Taproot und Schnorr: Was das letzte große Upgrade brachte

Taproot ist das letzte große Upgrade von Bitcoin, aktiv seit dem 14.11.2021 (Block 709’632). Es brachte Schnorr-Signaturen, die kürzer sind als die alten und sich zu einer einzigen zusammenfassen lassen. Dazu kamen Skript-Bäume, bei denen nur die genutzte Bedingung sichtbar wird. Das Ergebnis: Eine Wallet mit mehreren Schlüsseln kann auf der Blockchain aussehen und kosten wie eine einfache Zahlung.

Wie Bitcoin überhaupt neue Regeln bekommt und wie Taproot 2021 mit „Speedy Trial“ aktiviert wurde, erklärt der Artikel Bitcoin Soft Fork. Hier geht es um das Upgrade selbst: was technisch drinsteckt, was es dir bringt und was daraus geworden ist. Alle Angaben haben den Stand November 2026.

Drei Bausteine, ein Upgrade

Taproot besteht aus drei Bitcoin Improvement Proposals, die nur zusammen Sinn ergeben:

Die Idee geht auf einen Beitrag von Gregory Maxwell auf der Bitcoin-Entwicklerliste im Januar 2018 zurück. Ausgearbeitet haben die BIPs vor allem Pieter Wuille, Jonas Nick, Tim Ruffing und Anthony Towns. Von der Idee bis zur Aktivierung vergingen fast vier Jahre.

Schnorr-Signaturen: kürzer und zusammenfassbar

Jede Bitcoin-Zahlung braucht eine digitale Unterschrift. Sie beweist, dass der Besitzer des privaten Schlüssels zustimmt, ohne den Schlüssel zu verraten. Bis 2021 nutzte Bitcoin dafür nur ECDSA. Taproot fügt Schnorr-Signaturen hinzu, auf derselben elliptischen Kurve secp256k1. Deine Seed-Phrase und deine Schlüssel bleiben also dieselbe Art von Zahl.

Warum hat Satoshi nicht gleich Schnorr gewählt? Das Verfahren war bis 2008 patentiert, und es gab keinen verbreiteten Standard dafür. ECDSA war frei und in Bibliotheken verfügbar.

Schnorr hat gegenüber ECDSA drei Vorteile:

1. Kürzer. Eine Schnorr-Signatur ist immer genau 64 Byte lang, eine ECDSA-Signatur meist 71 bis 72 Byte. Auch der öffentliche Schlüssel schrumpft von 33 auf 32 Byte.
2. Sauber beweisbar. Die Sicherheit von Schnorr lässt sich unter gut verstandenen Annahmen mathematisch beweisen. Bei ECDSA ist das nur eingeschränkt möglich.
3. Linear. Das ist der eigentliche Grund für das Upgrade. Signaturen und Schlüssel lassen sich addieren. Zwei Personen können gemeinsam einen Schlüssel bilden und gemeinsam eine einzige Signatur dafür erzeugen.

MuSig2: viele Schlüssel, eine Unterschrift

Die einfache Addition hat eine Lücke: Ein Teilnehmer könnte seinen Schlüssel so wählen, dass er die Schlüssel der anderen aufhebt, und dann allein unterschreiben. Das Verfahren MuSig2 (BIP 327, seit 2023 als Standard beschrieben) verhindert das. Jeder Schlüssel bekommt einen eigenen Faktor, der von allen beteiligten Schlüsseln abhängt.

Dazu kommt ein Ablauf in zwei Runden: Zuerst tauschen alle zwei Nonces aus, dann ihre Teil-Signaturen. Die erste Runde lässt sich vorbereiten, bevor die Transaktion überhaupt feststeht.

Wichtig: MuSig2 ist ein n-von-n-Verfahren. Alle Beteiligten müssen mitmachen. Eine 2-von-3-Wallet baut man mit Taproot deshalb so: Die zwei Schlüssel, die normalerweise unterschreiben, bilden per MuSig2 den Hauptschlüssel. Die anderen Kombinationen liegen als Ersatzwege im Skript-Baum. Echte Schwellen-Signaturen wie „3 von 5 in einer Signatur“ (FROST) sind in Entwicklung, aber in verbreiteten Wallets Stand November 2026 noch die Ausnahme.

Skript-Bäume: Bedingungen, die niemand sieht

Bitcoin kann mehr als „ein Schlüssel, eine Unterschrift“. Eine Wallet kann Bedingungen haben, etwa: „Anna und Ben gemeinsam, oder Anna und der Notar, oder nach einem Jahr Ben allein.“ Vor Taproot musstest du beim Ausgeben das ganze Regelwerk offenlegen, auch die Teile, die du gar nicht nutzt. Das kostete Platz und verriet viel über deine Absicherung.

Taproot ordnet die Bedingungen in einem Baum an (MAST, „Merklized Alternative Script Tree“). Jede Bedingung ist ein Blatt. In der Adresse steckt nur ein Fingerabdruck des ganzen Baums. Beim Ausgeben zeigst du:

• das eine Blatt, das du nutzt,
• den Beweis, dass es zum Baum gehört (je Ebene 32 Byte),
• die Unterschriften, die dieses Blatt verlangt.

Alle anderen Blätter bleiben für immer verborgen.

Schlüssel-Pfad und Skript-Pfad

Der eigentliche Trick von Taproot verbindet beides. Jede Taproot-Adresse hat einen Hauptschlüssel und optional einen Skript-Baum. Der Baum wird in den Hauptschlüssel „eingerechnet“ (Tweak). Daraus ergeben sich zwei Wege zum Ausgeben:

• Schlüssel-Pfad: Eine einzige Schnorr-Signatur zum Hauptschlüssel genügt. Ob dahinter ein Baum steckt, sieht niemand.
• Skript-Pfad: Du nutzt ein Blatt aus dem Baum. Dann wird sichtbar, dass es einen Baum gab, und welches Blatt du gewählt hast.

Der Normalfall läuft also über den Schlüssel-Pfad, der Baum ist die Rückfallebene. Bei einer einfachen Wallet mit einem Schlüssel gibt es gar keinen Baum. Sie nutzt immer den Schlüssel-Pfad.

Tapscript: die überarbeitete Skriptsprache

BIP 342 legt fest, wie die Blätter geschrieben werden. Drei Änderungen sind wichtig:

• CHECKSIGADD statt CHECKMULTISIG. Der alte Multisig-Befehl musste jede Signatur gegen mehrere Schlüssel probieren. Der neue zählt gültige Signaturen einfach zusammen, jede Signatur wird nur einmal geprüft.
• Grenzen neu gezogen. Die alte Grenze von 10’000 Byte pro Skript und 201 Befehlen fällt. Stattdessen hängt das Prüf-Budget von der Größe der Daten ab. Diese Änderung wurde später wichtig, siehe Inscriptions.
• Platz für künftige Upgrades. Ungenutzte Befehle sind als „OP_SUCCESS“ reserviert. Ein späterer Soft Fork kann ihnen eine Bedeutung geben, ohne die Skriptsprache neu zu erfinden.

Privatsphäre: Multisig sieht aus wie Single-Sig

Vor Taproot war eine 2-von-3-Wallet auf der Blockchain sofort erkennbar. Beim Ausgeben standen alle drei öffentlichen Schlüssel und die zwei Signaturen offen da.

Mit Taproot und MuSig2 erzeugt der Normalfall eine Signatur zu einem Schlüssel, genau wie eine einfache Handy-Wallet. Wer die Blockchain liest, sieht keinen Unterschied. Das gilt auch für Lightning-Kanäle, wenn beide Seiten kooperativ schließen und die Software Taproot-Kanäle nutzt. Wie Lightning funktioniert, erklärt der Artikel Lightning Network.

Grenzen gibt es trotzdem:

• Der Skript-Pfad verrät etwas. Nutzt du einen Ersatzweg, sieht man, dass es einen Baum gab, und das genutzte Blatt.
• Wenige nutzen bc1p. Solange nur ein kleiner Teil der Zahlungen Taproot nutzt, fällt eine bc1p-Adresse eher auf als eine bc1q-Adresse.
• Beträge und Verbindungen bleiben sichtbar. Taproot versteckt Bedingungen, nicht wer wem wie viel sendet.

Was Taproot bei den Gebühren ändert

Bitcoin-Gebühren richten sich nach dem Platz einer Transaktion in vByte, nicht nach dem Betrag. Taproot verschiebt diesen Platz: Ein Taproot-Ausgang ist mit 43 vByte etwas größer als ein SegWit-Ausgang (31 vByte), weil er den ganzen Schlüssel statt eines Hashes enthält. Ein Taproot-Eingang ist mit 57,5 vByte kleiner (SegWit: 68 vByte). Den Vergleich für einfache Wallets zeigen der Artikel Bitcoin-Adressen und der Soft-Fork-Artikel. Hier geht es um Wallets mit mehreren Schlüsseln, wo der Unterschied groß wird.

Was diese Sats in Euro oder Franken wert sind, rechnest du hier um:

Wer Taproot nutzt: Verbreitung Stand November 2026

Taproot ist fünf Jahre aktiv, aber für das Sparen noch nicht der Standard. Laut Glassnode lagen am 10.11.2026 rund 222’000 BTC auf Taproot-Adressen, gut 1 % aller Bitcoin. Die große Mehrheit liegt weiter auf bc1q-, 3- und 1-Adressen.

Das hat nachvollziehbare Gründe:

• Bei einer einfachen Wallet ist der Vorteil klein. Wer selten ausgibt, spart mit bc1p kaum etwas.
• Multisig mit MuSig2 kam spät. Der Standard für MuSig2 erschien erst 2023. Hardware-Wallets und Koordinations-Software müssen ihn erst umsetzen. Für die übliche private 2-von-3-Wallet ist MuSig2 Stand November 2026 noch die Ausnahme.
• Senden geht fast überall, Empfangen nicht. Fast alle aktuellen Wallets und großen Börsen senden an bc1p. Eigene bc1p-Adressen erzeugen viele Wallets, aber nicht alle.

Für große Langzeit-Bestände gibt es außerdem ein Argument gegen bc1p: Der öffentliche Schlüssel steht direkt in der Adresse, nicht nur als Hash. Ein künftiger Quantencomputer hätte hier einen Angriffspunkt. Wie ernst das heute ist, ordnet der Artikel Quantencomputer und Bitcoin ein.

Die unerwartete Nutzung: Inscriptions und Ordinals

Die bekannteste Anwendung von Taproot hatte niemand geplant. Im Januar 2023 startete Casey Rodarmor das Ordinals-Projekt. Es besteht aus zwei Teilen:

• Ordinals sind eine Zählweise: Jeder Satoshi bekommt eine Nummer nach der Reihenfolge, in der er geschürft wurde. Das ist nur eine Konvention außerhalb der Bitcoin-Regeln.
• Inscriptions schreiben Daten (Bilder, Texte, später auch Token wie „BRC-20“) in ein Taproot-Skript, und zwar in einen Abschnitt, der nie ausgeführt wird (OP_FALSE OP_IF … OP_ENDIF). Die Daten landen im Witness-Teil der Transaktion.

Drei Eigenschaften machten das attraktiv: Witness-Daten zählen seit SegWit nur ein Viertel, Tapscript hob die alte Grenze von 10’000 Byte pro Skript auf, und ein Block darf bis zu 4 Millionen Gewichtseinheiten haben. Anfang 2023 füllte so ein einzelnes Bild fast einen ganzen Block.

Die Folgen spürten alle: In mehreren Wellen 2023 und 2024 stiegen die Gebühren zeitweise stark, weil Inscriptions um denselben Blockplatz boten wie normale Zahlungen. Für Miner war das zusätzliches Einkommen, für Sparer mit vielen kleinen Beträgen teuer. Die Frage, ob Bitcoin solche Daten begrenzen soll, führte 2025 und 2026 zu heftigen Debatten bis hin zum gescheiterten Vorschlag BIP 110. Die Einzelheiten stehen im Soft-Fork-Artikel.

Was Taproot für dich bedeutet

• Einfache Wallet: bc1q und bc1p sind beide gut. Für große, ruhende Bestände ist bc1q nach heutigem Stand die vorsichtigere Wahl, wegen des Quanten-Arguments.
• Multisig: Hier liegt der große Nutzen. Prüfe, ob deine Software Taproot-Multisig mit MuSig2 unterstützt und ob alle deine Geräte mitspielen. Bis dahin bleibt die bewährte bc1q-Multisig eine solide Lösung.
• Nichts tun müssen: Deine alten Adressen funktionieren weiter. Taproot ist eine Möglichkeit, keine Pflicht.