Bitcoin-Skripte und Smart Contracts: Was geht, was nicht

Ja, es gibt Bitcoin Smart Contracts, nur heißen sie selten so. Jede Bitcoin-Zahlung ist an ein kleines Programm gebunden, ein Skript, das festlegt, wer sie unter welchen Bedingungen ausgeben darf. Damit lassen sich Mehrfach-Unterschriften, Zeitschlösser, Erbschaftsregeln und die Zahlungskanäle von Lightning bauen. Was nicht geht: beliebige Programme mit Schleifen und eigenem Speicher wie auf Ethereum. Das ist kein Versehen, sondern eine Entscheidung für Sicherheit.

Was ein Smart Contract überhaupt ist

Der Begriff stammt vom Informatiker Nick Szabo, der ihn in den 1990er-Jahren prägte. Er meinte Verträge, deren Bedingungen sich selbst durchsetzen, ohne dass ein Gericht oder eine Bank eingreifen muss. Sein Beispiel war der Getränkeautomat: Münze rein, Dose raus, niemand muss vertrauen.

Heute denken die meisten bei „Smart Contract“ an Ethereum: Programme, die auf einer Blockchain laufen, eigene Guthaben verwalten und beliebig komplex sein dürfen. Bitcoin funktioniert anders. Hier gibt es kein Programm, das irgendwo „läuft“. Es gibt nur Bedingungen, die bei jeder Ausgabe einmal geprüft werden: wahr oder falsch, ausgeben erlaubt oder nicht.

Für die meisten Dinge, die mit Geld zu tun haben, reicht das erstaunlich weit.

So funktioniert Bitcoin Script

Wie eine Transaktion aus Inputs und Outputs besteht, erklärt der Artikel Wie funktioniert eine Bitcoin-Transaktion?. Hier zählt nur ein Detail: Jeder Output enthält neben dem Betrag ein Sperrskript. Wer den Output später ausgeben will, liefert ein Entsperrskript, meist eine Signatur und einen öffentlichen Schlüssel. Jede Node setzt beides zusammen und führt es aus. Bleibt am Ende „wahr“ übrig, ist die Ausgabe erlaubt.

Script ist eine Stapelsprache. Stell dir einen Stapel Teller vor: Daten werden oben aufgelegt, Befehle nehmen die obersten Teller herunter, verarbeiten sie und legen das Ergebnis wieder oben drauf. Die Befehle heißen Opcodes und beginnen mit OP_, etwa OP_DUP (obersten Wert verdoppeln), OP_HASH160 (Fingerabdruck bilden), OP_EQUALVERIFY (zwei Werte vergleichen, bei Ungleichheit abbrechen) und OP_CHECKSIG (Signatur prüfen).

Satoshi Nakamoto hat Script von Anfang an eingebaut, schon in der ersten Version 2009. Im Jahr 2010 schaltete er nach entdeckten Fehlern eine Reihe von Befehlen ab, darunter OP_CAT (zwei Werte aneinanderhängen) und die Multiplikation. Seither ist Script eher gewachsen, indem Befehle vorsichtig per Soft Fork neu belegt wurden.

Ein Beispiel Schritt für Schritt

Die älteste übliche Zahlungsart heißt P2PKH, „Pay to Public Key Hash“, erkennbar an Adressen, die mit 1 beginnen. Ihr Sperrskript sagt: „Gib einen öffentlichen Schlüssel, dessen Fingerabdruck dieser hier ist, und eine gültige Signatur dazu.“

Neuere Adressformate verpacken das Skript anders, die Idee bleibt. Wie sich die Formate unterscheiden, erklärt Bitcoin-Adressen erklärt.

Warum Script absichtlich nicht Turing-vollständig ist

Script kennt keine Schleifen und keine Sprünge zurück. Ein Skript läuft einmal von vorn nach hinten und ist dann fertig. Außerdem hat es kein Gedächtnis: Es sieht nur die Daten der Transaktion, die es prüft, nicht den Kontostand anderer Adressen und nicht, was gestern passiert ist.

Informatiker nennen eine solche Sprache „nicht Turing-vollständig“. Das klingt nach Mangel, hat aber drei handfeste Vorteile:

• Jedes Skript endet. Niemand kann eine Endlosschleife einschleusen, die tausende Nodes lahmlegt.
• Die Kosten sind vorher bekannt. Wie aufwendig die Prüfung ist, ergibt sich aus der Länge des Skripts. Es braucht kein Gas-System wie bei Ethereum, das Rechenschritte bepreist.
• Was ein Skript tut, lässt sich vollständig prüfen. Bei wenigen, festen Bausteinen kann eine Wallet sicher sagen, unter welchen Bedingungen ein Coin ausgegeben werden kann. Bei beliebigen Programmen ist das grundsätzlich nicht immer möglich.

Dazu kommen feste Grenzen: Ein klassisches Skript darf höchstens 10’000 Byte lang sein, höchstens 201 Befehle enthalten, und ein einzelner Wert auf dem Stapel höchstens 520 Byte groß sein. Mit Tapscript wurden einige dieser Grenzen 2021 neu gezogen.

Die Bausteine: Signatur, Hash, Zeit, Mehrheit

Fast alles, was auf Bitcoin als Smart Contract läuft, setzt sich aus vier Bedingungen zusammen.

Mit OP_IF und OP_ELSE lassen sich diese Bedingungen zu Alternativen verbinden: „Entweder A und B unterschreiben, oder nach einem Jahr reicht C.“

Mehrfach-Unterschriften

Multisig ist der bekannteste Bitcoin-Vertrag: Ausgeben darf nur, wer m von n Signaturen liefert. Wie du damit deine Ersparnisse absicherst, steht ausführlich in Multisig-Wallet: Mehr Sicherheit durch mehrere Schlüssel. Technisch interessant ist hier nur, dass Multisig schon früh im Protokoll steckte und 2012 mit P2SH (BIP 16) praktisch nutzbar wurde: Seitdem zahlt der Absender an einen kurzen Hash, und erst der Empfänger legt beim Ausgeben das vollständige Skript offen.

Zeitschlösser: Bitcoin mit Ablaufdatum

Zeitschlösser sind der Baustein, der Bitcoin-Verträge erst richtig nützlich macht. Es gibt zwei Arten und zwei Orte.

Absolut oder relativ. Ein absolutes Zeitschloss sagt „nicht vor Block 1’000’000“ oder „nicht vor dem 1. Januar 2030“. Ein relatives sagt „nicht früher als 144 Blöcke, nachdem dieser Coin eingegangen ist“, also etwa einen Tag später.

In der Transaktion oder im Skript. Ein Zeitschloss in der Transaktion (das Feld nLockTime, seit 2009 vorhanden) gilt nur für diese eine, schon unterschriebene Überweisung. Der Absender kann die Coins vorher mit einer anderen Überweisung ausgeben. Ein Zeitschloss im Skript dagegen bindet den Coin selbst: Niemand, auch nicht der Besitzer, kommt vor Ablauf heran.

HTLC: der Vertrag hinter Lightning

Kombiniert man Hash-Rätsel und Zeitschloss, entsteht ein Hash Time-Locked Contract, kurz HTLC. In Worten: „Bob bekommt den Betrag, wenn er das Geheimnis zu diesem Fingerabdruck vorzeigt. Tut er das nicht bis Block X, bekommt Alice ihr Geld zurück.“

Das klingt unscheinbar, löst aber ein altes Problem: Zahlungen über mehrere Stationen, bei denen niemand dem anderen trauen muss. Im Lightning Network sperrt jede Station ihren Teil mit demselben Fingerabdruck. Sobald der Empfänger das Geheimnis verrät, um sein Geld zu bekommen, kann jede Station rückwärts ihr Geld einfordern. Verrät er es nicht, laufen alle Zeitschlösser ab und jeder bekommt seins zurück. Entweder klappt alles oder nichts.

OP_IF
    OP_SHA256 <H> OP_EQUALVERIFY <Bobs Schlüssel>
OP_ELSE
    <Block X> OP_CHECKLOCKTIMEVERIFY OP_DROP <Alices Schlüssel>
OP_ENDIF
OP_CHECKSIG

Dasselbe Muster erlaubt Atomic Swaps: Zwei Personen tauschen Coins auf zwei verschiedenen Blockchains, ohne Börse. Beide Seiten sperren mit demselben Fingerabdruck, und wer das Geheimnis zum Abholen verwendet, macht es damit für die andere Seite sichtbar.

Taproot und Miniscript: Verträge, die man nicht sieht

Bis 2021 hatte jeder Bitcoin-Vertrag einen Nachteil: Beim Ausgeben wurde das ganze Skript öffentlich, mit allen Wegen, auch den nicht genutzten. Wer Annas Erbschaftsplan ausgibt, hätte der Welt den Notweg ihres Bruders gezeigt.

Taproot hat das geändert. Die Bedingungen liegen in einem Baum, und beim Ausgeben wird nur der genutzte Ast offengelegt. Unterschreiben alle Beteiligten gemeinsam, sieht die Ausgabe sogar aus wie eine gewöhnliche Einzel-Signatur. Dazu kam Tapscript, eine überarbeitete Fassung von Script mit OP_CHECKSIGADD und Platz für künftige Befehle. Die Einzelheiten erklärt Taproot und Schnorr.

Das zweite Werkzeug ist Miniscript, entwickelt von Pieter Wuille, Andrew Poelstra und Sanket Kanjalkar. Es ist keine neue Regel im Netz, sondern eine Schreibweise für Wallets: Bedingungen wie or(pk(Anna), and(pk(Bruder), older(52560))) werden automatisch in korrektes Script übersetzt, und die Wallet kann prüfen, was das Ergebnis genau erlaubt, was es kostet und welche Signaturen fehlen. Bitcoin Core unterstützt Miniscript in seinen Wallet-Beschreibungen. Für dich heißt das: Verträge wie Erbschaftspläne lassen sich heute mit fertigen Wallets bauen, ohne Opcodes von Hand zu schreiben.

Bitcoin und Ethereum im Vergleich

Ethereum ging am 30. Juli 2015 an den Start, mit dem erklärten Ziel, das zu können, was Bitcoin nicht kann: beliebige Programme. Die beiden Systeme unterscheiden sich in fast jeder Grundentscheidung.

Ethereums Gas ist die Antwort auf das Endlosschleifen-Problem: Jeder Rechenschritt kostet, und wenn das bezahlte Gas aufgebraucht ist, bricht das Programm ab. Das funktioniert, macht aber die Kosten einer Transaktion schwer vorhersehbar.

Was komplexe Verträge kosten können

Der größere Unterschied liegt im Risiko. Ein Ethereum-Vertrag ist ein Programm, das große Summen vieler Menschen verwaltet, und jeder Programmierfehler ist öffentlich angreifbar.

• The DAO, Juni 2016: Ein Angreifer nutzte einen Fehler im Vertrag eines Investmentfonds auf Ethereum und zog rund 3,6 Millionen Ether ab. Die Ethereum-Gemeinschaft machte den Diebstahl am 20. Juli 2016 per Hard Fork rückgängig. Wer das ablehnte, blieb auf der alten Kette, die seither Ethereum Classic heißt.
• Parity-Wallet, November 2017: Ein Nutzer löste versehentlich die Selbstzerstörung einer gemeinsam genutzten Programmbibliothek aus. Über 500’000 Ether in Multisig-Wallets, die darauf aufbauten, sind seither eingefroren.

Bei Bitcoin gibt es so etwas in dieser Form nicht: Ein Skript sperrt nur einen bestimmten Coin, nicht das Guthaben Fremder, und seine wenigen Bausteine lassen sich vollständig prüfen. Bitcoins eigene schweren Fehler lagen im Programm der Nodes, nicht in Nutzerverträgen. Warum diese Unterschiede für Langfrist-Sparer zählen, ordnet Bitcoin vs. Altcoins ein.

Was mit Bitcoin-Skripten nicht geht

Die Grenzen folgen aus derselben Entscheidung, die Bitcoin sicher macht.

Kein Zustand. Ein Skript kann sich nichts merken. Eine Tauschbörse, die Kurse aus ihren Vorräten berechnet, oder ein Kreditvertrag, der Zinsen über Monate fortschreibt, lässt sich so nicht direkt bauen.

Keine Daten von außen. Ein Skript kennt keine Kurse, kein Wetter, keine Ergebnisse. Es kann nur Signaturen prüfen. Wer externe Daten braucht, muss jemandem vertrauen, der sie unterschreibt.

Keine Regeln für das Wohin. Das ist die wichtigste Lücke. Ein Skript bestimmt, wer einen Coin ausgeben darf, aber nicht, wohin er danach gehen darf. Eine Bedingung wie „dieser Coin darf nur an diese Tresor-Adresse oder erst nach 30 Tagen woandershin“ ist heute nicht möglich. Solche Regeln heißen Covenants. Vorschläge dafür wie CHECKTEMPLATEVERIFY (BIP 119) oder die Wiedereinführung von OP_CAT (BIP 347) werden diskutiert. Stand November 2026 ist keiner davon beschlossen; den Stand der Debatte fasst Bitcoin Soft Fork erklärt zusammen.

Was das für dich als Bitcoin-Sparer bedeutet

Du musst kein Script schreiben können, um davon zu profitieren. Drei Anwendungen sind für Langfrist-Halter in Deutschland, Österreich und der Schweiz heute praktisch nutzbar:

1. Multisig gegen Verlust und Diebstahl eines einzelnen Schlüssels.
2. Zeitschloss-Wallets als Erbschafts- oder Notfallplan, der ohne Dritte funktioniert und den Seed nicht weitergibt.
3. Lightning für kleine, schnelle Zahlungen, gesichert durch HTLC und Zeitschlösser.

Für alle drei gilt: Je mehr Wege und Bedingungen, desto mehr musst du sichern und dokumentieren. Bei einem Zeitschloss-Plan gehört dazu nicht nur der Schlüssel, sondern die Wallet-Beschreibung (der Deskriptor), ohne die niemand die Coins wiederfindet. Ein Smart Contract, den deine Erben nicht verstehen, ist kein Plan.