Taproot Schnorr MAST : Bitcoin-Softfork 2021 erklärt

Taproot ist der bedeutendste Bitcoin-Softfork seit SegWit 2017. Am 14. November 2021 auf Blockhöhe 709 632 aktiviert, kombiniert er drei sich ergänzende BIPs : Schnorr (Signaturen), Taproot (Output-Struktur), Tapscript (erweiterte Skriptsprache). Das Ganze wurde über mehr als zwei Jahre von Pieter Wuille, Tim Ruffing, Anthony Towns, Greg Maxwell und mehreren weiteren Beitragenden gestaltet, ohne die Kontroverse des vorherigen Softforks.

Taproots Reiz beruht auf drei operativen Propositionen. Erstens ersetzen Schnorr-Signaturen ECDSA in neuen Skripten : kleiner, aggregierbar, beweisbar sicher unter einer Standard-Krypto-Annahme. Zweitens machen Taproot-Outputs ein 3-of-5-Multisig für externe Beobachtung von einer Single-Sig-Zahlung ununterscheidbar, was die Privatsphäre des gesamten Netzwerks verbessert. Drittens erlaubt MAST, Verträge mit mehreren Zweigen zu kodieren, ohne die ungenutzten Zweige der Chain preiszugeben.

Fünf Jahre später übersteigt die Taproot-Verbreitung 25 % der jüngsten UTXO-Outputs, MuSig2 ist in Sparrow, Specter, Casa und Unchained implementiert, und die ersten Lightning-Channel-Factory-Anwendungen nutzen Taproot. Dieser Artikel zerlegt jedes der drei BIPs, die MuSig2-Aggregation, MAST, den Verbreitungsstand und konkrete Anwendungen.

BIP 340 : Schnorr-Signaturen

Bitcoin nutzte seit 2009 den ECDSA-Algorithmus (Elliptic Curve Digital Signature Algorithm) auf der Kurve secp256k1. ECDSA funktioniert, hat aber zwei historische Grenzen : seine Signaturen aggregieren nicht nativ, und sein Sicherheitsbeweis ist weniger sauber als der anderer Signaturschemata. Claus-Peter Schnorr schlug 1988 ein alternatives Schema (Schnorr-Signaturen) vor, dessen Patent 2008 ablief, gerade rechtzeitig für Bitcoin, aber Satoshi wählte ECDSA aus Gründen industrieller Standardisierung.

BIP 340 (Pieter Wuille, Jonas Nick, Tim Ruffing, 2020) führt Schnorr-Signaturen in Bitcoin über Taproot ein. Drei mathematische Eigenschaften unterscheiden Schnorr von ECDSA. Erstens, Linearität : die Summe zweier Schnorr-Signaturen ist wieder eine gültige Schnorr-Signatur, was native Aggregation ermöglicht (wir kommen mit MuSig2 darauf zurück). Zweitens, der Sicherheitsbeweis im Random-Oracle-Modell ist direkter, unter der Standardannahme des diskreten Logarithmus. Drittens, die Signaturen sind etwas kleiner (64 Bytes gegen 71-72 für ECDSA), was das Gewicht von Multisig-Transaktionen senkt.

In der Praxis sieht ein Durchschnittsnutzer den Unterschied nicht, wenn er eine Single-Sig-Taproot-Transaktion signiert : seine Wallet nutzt Schnorr unter der Haube, die Transaktion landet im Block, der Empfänger kassiert. Aber die kryptographische Ökonomie ändert sich mit der Aggregation. Ein traditionelles 3-of-5-Multisig veröffentlicht 3 distinkte Signaturen (3 × 71 Bytes) plus das Unlocking-Skript. Ein 3-of-5-Schnorr+MuSig2-Multisig veröffentlicht eine einzige aggregierte Signatur (64 Bytes), ununterscheidbar von einem Single-Sig.

BIP 341 : Taproot-Outputs und MAST

BIP 341 definiert das Format von Taproot-Outputs. Eine Taproot-Adresse beginnt mit bc1p (statt bc1q für SegWit v0). Sie kodiert einen einzelnen öffentlichen Schlüssel, der auf zwei Arten freigeschaltet werden kann : durch eine Schnorr-Signatur (Key-Spend-Pfad, der häufigste Fall), oder durch Ausführen eines Skripts aus einem Baum möglicher Skripte (Script-Spend-Pfad, für komplexe Verträge).

Der MAST-Mechanismus (Merklized Abstract Syntax Tree) unterliegt dem Script-Spend-Pfad. Der Wallet-Autor definiert einen Baum möglicher Skripte (zum Beispiel : „Alices Single-Sig", „2-of-3-Multisig", „Notfallskript nach 6 Monaten"). Jedes Blatt ist ein Skript. Der öffentliche Taproot-Schlüssel wird aus einer Merkle-Wurzel abgeleitet, die den Baum zusammenfasst, ohne die einzelnen Skripte preiszugeben. Bei der Ausgabe wählt man das auszuführende Blatt, beweist seine Aufnahme im Baum durch Eltern-Hashes, und führt es aus. Die anderen Blätter bleiben für immer geheim.

Folge für die Privatsphäre : solange der Key-Spend-Pfad genutzt wird (der typische Fall), kann kein externer Beobachter erraten, ob dahinter ein MAST-Baum existiert oder nicht. Ein Single-Sig, ein 2-of-3-Multisig mit Schlüsselaggregation, ein komplexer zeitgesperrter Tresor sehen für die Beobachtung alle gleich nach derselben bc1p-Adresse aus. Das ist Taproots großer Datenschutzschritt, langfristig wichtiger als die Größengewinne.

BIP 342 : Tapscript

Tapscript ist die aktualisierte Version der Bitcoin-Script-Sprache, die im Script-Spend-Pfad eines Taproot-Outputs nutzbar ist. Sie behält den größten Teil des alten Skripts (die üblichen Opcodes OP_DUP, OP_HASH160, OP_CHECKSIG usw.) bei, führt aber drei wichtige Änderungen ein. Erstens nutzen OP_CHECKSIG und OP_CHECKSIGVERIFY jetzt Schnorr-Signaturen statt ECDSA. Zweitens wird OP_CHECKMULTISIG entfernt (er war Quelle von Mehrkosten und Mehrdeutigkeiten) und durch OP_CHECKSIGADD ersetzt, einen flexibleren und leichter zu analysierenden Opcode.

Drittens bereitet Tapscript den Boden für künftige Erweiterbarkeit über Tapleaf-Versionen vor. Jedes Blatt des MAST-Baums trägt eine Versionsnummer, die sagt, wie es interpretiert werden soll. Version 0 ist das aktuelle Tapscript ; die Versionen 1-255 sind für künftige Entwicklungen reserviert (potenziell einschließlich OP_CTV, OP_VAULT und der in Diskussion befindlichen Covenants). Diese Erweiterbarkeit senkt die Kosten künftiger Soft-Forks, weil sie neue Opcodes hinzufügen können, ohne Bestehendes zu zerstören.

Für einen Wallet-Entwickler ist Tapscript angenehmer zu nutzen als das alte Skript. Für einen Endnutzer ist es transparent. Abwärtskompatibilität ist garantiert : P2PKH-, P2SH-, P2WPKH- und P2WSH-Outputs (die alten Formate) funktionieren unbegrenzt weiter ; Taproot ist rein additiv.

MuSig2 : Schlüssel und Signaturen aggregieren

MuSig2 (Nick, Ruffing, Seurin, 2020) ist das in der Praxis 2026 verwendete Protokoll zur Aggregation von Schnorr-Signaturen. Es erlaubt N Unterzeichnern, ihre öffentlichen Schlüssel zu einem einzigen aggregierten öffentlichen Schlüssel zu kombinieren (der zur Taproot-Adresse wird), und dann gemeinsam eine einzige unter diesem aggregierten Schlüssel gültige Schnorr-Signatur zu produzieren. Das Ergebnis sieht für die Blockchain genau wie eine Single-Sig aus, obwohl N Beteiligungen nötig waren.

Der praktische Vorteil ist enorm für moderne Multisigs. Ein 2-of-2 zwischen Ehepartnern, ein 3-of-5 Unternehmen, ein hardware-wallet-gestütztes 2-of-3 nutzen MuSig2, um eine einzelne Signatur zu erzeugen. Die Transaktion ist kleiner (geringere Gebühren), schneller zu validieren und vertraulich gegenüber externen Beobachtern, die ein Multisig nicht mehr von einer persönlichen Wallet unterscheiden können. Casa und Unchained haben ihre neuen Multisigs ab 2024 auf MuSig2 umgestellt ; Sparrow und Specter haben es 2025.

Das Protokoll benötigt zwei Kommunikationsrunden zwischen den Unterzeichnern (Austausch verpflichteter Nonces, dann Austausch von Teilsignaturen), was mit einer kollektiven Signatur via PSBT (Partially Signed Bitcoin Transaction) auf getrennten Hardware-Wallets kompatibel ist. Die zugrundeliegende Kryptografie ist heikler als ECDSA (Nonces müssen korrekt generiert werden, sonst droht Schlüssel-Leak), daher müssen Implementierungen vorsichtig sein. Die Bibliothek libsecp256k1 und BIP327 standardisieren das Protokoll.

Adoptionsstand 2026

Fünf Jahre nach der Aktivierung ist die Taproot-Verbreitung schrittweise gewachsen. Anfang 2022 nutzten weniger als 1 % der ausgegebenen Outputs das bc1p-Format, hauptsächlich Test-Transaktionen und einige Early Adopters. Ende 2022, ~3 %. Ende 2023, ~10 %, getrieben von der Ordinals/Inscriptions-Frenzy, die Taproot massiv nutzt. Ende 2024, ~18 %. 2026 übersteigen wir regelmäßig 25 % Taproot-Outputs in den jüngsten Blöcken.

Die wallet-seitige Verbreitung ist inzwischen weit verbreitet. Bitcoin Core generiert seit Version 24 (2022) standardmäßig Taproot-Adressen. Sparrow, Specter, Electrum, BlueWallet, Phoenix, Muun, Wallet of Satoshi, Aqua, Nunchuk : alle unterstützen Senden und Empfangen. Custodial-multisig-seitig haben Casa, Unchained und Liana zwischen 2024 und 2026 ihre neuen Setups auf Taproot+MuSig2 umgestellt. Ältere Multisig-Setups in P2WSH-Formaten (bc1q) bleiben funktionsfähig, profitieren aber nicht von den Privatsphäre-Gewinnen.

Verbleibende Bremsen kommen vor allem von Börsen und institutionellen Anbietern. Viele akzeptieren Abhebungen zu Taproot (Senden an eine bc1p-Adresse), aber wenige nutzen Taproot für ihre internen Bewegungen, aus Furcht vor Inkompatibilitäten mit ihren Compliance- und Buchhaltungstools. Diese Trägheit löst sich auf : Coinbase kündigte 2025 einen schrittweisen Wechsel an, Kraken 2026. Wenn institutionelle Börsen umsteigen, wird Taproot das Mehrheitsformat.

Anwendungen : modernes Multisig und Lightning

Vertrauliches Multisig. Vor Taproot veröffentlichte ein 2-of-3-Multisig bei der Ausgabe sein Unlock-Skript in der Chain, was dem Beobachter offenbarte, dass es sich um ein Multisig handelte, und sogar, wie viele Mitunterzeichner es gab. Mit Taproot+MuSig2 ist das Multisig nicht von einem Single-Sig zu unterscheiden. Es ist der greifbarste Anonymitätsgewinn für fortgeschrittene Nutzer : eine Pro-Wallet mit 3 Hardware-Wallets im Multisig sieht für die Blockchain wie eine beliebige persönliche Wallet aus.

Vaults und zeitgesperrte Tresore. Liana (Wizardsardine, 2023) nutzt MAST, um Tresore mit mehreren Ausgabepfaden zu bauen : „Alices Hauptschlüssel" (Key-Spend, sofort), oder „Alice plus Anwalt nach 6 Monaten Inaktivität" (Script-Spend MAST, Recovery-Zweig), oder „Erbe nach 3 Jahren" (anderer Zweig). Solange Alice den Hauptpfad nutzt, bleiben die Recovery-Zweige für die Blockchain geheim. Es ist der größte Fortschritt für die Bitcoin-Übertragung.

Lightning Channel Factories. Wie im fortgeschrittenen Lightning-Artikel erwähnt, brauchen Channel Factories Taproot, um effizient zu funktionieren. Eine Taproot-Factory sieht für die Chain wie ein Single-Sig aus, während sie intern mehrere Lightning-Kanäle zwischen mehreren Teilnehmern beherbergt. Die On-Chain-Kosten sind verteilt, die Privatsphäre bleibt erhalten. Erste experimentelle Bereitstellungen 2025, allgemeine Verfügbarkeit erhofft für 2027-2028. Das ist Lightnings nächster großer Schritt, und er hängt vollständig von Taproot ab.

Hinweis

Rein bildender und informativer Inhalt: weder Anlage-, Steuer- noch Rechtsberatung. Bitcoin birgt erhebliche Risiken, darunter hohe Volatilität und der mögliche Verlust des eingesetzten Kapitals. Jeder Leser bleibt für seine Entscheidungen selbst verantwortlich; im Zweifel eine qualifizierte Fachperson in der eigenen Jurisdiktion konsultieren.

Siehe auch

Für Custodial-Multisig und seine Anwendungsfälle siehe Bitcoin Multisig : 2-of-3 und darüber hinaus. Für Lightning Network und seine Taproot-Entwicklung siehe Lightning Network fortgeschritten. Für den Überblick über fortgeschrittene technische Themen siehe die Übersicht Bitcoin vertiefen.