Quantencomputer werden Bitcoin niemals knacken können

Alle paar Monate geistert dieselbe Schlagzeile durch die Bitcoin-Szene: Der Quantencomputer der Zukunft wird eines Tages die Signaturen knacken und fremde Coins ausgebbar machen. 

Erst kürzlich wurde mit SHRINCS ein BIP-Entwurf für quantensichere Bitcoin-Signaturen vorgestellt.

Hinter all diesen Debatten steckt aber dieselbe implizite Annahme: Ein Quantencomputer, der stark genug ist, um moderne Kryptografie zu brechen, in der Fachliteratur als „kryptografisch relevanter Quantencomputer“ bezeichnet, sei eben „nur“ eine enorme ingenieurtechnische Herausforderung. Irgendwann werde man ihn schon bauen können. 

Doch was, wenn diese Annahme falsch ist? Was, wenn ein solcher Quantencomputer gar nicht gebaut werden kann – nicht, weil die Ingenieure scheitern, sondern weil die Natur es nicht zulässt?

Genau das behauptet Tim Palmer, Physiker an der Universität Oxford, in seinem Paper „Rational Quantum Mechanics: Testing Quantum Theory with Quantum Computers“ (arXiv:2510.02877). 

Palmer ist dabei kein Unbekannter: Der Royal-Society-Forscher ist international für seine Arbeiten zur Chaostheorie und Wettervorhersage bekannt und forscht seit Jahren an den Grundlagen der Quantenphysik. Seine Kernthese– inspiriert von John Wheelers berühmtem Diktum „It from Bit“ – klingt zunächst harmlos: Der Zustandsraum der Quantenmechanik, der Hilbertraum, ist kein Kontinuum, sondern diskret. Quantenzustände sind in Palmers „Rationaler Quantenmechanik“ (RaQM) nur dann mathematisch definiert, wenn Amplituden und Phasen rationale Zahlen sind. Die gewöhnliche Quantenmechanik mit ihrem kontinuierlichen Hilbertraum wäre demnach nur eine Idealisierung – der Grenzfall einer tieferen, diskreten Theorie.

Das Kernargument des Papers ist erstaunlich einfach. In der Rationalen Quantenmechanik lässt sich ein System aus N verschränkten Qubits durch N Bitstrings der Länge L beschreiben – es enthält also N × L Bits an Information. Diese Informationsmenge wächst linear mit der Zahl der Qubits. Die konventionelle Quantenmechanik verlangt dagegen 2

Irgendwann reicht die Information schlicht nicht mehr aus: Oberhalb einer kritischen Qubit-Zahl N

Palmer schätzt diese Grenze für heute gängige Qubit-Technologien ab:

• Quantenpunkt-Qubits: N
  max
  ≈ 200 
• Photonische Qubits: N
  max
  ≈ 300
• Ionenfallen-Qubits: N
  max
  ≈ 400
• Absolute Obergrenze: N
  max
  ≈ 1.000 – ein Wert, den keine Technologie, egal wie ausgereift, jemals überschreiten wird 

Bemerkenswert: Eine unabhängige Abschätzung von Paul Davies, basierend auf dem Informationsgehalt des gesamten Universums, kommt auf einen vergleichbaren Wert von rund 400 Qubits.

Ausgerechnet Shors Algorithmus – der Algorithmus, mit dem Quantencomputer RSA knacken und elliptische Kurven brechen sollen – nutzt den Hilbertraum maximal aus. Genau dort greift Palmers Grenze. Für eine 2048-Bit-RSA-Zahl bräuchte es 2.049 logische (fehlerkorrigierte) Qubits – jenseits der fundamentalen Obergrenze von 1.000. 

Bei Bitcoins ECDSA über der Kurve secp256k1 wird es enger: Die klassische Schätzung lag bei rund 2.300 logischen Qubits, doch die Schaltkreis-Konstrukteure werden immer sparsamer. Der aktuelle Rekord liegt bei rund 835 Qubits – erkauft allerdings mit einer deutlich höheren Gatterzahl. 

Besorgniserregend ist das trotzdem nicht: Selbst 835 Qubits sind mehr als doppelt so viele, wie mit heutigen Technologien nach Palmers Modell jemals möglich wären (200 bis 400). Lediglich die absolute Obergrenze von 1.000 reißt die neue Schätzung nicht mehr – eine hypothetische künftige Qubit-Technologie nahe dieser Grenze käme also grundsätzlich in Reichweite. 

Palmers Fazit fällt entsprechend deutlich aus: So wenig wie ein klassischer Computer jemals eine 2048-Bit-RSA-Zahl faktorisieren wird, wird es auch ein Quantencomputer niemals tun. Und weil derselbe Algorithmus auch das Elliptische-Kurven-Problem hinter Bitcoins ECDSA-Signaturen knacken würde, folgt für Bitcoin: Ein Quantencomputer auf Basis heutiger Qubit-Technologien, der Bitcoins ECDSA-Signaturen brechen könnte, wäre nach Palmers Modell physikalisch unmöglich.

Das Paper liefert keine reine Spekulation, sondern eine überprüfbare Vorhersage: Nähert sich ein Quantencomputer der Grenze N

Soweit also die Theorie – und man sollte deutlich dazusagen: Noch ist sie genau das. Ihre zentrale Vorhersage ist experimentell nicht bestätigt. Die Mainstream-Einschätzung, etwa von Google-Forscher Craig Gidney, der die Faktorisierung von RSA-2048 mit weniger als einer Million physikalischer Qubits für machbar hält, geht davon aus, dass lediglich technische Hürden existieren. Palmers Theorie widerspricht diesem Konsens fundamental. 

Sollte sich die Rationale Quantenmechanik jedoch bewahrheiten, wäre die Quantenfrage für Bitcoin weitgehend zum Positiven geklärt: Die Bedrohung wäre nicht aufgeschoben, sondern quasi aufgehoben. Und selbst für den Fall, dass Palmer sich irrt, hat Bitcoin mit Vorschlägen wie SHRINCS längst einen Plan B in der Schublade.