Ein Teil der Kryptografie-Geschichte wirkt nach einer neuen Analyse weniger verdächtig, als viele jahrelang angenommen haben. In einer im Oktober 2026 bekannt gewordenen Untersuchung mit Claude, dem KI-Modell von Anthropic, wurde die Herkunft der Seeds rekonstruiert, aus denen die NIST-P-Kurven für ECDSA abgeleitet wurden. Das Ergebnis ist technisch unspektakulär und sicherheitspolitisch relevant: Die Seeds stammen demnach aus dem C-Bibliotheks-Pseudozufallszahlengenerator lrand48, initialisiert mit Unix-Timestamps zwischen Mai 1997 und April 1998.
Damit verliert eine alte Theorie an Gewicht: dass die Parameter der NIST-Kurven absichtlich so gewählt wurden, dass die NSA eine Hintertür besitzt. Für P-192, P-224, P-256, P-384 und P-521 lässt sich nach dieser Darstellung eine einfache Entstehungskette nachvollziehen. Für P-256, die am weitesten verbreitete dieser Kurven, waren der Analyse zufolge 1842 Iterationen des Generators nötig, um den standardisierten Seed zu erzeugen.
Vom Seed-Rätsel zum Migrationsrisiko
Die Grafik zeigt, warum die berichtete Rekonstruktion den Backdoor-Verdacht reduziert, aber die operative ECDSA-Migration nicht ersetzt.
Für Betreiber ist das aber kein Entwarnungssignal im größeren Sinn. Es klärt einen Verdacht über die Vergangenheit. Es ändert nicht die Angriffsfläche heutiger Systeme, und es verschiebt auch nicht das Ablaufdatum, das ECDSA durch Quantencomputing bekommen hat.
Was Claude rekonstruiert haben soll
ECDSA ist ein Verfahren für digitale Signaturen. Es wird in vielen sicherheitskritischen Bereichen eingesetzt: bei Web-Traffic, Finanztransaktionen, Software-Updates und Blockchain-Anwendungen. Die Sicherheit hängt nicht nur vom Algorithmus ab, sondern auch von den verwendeten Kurvenparametern. Genau diese Parameter waren bei den NIST-P-Kurven lange ein Vertrauensproblem.
Bei der Standardisierung um das Jahr 2000 wurden Seeds veröffentlicht, aus denen die Kurvenparameter abgeleitet wurden. Die Herkunft dieser Seeds blieb jedoch unzureichend erklärt. In der Kryptografie ist das kein Schönheitsfehler. Wer Parameter auswählt, kann unter bestimmten Umständen Spielräume haben. Und wenn dieser Auswahlprozess nicht nachvollziehbar ist, entsteht ein Vertrauensproblem, selbst wenn kein konkreter Angriff bekannt ist.
Die neue Analyse nennt nun eine einfache Erklärung: Die Seeds lassen sich auf lrand48 zurückführen, einen damals üblichen Pseudozufallszahlengenerator aus der C-Welt. Als Startwerte dienten demnach Unix-Zeitstempel aus einem Zeitraum zwischen Mai 1997 und April 1998. Das passt eher zu einer alltäglichen Entwicklungsroutine als zu einer ausgefeilten Manipulation.
Warum das den Backdoor-Verdacht entschärft
Der entscheidende Punkt ist Reproduzierbarkeit. Eine absichtliche Hintertür in solchen Kurven würde voraussetzen, dass die Parameter so gewählt werden, dass jemand einen geheimen Vorteil behält. Die jetzt berichtete Methode lässt dafür nach bekanntem Stand wenig Raum: ein Standardgenerator, ein enger Zeitbereich, eine nachvollziehbare Suche.
Das ist kein nachträglicher Freispruch für jeden Aspekt des damaligen Standardisierungsprozesses. Die Kritik an der Undurchsichtigkeit bleibt berechtigt. Auch die Auswahl bestimmter Kandidatenkurven ist damit nicht automatisch vollständig erklärt. Aber die konkrete Behauptung, die Seeds seien bewusst als Tarnung für eine NSA-Hintertür konstruiert worden, wird deutlich schwächer.
Für die Sicherheitsbewertung ist diese Unterscheidung wichtig. Ein ungeklärter Ursprung ist ein Risiko für Vertrauen. Ein nachträglich rekonstruierbarer Ursprung reduziert dieses Risiko. Er macht aus ECDSA aber kein Verfahren ohne Migrationsbedarf.
Die Angriffsfläche verschwindet nicht
Die praktische Angriffsfläche liegt heute an anderer Stelle. ECDSA ist breit verbaut, oft tief in Protokollen, Zertifikatsketten, Wallets, Hardware, Firmware und internen Authentifizierungsdiensten. Genau diese Verbreitung macht jede spätere Umstellung schwierig. Kryptografie ist selten ein einzelnes Modul, das man austauscht. Sie steckt in Bibliotheken, Standards, Geräten, Abhängigkeiten und langfristig gültigen Signaturen.
Dazu kommt die bekannte Quantenbedrohung. Nach NIST-Planungen sollen quantenverwundbare Verfahren wie ECDSA ab 2030 als veraltet gelten und ab 2035 für betroffene Einsatzzwecke nicht mehr zugelassen sein. Diese Planung basiert nicht auf Claudes Fund, sondern auf der grundsätzlichen Verwundbarkeit heutiger asymmetrischer Verfahren gegenüber ausreichend leistungsfähigen Quantencomputern.
Der neue Faktor ist weniger ein sofortiger KI-Angriff auf ECDSA als die Beschleunigung kryptografischer Analyse. Es gibt nach den vorliegenden Informationen keine öffentlich verifizierte, praktische KI-gestützte Schwächung von ECDSA. Trotzdem ist die Beobachtung relevant: Ein KI-Modell konnte ein lange offenes Parameter-Rätsel systematisch auflösen. Das ist für Verteidiger nützlich. Es zeigt aber auch, dass Suchräume, alte Annahmen und historische Artefakte schneller durchleuchtet werden können als früher.
Vitalik Buterin hat in diesem Zusammenhang auf ein Risiko für Blockchain-Systeme hingewiesen: Wenn KI mathematische Durchbrüche beschleunigt, könnten Sicherheitsannahmen früher unter Druck geraten als geplant. Das ist keine Aussage, dass ECDSA bereits gebrochen wäre. Es ist ein Hinweis auf Zeitpläne, die in sicherheitskritischen Systemen oft zu optimistisch sind.
Was Betreiber jetzt prüfen sollten
Die unmittelbare Gegenmaßnahme ist nicht Panik, sondern Inventur. Organisationen müssen wissen, wo ECDSA eingesetzt wird: in TLS-Zertifikaten, Signaturdiensten, Code-Signing, Geräteidentitäten, Blockchain-Infrastruktur, internen PKI-Systemen und Archivsignaturen. Ohne diese Übersicht wird jede Post-Quanten-Migration später zur Notoperation.
Der zweite Punkt ist Krypto-Agilität. Systeme sollten nicht so gebaut sein, dass ein Signaturalgorithmus fest verdrahtet ist. Austauschbare Algorithmen, klare Abstraktionsschichten und getestete Migrationspfade sind wichtiger als die Frage, ob ein einzelner Standard heute noch als ausreichend gilt.
Drittens müssen Betreiber zwischen Vertraulichkeit und Signaturintegrität unterscheiden. Bei ECDSA geht es um Signaturen, also um Identität, Authentizität und Transaktionsfreigaben. In Blockchains kann ein Bruch von Signaturalgorithmen andere Folgen haben als in klassischen Websystemen. Bei Software-Updates kann er Lieferketten treffen. Bei langlebigen Geräten kann er Wartungsfenster sprengen.
Die Auflösung des Seed-Rätsels sollte deshalb nicht als Grund dienen, Migrationen aufzuschieben. Sie entfernt einen speziellen Verdacht, nicht das strukturelle Problem: Ein weit verbreiteter Algorithmus nähert sich einem geplanten Auslaufdatum, während die Werkzeuge zur Analyse kryptografischer Systeme besser werden.
Die nüchterne Konsequenz
Die Claude-Analyse ist für die Kryptografie-Gemeinschaft ein Gewinn an Transparenz, sofern sich die Rekonstruktion hält. Sie legt nahe, dass die NIST-P-Kurven wahrscheinlich nicht aus einem geheimen Manipulationsprozess stammen, sondern aus einer damals gewöhnlichen technischen Routine. Das ist besser als der alte Verdacht.
Für Sicherheitsverantwortliche ist die wichtigere Lehre jedoch operativ: Vertrauen in die Herkunft ersetzt keine Migrationsplanung. Wer ECDSA heute einsetzt, muss nicht wegen einer bestätigten Hintertür handeln. Er muss handeln, weil Kryptografie altert, weil Standards auslaufen und weil Quanten- und KI-Fortschritte die Reservezeiten verkürzen können.
Der Backdoor-Verdacht wird kleiner. Die Arbeit wird dadurch nicht weniger.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
