Quantum Computing on kenji.blog

Der ultimative Einstieg in die Quantenprogrammierung mit Qiskit

Fri, 11 Sep 2026 20:00:00 +0900

1. Einführung

Moderne Computer (klassische Computer) haben unser Leben dramatisch verändert und unterstützen mit ihrer hohen Rechenleistung alle Aspekte der Gesellschaft. Es ist jedoch bekannt, dass für bestimmte, spezifische Probleme (z.B. die Primfaktorzerlegung riesiger Zahlen, die Simulation komplexer Molekularstrukturen, Optimierungsprobleme etc.) selbst die modernsten Supercomputer unserer Zeit mehr Zeit benötigen würden, als das Universum alt ist.

Der Quantencomputer (Quantum Computer) birgt das Potenzial, diese „Grenzen klassischer Computer“ zu durchbrechen. Man geht davon aus, dass er durch die Nutzung der faszinierenden Eigenschaften der Quantenmechanik (Superposition und Quantenverschränkung) als Rechenressource in der Lage ist, bestimmte Probleme drastisch zu beschleunigen.

In diesem Artikel machen wir die ersten Schritte in die Welt der Quantenprogrammierung, indem wir das von IBM als Open Source bereitgestellte Quantencomputing-Framework Qiskit verwenden. Dies ist ein sehr detaillierter Einstiegsguide, der von den physikalischen und mathematischen Grundlagen über das Schreiben von Code in Python bis hin zur Ausführung von Quantenschaltungen auf einem Simulator alles sorgfältig erklärt.

2. Physikalische und mathematische Grundlagen des Quantenrechnens

Um die Quantenprogrammierung zu verstehen, müssen Sie zunächst die grundlegenden Konzepte der Quantenmechanik begreifen. Hier erklären wir die drei wichtigen Säulen: Quantenbits, Superposition und Quantenverschränkung.

2.1 Das klassische Bit und das Quantenbit (Qubit)

Die Informationseinheit klassischer Computer ist das „Bit“. Ein Bit nimmt immer genau einen von zwei Zuständen ein: entweder 0 oder 1.

Andererseits wird die kleinste Informationseinheit eines Quantencomputers als Quantenbit (Qubit: Quantum bit) bezeichnet. Ein Qubit kann nicht nur die Zustände 0 und 1 annehmen, sondern ist auch in der Lage, beide Zustände gleichzeitig beizubehalten.

Mathematisch wird der Zustand eines Qubits $|\psi\rangle$ als Linearkombination (Superposition) der Basiszustände $|0\rangle$ und $|1\rangle$ ausgedrückt.

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Hierbei sind $\alpha$ und $\beta$ komplexe Zahlen, die die Wahrscheinlichkeitsamplituden dafür darstellen, dass die Zustände $|0\rangle$ bzw. $|1\rangle$ beobachtet werden. Basierend auf den Grundprinzipien der Quantenmechanik muss die Summe der Wahrscheinlichkeiten 1 ergeben, weshalb die folgende Normierungsbedingung erfüllt sein muss:

$$ |\alpha|^2 + |\beta|^2 = 1 $$

Das bedeutet, wenn wir dieses Qubit „messen (beobachten)“, ist die Wahrscheinlichkeit, $|0\rangle$ zu erhalten, $|\alpha|^2$, und die Wahrscheinlichkeit, $|1\rangle$ zu erhalten, $|\beta|^2$. Der entscheidende Unterschied zum klassischen Bit besteht darin, dass der Zustand vor der Messung nur probabilistisch bestimmt ist.

graph LR A["Klassisches Bit (Classical Bit)"] --> B["Bestimmter Zustand: 0 oder 1"] C["Quantenbit (Qubit)"] --> D["Superposition: Sowohl 0 als auch 1"] D --> E["Zustand wird durch Messung probabilistisch bestimmt"]

2.2 Superposition (Überlagerung)

Wie bereits erwähnt, wird der Zustand, in dem die Zustände $|0\rangle$ und $|1\rangle$ vermischt sind, als Superposition bezeichnet.

Wenn sich beispielsweise ein einzelnes Qubit in einem Zustand der vollkommen gleichmäßigen Superposition befindet, gilt $\alpha = \frac{1}{\sqrt{2}}$ und $\beta = \frac{1}{\sqrt{2}}$.

$$ |\psi\rangle = \frac{1}{\sqrt{2}}|0\rangle + \frac{1}{\sqrt{2}}|1\rangle $$

Wenn dieser Zustand gemessen wird, werden $|0\rangle$ und $|1\rangle$ jeweils mit einer Wahrscheinlichkeit von 50% beobachtet. Wenn zwei Qubits vorhanden sind, können wir eine Superposition der vier Zustände $|00\rangle, |01\rangle, |10\rangle, |11\rangle$ erstellen. Mit $n$ Qubits können wir $2^n$ Zustände gleichzeitig repräsentieren, was eine der Hauptquellen für die parallele Verarbeitungsfähigkeit von Quantencomputern darstellt.

2.3 Quantenverschränkung (Entanglement)

Die stärkste und mysteriöseste Eigenschaft im Quantencomputing ist die Quantenverschränkung (Entanglement). Dieses Phänomen, das Einstein als “spukhafte Fernwirkung” bezeichnete, beschreibt die Eigenschaft, dass zwei oder mehr Qubits so stark miteinander verbunden sind, dass die Bestimmung des Zustands des einen Qubits sofort auch den Zustand des anderen bestimmt, ganz gleich, wie weit sie physisch voneinander entfernt sind.

Einer der bekanntesten verschränkten Quantenzustände, der „Bell-Zustand (Bell State)“, der $\Phi^+$-Zustand, wird wie folgt ausgedrückt:

$$ |\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}} $$

In diesem Zustand existieren die Zustände $|01\rangle$ und $|10\rangle$ nicht. Wenn wir also das erste Qubit messen und es sich im Zustand $|0\rangle$ befindet, ist es sicher, dass das zweite Qubit sich ebenfalls im Zustand $|0\rangle$ befindet, noch bevor wir es gemessen haben. Umgekehrt, wenn das erste Qubit $|1\rangle$ ist, wird das zweite definitiv auch $|1\rangle$ sein.

3. Quantenlogikgatter (Quantum Logic Gates)

So wie klassische Computer Logikgatter wie AND, OR und NOT verwenden, um Berechnungen durchzuführen, verwenden Quantencomputer Quantengatter, um den Zustand von Qubits zu manipulieren. Da ein Quantenzustand ein Vektor ist, wird ein Quantengatter als “unitäre Matrix” ausgedrückt, die auf diesen Vektor wirkt.

3.1 Pauli-Gatter (Pauli-X, Y, Z)

Pauli-Gatter sind grundlegende Operationen für ein einzelnes Qubit.

・Pauli-X Gatter (NOT-Gatter) Es entspricht dem klassischen NOT-Gatter. Es invertiert $|0\rangle$ zu $|1\rangle$ und $|1\rangle$ zu $|0\rangle$. (Eine 180-Grad-Drehung um die X-Achse auf der Bloch-Kugel)

$$ X = \begin{pmatrix} 0 & 1 \\ 1 & 0 \end{pmatrix} $$

・Pauli-Y Gatter Führt eine 180-Grad-Drehung um die Y-Achse aus. Es hat den Effekt, sowohl die Phase als auch das Bit zu invertieren.

$$ Y = \begin{pmatrix} 0 & -i \\ i & 0 \end{pmatrix} $$

・Pauli-Z Gatter (Phaseninversionsgatter) Es belässt den Zustand von $|0\rangle$ unverändert und invertiert die Phase (multipliziert mit $-1$) des Zustands $|1\rangle$. (Eine 180-Grad-Drehung um die Z-Achse)

$$ Z = \begin{pmatrix} 1 & 0 \\ 0 & -1 \end{pmatrix} $$

3.2 Hadamard-Gatter (Hadamard Gate)

Das Hadamard-Gatter (H-Gatter) ist ein sehr wichtiges Gatter, das einen bestimmten Zustand ($|0\rangle$ oder $|1\rangle$) in einen Superpositionszustand überführt.

$$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$

Die Anwendung des H-Gatters auf $|0\rangle$ führt zu $|+\rangle$, was einem gleichmäßigen Superpositionszustand entspricht.

$$ H|0\rangle = \frac{1}{\sqrt{2}}|0\rangle + \frac{1}{\sqrt{2}}|1\rangle = |+\rangle $$

3.3 Phasengatter (Phase Gates)

Phasengatter sind eine Verallgemeinerung des Z-Gatters; sie rotieren die Phase des Zustands $|1\rangle$ um einen angegebenen Winkel $\theta$.

$$ P(\theta) = \begin{pmatrix} 1 & 0 \\ 0 & e^{i\theta} \end{pmatrix} $$

Typische Beispiele sind das S-Gatter ($\theta = \pi/2$) und das T-Gatter ($\theta = \pi/4$).

3.4 CNOT-Gatter (Controlled-NOT Gate)

Das CNOT-Gatter (CX-Gatter) führt Operationen zwischen zwei Qubits durch und ist unerlässlich für die Erzeugung von Quantenverschränkung. Es besteht aus einem “Kontroll-Bit (Control)” und einem “Ziel-Bit (Target)”.

Nur wenn das Kontrollbit $|1\rangle$ ist, wird das X-Gatter (NOT-Operation) auf das Zielbit angewendet; wenn das Kontrollbit $|0\rangle$ ist, passiert nichts.

$$ CNOT = \begin{pmatrix} 1 & 0 & 0 & 0 \\ 0 & 1 & 0 & 0 \\ 0 & 0 & 0 & 1 \\ 0 & 0 & 1 & 0 \end{pmatrix} $$

4. Grundlagen und Umgebungseinrichtung von Qiskit

Von hier an werden wir Quantenprogramme mithilfe von Python und Qiskit schreiben.

4.1 Was ist Qiskit?

Qiskit ist ein Open-Source Software Development Kit (SDK) für Quantencomputing, das von IBM Quantum entwickelt wurde. Es ermöglicht die intuitive Erstellung von Quantenschaltungen in Python und deren Ausführung auf lokalen Simulatoren oder über die Cloud auf echten Quantencomputern von IBM.

4.2 Installationsmethode

Um Qiskit zu verwenden, ist eine Python-Umgebung erforderlich. Installieren Sie Qiskit und die zugehörigen Pakete (Simulator und Zeichnungsbibliotheken) mit dem folgenden Befehl:

1

pip install qiskit qiskit-aer qiskit-ibm-runtime matplotlib pylatexenc

4.3 Grundlegender Ablauf der Programmierung

Die Quantenprogrammierung mit Qiskit erfolgt hauptsächlich in den folgenden Schritten:

graph TD A["1. Schaltungsaufbau (Build)"] --> B["2. Kompilieren/Transpilieren (Compile)"] B --> C["3. Ausführung (Execute)"] C --> D["4. Analyse und Visualisierung der Ergebnisse (Analyze)"]

Schaltungsaufbau: Erstellen eines QuantumCircuit-Objekts und Hinzufügen von Gattern.
Kompilieren: Optimierung der Schaltung für das ausführende Backend (echte Maschine oder Simulator).
Ausführung: Senden von Jobs an das Backend und Abrufen der Ergebnisse.
Analyse: Zeichnen von Histogrammen der Messergebnisse usw.

5. Praxis: Aufbau einer Schaltung zur Erzeugung eines Bell-Zustands (Quantenverschränkung)

Lassen Sie uns die “Quantenverschränkung (den Bell-Zustand)”, die wir in der Theorie gelernt haben, nun tatsächlich mit Qiskit erzeugen. Unser Zielzustand ist $|\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}}$.

5.1 Schaltungsentwurf

Um einen Bell-Zustand zu erzeugen, gehen wir wie folgt vor:

Bereiten Sie zwei Qubits vor (beide haben als Anfangszustand $|0\rangle$).
Wenden Sie das Hadamard-Gatter (H) auf das erste Qubit an, um es in einen Superpositionszustand zu versetzen.
Wenden Sie das CNOT-Gatter an, wobei das erste Qubit das “Kontrollbit” und das zweite das “Zielbit” ist.
Führen Sie eine Messung (Measure) durch, um die Ergebnisse auszulesen.

5.2 Python/Qiskit Code-Implementierung

Schauen wir uns nun den tatsächlichen Code an.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


import numpy as np
from qiskit import QuantumCircuit, transpile
from qiskit_aer import Aer
from qiskit.visualization import plot_histogram
import matplotlib.pyplot as plt

# 1. Initialisierung der Schaltung
# Erstellen einer Quantenschaltung mit 2 Quantenbits und 2 klassischen Bits
qc = QuantumCircuit(2, 2)

# 2. Anwendung des H-Gates
# Hadamard-Gate auf das Quantenbit 0 (q0) anwenden
qc.h(0)

# 3. Anwendung des CNOT-Gates
# CNOT anwenden mit q0 als Steuerbit und q1 als Zielbit
qc.cx(0, 1)

# 4. Messung
# Quantenbits 0 und 1 messen und in die klassischen Bits 0 und 1 schreiben
qc.measure([0, 1], [0, 1])

# Schaltungsdiagramm zeichnen (mit matplotlib)
# qc.draw('mpl')
print(qc.draw())

Wenn Sie diesen Code ausführen, wird in der Konsole als ASCII-Art das folgende Quantenschaltungsdiagramm angezeigt:

1
2
3
4
5
6
7


 ┌───┐ ┌─┐
q_0: ┤ H ├──■──┤M├───
 └───┘┌─┴─┐└╥┘┌─┐
q_1: ─────┤ X ├─╫─┤M├
 └───┘ ║ └╥┘
c: 2/═══════════╩══╩═
 0 1

H stellt das Hadamard-Gatter dar, die Kombination aus ■ und X ist das CNOT-Gatter, und M repräsentiert die Messung.

5.3 Ausführung auf dem Simulator und Interpretation der Ergebnisse

Als Nächstes führen wir diese Schaltung auf IBMs Hochleistungs-Simulator Aer aus und überprüfen die Ergebnisse.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Das Backend des Aer-Simulators abrufen
simulator = Aer.get_backend('qasm_simulator')

# Schaltung für den Simulator transpilieren (optimieren)
compiled_circuit = transpile(qc, simulator)

# Schaltung ausführen (hier 1000 Shots ausführen)
job = simulator.run(compiled_circuit, shots=1000)

# Ergebnisse abrufen
result = job.result()

# Anzahl der Beobachtungen der Zustände (Counts) abrufen
counts = result.get_counts(compiled_circuit)
print("\nMessergebnis:", counts)

# Histogramm plotten
# plot_histogram(counts)
# plt.show()

Interpretation der Ergebnisse

Die Konsolenausgabe sollte in etwa wie folgt aussehen: Messergebnis: {'00': 495, '11': 505} (*Da die Wahrscheinlichkeiten zufällig sind, schwanken die genauen Werte bei jeder Ausführung leicht)

In einer idealen Simulationsumgebung werden als Messergebnisse zu etwa 50% 00 und zu 50% 11 beobachtet, und 01 oder 10 werden gar nicht beobachtet. Dies stimmt exakt mit der theoretischen Vorhersage unseres generierten Bell-Zustands $|\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}}$ überein. Wenn das erste Qubit 0 ist, ist das zweite notwendigerweise 0; wenn es 1 ist, ist das zweite notwendigerweise 1. Diese „Quantenverschränkung“ wurde somit exakt simuliert.

Wenn Sie dies jedoch auf einer echten Quantencomputer-Hardware (IBM Quantum Hardware) ausführen, können aufgrund der Auswirkungen von Rauschen (Quantendekohärenz und Gatterfehler) geringfügig Zustände wie 01 und 10 beobachtet werden. Wie dieses Rauschen minimiert werden kann (Quantenfehlerkorrektur), ist eine der größten Herausforderungen in der aktuellen Entwicklung von Quantencomputern.

6. Hochskalierung zu fortgeschritteneren Algorithmen

Die Erzeugung eines Bell-Zustands kann man als das „Hello World“ der Quantenprogrammierung bezeichnen. Indem wir darauf aufbauen, können wir leistungsstarke Algorithmen konstruieren, die klassische Computer übertreffen.

6.1 Der Deutsch-Jozsa-Algorithmus (Deutsch-Jozsa Algorithm)

Bei diesem Problem geht es darum zu bestimmen, ob eine gegebene Funktion $f(x)$ eine „konstante Funktion“ (sie gibt immer 0 oder immer 1 aus, unabhängig von der Eingabe) oder eine „balancierte Funktion“ (sie gibt für die Hälfte der Eingaben 0 und für die andere Hälfte 1 aus) ist. Ein klassischer Computer würde im ungünstigsten Fall $2^{n-1} + 1$ Funktionsauswertungen erfordern, aber der Deutsch-Jozsa-Algorithmus kann mithilfe der Quantenparallelität diese Bestimmung mit nur einer einzigen Auswertung vornehmen. Dies veranschaulicht das Grundmuster von Quantenalgorithmen: Einen Superpositionszustand als Eingabe bereitzustellen und Interferenz (Interference) zu nutzen, um unerwünschte Zustände auszulöschen und die gewünschte Antwort zu verstärken.

6.2 Der Grover-Algorithmus (Grover’s Algorithm)

Bei Suchproblemen, in denen eine unsortierte Datenbank mit $N$ Elementen nach spezifischen Daten durchsucht wird, benötigt ein klassischer Algorithmus im Durchschnitt $N/2$ Rechenschritte. Der Grover-Algorithmus hingegen kann die Zieldaten in nur $\sqrt{N}$ Schritten finden. Dieser Algorithmus verwendet eine Blackbox, die als „Orakel (Oracle)“ bezeichnet wird, um die Phase der Ziellösung zu invertieren, und führt dann eine „Amplitudenverstärkung (Amplitude Amplification)“ durch, um die Wahrscheinlichkeit drastisch zu erhöhen, dass die Ziellösung gemessen wird.

graph TD A["Initialisierung (Superposition aller Zustände)"] --> B["Orakel (Invertiert die Phase der richtigen Lösung)"] B --> C["Diffusionsoperator (Amplitudenverstärkung durch Inversion um den Mittelwert)"] C --> D{"Ausreichende Wahrscheinlichkeit erreicht?"} D -- "No" --> B D -- "Yes" --> E["Messung"]

7. Zusammenfassung und zukünftiges Lernen

In diesem Artikel haben wir detailliert die Reise erläutert – angefangen bei den grundlegenden Konzepten des Quantencomputings wie Superposition und Quantenverschränkung, über die Manipulation von Quantenlogikgattern mittels Qiskit, bis hin zum tatsächlichen Aufbau, zur Simulation eines Bell-Zustands und der Interpretation der Ergebnisse.

Da Qiskit in der zugänglichen Programmiersprache Python geschrieben werden kann, ist es ein leistungsstarkes Werkzeug, das es Ihnen ermöglicht, mathematische und physikalische Barrieren zu überwinden und sich auf die Konstruktion von Algorithmen zu konzentrieren. Quantencomputer befinden sich derzeit in der Ära rauschanfälliger Quantengeräte mittlerer Größe (NISQ: Noisy Intermediate-Scale Quantum), aber angewandte Forschungen in vielen Bereichen wie maschinelles Quantenlernen (Quantum Machine Learning), chemische Simulationen (Quantum Chemistry) und Kryptanalyse schreiten weltweit rasant voran.

Nutzen Sie diese Gelegenheit, um verschiedene Quantenschaltungen mit Qiskit selbst zu erstellen und auf realen IBM Quantum-Prozessoren auszuführen. Sie sollten in der Lage sein, das Computer-Paradigma der Zukunft aus erster Hand zu erleben.

Referenzen

Offizielle Qiskit-Dokumentation
Qiskit Textbook - Das empfohlene offizielle Lehrbuch für alle, die tiefer in die mathematischen Hintergründe und Algorithmen eintauchen möchten
IBM Quantum Learning

Willkommen in der Quantenwelt!

Was ist Quantenüberlegenheit? Neueste Trends von Google und IBM

Fri, 11 Sep 2026 18:00:00 +0900

1. Einleitung: Die Morgendämmerung des Quantencomputings und die “Quantenüberlegenheit”

Quantencomputing birgt das Potenzial, komplexe Probleme in realistischer Zeit zu lösen, die für klassische Computer (die PCs und Supercomputer, die wir derzeit täglich nutzen) unlösbar sind, indem es die Quantenmechanik, ein Grundprinzip der Physik, auf die Informationsverarbeitung anwendet. Dieses Feld wurde lange Zeit hauptsächlich theoretisch erforscht, aber in den letzten Jahren hat sich der Wettbewerb um die praktische Anwendung durch rasante Fortschritte bei der Hardware intensiviert.

Eines der Schlüsselworte, das dabei die meiste Aufmerksamkeit erregt hat, ist “Quantenüberlegenheit” (Quantum Supremacy). Dies bezeichnet den Moment, in dem ein Quantencomputer bei einer bestimmten Berechnungsaufgabe eine Rechenleistung zeigt, die die eines klassischen Computers überwältigt. Dieser Artikel beginnt mit der genauen Definition der Quantenüberlegenheit, erläutert die Details des Experiments von Googles “Sycamore”-Prozessor, der 2019 bekannt gab, als Erster weltweit diesen Meilenstein erreicht zu haben, die Gegenargumente und den eigenen Ansatz von IBM daraufhin und geht schließlich technisch und mathematisch auf die “Quantenfehlerkorrektur” (Quantum Error Correction: QEC) und das “fehlertolerante Quantencomputing” (Fault-Tolerant Quantum Computing: FTQC) ein, welche die größten Hürden für eine echte praktische Anwendung darstellen.

2. Theoretischer Hintergrund: Grundlagen der Quantenberechnung und Komplexitätsklassen

Um die Quantenüberlegenheit zu verstehen, muss man zunächst die mathematischen Grundlagen der Quantenberechnung und ihre Stellung in der rechnerischen Komplexitätstheorie verstehen.

Qubits und Superposition

Während die kleinste Informationseinheit in einem klassischen Computer das Bit (0 oder 1) ist, verwenden Quantencomputer Quantenbits (Qubits). Der Zustand $|\psi\rangle$ eines Qubits wird als komplexe Linearkombination der Basiszustände $|0\rangle$ und $|1\rangle$ dargestellt.

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Hierbei sind $\alpha, \beta \in \mathbb{C}$ und erfüllen die Normierungsbedingung $|\alpha|^2 + |\beta|^2 = 1$. Diese Eigenschaft wird als “Superposition” (Überlagerung) bezeichnet.

Verschränkung (Entanglement) und Tensorprodukt

Wenn mehrere Qubits vorhanden sind, wird der Zustand des gesamten Systems durch das Tensorprodukt der Zustandsräume der einzelnen Qubits dargestellt. Ein System aus $n$ Qubits ist ein Vektor im $2^n$-dimensionalen Hilbertraum $\mathcal{H}^{\otimes n}$.

$$ |\Psi\rangle = \sum_{x \in \{0, 1\}^n} c_x |x\rangle $$

Hierbei ist $\sum |c_x|^2 = 1$. Der Zustand, in dem Qubits nicht unabhängig sind, sondern der Zustand des einen von dem des anderen abhängt, wird als “Quantenverschränkung” (Quantum Entanglement) bezeichnet. Dadurch hat ein Quantencomputer das Potenzial, einen exponentiell großen Zustandsraum gleichzeitig zu verarbeiten.

Komplexitätstheoretische Definition der Quantenüberlegenheit

In der rechnerischen Komplexitätstheorie wird die Klasse der Probleme, die von einem klassischen Computer effizient (in polynomieller Zeit) gelöst werden können, als BPP (Bounded-error Probabilistic Polynomial time) bezeichnet. Andererseits ist die Klasse der Probleme, die von einem Quantencomputer effizient gelöst werden können, BQP (Bounded-error Quantum Polynomial time).

Der Nachweis der Quantenüberlegenheit bedeutet, “eine spezifische Aufgabe, die in BQP, aber nicht in BPP enthalten ist (oder bei der die Wahrscheinlichkeit dafür extrem hoch ist), auf tatsächlicher Quantenhardware auszuführen und klassische Supercomputer in Bezug auf Zeit und Ressourcen bei der Simulation zu übertreffen”. Man kann dies als historischen Versuch bezeichnen, die erweiterte Church-Turing-These (“Jedes physikalisch realisierbare Berechnungsmodell kann durch eine probabilistische Turingmaschine in polynomieller Zeit simuliert werden”) durch physikalische Experimente zu widerlegen.

3. 2019: Demonstration der Quantenüberlegenheit durch Google

Im Oktober 2019 gab das Google Quantum AI-Team in der Fachzeitschrift “Nature” bekannt, dass sie mit dem 53-Qubit-Supraleiter-Prozessor “Sycamore” die Quantenüberlegenheit erreicht hätten.

Architektur des Sycamore-Prozessors

Der Sycamore-Prozessor besteht aus 54 supraleitenden Transmon-Qubits, die in einem zweidimensionalen Gitter angeordnet sind (im Experiment wurden 53 verwendet, da eines defekt war). Zwischen benachbarten Qubits sind variable Koppler (Tunable Couplers) angeordnet, um schnelle und hochpräzise 2-Qubit-Gatter (einen Hybrid aus iSWAP-Gatter und kontrolliertem Z-Gatter) zu realisieren.

graph TD A["Quantenalgorithmus-Eingabe"] --> B["Sycamore-Prozessor (53 Qubits)"] B --> C["Zufällige Quantengatter anwenden"] C --> D["Quantenzustände messen (Bitstrings)"] D --> E["Kreuzentropie-Benchmarking (XEB)"] E --> F["Quantenüberlegenheit verifizieren"]

Zufälliges Quantenschaltkreis-Sampling (Random Circuit Sampling: RCS)

Die von Google gewählte Aufgabe war das “zufällige Quantenschaltkreis-Sampling”. Dabei werden zufällig ausgewählte 1-Qubit-Gatter und 2-Qubit-Gatter über mehrere Zyklen (Tiefe $m$) angewendet, der Endzustand wird gemessen, und aus der resultierenden Wahrscheinlichkeitsverteilung der Bitstrings wird ein Sampling durchgeführt.

Die Wahrscheinlichkeit eines Bitstrings $x$, der von einem idealen (rauschfreien) zufälligen Quantenschaltkreis ausgegeben wird, ist keine Gleichverteilung, sondern zeigt ein Interferenzmuster-ähnliches Muster, das als Porter-Thomas-Verteilung bezeichnet wird. Um aus dieser Verteilung mit einem klassischen Computer abzutasten, ist eine Simulation des gesamten Zustandsvektors erforderlich, und der Rechenaufwand steigt exponentiell mit der Anzahl der Qubits $n$ und der Schaltkreistiefe $m$.

Bewertung der Genauigkeit (Fidelity): Lineares Kreuzentropie-Benchmarking (XEB)

Um zu beweisen, dass die experimentellen Ergebnisse nicht nur Rauschen waren, sondern tatsächlich das Ergebnis einer Quantenberechnung, verwendete Google das lineare Kreuzentropie-Benchmarking (Linear Cross-Entropy Benchmarking: XEB). Die ideale Wahrscheinlichkeit $P(x_i)$ des Schaltkreises für die im Experiment erhaltenen Bitstrings $x_i$ wird auf einem klassischen Computer berechnet, und die Genauigkeit (Fidelity) $\mathcal{F}_{\text{XEB}}$ wird mit der folgenden Formel ermittelt:

$$ \mathcal{F}_{\text{XEB}} = 2^n \langle P(x_i) \rangle_{i} - 1 $$

Wenn $\mathcal{F}_{\text{XEB}}$ 0 ist, bedeutet dies vollständiges Rauschen, bei 1 einen idealen Quantenprozessor ohne Rauschen. Der Sycamore-Prozessor erreichte bei einem Schaltkreis der Tiefe 20 ein $\mathcal{F}_{\text{XEB}} \approx 0.002$ (0,2%). Dies scheint auf den ersten Blick gering, ist aber ein statistisch signifikanter Wert über null und stellte einen erstaunlichen Erfolg dar, bei dem ein Zustandsraum von $2^{53} \approx 9 \times 10^{15}$ kontrolliert wurde.

Die Gesamtfehlerrate wurde näherungsweise als Produkt einzelner Gatterfehler, Messfehler usw. modelliert.

$$ \mathcal{F} \approx (1 - e_1)^{N_1}(1 - e_2)^{N_2} \cdots \approx \prod_{g \in 1Q} (1 - e_g) \prod_{g \in 2Q} (1 - e_g) \prod_{q} (1 - e_{RO}) $$

（※ $e_g$ ist der Gatterfehler, $e_{RO}$ ist der Messfehler）

Google behauptete, dass die Simulation dieses Schaltkreises auf einem klassischen Supercomputer (Summit) etwa 10.000 Jahre dauern würde. Im Gegensatz dazu schloss Sycamore das Sampling in nur 200 Sekunden ab.

4. Gegenargument von IBM: Von der “Überlegenheit” zur “Nützlichkeit” (Utility)

Die Ankündigung von Google schockierte die Welt, aber IBM, Entwickler des weltweit größten Supercomputers “Summit” und selbst treibende Kraft in der Quantencomputerentwicklung, veröffentlichte umgehend ein Paper, das dieser Behauptung widersprach.

Verbesserung der klassischen Simulation durch Tensornetzwerk-Kontraktion

Der Kern von IBMs Gegenargument war, dass “die Algorithmen und die Ressourcenoptimierung auf Seiten des klassischen Computers unzureichend sind”. Google stützte seine Schätzung von 10.000 Jahren auf einen Zustandsvektor-Simulator, der die Zeitentwicklung der Schrödinger-Gleichung direkt berechnet. IBM wies jedoch darauf hin, dass die Simulationszeit durch eine Methode namens “Tensornetzwerk” (Tensor Network) drastisch verkürzt werden könnte.

In einem Tensornetzwerk werden die Gatteroperationen des Quantenschaltkreises als Operationen auf mehrdimensionalen Arrays (Tensoren) dargestellt und die Reihenfolge der “Kontraktion” (Contraction) des Netzwerks optimiert. Wenn man zudem den riesigen Speicherplatz von Summit in Höhe von 250 PB (Hierarchisierung von Festplatte und Speicher) voll ausnutzt, so IBM, könne man den gesamten Zustandsvektor im Speicher halten und eine präzisere Simulation in nur “zweieinhalb Tagen” durchführen.

Quantum Advantage und Quantum Utility

Durch diese Debatte verlagerte sich der Trend in der gesamten Branche von dem Beharren darauf, “eine künstliche Aufgabe auszuführen, die klassisch unmöglich ist (Supremacy)”, hin zum Nachweis, “bei nützlichen Problemen der realen Welt einen substanziellen Vorteil gegenüber klassischen Ansätzen zu zeigen (Quantum Advantage)” und weiter zu der Phase, in der “Quantencomputer als neues Werkzeug für wissenschaftliche Entdeckungen fungieren (Quantum Utility)”.

IBM selbst vermeidet den Begriff “Überlegenheit” und schlägt Indikatoren wie das “Quantenvolumen” (Quantum Volume) und “CLOPS (Circuit Layer Operations Per Second)” als umfassende Leistungskennzahlen für Quantenprozessoren vor, wobei eine Entwicklung verfolgt wird, die das Gleichgewicht zwischen der Größe und der Qualität der Hardware betont.

timeline title "Die Evolution der Quantenmeilensteine" 2019 : "Google Sycamore (53Q)" : "Ankündigung der Quantenüberlegenheit" 2019 : "IBM Gegenargument" : "Simulation mit Summit Supercomputer in 2,5 Tagen" 2021 : "IBM Eagle (127Q)" : "Durchbruch der 100-Qubit-Barriere" 2022 : "IBM Osprey (433Q)" : "Fortschritte bei der Prozessorgröße" 2023 : "Google Surface Code" : "Skalierung der Fehlerkorrektur (d=3 auf d=5)" 2023 : "IBM Quantum Utility" : "Simulation eines komplexen Spinmodells auf 127Q" 2024 : "Darüber hinaus" : "Ära der logischen Qubits und Fehlerminderung"

5. Die nächste Grenze: Fehlerminderung (Error Mitigation) und Quantenfehlerkorrektur (QEC)

Heutige Quantencomputer werden als “NISQ” (Noisy Intermediate-Scale Quantum) bezeichnet und sind anfällig für Rauschen (Fehler aufgrund von Wechselwirkungen mit der äußeren Umgebung oder unvollständiger Kontrolle), sodass bei langen Berechnungen die Ergebnisse im Rauschen untergehen. Ansätze zur Überwindung dieses Problems lassen sich grob in “Fehlerminderung” (Error Mitigation) und “Quantenfehlerkorrektur” (Quantum Error Correction) unterteilen.

Fehlerminderung (Error Mitigation)

Fehlerminderung ist eine Methode, bei der die Auswirkungen von Rauschen durch klassische Nachbearbeitung aus den Erwartungswerten der Berechnungsergebnisse entfernt werden, ohne die Quantenhardware zu verändern. Im Jahr 2023 demonstrierte IBM durch die Kombination des 127-Qubit-“Eagle”-Prozessors mit Fehlerminderungstechniken wie der “Zero-Noise Extrapolation” (ZNE) eine Präzision bei der Zeitentwicklungs-Simulation komplexer Ising-Modelle, die modernste approximative Tensornetzwerk-Methoden übertraf, und bewies damit die “Quantum Utility” (Quantennützlichkeit).

Quantenfehlerkorrektur (QEC) und logische Qubits

Um jedoch letztendlich beliebig komplexe Algorithmen (z. B. Shors Faktorisierungsalgorithmus oder komplexe quantenchemische Berechnungen) auszuführen, reicht Fehlerminderung allein nicht aus; eine “Quantenfehlerkorrektur” (QEC), die Fehler dynamisch erkennt und korrigiert, ist unerlässlich.

Der Mainstream-Ansatz für QEC ist der “Oberflächencode” (Surface Code). Hierbei werden mehrere physikalische Qubits (Daten-Qubits) in einem zweidimensionalen Gitter angeordnet, und dazwischen werden Mess-Qubits (Ancilla-Qubits) platziert, um kontinuierlich Paritätsprüfungen, sogenannte “Stabilisatoren” (Stabilizers), durchzuführen.

graph LR Q1["Daten-Qubit (Data)"] --- M1["X-Stabilisator messen (Ancilla)"] Q2["Daten-Qubit (Data)"] --- M1 Q3["Daten-Qubit (Data)"] --- M2["Z-Stabilisator messen (Ancilla)"] Q4["Daten-Qubit (Data)"] --- M2 M1 --> EC["Fehlersyndrom-Dekodierung (Klassisch)"] M2 --> EC EC --> LQ["Statusaktualisierung des logischen Qubits"]

Schwellenwertsatz (Threshold Theorem) und Distanz $d$

In der Quantenfehlerkorrektur gibt es den “Schwellenwertsatz”. Wenn die Fehlerrate $p$ der physikalischen Qubits unter einem bestimmten Schwellenwert $p_{th}$ (beim Oberflächencode etwa um die 1%) liegt, kann die logische Fehlerrate $p_L$ exponentiell gesenkt werden, indem die Code-Distanz $d$ vergrößert wird (indem mehr physikalische Qubits einem logischen Qubit zugewiesen werden).

Eine Näherungsgleichung für die logische Fehlerrate wird wie folgt dargestellt:

$$ p_L \approx \Lambda \left( \frac{p}{p_{th}} \right)^{\frac{d+1}{2}} $$

Hierbei ist $\Lambda$ eine Konstante. Solange $p < p_{th}$ ist, wird $p_L$ umso kleiner, je größer $d$ wird. Wenn jedoch $p > p_{th}$ ist, sammelt sich umso mehr Rauschen an, je mehr physikalische Qubits hinzugefügt werden, und die logische Fehlerrate verschlechtert sich.

Googles Meilenstein 2023: Demonstration der Fehlerreduktion durch Vergrößerung der Distanz

Im Februar 2023 veröffentlichte Google ein bahnbrechendes Paper in “Nature”. Mit dem Sycamore-Prozessor der dritten Generation demonstrierten sie weltweit zum ersten Mal, dass bei einer Erweiterung der Distanz des Oberflächencodes von $d=3$ (unter Verwendung von 17 physikalischen Qubits) auf $d=5$ (unter Verwendung von 49 physikalischen Qubits) die logische Fehlerrate leicht von 3,028% auf 2,914% sank.

Dies bedeutet den Eintritt in den Bereich $p < p_{th}$ und zeigt, dass der wichtigste Proof of Concept (Prinzipnachweis) auf dem Weg zum FTQC abgeschlossen wurde: Die Leistung verbessert sich, je mehr physikalische Qubits hinzugefügt werden.

6. Roadmap und Ausblick auf FTQC (Fehlertolerantes Quantencomputing)

Google und IBM liefern sich einen harten Entwicklungswettbewerb in Richtung ihres ultimativen Ziels, dem FTQC (Fault-Tolerant Quantum Computing), wenn auch mit unterschiedlichen Architekturen und Ansätzen.

Der Ansatz von IBM: Modularisierung und Heavy-Hex-Gitter

IBM konzentriert sich darauf, die Prozessorgröße zu skalieren und gleichzeitig die Fehlerraten drastisch zu senken. Während sie mit “Eagle (127Q)”, “Osprey (433Q)” und “Condor (1121Q)” die Grenzen einzelner Chips ausreizen, kündigten sie eine modulare Architektur namens “Quantum System Two” an. Für die Kopplungstopologie der Qubits verwenden sie zudem ein “Heavy-Hex-Gitter”, das unnötiges Übersprechen (Crosstalk) reduziert und die Stabilität erhöht. IBMs Strategie ist ein hybrider Ansatz, der kurzfristig Nützlichkeit durch fortschrittliche Fehlerminderung anstrebt und schrittweise QEC einführt.

Der Ansatz von Google: Qualitätsverbesserung logischer Qubits

Die Strategie von Google legt weniger Wert auf eine rasante Erhöhung der Anzahl physikalischer Qubits, sondern konzentriert sich darauf, die Fehlerrate eines einzigen logischen Qubits bis zum Äußersten zu minimieren (z. B. auf $10^{-6}$). Darauf aufbauend streben sie die Etablierung von Technologien zum Transfer von Quantenzuständen zwischen Modulen (Quantum Interconnects) an, um ein groß angelegtes System zu schaffen, das Tausende bis Zehntausende physikalische Qubits parallel betreibt.

Die fehlertolerante Implementierung von Protokollen für Nicht-Clifford-Gatter, wie etwa die Destillation magischer Zustände (Magic State Distillation), stellt ebenfalls eine große zukünftige technische Hürde dar. Es wird geschätzt, dass für die Ausführung eines praktischen Shor-Algorithmus zum Knacken einer 2048-Bit-RSA-Verschlüsselung Tausende logischer Qubits mit einer Fehlerrate von unter $10^{-8}$ erforderlich sind, was in Millionen bis zig Millionen physikalischer Qubits resultiert. Der Weg dorthin ist noch lang.

7. Fazit

Die “Quantenüberlegenheit” war ein wichtiger Meilenstein in der Geschichte des Quantencomputers, der das theoretische Potenzial von Computern physikalisch bewies. Die Demonstration von Google im Jahr 2019 und die konstruktiven Gegenargumente von IBM haben die gesamte Branche von bloßen theoretischen Beweisen in eine Ära echten Engineerings geführt, in der die tatsächliche Nützlichkeit (Utility) und schließlich das fehlertolerante Quantencomputing (FTQC) angestrebt werden.

Wir erleben derzeit die Übergangsphase von stark verrauschten NISQ-Geräten hin zu logischen Qubit-Geräten, die mit Fehlerkorrektur ausgestattet sind. In den nächsten Jahren bis hin zu einem Jahrzehnt werden mit dieser Evolution der Quantenhardware neue Entdeckungen in den Materialwissenschaften, Revolutionen in der Medikamentenentwicklung und Durchbrüche bei Optimierungsproblemen Realität werden.

Die künftigen Entwicklungen von Google, IBM und Forschern auf der ganzen Welt, welche die Informatik der Zukunft prägen werden, bleiben weiterhin höchst spannend.

Wie verändern sich Blockchain und Kryptowährungen im Post-Quanten-Zeitalter?

Fri, 11 Sep 2026 17:00:00 +0900

1. Einführung: Die Schritte des Post-Quanten-Zeitalters und die Krise der Blockchain

Seit der Erfindung von Bitcoin durch Satoshi Nakamoto im Jahr 2009 hat sich die Blockchain-Technologie als “dezentrales und manipulationssicheres Hauptbuch” zur Grundlage von Finanzsystemen und Anwendungen weltweit entwickelt. Diese robuste Sicherheit wird durch moderne kryptografische Technologien wie die Public-Key-Kryptografie (Public Key Cryptography) und kryptografische Hashfunktionen (Cryptographic Hash Functions) aufrechterhalten.

Diese kryptografischen Technologien garantieren Sicherheit basierend auf mathematischer “Rechenschwierigkeit”, was bedeutet, dass selbst mit klassischen Computern (den PCs oder Supercomputern, die wir heute verwenden) eine Entschlüsselung unmöglich ist, selbst wenn man die Lebensdauer des Universums dafür aufwenden würde.

Diese Prämisse wird jedoch durch die rasche Entwicklung und praktische Anwendung von Quantencomputern (Quantum Computers), der Grenze von Physik und Informatik, grundlegend umgestoßen. Quantencomputer, die quantenmechanische Phänomene wie “Superposition” und “Quantenverschränkung (Entanglement)” nutzen, weisen bei bestimmten mathematischen Problemen eine Rechenleistung auf, die klassische Computer bei weitem übertrifft – die sogenannte “Quantenüberlegenheit (Quantum Supremacy)”.

In diesem Artikel werden wir eingehend und aus einer technischen und mathematischen Perspektive untersuchen, welchen spezifischen Bedrohungen die Blockchain-Technologie durch Quantencomputer ausgesetzt ist. Wir werden die neuesten Entwicklungen der Post-Quanten-Kryptografie (PQC: Post-Quantum Cryptography) als Lösung und die Migrationsszenarien für Krypto-Asset-Netzwerke detailliert erläutern.

2. Grundlagen von Quantencomputern und zwei große Bedrohungen für die Blockchain

Aktuelle Blockchain-Systeme bestehen hauptsächlich aus den folgenden zwei kryptografischen Elementen, die jeweils unterschiedlichen Bedrohungen durch Quantenalgorithmen ausgesetzt sind.

graph TD A["Erstaunliche Rechenleistung von Quantencomputern"] --> B["Shors Algorithmus (Shor's Algorithm)"] A --> C["Grovers Algorithmus (Grover's Algorithm)"] B --> D["Zusammenbruch der Public-Key-Kryptografie (ECDSA/RSA/DSA)"] C --> E["Auswirkungen auf kryptografische Hashfunktionen (SHA-256)"] D --> F["Identifizierung fremder privater Schlüssel und Fälschung von Transaktionen"] E --> G["Überlegenheit beim PoW-Mining und Angriffe auf einige Adressen"] F --> H["Fatale und direkte Bedrohung in der Blockchain"] G --> I["Bedrohung, die durch Anpassung des Algorithmus (z. B. Erweiterung der Schlüssellänge) bewältigt werden kann"] style H fill:#ff9999,stroke:#cc0000,stroke-width:2px; style I fill:#ffff99,stroke:#cccc00,stroke-width:2px;

2.1. Grundlagen der Elliptic Curve Cryptography (ECDSA) und Rechenschwierigkeit

Viele Blockchains wie Bitcoin und Ethereum verwenden den Elliptic Curve Digital Signature Algorithm (ECDSA) als ihren digitalen Signaturalgorithmus. Insbesondere nutzt Bitcoin eine elliptische Kurve mit den Parametern secp256k1.

Die Sicherheit der Elliptic Curve Cryptography beruht auf der Rechenschwierigkeit des Elliptic Curve Discrete Logarithm Problem (ECDLP). Eine elliptische Kurve wird durch eine Gleichung in der folgenden Weierstraß-Normalform definiert.

$$ y^2 \equiv x^3 + ax + b \pmod{p} $$

Bei Bitcoins secp256k1 gilt $a = 0, b = 7$ und $p$ ist eine sehr große Primzahl. Sei $G$ ein Basispunkt auf dieser Kurve und $k$ ein zufällig gewählter privater Schlüssel, der eine riesige 256-Bit-Zahl ist. Dann wird der öffentliche Schlüssel $K$ durch $k$-malige Addition (Skalarmultiplikation) des Basispunktes berechnet.

$$ K = k \times G = \underbrace{G + G + \dots + G}_{k \text{ times}} $$

Die umgekehrte Berechnung des privaten Schlüssels $k$ aus dem veröffentlichten öffentlichen Schlüssel $K$ und dem Basispunkt $G$ (Berechnung des diskreten Logarithmus) mit einem klassischen Computer erfordert selbst mit den besten klassischen Algorithmen wie der Pollard-Rho-Methode eine exponentielle Rechenzeit von $\mathcal{O}(\sqrt{p})$. Bei einem 256-Bit-Schlüssel sind etwa $2^{128}$ Operationen erforderlich, was auf einem Niveau liegt, das selbst bei Milliarden Jahren Betrieb aktueller Supercomputer nicht gelöst werden kann.

2.2. Der Zusammenbruch durch Shors Algorithmus (Shor’s Algorithm)

Dieser Ansatz wurde jedoch 1994 durch Shors Algorithmus, der von Peter Shor veröffentlicht wurde, vollständig zerstört. Shors Algorithmus wurde ursprünglich vorgeschlagen, um das Primfaktorzerlegungsproblem (die Basis der RSA-Kryptografie) in polynomieller Zeit zu lösen, er kann jedoch auch auf das Problem des diskreten Logarithmus und das Problem des diskreten Logarithmus auf elliptischen Kurven angewendet werden.

Der Kern von Shors Algorithmus liegt in der Verwendung der Quanten-Fourier-Transformation (QFT: Quantum Fourier Transform), um die “Periode (Period)” einer Funktion schnell zu finden.

$$ \text{Klassische Berechnungskomplexität} = \mathcal{O}(2^{n/2}) \quad (n\text{ ist die Bitlänge}) $$ $$ \text{Berechnungskomplexität des Quantenalgorithmus} = \mathcal{O}(n^3) $$

Auf diese Weise reduziert Shors Algorithmus die exponentielle Zeit drastisch auf polynomielle Zeit (Polynomial Time). Sobald ein Quantencomputer mit ausreichend logischen Qubits fertiggestellt ist, wird es möglich sein, den privaten Schlüssel $k$ innerhalb von Minuten oder Sekunden aus einem im Netzwerk veröffentlichten öffentlichen Schlüssel $K$ zu identifizieren. Dies würde es einem Angreifer ermöglichen, leicht an den privaten Schlüssel der Wallet einer anderen Person zu gelangen und die vollständige Kontrolle über die Gelder zu übernehmen.

2.2.1 Schritt-für-Schritt-Erklärung der ECDLP-Entschlüsselung durch Shors Algorithmus

Lassen Sie uns den internen Prozess Schritt für Schritt betrachten, wie ein Quantencomputer das Elliptic Curve Discrete Logarithm Problem (ECDLP) löst.

Problemstellung: In $K = k \times G$ sind $G$ und $K$ bekannt, und wir möchten die unbekannte ganze Zahl $k$ (den privaten Schlüssel) finden. Sei die Ordnung der elliptischen Kurve $N$.

Schritt 1: Erzeugung des Superpositionszustands Zunächst werden zwei Quantenregister vorbereitet, und auf jedes wird ein Hadamard-Gatter (Hadamard Gate) angewendet, um einen Superpositionszustand aller möglichen Kombinationen ganzer Zahlen zu erzeugen.

$$ |\psi_1\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |0\rangle $$

Schritt 2: Anwendung des Quantenorakels (Auswertung der Funktion) Als nächstes wird unter Verwendung eines Quantenschaltkreises (Orakel), der Punkte auf einer elliptischen Kurve addiert, die Funktion $f(x, y) = x \times G + y \times K$ in einem dritten Register berechnet.

$$ |\psi_2\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |x \times G + y \times K\rangle $$

Wichtig hierbei ist, da $K = k \times G$ gilt, kann dies als $f(x, y) = (x + y \cdot k) \times G$ umgeschrieben werden.

Schritt 3: Messung des dritten Registers Wenn das dritte Register gemessen wird, kollabiert es zu einem Punkt $R$ auf der elliptischen Kurve. Dadurch kollabieren das erste und zweite Register in einen Superpositionszustand von Paaren $(x, y)$, die $x + y \cdot k \equiv c \pmod{N}$ ($c$ ist eine Konstante) erfüllen.

$$ |\psi_3\rangle = \frac{1}{\sqrt{N}} \sum_{y=0}^{N-1} |c - y \cdot k \pmod{N}\rangle |y\rangle $$

Schritt 4: Anwendung der Quanten-Fourier-Transformation (QFT) Dieser Zustand hat eine Periodizität, die mit der Periode $k$ zusammenhängt. Durch Anwendung der inversen Quanten-Fourier-Transformation (Inverse QFT) auf diesen Zustand wird eine Phaseninterferenz ausgelöst, die die Periodeninformationen in Amplituden umwandelt.

Schritt 5: Messung und klassische Nachbearbeitung Wenn das erste und zweite Register gemessen werden, erhält man mit hoher Wahrscheinlichkeit einen Wert, der Informationen über $k$ enthält. Durch die Anwendung klassischer zahlentheoretischer Algorithmen wie der Kettenbruchentwicklung (Continued Fractions) auf den gemessenen Wert kann der unbekannte private Schlüssel $k$ vollständig identifiziert werden.

Die Anzahl der für diesen gesamten Prozess benötigten Quantengatter beträgt $\mathcal{O}(\log^3 N)$, und der private Schlüssel wird mit einer extremen Geschwindigkeit aufgedeckt, die nicht mit der Suche in $\mathcal{O}(\sqrt{N})$ durch klassische Computer vergleichbar ist.

2.3. Grovers Algorithmus (Grover’s Algorithm) und Auswirkungen auf Hashfunktionen

Eine weitere Bedrohung ist Grovers Algorithmus, der 1996 von Lov Grover vorgeschlagen wurde. Dieser hat große Auswirkungen auf Hashfunktionen (z. B. SHA-256).

In der Blockchain werden Hashfunktionen zur Gewährleistung der Datenintegrität, zur Generierung von Adressen und als Grundlage für das PoW-Mining (Proof of Work) in Bitcoin verwendet. Die Rückrechnung (Urbildberechnung) einer Hashfunktion kann als “Problem der Suche in unstrukturierten Datenbanken” betrachtet werden, bei dem nach einem Eingabewert $x$ gesucht wird, für den $H(x) = y$ für einen bestimmten Ausgabewert $y$ gilt.

Mit einem klassischen Computer sind im Durchschnitt $\frac{N}{2}$ und im schlimmsten Fall $N$ Versuche erforderlich, um die richtige Antwort unter $N$ Möglichkeiten zu finden. Die Berechnungskomplexität beträgt also $\mathcal{O}(N)$. Grovers Algorithmus verwendet jedoch eine Quantentechnologie namens “Amplitudenverstärkung (Amplitude Amplification)”. Durch iteratives Verstärken der Wahrscheinlichkeitsamplitude des Zustands, der die richtige Antwort darstellt, aus allen Möglichkeiten im Superpositionszustand, wird die Suchzeit auf die Quadratwurzel reduziert.

$$ \text{Berechnungskomplexität von Grovers Algorithmus} = \mathcal{O}(\sqrt{N}) $$

Im Fall von SHA-256 ist $N = 2^{256}$, sodass eine klassische Brute-Force-Suche etwa $2^{256}$ Versuche erfordert. Wenn jedoch Grovers Algorithmus verwendet wird, sind nur $\sqrt{2^{256}} = 2^{128}$ Versuche erforderlich. Dies bedeutet, dass eine 256-Bit-Hashfunktion gegenüber Quantencomputern praktisch auf eine Sicherheitsstärke von 128 Bit halbiert wird.

2.3.1. Wird SHA-256 überleben? (Quantum Supremacy in Hashing)

Obwohl sich die Sicherheit halbiert, ist eine “128-Bit-Sicherheit” immer noch extrem stark. $2^{128}$ Operationen sind selbst nach heutigem Stand der Technik eine astronomische Zahl und würden die Lebensdauer des Universums erfordern. Daher ist die Ansicht weit verbreitet, dass “SHA-256 auch gegenüber Quantencomputern eine praktische Sicherheit beibehält”. Wenn es in Zukunft erforderlich sein sollte, die Sicherheitsmarge zu erhöhen, kann die klassische 256-Bit-Sicherheit auch in der Quantenwelt aufrechterhalten werden, indem einfach die Ausgabelänge des Hashs verdoppelt wird (z. B. Migration von SHA-256 zu SHA-512).

Zusammenfassend lässt sich sagen, dass die Quantenbedrohung für Hashfunktionen “gering und handhabbar” ist, während die Bedrohung für Public-Key-Kryptografie (ECDSA) “fatal” ist.

3. Analyse der konkreten Auswirkungen auf aktuelle Krypto-Assets (Bitcoin, Ethereum)

Welchen spezifischen Schwachstellen werden Krypto-Asset-Netzwerke in einer Welt ausgesetzt sein, in der ECDSA durch Quantencomputer entschlüsselt werden kann? Hier werden wir am Beispiel der Funktionsweise von Bitcoin eine detaillierte Analyse aus der Perspektive des “Zeitpunkts der Offenlegung des öffentlichen Schlüssels” durchführen.

3.1. Generierung von Adressen und die “Nicht-Öffentlichkeit” des öffentlichen Schlüssels

Bitcoin-Adressen (P2PKH: Pay-to-Public-Key-Hash und P2WPKH: Pay-to-Witness-Public-Key-Hash) verwenden nicht den öffentlichen Schlüssel selbst, sondern einen mehrfach gehashten öffentlichen Schlüssel.

$$ \text{Bitcoin Address} = \text{Base58Check}(\text{RIPEMD160}(\text{SHA256}(\text{Public Key}))) $$

Wie bereits erwähnt, sind Hashfunktionen resistent gegen Quantenangriffe (Grovers Algorithmus), sodass es selbst für Quantencomputer unmöglich ist, den ursprünglichen “öffentlichen Schlüssel” aus der “Adresse”, die ein Hashwert ist, rückzurechnen. Das bedeutet, dass für “unbenutzte Adressen (solche, von denen noch nie Gelder gesendet wurden)” der öffentliche Schlüssel überhaupt nicht auf der Blockchain offengelegt ist und nur der Hashwert aufgezeichnet wird. Da der öffentliche Schlüssel unbekannt ist, gibt es daher kein Ziel für die Ausführung von Shors Algorithmus, und der private Schlüssel kann nicht identifiziert werden. Es kann gesagt werden, dass Wallets in diesem Zustand quantensicher (Quantum-safe) sind.

3.2. Fatale Schwachstelle beim Senden von Transaktionen (Front-Running-Angriff)

Das Problem tritt auf, wenn der Benutzer Gelder überweist. Beim Übertragen (Senden) einer Transaktion an das Netzwerk muss der Benutzer zusammen mit der digitalen Signatur seinen öffentlichen Schlüssel in die Transaktionsdaten aufnehmen und ihn dem gesamten Netzwerk zur Überprüfung offenlegen.

sequenceDiagram participant User as "Benutzer (Alice)" participant Mempool as "Mempool (Pool für unbestätigte Transaktionen)" participant QuantumAttacker as "Quanten-Angreifer" participant Miner as "Miner (Blockgenerierung)" User->>Mempool: Senden der Transaktion (inklusive öffentlichem Schlüssel + Signatur) Mempool-->>QuantumAttacker: Abfangen des öffentlichen Schlüssels im Netzwerk note right of QuantumAttacker: Ausführung von Shors Algorithmus in Minuten
(Berechnung des privaten Schlüssels aus dem öffentlichen Schlüssel) QuantumAttacker->>QuantumAttacker: Generierung einer neuen Signatur mit Alices privatem Schlüssel QuantumAttacker->>Mempool: Senden (Broadcast) der betrügerischen Überweisung mit höherer Miner-Gebühr Miner->>Miner: Priorisierung der betrügerischen Transaktion mit hoher Gebühr (Gas) für die Aufnahme in den Block Miner-->>User: Aufzeichnung auf der Blockchain (Verlust von Alices Geldern)

Sobald der öffentliche Schlüssel an den Mempool (den Wartebereich für unbestätigte Transaktionen) gesendet wurde, werden diese Daten mit Nodes weltweit geteilt. Wenn ein Angreifer über einen ultraschnellen Quantencomputer verfügt, könnte er mit folgendem Prozess Gelder stehlen:

Eine legitime Benutzertransaktion (Alice) aus dem Mempool abfangen und den öffentlichen Schlüssel extrahieren.
Shors Algorithmus ausführen und den privaten Schlüssel aus dem öffentlichen Schlüssel innerhalb von Minuten (bevor der Block bestätigt wird) berechnen.
Den erhaltenen privaten Schlüssel verwenden, um eine gefälschte Transaktion zu erstellen, die Alices Gelder an die Adresse des Angreifers sendet.
Diese gefälschte Transaktion mit einer viel höheren Miner-Gebühr (Fee) als Alices ursprüngliche Transaktion an das Netzwerk senden.

Miner folgen wirtschaftlichen Anreizen und priorisieren Transaktionen mit hohen Gebühren für die Aufnahme in Blöcke. Infolgedessen wird die betrügerische Überweisung des Angreifers zuerst bestätigt (Confirm), und Alices legitime Überweisung wird als “unzureichendes Guthaben (Double Spend)” verworfen. Diese Abfolge von Ereignissen wird als Front-Running-Angriff (Front-running Attack) bezeichnet. In einer Welt, in der Quantencomputer praktisch einsetzbar sind, würde dies zu der erschreckenden Situation führen, dass in dem Moment, in dem jemand auf den Senden-Button drückt, seine Gelder von Hackern gestohlen werden.

3.3. Die Krise wiederverwendeter Adressen und alter Adressen (P2PK)

Ein noch größeres Problem ist, dass bei Adressen, von denen in der Vergangenheit bereits Gelder gesendet wurden (z. B. wenn sie als Wechselgeldadressen wiederverwendet werden), der öffentliche Schlüssel bereits dauerhaft auf der Blockchain aufgezeichnet ist. Bei diesen Adressen besteht jederzeit die Gefahr, dass der private Schlüssel berechnet und das Guthaben gestohlen wird, ohne dass auf das Senden einer Transaktion gewartet werden muss.

Darüber hinaus wurde beim P2PK-Format (Pay-to-Public-Key), das von 2009 bis etwa 2010 vorherrschte und die frühen Mining-Belohnungen von Satoshi Nakamoto (über 1 Million BTC) enthält, der öffentliche Schlüssel selbst direkt als Adresse auf der Blockchain aufgezeichnet, nicht als Hash. Diese massiven Mengen an ruhenden Bitcoins wären das leichteste Ziel für Quantencomputer, und wenn sie alle auf einmal gestohlen und auf den Markt geworfen werden, könnte dies einen massiven Preisverfall auslösen.

4. Migrationsszenarien zur Post-Quanten-Kryptografie (PQC: Post-Quantum Cryptography)

Um eine solche Katastrophe am “Q-Day (dem Tag, an dem die Kryptografie durch Quantencomputer gebrochen wird)” zu vermeiden, planen die kryptografische Wissenschaft und die Blockchain-Community den Übergang zur Post-Quanten-Kryptografie (PQC), die auch von Quantenalgorithmen schwer zu knacken ist. Das US National Institute of Standards and Technology (NIST) führt seit Jahren einen PQC-Standardisierungsprozess durch, und nach mehreren Runden strenger Evaluierung wurden einige vielversprechende kryptografische Methoden als endgültige Standards ausgewählt.

Wir werden die wichtigsten PQC-Algorithmen, die als Alternativen für digitale Blockchain-Signaturen Beachtung finden, zusammen mit ihren mathematischen Mechanismen im Detail erläutern.

4.1. Hash-basierte Signaturen (Hash-Based Signatures)

Hash-basierte Signaturen sind eine kryptografische Methode, deren Sicherheit ausschließlich auf einer sehr einfachen und starken Grundlage beruht: der “Kollisionsresistenz der Hashfunktion”. Da die Sicherheit von Hashfunktionen gegen Quantencomputer bereits nachgewiesen ist (wie oben erwähnt, ist eine Sicherheitsmarge von 128 Bit ausreichend), handelt es sich um einen äußerst zuverlässigen Ansatz. Bemerkenswerte Beispiele sind Lamport-Signaturen (Lamport Signatures), das davon abgeleitete WOTS (Winternitz One-Time Signature) und der NIST-Standardisierungskandidat SPHINCS+ (jetzt als FIPS 205 unter dem Namen SLH-DSA bekannt).

4.1.1. Mathematische Details der Lamport-Signatur (One-Time Signature)

Lassen Sie uns den Mechanismus von Lamport-Signaturen in mathematischerem Detail betrachten. Sei die Hashfunktion $H: \{0, 1\}^* \to \{0, 1\}^{256}$.

【Schlüsselerzeugung】 Alice (die Senderin) verwendet einen echten Zufallszahlengenerator (TRNG), um 256 Paare von privaten Schlüsseln zu generieren.

$$ \text{sk}_{i,0} \in \{0, 1\}^{256}, \quad \text{sk}_{i,1} \in \{0, 1\}^{256} \quad (1 \le i \le 256) $$

Der private Schlüssel $\text{sk}$ besteht somit aus insgesamt 512 256-Bit-Strings (Größe: $512 \times 32 = 16.384$ Byte).

Als nächstes berechnet sie den öffentlichen Schlüssel $\text{pk}$. Jede Komponente des privaten Schlüssels wird individuell gehasht.

$$ \text{pk}_{i,0} = H(\text{sk}_{i,0}), \quad \text{pk}_{i,1} = H(\text{sk}_{i,1}) $$

Der öffentliche Schlüssel ist ebenfalls $16.384$ Byte groß. Dieser wird im Blockchain-Netzwerk veröffentlicht.

【Signaturerstellung】 Um Transaktionsdaten $M$ zu signieren, berechnet Alice zunächst deren Hashwert.

$$ h = H(M) \in \{0, 1\}^{256} $$

Sei das $i$-te Bit des Hashwertes $h$ gleich $h_i \in \{0, 1\}$. Alices Signatur $\sigma$ ist die Menge der privaten Schlüsselkomponenten, die jedem Bit $h_i$ entsprechen.

$$ \sigma = (\text{sk}_{1, h_1}, \text{sk}_{2, h_2}, \dots, \text{sk}_{256, h_{256}}) $$

Mit anderen Worten, wenn das Bit des Nachrichtenhashs 0 ist, wird $\text{sk}_{i,0}$ veröffentlicht, und wenn es 1 ist, wird $\text{sk}_{i,1}$ veröffentlicht. Die Signaturgröße beträgt $256 \times 32 = 8.192$ Byte.

【Signaturprüfung】 Der Miner (Prüfer) verwendet die empfangene Transaktion $M$, die Signatur $\sigma = (s_1, s_2, \dots, s_{256})$ und den öffentlichen Schlüssel $\text{pk}$, um eine Überprüfung durchzuführen. Der Hash der Transaktion $h = H(M)$ wird neu berechnet, und es wird geprüft, ob der Hash jedes $s_i$ mit dem entsprechenden Element $\text{pk}_{i, h_i}$ des öffentlichen Schlüssels übereinstimmt.

$$ H(s_i) \overset{?}{=} \text{pk}_{i, h_i} \quad (\text{für alle } 1 \le i \le 256) $$

Dieser Prozess ist mathematisch extrem einfach, und solange ein Quantencomputer die Funktion $H$ nicht rückrechnen kann, ist es unmöglich, eine Signatur zu fälschen. Da jedoch bei einer Signatur die Hälfte des privaten Schlüssels dem Netzwerk offengelegt wird, führt das Signieren einer anderen Nachricht mit demselben Schlüsselpaar dazu, dass die offengelegten privaten Schlüssel kombiniert werden und dem Angreifer Raum für Fälschungen bieten. Dies führt zu der starken Einschränkung, dass sie nur “einmalig (One-Time)” verwendet werden können. Um dies praktikabel zu machen, wurden Technologien wie XMSS, die einen Merkle-Baum verwenden, um zahlreiche One-Time-Schlüssel in einem Stamm-Public-Key (Root Public Key) zu bündeln, und zustandslose (stateless) Methoden wie SPHINCS+ entwickelt, die jedoch den Nachteil haben, dass die Signaturgrößen mehrere Dutzend Kilobyte erreichen.

4.2. Gitterbasierte Kryptografie (Lattice-Based Cryptography)

Derzeit ist die gitterbasierte Kryptografie als Mainstream der PQC am vielversprechendsten und wurde als Hauptstandard des NIST übernommen (FIPS 204: ML-DSA / ehemals CRYSTALS-Dilithium sowie Falcon usw.).

Die Sicherheit der gitterbasierten Kryptografie beruht auf mathematisch bewiesenen schweren Problemen, wie dem “Kürzesten-Vektor-Problem (SVP: Shortest Vector Problem)” in mehrdimensionalen Gittern oder dem “Learning With Errors-Problem (LWE)”. Es wurden keine Algorithmen gefunden, die Gitterprobleme selbst mit Quantencomputern effizient lösen.

Mathematisches Modell von LWE (Learning With Errors): Die Grundidee des LWE-Problems besteht darin, simultanen linearen Gleichungen absichtlich ein “kleines Rauschen (Fehler)” hinzuzufügen, um das Problem drastisch zu erschweren. Sei der geheime Vektor $\mathbf{s} \in \mathbb{Z}_q^n$. Es gibt eine zufällig ausgewählte große öffentliche Matrix $\mathbf{A} \in \mathbb{Z}_q^{m \times n}$ und einen absichtlich hinzugefügten kleinen Rauschvektor $\mathbf{e} \in \mathbb{Z}_q^m$. Der öffentliche Schlüssel $\mathbf{b}$ wird wie folgt berechnet:

$$ \mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod{q} $$

Selbst wenn die Matrix $\mathbf{A}$ und der Vektor $\mathbf{b}$ (öffentlicher Schlüssel) öffentlich bekannt sind, ist die Rückrechnung des privaten Schlüssels $\mathbf{s}$ durch das Vorhandensein des Rauschens $\mathbf{e}$ sehr schwierig. Ohne das Rauschen könnte es einfach durch Gaußsche Elimination gelöst werden, aber das Hinzufügen von Rauschen führt zu einer explosiven Vergrößerung des Suchraums in allen Dimensionen, was eine robuste Sicherheit sowohl gegen klassische als auch gegen Quantencomputer bietet. In tatsächlichen Algorithmen, die in Blockchains und ähnlichem verwendet werden (wie Dilithium), wird dies als Ring-LWE (oder Module-LWE) auf einem Polynomring eingesetzt, um die Schlüsselgröße zu reduzieren und Berechnungen zu beschleunigen.

Vorteile: Im Vergleich zu Hash-basierten Signaturen sind der öffentliche Schlüssel und die Signaturgröße relativ klein (wenige Kilobyte), und die Rechengeschwindigkeit für die Signaturerstellung und -überprüfung ist extrem schnell (vergleichbar oder schneller als ECDSA).
Nachteile: Die mathematische Struktur ist komplex und der historische Bewertungszeitraum ist kurz, sodass das Risiko, dass in Zukunft neue Entschlüsselungsalgorithmen entdeckt werden, nicht Null ist.

5. Technische Herausforderungen beim PQC-Übergang in Blockchains

Auch wenn es PQC-Algorithmen (wie Dilithium oder SPHINCS+) gibt, bedeutet das nicht, dass sie ab morgen in Bitcoin oder Ethereum eingeführt werden können. Es gibt mehrere große Herausforderungen, die spezifisch für dezentrale Systeme sind.

5.1. Aufblähen der Signaturgrößen und der Zusammenbruch der Skalierbarkeit

Die größte Hürde bei der Einführung von PQC ist die massive Aufblähung der Datengrößen. Während die aktuelle Signaturgröße von ECDSA etwa 70 Byte beträgt, beträgt die Signaturgröße von Dilithium (ML-DSA) etwa 2.420 bis 4.595 Byte (je nach Sicherheitsniveau) und die Größe des öffentlichen Schlüssels übersteigt 1.300 Byte. Bei Hash-basiertem SPHINCS+ erreicht allein die Signatur mehrere zehntausend Byte.

Wenn Bitcoin PQC bei gleicher Blockgrößenbeschränkung (etwa 4 MB Gewicht einschließlich SegWit) einführen würde, würde die Anzahl der Transaktionen, die in einem Block gespeichert werden können, drastisch sinken. Der Durchsatz des Netzwerks (TPS: Transactions Per Second) würde katastrophal abnehmen, und Transaktionsstaus würden zur Norm werden. Um dies zu beheben, wäre eine deutliche Erhöhung der Blockgröße erforderlich, was jedoch die Speicheranforderungen und Netzwerkbandbreitenanforderungen für Full Nodes erhöhen würde, was es für Einzelpersonen schwierig macht, Nodes zu betreiben, und letztendlich zum Dilemma einer Zentralisierung des Netzwerks führt.

pie title "Vergleich der Signaturdatengrößen in der Blockchain (Konzeptdiagramm)" "ECDSA (ca. 70 Bytes)" : 2 "Dilithium ML-DSA (ca. 2.500 Bytes)" : 58 "SPHINCS+ (ca. 17.000 Bytes)" : 40

(※ Die Datenaufblähung von Transaktionen bei der Einführung von PQC wird zu einem fatalen Engpass für die Skalierbarkeit werden)

5.2. Auswirkungen auf die Ethereum Virtual Machine (EVM) und vorkompilierte Smart Contracts

In Turing-vollständigen Smart-Contract-Plattformen wie Ethereum erfordert die Einführung von PQC ein grundlegendes Upgrade der EVM (Ethereum Virtual Machine). In der aktuellen EVM wird zur Überprüfung von ECDSA-Signaturen ein vorkompilierter Contract (Precompiled Contract) namens ecrecover (Adresse: 0x01) bereitgestellt, der so optimiert ist, dass er Signaturprüfungen mit sehr niedrigen Gasgebühren (3000 Gas) durchführt.

Die Verarbeitungslogik für neue Gitter-basierte Kryptoalgorithmen wie Dilithium oder Falcon beinhaltet jedoch komplexe Polynom- oder Matrixoperationen. Wenn sie nur mit bestehenden EVM-Opcodes (Opcode) implementiert würde, könnte eine einzige Signaturüberprüfung Millionen bis Zehnmillionen von Gas verbrauchen. Dies liegt auf einem Niveau, das das aktuelle Block-Gaslimit (etwa 30 Millionen Gas) mit einer einzigen Transaktion aufbrauchen würde.

Um dies zu vermeiden, ist es notwendig, durch einen Hard Fork (Hard Fork) des Netzwerks einen neuen Precompiled Contract zur PQC-Überprüfung (z.B. Zuweisung von DilithiumVerify zu 0x10) in die EVM selbst aufzunehmen. Dies erfordert einen langfristigen Prozess, bei dem die Core-Entwickler jedes Ethereum-Clients (Geth, Nethermind, Erigon usw.) zusammenarbeiten, um die Logik der Gitterkryptografie-Überprüfung auf Sprachebene in C++, Go, Rust usw. optimiert zu implementieren und Sicherheitsaudits durchzuführen.

5.3. Schwierigkeit der Konsensfindung durch Hard Forks

Um den zugrunde liegenden Signaturalgorithmus zu ändern, ist ein Hard Fork (Hard Fork) erforderlich, der das Protokoll des gesamten Netzwerks aktualisiert. Der Prozess zur Erzielung eines Konsenses ist jedoch in Gemeinschaften wie Bitcoin, die großen Wert auf “Keine Regeländerungen und Dezentralisierung” legen, politisch extrem schwierig. Von dem Moment an, in dem ein BIP (Bitcoin Improvement Proposal) für den Übergang zu PQC vorgeschlagen wird, bis zu seiner Umsetzung werden Jahre der Diskussion und Tests erforderlich sein.

6. Wann kommt der “Q-Day”? Roadmap für die Migration

Wann wird der “Q-Day”, an dem Quantencomputer die 256-Bit Elliptic Curve Cryptography vollständig entschlüsseln, eintreten? Obwohl die Meinungen unter Forschern auseinandergehen, prognostizieren viele Experten, dass groß angelegte Quantencomputer mit Tausenden bis Zehntausenden stabiler logischer Qubits (fehlerkorrigierte Qubits mit Rauschtoleranz) “zwischen Mitte der 2030er und den 2040er Jahren” auf den Markt kommen werden. Je nach Durchbrüchen in der Hardware-Architektur oder der Entdeckung effizienterer Quantenalgorithmen kann jedoch nicht ausgeschlossen werden, dass dieser Zeitpunkt früher eintreten könnte (um 2030).

Die Roadmap, die das Krypto-Asset-Ökosystem einschlagen sollte, bevor es zu spät ist, sieht wie folgt aus.

Phase 1: Hybride Signaturen und Kontoabstraktion (Account Abstraction) (Jetzt bis ca. 2028)

Die derzeitige Blockchain-Community, insbesondere das Ethereum-Entwicklungsteam (Vitalik Buterin usw.), erwägt “hybride Signaturen”, die ECDSA und PQC (Hash-basierte Signaturen oder gitterbasierte Kryptografie) kombinieren. Dies ist ein Ansatz, bei dem einer Transaktion sowohl die bestehende sichere ECDSA-Signatur als auch eine PQC-Signatur hinzugefügt werden, wodurch die Sicherheit erhalten bleibt, selbst wenn eine davon gebrochen wird. Darüber hinaus werden durch die Nutzung der Kontoabstraktion (Account Abstraction, ERC-4337) Bemühungen vorangetrieben, PQC-Signaturen auf Smart-Contract-Wallets auf Opt-in-Basis (nur für Benutzer, die dies wünschen) zu implementieren und zu unterstützen, ohne auf einen Protokoll-Hard-Fork zu warten.

Phase 2: Nutzung von Zero-Knowledge Proofs (ZK-Rollups) (2025 ~)

Die Trumpfkarte zur Lösung des größten Schwachpunkts von PQC, der “Aufblähung von Signaturdaten”, ist die erwartete Nutzung der Layer-2-Technologie, ZK-Rollups (Zero-Knowledge Proofs). Anstatt riesige PQC-Signaturdaten direkt in Layer 1 (die Mainchain) zu schreiben, werden zahlreiche PQC-Transaktionen auf Layer 2 verifiziert und aggregiert. Dann werden sie mithilfe von ZK-SNARKs oder ZK-STARKs in einen extrem kleinen, einzelnen “Beweis (Proof)” komprimiert und auf Layer 1 aufgezeichnet. Es ist anzumerken, dass bestimmte SNARK-Konstruktionen (wie Groth16) selbst quanten-anfällig sind. Daher ist die Annahme von ZK-STARKs, die sich ausschließlich auf quantenresistente Hashfunktionen stützen, der Schlüssel.

Phase 3: Protokoll-Level Hard Fork (ca. 2030)

Sobald die NIST-Standardisierung für PQC vollständig etabliert ist und branchenübliche Bibliotheken verfügbar und gründlich getestet sind, wird erwartet, dass große Chains wie Bitcoin und Ethereum einen Hard Fork durchführen, um die Standard-Signaturmethode vollständig auf PQC umzustellen. Während dieser Übergangsphase wird es groß angelegte Ankündigungen geben, die die Benutzer auffordern, “ihre Gelder von alten Wallets in neue PQC-kompatible Wallets zu verschieben”.

Wegweisende Projektbeispiele

Einige Blockchain-Projekte haben diese Quantenbedrohung antizipiert und wurden von Anfang an mit dem Anspruch auf Quantenresistenz entwickelt.

QRL (Quantum Resistant Ledger): Eine frühe Blockchain, die XMSS (eXtended Merkle Signature Scheme), eine Hash-basierte PQC, nativ auf Protokollebene implementiert hat.
Algorand / Cellframe: Projektgruppen, die über eine flexible modulare Architektur der Kryptografie-Schicht im Hinblick auf zukünftige PQC-Updates verfügen und aktiv nach der Integration von Gitterkryptografie suchen.

7. Fazit: Die Zukunft von Krypto-Assets und der Schutz unserer Vermögenswerte

Die Ankunft des “Post-Quanten-Zeitalters” hat den Bereich der reinen Science-Fiction überschritten und steht uns bereits als konkretes technisches Problem für reale kryptografische Systeme unmittelbar bevor.

Die beiden Schwerter des Quantencomputings, Shors Algorithmus und Grovers Algorithmus, bedrohen die Grundlage der heutigen Blockchains, nämlich die Public-Key-Kryptografie bzw. Hashfunktionen. Insbesondere die Verwundbarkeit von ECDSA ist fatal, und der Übergang zur Post-Quanten-Kryptografie (PQC) ist eine absolute Notwendigkeit, um das Risiko eines Diebstahls von Geldern durch Front-Running-Angriffe zu vermeiden.

Die Tech-Welt und die Blockchain-Community warten jedoch nicht tatenlos auf den Weltuntergang. Die Auswahl und Standardisierung von PQC-Algorithmen wie der gitterbasierten Kryptografie und Hash-basierten Signaturen schreitet stetig voran, und durch den Einsatz von Zero-Knowledge-Proofs (ZK-STARKs) und Layer-2-Skalierungstechnologien zeichnet sich ein Weg ab, das größte Hindernis der PQC-Einführung, die “Aufblähung der Datengröße”, zu überwinden.

Normale Krypto-Benutzer und Investoren wie wir müssen jetzt nicht in Panik geraten und alle unsere Gelder verkaufen. Es ist jedoch wichtig, ein grundlegendes Verständnis und Bewusstsein für den Selbstschutz wie folgt zu haben:

Vermeiden Sie die Wiederverwendung von Adressen: Vermeiden Sie es strikt, Gelder für lange Zeiträume an “verwendeten Adressen (Adressen, von denen mindestens einmal Gelder gesendet wurden und der öffentliche Schlüssel auf der Blockchain freigelegt ist)” zu speichern. Dies gilt nicht nur aus Gründen des Datenschutzes, sondern auch aus Sicherheitsgründen.
Behalten Sie Technologietrends im Auge: Verfolgen Sie Nachrichten über Diskussionen und Hard Forks im Zusammenhang mit der PQC-Migration auf großen Netzwerken wie Bitcoin-BIPs oder Ethereum-EIPs, damit Sie Ihre Wallets bei Bedarf rechtzeitig migrieren können.

Die Geschichte der Blockchain ist immer eine Geschichte von Upgrades und Widerstandsfähigkeit (Resilience) gegenüber neuen technologischen Bedrohungen. So wie sie Skalierbarkeitsprobleme und Umweltbedenken (wie den Übergang von PoW zu PoS) überwunden hat, wird das gesamte Ökosystem zweifellos nach Lösungen für diese beispiellose Quantenbedrohung suchen und sich anpassen. Wir können auf eine Zukunft hoffen, in der die neue Weisheit der Menschheit in Form von Quantencomputern und die Vertrauenstechnologie dezentraler Ledger nicht durch eine Kollision zusammenbrechen, sondern auf einer höheren Ebene zu einem robusteren System verschmelzen.

Referenzen und weiterführende Links:

National Institute of Standards and Technology (NIST) - Post-Quantum Cryptography Standardization Project
Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring.
Grover, L. K. (1996). A fast quantum mechanical algorithm for database search.
Buterin, V. (2024). How to hard-fork to save most users’ funds in a quantum emergency.