Vor zehn Tagen, am 9. Dezember, stellte Google Willow vor, einen Quantenprozessor mit 105 Qubits, der etwas erreichte, das die Forschung seit fast drei Jahrzehnten anstrebt: Fehlerraten, die sinken, während die Maschine größer wird. Die Ankündigung ließ sofort die älteste Frage an der Schnittstelle von Quantencomputing und Bitcoin wieder aufleben – lebt die Kryptografie, die das Netzwerk absichert, jetzt auf geborgte Zeit? Die kurze Antwort: Willow ist ein echter wissenschaftlicher Meilenstein, und an der praktischen Sicherheit deiner Coins ändert sich heute nichts.
Die längere Antwort ist neun Minuten wert, denn der Abstand zwischen „Meilenstein“ und „Bedrohung“ bemisst sich in Größenordnungen, und weil eine bestimmte, klar identifizierbare Teilmenge des Bitcoin-Bestands stärker exponiert ist als der Rest. Im Folgenden gehen wir durch, was Willow tatsächlich demonstriert hat, was das Brechen von Bitcoins Elliptische-Kurven-Kryptografie erfordern würde, welche Coins zuerst an der Reihe wären und was – wenn überhaupt – ein umsichtiger Inhaber im Dezember 2024 ändern sollte.
Was Willow tatsächlich demonstriert hat
Willow ist ein supraleitender Quantenchip mit 105 physischen Qubits, gefertigt in Googles Produktionsstätte in Santa Barbara. Google veröffentlichte zwei aufsehenerregende Ergebnisse, und das weniger bekannte ist weitaus wichtiger. Das erste ist Quantenfehlerkorrektur unterhalb der Schwelle. Quantenbits sind fragil: Wärme, Vibration und elektromagnetisches Störrauschen beschädigen sie fortlaufend – weshalb Quantencomputer historisch schneller Fehler erzeugten, als sie nützliche Arbeit leisteten. Die übliche Lösung besteht darin, ein zuverlässiges „logisches“ Qubit über viele unzuverlässige physische Qubits zu kodieren – aber das hilft nur, wenn die physische Fehlerrate unter einer kritischen Schwelle liegt. Darüber fügt jedes weitere Qubit mehr Rauschen hinzu, als es beseitigt.
Willow überschritt diese Grenze. Als Google seinen fehlerkorrigierenden Surface Code von einem 3×3-Raster physischer Qubits auf 5×5 und dann auf 7×7 vergrößerte, halbierte sich die logische Fehlerrate bei jedem Schritt annähernd. Fehlerkorrektur unterhalb der Schwelle bedeutet, dass das Hinzufügen weiterer physischer Qubits zu einem kodierten logischen Qubit die logische Fehlerrate sinken statt steigen lässt. Forscher versuchen seit den 1990er-Jahren, dies überzeugend zu demonstrieren. Es ist echter, von Fachkollegen begutachteter Fortschritt, und er verdient es, ernst genommen zu werden.
Das zweite Ergebnis sorgte für die Schlagzeilen. Willow absolvierte einen Random-Circuit-Sampling-Benchmark in unter fünf Minuten, für den einer der heute schnellsten Supercomputer nach Googles eigener Schätzung rund 10²⁵ Jahre bräuchte. Dieser Vergleich ist Googles Darstellung und sollte auch so gelesen werden: Random Circuit Sampling ist eine Aufgabe, die genau deshalb gewählt wurde, weil Quantenhardware von Natur aus gut darin ist und klassische Hardware von Natur aus schlecht. Sie hat keine bekannte kommerzielle oder kryptografische Anwendung. Sie ist ein Belastungstest, kein Codeknacker.
Ein Benchmark ist nicht Shors Algorithmus
Der Quantenangriff, der für Bitcoin von Bedeutung ist, ist ein ganz bestimmter: Shors Algorithmus gegen secp256k1 laufen zu lassen – die elliptische Kurve hinter jeder Bitcoin-Signatur –, um aus einem bekannten öffentlichen Schlüssel einen privaten Schlüssel abzuleiten. Diese Berechnung muss über Stunden auf fehlerkorrigierten logischen Qubits laufen, ohne unter dem angesammelten Rauschen zusammenzubrechen.
secp256k1 mit Shors Algorithmus zu brechen würde in der Größenordnung von Tausenden fehlerkorrigierten logischen Qubits erfordern, was sich bei realistischen Fehlerraten laut vielfach zitierten Forschungsschätzungen in Millionen physischer Qubits übersetzt. Willow hat 105 physische Qubits und demonstrierte in etwa ein einziges gutes logisches Qubit. Die Lücke ist kein Produktzyklus; sie beträgt rund vier Größenordnungen in der Anzahl physischer Qubits – plus ungelöste ingenieurtechnische Probleme in Kryotechnik, Steuerungsverkabelung und Fertigungsausbeute, die mit wachsenden Maschinen schwieriger werden, nicht einfacher.
Kein seriöser Forscher behauptet, dass heute ein kryptografisch relevanter Quantencomputer existiert, und Googles eigene veröffentlichte Roadmap verortet großskalige, fehlerkorrigierte Maschinen mehrere bedeutende Meilensteine entfernt. Ernstzunehmende Schätzungen, wann das Quantencomputing diese Größenordnung erreichen könnte, reichen von etwa einem Jahrzehnt über mehrere Jahrzehnte bis hin zu nie. Diese Schätzungen könnten sich verkürzen – der ganze Sinn von Willow ist ja, dass Skalierung jetzt hilft statt zu schaden –, aber jede Verkürzung wäre lange im Voraus sichtbar, denn die Zahlen logischer Qubits sind veröffentlichte Forschungsergebnisse, keine Geheimnisse.
Welche Bitcoins zuerst an der Reihe wären
Hier ist der Teil, den die meiste Berichterstattung überspringt: Ein Quantenangreifer, der Shors Algorithmus einsetzt, braucht deinen öffentlichen Schlüssel, und nicht jeder Coin legt einen offen. Bitcoin-Outputs fallen in zwei große Klassen.
- Offengelegte öffentliche Schlüssel. Die frühesten Coins – darunter die rund eine Million BTC, die gemeinhin dem Mining der Satoshi-Ära zugeschrieben werden – wurden direkt an rohe öffentliche Schlüssel (P2PK) gezahlt, die vollständig sichtbar on-chain liegen. Auch jede Adresse, die nach einer Ausgabe noch ein Guthaben hält, ist exponiert, denn die erste Ausgabe legt ihren öffentlichen Schlüssel offen. Taproot-Outputs platzieren ebenfalls konstruktionsbedingt einen getweakten öffentlichen Schlüssel on-chain.
- Hash-geschützte Outputs. Eine Bitcoin-Adresse, von der noch nie ausgegeben wurde, legt nur den Hash ihres öffentlichen Schlüssels offen, nicht den öffentlichen Schlüssel selbst – und Shors Algorithmus lässt sich nicht auf einen Hash richten. Für diese Coins ist das einzige Einfallstor des Angreifers das kurze Intervall zwischen dem Senden einer Transaktion, das den Schlüssel offenlegt, und der Bestätigung dieser Transaktion – ein weitaus schwierigeres Wettrennen gegen das Netzwerk.
Die exponierte Klasse ist nicht klein. Eine vielfach zitierte Deloitte-Analyse schätzte, dass Outputs mit offengelegten öffentlichen Schlüsseln rund ein Viertel aller Bitcoins halten – überwiegend frühe P2PK-Coins und wiederverwendete Adressen. Sollte je eine kryptografisch relevante Maschine eintreffen, sind diese Coins – viele davon nachweislich ruhend, ihre Besitzer längst verschwunden – der Kanarienvogel im Kohlebergwerk. Sie würden zuerst angegriffen, öffentlich und unmissverständlich, und das Netzwerk hätte eine eindeutige Warnung, bevor hash-geschützte Coins überhaupt angreifbar wären.
Die Lösung existiert; die Migration ist der schwierige Teil
Post-Quanten-Kryptografie ist nicht länger theoretisch. Im August 2024 verabschiedete NIST seine ersten drei Post-Quanten-Standards – FIPS 203, 204 und 205 –, die Schlüsselkapselung und digitale Signaturen abdecken, die Quantenangriffen widerstehen sollen. Bitcoin könnte einen quantenresistenten Output-Typ über einen Soft Fork einführen – denselben Upgrade-Pfad, der SegWit und Taproot brachte.
Die wirklich schwierigen Probleme sind praktischer, nicht mathematischer Natur. Post-Quanten-Signaturen sind groß – Kilobytes, gegenüber rund 70 Byte für eine secp256k1-Signatur –, was den Blockspeicher belastet. Die Migration verlangt von jedem Inhaber, Coins auf neue Output-Typen zu verschieben – eine Koordinationsaufgabe über zig Millionen Teilnehmer hinweg. Und die Millionen Coins, deren Schlüssel verloren sind, können überhaupt nie migrieren, was die Community irgendwann zu einer unbequemen Entscheidung zwingen wird: sie als Quanten-Beute liegen zu lassen oder sie auf Protokollebene einzufrieren. Das sind Governance-Fragen, und Governance bewegt sich langsamer als Mathematik. Das ist das ehrliche Argument dafür, früh aufmerksam zu sein – keine Panik, sondern Vorlaufzeit.
Was Willow daran ändert, wie du deine Schlüssel verwahrst: nichts – und das ist der Punkt
Zum Zeitpunkt dieses Textes sind die Bedrohungen, die Menschen tatsächlich Bitcoin kosten, unverändert: Phishing, Diebstahl der Seed-Phrase, Malware auf Online-Geräten, Versagen von Verwahrern und schlichter Verlust. Eine nüchterne Lesart von Willow lässt deine Sicherheits-Checkliste genau dort, wo sie war – wobei es sich lohnt zu bemerken, dass gute Schlüsselhygiene und gute Quantenhygiene weitgehend dieselbe Liste sind:
- Verwende Adressen nicht wieder. Wiederverwendung gibt deinen öffentlichen Schlüssel dauerhaft preis und verschiebt deine Coins in die exponierte Klasse – für welche Hardware auch immer in Jahrzehnten existiert. Moderne Wallets wechseln Adressen standardmäßig; lass sie das tun.
- Halte Schlüssel offline. Was auch immer die ferne Zukunft bringt – die heutigen Angriffe kommen über das Netzwerk. Ownbits Cold-Wallet-Workflow verwandelt ein ausrangiertes Smartphone in einen Air-Gap-Signer, der unsignierte Transaktionen und Signaturen rein per QR-Code austauscht, und unser Sicherheitsmodell ist so gebaut, dass die Wiederherstellung niemals von Ownbits Servern abhängt.
- Beseitige Single Points of Failure. Eine einzige Seed-Phrase ist nur einen Diebstahl, einen Hausbrand oder einen verwirrten Erben vom Totalverlust entfernt – ein Risiko, das jeden einzelnen Tag real ist, anders als Shors Algorithmus.
Ein ehrlicher Vorbehalt gehört hierher. Kein Schlüsselverwaltungsschema ändert die zugrunde liegende Kurve: MultiSig, MPC und Hardware-Wallets laufen alle auf Signaturen hinaus, die on-chain durch dieselbe Elliptische-Kurven-Mathematik verifiziert werden – ein Punkt, den wir auch in unserem Vergleich von MPC und MultiSig gemacht haben. Was Ownbit MultiSig ändert, ist alles, was dich bedroht, bevor überhaupt eine Quantenmaschine existiert: Es verteilt die Kontrolle auf unabhängige, standardkonforme BIP39-Seed-Phrasen, sodass weder eine einzelne Gerätekompromittierung noch ein verlorenes Backup Gelder bewegen kann. Und weil es auf offenen Standards mit quelloffenen Contracts aufbaut, liegt es auf demselben Upgrade-Pfad wie der Rest des Ökosystems, wenn schließlich Post-Quanten-Signaturtypen eintreffen.
Häufig gestellte Fragen
Hat Googles Willow-Chip Bitcoins Verschlüsselung gebrochen?
Nein. Willow demonstrierte Fehlerkorrektur unterhalb der Schwelle mit 105 physischen Qubits und führte einen Sampling-Benchmark ohne kryptografischen Nutzen aus. Bitcoins secp256k1-Kurve zu brechen würde erfordern, Shors Algorithmus auf Tausenden fehlerkorrigierten logischen Qubits laufen zu lassen – nach vielfach zitierten Schätzungen Millionen physischer Qubits –, was keine Maschine auf der Erde heute leisten kann.
Wie viele Qubits wären nötig, um Bitcoins Kryptografie zu brechen?
Veröffentlichte Forschungsschätzungen beziffern den Bedarf auf die Größenordnung von Tausenden logischer Qubits, was bei realistischen Fehlerraten Millionen physischer Qubits bedeutet, die zusammenwirken. Willow hat 105 physische Qubits und demonstrierte in etwa ein einziges hochwertiges logisches Qubit – womit eine Lücke von rund vier Größenordnungen bleibt, noch bevor die ingenieurtechnischen Herausforderungen überhaupt mitgezählt sind.
Welche Bitcoins sind am anfälligsten für Quantencomputing?
Coins, deren öffentliche Schlüssel bereits on-chain sichtbar sind: frühe Pay-to-Public-Key-Outputs (P2PK), Guthaben auf wiederverwendeten Adressen und Taproot-Outputs. Eine vielfach zitierte Deloitte-Analyse bezifferte diese exponierte Klasse auf rund ein Viertel aller Bitcoins. Eine Adresse, von der noch nie ausgegeben wurde, legt nur einen Hash offen, den Shors Algorithmus nicht direkt angreifen kann.
Sollte ich meine Bitcoins wegen Willow auf eine neue Adresse verschieben?
Es besteht keine Dringlichkeit – keine zu diesem Angriff fähige Maschine existiert oder ist nahe. Die sinnvollen Gewohnheiten sind jene, die ohnehin gelten: Adresswiederverwendung vermeiden, Schlüssel offline halten und Single Points of Failure beseitigen. Sollte je eine kryptografisch relevante Maschine näher rücken, würden exponierte ruhende Coins zuerst angegriffen, und das Ökosystem hätte jahrelange sichtbare Vorwarnung, um zu migrieren.
Willow ist ein Grund zur Aufmerksamkeit, kein Grund zur Panik – und die beste Vorbereitung sieht genau aus wie ganz gewöhnliche gute Verwahrung. Wenn du die Single Points of Failure beseitigen willst, die heute zählen, kannst du mit Ownbit MultiSig die Kontrolle auf unabhängige Seed-Phrasen auf deinen eigenen Geräten verteilen, und unsere Sicherheitsübersicht erklärt, wie das Design die Wiederherstellung in deinen Händen behält – mit oder ohne unsere Server.