Alice & Bob rechnen RSA-2048 auf rund 23.000 Qubits herunter

Die neue Schätzung von Alice & Bob ist eine Modellrechnung für eine Maschine, die es nicht gibt: Das Preprint nennt rund 23.000 Cat-Qubits und 3,14 Tage für RSA-2048, gilt aber nur unter idealisierten Annahmen wie einer Mikrosekunde Zykluszeit und praktisch fehlenden Bit-Flips. Betroffen sind alle, die auf RSA und elliptische Kurven setzen, also Banken-IT ebenso wie Bitcoin. Eine Hardware mit dieser Qubit-Zahl existiert nicht, ein Zeitpunkt dafür steht nirgends.

Was das Preprint ausrechnet

Das Preprint trägt die Nummer 2026/2665 im Archiv der International Association for Cryptologic Research und wurde am 28.10.2026 veröffentlicht. Sein Titel nennt bereits das Hauptergebnis: 22.593 Qubits für RSA-2048 in 3,14 Tagen. Der Abstract rundet auf etwa 23.000 Cat-Qubits. Die Arbeit ist im ePrint-Archiv abrufbar und damit ein Preprint, also noch nicht durch ein Fachgutachten gelaufen.

Cat-Qubits sind Quantenbits, die in einem Schwingungszustand eines supraleitenden Resonators gespeichert werden. Das Paper spricht im Abstract von „superconducting cat qubits“. Ihr Merkmal: Bit-Flips, also das Umkippen von 0 auf 1, werden stark unterdrückt. Übrig bleiben vor allem Phasenfehler, die sich mit einem einfacheren Fehlerkorrekturcode behandeln lassen. Daraus ergibt sich die vergleichsweise kleine Qubit-Zahl. Das Paper überträgt diesen Ansatz auf eine „end-to-end resource estimation“ bis hin zur Zuteilung und Ablaufplanung der physischen Qubits auf einem Chip-Layout.

Neben RSA-2048 rechnet die Arbeit weitere Fälle. Für den diskreten Logarithmus auf der elliptischen Kurve secp256k1, die Bitcoin für seine Signaturen nutzt, nennt der Abstract höchstens 30.000 Cat-Qubits und eine Stunde. Dieser Wert nutzt laut Abstract die für RSA-2048 kompilierten Operationen. Für einen diskreten Logarithmus in endlichen Körpern mit 512 Bit (FFDLP-512) sind es rund 6.700 Qubits und 21 Minuten. Das Paper schlägt FFDLP-512 als Zwischen-Benchmark vor („which we propose as an intermediate benchmark“); der Blog nennt ihn „a smaller benchmark that could be run sooner“.

Wer es schneller will, zahlt mit Qubits: RSA-2048 in 1,25 Stunden braucht laut Abstract rund 611.000 Qubits. Die Zahlen zeigen einen Zielkonflikt zwischen Größe und Geschwindigkeit der Maschine. Der Abstract nennt das „Trading space for time“, der Blog beschreibt die Gegenrichtung als „using fewer qubits for more time“. Eine kleinere Maschine braucht also länger, eine schnellere mehr Qubits. Alle Werte beruhen auf Shors Algorithmus, der Faktorisierung und diskrete Logarithmen auf einem ausreichend großen, fehlerkorrigierten Quantencomputer effizient löst.

Die Annahmen hinter den Zahlen

Der Abstract legt vier Parameter offen. Die Zykluszeit, also die Dauer eines Durchlaufs der Fehlerkorrektur, beträgt 1 µs. Die Reaktionszeit, in der die klassische Steuerung auf Messergebnisse antwortet, liegt bei 10 µs. Der Phasenfehler pro Operation wird mit p_Z = 5×10⁻⁴ angesetzt.

Der vierte Parameter ist der heikelste: Es treten keine Bit-Flips auf, was einer Bit-Flip-Zeit von etwa 100 Jahren entspricht. Das ist die Eigenschaft, auf der die ganze Ersparnis beruht. Ob sich Cat-Qubits im großen Maßstab so stabil betreiben lassen, zeigt die Rechnung nicht, sie setzt es voraus.

Wie empfindlich das Ergebnis reagiert, zeigt die Lockerung dieser Annahme. Rechnet man mit einer Bit-Flip-Zeit von nur etwa einer Stunde und fängt die verbleibenden Bit-Flips mit einem Distanz-3-Code ab, steigt der Bedarf für RSA-2048 auf rund 45.000 Qubits. Ein Distanz-3-Code erkennt und korrigiert einzelne Fehler, indem er mehrere physische Qubits zu einem logischen bündelt. Die Zahl verdoppelt sich damit ungefähr.

Zeit- und Fehlerwerte sind zudem Zielgrößen für eine Architektur, die erst entstehen müsste. Als dm-Einordnung gilt: Eine Zykluszeit von einer Mikrosekunde verlangt schnelle Auslese und Steuerung, die 10 µs Reaktionszeit eine Dekodierung in Echtzeit. RSA-2048 ist laut Abstract „the configuration we compile in full“, die anderen Fälle beruhen auf Wiederverwendung dieser Arbeit. Die Rechnung ist deshalb ein Beitrag zur Ressourcenabschätzung, kein Fahrplan: Sie sagt, was eine passende Maschine leisten müsste, nicht, wann jemand sie baut.

Wie die Schätzungen geschrumpft sind

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptAbstract visualization of qubits as interconnected glowing points of light on a dark background, a faint padlock silhouette made of light in the center. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Der Blog von Alice & Bob zeichnet den Trend nach. 2019 kamen Craig Gidney und Martin Ekerå auf 20 Millionen Qubits für RSA-2048, 2025 lag die Schätzung dieser Reihe unter einer Million. Der Rückgang geht auf bessere Algorithmen und effizientere Fehlerkorrektur zurück, nicht auf neue Hardware.

Das Unternehmen selbst nannte 2023 rund 350.000 Qubits, 2024 knapp unter 100.000 und nun rund 23.000. Als einen der Treiber nennt der Blog verbesserte Algorithmen. Zum Vergleich: Gidney und Ekerå veröffentlichten 2019 „How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits“ (Quantum 5, 433, 2021), Gidney 2025 folgte arXiv:2505.15917 „with less than a million“. Die Werte von 2023, 2024 und heute sind Herstellerangaben von Alice & Bob, und verschiedene Architekturen sind nur bedingt vergleichbar.

Auch die Parallelisierung ist relevant. Laut Blog ließe sich RSA in etwa einer Stunde lösen, wenn man die Arbeit auf zehn Maschinen verteilt („about an hour if you spread the work across ten machines“). Der Abstract nennt dagegen 1,25 Stunden mit rund 611.000 Qubits. Beides sind laut Blog Varianten desselben Designs: „The same design can trade one for the other“. Das ist eine Rechenoption des Modells, kein Betriebskonzept.

Ein Blick auf andere Ansätze relativiert das Bild. IonQ nennt für secp256k1 19.397 Qubits und 25,7 Tage. Das sind Ionenfallen, also eine andere Plattform als die supraleitenden Cat-Qubits. Eine Rangliste lässt sich daraus nicht ableiten, weil Qubit-Zahl, Laufzeit und Fehlerannahmen nicht gleichwertig sind.

Was für Bitcoin und Banken-IT folgt

Bitcoin signiert Transaktionen mit secp256k1. Ein Angriff müsste aus einem öffentlichen Schlüssel den privaten errechnen, genau der diskrete Logarithmus, den das Preprint mit höchstens 30.000 Cat-Qubits in einer Stunde ansetzt. Der Blog formuliert es so: „The same approach covers the elliptic curve behind Bitcoin’s signatures.“ Die Rechnung überträgt also den Ansatz für RSA auf die Kurve, die Bitcoin verwendet.

Für Banken-IT liegt der Fall anders. RSA steckt in Zertifikaten, VPNs und Signaturen, und manche Daten müssen über Jahrzehnte vertraulich bleiben. Als dm-Einordnung: Wer heute verschlüsselte Daten abgreift, kann sie später entschlüsseln, sobald die Maschine existiert („Harvest now, decrypt later“). Entscheidend ist daher, wie lange Daten geschützt bleiben müssen. Die Frist ergibt sich aus der Lebensdauer der Daten, nicht aus dem Erscheinungsdatum eines Preprints.

Zur Einordnung der Hardware: Fehlerkorrigierte Maschinen mit Zehntausenden Qubits beschreibt das Preprint nicht; es ist eine Ressourcenschätzung, kein Hardware-Rekord. Die Annahmen, vor allem die praktisch fehlenden Bit-Flips, sind bislang nicht in dieser Größe gezeigt. Die Schätzungen sind seit 2019 deutlich gesunken, das spricht für Vorsicht bei der Planung, belegt aber keinen Termin. Die dm-Rechnung: 20 Millionen geteilt durch 23.000 ergibt rund 870. Weil die Werte aus verschiedenen Architekturen stammen, taugt der Faktor nur als Größenordnung.

Als dm-Einordnung folgt daraus eine nüchterne Aufgabe: Bestände an RSA- und Kurvenverfahren inventarisieren und die Migration auf Post-Quanten-Verfahren vorbereiten. Als ein solches Verfahren ist Classic McEliece zu nennen. Wer Schlüsselwechsel und Protokollupdates ohnehin plant, kann Krypto-Agilität einfordern, also die Möglichkeit, Verfahren ohne Umbau auszutauschen. So lässt sich ein späterer Wechsel auf neue Verfahren deutlich einfacher durchführen.

Offen bleibt, woran sich der Fortschritt messen lässt. Das Paper schlägt mit FFDLP-512 einen Zwischen-Benchmark vor, der rund 6.700 Qubits und 21 Minuten benötigt. Als dm-Einordnung bietet sich diese kleinere Aufgabe als messbarer Prüfstein für künftige Hardware an: Sie verlangt deutlich weniger Qubits als RSA-2048 und lässt sich früher prüfen. Ob eine Maschine sie bewältigt, wäre ein belastbarerer Hinweis als jede Schätzung auf dem Papier.