Shielded Bitcoin verspricht private Überweisungen, aber noch keine echten Bitcoin

Private Überweisungen auf Bitcoin, ohne Soft Fork: Das verspricht das Papier „Shielded Bitcoin“, das Clara Shikhelman, Mikhail Komarov und Aleksei Moskvin von [alloc] init am 24. September 2026 vorgelegt haben. Der Bauplan für die Überweisungen steht, der Weg für echte BTC hinein und heraus bleibt einer eigenen Arbeit vorbehalten, und das Beweissystem verlangt Vertrauen in ein Trusted Setup. Laut CoinDesk schätzte Komarov eine Überweisung auf rund 700 vByte, bei gleicher Gebührenrate das 3,5- bis 7-Fache an Minergebühr. [alloc] init beschreibt Shielded Bitcoin als derzeit im Bau.

Private Überweisungen ohne Soft Fork: was das Papier vorschlägt

Die Konsensregeln prüft jeder Bitcoin-Knoten selbst; eine Änderung per Soft Fork muss das ganze Netz mittragen. Shielded Bitcoin setzt stattdessen als Metaprotokoll auf Bitcoin auf: ein eigenes Regelwerk, dessen Daten in gewöhnlichen Bitcoin-Transaktionen mitreisen. Bitcoin speichert und ordnet diese Daten, die Beweise prüft Software außerhalb des Bitcoin-Konsenses.

Diese Software heißt Indexer. Sie liest die Blöcke, rechnet den Stand der abgeschirmten Guthaben nach und verwirft ungültige Überweisungen. Eine Bitcoin-Transaktion kann dabei gültig sein, während die Indexer die Überweisung darin ablehnen. Die Prüfung der privaten Überweisungen liegt also bei dieser zweiten Softwareschicht.

Hier liegt der Unterschied zum Vorbild Zcash: Dort prüft die eigene Chain abgeschirmte Transaktionen in ihren Konsensregeln. Bei Shielded Bitcoin übernimmt das Software neben dem Bitcoin-Konsens.

Für deine Wallet hat das eine praktische Folge. Einen verlässlichen Stand erhält sie auf drei Wegen: Sie spielt die Bitcoin-Chain selbst nach, prüft die Antwort eines Indexers gegen Bitcoin-Daten oder vertraut einem Indexer ihrer Wahl. Eine schlanke Wallet, die selbst prüft, ein sogenannter Light Client, ist im Papier als offene Frage geführt.

Transportiert werden die Daten im Referenzprofil über OP_RETURN, ein Feld in Bitcoin-Transaktionen für Zusatzdaten. Die Autoren setzen dafür den mit Bitcoin Core v30.0 gelockerten Standardwert für -datacarriersize voraus, der von 83 auf 100.000 Byte stieg. Jeder Knoten legt diesen Wert selbst fest, übernommen ist er nicht überall.

Privat heißt hier nicht unsichtbar

Jede abgeschirmte Überweisung reist in einer Trägertransaktion, einer normalen Bitcoin-Transaktion mit den verschlüsselten Daten. Öffentlich bleiben der Zeitpunkt, die Zahl der Ein- und Ausgänge, die Gruppierung der Ausgänge, die Gebühren und die Metadaten der Trägertransaktion.

Eine Spur führt über die Gebühr. Wer seine Trägertransaktionen immer wieder aus derselben transparenten Wallet bezahlt, macht seine Überweisungen auf Bitcoin-Ebene verknüpfbar, auch wenn ihr Inhalt vertraulich bleibt. Diese Verknüpfung über die Gebührenwallet liegt ebenso außerhalb des Modells der Autoren wie Beobachtungen im Mempool und auf Netzwerkebene.

Die Privatsphäre kostet außerdem Blockplatz. Laut CoinDesk schätzte Komarov eine private Überweisung auf etwa 700 vByte, gegenüber 100 bis 200 vByte bei einer gewöhnlichen Bitcoin-Transaktion; vByte ist die Einheit, nach der Miner Platz und Gebühr bemessen. Bei gleicher Gebührenrate ergibt das rechnerisch das 3,5- bis 7-Fache an Minergebühr (Stand: 25. September 2026). Im Begleittext auf Delving Bitcoin heißt es allgemeiner, die Überweisungen seien größer, lägen aber in derselben Größenordnung wie gewöhnliche Transaktionen, je nach Transferform und Publikationsweg.

Wie viel Privatsphäre eine einzelne Ausgabe tatsächlich hat, hängt von Nutzung und Verteilung der abgeschirmten Guthabenstücke ab, im Papier Noten genannt. Ein großer Notenbestand allein reicht für eine große Privatsphäremenge nicht aus.

Für selektive Offenlegung sieht das Papier Ansichtsschlüssel vor. Mit ihnen kannst du einzelne Vorgänge zeigen, ohne dem Gegenüber eine Ausgabeberechtigung zu geben; Eigentum, Vollständigkeit oder Saldo belegen sie allein nicht.

Als optionale, künftige Erweiterung skizziert das Papier einen verschlüsselten KYC-Herkunftsnachweis über eine sogenannte Trust Authority. Bitcoin-Konsens und Basis-Replay werten ihn nicht aus, Noten ohne diesen Nachweis bleiben gültig.

Die offene Stelle: echte BTC hinein und heraus

Damit du Bitcoin abgeschirmt überweisen kannst, müssen echte BTC erst in das System hinein, fachlich Peg-in, und später wieder heraus, der Peg-out. Diese Brücke spezifiziert das Papier nicht; die Autoren verweisen dafür auf eine eigene Arbeit auf Basis eines Verfahrens namens PIPEs v2. Entsprechend gilt das Versprechen, dass du die Verfügungsgewalt über dein Geld behältst, ausdrücklich nur für die Transferschicht.

Ein- und Ausstieg nimmt das Papier ausdrücklich von den Zusagen zu Vertrauensfreiheit, Privatsphäre, Unverknüpfbarkeit und Zensurresistenz aus. Betrag und Zeitpunkt beim Ein- und Ausstieg können spätere Aktivität verknüpfbar machen.

Beim Zeitplan bleibt es vorerst bei der Selbstbeschreibung: [alloc] init führt Shielded Bitcoin auf der eigenen Website als derzeit im Bau, einen Termin nennt die Seite nicht. CoinDesk meldete mit Stand Freitag, 25. September 2026, ebenfalls keinen Starttermin.

Trusted Setup: wo Zcash heute ohne Zeremonie auskommt

Die zweite Vertrauensfrage steckt im Beweissystem. Das Referenzprofil nutzt Groth16, ein Verfahren für Zero-Knowledge-Beweise mit schaltkreisspezifischem Trusted Setup: einer einmaligen Erzeugung öffentlicher Parameter, bei der geheime Zufallswerte anfallen. Die Sicherheitsaussagen der Autoren gelten nur bei ehrlich erzeugtem Setup, im Begleittext reicht dafür mindestens eine ehrliche beteiligte Partei. Solange das Profil bei Groth16 bleibt, braucht der Transfer-Schaltkreis also ein eigenes Setup.

Wie das in der Praxis aussieht, zeigt Zcash. Zum Abschluss ihrer Powers-of-Tau-Zeremonie hielt die Zcash Foundation am 13. April 2018 fest: Die Korrektheit der Beweise hängt davon ab, dass mindestens ein Teilnehmer seine Zufallswerte vernichtet hat.

Für seinen neuesten Pool hat Zcash diesen Schritt hinter sich gelassen. Mit dem Netz-Upgrade NU5 am 31. Mai 2022 kam das Orchard-Protokoll mit dem Beweissystem Halo 2, das nach Mitteilung der Electric Coin Company ohne Setup-Zeremonien auskommt. Die älteren Pools Sprout und Sapling beruhen weiter auf Zeremonien.

Synthetisches Ledger oder echter Fortschritt?

Die schärfste Kritik kommt aus dem Zcash-Lager. Mert Mumtaz, Mitgründer von Helius und Zcash-Befürworter, nannte den Vorschlag laut CoinDesk auf X ein synthetisches Ledger mit erheblichen Zielkonflikten und bemängelte, dass ein Protokollmechanismus fehle, um echte BTC hinein- und herauszubringen. Außerdem nannte er das Trusted Setup und die fehlende Anonymisierung der Gebühren als Schwächen und schätzte, der Vorschlag brauche noch Jahre an Forschung und Entwicklung.

Freundlicher, aber ebenfalls zweischneidig äußerte sich im selben CoinDesk-Bericht Cypherpunk, ein Unternehmen, das Zcash hält und schürft. Es begrüßte mehr Privatsphäre auf Bitcoin und sah im Verzicht auf Bitcoin-Änderungen den größten Vorteil und zugleich den größten Nachteil des Designs. Als Zcash-Halter hat Cypherpunk dabei ein eigenes Interesse.

Die Autoren halten mit ihrer Aufteilung dagegen: Ein- und Ausstieg haben sie einer eigenen Arbeit auf Basis von PIPEs v2 zugewiesen, und der Begleittext auf Delving Bitcoin kündigt das zugehörige Papier als bald erscheinend an. Bis es vorliegt, beschreibt Mumtaz' Einwand zum Ein- und Ausstieg den Stand vom September 2026.

Ein ausgearbeiteter Bauplan, der noch auf seine BTC-Brücke wartet

Unterm Strich ist Shielded Bitcoin ein ausgearbeiteter Bauplan für private Überweisungen, der nach Angaben der Autoren ohne Eingriff in die Bitcoin-Regeln auskommt. Ob daraus ein System wird, in dem du echte BTC bewegst, hängt an zwei Bausteinen: der Brücke für Ein- und Auszahlung und einem ehrlich erzeugten Setup.

Woran du erkennst, ob diese Bausteine kommen: am angekündigten Begleitpapier zu Ein- und Auszahlung, für das bislang weder Beitrag noch Papier ein Datum nennen, an einer öffentlich dokumentierten Setup-Zeremonie für den Groth16-Schaltkreis und an einem ersten Starttermin oder Testnetz. Wie privat die Überweisungen im Betrieb werden, entscheidet danach die tatsächliche Nutzung. Stand: 27. September 2026.

Hintergrund zu anonymitätsfördernden Kryptowerten und den EU-Regeln dafür liefert der Beitrag Zcash und Litecoin bei SwissBorg: was in der EU gilt.