einschätze.
In den Member-Berichten lege ich meine eigene Positionierung offen, dazu meine Thesen, Szenarien und die Levels bei Bitcoin, die für mich zählen. Im Sanctis Letter ordne ich den Markt am ausführlichsten ein.
Die Vorschläge
Ein neuer Adresstyp, eine Frist und eine Bremse
Der erste Vorschlag heisst BIP-360 und ist seit Dezember 2024 ein Entwurf. Er führt einen Adresstyp ein, der wie Taproot funktioniert, den Schlüssel aber nicht mehr offen zeigt. Gegen den Angriff beim Ausgeben schützt das noch nicht, quantensichere Signaturen enthält der Vorschlag nicht. Über die richtige Form streiten die Entwickler noch, einen Aktivierungsplan gibt es nicht.
BIP-361 von Jameson Lopp und fünf Mitautoren geht weiter. Der Entwurf setzt einen quantensicheren Adresstyp voraus. Rund drei Jahre nach der Aktivierung wären Zahlungen an verwundbare Adressen nicht mehr erlaubt, zwei Jahre später liessen sich alte Signaturen nur noch über ein quantensicheres Rettungsverfahren nutzen. Wer bis dahin nicht umgezogen ist und kein solches Verfahren nutzen kann, kommt nicht mehr an seine Coins.
Für P2PK kennen die Autoren kein Rettungsverfahren. Nicht umgezogene P2PK-Coins, also auch die Satoshi zugeschriebenen, würden dauerhaft unbeweglich. Daher kommt das Wort Einfrieren.
Hourglass sucht einen Mittelweg. Die Fassung vom Februar 2026 erlaubt pro Block nur einen P2PK-Input und lässt pro Block netto höchstens einen Bitcoin abfliessen. Die alten Coins blieben ausgebbar, flössen aber nur tropfenweise ab. Mit der ersten Fassung, die nur die Inputs begrenzte, wären alle P2PK-Outputs nach rund 310 Tagen abgeflossen, mit der zweiten erst nach rund 33 Jahren.
Die Bremse hat einen Haken. Auf der Blockchain sieht ein echter Besitzer genauso aus wie ein Dieb mit einem Quantencomputer. Wer zuerst durch den Engpass will, muss die höchste Gebühr bieten, und davon profitieren vor allem die Miner.
Die Umstellung
Warum Bitcoin für jeden Weg Jahre braucht
Bei Bitcoin entscheidet niemand allein, deshalb dauern Upgrades lange. SegWit brauchte 20 Monate vom Vorschlag bis zur Aktivierung im August 2017, Taproot 22 Monate bis November 2021. Bis über 90 Prozent der Transaktionen SegWit nutzten, vergingen danach noch einmal rund sechs Jahre.
Die Entwickler von Chaincode Labs schätzen eine vollständige Umstellung auf rund sieben Jahre: zweieinhalb für die Forschung, anderthalb für die Umsetzung, drei für den Umzug der Coins. Notfallmassnahmen halten sie in rund zwei Jahren für machbar.
Dazu kommt ein Grössenproblem. Eine heutige Schnorr-Signatur ist 64 Bytes gross, die neuen Standardverfahren brauchen 2'420 bis 7'856 Bytes. Ohne neue Regeln passen damit weit weniger Transaktionen in einen Block, und der alte Streit um die Blockgrösse käme zurück.
Signal, Apple und Chrome stellen bereits um, doch dort entscheidet jeweils ein einziges Unternehmen. Bei Bitcoin müssen sich viele Beteiligte einigen, und die Besitzer müssen ihre Coins selbst bewegen.
Der Streit
Wem gehören Coins, deren Schloss nicht mehr hält?
Satoshi Nakamoto schrieb einst, verlorene Coins machten die Coins aller anderen nur ein wenig wertvoller. Beide Lager berufen sich auf diesen Satz. Lopp dreht ihn im Entwurf BIP-361 um: Coins, die ein Quantencomputer zurückholt, machten die Coins aller anderen weniger wert, sie seien ein Diebstahl an allen.
Die Befürworter des Einfrierens wollen verhindern, dass sich ein Angreifer auf Kosten aller Halter bereichert und den Markt mit alten Coins flutet. Das Google-Team liefert dazu ein nüchternes Argument: Ohne Änderung am Protokoll sorgen Gesetze gegen die Aneignung dieser Coins nur dafür, dass sie am Ende Kriminellen in die Hände fallen.
Die Gegner berufen sich auf das Grundversprechen von Bitcoin, dass niemand fremde Coins anrühren kann. Für sie wäre ein Einfrieren per Mehrheitsbeschluss eine Enteignung. Die Autoren von Hourglass warnen vor einem Präzedenzfall, der später auch Änderungen an der Geldpolitik erleichtern könnte.
Beide Seiten haben gute Argumente. Der Vorwurf der Enteignung hält im Kern, denn wer kein Rettungsverfahren nutzen kann, verliert den Zugriff, und für P2PK gibt es keines. Ohne Einfrieren wäre dieses Eigentum aber ebenfalls verloren, nur an einen Angreifer. Am stärksten bleibt deshalb das Argument des Präzedenzfalls, denn eine einmal genutzte Sperre lässt sich wieder nutzen.
Wie gespalten die Szene ist, zeigte 2025 ein Treffen in San Francisco. Eine informelle Abstimmung ergab etwa gleich viel Unterstützung für Nichtstun, Einfrieren und Hourglass. Aktiviert ist bis heute keiner der Vorschläge.
Der Markt
Was beide Wege für das Angebot bedeuten könnten
Die rund 1,1 Millionen Satoshi zugeschriebenen Bitcoin entsprechen dem 22-Fachen dessen, was der Freistaat Sachsen 2024 verkauft hat, und 85 Prozent dessen, was alle US-Spot-ETFs zusammen halten. Am gesamten gemeldeten Handel an den Spot-Börsen gemessen sind es rund zwölf Tage.
Was grosse Altbestände auslösen können, zeigte der Sommer 2024. Sachsen verkaufte zwischen dem 19. Juni und dem 12. Juli 49'858 Bitcoin, im Schnitt rund 2'100 Bitcoin pro Tag. Das war gut ein Prozent des damaligen täglichen Handelsvolumens. Der Preis fiel in diesem Zeitraum um 10,8 Prozent und stand Ende Juli fast wieder am Ausgangspunkt. Weil gleichzeitig die Rückzahlungen an die Gläubiger der Börse Mt. Gox begannen und Gelder in und aus den ETFs flossen, lässt sich der Effekt der Verkäufe nicht sauber trennen.
Ein Angreifer käme zudem nicht auf einen Schlag an alle Coins. Eine schnelle Maschine bräuchte für die rund 37'700 P2PK-Schlüssel nacheinander rund 236 Tage, eine langsame 60 bis über 1'000 Jahre. Er dürfte die grössten Bestände zuerst nehmen und könnte im Stillen knacken, um die Coins später auf einmal auszugeben.
Ein Diebstahl wäre deshalb auch ein Vertrauensereignis. Fallen die ersten alten Schlüssel, fragen sich die Besitzer exponierter moderner Adressen, ob ihre Coins die nächsten sind. Lopp hält es für rational, dass sie dann verkaufen. Das Google-Team erwartet dagegen, dass wer alte Coins in grossem Stil knackt, einen Anreiz hätte, sie langsam zu verkaufen. Beides sind Überlegungen, keine Erfahrungswerte.
Beim Einfrieren würde sich am heute gehandelten Angebot wenig ändern, denn die Satoshi zugeschriebenen Coins haben sich seit ihrer Entstehung 2009 und 2010 praktisch nie bewegt. Die Kosten wären der Präzedenzfall. Eine Kursprognose geben diese Vergleiche für keinen der beiden Wege her.
Für Anleger
Was man heute prüfen kann
Den Adresstyp erkennt man am Anfang der Adresse. Adressen mit 1, 3 oder bc1q verbergen den Schlüssel hinter einem Hash, solange von ihnen noch nie etwas ausgegeben wurde. Bei Adressen mit bc1p, also Taproot, steht der Schlüssel offen im Output.
Aus Quantensicht ist Taproot deshalb ein Rückschritt, und gerade Taproot wird immer häufiger genutzt. Auf Taproot-Adressen ruhen zwar erst 0,22 Millionen Bitcoin, im September und Oktober 2026 ging aber schon rund ein Viertel des gesendeten Werts an solche Adressen.
Wichtiger als der Typ ist die Wiederverwendung. Wurde von einer Adresse schon einmal ausgegeben und liegt dort noch Guthaben, ist der Schlüssel sichtbar. Es hilft, jede Adresse nur einmal zu verwenden, das Wechselgeld an eine neue Adresse zu schicken und eine wiederverwendete Adresse beim Ausgeben ganz zu leeren.
Einen Grund zur Eile gibt es heute nicht. Es gibt weder einen Quantencomputer, der Schlüssel knacken kann, noch einen quantensicheren Adresstyp, auf den man umziehen könnte. Beim Ausgeben wird zudem jeder Schlüssel sichtbar, dagegen helfen erst neue Signaturen. Den richtigen Moment für einen Umzug zeigt die Aktivierung von BIP-360 oder einem Nachfolger.
Real, aber nicht akut
Die Gefahr ist real, aber nicht akut. Kein bekannter Quantencomputer kann heute einen Bitcoin-Schlüssel knacken, bei den zuverlässigen Rechenschritten fehlt noch mehr als das 100'000-Fache. Neu ist seit März 2026, dass der Bedarf viel kleiner geworden ist und die Fahrpläne der Hersteller auf dem Papier in den 2030er-Jahren in diese Grössenordnung kommen. Zu diesen Daten passt weder Panik noch die Gelassenheit, als sei das ein Thema für in 50 Jahren.
Zuerst betroffen wären die 1,72 Millionen Bitcoin im ältesten Format, darunter die rund 1,1 Millionen, die Satoshi zugeschrieben werden, und die Coins auf Taproot. Von den rund 7 Millionen exponierten Bitcoin gehören gut 3 Millionen aktiven Besitzern, die umziehen können. Ungelöst sind die rund 2,3 bis 2,6 Millionen ruhenden, zum Teil wohl verlorenen Coins.
Der Streit ums Einfrieren ist im Kern die Frage, wem solche Coins gehören, wenn ihr Schloss nicht mehr hält. Jeder Weg hat seinen Preis, ein mögliches Überangebot oder einen Präzedenzfall, und jeder braucht Jahre. Für die eigenen Coins zählen Adresstyp und Wiederverwendung, und beides lässt sich heute in Ruhe prüfen.
Keine Anlageberatung. Alle Inhalte dienen der Information und der Meinungsbildung. Über FabianHinweisImpressumDatenschutz