Können Quantencomputer Verschlüsselung knacken? RSA-2048, Bitcoin und die umstrittene Qubit-Grenze

Können Quantencomputer Verschlüsselung knacken – irgendwann, mit genug Geld und genug Qubits? In der IT-Sicherheit lautet die verbreitete Antwort: ja, es ist eine Frage von Zeit und Ingenieursarbeit. Ein in den Proceedings of the National Academy of Sciences veröffentlichtes Paper des Oxford-Physikers Tim Palmer stellt diese Voraussetzung selbst infrage und leitet eine Obergrenze von rund tausend verschränkten, fehlerkorrigierten Qubits her. Diese Seite erklärt die Theorie in einfacher Sprache, zeigt, warum daraus für RSA-2048 etwas anderes folgt als für Bitcoin, und sagt dir, was du unabhängig vom Ausgang dieser Debatte für deine Verschlüsselung, dein Online-Banking und deine Coins tun solltest.

Kann ein Quantencomputer Verschlüsselung knacken? Der Stand der Debatte

Die klassische Public-Key-Kryptografie im Internet beruht im Wesentlichen auf drei mathematischen Problemen, die klassische Rechner nicht in vernünftiger Zeit lösen: der Zerlegung sehr großer Zahlen in Primfaktoren, dem diskreten Logarithmus in endlichen Körpern und dem diskreten Logarithmus auf elliptischen Kurven, kurz ECDLP. Auf dem ersten Problem beruht RSA, auf dem dritten beruhen die Signatur- und Schlüsselverfahren, die dein Browser beim Aufbau einer HTTPS-Verbindung nutzt und mit denen auch Bitcoin-Transaktionen unterschrieben werden. Die eigentliche Massendatenverschlüsselung läuft dagegen symmetrisch, etwa mit AES oder ChaCha20 – ein wichtiger Unterschied, auf den wir weiter unten zurückkommen. Moderne TLS-Verbindungen nutzen zusätzlich zunehmend eine hybride Schlüsseleinigung mit einem Post-Quanten-Verfahren.

Diese Public-Key-Probleme haben eine gemeinsame Schwachstelle. 1994 zeigte Peter Shor, dass ein hinreichend großer Quantencomputer sie in kurzer Zeit lösen könnte. Seitdem existiert in der IT-Sicherheit ein Begriff für die Maschine, die es noch nicht gibt: der kryptografisch relevante Quantencomputer. Und mit ihm ein Datum, das niemand kennt und alle fürchten – der Q-Day, der Tag, an dem eine solche Maschine zum ersten Mal eine echte Verschlüsselung bricht.

Die gängigen kryptografischen Aufwandsabschätzungen zum Q-Day beantworten Ingenieursfragen: Wie viele Qubits schafft man? Wie stabil sind sie? Wie viele fehleranfällige physische Qubits braucht man für ein fehlerkorrigiertes, also logisches Qubit? Sie alle setzen dabei voraus, dass sich die Quantenmechanik grundsätzlich beliebig hochskalieren lässt. Genau diese Voraussetzung stellt Palmers Arbeit infrage – und das ist der Punkt, um den es hier geht.

Tim Palmer ist in der Physik kein Unbekannter. Bekannt wurde er mit Arbeiten zur Chaostheorie und zur Wettervorhersage; seit Jahren beschäftigt er sich mit den Grundlagen der Quantentheorie. Seine Arbeit trägt den Titel „Rational Quantum Mechanics: Testing Quantum Theory with Quantum Computers“, ist als arXiv-Preprint erschienen und wurde anschließend in den Proceedings of the National Academy of Sciences veröffentlicht, also in einer begutachteten Fachzeitschrift. Zu den namentlich genannten Gutachtern gehören unter anderem Nicolas Gisin und Lucien Hardy – beides bekannte Namen aus der Quantengrundlagenforschung.

Quantencomputer einfach erklärt: was ist ein Qubit und warum rechnet es schneller?

Bevor es um Palmers Grenze geht, lohnt sich die Grundlage, weil fast jede Schlagzeile zum Thema an dieser Stelle ungenau wird. Ein Quantencomputer ist keine schnellere Version deines PCs. Er rechnet nach anderen Regeln und ist nur bei einer Handvoll ganz bestimmter Aufgaben überlegen. Für viele alltägliche und klassische Rechenaufgaben ist kein Quantenvorteil bekannt; dort bleiben klassische Rechner die sinnvollere Architektur.

Was ist ein Qubit?

Ein Qubit ist die Recheneinheit eines Quantencomputers. Ein klassisches Bit kennt zwei Zustände, null oder eins. Ein Qubit kann sich in einer Überlagerung beider Zustände befinden, und mehrere Qubits lassen sich zusätzlich verschränken, sodass sie nur noch gemeinsam beschreibbar sind. Aus dieser Kombination entsteht der Rechenvorteil: Ein geschickt gebauter Algorithmus arbeitet nicht mit einer Möglichkeit nach der anderen, sondern lässt die Möglichkeiten so miteinander interferieren, dass am Ende die richtige Antwort stehen bleibt.

Logische und physische Qubits: der Unterschied, der alle Schlagzeilen verzerrt

Physische Qubits sind extrem störanfällig. Wärme, Vibration, elektromagnetisches Rauschen – jede Kleinigkeit zerstört den Zustand. Deshalb bündelt man viele physische Qubits durch Fehlerkorrektur zu einem einzigen stabilen, logischen Qubit. Wie viele es sind, hängt von der Bauform und der Fehlerrate ab, aber es sind sehr viele. Genau hier entsteht das Missverständnis: Wenn ein Hersteller eine dreistellige oder vierstellige Qubit-Zahl meldet, meint er in aller Regel physische Qubits. Schaltkreis- und Algorithmusabschätzungen werden dagegen häufig in logischen Qubits angegeben; vollständige Hardware-Abschätzungen nennen daneben auch direkt physische, also verrauschte Qubits – Gidneys RSA-Abschätzung ist genau so ein Fall. Eine Meldung über tausend physische Qubits sagt über die Gefahr für deine Verschlüsselung deshalb für sich genommen wenig aus.

Quantenüberlegenheit: was der Begriff für die Verschlüsselung bedeutet

Quantenüberlegenheit, auch Quantenvorteil genannt, bedeutet, dass ein Quantencomputer eine Aufgabe schneller löst als der beste klassische Rechner. Lange wurde das nur an eigens konstruierten Aufgaben ohne praktischen Nutzen demonstriert. Im Oktober 2025 berichtete Google mit dem Experiment „Quantum Echoes“ auf dem Willow-Prozessor einen verifizierbaren Quantenvorteil und zeigte einen ersten Machbarkeitsnachweis an Molekülen. Google selbst sagt allerdings weiterhin, dass bislang keine durchgängige Anwendung mit eindeutigem realwirtschaftlichem Quantenvorteil auf Hardware eingesetzt wurde. Zwischen diesem Stand und einem kryptografisch relevanten Quantencomputer liegen weiterhin Größenordnungen.

Welche Verfahren ein Quantencomputer angreifen könnte – und welche nicht

Die Aufteilung ist überschaubar und sie ist der Kern jeder ehrlichen Einordnung. Durch den Shor-Algorithmus angreifbar sind die asymmetrischen Verfahren: RSA über die Faktorisierung, klassisches Diffie-Hellman über den diskreten Logarithmus in endlichen Körpern sowie die Verfahren auf elliptischen Kurven über das ECDLP. Dazu gehören ECDSA und die neueren Schnorr-Signaturen nach BIP340, die Bitcoin mit Taproot eingeführt hat – beide beruhen auf demselben Problem und wären grundsätzlich betroffen. Nicht durch Shor gebrochen werden die symmetrische Verschlüsselung wie AES und die Hashfunktionen wie SHA-256; gegen sie steht nur der schwächere Grover-Algorithmus zur Verfügung, der generische Suchprobleme quadratisch beschleunigt. Das Bitcoin-Mining auf SHA-256-Basis wäre deshalb auch im Ernstfall nicht der kritische Punkt – betroffen wären die Signaturen.

Rational Quantum Mechanics: warum der Hilbertraum diskret sein soll

Der Kern des Papers ist überraschend einfach zu erzählen, auch ohne Formeln. In der gewöhnlichen Quantenmechanik wird ein Zustand in einem mathematischen Raum beschrieben, dem Hilbertraum. Dieser Raum ist ein Kontinuum: Die Größen, die einen Quantenzustand beschreiben, können jeden beliebigen Zwischenwert annehmen, beliebig fein abgestuft, ohne kleinste Einheit.

Palmer bezweifelt, dass die Natur so gebaut ist. Er beruft sich dabei auf zwei Denklinien. Die eine stammt von John Wheeler und dessen Formel „It from Bit“: Am Grund der Physik stehe Information, nicht ein glattes Kontinuum. Die andere stammt von David Hilbert selbst, nach dem der Raum benannt ist und der die Auffassung vertrat, dass sich das Unendliche und damit das unendlich Kleine in der Wirklichkeit nirgends finden lasse.

In Palmers Rationaler Quantenmechanik, kurz RaQM, ist der Hilbertraum deshalb kein Kontinuum, sondern körnig. Genauer formuliert Palmer es enger, als es die Kurzfassungen meist wiedergeben: Der Quantenzustand ist nur in solchen Basen des Hilbertraums definiert, in denen die quadrierten Amplituden und die komplexen Phasen bestimmte Rationalitätsbedingungen erfüllen – daher der Name. Wichtig für die Einordnung: Die Schrödinger-Gleichung, das Herzstück der Quantenmechanik, bleibt unverändert, auch beim Messvorgang. Verändert wird ausschließlich die Frage, welche Zustände überhaupt zulässig sind.

Für die Ursache dieser Körnigkeit macht Palmer die Schwerkraft verantwortlich. Die gewöhnliche Quantenmechanik wäre dann der Grenzfall seiner Theorie für den Fall, dass es keine Gravitation gibt. Das ist eine starke Behauptung, und sie erklärt zugleich, warum die Abweichung im Labor bisher niemandem aufgefallen ist: Bei wenigen Qubits sind beide Theorien praktisch nicht unterscheidbar.

Shor-Algorithmus einfach erklärt: warum RSA-2048 nach Palmer an der Grenze scheitern soll

Jetzt kommt der Schritt, der die Theorie für die IT-Sicherheit interessant macht. In der Rationalen Quantenmechanik lässt sich ein System aus mehreren verschränkten Qubits durch eine begrenzte Menge an Information beschreiben, und diese Menge wächst nur linear mit der Zahl der Qubits. Kommt ein Qubit dazu, kommt ein fester Batzen Information dazu.

Die gewöhnliche Quantenmechanik verlangt für denselben Zustand etwas ganz anderes: Die Zahl der Freiheitsgrade wächst exponentiell. Ein Qubit mehr bedeutet doppelt so viele Größen, die den Zustand beschreiben. Aus dieser exponentiellen Zahl von Amplituden allein folgt allerdings noch kein Rechenvorteil – der entsteht erst durch geeignete Algorithmen, durch Interferenz und dadurch, dass sich am Ende eine auslesbare globale Struktur ergibt. Für den Shor-Algorithmus ist genau dieser große Zustandsraum aber die Arbeitsgrundlage.

Zwei Wachstumskurven, eine linear, eine exponentiell: Irgendwann überholt die zweite die erste. Ab einer bestimmten Qubit-Zahl, die Palmer als Informationskapazität bezeichnet, reicht die verfügbare Information nicht mehr aus, um jedem Freiheitsgrad auch nur ein einziges Bit zuzuordnen. Ab da, so das Argument, beschreibt die gewöhnliche Quantenmechanik das System nicht mehr richtig.

Und ausgerechnet der Shor-Algorithmus ist das Verfahren, das den Hilbertraum am gründlichsten ausnutzt. Er braucht die maximale Überlagerung und Verschränkung über alle beteiligten Qubits hinweg. Wenn Palmer recht hat, verliert genau dieser Algorithmus seinen Vorteil, sobald die Grenze erreicht ist. Palmers Schlusssatz dazu fällt entsprechend deutlich aus: So wenig, wie ein klassischer Computer jemals eine 2048-Bit-RSA-Zahl faktorisieren wird, werde es auch ein Quantencomputer tun.

Qubit-Bedarf gegen Qubit-Grenze: die Zahlen im Vergleich

Palmer belässt es nicht bei der Struktur des Arguments, sondern schätzt seine postulierte Informationskapazität für die heute gebräuchlichen Qubit-Bauformen ab. Diese Zahlen sind keine Aussage darüber, wie viele Qubits sich auf einen Chip bringen lassen – gemeint ist die Zahl verschränkter, fehlerkorrigierter Qubits, ab der Shors Vorteil nach RaQM einbrechen soll. Die Tabelle stellt sie dem gegenüber, was veröffentlichte Schaltkreis-Abschätzungen für die kryptografisch interessanten Aufgaben an logischen Qubits ansetzen.

← Tabelle seitlich scrollen →

Werte aus Palmers Arbeit und aus veröffentlichten Schaltkreis-Abschätzungen. Alle Angaben sind Größenordnungen, keine exakten Grenzwerte; die Konstruktionen werden laufend verbessert.

Die letzten beiden Zeilen sind die entscheidenden, und sie werden in der bisherigen Berichterstattung meist übergangen. Der Aufwand sinkt, weil die Fachleute, die solche Quantenschaltkreise entwerfen, von Jahr zu Jahr sparsamer werden – erkauft allerdings mit einer erheblich höheren Zahl von Rechenschritten. Für RSA-2048 liegt der Bedarf auch in der sparsamsten bekannten Konstruktion nominell knapp oberhalb von Palmers absoluter Grenze – bei einem Abstand von wenigen Dutzend Qubits und einer Grenze, die selbst nur eine Größenordnung ist, sollte man daraus keine harte Sicherheitsmauer machen. Für das Diskrete-Logarithmus-Problem auf einer 256-Bit-Kurve liegt er darunter. Genau daran hängt der Unterschied zwischen der RSA- und der Bitcoin-Aussage, und genau deshalb trägt Palmers Argument für Bitcoin nicht so weit, wie die Schlagzeilen es nahelegen.

Eine ältere, unabhängige Abschätzung von Paul Davies, die vom Informationsgehalt des beobachtbaren Universums ausgeht, landet in einer ähnlichen Größenordnung von einigen hundert Qubits. Zwei verschiedene Denkwege, ein vergleichbares Ergebnis – ein Beweis ist das nicht.

Quantencomputer und Bitcoin: ECDSA, Schnorr und secp256k1

Bitcoin verwendet zum Unterschreiben von Transaktionen nicht mehr nur ein Verfahren. Ausgaben nach dem älteren Muster und nach SegWit v0 werden mit ECDSA über der elliptischen Kurve secp256k1 signiert. Taproot-Ausgaben nach BIP341 verwenden dagegen Schnorr-Signaturen nach BIP340, ebenfalls über secp256k1. Beide Verfahren beruhen auf demselben mathematischen Problem, dem Diskreten Logarithmus auf elliptischen Kurven, und wären durch Shors Algorithmus grundsätzlich angreifbar. Der Satz „jede Wallet unterschreibt mit ECDSA“ ist damit überholt – welches Verfahren zum Einsatz kommt, hängt am Adress- und Ausgabetyp, nicht am Gerät.

Für Palmers Grenze bedeutet das etwas anderes als bei RSA. Seine Arbeit begründet ausdrücklich die RSA-2048-Aussage: Dort liegt der Bedarf auch in sparsamen Konstruktionen über der absoluten Grenze von rund tausend Qubits. Beim ECDLP über einer 256-Bit-Primfeldkurve liegt der von Luo et al. am 15. Juli 2026 veröffentlichte Entwurf mit rund 835 logischen Qubits jedoch darunter. Aus Palmers Paper allein folgt deshalb gerade nicht, dass ein Quantenangriff auf Bitcoin physikalisch unmöglich wäre. Was folgt, ist enger und trotzdem bemerkenswert: Auf Basis der Bauformen, die Palmer betrachtet und für die er 200 bis 400 ansetzt, wäre ein solcher Angriff außer Reichweite. Eine künftige Technologie, die näher an die absolute Grenze heranreicht, käme dagegen grundsätzlich in Betracht.

Auch die zweite verbreitete Beruhigung greift zu kurz. Es stimmt, dass bei den klassischen Adresstypen P2PKH und P2WPKH zunächst nur ein Hashwert des öffentlichen Schlüssels auf der Blockchain steht und der Schlüssel selbst erst beim ersten Ausgeben sichtbar wird. Bei Taproot ist das anders: Dort steht der 32 Byte lange Output-Key bereits im Ausgabefeld und ist damit von Anfang an öffentlich. Wer Taproot nutzt, hat diese Hash-Abschirmung also nicht. Adressen nicht wiederzuverwenden bleibt sinnvoll, ist aber weder die einzige noch bei allen Ausgabetypen eine wirksame Maßnahme.

Praktisch heißt das für Bitcoin-Halter: Es gibt keinen Grund zur Panik und ebenso wenig einen Grund für die Entwarnung, die derzeit durch die Medien geht. Für den Ernstfall liegen Entwürfe für quantensichere Signaturverfahren im Bitcoin-Protokoll vor; eine solche Umstellung ist eine Protokollfrage, keine Frage der Wallet, die du kaufst.

KRYPTO-SELBSTVERWAHRUNG UND DAS VOLLSTÄNDIGE SICHERHEITSSYSTEM – wer sein Bitcoin-Vermögen über Jahrzehnte halten will, hat mit dem Quantenrisiko das theoretischste aller Probleme auf dem Tisch, während die praktischen Risiken jeden Tag stattfinden. Verlorene Wiederherstellungswörter, unsichere Backups, falsch verstandene Passphrasen und Angriffe auf den Menschen statt auf die Mathematik kosten heute reale Beträge. Unsere Systemseite geht die fünf Ebenen der Selbstverwahrung durch, von der Geräteauswahl bis zum Notfallzugriff, und ordnet dabei ein, welche Maßnahme wirklich trägt. Zum Sicherheitssystem für die Selbstverwahrung

Quantencomputer RSA knacken: warum die Mehrheit der Forschung anders rechnet

Die vorherrschende Einschätzung geht weiter davon aus, dass zwischen heutigen Maschinen und einem kryptografisch relevanten Quantencomputer ausschließlich technische Hürden liegen. Der Google-Forscher Craig Gidney hat 2025 eine viel beachtete Abschätzung vorgelegt: Er optimiert die Low-Width-Konstruktion von Chevignard, Fouque und Schrottenloher, bei der der Bedarf an logischen Qubits auf etwa die Hälfte der Bitlänge sinkt, für RSA-2048 also nominell auf etwas über tausend. Unter seinen Annahmen zur Fehlerkorrektur ergeben sich weniger als eine Million verrauschte physische Qubits bei einer Laufzeit von unter einer Woche. Das ist weit über dem, was heute existiert – aber es ist eine Ingenieursaufgabe, keine physikalische Unmöglichkeit.

Zwischen diesen beiden Positionen liegt kein Kompromiss, sondern ein echter Widerspruch. Entweder gibt es eine harte Obergrenze, oder es gibt sie nicht. Der angenehme Teil daran: Palmers Vorhersage ist überprüfbar. Nähert sich ein Quantencomputer der Grenze, müsste seine Leistung beim Faktorisieren sichtbar an eine Wand laufen, statt weiter zu skalieren. Wenn die Fahrpläne der Quantenindustrie ungefähr stimmen, könnte sich in wenigen Jahren zeigen, wer recht hat. Palmer selbst spricht von weniger als fünf Jahren.

Für die Praxis heißt das: Zwischen heute und dem Tag, an dem das Experiment entschieden ist, liegt genau die Zeitspanne, in der Behörden und Unternehmen ihre Kryptografie ohnehin umstellen. Und diese Umstellung läuft bereits, unabhängig davon, wie die Debatte ausgeht.

Harvest now, decrypt later: das Risiko, das bleibt

Es gibt ein Angriffsmuster, das von Palmers Theorie überhaupt nicht berührt wird und das schon heute Schaden anrichtet: Harvest now, decrypt later, auf Deutsch etwa „heute abgreifen, später entschlüsseln“. Ein Angreifer schneidet verschlüsselten Datenverkehr mit, kann ihn nicht lesen und speichert ihn trotzdem – in der Erwartung, ihn Jahre später mit besseren Mitteln zu öffnen.

Das Muster funktioniert auch ohne Quantencomputer. Verschlüsselung altert. Einige früher eingesetzte Verfahren oder Parameter gelten heute als gebrochen oder als nicht mehr ausreichend, und zwar durch ganz gewöhnlichen Fortschritt: schnellere klassische Rechner, bessere mathematische Verfahren, gefundene Implementierungsfehler. Wer sich darauf verlässt, dass eine bestimmte Zukunftstechnologie nicht kommt, hat das eigentliche Problem nicht verstanden.

Entscheidend ist deshalb nicht das Datum des Q-Day, sondern die Frage, wie lange deine Daten geheim bleiben müssen. Ein Chatverlauf von gestern kann in zehn Jahren belanglos sein – muss es aber nicht, sicherheitsrelevante Kommunikation bleibt oft lange sensibel. Eine Krankenakte, ein Patententwurf, ein Notarvertrag oder die Kommunikation mit einer Vertrauensperson sind es nicht. Diese Rechnung – Schutzdauer gegen erwartete Haltbarkeit des Verfahrens – ist die eigentlich nützliche Übung, und sie steht völlig unabhängig davon, ob Palmer recht behält.

KRYPTO-DATENLECKS UND KYC-LEAKS BEI ANBIETERN – die Daten, die Angreifer später auswerten wollen, müssen sie erst einmal bekommen, und in der Praxis kommen sie selten aus abgefangenem Datenverkehr, sondern aus schlecht gesicherten Datenbanken. Unsere laufend gepflegte Übersicht dokumentiert, bei welchen Krypto-Diensten Kundendaten abgeflossen sind und welche Angaben dabei jeweils betroffen waren. Wer wissen will, wie realistisch die eigene Bedrohungslage ist, findet dort belastbarere Anhaltspunkte als in jeder Quantenprognose. Zur Liste der Krypto-Datenlecks

Quantencomputer und Online-Banking: was bei HTTPS, TLS und der Bank-App wirklich passiert

Die Frage, die uns am häufigsten in dieser Form erreicht, lautet sinngemäß: Kann ein Quantencomputer mein Online-Banking knacken oder mein Konto leerräumen? Die Antwort verlangt eine Unterscheidung, die in den Schlagzeilen fast immer fehlt.

Wenn dein Browser eine verschlüsselte Verbindung aufbaut, läuft das über TLS, das Protokoll hinter dem Schloss-Symbol und dem HTTPS in der Adresszeile. Dabei passieren zwei Dinge. Erstens einigen sich Browser und Server auf einen gemeinsamen geheimen Schlüssel – dieser Schritt nutzt asymmetrische Verfahren und wäre von Shor angreifbar. Zweitens wird der eigentliche Datenverkehr mit einem symmetrischen Verfahren verschlüsselt, meist AES – und dieser Teil ist nur von Grover betroffen, also praktisch unkritisch.

Angreifbar wäre im Quantenfall also nicht die laufende symmetrische Verschlüsselung, sondern zum einen der Verbindungsaufbau und zum anderen die klassischen digitalen Signaturen, mit denen sich Server und Zertifikate ausweisen. Diese beiden Gefahren sind verschieden gelagert und dürfen nicht vermischt werden: Der Angriff auf den Schlüsselaustausch wirkt rückwirkend, weil ein Angreifer mitgeschnittenen Verkehr später öffnen könnte. Der Angriff auf die Authentisierung wirkt dagegen nur in der Zukunft, dafür aktiv – gefälschte Zertifikate lassen sich nicht nachträglich auf alte Aufzeichnungen anwenden. Genau deshalb setzt die Umstellung beim Schlüsselaustausch zuerst an: Der hybride Schlüsselaustausch ist in aktuellen Browsern und bei großen Inhaltenetzwerken bereits im Einsatz, die Umstellung der Zertifikate auf Post-Quanten-Signaturen läuft später und langsamer.

Für dein Bankkonto kommt hinzu, dass eine Überweisung nicht allein durch die Transportverschlüsselung geschützt ist. Zwischen dir und der Auszahlung stehen Anmeldung, Gerätebindung und die starke Kundenauthentifizierung. Diese kann, muss aber nicht auf einem zweiten Gerät stattfinden – bei vielen Banken läuft sie auf demselben Smartphone in einer getrennten App. Ein Angreifer, der theoretisch eine TLS-Sitzung entschlüsseln könnte, hätte damit noch keine Freigabe. Das reale Risiko für dein Konto liegt deshalb auch weiterhin nicht in der Physik, sondern im Phishing, im Schockanruf und in wiederverwendeten Zugangsdaten.

Post-Quanten-Kryptografie: welche Verfahren schon Standard sind

Während die Physiker streiten, hat die Kryptografie längst gehandelt. Post-Quanten-Kryptografie bezeichnet Verfahren, die auf mathematischen Problemen beruhen, für die kein Quantenalgorithmus mit vergleichbarem Vorteil bekannt ist. Das US-Normungsinstitut NIST hat im August 2024 die ersten drei Standards final veröffentlicht: ML-KEM als FIPS 203, ein Key Encapsulation Mechanism für die Schlüsseleinigung, sowie ML-DSA als FIPS 204 und SLH-DSA als FIPS 205 für digitale Signaturen. Ein viertes Verfahren mit anderem mathematischen Fundament, HQC, wurde im März 2025 zur Standardisierung ausgewählt, ist aber noch kein fertiger Standard – damit wird 2027 gerechnet. Es soll die Abhängigkeit von einer einzigen Problemklasse verringern.

Wichtig für das Verständnis: Diese Verfahren sind keine ferne Zukunft. Sie stecken bereits an vielen Stellen im Alltag, meist in hybrider Form. Hybrid heißt, dass ein klassisches und ein quantenresistentes Verfahren miteinander kombiniert werden. Eine korrekt entworfene hybride Konstruktion soll die Verbindung auch dann noch schützen, wenn eine der beiden Sicherheitsannahmen versagt – das gilt allerdings nur für saubere Kombinationsverfahren und nicht automatisch. Das BSI empfiehlt den Einsatz von Post-Quanten-Kryptografie derzeit ausdrücklich möglichst in hybrider Form.

← Tabelle seitlich scrollen →

Übersicht nach Angaben der jeweiligen Standardisierungsgremien und Anbieter. Der Umstellungsstand ändert sich laufend.

PROTON MAIL UND VERSCHLÜSSELTE E-MAIL AUS DER SCHWEIZ – wer die Frage der Schutzdauer für die eigene Korrespondenz ernst nimmt, landet schnell bei der Frage, wer die Nachrichten überhaupt lesen kann. Bei klassischen Maildiensten ist der Nachrichteninhalt für den Anbieter in der Regel serverseitig zugänglich; Transport- und Speicherverschlüsselung sind nicht dasselbe wie Ende-zu-Ende- oder Zero-Access-Verschlüsselung. Keine Post-Quanten-Diskussion ändert daran etwas. Unsere Produktseite geht durch, welche Kriterien eine wirklich verschlüsselte E-Mail erfüllen muss und wo auch der Schweizer Anbieter seine Grenzen hat. Zur Einordnung von Proton Mail

Wann knacken Quantencomputer RSA? BSI-Empfehlungen und aktuelle Migrationsfristen

Eine belastbare Jahreszahl für den Q-Day gibt es nicht, und jeder, der eine nennt, schätzt. Die Bandbreite der Prognosen in der Fachwelt reicht von „innerhalb des nächsten Jahrzehnts“ bis „nie“. Palmers Arbeit liefert eine ausgearbeitete physikalische Begründung für die zweite Position, steht damit aber gegen den Konsens. Entscheidend ist, wie Behörden und Unternehmen mit dieser Unsicherheit umgehen – und da ist die Antwort erstaunlich einheitlich.

Was das BSI empfiehlt

Das Bundesamt für Sicherheit in der Informationstechnik rät seit Jahren dazu, langfristig schützenswerte Daten frühzeitig auf quantenresistente Verfahren umzustellen und dabei zunächst hybride Konstruktionen zu verwenden, also ein klassisches und ein neues Verfahren gleichzeitig. Die Begründung ist bewusst nicht, dass der Quantencomputer sicher kommt, sondern dass eine Umstellung viele Jahre dauert und man sie nicht erst beginnen kann, wenn die Bedrohung eingetreten ist.

Post-Quanten-Fristen der Behörden: warum sie auch Mittelständler betreffen

In den USA wurden die Vorgaben mit einer Verfügung vom 22. Juni 2026 verschärft und konkretisiert. Für besonders schützenswerte Bestände und Systeme mit hoher Auswirkung sollen US-Bundesbehörden die Schlüsseleinigung bis zum 31. Dezember 2030 und die digitalen Signaturen bis zum 31. Dezember 2031 auf Post-Quanten-Verfahren umgestellt haben; einzelne Vorgaben mit Frist 2030 betreffen auch bestimmte Auftragnehmer des Bundes. Solche Anforderungen wirken über Lieferketten weiter: Wer an Behörden oder an Konzerne liefert, bekommt sie über den Einkauf gestellt, ohne selbst reguliert zu sein.

EU-AI-ACT, NIS2 UND DORA FÜR KLEINE UNTERNEHMEN – in Europa gibt es keine vergleichbare Algorithmenfrist. NIS2 und das deutsche Umsetzungsgesetz verlangen von betroffenen Einrichtungen Risikomanagement sowie Konzepte und Prozesse für den Einsatz kryptografischer Verfahren. Daraus folgt ausdrücklich nicht, dass jeder Selbstständige oder Mittelständler bis zu einem bestimmten Datum auf Post-Quanten-Kryptografie wechseln müsste; die europäische Migrations-Roadmap mit ihren Zeitmarken um 2030 und 2035 ist davon getrennt zu sehen. Für kleine Betriebe heißt das vor allem: dokumentieren, welche Systeme welche Kryptografie einsetzen. Unsere Übersicht ordnet ein, wen die neuen Regeln tatsächlich treffen. Zu den neuen KI- und Sicherheitsregeln

Der praktische Maßstab heißt Krypto-Agilität

Die wichtigste Vorbereitung ist nicht die Wahl eines bestimmten Verfahrens, sondern die Fähigkeit, das Verfahren später zu wechseln, ohne das ganze System neu bauen zu müssen. Systeme, in denen der Algorithmus fest verdrahtet ist, werden bei jedem Wechsel teuer – und Wechsel gab es in der Geschichte der Kryptografie regelmäßig, lange bevor jemand von Quantencomputern sprach. Wer eine Bestandsaufnahme macht, welche Anwendungen welche Verfahren nutzen, hat den größten Teil der Arbeit erledigt, egal wie die Physik ausgeht.

Quantencomputer und Passwörter: was Grover wirklich ändert

Eine der hartnäckigsten Fehlvorstellungen lautet, ein Quantencomputer knacke „alles“. Das stimmt nicht einmal in der Theorie. Der Shor-Algorithmus greift asymmetrische Verfahren an, also RSA und alles, was auf dem ECDLP beruht. Für symmetrische Verschlüsselung wie AES und für Hashfunktionen wie SHA-256 gibt es einen anderen Algorithmus, den von Lov Grover – und der ist deutlich harmloser, aber nicht wirkungslos.

Die verbreitete Faustregel lautet, Grover halbiere die effektive Schlüssellänge. Diese Regel gilt für den idealisierten Fall einer vollständigen Suche über einen gleichverteilten Schlüssel: Aus 256 Bit wird ein Verhalten wie bei 128 Bit, und 128 Bit gelten weiterhin als weit außerhalb des Angreifbaren. Für AES-256 ist die Faustregel deshalb sinnvoll. Auf beliebige Passwörter lässt sie sich dagegen nicht übertragen – dort hängen die Kosten eines Angriffs zusätzlich von der tatsächlichen Entropie des Passworts, vom eingesetzten Schlüsselableitungsverfahren, vom Salt und von Begrenzungen der Versuchsrate ab. Für den langfristigen Schutz empfiehlt das BSI symmetrische Schlüssel mit 256 Bit.

Für dein Passwort gilt deshalb dasselbe wie vorher: Die praktische Gefahr ist nicht der Quantencomputer, sondern die Wiederverwendung. Ein Passwort, das in einem Datenleck auftaucht und bei fünf weiteren Diensten funktioniert, wird heute automatisiert ausprobiert, nicht in fünfzehn Jahren mit einer Quantenmaschine. Bei den Wiederherstellungswörtern einer Wallet kommt ein zweiter Punkt hinzu, der mit Quantenphysik nichts zu tun hat: Sie sind nur dann eine unerratbare Zufallszahl, wenn sie sauber erzeugt wurden. Schwache oder fehlerhafte Zufallserzeugung im Gerät ist ein reales, bereits mehrfach aufgetretenes Risiko – neben dem Weg, auf dem die Wörter abfotografiert, eingetippt oder falsch gesichert werden.

BACKUP TESTEN MIT EINER RECOVERY-SIMULATION – die wichtigste Einzelhandlung im ganzen Bereich Selbstverwahrung hat mit Quantenphysik nichts zu tun. Sie besteht darin, einmal ernsthaft auszuprobieren, ob sich aus der eigenen Sicherung tatsächlich wieder ein funktionierender Zugriff herstellen lässt. Wer das nie getan hat, weiß schlicht nicht, ob sein Backup trägt. Zur Anleitung für den Wiederherstellungstest

Hardware-Wallet und Post-Quanten-Kryptografie: was geschützt ist

Anzeige: In diesem Abschnitt sind Produktnamen mit Partnerlinks hinterlegt. Bei einem Kauf kann alarm.de eine Provision erhalten; für dich ändert sich am Preis nichts.

Seit einiger Zeit werben einzelne Hersteller mit Post-Quanten-Kryptografie in ihren Geräten. Hier lohnt es sich, genau hinzusehen, weil die Formulierung schnell mehr verspricht, als sie hält. Beim Trezor Safe 7 etwa nennt der Hersteller die eingesetzten Verfahren konkret: SLH-DSA-128 sichert Startvorgang und Firmware-Prüfung ab, ML-DSA-44 die Geräteauthentisierung und die Echtheitsbestätigung. Trezor selbst spricht deshalb sachgerecht von einem quantenbereiten Gerät und weist ausdrücklich darauf hin, dass die Blockchain selbst migrieren muss.

Der Grund ist einfach: Welches Signaturverfahren beim Unterschreiben einer Transaktion verwendet wird, entscheidet nicht das Gerät, sondern das Protokoll und der gewählte Ausgabetyp. Solange Bitcoin ECDSA und Schnorr nach BIP340 nutzt, unterschreibt auch die modernste Wallet mit einem dieser beiden Verfahren. Ein Gerät kann seine eigene Firmware quantenresistent absichern; die Transaktion, die es unterschreibt, bleibt davon unberührt. Formulierungen wie „quantensichere Wallet“ sind deshalb irreführend, und wir verwenden sie bewusst nicht.

Was die Wallet-Wahl tatsächlich beeinflusst, sind die Risiken, die jeden Tag zuschlagen: Wie entsteht der Zufall bei der Erzeugung des Seeds? Lässt sich das Backup überprüfen? Ist die Firmware quelloffen und nachvollziehbar gebaut? Wie läuft die Übertragung zur Begleit-App? Diese Fragen entscheiden über Erfolg und Misserfolg – nicht die Frage, ob in zwanzig Jahren eine Maschine existiert, die es nach einer neuen physikalischen Theorie gar nicht geben kann.

Hardware-Wallets unserer Partner: Bitcoin-only, quelloffen und Backup-Prüfung im Vergleich

Weil die Quantenfrage an der Wallet nichts entscheidet, lohnt der Blick auf die Merkmale, die tatsächlich etwas entscheiden. Drei davon sind für diese Seite die wichtigsten: Lässt sich das Gerät auf Bitcoin allein beschränken, was die Angriffsfläche verkleinert? Ist die Firmware quelloffen und damit überprüfbar? Und bringt das Gerät eine eingebaute Prüfung mit, mit der du deine Sicherung kontrollieren kannst, ohne sie an einem zweiten Gerät durchspielen zu müssen? Die Produktnamen in der ersten Spalte führen direkt zum jeweiligen Hersteller.

Anzeige: Die verlinkten Produktnamen sind Partnerlinks. Bei einem Kauf kann alarm.de eine Provision erhalten; für dich ändert sich am Preis nichts.

← Tabelle seitlich scrollen →

Aufgeführt sind die Geräte der Hersteller, mit denen wir zusammenarbeiten – kein vollständiger Marktvergleich. Angaben nach Herstellerdokumentation. Wo eine Zeile mehrere Modelle zusammenfasst, gilt ein Merkmal nicht automatisch für jedes Modell der Reihe – vor dem Kauf am konkreten Modell prüfen. Foundation ist Bitcoin-zentriert; der Passport Prime ist technisch als erweiterbare Plattform angelegt. Wo sich eine Angabe nicht belegen lässt, steht „Keine Angabe“ statt einer Vermutung.

Zwei Dinge fallen an dieser Tabelle auf, und beide sind wichtiger als jede Quantenüberlegung. Erstens heißt nicht jede Funktion, die „Backup prüfen“ heißt, dass auch der Zettel in der Schublade geprüft wird – bei zwei Herstellern wird ausschließlich eine Sicherungsdatei getestet. Zweitens wird bei den hier dokumentierten Prüfverfahren eine zusätzlich gesetzte Passphrase nicht mitverifiziert; bei den mit „Keine Angabe“ markierten Geräten treffen wir dazu keine Aussage. Wer eine Passphrase verwendet, sollte die Wiederherstellung deshalb zusätzlich vollständig durchspielen. Ein zweites oder zurückgesetztes Gerät ist dafür die naheliegendste, wenn auch nicht die einzig denkbare Methode; es muss dein konkretes Sicherungsformat beherrschen.

Quantensichere Verschlüsselung: wer den Begriff zu Recht führt und wer nicht

Quantensichere Verschlüsselung ist zum Werbewort geworden, und das ist ein Problem, weil der Begriff drei ganz verschiedene Dinge meinen kann. Es lohnt sich, beim nächsten Produktversprechen genau nachzufragen, welches davon gemeint ist.

Erstens kann gemeint sein, dass ein Produkt selbst ein quantenresistentes Verfahren einsetzt, also etwa ML-KEM für den Schlüsselaustausch. Das ist die einzige Bedeutung, bei der der Begriff sauber ist – und auch dann gilt er nur für den Teil, in dem das Verfahren wirklich steckt.

Zweitens kann gemeint sein, dass ein Gerät seine eigene Firmware, seinen Startvorgang oder seine Echtheitsprüfung quantenresistent absichert. Das ist sinnvoll, betrifft aber nicht die Daten oder Transaktionen, die mit dem Gerät bearbeitet werden. Ein Hersteller, der das als „quantensichere Wallet“ bewirbt, verkürzt so stark, dass es irreführend wird.

Drittens taucht der Begriff bei Verfahren auf, die überhaupt nichts mit Post-Quanten-Kryptografie zu tun haben, sondern mit Quantenschlüsselverteilung. Das ist ein eigenes Feld mit eigener Hardware und eigenen Grenzen und für Privatnutzer ohne jede Bedeutung.

Quantencomputer Verschlüsselung: was du jetzt konkret tun solltest

Die ehrliche Antwort für Privatnutzer lautet: Der Q-Day ist nicht dein dringendstes Problem. Trotzdem gibt es eine Handvoll Schritte, die unabhängig vom Ausgang der Debatte richtig sind – weil sie entweder heute schon wirken oder morgen nichts kosten.

1. Rechne mit Schutzdauern, nicht mit Datumsangaben. Frage dich bei jedem sensiblen Datenbestand, wie lange er geheim bleiben muss. Alles, was über zehn Jahre hinausreicht, gehört heute schon in ein Verfahren, das für die lange Frist ausgelegt ist.
2. Halte Software aktuell. Der hybride Schlüsselaustausch kommt nicht als Kaufentscheidung zu dir, sondern über Updates von Browser, Betriebssystem und Apps. Ein veralteter Browser verpasst die Umstellung, ohne dass du es merkst.
3. Beende die Wiederverwendung von Passwörtern. Das ist der Angriff, der heute stattfindet. Ein Passwortmanager mit eigenen Aliassen je Dienst senkt dein reales Risiko sofort stärker als jede Quantenüberlegung.
4. Verwende Bitcoin-Adressen nicht mehrfach. Das ist gute Praxis für die Privatsphäre und verringert bei den klassischen Adresstypen zusätzlich die Angriffsfläche. Bei Taproot steht der Output-Key ohnehin offen in der Ausgabe – dort wirkt die Maßnahme für den Quantenfall nicht.
5. Prüfe dein Backup, statt es zu hoffen. Eine einzige ernsthafte Wiederherstellungsprobe deckt mehr Fehler auf als jede Diskussion über Qubit-Zahlen.
6. Ignoriere Werbeversprechen mit dem Wort quantensicher. Solange ein Protokoll klassische Signaturen verwendet, macht kein Gerät diese Signaturen quantenresistent. Frage im Zweifel nach, welcher Teil genau geschützt sein soll.

Glossar: Qubit, Q-Day, Shor und Post-Quanten-Kryptografie

Häufige Fragen zu Quantencomputern und Verschlüsselung

Kann ein Quantencomputer Verschlüsselung heute schon knacken?

Nein. Die existierenden Maschinen sind weit von der Größe und Stabilität entfernt, die für einen Angriff auf RSA-2048 oder auf eine Bitcoin-Signatur nötig wäre. Bisher gibt es keinen belegten Fall, in dem eine reale, heute gebräuchliche Verschlüsselung durch einen Quantencomputer gebrochen wurde.

Wann kommt der Q-Day, und gibt es dafür ein Datum?

Ein Datum gibt es nicht, nur Schätzungen, und die gehen weit auseinander. Behörden und Normungsgremien planen die Umstellung ihrer Kryptografie über die nächsten Jahre, weil sie das Risiko nicht ausschließen wollen. Palmers Theorie sagt für RSA-2048, dass dieser Tag nicht kommen kann; für Bitcoin folgt das aus seiner Arbeit nicht im selben Maß. Wer sicher planen will, geht vom früheren, nicht vom bequemeren Szenario aus.

Was sagt das Paper von Tim Palmer genau?

Es schlägt eine Variante der Quantenmechanik vor, in der der Zustandsraum diskret statt kontinuierlich ist: Der Quantenzustand ist nur in Basen definiert, deren quadrierte Amplituden und komplexe Phasen bestimmte Rationalitätsbedingungen erfüllen. Daraus folgt, dass die Informationsmenge eines Qubit-Systems nur linear wächst, während die gewöhnliche Theorie exponentiell viele Freiheitsgrade verlangt. Oberhalb einer bestimmten Zahl verschränkter, fehlerkorrigierter Qubits soll Shors Vorteil einbrechen. Palmer setzt diese Kapazität für heutige Bauformen auf 200 bis 400 an, die absolute Grenze auf rund tausend.

Ist Bitcoin durch Quantencomputer gefährdet?

Heute nicht, und eine Entwarnung für alle Zeiten gibt Palmers Arbeit ebenfalls nicht her. Sie begründet ausdrücklich die Aussage zu RSA-2048. Für das Diskrete-Logarithmus-Problem hinter Bitcoins Signaturen liegt der sparsamste bekannte Schaltkreis mit rund 835 logischen Qubits dagegen unter Palmers absoluter Grenze von etwa tausend. Auf Basis der von ihm betrachteten heutigen Bauformen mit 200 bis 400 wäre ein Angriff außer Reichweite, eine künftige Technologie näher an der absoluten Grenze käme grundsätzlich in Betracht.

Sind meine Passwörter durch Quantencomputer in Gefahr?

Passwörter und symmetrische Verschlüsselung werden nicht von Shor gebrochen. Grover kann generische Suchprobleme, also auch Schlüssel- und Passwortsuche, quadratisch beschleunigen. Die verbreitete Faustregel von der halbierten Schlüssellänge gilt für die vollständige Suche über einen gleichverteilten Schlüssel, etwa bei AES-256. Bei Passwörtern hängen die Kosten zusätzlich von Entropie, Schlüsselableitungsverfahren, Salt und Ratenbegrenzung ab. Das praktische Risiko für deine Konten sind wiederverwendete Passwörter aus Datenlecks.

Was bedeutet Harvest now, decrypt later?

Ein Angreifer speichert verschlüsselte Daten, die er heute nicht lesen kann, um sie später mit besseren Mitteln zu öffnen. Das Muster funktioniert auch ohne Quantencomputer, weil Verschlüsselungsverfahren mit der Zeit ohnehin altern. Entscheidend ist deshalb, wie lange deine Daten geheim bleiben müssen.

Was ist Post-Quanten-Kryptografie und wo steckt sie schon drin?

Das sind Verfahren, gegen die kein wirksamer Quantenalgorithmus bekannt ist. Final standardisiert sind seit August 2024 ML-KEM als FIPS 203, ein Key Encapsulation Mechanism für die Schlüsseleinigung, sowie ML-DSA als FIPS 204 und SLH-DSA als FIPS 205 für Signaturen. HQC wurde im März 2025 zur Standardisierung ausgewählt, ist aber noch kein fertiger Standard. Im Alltag steckt vor allem der hybride Schlüsselaustausch bereits in aktuellen Browsern, in mehreren Messengern und bei einigen VPN- und E-Mail-Anbietern.

Gibt es eine quantensichere Hardware-Wallet?

In dem Sinne, wie es beworben wird, nicht. Einzelne Geräte sichern Startvorgang, Firmware-Prüfung und Geräteauthentisierung mit quantenresistenten Verfahren ab; beim Trezor Safe 7 sind das SLH-DSA-128 und ML-DSA-44. Welches Signaturverfahren beim Unterschreiben einer Transaktion verwendet wird, entscheidet aber das Protokoll und der Ausgabetyp, nicht das Gerät. Solange Bitcoin ECDSA und Schnorr nutzt, unterschreibt auch die modernste Wallet mit einem dieser Verfahren.

Was ist der Unterschied zwischen logischen und physischen Qubits?

Physische Qubits sind fehleranfällig. Aus vielen von ihnen wird durch Fehlerkorrektur ein einziges stabiles, logisches Qubit gebildet. Schaltkreis- und Algorithmusabschätzungen für Angriffe auf RSA oder auf elliptische Kurven werden meist in logischen Qubits angegeben, vollständige Hardwareabschätzungen daneben auch direkt in physischen, also verrauschten Qubits. Eine reine Zahl physischer Qubits sagt für sich genommen wenig über die tatsächliche Gefahr aus.

Muss ich als Privatnutzer wegen des Q-Day jetzt etwas ändern?

Nichts, was du nicht ohnehin tun solltest. Updates einspielen, Passwörter nicht wiederverwenden, bei den klassischen Adresstypen Adressen nicht wiederverwenden und das eigene Backup einmal ernsthaft testen. Diese Schritte wirken heute und bleiben richtig, egal wie die Debatte um Palmers Theorie ausgeht.

Was ist ein Qubit einfach erklärt?

Ein Qubit ist die Recheneinheit eines Quantencomputers. Ein normales Bit ist entweder null oder eins, ein Qubit kann beide Zustände überlagern und sich mit anderen Qubits verschränken. Daraus entsteht der Geschwindigkeitsvorteil bei bestimmten Rechenaufgaben. Für viele alltägliche und klassische Rechenaufgaben ist kein Quantenvorteil bekannt; dort bleiben klassische Rechner die sinnvollere Architektur.

Können Quantencomputer Bitcoin knacken?

Theoretisch könnte ein ausreichend großer Quantencomputer über den Shor-Algorithmus aus einem öffentlich sichtbaren Schlüssel den privaten Schlüssel berechnen. Betroffen wären sowohl ECDSA bei Legacy- und SegWit-v0-Ausgaben als auch die Schnorr-Signaturen nach BIP340, die Taproot verwendet – beide beruhen auf dem Diskreten Logarithmus auf elliptischen Kurven. Praktisch existiert eine solche Maschine nicht. Das Mining auf SHA-256-Basis wäre ohnehin nicht der kritische Punkt.

Kann ein Quantencomputer mein Online-Banking knacken?

Angreifbar wären der Verbindungsaufbau über TLS und die klassischen digitalen Signaturen, mit denen sich Server und Zertifikate ausweisen. Der laufende Datenverkehr wird symmetrisch verschlüsselt und ist nur vom deutlich schwächeren Grover-Algorithmus betroffen. Für eine Überweisung braucht es zusätzlich Anmeldung, Gerätebindung und die starke Kundenauthentifizierung, die je nach Bank auf einem zweiten Gerät oder in einer getrennten App auf demselben Smartphone stattfindet. Das reale Risiko für dein Konto bleibt Phishing, nicht Physik.

Was empfiehlt das BSI zum Thema Quantencomputer?

Das Bundesamt für Sicherheit in der Informationstechnik rät dazu, langfristig schützenswerte Daten frühzeitig auf quantenresistente Verfahren umzustellen und dabei zunächst hybride Verfahren einzusetzen. Begründet wird das nicht mit einem konkreten Zeitpunkt für den Q-Day, sondern damit, dass eine Umstellung Jahre dauert und nicht erst begonnen werden kann, wenn die Bedrohung eingetreten ist.

Was bedeutet quantensichere Verschlüsselung genau?

Der Begriff wird für drei verschiedene Dinge verwendet: für Produkte, die selbst quantenresistente Verfahren wie ML-KEM einsetzen, für Geräte, die nur ihre eigene Firmware und Echtheitsprüfung absichern, und teils sogar für Quantenschlüsselverteilung, die damit gar nichts zu tun hat. Frage deshalb immer nach, welcher Teil geschützt sein soll, welches Verfahren namentlich zum Einsatz kommt und ob es hybrid neben dem klassischen Verfahren läuft.

Wie viele Qubits braucht ein Quantencomputer, um RSA zu knacken?

Ältere Schaltkreis-Abschätzungen nannten für RSA-2048 rund 2.049 logische, also fehlerkorrigierte Qubits. Die Low-Width-Konstruktion von Chevignard, Fouque und Schrottenloher senkt den Bedarf auf etwa die Hälfte der Bitlänge, für RSA-2048 also nominell auf etwas über tausend logische Qubits; Gidney hat diesen Ansatz 2025 optimiert und kommt unter seinen Fehlerkorrekturannahmen auf weniger als eine Million verrauschte physische Qubits bei einer Laufzeit unter einer Woche. Für das Diskrete-Logarithmus-Problem auf einer 256-Bit-Kurve nennt ein Preprint vom 15. Juli 2026 rund 835 logische Qubits. Palmer setzt seine Informationskapazität für heutige Bauformen bei 200 bis 400 an und die absolute Grenze bei rund tausend.

Sind meine Bitcoin auf einer Hardware-Wallet vor Quantencomputern sicher?

Die Wallet spielt dabei keine Rolle, weil das Signaturverfahren vom Protokoll und vom Ausgabetyp vorgegeben wird. Bei den klassischen Adresstypen P2PKH und P2WPKH steht zunächst nur ein Hashwert des öffentlichen Schlüssels auf der Blockchain, der Schlüssel wird erst beim ersten Ausgeben sichtbar. Bei Taproot steht der Output-Key dagegen von Anfang an offen in der Ausgabe. Adressen nicht wiederzuverwenden bleibt sinnvoll, wirkt aber nicht bei allen Ausgabetypen.

Quellen und weiterführende Primärliteratur zu Quantencomputern und Verschlüsselung

Diese Seite stützt sich auf die folgenden Arbeiten und Veröffentlichungen. Wir nennen sie namentlich, damit du sie gezielt suchen kannst.

• Tim Palmer: „Rational Quantum Mechanics: Testing Quantum Theory with Quantum Computers“, Preprint arXiv:2510.02877, begutachtet erschienen in den Proceedings of the National Academy of Sciences.
• University of Oxford, Department of Physics: Mitteilung zur Rationalen Quantenmechanik mit Palmers Einordnung zu einigen hundert verschränkten, fehlerkorrigierten Qubits.
• Chevignard, Fouque und Schrottenloher: Low-Width-Konstruktion zur Faktorisierung mit etwa der halben Bitlänge an logischen Qubits.
• Craig Gidney, Google Quantum AI (2025): Optimierung dieses Ansatzes und Kostenabschätzung zur Faktorisierung von RSA-2048 mit weniger als einer Million verrauschter Qubits.
• Luo et al.: Preprint vom 15. Juli 2026 zu einem ressourcensparenden Quantenschaltkreis für das Diskrete-Logarithmus-Problem über 256-Bit-Primfeldern.
• Paul Davies: ältere Abschätzung zur Informationskapazität des beobachtbaren Universums, Preprint quant-ph/0703041.
• Bitcoin Improvement Proposals BIP340 (Schnorr-Signaturen) und BIP341 (Taproot).
• NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) sowie die Auswahl von HQC zur Standardisierung im März 2025.
• BSI: Veröffentlichung „Kryptografie quantensicher gestalten“ mit den Empfehlungen zu hybriden Verfahren und symmetrischen 256-Bit-Schlüsseln.
• Google: Mitteilung vom Oktober 2025 zum verifizierbaren Quantenvorteil mit „Quantum Echoes“ auf dem Willow-Prozessor.
• Verfügung der US-Regierung vom 22. Juni 2026 zu den Migrationsfristen für Bundesbehörden.

Weiterlesen zu Verschlüsselung, Krypto-Sicherheit und Datenschutz

HARDWARE-WALLET-VERGLEICH MIT ALLEN MODELLEN IM TEST – wenn die Quantenfrage für dich damit erledigt ist, bleibt die praktische: Welches Gerät passt zu deinem Bestand, deinem Umgang mit Technik und deiner Vorstellung von Aufwand? Der Vergleich geht vom Einsteigergerät bis zur neuen Generation durch, ordnet Übertragungswege und Backup-Verfahren ein und benennt die Grenzen jedes Ansatzes. Zum Hardware-Wallet-Vergleich

PROTON PASS ALS PASSWORTMANAGER MIT ALIASSEN UND PASSKEYS – der Schritt mit dem größten sofortigen Effekt aus der Liste oben ist der Abschied vom wiederverwendeten Passwort. Wie ein Passwortmanager mit eigener Adresse je Dienst funktioniert, was Passkeys daran ändern und wo die Grenzen der Leak-Überwachung liegen, steht auf der Produktseite. Zu Proton Pass im Überblick

KEYSTONE 3 PRO ALS AIR-GAPPED HARDWARE-WALLET IM TEST – wer die Angriffsfläche seiner Verwahrung grundsätzlich verkleinern will, landet bei Geräten, die im Betrieb ohne Kabel und Funk auskommen und Transaktionen per QR-Code übertragen. Der Test erklärt, was air-gapped in der Praxis wirklich bedeutet und an welchen Stellen der Begriff großzügig verwendet wird. Zum Test der air-gapped Wallet

COINBASE ZUM KAUFEN, VERWAHREN UND VERSTEHEN VON KRYPTOWÄHRUNGEN – wer noch am Anfang steht, braucht zuerst einen sauberen Einstiegsweg und danach die Entscheidung, ob die Coins auf der Börse bleiben oder auf ein eigenes Gerät wandern. Unsere Anbieterseite geht Kosten, Regulierung und die ehrlichen Schwachstellen durch. Zur Einordnung von Coinbase