Öffentlicher und privater Schlüssel: Kryptographie einfach erklärt

Öffentlicher und privater Schlüssel sind ein zusammengehöriges Zahlenpaar. Der private Schlüssel ist eine geheime Zufallszahl, mit der du Überweisungen unterschreibst. Der öffentliche Schlüssel wird daraus berechnet und darf jeder sehen: Mit ihm prüft das ganze Netz deine Unterschrift. Der Weg vom privaten zum öffentlichen Schlüssel ist einfach, der Rückweg ist mit keinem heutigen Computer machbar. Auf genau dieser Einbahnstraße ruht das Eigentum an jedem Bitcoin.

Das Schlüsselpaar: Briefkasten und Siegel

Zwei Bilder helfen, bevor die erste Formel kommt.

Der Briefkasten. Deine Adresse ist wie ein Briefkasten mit Einwurfschlitz. Jeder kann etwas hineinwerfen, das heißt dir Bitcoin schicken. Herausholen kann nur, wer den Schlüssel zum Kasten hat. Der Schlitz ist öffentlich, der Schlüssel privat.

Das Siegel. Früher besiegelte man Briefe mit einem Siegelring. Jeder kannte den Abdruck und konnte prüfen, ob das Siegel echt ist. Fälschen konnte es nur, wer den Ring hatte. In Bitcoin ist der private Schlüssel der Ring, der öffentliche Schlüssel der bekannte Abdruck und die Signatur das Siegel auf einer bestimmten Überweisung.

Das Siegel-Bild trifft es besser, denn bei Bitcoin wird nichts verschlüsselt. Alle Überweisungen liegen offen in der Blockchain. Kryptographie sorgt hier nicht für Geheimhaltung, sondern für Echtheit: Nur der Besitzer des privaten Schlüssels kann eine gültige Unterschrift erzeugen, und jeder kann sie prüfen, ohne den privaten Schlüssel je zu sehen.

Dieses Prinzip heißt asymmetrische Kryptographie oder Public-Key-Kryptographie. Asymmetrisch, weil die beiden Schlüssel verschiedene Aufgaben haben. Bei einem Passwort oder einem Tresorcode ist es anders: Wer prüft, ob der Code stimmt, muss den Code selbst kennen. Bei Bitcoin müssen Zehntausende Nodes jede Unterschrift prüfen, und keine davon darf deinen Schlüssel kennen. Mit einem Passwort wäre das unmöglich.

Wie aus einer Zufallszahl ein öffentlicher Schlüssel wird

Am Anfang steht eine Zahl. Deine Wallet würfelt eine Zahl zwischen 1 und knapp 2²⁵⁶. Das ist der private Schlüssel. Er hat keine besondere Form, ist kein Passwort und enthält keine Information über dich. Aufgeschrieben in der üblichen Hex-Schreibweise sind es 64 Zeichen aus 0–9 und a–f.

Aus dieser Zahl berechnet die Wallet den öffentlichen Schlüssel. Dafür nutzt Bitcoin eine elliptische Kurve mit dem Namen secp256k1, festgelegt im Standard SEC 2 der Standards for Efficient Cryptography Group. Stell dir die Kurve als eine riesige, aber endliche Menge von Punkten vor, auf der man Punkte „addieren“ kann. Einer dieser Punkte ist für alle fest vereinbart, der Startpunkt G.

Der öffentliche Schlüssel ist der Startpunkt, so oft mit sich selbst addiert, wie der private Schlüssel angibt. Ist dein privater Schlüssel 5, ist dein öffentlicher Schlüssel G + G + G + G + G. Bei einer 77-stelligen Zahl rechnet die Wallet das nicht Schritt für Schritt, sondern mit einer Abkürzung: Sie verdoppelt immer wieder und addiert passend. Rund 256 Verdopplungen genügen, das dauert Sekundenbruchteile.

Der Rückweg hat keine solche Abkürzung. Wer nur den Punkt sieht, weiß nicht, wie oft G addiert wurde. Er müsste raten. Dieses Problem heißt diskreter Logarithmus auf elliptischen Kurven, und für Kurven dieser Größe kennt niemand einen schnellen Weg, außer mit großen Quantencomputern, die es noch nicht gibt.

Warum niemand deinen privaten Schlüssel errät

Die Zahl der möglichen privaten Schlüssel ist schwer vorstellbar: etwa 10⁷⁷, eine 1 mit 77 Nullen. Im sichtbaren Universum gibt es nach gängigen Schätzungen etwa 10⁸⁰ Atome. Die Schlüssel reichen also fast für jedes Atom einen.

Ein Angreifer könnte zufällig Schlüssel erzeugen und prüfen, ob auf der zugehörigen Adresse Guthaben liegt. Das scheitert nicht an der Geduld, sondern an der Physik. Das Rechenbeispiel zeigt, warum.

Daraus folgt der erste praktische Punkt: Dein Schlüssel ist nur so stark wie der Zufall, aus dem er stammt. Eine Wallet mit gutem Zufallsgenerator oder Würfel in deiner Hand liefern 256 Bit. Ein selbst ausgedachter Satz, aus dem ein Schlüssel gehasht wird, liefert viel weniger. Solche „Brain Wallets“ wurden in den Jahren nach 2011 massenhaft leer geräumt, weil Angreifer Zitate, Liedzeilen und Passwortlisten durchprobierten.

Digitale Signatur: Was sie beweist und was nicht

Wenn du sendest, unterschreibt deine Wallet die Überweisung mit dem privaten Schlüssel. Die Nodes prüfen die Unterschrift mit dem öffentlichen Schlüssel. Wie die Überweisung sonst aufgebaut ist, mit Inputs, Outputs und Wechselgeld, erklärt Wie funktioniert eine Bitcoin-Transaktion?.

Eine gültige Signatur beweist drei Dinge auf einmal:

1. Besitz: Der Unterzeichner kennt den privaten Schlüssel zu diesem öffentlichen Schlüssel.
2. Zustimmung: Er hat genau diese Überweisung unterschrieben, mit diesem Betrag und diesem Empfänger.
3. Unverändertheit: Ändert jemand danach auch nur ein Bit, passt die Signatur nicht mehr.

Was sie nicht beweist: wer der Mensch hinter dem Schlüssel ist. Ob du, ein Erbe oder ein Dieb unterschreibt, ist für das Netz gleich. Eine Signatur ist auch keine Verschlüsselung. Wer die Blockchain liest, sieht Betrag, Empfänger und deinen öffentlichen Schlüssel, sobald du ausgibst.

Bitcoin kennt zwei Signaturverfahren auf derselben Kurve: ECDSA seit 2009 und Schnorr seit dem Taproot-Upgrade im November 2021. Schnorr-Signaturen sind kürzer und lassen sich zusammenfassen, sodass mehrere Schlüssel gemeinsam eine einzige Unterschrift erzeugen. Die Formeln und was das für Multisig bedeutet, stehen in Taproot und Schnorr.

Der Zufall bei der Signatur: Wenn er versagt, ist der Schlüssel weg

Jede Signatur braucht neben dem privaten Schlüssel eine zweite Geheimzahl, die Nonce. Sie muss für jede Unterschrift neu und unvorhersehbar sein. Wird dieselbe Nonce mit demselben Schlüssel für zwei verschiedene Nachrichten benutzt, kann jeder aus den beiden öffentlichen Signaturen den privaten Schlüssel ausrechnen. Dafür braucht es keine Rechenleistung, sondern eine Zeile Schulalgebra.

Das ist nicht nur Theorie. Zwei Fälle sind gut dokumentiert:

• Sony PlayStation 3, 2010: Sony signierte Software mit ECDSA, aber jedes Mal mit derselben Nonce. Die Hackergruppe fail0verflow zeigte auf dem 27C3-Kongress in Berlin, dass sich daraus Sonys privater Signaturschlüssel berechnen lässt.
• Android-Wallets, August 2013: Ein Fehler in Androids Zufallsgenerator (SecureRandom) führte dazu, dass Bitcoin-Wallets auf Android-Geräten Nonces wiederholten. Angreifer berechneten die privaten Schlüssel und leerten betroffene Adressen. Bitcoin.org veröffentlichte am 11. August 2013 eine Warnung; die Wallets mussten neue Schlüssel erzeugen und das Guthaben umziehen.

Heute erzeugen gute Wallets die Nonce nicht mehr aus dem Zufallsgenerator allein, sondern berechnen sie deterministisch aus privatem Schlüssel und Nachricht (RFC 6979 für ECDSA, ein ähnliches Verfahren in BIP 340 für Schnorr). Dieselbe Nachricht ergibt dieselbe Nonce, verschiedene Nachrichten verschiedene. Das Wiederholungsproblem verschwindet.

Für dich heißt das: Nutze verbreitete, gepflegte Wallet-Software oder eine Hardware-Wallet, keine selbstgebauten Skripte. Die Mathematik von secp256k1 ist seit 2009 nicht gebrochen worden. Verluste entstanden bei der Umsetzung.

Von der Seed-Phrase zu tausenden Schlüsseln

Frühe Wallets erzeugten jeden Schlüssel einzeln und speicherten alle in einer Datei. Wer ein neues Backup vergaß, verlor neue Schlüssel. Heute stammen alle Schlüssel einer Wallet aus einer einzigen Quelle: der Seed-Phrase mit 12 oder 24 Wörtern. Wie du sie aufbewahrst, steht in Seed-Phrase sicher aufbewahren. Hier geht es darum, was die Wallet mit ihr macht.

Der Weg hat drei Stufen:

1. Wörter → Seed (BIP 39). Die Wörter kodieren Zufall: 12 Wörter stehen für 128 Bit, 24 Wörter für 256 Bit, plus eine kleine Prüfsumme. Die Wallet streckt sie mit einem absichtlich langsamen Verfahren zu einem 512 Bit langen Seed. Eine optionale Passphrase fließt hier ein; jede andere Passphrase ergibt einen völlig anderen Seed.
2. Seed → Hauptschlüssel (BIP 32). Aus dem Seed entstehen der private Hauptschlüssel und ein zweiter Wert, der Chain Code.
3. Hauptschlüssel → Kinder (BIP 32). Mit Hauptschlüssel und Chain Code berechnet die Wallet Kind-Schlüssel, aus diesen wieder Kinder, beliebig tief. Jeder Zweig hat eine Nummer, zusammen ergibt das einen Pfad.

Das Ergebnis ist ein Baum. Er ist immer derselbe, solange Wörter und Passphrase gleich bleiben. Deshalb stellt jede kompatible Wallet aus deinen 24 Wörtern dieselben Adressen wieder her, auch Jahre später und von einem anderen Hersteller.

Ableitungspfade: BIP 84 und BIP 86

Damit verschiedene Wallets dieselben Zweige nutzen, gibt es feste Pfade. Die Zahl nach dem m sagt, welche Adressart gemeint ist.

Ein Strich ′ bedeutet „gehärtet“. Die oberen Ebenen sind gehärtet, damit ein durchgesickerter Schlüssel weiter unten nicht den ganzen Baum verrät. Die letzten beiden Ebenen sind normal abgeleitet. Das erlaubt einen Trick, der im Abschnitt über den xpub wichtig wird.

Vom öffentlichen Schlüssel zur Adresse

Die Adresse, die du weitergibst, ist meist nicht der öffentliche Schlüssel selbst. Bei bc1q-Adressen ist sie ein 20 Byte langer Hash davon, bei bc1p-Adressen (Taproot) ein leicht veränderter öffentlicher Schlüssel. Beides wird für Menschen lesbar kodiert und mit einer Prüfsumme gegen Tippfehler geschützt. Die Formate, ihre Gebühren und die Prüfung vor dem Senden erklärt Bitcoin-Adressen erklärt.

Die Kette hat damit drei Glieder, und jedes geht nur in eine Richtung:

Seed-Phrase → privater Schlüssel → öffentlicher Schlüssel → Adresse

Aus einer Adresse findest du keinen öffentlichen Schlüssel, aus einem öffentlichen Schlüssel keinen privaten, aus einem privaten Schlüssel keine Seed-Phrase.

Der xpub: ein öffentlicher Schlüssel für ein ganzes Konto

Bei BIP 32 gibt es auch einen erweiterten öffentlichen Schlüssel, kurz xpub (bei SegWit-Konten oft zpub). Er besteht aus einem öffentlichen Schlüssel und dem Chain Code einer Ebene im Baum, typischerweise der Kontoebene m/84′/0′/0′.

Weil die unteren Ebenen normal abgeleitet werden, kann man aus dem xpub alle öffentlichen Kindschlüssel und damit alle Adressen des Kontos berechnen, ohne einen einzigen privaten Schlüssel zu kennen. Das ist nützlich: Deine Software auf dem Computer kann neue Empfangsadressen erzeugen und Guthaben anzeigen, während die privaten Schlüssel in der Hardware-Wallet bleiben. Bei einer Multisig-Wallet braucht jedes Gerät die xpubs der anderen.

Ausgeben kann man mit einem xpub nichts. Er ist aber kein harmloser Wert:

• Privatsphäre: Wer deinen xpub hat, sieht alle vergangenen und künftigen Adressen des Kontos, dein gesamtes Guthaben und jede Bewegung. Gib ihn nur deiner eigenen Software oder deiner eigenen Node.
• Ein Kindschlüssel plus xpub: Gelangt ein Angreifer an den xpub und an einen einzigen normal abgeleiteten privaten Kindschlüssel, kann er den privaten Schlüssel der Ebene darüber berechnen und damit das ganze Konto. Die BIP-32-Spezifikation warnt ausdrücklich davor. Exportiere deshalb nie einzelne private Schlüssel aus einer HD-Wallet, etwa um sie in eine andere App zu importieren.

Nachrichten signieren: Besitz beweisen gegenüber der Börse

Signaturen funktionieren nicht nur für Überweisungen. Viele Wallets können eine beliebige Textnachricht mit dem Schlüssel einer Adresse unterschreiben. Jeder kann dann prüfen, dass die Unterschrift zu dieser Adresse passt.

Im deutschsprachigen Raum ist das praktisch relevant. In der EU gilt seit dem 30. Dezember 2024 die Geldtransferverordnung (EU) 2023/1113. Sendest du mehr als 1’000 € von einer Börse an deine eigene Wallet oder umgekehrt, muss die Börse prüfen, ob die Adresse dir gehört. In der Schweiz verlangt die FINMA schon seit 2019, dass Institute den Besitz einer externen Wallet prüfen, bevor sie dorthin überweisen. Gängige Wege sind eine signierte Nachricht, ein Screenshot der Wallet oder eine kleine Testüberweisung („Satoshi-Test“).

Eine signierte Nachricht verrät allerdings, dass diese Adresse zu deiner Identität gehört. Signiere deshalb nur mit Adressen, die du der Börse ohnehin nennst, und nie mit Adressen, über die du andere Zahlungen abwickelst.

Was das für deine Sicherheit heißt

Aus der Kryptographie folgen ein paar einfache Regeln.

• Der private Schlüssel und die Seed-Phrase sind dasselbe Geheimnis. Wer die Wörter hat, hat alle Schlüssel. Kein Support, keine Börse und keine Wallet-App braucht sie je. Wer danach fragt, will stehlen.
• Erzeuge Schlüssel auf einem Gerät, das dafür gebaut ist. Eine Hardware-Wallet erzeugt Zufall, speichert die Schlüssel und unterschreibt, ohne sie herauszugeben. Einen Überblick gibt der Hardware-Wallet-Vergleich.
• Behandle den xpub wie einen Kontoauszug. Er öffnet nichts, verrät aber alles.
• Prüfe, was du unterschreibst. Die Signatur gilt für genau das, was das Gerät anzeigt. Lies Adresse und Betrag auf dem Display, nicht auf dem Computer.

Eine Frage bleibt offen: Was ist, wenn sich der Rückweg vom öffentlichen zum privaten Schlüssel eines Tages doch findet? Ein großer Quantencomputer könnte mit dem Shor-Algorithmus genau das. Gefährdet wären zuerst Coins, deren öffentlicher Schlüssel schon sichtbar ist, etwa auf mehrfach benutzten Adressen. Wie weit die Technik Stand November 2026 ist und was Entwickler dagegen planen, beschreibt Quantencomputer und Bitcoin.