Ist Zcash quantenresistent? Was Ironwood abdeckt und was nicht

Zcash ist noch nicht vollständig quantenresistent. Seine geschützten Protokolle beruhen auf Elliptische-Kurven-Kryptografie, die ein ausreichend großer Quantencomputer brechen könnte, und im Oktober 2026 ist diese noch nicht ersetzt. Neu seit 2026 ist ein Sicherheitsnetz: Notes im neuen Ironwood-Pool lassen sich über ein künftiges Protokoll retten, doch dieses Protokoll ist nur skizziert. „Wiederherstellbar“ heißt deshalb nicht „quantensicher“.

Dieser Artikel trennt, was gebaut ist, was vorgeschlagen ist und was nur ein Ziel ist, anhand der Zcash-Spezifikationen und der Ankündigungen dahinter.

Ist Zcash quantensicher? Was ein Quantencomputer tatsächlich brechen würde

Zcashs geschützte Protokolle Sapling und Orchard beruhen darauf, dass diskrete Logarithmen auf elliptischen Kurven schwer zu finden sind. ZIP 2005 sagt es klar: „the existing Zcash shielded protocols are dependent on the hardness of finding discrete logarithms.“ Ein großer Quantencomputer mit dem Shor-Algorithmus könnte dieses Problem lösen, ebenso jeder andere Durchbruch, der diskrete Logarithmen einfach macht. Zcash ist dabei nicht besonders: Bitcoin, Ethereum und die meisten anderen Chains beruhen auf derselben Familie von Annahmen.

Das ZIP nennt zwei konkrete Folgen. Erstens könnte ein solcher Angreifer die Balance-Eigenschaft brechen, also die Garantie, dass niemand geschützte Gelder aus dem Nichts erzeugen oder stehlen kann. Zweitens sind die Note-Commitments von Sapling und Orchard „not post-quantum binding“, weshalb der Austausch eines Signaturverfahrens allein nicht genügen würde.

Das ist kein Alarm für heute. Soweit öffentlich bekannt, ist kein Quantencomputer annähernd so groß, und niemand kann verlässlich sagen, wann einer es sein wird. Früh zu handeln lohnt sich, weil die Änderung eines laufenden Privacy-Protokolls langsame, sorgfältige Arbeit ist.

Quantenrisiko bei Zcash: Balance und Privatsphäre sind zwei verschiedene Risiken

Zwei Fragen sollte man trennen:

• Könnte jemand Gelder fälschen oder stehlen? Das ist die Balance-Frage, auf die ZIP 2005 zielt.
• Könnte jemand private Transaktionen lesen? Das ist die Privacy-Frage, auch ob heute aufgezeichnete Daten von einer künftigen Maschine entschlüsselt werden könnten.

ZIP 2005 ist beim Umfang eindeutig. Seine Motivation sagt, die heutigen Privacy-Eigenschaften von Orchard „would be retained against pre-quantum adversaries“ und auch gegenüber Post-Quanten-Angreifern, die die Adressen der Notes nicht kennen. Unter den Nicht-Anforderungen steht: „It is not required to address discrete-logarithm-breaking or quantum attacks on privacy with this proposal, as long as it does not cause any regression in privacy properties.“

Einfach gesagt: Die Recovery-Arbeit schützt das Geld. Ob die Privatsphäre gegen einen Quantenangreifer geschützt ist, ist eine andere Frage, die dieser Vorschlag nicht zu beantworten beansprucht. Der sichtbare Text des ZIP analysiert sie nicht, also tun wir es auch nicht. Was eine Quelle nicht sagt, lassen wir offen.

Was Ironwoods Quanten-Recovery (ZIP 2005) geändert hat

Ironwood ist der geschützte Pool des Upgrades NU6.3, im Mainnet aktiv seit Block 3.428.143 (28. Juli 2026). Den Hintergrund liefert unser Ironwood-Artikel, den Begriff erklärt das Glossar. Ironwood nutzt Orchards Design. ZIP 2005 setzt eine Quanten-Recovery-Funktion darauf:

• Ein neues Note-Format. Notes im Ironwood-Pool nutzen einen neuen Note-Plaintext mit dem Lead-Byte 0x03, und der Wert, der in das Note-Commitment einfließt, deckt jetzt alle Note-Felder ab. So kann ein künftiges Protokoll das Commitment auf eine Weise prüfen, die auch gegen einen Quantenangreifer hält.
• Eine verwandte Änderung der Schlüsselableitung für den Wert, der in die Commitments der Incoming Viewing Keys eingeht.
• Ein optionaler Quantum Spending Key (qsk), gedacht für Setups wie FROST-Threshold-Signaturen und Hardware-Wallets, deren Schlüssel sich nicht einfach neu ableiten lassen.
• Eine Pflicht für Wallets. Wallets müssen diese Notes im Rahmen der NU6.3-Unterstützung empfangen können und sollen nach Einführung des Vorschlags „alle Gelder, die sie kontrollieren (auch transparente, Sprout- und Sapling-Gelder)“ in wiederherstellbare Ironwood-Notes verschieben.

Der Kernsatz im ZIP ist seine eigene Einschränkung: Es „does not by itself make the protocol secure against quantum adversaries, but is intended to support a smoother transition“.

Das Recovery-Protokoll ist noch nicht gebaut

Der Rettungsschritt ist ein mögliches künftiges geschütztes Protokoll. Laut ZIP ist es „described in outline but not in detail: many of its design decisions are intentionally left open“, und es sei „not required to add support for the Recovery Protocol to consensus rules now“. Es soll gegen Angreifer sicher bleiben, die diskrete Logarithmen brechen, auch Quantenangreifer, aber das ist die Erwartung an ein Design und kein aktives Feature. Das ZIP merkt außerdem an, dass Ausgaben über dieses Protokoll voraussichtlich nicht von gewöhnlichen Ausgaben ununterscheidbar sein müssen.

Die ehrliche Zusammenfassung lautet deshalb: Ironwood-Notes sind für die Wiederherstellung vorbereitet; die Wiederherstellung selbst muss noch entworfen, geprüft und in einem späteren Netzwerk-Upgrade aktiviert werden.

Welche Zcash-Gelder sind Quantenangriffen ausgesetzt?

Transparente Adressen brauchen eine eigene Anmerkung. Sie funktionieren wie Bitcoin-Adressen: Die Adresse ist ein Hash eines öffentlichen Schlüssels, und der Schlüssel selbst wird erst auf der Blockchain sichtbar, wenn die Gelder ausgegeben werden. Unausgegebene Gelder hinter einer gehashten Adresse und nach dem Ausgeben wiederverwendete Adressen sind die klassischen Fälle für Quantenrisiko bei dieser Art von Chain. Den praktischen Unterschied der beiden Adressfamilien erklären geschützte vs. transparente Transaktionen und unsere Daten zum geschützten Angebot.

Was Epoch beiträgt: Zcashs Plan für Post-Quanten-Kryptografie

Am 1. Oktober 2026 kündigte Shielded Labs, die spendenfinanzierte Schweizer Organisation zur Unterstützung von Zcash, Epoch an, ein Forschungs- und Entwicklungsprojekt, das Zcash gegen künftige Bedrohungen härten soll. Die Ankündigung nennt Quantencomputer, KI-gestützte Angriffe und gegnerische Regierungen. Berichtet werden folgende Ziele:

• produktionsreife Post-Quanten-Kryptografie, die quantenanfällige Teile von Zcash ersetzt, mit dem Ziel Ende 2027;
• mindestens 128 Bit Sicherheit für Vertraulichkeit und Soundness, aufbauend auf minimalen, gut verstandenen Annahmen;
• formale Verifikation der kritischen kryptografischen Teile.

Das Team leitet Chief Cryptographer Ulrich Haböck mit Luke Edwards und Suyash Bagad. Es will sich mit den Autoren von ZIP 2005 und dem Project-Tachyon-Team abstimmen. Erstes Ergebnis soll ein konkreter Designvorschlag nach einer Sichtung der bestehenden Forschung sein; Berichte beschreiben Teile der Arbeit als noch offene Forschungsfragen. Ende 2027 ist ein Ziel, und eine Umsetzung bräuchte noch ein Protokoll-Upgrade, um das Mainnet zu erreichen. Epoch konnten wir nur über Sekundärberichte prüfen, die auf den Post von Shielded Labs auf X verlinken. Lies es also als angekündigte Absicht. Epoch erscheint auch in unserem Porträt von Zooko Wilcox.

Unabhängig davon sagte Josh Swihart, CEO des Zcash Open Development Lab, bei einer Konferenzsitzung im Mai 2026, quantenwiederherstellbare Wallets kämen innerhalb eines Monats und der volle Post-Quanten-Status werde in 12 bis 18 Monaten angestrebt (CoinDesk, 8. Mai 2026). Das ist ein gesprochenes Ziel und keine Spezifikation und sollte nicht mit dem Termin von Epoch vermischt werden.

Was Quantenrisiko für ZEC-Halter bedeutet

Die geprüften Quellen deuten auf nichts Dringendes hin. Sie legen einige sinnvolle Gewohnheiten nahe, als allgemeine Information und nicht als Anlageberatung:

1. Bevorzuge Wallets mit Unterstützung für den Ironwood-Pool, denn nur Ironwood-Notes sind für die Wiederherstellung vorgesehen. Das Wallet-Verzeichnis zeigt den aktuellen Stand; prüfe immer die Release Notes der Wallet.
2. Lass langfristige Ersparnisse nicht in transparenten Adressen liegen und verwende eine transparente Adresse nicht wieder, nachdem du von ihr ausgegeben hast.
3. Rechne mit einem Migrationsschritt. ZIP 2005 erwartet, dass Wallets Gelder nach der Einführung in wiederherstellbare Notes verschieben, und die Mechanik der Orchard-zu-Ironwood- Migration steht in ZIP 318, weiterhin im Status Draft. Folge den Hinweisen deiner Wallet, statt wegen Gerüchten Gelder zu bewegen.
4. Sichere deine Seed-Phrase wie immer. Quantenrisiko ändert die Grundlagen nicht; die meisten realen Verluste entstehen weiterhin durch Phishing und verlorene Backups. Mehr dazu in Seed-Phrase.

Was noch unbekannt ist

• Wann oder ob es einen Quantencomputer geben wird, der elliptische Kurven brechen kann. Die Schätzungen gehen weit auseinander, keine ist verlässlich.
• Das endgültige Design des Recovery-Protokolls und der Termin des Netzwerk-Upgrades, das es aktivieren würde.
• Ob und wie neben der Balance auch die Privatsphäre gegen Quantenangreifer geschützt wird; das ist Epochs Gebiet, mit offenen Forschungsfragen.
• Wann ZIP 2005 über den Status Proposed hinauskommt.

Wir aktualisieren diesen Artikel, sobald sich etwas davon ändert. Neue Daten und Artikel erscheinen zuerst im ZecZcash-Telegram-Kanal.

Quellen und Methodik

Dieser Artikel beruht auf den Primärdokumenten, geprüft am 9. Oktober 2026: ZIP 2005: Ironwood Quantum Recoverability (Proposed; erstellt 2025-03-31; Eigentümer Daira-Emma Hopwood und Jack Grigg; den vollen Text konnten wir nur teilweise lesen, daher machen wir keine Aussagen über spätere Abschnitte), ZIP 258, ZIP 318 und ZIP 326 zu NU6.3 und Migration (alle Draft) sowie die Zcash-Protokollspezifikation. Epoch beschreibt The Crypto Times (2. Oktober 2026), dort verlinkt ist der Post von Shielded Labs auf X; den Zeitplan vom Mai 2026 nennt CoinDesk. Allgemeine Aussagen zum Shor-Algorithmus und zu transparenten Adressen im Bitcoin-Stil sind Hintergrundwissen und keine Aussagen dieser Dokumente. Zur Netzwerkseite siehe den Zcash Network Upgrade Tracker.