Stellen Sie sich vor, ich reiche Ihnen einen Ball und sage, er sei farblos. Nicht weiß. Nicht durchsichtig. Farblos. Die Eigenschaft „Farbe“ trifft auf dieses Objekt nicht zu.
Sie würden widersprechen. Alles hat eine Farbe. Vielleicht meine ich klar, oder grau, oder ich mache es unnötig kompliziert. Aber ich meine etwas ganz Bestimmtes: Der Ball hat keine Farbe, bis man ihn misst. Wenn man es tut, wird er rot oder grün—er enthüllt nicht rot oder grün, er wird rot oder grün. Vor der Messung ist die Frage „Welche Farbe hat er?“ so sinnvoll wie „Wie riecht Dienstag?“ Die Frage ist nicht anwendbar.
Genau das behauptet die Quantenmechanik über Teilchen. Nicht, dass wir den Zustand nicht kennen. Sondern dass der Zustand noch gar nicht existiert.
Gehen Sie noch einen Schritt weiter. Stellen Sie sich vor, ich reiche Ihnen zwei dieser farblosen Bälle und sage, sie seien identisch. Nicht ähnlich. Nicht nach derselben Spezifikation gefertigt. Identisch—und zwar so vollständig, dass es kein Faktum darüber gibt, welcher in Ihrer linken und welcher in Ihrer rechten Hand liegt. Sie sind nicht „Ball A“ und „Ball B mit unbekannter Farbe“. Sie sind überhaupt nicht „Ball A“ und „Ball B“. Es gibt kein dieser hier versus jener dort. Es gibt einfach nur... Ball, zweimal. Sie halten nicht zwei Objekte in der Hand. Sie halten dasselbe ununterscheidbare Etwas an zwei Orten.
An diesem Punkt beginnt die Metapher zu versagen, denn ein Ball ist ein Ding, auf das man zeigen kann, und genau das—zeigen—ist laut Quantenmechanik bei identischen Teilchen nicht möglich. Den Objekten fehlen nicht nur Eigenschaften. Ihnen fehlt Individualität.
Die meisten Erklärungen verfehlen diesen Punkt. Der Nobelpreis für Physik 2022 ging an Aspect, Clauser und Zeilinger für experimentelle Arbeiten, die bewiesen, dass Quantenverschränkung real ist und dass Hidden Variables—die Intuition, Teilchen müssten definierte Eigenschaften haben, die wir nur nicht sehen können—als Erklärung nicht funktionieren. Die Königlich Schwedische Akademie veröffentlichte ein Diagramm zur Veranschaulichung: Eine Box erzeugt einen schwarzen und einen weißen Ball. In der Hidden-Variables-Variante waren die Bälle schon in der Box schwarz und weiß. In der Quantenvariante werden sie erst bei der Messung schwarz und weiß.
Das Problem mit diesem Diagramm: Schwarz und Weiß sind beides definierte Zustände. Sie unterscheiden sich im Wert, aber nicht in der Art. Die Hidden-Variables-Box und die Quanten-Box sehen strukturell identisch aus: Etwas geht hinein, farbige Dinge kommen heraus. Der gesamte konzeptionelle Sprung—dass die Eigenschaft vor der Messung nicht existiert—wird eingeebnet zu „die Bälle waren die ganze Zeit drin, man konnte nur nicht sehen, welcher welcher war“. Was nichts anderes ist als die Hidden-Variables-Interpretation im Quantenkostüm.
Der farblose Ball erzwingt einen Kategorienbruch. Ein farbloser Ball ist kein Ball mit unbekannter Farbe. Er ist ein Ball, bei dem Farbe noch kein sinnvolles Attribut ist. Und auf einer tieferen Ebene ist er nicht einmal ein Ball, den man von einem anderen Ball desselben Typs unterscheiden könnte. Das ist die Kluft, die die meisten Menschen nicht überwinden können. Und sie ist entscheidend, denn die Frage, ob Superposition echten rechnerischen Parallelismus darstellt—ob ein Quantencomputer wirklich einen exponentiell großen Raum von Möglichkeiten erkundet—hängt vollständig davon ab, ob dieses farblose, ununterscheidbare Etwas tatsächlich mehr Freiheitsgrade hat als ein Ball, der insgeheim rot ist.
Ob dieser farblose Ball wirklich mehr Freiheitsgrade hat als ein insgeheim roter, ist keine philosophische Kuriosität. Es ist eine 50-Milliarden-Dollar-Ingenieurswette. Jeder jemals gebaute Quantencomputer ist eine Maschine, die darauf ausgelegt ist, diesen Unterschied auszunutzen. Wenn der Unterschied kleiner ist, als die Mathematik besagt, ist es auch die Maschine.
Womit ich bei dem bin, was ich als fünf Decken bezeichne.
Eine Einschränkung vorab: Die Mainstream-Sicht der Physik ist, dass Decke 1 und 2 die eigentlichen Hindernisse sind und beide Ingenieursprobleme darstellen, die sich mit besserer Hardware lösen lassen. Decke 3 bis 5 repräsentieren zunehmend minoritäre Positionen—keine Spinnerei, aber auch kein Konsens. Ich halte sie für bedenkenswert. Sie sollten wissen, dass Sie hier eine skeptische Betrachtung lesen, keine Zusammenfassung des aktuellen Stands der Forschung.
Die Quantencomputer-Industrie spricht von einer einzigen Barriere auf dem Weg zu kryptografisch relevanten Maschinen: Ingenieursleistung. Bessere Hardware bauen, Fehlerraten senken, Qubit-Zahlen hochskalieren, und man erhält eine Maschine, die Shor’s algorithm gegen RSA-2048 ausführt. Über den Zeitrahmen wird diskutiert. Über das Ziel nicht.
Ich glaube, es gibt tatsächlich fünf mögliche Decken, und sie sind ineinander verschachtelt. Jede ist schwieriger zu testen, schwieriger zu diskutieren und folgenreicher als die vorherige.
Decke 1: Overhead der Fehlerkorrektur
Das bekannte Problem. Man braucht etwa 1.000 bis 10.000 physische Qubits pro logisches Qubit. Um Shor’s algorithm gegen RSA-2048 auszuführen, gehen aktuelle Schätzungen von rund 4 Millionen physischen Qubits bei heutigen Fehlerraten aus. Derzeit sind wir bei etwa 1.000 verrauschten physischen Qubits.
Das ist die Decke, die die Industrie anerkennt und als rein technische Herausforderung bezeichnet. Vielleicht stimmt das.
Decke 2: Korrelierte Fehler bei Skalierung
Aktuelle Fehlerkorrekturmodelle gehen davon aus, dass Fehler überwiegend unabhängig und zufällig über Qubits verteilt auftreten. Wenn Qubit 7 kippt, sagt das nichts darüber aus, ob Qubit 8 kippen wird. Die Mathematik hängt davon ab.
Aber Forschende haben festgestellt, dass Vibrationen kryogener Kühlsysteme korrelierte Fehlerschübe verursachen, die mehrere Qubits gleichzeitig betreffen. Wenn Fehlerkorrelationen nichtlinear zunehmen, wenn man Qubits hinzufügt—wenn die Fehler nicht zufällig, sondern auf eine Weise strukturiert sind, die aktuelle Modelle nicht erfassen—dann sind die Schwellenwerte für Fehlerkorrektur möglicherweise grundsätzlich unerreichbar, nicht nur schwer zu erreichen.
Der Unterschied ist wesentlich. Ein Ingenieursproblem lässt sich mit Geld und Zeit lösen. Ein Schwellenwertproblem nicht.
Decke 3: Skalierung der Dekohärenz
Kohärenzzeiten—wie lange ein Qubit seinen Quantenzustand aufrechterhält—reichen je nach Plattform von Mikrosekunden bis Millisekunden. Die Standardannahme ist, dass es sich um ein Problem der Umgebungsisolierung handelt. Bessere Abschirmung, kältere Temperaturen, reinere Materialien.
Aber Folgendes finde ich aufschlussreich: Jede Qubit-Plattform erfährt Dekohärenz durch völlig unterschiedliche physikalische Mechanismen. Supraleitende Qubits verlieren Kohärenz durch elektromagnetisches Rauschen. Gefangene Ionen durch vagabundierende elektrische Felder. Photonische Qubits durch Absorption und Streuung. Silizium-Spin-Qubits durch Kernspinwechselwirkungen. Die Zeitskalen variieren dramatisch—Mikrosekunden bei supraleitenden Schaltkreisen, Sekunden bei gefangenen Ionen—ich behaupte also nicht, die Einschränkungen seien identisch. Aber jede Plattform, unabhängig von der zugrunde liegenden Physik, verliert irgendwann die Kohärenz. Das universelle Muster ist die Dekohärenz selbst, auch wenn die Geschwindigkeiten variieren.
Vielleicht passiert das einfach, wenn man versucht, empfindliche Quantenzustände von einem verrauschten Universum zu isolieren—unterschiedliche Plattformen, unterschiedliche Rauschquellen, dieselbe grundlegende Herausforderung. Oder vielleicht reflektiert Dekohärenz etwas darüber, wie Superposition bei Skalierung funktioniert, und nicht darüber, wie gut wir isolierende Behälter bauen. Falls Letzteres zutrifft, gibt es eine Wand, an die kein Ingenieursaufwand der Welt heranreicht. Ich neige zur ersteren Erklärung, bin mir aber nicht sicher, ob wir es schon wissen.
Decke 4: Der Berechnungsraum ist kleiner als die Mathematik behauptet
Hier wird der farblose Ball relevant.
Shor’s algorithm setzt voraus, dass ein Qubit in Superposition tatsächlich beide Zustände gleichzeitig erkundet. Zwei verschränkte Qubits erkunden vier Zustände. Drei erkunden acht. Skaliert man das auf Tausende, erhält man einen Berechnungsraum, der so riesig ist, dass er große Zahlen effizient faktorisieren kann—etwas, das klassische Computer nicht leisten können.
Aber was, wenn Superposition durch verborgene Struktur eingeschränkt ist? Was, wenn der farblose Ball weniger Freiheitsgrade hat, als die Mathematik annimmt—nicht null, nicht klassisch, aber weniger als voll quantenmechanisch? Das Standardmodell der Quantenberechnung behandelt Qubits als unterscheidbare Objekte, die einen riesigen Hilbert space besetzen. Wenn sich die Teilchen selbst jedoch der Individuierung widersetzen—wenn „Qubit 7“ und „Qubit 8“ nicht so trennbar sind, wie das Adressierungsschema suggeriert—dann könnte der Berechnungsraum, den sie aufspannen, kleiner sein als mathematisch vorhergesagt. Man würde Algorithmen sehen, die bei kleinen Qubit-Zahlen perfekt funktionieren, aber bei Skalierung abnehmende Erträge liefern. Klassische Simulationen würden länger Schritt halten, als die Quantentheorie vorhersagt.
2024 demonstrierte ein Team am Flatiron Institute genau das. Sie simulierten IBMs 127-Qubit Eagle-Prozessor auf einem Laptop und erzielten dabei genauere Ergebnisse als das Quantengerät selbst. Sie verwendeten Tensor-Netzwerk-Methoden, die Struktur im Quantenzustand ausnutzten—Struktur, die laut dem Standardmodell der Quantenberechnung gar nicht hätte vorhanden sein dürfen.
Die Mainstream-Interpretation: IBMs Schaltkreise nutzten den vollen Berechnungsraum nicht effektiv. Das Gerät war verrauscht, die Algorithmen nicht optimiert, und das Tensor-Netzwerk fand Abkürzungen durch den Teil des Hilbert space, der tatsächlich genutzt wurde. Einverstanden. Aber es gibt eine andere Lesart: Die Struktur, die die klassische Simulation ausnutzte, ist möglicherweise kein Fehler in IBMs Implementierung. Sie könnte ein Merkmal davon sein, wie Quantenberechnung auf dieser Skala tatsächlich funktioniert. Ein Ergebnis beweist keine Decke. Aber es ist ein Datenpunkt, der neugierig machen sollte.
Decke 5: Die Theorie ist unvollständig
Dies ist die ketzerischste Position und die am schwersten zu testende. Die Quantenmechanik, so wie sie formuliert ist, könnte etwas übersehen. Unter den Wahrscheinlichkeitsverteilungen könnte Struktur verborgen sein—nicht die einfachen Hidden Variables, die Bells Theorem ausgeschlossen hat, sondern etwas Subtileres, das Ergebnisse auf eine Weise einschränkt, die der aktuelle Formalismus nicht vorhersagt.
Bells Theorem hat bewiesen, dass keine lokale Hidden-Variable-Theorie Quantenvorhersagen reproduzieren kann. Das ist ein starkes Ergebnis. Aber es schließt weder nichtlokale Struktur noch retrokausale Modelle noch Beschränkungen aus, die erst bei Skalierung auftreten.
Und die Grundlagenforschung produziert weiterhin Überraschungen. Ende 2025 veröffentlichten Blasiak und Markiewicz in npj Quantum Information eine Arbeit, die zeigt, dass Teilchenidentität allein—die schlichte Tatsache, dass Elektronen ununterscheidbar sind—für nahezu alle Quantenzustände Nichtlokalität erzeugt. Keine konstruierte Verschränkung. Keine sorgfältig präparierten Bell-Paare. Einfach nur... identische Teilchen, die existieren. Sie zeigten außerdem, dass das klassische Bell-Test-Framework auf identische Teilchen gar nicht anwendbar ist, weil man sie nicht beschriften und in getrennte Labore schicken kann. Das Standardwerkzeug zum Testen von Nichtlokalität versagt genau dort, wo sich Nichtlokalität als am fundamentalsten herausstellt.
Wenn wir immer noch entdecken, was die grundlegenden Axiome der 1920er Jahre tatsächlich implizieren, erscheint die Zuversicht, sämtliche rechnerischen Konsequenzen der Quantenmechanik bereits kartiert zu haben, verfrüht.
Bei kleinen Qubit-Zahlen würde fehlende Struktur keine Rolle spielen—die Wahrscheinlichkeitsverteilungen sind hinreichend genau. Bei der für kryptografisch relevante Berechnungen erforderlichen Skalierung könnte verborgene Struktur Korrelationen oder Grenzen auferlegen, die den theoretischen Geschwindigkeitsvorteil unrealisierbar machen.
Nicht wegen der Ingenieurskunst. Wegen der Physik.
Einstein hielt die Quantenmechanik für unvollständig. Die letzten 60 Jahre experimenteller Ergebnisse haben gezeigt, dass er beim konkreten Mechanismus, den er vorschlug, falsch lag. Sie haben nicht gezeigt, dass er bei der Unvollständigkeit selbst falsch lag.
Was das für die Kryptografie bedeutet
Die Implikationen ergeben sich direkt daraus, welche Decke die reale ist.
Decke 1–2 bedeutet: Shor’s algorithm verzögert sich, kommt aber letztendlich. Post-Quantum-Migration ist dringend. Jedes Jahr, das Sie warten, ist ein Jahr, in dem verschlüsselter Datenverkehr anfällig für Harvest-now-decrypt-later-Angriffe ist.
Decke 3 bedeutet: Shor’s algorithm könnte für einige Anwendungen kommen, aber nicht für andere—vielleicht für Optimierung und Simulation, aber nicht für die anhaltende Kohärenz, die zum Brechen von 2048-Bit-Schlüsseln erforderlich ist. Migration ist klug, aber der Zeithorizont dehnt sich.
Decke 4–5 bedeutet: Shor’s algorithm im kryptografisch relevanten Maßstab funktioniert möglicherweise nie. Die milliardenschwere Quantencomputer-Industrie würde nach wie vor nützliche Maschinen für andere Probleme hervorbringen, aber die spezifische Bedrohung der Public-Key-Kryptografie wäre ein Fehlalarm.
Die unbequeme Beobachtung: Niemand, der Mittel hat, hat einen Anreiz herauszufinden, welche Decke die reale ist. Die Quantencomputer-Industrie braucht die Bedrohung als echt, um Investitionen zu rechtfertigen. Die Post-Quantum-Kryptografie-Branche braucht sie als echt, um Lösungen zu verkaufen. Nationale Sicherheitsbehörden brauchen die Ambiguität, um Budgets in beide Richtungen zu rechtfertigen. Akademische Forschende brauchen die offene Frage, um weitere Arbeit zu finanzieren.
Ich führe ein Post-Quantum-Migrationsunternehmen. Ich sage Ihnen das trotzdem, denn: Man schließt keine Feuerversicherung ab, weil man sicher ist, dass das Haus brennen wird. Man schließt sie ab, weil man es sich nicht leisten kann, falsch zu liegen.
Die rationale Antwort auf echte Unsicherheit ist nicht, auf eine Decke zu setzen. Es ist Krypto-Agilität—Systeme zu bauen, die kryptografische Primitive austauschen können, ohne architektonische Umwälzungen. Wenn Shor’s algorithm planmäßig eintrifft, sind Sie bereit. Wenn er spät oder nie kommt, haben Sie trotzdem eine Infrastruktur modernisiert, deren Erneuerung längst überfällig war. Die Organisationen, die ihre Migrationstrajektorie heute verfolgen, sichern sich nicht nur gegen Quantenbedrohungen ab. Sie bauen die Fähigkeit auf, auf jede kryptografische Disruption zu reagieren, ob quantenbasiert oder anderer Natur.
Gewissheit ist ein Luxus. Agilität ist eine Strategie.
pqprobe verfolgt die Post-Quantum-Migration über die Zeit. Ein Scan zeigt Ihnen, wo Sie stehen. Ein Trend zeigt Ihnen, ob Sie rechtzeitig fertig werden.
Quellen:
- The Nobel Prize in Physics 2022. NobelPrize.org. Nobel Prize Outreach AB 2022. nobelprize.org/prizes/physics/2022/summary/
- Tindall, J., Fishman, M., Stoudenmire, E.M., Sels, D. “Efficient tensor network simulation of IBM’s Eagle kicked Ising experiment.” PRX Quantum, 2024. DOI: 10.1103/PRXQuantum.5.010308
- Blasiak, P., Markiewicz, M. “Nonlocality of particle identity.” npj Quantum Information, 2025.
- Gidney, C. and Ekerå, M. “How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits.” Quantum, 2021. arXiv:1905.09749