Quantum und das Wettrennen um das Upgrade mit Alex Pruden

Project-Eleven-CEO Alex Pruden spricht mit Chris Smith darüber, warum es für Elliptic-Curve-Kryptografie keinen Direktersatz gibt, warum er erwartet, dass KI die Lebensdauer kryptografischer Algorithmen verkürzt, und warum ein Upgrade nur die Halter schützt, die darauf umsteigen.

Dieser Artikel ist eine redigierte Zusammenfassung von Alex Prudens Auftritt im Quantus-Podcast, veröffentlicht am 6. August 2026. Das Gespräch wurde thematisch geordnet, Zitate wurden für die Lesbarkeit leicht bearbeitet.

Die Episode auf YouTube ansehen. Folgen Sie dem Podcast auf Spotify oder Apple Podcasts.

Brauchen Sie das Transkript für Ihr LLM? Laden Sie das vollständige Transkript herunter: quantum-and-the-race-to-upgrade-transcript.md.

Über Alex Pruden

Alex Pruden ist CEO und Mitgründer von Project Eleven, das Post-Quantum-Sicherheitsinfrastruktur und -Tools für digitale Assets entwickelt. Zuvor leitete er Aleo, eine auf Privatsphäre ausgerichtete Layer-1-Blockchain, als deren CEO und als Executive Director der Aleo Network Foundation. Davor war er Investing Partner im Krypto-Team von Andreessen Horowitz. Neun Jahre diente er in der US-Armee als Infanterie- und Special-Forces-Offizier.

Zitat der Episode

„Es ist ein zweistufiger Prozess. Zuerst muss eine Arche gebaut werden, und dann muss man an Bord gehen.“

— Alex Pruden, CEO von Project Eleven, 36:31

Die Episode Minute für Minute

• 00:41: Alex’ Weg über die Armee, Andreessen Horowitz und Aleo.
• 03:20: Warum das Willow-Paper und ein verzögerter Mainnet-Start ihn zur Gründung von Project Eleven bewogen.
• 06:25: Die Reaktion des Marktes auf Willow und die Skeptiker, die ihre Meinung änderten.
• 10:14: Warum Elliptic-Curve-Kryptografie zum Standard wurde und warum sie voraussichtlich zuerst fällt.
• 12:52: Die Kompromisse zwischen Post-Quantum-Signaturen und das Ende eines gemeinsamen Standards.
• 17:59: ML-DSA, hashbasierte Verfahren und die Kosten zustandsbehafteter Signaturen.
• 21:55: Falcon, Seitenkanalangriffe und das Argument für Gitter.
• 25:11: Vertrauen in NIST, die NSA und nationale kryptografische Standards.
• 28:44: Googles zurückgehaltener Schaltkreis, ECDSA.fail und KI-gestützte Kryptoanalyse.
• 35:27: Warum bestehende Blockchains vor einer zweistufigen Migration stehen.
• 39:56: Wann Q-Day kommen könnte und warum ihn womöglich niemand verkündet.
• 48:00: Dezentralisierung, Institutionen und Admin-Schlüssel von Stablecoins.
• 53:44: Was Blockchains leisten, das kein zentralisiertes System kann.

Vor der Krypto-Welt verbrachte Alex Pruden etwa ein Jahrzehnt in der US-Armee. Um 2015 kam er bei einem Einsatz im Nahen Osten mit Bitcoin in Berührung, investierte später bei Andreessen Horowitz in Krypto und leitete dann Aleo, eine auf Privatsphäre ausgerichtete Blockchain, deren Start sich von einem geplanten 2022 auf Ende 2024 verschob.

Diese Verzögerung lehrte ihn, wie langsam kryptografische Systeme die Produktionsreife erreichen. Außerdem war ihm ein Vorbehalt aufgefallen, der in Kryptografie-Kursen häufig vermittelt wird: Die heute verwendeten asymmetrischen Verfahren versagen gegen einen großen Quantencomputer – eine Fußnote, die meist abgetan wurde, weil solche Maschinen fern schienen. Als Googles Willow-Ankündigung Ende 2024 erschien, brachte er beides zusammen. Post-Quantum-Kryptografie ist komplex und relativ neu, und er kam zu dem Schluss, dass die Menschen unterschätzen, wie lange bestehende Systeme für die Umstellung brauchen würden. In diesem Jahr gründete er Project Eleven.

Sein Gespräch mit Quantus-CEO Chris Smith fand kurz vor dem Mainnet-Start von Quantus statt. Es behandelt, was Elliptic Curves ersetzt, was zwischen einem Paper und einem Produktivsystem schiefgeht und warum der schwierigste Teil des Upgrades darin bestehen könnte, die Besitzer zum Umsteigen zu bewegen.

1. Elliptic Curves haben fast alles geleistet, und Alex erwartet, dass sie zuerst brechen

Elliptic-Curve-Kryptografie wurde zum Standard für Blockchains, weil ein einziges Primitiv fast jeden Bedarf abdeckte. Alex zählt sie auf: Signaturen und Authentifizierung, Zero-Knowledge-Beweise, Multiparty-Computation für Threshold-Signaturen und paarungsbasierte Kryptografie, die das Proof-of-Stake-Netzwerk von Ethereum nutzt. Er nennt sie „das Schweizer Taschenmesser“.

Ihre Effizienz kam von den kleinen Schlüsseln. RSA, das ältere Public-Key-Verfahren, braucht große Schlüssel, um ein bestimmtes Sicherheitsniveau zu erreichen. Alex vergleicht 4.096-Bit-RSA-Schlüssel mit den 256-Bit-Schlüsseln der Elliptic-Curve-Kryptografie.

Diese kurzen Schlüssel spielen laut Alex im Quantenkontext eine Rolle. Forscher hätten ihre Maschinen lange an RSA gemessen, sagt er, und das Elliptic-Curve-Problem habe sich als leichter angreifbar erwiesen. Deshalb sei die Sorge, wie er es ausdrückt, „viel näher gerückt, als die Leute zunächst erkannt hatten“. Googles Paper von Google Quantum AI vom März 2026 schätzte, dass das Brechen von 256-Bit-Elliptic-Curve-Kryptografie auf der angenommenen supraleitenden Architektur weniger als 500.000 physische Qubits erfordern würde. Alex sagt, Project Eleven habe zu den Gruppen gehört, mit denen die Autoren bei der Vorbereitung gesprochen hätten. Die Quantus-Erklärung dazu, was einen Quantencomputer kryptografisch relevant macht, behandelt die Lücke zwischen dieser Schätzung und jeder bisher gebauten Maschine.

2. Jede Post-Quantum-Option hat irgendwo ihren Preis

„Es gibt keinen Direktersatz für Elliptic-Curve-Kryptografie“, sagt Alex bei 12:52.

Er ordnet die Kompromisse in drei Gruppen. Die erste ist die Leistung: Signaturgröße, Größe des öffentlichen Schlüssels sowie Geschwindigkeit beim Signieren und Verifizieren. Die zweite ist, wie neu die Sicherheitsannahmen eines Verfahrens sind. Die dritte ist die Komplexität der Implementierung, also der Abstand zwischen einem Verfahren, das in einem wissenschaftlichen Paper funktioniert, und einem, das im Praxiseinsatz besteht.

Blockchains gewichten die drei Aspekte laut Alex bereits unterschiedlich. Er erwartet, dass die gemeinsame Grundlage, die Blockchains heute haben, einer „Balkanisierung“ weicht, mit Chains, die durch völlig unterschiedliche Familien kryptografischer Annahmen gesichert sind.

Chris würde es bevorzugen, wenn sich die Branche zumindest auf eine Familie einigt. Er verweist auf einen Cloudflare-Beitrag vom Juli 2026, der argumentiert, dass ML-DSA vorerst genügen muss. ML-DSA ist das gitterbasierte Signaturverfahren, das NIST 2024 als FIPS 204 standardisiert hat. Der Beitrag zitiert den Ingenieur Eric Rescorla: „Man zieht mit den Algorithmen in den Krieg, die man hat, nicht mit denen, die man sich wünscht.“

3. Bei einer zustandsbehafteten Signatur ist ein Zähler so kritisch wie der Schlüssel

Alex sieht die Branche noch nicht bei ML-DSA ankommen. Nach seiner Darstellung befasst sich die Arbeit rund um Bitcoin und rund um die Konsensschicht von Ethereum mit hashbasierten Signaturen, und zwar speziell mit zustandsbehafteten.

Ein zustandsbehaftetes hashbasiertes Verfahren signiert nur dann sicher, wenn der Signierende mitzählt, wie viele Signaturen ein Schlüssel bereits erzeugt hat.

„Diese Zahl aus den Augen zu verlieren, ist fast so schlimm, wie den privaten Schlüssel zu verlieren“, sagt er bei 18:57.

Hashbasierte Verfahren sprechen vorsichtige Entwickler an, weil ihre Sicherheit auf gut erforschten Annahmen über Hashfunktionen beruht. Der Preis dafür: Entweder verwaltet der Signierende den Zustand, oder das Verfahren verzichtet auf Zustand und erzeugt deutlich größere Signaturen.

Chris betrachtet es aus Sicht des Halters. Die meisten Menschen täten sich schon schwer damit, eine Seed Phrase einmal zu sichern, sagt er, und heute decke dieses eine Backup jede Adresse einer Wallet ab. Ein Verfahren, das nach jeder Transaktion neue Backups oder zusätzliche Informationen verlangt, würde seiner Ansicht nach allein an der Bedienbarkeit scheitern.

Alex wendet denselben Test auf SHRINCS an, den Vorschlag von Blockstream, den er als führenden Kandidaten für Bitcoin bezeichnet. Er koppelt einen kompakten zustandsbehafteten Modus mit einem größeren zustandslosen Fallback für den Fall, dass der Zustand verloren geht, etwa wenn eine Wallet aus einem Seed-Backup wiederhergestellt wird. Alex nennt das Design elegant und stellt dann den Anreiz infrage. Er bezweifelt, dass Halter den zustandsbehafteten Weg wählen, wenn er irgendein Risiko birgt, den Zustand falsch zu handhaben. Dann, so sein Argument, bleiben die kompakten Signaturen ungenutzt, während die zusätzliche Komplexität bleibt.

Er hat beobachtet, dass Teams die Optionen in vorhersehbarer Reihenfolge durchgehen: zuerst ein ungewöhnliches Verfahren, dann der Rückzug auf konservative hashbasierte Designs und schließlich die Rückkehr zum Standard. „Weißt du was? ML-DSA ist gar nicht so schlecht“, lautet dann ihr Fazit, wie er es bei 21:49 erzählt.

4. Ein sicheres Verfahren muss trotzdem sicher implementiert werden

Quantus hat einen Teil dieser Abfolge selbst durchlaufen. Chris sagt, das Team habe zunächst Falcon untersucht, eine weitere von NIST ausgewählte Gittersignatur, bis Thomas Pornin, einer der Autoren von Falcon, fragte, ob ihnen klar sei, worauf sie sich einließen.

Bei dieser Arbeit las Chris zum ersten Mal Code, der in konstanter Zeit laufen soll. Dessen Arithmetik kam ihm verkehrt vor, bis er den Zweck erkannte: Das kompilierte Programm enthält keine Verzweigungen, deren Laufzeit ein Geheimnis verraten könnte. Das Timing ist eine Art Seitenkanal, also eine Möglichkeit, ein Geheimnis zu erfahren, indem man beobachtet, wie sich ein Gerät bei der Berechnung verhält. Andere betreffen den Stromverbrauch oder elektromagnetische Abstrahlung. Alex stellt einen Angreifer, der mit einer Antenne in ein Rechenzentrum eindringen müsste, den Schlüsseln auf Endgeräten gegenüber, die Menschen in der Tasche tragen.

Er beantwortet auch einen verbreiteten Einwand gegen ML-DSA: Gitterkryptografie sei zu neu, um ihr zu vertrauen. Gitter würden seit fast drei Jahrzehnten für kryptografische Zwecke erforscht, sagt er, und für den Schlüsselaustausch gebe es kein hashbasiertes Verfahren. Wenn sich eine Wallet über TLS, das Protokoll zur Absicherung der Verbindung, mit einem Node verbindet, basiert der Schlüsselaustausch zunehmend auf Gittern.

„Sie übernehmen ohnehin schon einige gitterbasierte Annahmen, egal was Sie tun“, sagt er bei 24:21.

Kein Verfahren ist auf ewig garantiert, daher kommt Alex auf einen Begriff zurück, den Chris zuvor verwendet hat: Krypto-Agilität, also die Fähigkeit, Verfahren erneut zu wechseln, ohne das System neu bauen zu müssen.

5. Alex erwartet, dass KI die Lebensdauer jedes Algorithmus verkürzt

Der Shor-Algorithmus ist das Quantenverfahren, das aus einem öffentlichen Schlüssel den privaten Schlüssel wiederherstellen würde. Als Google seine Ressourcenschätzungen veröffentlichte, hielt es die Schaltkreise zurück, die den Algorithmus umsetzen, und veröffentlichte stattdessen einen Zero-Knowledge-Beweis, dass die Schaltkreise die angegebenen Kosten einhalten. Google erklärte, vor der Veröffentlichung die US-Regierung eingebunden zu haben.

Darauf folgte ECDSA.fail. Es ist eine offene Challenge, die Eigen Labs Ende Mai 2026 gestartet hat, um die Kosten der Punktaddition zu senken, einem Schritt innerhalb des Shor-Algorithmus auf der Kurve von Bitcoin. Die Challenge bewertet einen Schaltkreis, indem sie die benötigten logischen Qubits mit der Anzahl der ausgeführten aufwendigen Gatter multipliziert. Laut dem Paper des Projekts hatten mehr als einhundert Teilnehmende, die mit KI-Coding-Agenten arbeiteten, diesen Wert bis Ende Juli auf mehr als 50 % unter Googles berichteten Wert für denselben Schritt gesenkt. Das Paper weist darauf hin, dass beide Werte nach unterschiedlichen Konventionen gemessen wurden. Alex betont, dass die Challenge nur eine einzelne Unterroutine betraf. Dennoch sieht er darin einen Beleg dafür, wie schnell sich Kryptoanalyse heute entwickeln kann.

„Die Haltbarkeit jedes kryptografischen Algorithmus ist meiner Ansicht nach drastisch verkürzt“, sagt er bei 31:33.

Seine Schlussfolgerung ist praktisch: Wer in den nächsten zehn Jahren Kryptografie einsetzt, sollte damit rechnen, ein Jahrzehnt später wieder davon wegzumigrieren, und diese Migration von Anfang an einplanen.

Chris verknüpft dieselben Ereignisse mit der Politik. Am 22. Juni 2026 verlegte eine Executive Order der USA die föderalen Post-Quantum-Fristen für bestimmte hochwertige Systeme auf 2030 oder 2031, vor das frühere Ziel 2035. Für Chris deutete das darauf hin, dass die Regierung davon überrascht war, wie stark KI die Quantenforschung beschleunigt. Alex liest die breitere Reaktion genauso. Früher habe man Quantenrisiken als immer zwanzig Jahre entfernt behandelt, sagt er. Regierungen und Unternehmen schrieben inzwischen Pläne mit Terminen.

6. Einen Q-Day einplanen, den niemand ankündigt

Chris vermeidet es, ein Datum für Q-Day vorherzusagen. Technologischer Fortschritt verlaufe nichtlinear, sagt er, und die Welt erfahre womöglich nicht, wann der Moment eintritt. Alex stimmt zu. Eine Regierung oder ein Labor, das einen kryptografisch relevanten Rechner gebaut hat, würde ihren Vorteil durch eine Offenlegung verlieren, weshalb er beim Näherrücken der Schwelle nur wenige öffentliche Signale erwartet.

Alex respektiert Skeptiker, die stärkere experimentelle Belege wollen. Ein Mitglied der Bitcoin-Community, mit dem er debattierte, will zuerst langlebige logische Qubits sehen. Nach zwei Jahrzehnten falscher Anfänge nennt Alex das „eine sehr rationale Haltung“. Seine Sorge ist, dass es in der Nähe der Schwelle still um den Fortschritt wird und dann ein plötzlicher Umbruch folgt.

Auf die Frage nach einem Datum verweist er auf die Modelle hinter dem Report 2026 von Project Eleven: eine jährliche Expertenumfrage, die veröffentlichten Roadmaps der Hardwarehersteller und die eigenen Projektionen des Unternehmens. Im Gespräch nennt er als eigenes Basisszenario 2032: Ein kryptografisch relevanter Quantencomputer existiere bis dahin wahrscheinlicher als nicht, mit „einer realistischen Chance, dass wir bis 2030 schon so weit sind“.

Diese Jahreszahlen misst er an Moscas Ungleichung. Wenn die Zeit, die ein Asset sicher bleiben muss, plus die Dauer einer Migration die Zeit bis zur Existenz eines leistungsfähigen Quantencomputers übersteigt, ist die Migration bereits verspätet. Sechs Jahre, argumentiert Alex, lassen wenig Spielraum, wenn man Entwurf, Prüfung und Einführung einrechnet. Google hat 2029 als eigene Frist für die Post-Quantum-Migration gesetzt, und Chris merkt an, dass Cloudflare dasselbe Ziel hat. Alex hält Googles Festlegung für bedeutsam, weil Google das Paper geschrieben hat und die Entwicklungskosten selbst trägt.

„Diese Unsicherheit verlangt letztlich Konservatismus, denke ich“, sagt er bei 46:11. Mit Konservatismus meint er Vorbereitung, die jetzt beginnt, die Annahme, dass der Fortschritt schneller kommt als erwartet, und die Einsicht, dass das nächste Verfahren nicht das letzte sein muss.

7. Eine Migration hat zwei Schritte, und der zweite liegt beim Nutzer

Das Upgrade-Problem ist in dezentralen Blockchains am größten. Bitcoins Entwickler können eine Post-Quantum-Signaturoption ausliefern, sagt Alex, aber das macht Bitcoin noch nicht post-quantum-sicher. Die Halter müssen trotzdem handeln. Er vergleicht es mit einem Handy-Update, bei dem Nutzer das Gerät neu starten und danach auf der neuen Version sind. Bei der von ihm beschriebenen Bitcoin-Migration müssten Halter ihre Coins auf Adressen verschieben, die das neue Signaturverfahren nutzen, und er erwartet in diesem Schritt ebenso viele Fehlermöglichkeiten wie beim Bau der neuen Kryptografie. Chris ergänzt eine Bitcoin-spezifische Einschränkung: Blöcke sind klein, und Post-Quantum-Signaturen sind deutlich größer.

Sobald ein Quantencomputer private Schlüssel ableiten kann, wird der Umzug selbst schwieriger.

„Wenn ich Ihre Signatur vom alten Adresstyp fälschen kann, was bedeutet Eigentum dann noch?“, fragt Alex bei 37:27.

Chains, die mit Post-Quantum-Signaturen starten, überspringen diesen ersten Übergang. Alex nennt Quantus als Beispiel: Die Signaturen sind dort standardmäßig post-quantum. (Quantus startete sein Mainnet am 9. September 2026, nach der Aufzeichnung dieses Gesprächs.) Chris verweist auf ein konzentriertes Risiko bei bestehenden Chains: die Admin-Schlüssel, die das Minting von Stablecoins steuern. Ein Quantenangreifer, der einen davon an sich bringt, könnte riesige Summen prägen und damit handeln, bevor eine rechtliche Rückabwicklung möglich ist. Alex fügt hinzu, ein solcher Angriff passe zu einem Nationalstaat, weil er sich kaum zuordnen ließe.

Er äußert auch eine Ansicht, gegen die sich manche in der Krypto-Szene wehren dürften. Rein dezentrale Systeme würden die Post-Quantum-Migration als langsamer und chaotischer erleben, und die größeren Signaturen kosteten mehr, je dezentraler ein Netzwerk wird. Institutionen unter treuhänderischer Verantwortung erwarteten verlässliche Wartung, und er bezweifelt, dass von ihren Gründern aufgegebene Chains je migrieren werden. Er erwartet, dass die Branche dadurch etwas zentralisierter und professioneller wird, und meint, die Aufgabe sei, das zu bewahren, was an Blockchains einzigartig bleibt.

„Das Einzige, was Blockchains ermöglichen und kein zentralisiertes System nachbilden könnte, ist die Interaktion zwischen einander misstrauenden Parteien“, sagt er bei 53:49.

Eine Post-Quantum-Migration muss diese Eigenschaft bewahren und zugleich die Besitzer zum Handeln auffordern.

Weiterführende Ressourcen

• The Quantum Threat to Blockchains 2026 Report: Das Modell von Project Eleven zur Schätzung von Q-Day, mit Basis-, optimistischem und pessimistischem Szenario.
• Google Quantum AIs Krypto-Forschung: Ressourcenschätzungen für Quantenangriffe auf Elliptic-Curve-Kryptowährungen und vorgeschlagene Gegenmaßnahmen.
• ML-DSA will have to do: Cloudflares Plädoyer, ML-DSA jetzt einzusetzen.
• SHRINCS: Das zustandsbehaftete hashbasierte Signaturdesign, das Alex für Bitcoin bespricht.
• Was ist Q-Day?: Wie Quantenfähigkeit, Exposition und Migration die Krypto-Sicherheit beeinflussen.
• Q-Day, Quantum und die Auswirkungen auf Bitcoin mit Colton Dillion: Die vorherige Conversations-Episode über Bitcoins Migrationsproblem.

Das ganze Gespräch mit Alex Pruden ansehen.