Technology on kenji.blog

Was ist Quantenüberlegenheit? Neueste Trends von Google und IBM

Fri, 11 Sep 2026 18:00:00 +0900

1. Einleitung: Die Morgendämmerung des Quantencomputings und die “Quantenüberlegenheit”

Quantencomputing birgt das Potenzial, komplexe Probleme in realistischer Zeit zu lösen, die für klassische Computer (die PCs und Supercomputer, die wir derzeit täglich nutzen) unlösbar sind, indem es die Quantenmechanik, ein Grundprinzip der Physik, auf die Informationsverarbeitung anwendet. Dieses Feld wurde lange Zeit hauptsächlich theoretisch erforscht, aber in den letzten Jahren hat sich der Wettbewerb um die praktische Anwendung durch rasante Fortschritte bei der Hardware intensiviert.

Eines der Schlüsselworte, das dabei die meiste Aufmerksamkeit erregt hat, ist “Quantenüberlegenheit” (Quantum Supremacy). Dies bezeichnet den Moment, in dem ein Quantencomputer bei einer bestimmten Berechnungsaufgabe eine Rechenleistung zeigt, die die eines klassischen Computers überwältigt. Dieser Artikel beginnt mit der genauen Definition der Quantenüberlegenheit, erläutert die Details des Experiments von Googles “Sycamore”-Prozessor, der 2019 bekannt gab, als Erster weltweit diesen Meilenstein erreicht zu haben, die Gegenargumente und den eigenen Ansatz von IBM daraufhin und geht schließlich technisch und mathematisch auf die “Quantenfehlerkorrektur” (Quantum Error Correction: QEC) und das “fehlertolerante Quantencomputing” (Fault-Tolerant Quantum Computing: FTQC) ein, welche die größten Hürden für eine echte praktische Anwendung darstellen.

2. Theoretischer Hintergrund: Grundlagen der Quantenberechnung und Komplexitätsklassen

Um die Quantenüberlegenheit zu verstehen, muss man zunächst die mathematischen Grundlagen der Quantenberechnung und ihre Stellung in der rechnerischen Komplexitätstheorie verstehen.

Qubits und Superposition

Während die kleinste Informationseinheit in einem klassischen Computer das Bit (0 oder 1) ist, verwenden Quantencomputer Quantenbits (Qubits). Der Zustand $|\psi\rangle$ eines Qubits wird als komplexe Linearkombination der Basiszustände $|0\rangle$ und $|1\rangle$ dargestellt.

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Hierbei sind $\alpha, \beta \in \mathbb{C}$ und erfüllen die Normierungsbedingung $|\alpha|^2 + |\beta|^2 = 1$. Diese Eigenschaft wird als “Superposition” (Überlagerung) bezeichnet.

Verschränkung (Entanglement) und Tensorprodukt

Wenn mehrere Qubits vorhanden sind, wird der Zustand des gesamten Systems durch das Tensorprodukt der Zustandsräume der einzelnen Qubits dargestellt. Ein System aus $n$ Qubits ist ein Vektor im $2^n$-dimensionalen Hilbertraum $\mathcal{H}^{\otimes n}$.

$$ |\Psi\rangle = \sum_{x \in \{0, 1\}^n} c_x |x\rangle $$

Hierbei ist $\sum |c_x|^2 = 1$. Der Zustand, in dem Qubits nicht unabhängig sind, sondern der Zustand des einen von dem des anderen abhängt, wird als “Quantenverschränkung” (Quantum Entanglement) bezeichnet. Dadurch hat ein Quantencomputer das Potenzial, einen exponentiell großen Zustandsraum gleichzeitig zu verarbeiten.

Komplexitätstheoretische Definition der Quantenüberlegenheit

In der rechnerischen Komplexitätstheorie wird die Klasse der Probleme, die von einem klassischen Computer effizient (in polynomieller Zeit) gelöst werden können, als BPP (Bounded-error Probabilistic Polynomial time) bezeichnet. Andererseits ist die Klasse der Probleme, die von einem Quantencomputer effizient gelöst werden können, BQP (Bounded-error Quantum Polynomial time).

Der Nachweis der Quantenüberlegenheit bedeutet, “eine spezifische Aufgabe, die in BQP, aber nicht in BPP enthalten ist (oder bei der die Wahrscheinlichkeit dafür extrem hoch ist), auf tatsächlicher Quantenhardware auszuführen und klassische Supercomputer in Bezug auf Zeit und Ressourcen bei der Simulation zu übertreffen”. Man kann dies als historischen Versuch bezeichnen, die erweiterte Church-Turing-These (“Jedes physikalisch realisierbare Berechnungsmodell kann durch eine probabilistische Turingmaschine in polynomieller Zeit simuliert werden”) durch physikalische Experimente zu widerlegen.

3. 2019: Demonstration der Quantenüberlegenheit durch Google

Im Oktober 2019 gab das Google Quantum AI-Team in der Fachzeitschrift “Nature” bekannt, dass sie mit dem 53-Qubit-Supraleiter-Prozessor “Sycamore” die Quantenüberlegenheit erreicht hätten.

Architektur des Sycamore-Prozessors

Der Sycamore-Prozessor besteht aus 54 supraleitenden Transmon-Qubits, die in einem zweidimensionalen Gitter angeordnet sind (im Experiment wurden 53 verwendet, da eines defekt war). Zwischen benachbarten Qubits sind variable Koppler (Tunable Couplers) angeordnet, um schnelle und hochpräzise 2-Qubit-Gatter (einen Hybrid aus iSWAP-Gatter und kontrolliertem Z-Gatter) zu realisieren.

graph TD A["Quantenalgorithmus-Eingabe"] --> B["Sycamore-Prozessor (53 Qubits)"] B --> C["Zufällige Quantengatter anwenden"] C --> D["Quantenzustände messen (Bitstrings)"] D --> E["Kreuzentropie-Benchmarking (XEB)"] E --> F["Quantenüberlegenheit verifizieren"]

Zufälliges Quantenschaltkreis-Sampling (Random Circuit Sampling: RCS)

Die von Google gewählte Aufgabe war das “zufällige Quantenschaltkreis-Sampling”. Dabei werden zufällig ausgewählte 1-Qubit-Gatter und 2-Qubit-Gatter über mehrere Zyklen (Tiefe $m$) angewendet, der Endzustand wird gemessen, und aus der resultierenden Wahrscheinlichkeitsverteilung der Bitstrings wird ein Sampling durchgeführt.

Die Wahrscheinlichkeit eines Bitstrings $x$, der von einem idealen (rauschfreien) zufälligen Quantenschaltkreis ausgegeben wird, ist keine Gleichverteilung, sondern zeigt ein Interferenzmuster-ähnliches Muster, das als Porter-Thomas-Verteilung bezeichnet wird. Um aus dieser Verteilung mit einem klassischen Computer abzutasten, ist eine Simulation des gesamten Zustandsvektors erforderlich, und der Rechenaufwand steigt exponentiell mit der Anzahl der Qubits $n$ und der Schaltkreistiefe $m$.

Bewertung der Genauigkeit (Fidelity): Lineares Kreuzentropie-Benchmarking (XEB)

Um zu beweisen, dass die experimentellen Ergebnisse nicht nur Rauschen waren, sondern tatsächlich das Ergebnis einer Quantenberechnung, verwendete Google das lineare Kreuzentropie-Benchmarking (Linear Cross-Entropy Benchmarking: XEB). Die ideale Wahrscheinlichkeit $P(x_i)$ des Schaltkreises für die im Experiment erhaltenen Bitstrings $x_i$ wird auf einem klassischen Computer berechnet, und die Genauigkeit (Fidelity) $\mathcal{F}_{\text{XEB}}$ wird mit der folgenden Formel ermittelt:

$$ \mathcal{F}_{\text{XEB}} = 2^n \langle P(x_i) \rangle_{i} - 1 $$

Wenn $\mathcal{F}_{\text{XEB}}$ 0 ist, bedeutet dies vollständiges Rauschen, bei 1 einen idealen Quantenprozessor ohne Rauschen. Der Sycamore-Prozessor erreichte bei einem Schaltkreis der Tiefe 20 ein $\mathcal{F}_{\text{XEB}} \approx 0.002$ (0,2%). Dies scheint auf den ersten Blick gering, ist aber ein statistisch signifikanter Wert über null und stellte einen erstaunlichen Erfolg dar, bei dem ein Zustandsraum von $2^{53} \approx 9 \times 10^{15}$ kontrolliert wurde.

Die Gesamtfehlerrate wurde näherungsweise als Produkt einzelner Gatterfehler, Messfehler usw. modelliert.

$$ \mathcal{F} \approx (1 - e_1)^{N_1}(1 - e_2)^{N_2} \cdots \approx \prod_{g \in 1Q} (1 - e_g) \prod_{g \in 2Q} (1 - e_g) \prod_{q} (1 - e_{RO}) $$

（※ $e_g$ ist der Gatterfehler, $e_{RO}$ ist der Messfehler）

Google behauptete, dass die Simulation dieses Schaltkreises auf einem klassischen Supercomputer (Summit) etwa 10.000 Jahre dauern würde. Im Gegensatz dazu schloss Sycamore das Sampling in nur 200 Sekunden ab.

4. Gegenargument von IBM: Von der “Überlegenheit” zur “Nützlichkeit” (Utility)

Die Ankündigung von Google schockierte die Welt, aber IBM, Entwickler des weltweit größten Supercomputers “Summit” und selbst treibende Kraft in der Quantencomputerentwicklung, veröffentlichte umgehend ein Paper, das dieser Behauptung widersprach.

Verbesserung der klassischen Simulation durch Tensornetzwerk-Kontraktion

Der Kern von IBMs Gegenargument war, dass “die Algorithmen und die Ressourcenoptimierung auf Seiten des klassischen Computers unzureichend sind”. Google stützte seine Schätzung von 10.000 Jahren auf einen Zustandsvektor-Simulator, der die Zeitentwicklung der Schrödinger-Gleichung direkt berechnet. IBM wies jedoch darauf hin, dass die Simulationszeit durch eine Methode namens “Tensornetzwerk” (Tensor Network) drastisch verkürzt werden könnte.

In einem Tensornetzwerk werden die Gatteroperationen des Quantenschaltkreises als Operationen auf mehrdimensionalen Arrays (Tensoren) dargestellt und die Reihenfolge der “Kontraktion” (Contraction) des Netzwerks optimiert. Wenn man zudem den riesigen Speicherplatz von Summit in Höhe von 250 PB (Hierarchisierung von Festplatte und Speicher) voll ausnutzt, so IBM, könne man den gesamten Zustandsvektor im Speicher halten und eine präzisere Simulation in nur “zweieinhalb Tagen” durchführen.

Quantum Advantage und Quantum Utility

Durch diese Debatte verlagerte sich der Trend in der gesamten Branche von dem Beharren darauf, “eine künstliche Aufgabe auszuführen, die klassisch unmöglich ist (Supremacy)”, hin zum Nachweis, “bei nützlichen Problemen der realen Welt einen substanziellen Vorteil gegenüber klassischen Ansätzen zu zeigen (Quantum Advantage)” und weiter zu der Phase, in der “Quantencomputer als neues Werkzeug für wissenschaftliche Entdeckungen fungieren (Quantum Utility)”.

IBM selbst vermeidet den Begriff “Überlegenheit” und schlägt Indikatoren wie das “Quantenvolumen” (Quantum Volume) und “CLOPS (Circuit Layer Operations Per Second)” als umfassende Leistungskennzahlen für Quantenprozessoren vor, wobei eine Entwicklung verfolgt wird, die das Gleichgewicht zwischen der Größe und der Qualität der Hardware betont.

timeline title "Die Evolution der Quantenmeilensteine" 2019 : "Google Sycamore (53Q)" : "Ankündigung der Quantenüberlegenheit" 2019 : "IBM Gegenargument" : "Simulation mit Summit Supercomputer in 2,5 Tagen" 2021 : "IBM Eagle (127Q)" : "Durchbruch der 100-Qubit-Barriere" 2022 : "IBM Osprey (433Q)" : "Fortschritte bei der Prozessorgröße" 2023 : "Google Surface Code" : "Skalierung der Fehlerkorrektur (d=3 auf d=5)" 2023 : "IBM Quantum Utility" : "Simulation eines komplexen Spinmodells auf 127Q" 2024 : "Darüber hinaus" : "Ära der logischen Qubits und Fehlerminderung"

5. Die nächste Grenze: Fehlerminderung (Error Mitigation) und Quantenfehlerkorrektur (QEC)

Heutige Quantencomputer werden als “NISQ” (Noisy Intermediate-Scale Quantum) bezeichnet und sind anfällig für Rauschen (Fehler aufgrund von Wechselwirkungen mit der äußeren Umgebung oder unvollständiger Kontrolle), sodass bei langen Berechnungen die Ergebnisse im Rauschen untergehen. Ansätze zur Überwindung dieses Problems lassen sich grob in “Fehlerminderung” (Error Mitigation) und “Quantenfehlerkorrektur” (Quantum Error Correction) unterteilen.

Fehlerminderung (Error Mitigation)

Fehlerminderung ist eine Methode, bei der die Auswirkungen von Rauschen durch klassische Nachbearbeitung aus den Erwartungswerten der Berechnungsergebnisse entfernt werden, ohne die Quantenhardware zu verändern. Im Jahr 2023 demonstrierte IBM durch die Kombination des 127-Qubit-“Eagle”-Prozessors mit Fehlerminderungstechniken wie der “Zero-Noise Extrapolation” (ZNE) eine Präzision bei der Zeitentwicklungs-Simulation komplexer Ising-Modelle, die modernste approximative Tensornetzwerk-Methoden übertraf, und bewies damit die “Quantum Utility” (Quantennützlichkeit).

Quantenfehlerkorrektur (QEC) und logische Qubits

Um jedoch letztendlich beliebig komplexe Algorithmen (z. B. Shors Faktorisierungsalgorithmus oder komplexe quantenchemische Berechnungen) auszuführen, reicht Fehlerminderung allein nicht aus; eine “Quantenfehlerkorrektur” (QEC), die Fehler dynamisch erkennt und korrigiert, ist unerlässlich.

Der Mainstream-Ansatz für QEC ist der “Oberflächencode” (Surface Code). Hierbei werden mehrere physikalische Qubits (Daten-Qubits) in einem zweidimensionalen Gitter angeordnet, und dazwischen werden Mess-Qubits (Ancilla-Qubits) platziert, um kontinuierlich Paritätsprüfungen, sogenannte “Stabilisatoren” (Stabilizers), durchzuführen.

graph LR Q1["Daten-Qubit (Data)"] --- M1["X-Stabilisator messen (Ancilla)"] Q2["Daten-Qubit (Data)"] --- M1 Q3["Daten-Qubit (Data)"] --- M2["Z-Stabilisator messen (Ancilla)"] Q4["Daten-Qubit (Data)"] --- M2 M1 --> EC["Fehlersyndrom-Dekodierung (Klassisch)"] M2 --> EC EC --> LQ["Statusaktualisierung des logischen Qubits"]

Schwellenwertsatz (Threshold Theorem) und Distanz $d$

In der Quantenfehlerkorrektur gibt es den “Schwellenwertsatz”. Wenn die Fehlerrate $p$ der physikalischen Qubits unter einem bestimmten Schwellenwert $p_{th}$ (beim Oberflächencode etwa um die 1%) liegt, kann die logische Fehlerrate $p_L$ exponentiell gesenkt werden, indem die Code-Distanz $d$ vergrößert wird (indem mehr physikalische Qubits einem logischen Qubit zugewiesen werden).

Eine Näherungsgleichung für die logische Fehlerrate wird wie folgt dargestellt:

$$ p_L \approx \Lambda \left( \frac{p}{p_{th}} \right)^{\frac{d+1}{2}} $$

Hierbei ist $\Lambda$ eine Konstante. Solange $p < p_{th}$ ist, wird $p_L$ umso kleiner, je größer $d$ wird. Wenn jedoch $p > p_{th}$ ist, sammelt sich umso mehr Rauschen an, je mehr physikalische Qubits hinzugefügt werden, und die logische Fehlerrate verschlechtert sich.

Googles Meilenstein 2023: Demonstration der Fehlerreduktion durch Vergrößerung der Distanz

Im Februar 2023 veröffentlichte Google ein bahnbrechendes Paper in “Nature”. Mit dem Sycamore-Prozessor der dritten Generation demonstrierten sie weltweit zum ersten Mal, dass bei einer Erweiterung der Distanz des Oberflächencodes von $d=3$ (unter Verwendung von 17 physikalischen Qubits) auf $d=5$ (unter Verwendung von 49 physikalischen Qubits) die logische Fehlerrate leicht von 3,028% auf 2,914% sank.

Dies bedeutet den Eintritt in den Bereich $p < p_{th}$ und zeigt, dass der wichtigste Proof of Concept (Prinzipnachweis) auf dem Weg zum FTQC abgeschlossen wurde: Die Leistung verbessert sich, je mehr physikalische Qubits hinzugefügt werden.

6. Roadmap und Ausblick auf FTQC (Fehlertolerantes Quantencomputing)

Google und IBM liefern sich einen harten Entwicklungswettbewerb in Richtung ihres ultimativen Ziels, dem FTQC (Fault-Tolerant Quantum Computing), wenn auch mit unterschiedlichen Architekturen und Ansätzen.

Der Ansatz von IBM: Modularisierung und Heavy-Hex-Gitter

IBM konzentriert sich darauf, die Prozessorgröße zu skalieren und gleichzeitig die Fehlerraten drastisch zu senken. Während sie mit “Eagle (127Q)”, “Osprey (433Q)” und “Condor (1121Q)” die Grenzen einzelner Chips ausreizen, kündigten sie eine modulare Architektur namens “Quantum System Two” an. Für die Kopplungstopologie der Qubits verwenden sie zudem ein “Heavy-Hex-Gitter”, das unnötiges Übersprechen (Crosstalk) reduziert und die Stabilität erhöht. IBMs Strategie ist ein hybrider Ansatz, der kurzfristig Nützlichkeit durch fortschrittliche Fehlerminderung anstrebt und schrittweise QEC einführt.

Der Ansatz von Google: Qualitätsverbesserung logischer Qubits

Die Strategie von Google legt weniger Wert auf eine rasante Erhöhung der Anzahl physikalischer Qubits, sondern konzentriert sich darauf, die Fehlerrate eines einzigen logischen Qubits bis zum Äußersten zu minimieren (z. B. auf $10^{-6}$). Darauf aufbauend streben sie die Etablierung von Technologien zum Transfer von Quantenzuständen zwischen Modulen (Quantum Interconnects) an, um ein groß angelegtes System zu schaffen, das Tausende bis Zehntausende physikalische Qubits parallel betreibt.

Die fehlertolerante Implementierung von Protokollen für Nicht-Clifford-Gatter, wie etwa die Destillation magischer Zustände (Magic State Distillation), stellt ebenfalls eine große zukünftige technische Hürde dar. Es wird geschätzt, dass für die Ausführung eines praktischen Shor-Algorithmus zum Knacken einer 2048-Bit-RSA-Verschlüsselung Tausende logischer Qubits mit einer Fehlerrate von unter $10^{-8}$ erforderlich sind, was in Millionen bis zig Millionen physikalischer Qubits resultiert. Der Weg dorthin ist noch lang.

7. Fazit

Die “Quantenüberlegenheit” war ein wichtiger Meilenstein in der Geschichte des Quantencomputers, der das theoretische Potenzial von Computern physikalisch bewies. Die Demonstration von Google im Jahr 2019 und die konstruktiven Gegenargumente von IBM haben die gesamte Branche von bloßen theoretischen Beweisen in eine Ära echten Engineerings geführt, in der die tatsächliche Nützlichkeit (Utility) und schließlich das fehlertolerante Quantencomputing (FTQC) angestrebt werden.

Wir erleben derzeit die Übergangsphase von stark verrauschten NISQ-Geräten hin zu logischen Qubit-Geräten, die mit Fehlerkorrektur ausgestattet sind. In den nächsten Jahren bis hin zu einem Jahrzehnt werden mit dieser Evolution der Quantenhardware neue Entdeckungen in den Materialwissenschaften, Revolutionen in der Medikamentenentwicklung und Durchbrüche bei Optimierungsproblemen Realität werden.

Die künftigen Entwicklungen von Google, IBM und Forschern auf der ganzen Welt, welche die Informatik der Zukunft prägen werden, bleiben weiterhin höchst spannend.

Wie verändern sich Blockchain und Kryptowährungen im Post-Quanten-Zeitalter?

Fri, 11 Sep 2026 17:00:00 +0900

1. Einführung: Die Schritte des Post-Quanten-Zeitalters und die Krise der Blockchain

Seit der Erfindung von Bitcoin durch Satoshi Nakamoto im Jahr 2009 hat sich die Blockchain-Technologie als “dezentrales und manipulationssicheres Hauptbuch” zur Grundlage von Finanzsystemen und Anwendungen weltweit entwickelt. Diese robuste Sicherheit wird durch moderne kryptografische Technologien wie die Public-Key-Kryptografie (Public Key Cryptography) und kryptografische Hashfunktionen (Cryptographic Hash Functions) aufrechterhalten.

Diese kryptografischen Technologien garantieren Sicherheit basierend auf mathematischer “Rechenschwierigkeit”, was bedeutet, dass selbst mit klassischen Computern (den PCs oder Supercomputern, die wir heute verwenden) eine Entschlüsselung unmöglich ist, selbst wenn man die Lebensdauer des Universums dafür aufwenden würde.

Diese Prämisse wird jedoch durch die rasche Entwicklung und praktische Anwendung von Quantencomputern (Quantum Computers), der Grenze von Physik und Informatik, grundlegend umgestoßen. Quantencomputer, die quantenmechanische Phänomene wie “Superposition” und “Quantenverschränkung (Entanglement)” nutzen, weisen bei bestimmten mathematischen Problemen eine Rechenleistung auf, die klassische Computer bei weitem übertrifft – die sogenannte “Quantenüberlegenheit (Quantum Supremacy)”.

In diesem Artikel werden wir eingehend und aus einer technischen und mathematischen Perspektive untersuchen, welchen spezifischen Bedrohungen die Blockchain-Technologie durch Quantencomputer ausgesetzt ist. Wir werden die neuesten Entwicklungen der Post-Quanten-Kryptografie (PQC: Post-Quantum Cryptography) als Lösung und die Migrationsszenarien für Krypto-Asset-Netzwerke detailliert erläutern.

2. Grundlagen von Quantencomputern und zwei große Bedrohungen für die Blockchain

Aktuelle Blockchain-Systeme bestehen hauptsächlich aus den folgenden zwei kryptografischen Elementen, die jeweils unterschiedlichen Bedrohungen durch Quantenalgorithmen ausgesetzt sind.

graph TD A["Erstaunliche Rechenleistung von Quantencomputern"] --> B["Shors Algorithmus (Shor's Algorithm)"] A --> C["Grovers Algorithmus (Grover's Algorithm)"] B --> D["Zusammenbruch der Public-Key-Kryptografie (ECDSA/RSA/DSA)"] C --> E["Auswirkungen auf kryptografische Hashfunktionen (SHA-256)"] D --> F["Identifizierung fremder privater Schlüssel und Fälschung von Transaktionen"] E --> G["Überlegenheit beim PoW-Mining und Angriffe auf einige Adressen"] F --> H["Fatale und direkte Bedrohung in der Blockchain"] G --> I["Bedrohung, die durch Anpassung des Algorithmus (z. B. Erweiterung der Schlüssellänge) bewältigt werden kann"] style H fill:#ff9999,stroke:#cc0000,stroke-width:2px; style I fill:#ffff99,stroke:#cccc00,stroke-width:2px;

2.1. Grundlagen der Elliptic Curve Cryptography (ECDSA) und Rechenschwierigkeit

Viele Blockchains wie Bitcoin und Ethereum verwenden den Elliptic Curve Digital Signature Algorithm (ECDSA) als ihren digitalen Signaturalgorithmus. Insbesondere nutzt Bitcoin eine elliptische Kurve mit den Parametern secp256k1.

Die Sicherheit der Elliptic Curve Cryptography beruht auf der Rechenschwierigkeit des Elliptic Curve Discrete Logarithm Problem (ECDLP). Eine elliptische Kurve wird durch eine Gleichung in der folgenden Weierstraß-Normalform definiert.

$$ y^2 \equiv x^3 + ax + b \pmod{p} $$

Bei Bitcoins secp256k1 gilt $a = 0, b = 7$ und $p$ ist eine sehr große Primzahl. Sei $G$ ein Basispunkt auf dieser Kurve und $k$ ein zufällig gewählter privater Schlüssel, der eine riesige 256-Bit-Zahl ist. Dann wird der öffentliche Schlüssel $K$ durch $k$-malige Addition (Skalarmultiplikation) des Basispunktes berechnet.

$$ K = k \times G = \underbrace{G + G + \dots + G}_{k \text{ times}} $$

Die umgekehrte Berechnung des privaten Schlüssels $k$ aus dem veröffentlichten öffentlichen Schlüssel $K$ und dem Basispunkt $G$ (Berechnung des diskreten Logarithmus) mit einem klassischen Computer erfordert selbst mit den besten klassischen Algorithmen wie der Pollard-Rho-Methode eine exponentielle Rechenzeit von $\mathcal{O}(\sqrt{p})$. Bei einem 256-Bit-Schlüssel sind etwa $2^{128}$ Operationen erforderlich, was auf einem Niveau liegt, das selbst bei Milliarden Jahren Betrieb aktueller Supercomputer nicht gelöst werden kann.

2.2. Der Zusammenbruch durch Shors Algorithmus (Shor’s Algorithm)

Dieser Ansatz wurde jedoch 1994 durch Shors Algorithmus, der von Peter Shor veröffentlicht wurde, vollständig zerstört. Shors Algorithmus wurde ursprünglich vorgeschlagen, um das Primfaktorzerlegungsproblem (die Basis der RSA-Kryptografie) in polynomieller Zeit zu lösen, er kann jedoch auch auf das Problem des diskreten Logarithmus und das Problem des diskreten Logarithmus auf elliptischen Kurven angewendet werden.

Der Kern von Shors Algorithmus liegt in der Verwendung der Quanten-Fourier-Transformation (QFT: Quantum Fourier Transform), um die “Periode (Period)” einer Funktion schnell zu finden.

$$ \text{Klassische Berechnungskomplexität} = \mathcal{O}(2^{n/2}) \quad (n\text{ ist die Bitlänge}) $$ $$ \text{Berechnungskomplexität des Quantenalgorithmus} = \mathcal{O}(n^3) $$

Auf diese Weise reduziert Shors Algorithmus die exponentielle Zeit drastisch auf polynomielle Zeit (Polynomial Time). Sobald ein Quantencomputer mit ausreichend logischen Qubits fertiggestellt ist, wird es möglich sein, den privaten Schlüssel $k$ innerhalb von Minuten oder Sekunden aus einem im Netzwerk veröffentlichten öffentlichen Schlüssel $K$ zu identifizieren. Dies würde es einem Angreifer ermöglichen, leicht an den privaten Schlüssel der Wallet einer anderen Person zu gelangen und die vollständige Kontrolle über die Gelder zu übernehmen.

2.2.1 Schritt-für-Schritt-Erklärung der ECDLP-Entschlüsselung durch Shors Algorithmus

Lassen Sie uns den internen Prozess Schritt für Schritt betrachten, wie ein Quantencomputer das Elliptic Curve Discrete Logarithm Problem (ECDLP) löst.

Problemstellung: In $K = k \times G$ sind $G$ und $K$ bekannt, und wir möchten die unbekannte ganze Zahl $k$ (den privaten Schlüssel) finden. Sei die Ordnung der elliptischen Kurve $N$.

Schritt 1: Erzeugung des Superpositionszustands Zunächst werden zwei Quantenregister vorbereitet, und auf jedes wird ein Hadamard-Gatter (Hadamard Gate) angewendet, um einen Superpositionszustand aller möglichen Kombinationen ganzer Zahlen zu erzeugen.

$$ |\psi_1\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |0\rangle $$

Schritt 2: Anwendung des Quantenorakels (Auswertung der Funktion) Als nächstes wird unter Verwendung eines Quantenschaltkreises (Orakel), der Punkte auf einer elliptischen Kurve addiert, die Funktion $f(x, y) = x \times G + y \times K$ in einem dritten Register berechnet.

$$ |\psi_2\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |x \times G + y \times K\rangle $$

Wichtig hierbei ist, da $K = k \times G$ gilt, kann dies als $f(x, y) = (x + y \cdot k) \times G$ umgeschrieben werden.

Schritt 3: Messung des dritten Registers Wenn das dritte Register gemessen wird, kollabiert es zu einem Punkt $R$ auf der elliptischen Kurve. Dadurch kollabieren das erste und zweite Register in einen Superpositionszustand von Paaren $(x, y)$, die $x + y \cdot k \equiv c \pmod{N}$ ($c$ ist eine Konstante) erfüllen.

$$ |\psi_3\rangle = \frac{1}{\sqrt{N}} \sum_{y=0}^{N-1} |c - y \cdot k \pmod{N}\rangle |y\rangle $$

Schritt 4: Anwendung der Quanten-Fourier-Transformation (QFT) Dieser Zustand hat eine Periodizität, die mit der Periode $k$ zusammenhängt. Durch Anwendung der inversen Quanten-Fourier-Transformation (Inverse QFT) auf diesen Zustand wird eine Phaseninterferenz ausgelöst, die die Periodeninformationen in Amplituden umwandelt.

Schritt 5: Messung und klassische Nachbearbeitung Wenn das erste und zweite Register gemessen werden, erhält man mit hoher Wahrscheinlichkeit einen Wert, der Informationen über $k$ enthält. Durch die Anwendung klassischer zahlentheoretischer Algorithmen wie der Kettenbruchentwicklung (Continued Fractions) auf den gemessenen Wert kann der unbekannte private Schlüssel $k$ vollständig identifiziert werden.

Die Anzahl der für diesen gesamten Prozess benötigten Quantengatter beträgt $\mathcal{O}(\log^3 N)$, und der private Schlüssel wird mit einer extremen Geschwindigkeit aufgedeckt, die nicht mit der Suche in $\mathcal{O}(\sqrt{N})$ durch klassische Computer vergleichbar ist.

2.3. Grovers Algorithmus (Grover’s Algorithm) und Auswirkungen auf Hashfunktionen

Eine weitere Bedrohung ist Grovers Algorithmus, der 1996 von Lov Grover vorgeschlagen wurde. Dieser hat große Auswirkungen auf Hashfunktionen (z. B. SHA-256).

In der Blockchain werden Hashfunktionen zur Gewährleistung der Datenintegrität, zur Generierung von Adressen und als Grundlage für das PoW-Mining (Proof of Work) in Bitcoin verwendet. Die Rückrechnung (Urbildberechnung) einer Hashfunktion kann als “Problem der Suche in unstrukturierten Datenbanken” betrachtet werden, bei dem nach einem Eingabewert $x$ gesucht wird, für den $H(x) = y$ für einen bestimmten Ausgabewert $y$ gilt.

Mit einem klassischen Computer sind im Durchschnitt $\frac{N}{2}$ und im schlimmsten Fall $N$ Versuche erforderlich, um die richtige Antwort unter $N$ Möglichkeiten zu finden. Die Berechnungskomplexität beträgt also $\mathcal{O}(N)$. Grovers Algorithmus verwendet jedoch eine Quantentechnologie namens “Amplitudenverstärkung (Amplitude Amplification)”. Durch iteratives Verstärken der Wahrscheinlichkeitsamplitude des Zustands, der die richtige Antwort darstellt, aus allen Möglichkeiten im Superpositionszustand, wird die Suchzeit auf die Quadratwurzel reduziert.

$$ \text{Berechnungskomplexität von Grovers Algorithmus} = \mathcal{O}(\sqrt{N}) $$

Im Fall von SHA-256 ist $N = 2^{256}$, sodass eine klassische Brute-Force-Suche etwa $2^{256}$ Versuche erfordert. Wenn jedoch Grovers Algorithmus verwendet wird, sind nur $\sqrt{2^{256}} = 2^{128}$ Versuche erforderlich. Dies bedeutet, dass eine 256-Bit-Hashfunktion gegenüber Quantencomputern praktisch auf eine Sicherheitsstärke von 128 Bit halbiert wird.

2.3.1. Wird SHA-256 überleben? (Quantum Supremacy in Hashing)

Obwohl sich die Sicherheit halbiert, ist eine “128-Bit-Sicherheit” immer noch extrem stark. $2^{128}$ Operationen sind selbst nach heutigem Stand der Technik eine astronomische Zahl und würden die Lebensdauer des Universums erfordern. Daher ist die Ansicht weit verbreitet, dass “SHA-256 auch gegenüber Quantencomputern eine praktische Sicherheit beibehält”. Wenn es in Zukunft erforderlich sein sollte, die Sicherheitsmarge zu erhöhen, kann die klassische 256-Bit-Sicherheit auch in der Quantenwelt aufrechterhalten werden, indem einfach die Ausgabelänge des Hashs verdoppelt wird (z. B. Migration von SHA-256 zu SHA-512).

Zusammenfassend lässt sich sagen, dass die Quantenbedrohung für Hashfunktionen “gering und handhabbar” ist, während die Bedrohung für Public-Key-Kryptografie (ECDSA) “fatal” ist.

3. Analyse der konkreten Auswirkungen auf aktuelle Krypto-Assets (Bitcoin, Ethereum)

Welchen spezifischen Schwachstellen werden Krypto-Asset-Netzwerke in einer Welt ausgesetzt sein, in der ECDSA durch Quantencomputer entschlüsselt werden kann? Hier werden wir am Beispiel der Funktionsweise von Bitcoin eine detaillierte Analyse aus der Perspektive des “Zeitpunkts der Offenlegung des öffentlichen Schlüssels” durchführen.

3.1. Generierung von Adressen und die “Nicht-Öffentlichkeit” des öffentlichen Schlüssels

Bitcoin-Adressen (P2PKH: Pay-to-Public-Key-Hash und P2WPKH: Pay-to-Witness-Public-Key-Hash) verwenden nicht den öffentlichen Schlüssel selbst, sondern einen mehrfach gehashten öffentlichen Schlüssel.

$$ \text{Bitcoin Address} = \text{Base58Check}(\text{RIPEMD160}(\text{SHA256}(\text{Public Key}))) $$

Wie bereits erwähnt, sind Hashfunktionen resistent gegen Quantenangriffe (Grovers Algorithmus), sodass es selbst für Quantencomputer unmöglich ist, den ursprünglichen “öffentlichen Schlüssel” aus der “Adresse”, die ein Hashwert ist, rückzurechnen. Das bedeutet, dass für “unbenutzte Adressen (solche, von denen noch nie Gelder gesendet wurden)” der öffentliche Schlüssel überhaupt nicht auf der Blockchain offengelegt ist und nur der Hashwert aufgezeichnet wird. Da der öffentliche Schlüssel unbekannt ist, gibt es daher kein Ziel für die Ausführung von Shors Algorithmus, und der private Schlüssel kann nicht identifiziert werden. Es kann gesagt werden, dass Wallets in diesem Zustand quantensicher (Quantum-safe) sind.

3.2. Fatale Schwachstelle beim Senden von Transaktionen (Front-Running-Angriff)

Das Problem tritt auf, wenn der Benutzer Gelder überweist. Beim Übertragen (Senden) einer Transaktion an das Netzwerk muss der Benutzer zusammen mit der digitalen Signatur seinen öffentlichen Schlüssel in die Transaktionsdaten aufnehmen und ihn dem gesamten Netzwerk zur Überprüfung offenlegen.

sequenceDiagram participant User as "Benutzer (Alice)" participant Mempool as "Mempool (Pool für unbestätigte Transaktionen)" participant QuantumAttacker as "Quanten-Angreifer" participant Miner as "Miner (Blockgenerierung)" User->>Mempool: Senden der Transaktion (inklusive öffentlichem Schlüssel + Signatur) Mempool-->>QuantumAttacker: Abfangen des öffentlichen Schlüssels im Netzwerk note right of QuantumAttacker: Ausführung von Shors Algorithmus in Minuten
(Berechnung des privaten Schlüssels aus dem öffentlichen Schlüssel) QuantumAttacker->>QuantumAttacker: Generierung einer neuen Signatur mit Alices privatem Schlüssel QuantumAttacker->>Mempool: Senden (Broadcast) der betrügerischen Überweisung mit höherer Miner-Gebühr Miner->>Miner: Priorisierung der betrügerischen Transaktion mit hoher Gebühr (Gas) für die Aufnahme in den Block Miner-->>User: Aufzeichnung auf der Blockchain (Verlust von Alices Geldern)

Sobald der öffentliche Schlüssel an den Mempool (den Wartebereich für unbestätigte Transaktionen) gesendet wurde, werden diese Daten mit Nodes weltweit geteilt. Wenn ein Angreifer über einen ultraschnellen Quantencomputer verfügt, könnte er mit folgendem Prozess Gelder stehlen:

Eine legitime Benutzertransaktion (Alice) aus dem Mempool abfangen und den öffentlichen Schlüssel extrahieren.
Shors Algorithmus ausführen und den privaten Schlüssel aus dem öffentlichen Schlüssel innerhalb von Minuten (bevor der Block bestätigt wird) berechnen.
Den erhaltenen privaten Schlüssel verwenden, um eine gefälschte Transaktion zu erstellen, die Alices Gelder an die Adresse des Angreifers sendet.
Diese gefälschte Transaktion mit einer viel höheren Miner-Gebühr (Fee) als Alices ursprüngliche Transaktion an das Netzwerk senden.

Miner folgen wirtschaftlichen Anreizen und priorisieren Transaktionen mit hohen Gebühren für die Aufnahme in Blöcke. Infolgedessen wird die betrügerische Überweisung des Angreifers zuerst bestätigt (Confirm), und Alices legitime Überweisung wird als “unzureichendes Guthaben (Double Spend)” verworfen. Diese Abfolge von Ereignissen wird als Front-Running-Angriff (Front-running Attack) bezeichnet. In einer Welt, in der Quantencomputer praktisch einsetzbar sind, würde dies zu der erschreckenden Situation führen, dass in dem Moment, in dem jemand auf den Senden-Button drückt, seine Gelder von Hackern gestohlen werden.

3.3. Die Krise wiederverwendeter Adressen und alter Adressen (P2PK)

Ein noch größeres Problem ist, dass bei Adressen, von denen in der Vergangenheit bereits Gelder gesendet wurden (z. B. wenn sie als Wechselgeldadressen wiederverwendet werden), der öffentliche Schlüssel bereits dauerhaft auf der Blockchain aufgezeichnet ist. Bei diesen Adressen besteht jederzeit die Gefahr, dass der private Schlüssel berechnet und das Guthaben gestohlen wird, ohne dass auf das Senden einer Transaktion gewartet werden muss.

Darüber hinaus wurde beim P2PK-Format (Pay-to-Public-Key), das von 2009 bis etwa 2010 vorherrschte und die frühen Mining-Belohnungen von Satoshi Nakamoto (über 1 Million BTC) enthält, der öffentliche Schlüssel selbst direkt als Adresse auf der Blockchain aufgezeichnet, nicht als Hash. Diese massiven Mengen an ruhenden Bitcoins wären das leichteste Ziel für Quantencomputer, und wenn sie alle auf einmal gestohlen und auf den Markt geworfen werden, könnte dies einen massiven Preisverfall auslösen.

4. Migrationsszenarien zur Post-Quanten-Kryptografie (PQC: Post-Quantum Cryptography)

Um eine solche Katastrophe am “Q-Day (dem Tag, an dem die Kryptografie durch Quantencomputer gebrochen wird)” zu vermeiden, planen die kryptografische Wissenschaft und die Blockchain-Community den Übergang zur Post-Quanten-Kryptografie (PQC), die auch von Quantenalgorithmen schwer zu knacken ist. Das US National Institute of Standards and Technology (NIST) führt seit Jahren einen PQC-Standardisierungsprozess durch, und nach mehreren Runden strenger Evaluierung wurden einige vielversprechende kryptografische Methoden als endgültige Standards ausgewählt.

Wir werden die wichtigsten PQC-Algorithmen, die als Alternativen für digitale Blockchain-Signaturen Beachtung finden, zusammen mit ihren mathematischen Mechanismen im Detail erläutern.

4.1. Hash-basierte Signaturen (Hash-Based Signatures)

Hash-basierte Signaturen sind eine kryptografische Methode, deren Sicherheit ausschließlich auf einer sehr einfachen und starken Grundlage beruht: der “Kollisionsresistenz der Hashfunktion”. Da die Sicherheit von Hashfunktionen gegen Quantencomputer bereits nachgewiesen ist (wie oben erwähnt, ist eine Sicherheitsmarge von 128 Bit ausreichend), handelt es sich um einen äußerst zuverlässigen Ansatz. Bemerkenswerte Beispiele sind Lamport-Signaturen (Lamport Signatures), das davon abgeleitete WOTS (Winternitz One-Time Signature) und der NIST-Standardisierungskandidat SPHINCS+ (jetzt als FIPS 205 unter dem Namen SLH-DSA bekannt).

4.1.1. Mathematische Details der Lamport-Signatur (One-Time Signature)

Lassen Sie uns den Mechanismus von Lamport-Signaturen in mathematischerem Detail betrachten. Sei die Hashfunktion $H: \{0, 1\}^* \to \{0, 1\}^{256}$.

【Schlüsselerzeugung】 Alice (die Senderin) verwendet einen echten Zufallszahlengenerator (TRNG), um 256 Paare von privaten Schlüsseln zu generieren.

$$ \text{sk}_{i,0} \in \{0, 1\}^{256}, \quad \text{sk}_{i,1} \in \{0, 1\}^{256} \quad (1 \le i \le 256) $$

Der private Schlüssel $\text{sk}$ besteht somit aus insgesamt 512 256-Bit-Strings (Größe: $512 \times 32 = 16.384$ Byte).

Als nächstes berechnet sie den öffentlichen Schlüssel $\text{pk}$. Jede Komponente des privaten Schlüssels wird individuell gehasht.

$$ \text{pk}_{i,0} = H(\text{sk}_{i,0}), \quad \text{pk}_{i,1} = H(\text{sk}_{i,1}) $$

Der öffentliche Schlüssel ist ebenfalls $16.384$ Byte groß. Dieser wird im Blockchain-Netzwerk veröffentlicht.

【Signaturerstellung】 Um Transaktionsdaten $M$ zu signieren, berechnet Alice zunächst deren Hashwert.

$$ h = H(M) \in \{0, 1\}^{256} $$

Sei das $i$-te Bit des Hashwertes $h$ gleich $h_i \in \{0, 1\}$. Alices Signatur $\sigma$ ist die Menge der privaten Schlüsselkomponenten, die jedem Bit $h_i$ entsprechen.

$$ \sigma = (\text{sk}_{1, h_1}, \text{sk}_{2, h_2}, \dots, \text{sk}_{256, h_{256}}) $$

Mit anderen Worten, wenn das Bit des Nachrichtenhashs 0 ist, wird $\text{sk}_{i,0}$ veröffentlicht, und wenn es 1 ist, wird $\text{sk}_{i,1}$ veröffentlicht. Die Signaturgröße beträgt $256 \times 32 = 8.192$ Byte.

【Signaturprüfung】 Der Miner (Prüfer) verwendet die empfangene Transaktion $M$, die Signatur $\sigma = (s_1, s_2, \dots, s_{256})$ und den öffentlichen Schlüssel $\text{pk}$, um eine Überprüfung durchzuführen. Der Hash der Transaktion $h = H(M)$ wird neu berechnet, und es wird geprüft, ob der Hash jedes $s_i$ mit dem entsprechenden Element $\text{pk}_{i, h_i}$ des öffentlichen Schlüssels übereinstimmt.

$$ H(s_i) \overset{?}{=} \text{pk}_{i, h_i} \quad (\text{für alle } 1 \le i \le 256) $$

Dieser Prozess ist mathematisch extrem einfach, und solange ein Quantencomputer die Funktion $H$ nicht rückrechnen kann, ist es unmöglich, eine Signatur zu fälschen. Da jedoch bei einer Signatur die Hälfte des privaten Schlüssels dem Netzwerk offengelegt wird, führt das Signieren einer anderen Nachricht mit demselben Schlüsselpaar dazu, dass die offengelegten privaten Schlüssel kombiniert werden und dem Angreifer Raum für Fälschungen bieten. Dies führt zu der starken Einschränkung, dass sie nur “einmalig (One-Time)” verwendet werden können. Um dies praktikabel zu machen, wurden Technologien wie XMSS, die einen Merkle-Baum verwenden, um zahlreiche One-Time-Schlüssel in einem Stamm-Public-Key (Root Public Key) zu bündeln, und zustandslose (stateless) Methoden wie SPHINCS+ entwickelt, die jedoch den Nachteil haben, dass die Signaturgrößen mehrere Dutzend Kilobyte erreichen.

4.2. Gitterbasierte Kryptografie (Lattice-Based Cryptography)

Derzeit ist die gitterbasierte Kryptografie als Mainstream der PQC am vielversprechendsten und wurde als Hauptstandard des NIST übernommen (FIPS 204: ML-DSA / ehemals CRYSTALS-Dilithium sowie Falcon usw.).

Die Sicherheit der gitterbasierten Kryptografie beruht auf mathematisch bewiesenen schweren Problemen, wie dem “Kürzesten-Vektor-Problem (SVP: Shortest Vector Problem)” in mehrdimensionalen Gittern oder dem “Learning With Errors-Problem (LWE)”. Es wurden keine Algorithmen gefunden, die Gitterprobleme selbst mit Quantencomputern effizient lösen.

Mathematisches Modell von LWE (Learning With Errors): Die Grundidee des LWE-Problems besteht darin, simultanen linearen Gleichungen absichtlich ein “kleines Rauschen (Fehler)” hinzuzufügen, um das Problem drastisch zu erschweren. Sei der geheime Vektor $\mathbf{s} \in \mathbb{Z}_q^n$. Es gibt eine zufällig ausgewählte große öffentliche Matrix $\mathbf{A} \in \mathbb{Z}_q^{m \times n}$ und einen absichtlich hinzugefügten kleinen Rauschvektor $\mathbf{e} \in \mathbb{Z}_q^m$. Der öffentliche Schlüssel $\mathbf{b}$ wird wie folgt berechnet:

$$ \mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod{q} $$

Selbst wenn die Matrix $\mathbf{A}$ und der Vektor $\mathbf{b}$ (öffentlicher Schlüssel) öffentlich bekannt sind, ist die Rückrechnung des privaten Schlüssels $\mathbf{s}$ durch das Vorhandensein des Rauschens $\mathbf{e}$ sehr schwierig. Ohne das Rauschen könnte es einfach durch Gaußsche Elimination gelöst werden, aber das Hinzufügen von Rauschen führt zu einer explosiven Vergrößerung des Suchraums in allen Dimensionen, was eine robuste Sicherheit sowohl gegen klassische als auch gegen Quantencomputer bietet. In tatsächlichen Algorithmen, die in Blockchains und ähnlichem verwendet werden (wie Dilithium), wird dies als Ring-LWE (oder Module-LWE) auf einem Polynomring eingesetzt, um die Schlüsselgröße zu reduzieren und Berechnungen zu beschleunigen.

Vorteile: Im Vergleich zu Hash-basierten Signaturen sind der öffentliche Schlüssel und die Signaturgröße relativ klein (wenige Kilobyte), und die Rechengeschwindigkeit für die Signaturerstellung und -überprüfung ist extrem schnell (vergleichbar oder schneller als ECDSA).
Nachteile: Die mathematische Struktur ist komplex und der historische Bewertungszeitraum ist kurz, sodass das Risiko, dass in Zukunft neue Entschlüsselungsalgorithmen entdeckt werden, nicht Null ist.

5. Technische Herausforderungen beim PQC-Übergang in Blockchains

Auch wenn es PQC-Algorithmen (wie Dilithium oder SPHINCS+) gibt, bedeutet das nicht, dass sie ab morgen in Bitcoin oder Ethereum eingeführt werden können. Es gibt mehrere große Herausforderungen, die spezifisch für dezentrale Systeme sind.

5.1. Aufblähen der Signaturgrößen und der Zusammenbruch der Skalierbarkeit

Die größte Hürde bei der Einführung von PQC ist die massive Aufblähung der Datengrößen. Während die aktuelle Signaturgröße von ECDSA etwa 70 Byte beträgt, beträgt die Signaturgröße von Dilithium (ML-DSA) etwa 2.420 bis 4.595 Byte (je nach Sicherheitsniveau) und die Größe des öffentlichen Schlüssels übersteigt 1.300 Byte. Bei Hash-basiertem SPHINCS+ erreicht allein die Signatur mehrere zehntausend Byte.

Wenn Bitcoin PQC bei gleicher Blockgrößenbeschränkung (etwa 4 MB Gewicht einschließlich SegWit) einführen würde, würde die Anzahl der Transaktionen, die in einem Block gespeichert werden können, drastisch sinken. Der Durchsatz des Netzwerks (TPS: Transactions Per Second) würde katastrophal abnehmen, und Transaktionsstaus würden zur Norm werden. Um dies zu beheben, wäre eine deutliche Erhöhung der Blockgröße erforderlich, was jedoch die Speicheranforderungen und Netzwerkbandbreitenanforderungen für Full Nodes erhöhen würde, was es für Einzelpersonen schwierig macht, Nodes zu betreiben, und letztendlich zum Dilemma einer Zentralisierung des Netzwerks führt.

pie title "Vergleich der Signaturdatengrößen in der Blockchain (Konzeptdiagramm)" "ECDSA (ca. 70 Bytes)" : 2 "Dilithium ML-DSA (ca. 2.500 Bytes)" : 58 "SPHINCS+ (ca. 17.000 Bytes)" : 40

(※ Die Datenaufblähung von Transaktionen bei der Einführung von PQC wird zu einem fatalen Engpass für die Skalierbarkeit werden)

5.2. Auswirkungen auf die Ethereum Virtual Machine (EVM) und vorkompilierte Smart Contracts

In Turing-vollständigen Smart-Contract-Plattformen wie Ethereum erfordert die Einführung von PQC ein grundlegendes Upgrade der EVM (Ethereum Virtual Machine). In der aktuellen EVM wird zur Überprüfung von ECDSA-Signaturen ein vorkompilierter Contract (Precompiled Contract) namens ecrecover (Adresse: 0x01) bereitgestellt, der so optimiert ist, dass er Signaturprüfungen mit sehr niedrigen Gasgebühren (3000 Gas) durchführt.

Die Verarbeitungslogik für neue Gitter-basierte Kryptoalgorithmen wie Dilithium oder Falcon beinhaltet jedoch komplexe Polynom- oder Matrixoperationen. Wenn sie nur mit bestehenden EVM-Opcodes (Opcode) implementiert würde, könnte eine einzige Signaturüberprüfung Millionen bis Zehnmillionen von Gas verbrauchen. Dies liegt auf einem Niveau, das das aktuelle Block-Gaslimit (etwa 30 Millionen Gas) mit einer einzigen Transaktion aufbrauchen würde.

Um dies zu vermeiden, ist es notwendig, durch einen Hard Fork (Hard Fork) des Netzwerks einen neuen Precompiled Contract zur PQC-Überprüfung (z.B. Zuweisung von DilithiumVerify zu 0x10) in die EVM selbst aufzunehmen. Dies erfordert einen langfristigen Prozess, bei dem die Core-Entwickler jedes Ethereum-Clients (Geth, Nethermind, Erigon usw.) zusammenarbeiten, um die Logik der Gitterkryptografie-Überprüfung auf Sprachebene in C++, Go, Rust usw. optimiert zu implementieren und Sicherheitsaudits durchzuführen.

5.3. Schwierigkeit der Konsensfindung durch Hard Forks

Um den zugrunde liegenden Signaturalgorithmus zu ändern, ist ein Hard Fork (Hard Fork) erforderlich, der das Protokoll des gesamten Netzwerks aktualisiert. Der Prozess zur Erzielung eines Konsenses ist jedoch in Gemeinschaften wie Bitcoin, die großen Wert auf “Keine Regeländerungen und Dezentralisierung” legen, politisch extrem schwierig. Von dem Moment an, in dem ein BIP (Bitcoin Improvement Proposal) für den Übergang zu PQC vorgeschlagen wird, bis zu seiner Umsetzung werden Jahre der Diskussion und Tests erforderlich sein.

6. Wann kommt der “Q-Day”? Roadmap für die Migration

Wann wird der “Q-Day”, an dem Quantencomputer die 256-Bit Elliptic Curve Cryptography vollständig entschlüsseln, eintreten? Obwohl die Meinungen unter Forschern auseinandergehen, prognostizieren viele Experten, dass groß angelegte Quantencomputer mit Tausenden bis Zehntausenden stabiler logischer Qubits (fehlerkorrigierte Qubits mit Rauschtoleranz) “zwischen Mitte der 2030er und den 2040er Jahren” auf den Markt kommen werden. Je nach Durchbrüchen in der Hardware-Architektur oder der Entdeckung effizienterer Quantenalgorithmen kann jedoch nicht ausgeschlossen werden, dass dieser Zeitpunkt früher eintreten könnte (um 2030).

Die Roadmap, die das Krypto-Asset-Ökosystem einschlagen sollte, bevor es zu spät ist, sieht wie folgt aus.

Phase 1: Hybride Signaturen und Kontoabstraktion (Account Abstraction) (Jetzt bis ca. 2028)

Die derzeitige Blockchain-Community, insbesondere das Ethereum-Entwicklungsteam (Vitalik Buterin usw.), erwägt “hybride Signaturen”, die ECDSA und PQC (Hash-basierte Signaturen oder gitterbasierte Kryptografie) kombinieren. Dies ist ein Ansatz, bei dem einer Transaktion sowohl die bestehende sichere ECDSA-Signatur als auch eine PQC-Signatur hinzugefügt werden, wodurch die Sicherheit erhalten bleibt, selbst wenn eine davon gebrochen wird. Darüber hinaus werden durch die Nutzung der Kontoabstraktion (Account Abstraction, ERC-4337) Bemühungen vorangetrieben, PQC-Signaturen auf Smart-Contract-Wallets auf Opt-in-Basis (nur für Benutzer, die dies wünschen) zu implementieren und zu unterstützen, ohne auf einen Protokoll-Hard-Fork zu warten.

Phase 2: Nutzung von Zero-Knowledge Proofs (ZK-Rollups) (2025 ~)

Die Trumpfkarte zur Lösung des größten Schwachpunkts von PQC, der “Aufblähung von Signaturdaten”, ist die erwartete Nutzung der Layer-2-Technologie, ZK-Rollups (Zero-Knowledge Proofs). Anstatt riesige PQC-Signaturdaten direkt in Layer 1 (die Mainchain) zu schreiben, werden zahlreiche PQC-Transaktionen auf Layer 2 verifiziert und aggregiert. Dann werden sie mithilfe von ZK-SNARKs oder ZK-STARKs in einen extrem kleinen, einzelnen “Beweis (Proof)” komprimiert und auf Layer 1 aufgezeichnet. Es ist anzumerken, dass bestimmte SNARK-Konstruktionen (wie Groth16) selbst quanten-anfällig sind. Daher ist die Annahme von ZK-STARKs, die sich ausschließlich auf quantenresistente Hashfunktionen stützen, der Schlüssel.

Phase 3: Protokoll-Level Hard Fork (ca. 2030)

Sobald die NIST-Standardisierung für PQC vollständig etabliert ist und branchenübliche Bibliotheken verfügbar und gründlich getestet sind, wird erwartet, dass große Chains wie Bitcoin und Ethereum einen Hard Fork durchführen, um die Standard-Signaturmethode vollständig auf PQC umzustellen. Während dieser Übergangsphase wird es groß angelegte Ankündigungen geben, die die Benutzer auffordern, “ihre Gelder von alten Wallets in neue PQC-kompatible Wallets zu verschieben”.

Wegweisende Projektbeispiele

Einige Blockchain-Projekte haben diese Quantenbedrohung antizipiert und wurden von Anfang an mit dem Anspruch auf Quantenresistenz entwickelt.

QRL (Quantum Resistant Ledger): Eine frühe Blockchain, die XMSS (eXtended Merkle Signature Scheme), eine Hash-basierte PQC, nativ auf Protokollebene implementiert hat.
Algorand / Cellframe: Projektgruppen, die über eine flexible modulare Architektur der Kryptografie-Schicht im Hinblick auf zukünftige PQC-Updates verfügen und aktiv nach der Integration von Gitterkryptografie suchen.

7. Fazit: Die Zukunft von Krypto-Assets und der Schutz unserer Vermögenswerte

Die Ankunft des “Post-Quanten-Zeitalters” hat den Bereich der reinen Science-Fiction überschritten und steht uns bereits als konkretes technisches Problem für reale kryptografische Systeme unmittelbar bevor.

Die beiden Schwerter des Quantencomputings, Shors Algorithmus und Grovers Algorithmus, bedrohen die Grundlage der heutigen Blockchains, nämlich die Public-Key-Kryptografie bzw. Hashfunktionen. Insbesondere die Verwundbarkeit von ECDSA ist fatal, und der Übergang zur Post-Quanten-Kryptografie (PQC) ist eine absolute Notwendigkeit, um das Risiko eines Diebstahls von Geldern durch Front-Running-Angriffe zu vermeiden.

Die Tech-Welt und die Blockchain-Community warten jedoch nicht tatenlos auf den Weltuntergang. Die Auswahl und Standardisierung von PQC-Algorithmen wie der gitterbasierten Kryptografie und Hash-basierten Signaturen schreitet stetig voran, und durch den Einsatz von Zero-Knowledge-Proofs (ZK-STARKs) und Layer-2-Skalierungstechnologien zeichnet sich ein Weg ab, das größte Hindernis der PQC-Einführung, die “Aufblähung der Datengröße”, zu überwinden.

Normale Krypto-Benutzer und Investoren wie wir müssen jetzt nicht in Panik geraten und alle unsere Gelder verkaufen. Es ist jedoch wichtig, ein grundlegendes Verständnis und Bewusstsein für den Selbstschutz wie folgt zu haben:

Vermeiden Sie die Wiederverwendung von Adressen: Vermeiden Sie es strikt, Gelder für lange Zeiträume an “verwendeten Adressen (Adressen, von denen mindestens einmal Gelder gesendet wurden und der öffentliche Schlüssel auf der Blockchain freigelegt ist)” zu speichern. Dies gilt nicht nur aus Gründen des Datenschutzes, sondern auch aus Sicherheitsgründen.
Behalten Sie Technologietrends im Auge: Verfolgen Sie Nachrichten über Diskussionen und Hard Forks im Zusammenhang mit der PQC-Migration auf großen Netzwerken wie Bitcoin-BIPs oder Ethereum-EIPs, damit Sie Ihre Wallets bei Bedarf rechtzeitig migrieren können.

Die Geschichte der Blockchain ist immer eine Geschichte von Upgrades und Widerstandsfähigkeit (Resilience) gegenüber neuen technologischen Bedrohungen. So wie sie Skalierbarkeitsprobleme und Umweltbedenken (wie den Übergang von PoW zu PoS) überwunden hat, wird das gesamte Ökosystem zweifellos nach Lösungen für diese beispiellose Quantenbedrohung suchen und sich anpassen. Wir können auf eine Zukunft hoffen, in der die neue Weisheit der Menschheit in Form von Quantencomputern und die Vertrauenstechnologie dezentraler Ledger nicht durch eine Kollision zusammenbrechen, sondern auf einer höheren Ebene zu einem robusteren System verschmelzen.

Referenzen und weiterführende Links:

National Institute of Standards and Technology (NIST) - Post-Quantum Cryptography Standardization Project
Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring.
Grover, L. K. (1996). A fast quantum mechanical algorithm for database search.
Buterin, V. (2024). How to hard-fork to save most users’ funds in a quantum emergency.

Quanten-Annealing und Quantengatter-Modell im Vergleich leicht erklärt

Fri, 11 Sep 2026 12:00:00 +0900

Quanten-Annealing und Quantengatter-Modell im Vergleich leicht erklärt

Quantencomputing ist eine Rechentechnologie der nächsten Generation mit dem Potenzial, bestimmte Probleme, für die moderne klassische Computer (einschließlich herkömmlicher Supercomputer) enorm viel Rechenzeit benötigen würden, mithilfe quantenmechanischer Prinzipien (Superposition und Quantenverschränkung) drastisch schneller zu lösen.

Derzeit gibt es für die Realisierung von Quantencomputern im Wesentlichen zwei Mainstream-Paradigmen: “Quanten-Annealing” (Quantum Annealing) und das “Quantengatter-Modell” (Quantum Gate Model). Diese beiden Ansätze unterscheiden sich grundlegend in den zugrunde liegenden physikalischen Prinzipien, den bevorzugten Rechenaufgaben und den Hardware-Herausforderungen bei der Implementierung.

In diesem Artikel werden wir diese beiden Ansätze aus einer sehr detaillierten und technischen Perspektive umfassend vergleichen und erläutern – von den physikalischen Prinzipien und mathematischen Modellen (Ising-Modell, QUBO, unitäre Transformationen usw.) über die aktuellen technischen Grenzen bis hin zu konkreten Anwendungsfällen.

1. Grundlagen des Quantencomputings: Der fundamentale Unterschied zu klassischen Computern

Klassische Computer verarbeiten Informationen als “Bits”, die den Zustand “0” oder “1” annehmen. Quantencomputer hingegen verwenden “Quantenbits (Qubits)”. Durch das quantenmechanische Prinzip der “Superposition” (Überlagerung) können Qubits mit bestimmten Wahrscheinlichkeiten gleichzeitig die Zustände 0 und 1 annehmen.

Darüber hinaus sind durch das Phänomen der “Quantenverschränkung” (Entanglement) die Zustände mehrerer Qubits stark miteinander korreliert, sodass eine Operation an einem Qubit das gesamte System augenblicklich beeinflusst. Dies ermöglicht eine Art parallele Verarbeitung (Quantenparallelität).

Quantenzustände sind jedoch extrem anfällig für externes Rauschen (wie Wärme oder elektromagnetische Strahlung). Das Phänomen der “Dekohärenz” (Decoherence), bei dem der Zustand zusammenbricht und in einen klassischen Zustand zurückfällt, stellt eine große Herausforderung dar. Die unterschiedlichen Herangehensweisen an dieses Rauschproblem führen zu den großen Unterschieden in der Designphilosophie zwischen Annealing und dem Gatter-Modell.

2. Details zum Quanten-Annealing (Quantum Annealing)

Quanten-Annealing ist eine spezialisierte Rechenarchitektur, die hauptsächlich auf die Lösung von “kombinatorischen Optimierungsproblemen” zugeschnitten ist. Sie basiert auf der 1998 von Hidetoshi Nishimori und Tadashi Kadowaki (Tokyo Institute of Technology) vorgeschlagenen Theorie und wurde durch die weltweit erste kommerzielle Umsetzung des kanadischen Unternehmens D-Wave Systems weithin bekannt.

2.1. Physikalischer Mechanismus: Transversalfeld-Ising-Modell und Quantenfluktuation

Das Quanten-Annealing macht sich die Eigenschaft natürlicher physikalischer Systeme zunutze, sich in den Zustand mit der niedrigsten Energie (Grundzustand) einzupendeln.

Beim klassischen Ansatz, dem “Simulated Annealing”, werden thermische Fluktuationen genutzt, um aus lokalen Optima (lokalen Minima) zu entkommen. Das Quanten-Annealing nutzt stattdessen “Quantenfluktuationen” (Quantum Fluctuation) und durchdringt mittels des “Quanten-Tunneleffekts” (Quantum Tunneling) Energiebarrieren, um so effizienter nach dem globalen Optimum (globalen Minimum) zu suchen.

Die zeitliche Entwicklung eines Quanten-Annealing-Systems wird durch den folgenden Hamiltonoperator (ein Operator, der die Gesamtenergie des Systems darstellt) $H(t)$ beschrieben:

$$ H(t) = A(t) H_0 + B(t) H_P $$

Dabei ist $t$ die Zeit, $A(t)$ eine allmählich abnehmende Funktion und $B(t)$ eine allmählich zunehmende Funktion.

$H_0$ (Anfangs-Hamiltonoperator): Stellt das Transversalfeld (Transverse field) dar und erzeugt Quantenfluktuationen. $$ H_0 = - \sum_{i} \sigma_i^x $$ ($\sigma_i^x$ ist die Pauli-X-Matrix und repräsentiert einen Bit-Flip.)
$H_P$ (Problem-Hamiltonoperator): Ein Ising-Modell, das das zu lösende Optimierungsproblem repräsentiert.

Im Anfangszustand ($t=0$) ist $A(0)$ maximal, und das System befindet sich im Grundzustand von $H_0$ (ein Zustand, in dem alle möglichen Zustände gleichmäßig überlagert sind). Im Laufe der Zeit wird das Transversalfeld langsam abgeschwächt, während gleichzeitig die Wechselwirkungen des Problem-Hamiltonoperators verstärkt werden.

2.2. Adiabatisches Quantencomputing (Adiabatic Quantum Computation)

Wichtig bei diesem Prozess ist das “Adiabatentheorem” (Adiabatic Theorem). Nach diesem Theorem bleibt ein System, wenn es “langsam genug” (adiabatisch) verändert wird, stets im Grundzustand des jeweiligen momentanen Hamiltonoperators.

Das bedeutet, dass das System, wenn schließlich $A(t) \to 0$ und $B(t) \to 1$ erreicht ist, den Grundzustand von $H_P$ erreicht hat, d. h. die “exakte Lösung des Optimierungsproblems”.

graph TD A["Hamiltonoperator H_0 (Anfangszustand)"] -->|"Adiabatische Änderung (langsam genug)"| B["Bleibt stets im Grundzustand"] A -->|"Nicht-adiabatische Änderung (zu schnell/thermisches Rauschen)"| C["Übergang in angeregte Zustände (Fehler)"] B --> D["Hamiltonoperator H_P (Globales Optimum)"] C --> E["Gefangen in lokalem Optimum"] D --> F["Auslesen der Lösung"] E --> F

2.3. Mapping von QUBO auf das Ising-Modell

Um reale Probleme auf einem Quanten-Annealer zu lösen, muss das Problem in Form eines QUBO (Quadratic Unconstrained Binary Optimization) formuliert werden.

Die Zielfunktion eines QUBO ist wie folgt definiert:

$$ \min_{x \in \{0,1\}^n} \sum_{i} Q_{ii} x_i + \sum_{i < j} Q_{ij} x_i x_j $$

Hierbei ist $x_i \in \{0, 1\}$ eine binäre Variable und $Q$ eine Gewichtsmatrix.

Da die Hardware (wie D-Wave) mit physikalischen Spins (Spin-Up/Spin-Down) arbeitet, müssen die Variablen in ein Ising-Modell mit $\sigma_i \in \{-1, +1\}$ transformiert werden. Die Transformationsgleichung lautet:

$$ x_i = \frac{1 - \sigma_i}{2} \quad \text{oder} \quad \sigma_i = 1 - 2x_i $$

Setzt man dies in die QUBO-Gleichung ein und vereinfacht, erhält man den Hamiltonoperator $H_P$ des Ising-Modells:

$$ H_P = - \sum_{i

$J_{ij}$: Wechselwirkung zwischen Spins (Kopplungskoeffizient). Entspricht der Kopplungsstärke zwischen physikalischen Qubits.

$h_i$: Lokales Magnetfeld (Bias) für jeden Spin.

2.4. Hardware und Herausforderungen des Quanten-Annealings (Beispiel D-Wave)

Die Quantenprozessoren von D-Wave werden mithilfe von supraleitenden Quanteninterferenz-Einheiten (SQUIDs) realisiert. Die physikalische Kopplung zwischen Qubits hängt von der Hardware-Verkabelung ab und ist nicht vollständig (nicht alle Qubits sind miteinander verbunden). Ausgehend vom ursprünglichen “Chimera-Graphen” über den “Pegasus-Graphen” bis hin zum “Zephyr-Graphen” hat sich die Konnektivität zwar verbessert, bleibt aber eingeschränkt.

Daher ist ein “Minor Embedding” erforderlich, um Probleme mit komplexer Graphenstruktur auf den physikalischen Graphen abzubilden. Dabei wird eine logische Variable durch mehrere physikalische Qubits (Ketten) repräsentiert, was die Anzahl der nutzbaren effektiven Qubits verringert und zu einer Verringerung der Rechengenauigkeit führt.

3. Details zum Quantengatter-Modell (Quantum Gate Model)

Das Quantengatter-Modell ist eine quantenmechanische Erweiterung klassischer Logikgatter (AND, OR, NOT usw.) und ermöglicht “Universelles Quantencomputing” (Universal Quantum Computation). Viele Unternehmen wie IBM, Google, Rigetti und IonQ verfolgen diesen Ansatz.

3.1. Unitäre Transformationen und Zustandsvektor

Beim Quantengatter-Modell wird der Gesamtzustand des Qubit-Systems als “Zustandsvektor” (State Vector) $|\psi\rangle$ dargestellt. Der Zustand eines einzelnen Qubits wird als Linearkombination der Basiszustände $|0\rangle$ und $|1\rangle$ wie folgt beschrieben:

$$ |\psi\rangle = \alpha |0\rangle + \beta |1\rangle $$

Hierbei sind $\alpha$ und $\beta$ komplexe Wahrscheinlichkeitsamplituden, für die $|\alpha|^2 + |\beta|^2 = 1$ gilt. Dieser Zustand wird geometrisch oft als Punkt auf der “Bloch-Kugel” (Bloch Sphere) veranschaulicht.

Rechenschritte im Quantencomputer werden als Anwendung eines unitären Operators (Unitary Operator) $U$ auf den Zustandsvektor beschrieben. Unitäre Matrizen haben die Eigenschaft $U^\dagger U = I$ (das Produkt mit der hermitesch konjugierten Matrix ergibt die Einheitsmatrix) und stellen umkehrbare Operationen dar, die der zeitlichen Entwicklung der Schrödingergleichung in der Quantenmechanik entsprechen:

$$ |\psi_{t+1}\rangle = U_t |\psi_t\rangle $$

3.2. Grundlegende Quantengatter und das Schaltkreismodell

Quantenalgorithmen werden als eine Abfolge von Quantengattern (Quantenschaltkreis) entworfen.

Pauli-Gatter (X, Y, Z): 180-Grad-Rotationen um die jeweiligen Achsen der Bloch-Kugel. Das X-Gatter entspricht dem klassischen NOT-Gatter.
Hadamard-Gatter (H): Überführt $|0\rangle$ in $\frac{|0\rangle + |1\rangle}{\sqrt{2}}$ und erzeugt so einen Superpositionszustand. $$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$
CNOT-Gatter (Controlled-NOT): Ein 2-Qubit-Gatter. Es wendet das X-Gatter nur dann auf das Ziel-Qubit an, wenn das Kontroll-Qubit $|1\rangle$ ist. Dadurch wird Quantenverschränkung (Entanglement) erzeugt.

Jeder Quantenalgorithmus kann näherungsweise durch eine Kombination aus wenigen Einzel-Qubit-Gattern und CNOT-Gattern dargestellt werden (universelles Gatter-Set).

graph LR Q0["Qubit 0: |0>"] --> H1["Hadamard-Gatter (H)"] Q1["Qubit 1: |0>"] --> I1["Identitätsoperation (I)"] H1 --> C1["Kontroll-Qubit (Control)"] I1 --> T1["Ziel-Qubit (Target)"] C1 -. "Verschränkung" .- T1 C1 --> M0["Messung (Measurement)"] T1 --> M1["Messung (Measurement)"] M0 --> Result["Klassisches Ergebnis (0 oder 1)"] M1 --> Result

3.3. Fehlerkorrektur und der Weg von NISQ zu FTQC

Die größte Herausforderung des Quantengatter-Modells ist die “Dekohärenz”, bei der der Quantenzustand durch Rauschen zerstört wird. Je tiefer die Rechenschritte (Gattertiefe), desto mehr Fehler akkumulieren sich.

Für ideale Berechnungen ist eine Quantenfehlerkorrektur (Quantum Error Correction) unerlässlich. Bei Methoden wie dem “Surface Code” werden beispielsweise mehrere physikalische Qubits gebündelt, um ein fehlerfreies “logisches Qubit” (Logical Qubit) zu bilden. Um jedoch ein einziges logisches Qubit zu erzeugen, werden Tausende bis Zehntausende physikalische Qubits benötigt, was zu einem enormen Overhead führt.

Wir befinden uns derzeit in der Ära der NISQ (Noisy Intermediate-Scale Quantum) Geräte, die über Dutzende bis Hunderte von Qubits ohne Fehlerkorrektur verfügen. Die Realisierung von FTQC (Fault-Tolerant Quantum Computing), das vollständige Fehlerkorrektur bietet, erfordert noch viele Durchbrüche.

4. Zusammenfassung des technischen und mathematischen Vergleichs

Vergleich der grundlegenden Unterschiede beider Architekturen:

Vergleichsmerkmal	Quanten-Annealing (Quantum Annealing)	Quantengatter-Modell (Gate Model)
Rechenmodell	Adiabatisches Quantencomputing (Kontinuierliche zeitliche Entwicklung des Hamiltonoperators)	Unitäre Transformation (Diskrete Abfolge von Gatteroperationen)
Geeignete Probleme	Kombinatorische Optimierungsprobleme (QUBO, Ising-Modell)	Universell (Quantenchemiesimulation, Primfaktorzerlegung, Suche usw.)
Ausdruckskraft	Heuristische Optimierung (Näherungslösungen)	Äquivalent zu einer universellen Quantenturingmaschine (theoretisch alle Berechnungen möglich)
Implementierungsbeispiele	D-Wave Systems	IBM, Google, Quantinuum, IonQ usw.
Toleranz gegenüber Rauschen	Relativ robust (da es nahe dem Grundzustand bleibt, ist ein gewisses Maß an thermischem Rauschen tolerierbar)	Sehr anfällig (geringes Rauschen verschiebt die Phase und zerstört das Rechenergebnis)
Skalierbarkeit	Tausende bis Zehntausende Qubits (abhängig von der physikalischen Struktur; logische Qubits schwer umsetzbar)	Hunderte Qubits (für FTQC sind Millionen erforderlich)

Das Quanten-Annealing eignet sich als “zweckspezifischer Coprozessor”, um kombinatorische Optimierungsprobleme zu lösen und so die Grenzen klassischer Computer zu ergänzen. Das Quantengatter-Modell hingegen ist die Quantenversion des “Allzweckrechners” und zielt darauf ab, die Rechenleistung klassischer Computer letztendlich zu übertreffen (Quantenüberlegenheit), jedoch ist der Bau der Hardware extrem schwierig.

5. Aktuelle Grenzen und Herausforderungen

Grenzen des Quanten-Annealings

Eingeschränkte Konnektivität (Connectivity): Durch das zuvor erwähnte Minor Embedding steigt die Anzahl der benötigten physikalischen Qubits mit der Problemgröße exponentiell an.
Präzision der Koeffizienten (Precision): Physikalische Fehler beim Einstellen analoger Parameter wie $J_{ij}$ und $h_i$ auf der Hardware wirken sich direkt auf die Qualität der Lösung aus.
Temperatur und nicht-adiabatische Übergänge: Da die Systemtemperatur nicht am absoluten Nullpunkt liegt, besteht die Wahrscheinlichkeit, dass thermische Anregungen das System vom optimalen Zustand abbringen.

Grenzen des Quantengatter-Modells

Kohärenzzeit (Coherence Time): Die Zeit, in der ein Quantenzustand aufrechterhalten werden kann, liegt nur im Bereich von Mikrosekunden bis Millisekunden, was die Anzahl der in dieser Zeit ausführbaren Gatter (Tiefe des Schaltkreises) stark begrenzt.
Gatter-Fidelität (Gate Fidelity): Die Fehlerrate von 2-Qubit-Gattern (wie CNOT) ist noch nicht niedrig genug (im Allgemeinen etwa 99,x %). Für die Realisierung von FTQC muss diese auf über 99,99 % gesteigert werden.
Quantenvolumen (Quantum Volume): Die Skalierung nicht nur der bloßen Qubit-Anzahl, sondern der effektiven Rechenleistung (Quantenvolumen) unter Berücksichtigung von Vernetzung und Fehlerraten ist derzeit die größte Herausforderung.

6. Konkrete Anwendungsfälle und Algorithmen

Betrachten wir die spezifischen Anwendungsbereiche, in denen jede der beiden Methoden ihre Stärken hat.

6.1. Anwendungsfälle des Quanten-Annealings

Logistik und Routing: Routenoptimierung für Lieferfahrzeuge (Varianten des Problems des Handlungsreisenden). Echtzeit-Routenfindung unter Berücksichtigung von Verkehrsstaus.
Finanzmathematik: Portfoliooptimierung. Finden von Anlagekombinationen, die das Risiko minimieren und gleichzeitig die Rendite maximieren.
Maschinelles Lernen: Feature Selection. Auswahl der Variablenkombinationen aus riesigen Datensätzen, die am meisten zur Vorhersage beitragen.
Fertigungsindustrie: Job-Shop-Scheduling-Probleme in Fabriken (welches Bauteil soll auf welcher Maschine in welcher Reihenfolge am schnellsten bearbeitet werden).

6.2. Anwendungsfälle des Quantengatter-Modells

Quantenchemiesimulation: Hochpräzise Simulation von molekularen Energiezuständen und chemischen Reaktionen.
Primfaktorzerlegung (Shor-Algorithmus): Ein Algorithmus zur Zerlegung riesiger zusammengesetzter Zahlen in Polynomzeit. Wenn dieser praxistauglich wird, könnte er heutige Public-Key-Infrastrukturen wie RSA brechen, weshalb der Übergang zur Post-Quanten-Kryptographie (PQC) dringlich ist.
Datenbanksuche (Grover-Algorithmus): Bei der Suche nach bestimmten Daten in einer unsortierten Datenbank benötigen klassische Computer $O(N)$ Schritte, während der Grover-Algorithmus dies in $O(\sqrt{N})$ Schritten schafft.

6.3. Hybrid-Algorithmen der NISQ-Ära: VQE und QAOA

Um die Einschränkungen der flachen Quantenschaltkreise von NISQ-Geräten zu überwinden, gewinnen “Variationelle Quantenalgorithmen” (Variational Quantum Algorithms) an Bedeutung, die die Vorteile von Quanten- und klassischen Computern kombinieren.

VQE (Variational Quantum Eigensolver): Ein Algorithmus zur Bestimmung der Grundzustandsenergie von Molekülen. Er verwendet einen parametrisierten Quantenschaltkreis (Ansatz), um einen Quantenzustand vorzubereiten, und misst den Energieerwartungswert $\langle \psi(\theta) | H | \psi(\theta) \rangle$. Dieser Erwartungswert wird als Zielfunktion verwendet, um die Parameter $\theta$ mithilfe eines klassischen Optimierungsalgorithmus (wie Gradientenabstieg) zu aktualisieren. Durch Wiederholung bis zur Konvergenz wird der exakte Energiezustand des Moleküls ermittelt.
QAOA (Quantum Approximate Optimization Algorithm): Ein Algorithmus zur Lösung von kombinatorischen Optimierungsproblemen mithilfe des Quantengatter-Modells. Er approximiert die adiabatische zeitliche Entwicklung des Quanten-Annealings durch diskrete Gatteroperationen mittels “Trotterisierung” (Trotterization) und wendet abwechselnd Hamiltonoperatoren an, um eine Näherungslösung zu erhalten. QAOA gilt als vielversprechender Ansatz zur Lösung von Optimierungsproblemen mit dem Gatter-Modell.

graph TD User["Benutzerproblem"] --> Formulation{"Art des Problems"} Formulation -- "Kombinatorische Optimierung" --> QA_Path["Quanten-Annealing / Ising-Maschine"] QA_Path --> QUBO["QUBO-Formulierung"] QUBO --> DWave["Ausführung auf D-Wave"] Formulation -- "Chemieberechnungen / Universelle Berechnungen" --> Gate_Path["Quantengatter-Modell"] Gate_Path --> Circuit["Schaltkreisentwurf (VQE / QAOA)"] Circuit --> IBMGoogle["Ausführung auf IBM / Google Quantenhardware"]

7. Fazit

Obwohl Quanten-Annealing und das Quantengatter-Modell beide auf den faszinierenden Eigenschaften der Quantenmechanik als Rechenressource basieren, unterscheiden sie sich stark in ihrem Ansatz und ihren Zielen.

Das Quanten-Annealing ist eine “spezialisierte heuristische Engine”, die darauf abzielt, frühzeitig praktische Ergebnisse für spezifische reale Probleme wie die kombinatorische Optimierung zu liefern. Zahlreiche Unternehmen führen derzeit bereits Proof-of-Concept-Projekte (PoC) durch.
Das Quantengatter-Modell ist der “universelle Quantencomputer” mit dem Potenzial, Paradigmen der Informatik grundlegend zu verändern – von exakten physikalischen und chemischen Simulationen bis hin zur Entschlüsselung. Die Überwindung der gewaltigen Hürde der Fehlerkorrektur erfordert jedoch langfristige Forschung und Entwicklung.

Es wird erwartet, dass in Zukunft “heterogene (Heterogeneous) Computing”-Umgebungen entstehen, in denen klassische Supercomputer (HPC) den Kern bilden und je nach Aufgabe Annealing-Maschinen für Optimierungen oder gatterbasierte Quantencomputer für quantenchemische Berechnungen hinzugezogen werden.

Quantencomputer befinden sich noch in der Entwicklungsphase, doch sowohl bei der Hardware als auch bei den Algorithmen werden täglich schnelle Fortschritte erzielt. Das Verständnis der Mathematik von Ising-Modellen und der Grundlagen von Quantenschaltkreisen wird eine mächtige Waffe für die bevorstehende Quanten-Native-Ära sein.

Dieser Artikel bietet einen umfassenden Überblick von den grundlegenden Konzepten des Quantencomputings bis hin zu den neuesten Hardwaretrends. Bitte verfolgen Sie auch in Zukunft die neuesten Forschungsentwicklungen.

Der Tag, an dem Quantencomputer praktisch werden: Der aktuelle Stand im Jahr 2026

Fri, 11 Sep 2026 06:00:00 +0900

1. Einführung: Wie weit sind Quantencomputer im Jahr 2026 gekommen?

Im Jahr 2026 hat das Quantencomputing einen entscheidenden Wandel vom einstigen „theoretischen Traum“ zur „ingenieurstechnischen Realität“ vollzogen. Da die Grenzen der bis vor wenigen Jahren noch vorherrschenden NISQ (Noisy Intermediate-Scale Quantum)-Geräte deutlich wurden, haben Forschungseinrichtungen und Tech-Giganten weltweit das Ruder in Richtung der Realisierung des „fehlertoleranten Quantencomputings (FTQC: Fault-Tolerant Quantum Computing)“ herumgerissen.

In diesem Artikel werden wir den aktuellen Stand von Quantencomputern eingehend beleuchten und dabei die neuesten Durchbrüche des Jahres 2026 miteinbeziehen. Insbesondere werden wir die Quantenfehlerkorrektur (Oberflächencode), den Unterschied zwischen physischen und logischen Qubits, Fortschritte beim topologischen Quantencomputing sowie die neuesten Entwicklungen bei supraleitenden und Ionenfallen-Ansätzen im Detail erläutern.

2. Grundlagen von Quantenzuständen und Fidelität (Fidelity)

Das Qubit, die grundlegende Einheit eines Quantencomputers, kann sich im Gegensatz zu einem klassischen Bit (0 oder 1) in einem Überlagerungszustand (Superposition) von 0 und 1 befinden. Der Zustand eines einzelnen Qubits wird als Vektor in einem Hilbertraum wie folgt dargestellt:

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Hierbei sind $\alpha$ und $\beta$ komplexe Wahrscheinlichkeitsamplituden, die die folgende Normalisierungsbedingung erfüllen:

$$ |\alpha|^2 + |\beta|^2 = 1 $$

Eine extrem wichtige Kennzahl zur Messung der Leistung von Quantenberechnungen ist die Fidelität (Fidelity). Die Fidelität $F$ zwischen einem idealen Quantenzustand $|\psi\rangle$ und einer durch Rauschen degradierten, zu einem gemischten Zustand gewordenen tatsächlichen Dichtematrix $\rho$ ist wie folgt definiert:

$$ F(\rho, |\psi\rangle) = \langle \psi | \rho | \psi \rangle $$

Heutzutage, im Jahr 2026, hat die Fidelität von 2-Qubit-Gattern (z. B. CNOT- oder CZ-Gattern) bei supraleitenden Systemen stabil die Hürde von 99,99 % (die sogenannten „vier Neunen“) überschritten. Dies liegt deutlich über dem Schwellenwert für die Fehlerkorrektur mit Oberflächencodes (ca. 99 %) und ist einer der größten Durchbrüche auf dem Weg zur praktischen Anwendung.

3. Die Grenzen der NISQ-Ära und der Paradigmenwechsel zu FTQC

Von den späten 2010er bis in die frühen 2020er Jahre hinein war die Ära von NISQ (Noisy Intermediate-Scale Quantum), also von Geräten mit zehn bis hunderten von Qubits ohne Fehlerkorrektur. NISQ hatte jedoch klare Grenzen.

Mit zunehmender Schaltkreistiefe (Depth) häufen sich Fehler exponentiell an, was es unmöglich macht, aussagekräftige Berechnungsergebnisse zu erzielen. Die Gesamterfolgswahrscheinlichkeit $P_{success}$ bei einer Schaltkreistiefe $D$ nimmt in Bezug auf die Fidelität eines einzelnen Gatters $f$ und die Anzahl der Gatter $N$ wie folgt ab:

$$ P_{success} \approx f^N $$

Wenn man 1000 Gatter mit $f = 0,99$ anwendet, ergibt sich $0,99^{1000} \approx 4,3 \times 10^{-5}$, und das Ergebnis geht fast vollständig in zufälligem Rauschen unter. Daher konzentrieren sich die Ressourcen im Jahr 2026 weniger auf die direkte Skalierung von NISQ-Algorithmen (wie VQE oder QAOA), sondern auf die Erzeugung von logischen Qubits (Logical Qubits).

4. Quantenfehlerkorrektur und logische Qubits: Die vorderste Front des Oberflächencodes

Die Quantenfehlerkorrektur (QEC: Quantum Error Correction) ist eine Technologie, bei der mehrere „physische Qubits“ kodiert werden, um ein einzelnes „logisches Qubit“ zu erzeugen und Fehler zu erkennen und zu korrigieren. Derzeit gilt der Oberflächencode (Surface Code) als am vielversprechendsten.

4.1 Struktur des Oberflächencodes (Surface Code)

Beim Oberflächencode werden die Qubits in einem zweidimensionalen Gitter angeordnet. Daten-Qubits (die die eigentlichen Informationen speichern) und Mess-Qubits (für die Syndrommessung) sind schachbrettartig angeordnet.

graph TD A["Daten-Qubit (D1)"] --- B["Mess-Qubit (M1)"] B --- C["Daten-Qubit (D2)"] C --- D["Mess-Qubit (M2)"] D --- E["Daten-Qubit (D3)"] B --- F["Daten-Qubit (D4)"] D --- G["Daten-Qubit (D5)"] style A fill:#e1f5fe,stroke:#039be5 style C fill:#e1f5fe,stroke:#039be5 style E fill:#e1f5fe,stroke:#039be5 style F fill:#e1f5fe,stroke:#039be5 style G fill:#e1f5fe,stroke:#039be5 style B fill:#fff3e0,stroke:#fb8c00 style D fill:#fff3e0,stroke:#fb8c00

Mithilfe der Stabilisator-Operatoren $S_x$ und $S_z$ werden Bitflips (X-Fehler) und Phasenflips (Z-Fehler) kontinuierlich überwacht.

$$ S_x = \prod_{i \in \text{star}} X_i, \quad S_z = \prod_{j \in \text{plaquette}} Z_j $$

Ein entscheidender Fortschritt im Jahr 2026 war das vollständige Durchbrechen des „Break-Even-Punkts (Break-even point)“. Das bedeutet, dass das durch die Fehlerkorrektur beseitigte Rauschen größer wurde als das zusätzliche Rauschen, das durch die für die Fehlerkorrektur erforderlichen Schaltkreise entsteht, sodass die Lebensdauer von logischen Qubits die von physischen Qubits um viele Größenordnungen übertrifft.

4.2 Der Zyklus der Quantenfehlerkorrektur

Die Fehlerkorrektur fungiert als kontinuierliche Feedbackschleife.

sequenceDiagram participant D as "Daten-Qubits" participant M as "Ancilla-/Mess-Qubits" participant C as "Klassischer Controller" loop "Syndrom-Extraktionszyklus (ca. 1 Mikrosekunde)" D->>M: "Verschränken (CNOT/CZ)" M->>C: "Zustand messen (Syndrom)" C->>C: "Syndrom decodieren (z. B. Minimum Weight Perfect Matching)" C-->>D: "Pauli-Korrektur anwenden (falls erforderlich)" end

Mittlerweile hat sich die Technologie etabliert, diesen klassischen Dekodierungsprozess (Syndromanalyse) mit FPGAs oder dedizierten ASICs im Nanosekundenbereich durchzuführen, wodurch die Fehlerkorrektur in Echtzeit das Stadium der praktischen Anwendung erreicht hat.

5. Die Evolution der Hardware-Architektur (Ausgabe 2026)

Die Quantenhardware im Jahr 2026 entwickelt sich hauptsächlich entlang dreier Achsen: „Supraleitender Ansatz“, „Ionenfallen-Ansatz“ und „Topologischer Ansatz“.

5.1 Integration von supraleitenden Qubits

Der supraleitende Ansatz ist ein Bereich, der von IBM und Google angeführt wird, wobei Transmon-Qubits (Transmon) mit Josephson-Kontakten vorherrschen. Im Jahr 2026 wurden Mega-Chips realisiert, die Tausende bis Zehntausende von physischen Qubits auf einem einzigen Chip integrieren.

Besonders hervorzuheben ist die Etablierung von quantenmechanischen Verbindungen zwischen Modulen (Quantum Interconnects). Die Quantenteleportation zwischen Chips mithilfe von Mikrowellenphotonen wurde auf kommerziellem Niveau implementiert, wodurch die Größenbeschränkungen eines einzelnen Mischkryostaten (Verdünnungskühlschranks) umgangen werden können.

5.2 Zweidimensionale Skalierung von Ionenfallen und optische Interconnects

Beim Ionenfallen-Ansatz (vorangetrieben unter anderem von Quantinuum und IonQ) werden die internen Energiezustände von im Vakuum schwebenden Ionen als Qubits genutzt. Im Vergleich zum supraleitenden Ansatz haben sie den Vorteil extrem langer T1/T2-Kohärenzzeiten und ermöglichen eine All-to-All-Konnektivität (All-to-All Connectivity).

Der Durchbruch des Jahres 2026 ist die zweidimensionale Ausrichtung der QCCD-Architektur (Quantum Charge Coupled Device) und die Hochgeschwindigkeits-Verschränkungserzeugung zwischen mehreren Fallen mithilfe von photonischen Interconnects. Dadurch wurden die Schwächen der Ionenfallen, nämlich „langsame Gatter-Geschwindigkeit“ und „mangelnde Skalierbarkeit“, dramatisch verbessert.

5.3 Topologisches Quantencomputing: Kontrolle von Anyonen

Das topologische Quantencomputing, das lange Zeit als rein theoretisch galt, hat im Jahr 2026 endlich die Phase der experimentellen Demonstration erreicht. Dieser Ansatz, der unter anderem von Microsoft vorangetrieben wird, nutzt nicht-abelsche Anyonen (Non-Abelian Anyons), die als „Majorana-Nullmoden (Majorana Zero Modes)“ bezeichnet werden.

Quantengatter werden durch eine Operation namens „Braiding (Flechten)“ ausgeführt, bei der die Positionen der Anyon-Teilchen vertauscht werden.

$$ |\psi_{final}\rangle = B_{ij} |\psi_{initial}\rangle $$

Hierbei ist $B_{ij}$ der Braiding-Operator. Da beim topologischen Ansatz die Speicherung von Informationen nicht vom lokalen Zustand der Teilchen abhängt, sondern von der Topologie der gesamten „Knoten“, ist er von Natur aus widerstandsfähig gegen Umgebungsrauschen (Fehlertoleranz auf Hardware-Ebene). Im Jahr 2026 wurde weltweit zum ersten Mal die Erzeugung topologischer logischer Qubits mit hoher Fidelität bestätigt, was große Aufmerksamkeit als starke Abkürzung zu FTQC erregte.

6. Roadmap und Ausblick auf die praktische Anwendung

Damit Quantencomputer ihre Quantenüberlegenheit (Quantum Advantage), mit der sie klassische Computer (Supercomputer) in Bereichen wie „chemische Berechnungen“, „Materialwissenschaften“ und „Finanzmodellierung“ übertreffen, wirklich entfalten können, sind Tausende von logischen Qubits erforderlich.

gantt title "Quantencomputing-Roadmap (Überarbeitet 2026)" dateFormat YYYY axisFormat %Y section "NISQ-Ära" "Verrauschte Qubits (<1000)" :done, 2018, 2024 section "Frühes FTQC" "Demonstration des Break-Even-Punkts" :done, 2024, 2026 "Hunderte von logischen Qubits" :active, 2026, 2028 section "Vollwertiges FTQC" "1000+ logische Qubits (Komm. Anwendung)" : 2028, 2030 "Universeller fehlertoleranter Quantencomputer" : 2030, 2035

6.1 Aktuelle Herausforderungen und die Zukunft

Die größte Herausforderung im Jahr 2026 ist die Kühlkapazität der riesigen Kryostate (Verdünnungskühlschränke) zur Aufrechterhaltung der extrem niedrigen Temperaturen sowie die Verkabelung (I/O-Flaschenhals), die die Steuergeräte bei Raumtemperatur mit den Quantenchips bei tiefen Temperaturen verbindet. Um dem zu begegnen, schreitet die Entwicklung von CMOS-Controller-Chips (Cryo-CMOS), die in kryogenen Umgebungen funktionieren, rasant voran.

Fazit

Das Jahr 2026 wird in die Geschichte der Quantencomputer als „das erste Jahr der Skalierung logischer Qubits“ eingehen. Dank der Demonstration von Fehlerkorrekturalgorithmen, der Modularisierung der Hardware und der rasanten Fortschritte beim topologischen Ansatz ist der „Tag der praktischen Anwendung“ keine ferne Zukunft mehr, sondern kann als konkreter Meilenstein für die nächsten Jahre angesehen werden. Für Entwickler von Quantenalgorithmen und Unternehmen ist jetzt genau der richtige Zeitpunkt, um ernsthaft in quantennative Problemlösungen zu investieren.

Dieser Artikel basiert auf den neuesten Forschungsarbeiten und Branchentrends im Bereich des Quantencomputings mit Stand 2026.