Alexander Neitzel · geprüft 25.10.2026 · aktualisiert 25.10.2026 · 7 Min. Lesezeit
In Kürze
Eine Digital Signature (digitale Signatur) soll zeigen, ob Daten unbefugt verändert wurden und wer sie signiert hat.
Signiert wird mit einem geheimen Private Key (privater Schlüssel), geprüft mit dem dazugehörigen Public Key (öffentlicher Schlüssel), und die Signatur geht zusammen mit den Daten an die Prüfenden.
Die Verfahren ECDSA, EdDSA und Schnorr-Signaturen nach BIP 340 unterscheiden sich unter anderem darin, wie sie mit der geheimen Zufallszahl je Signatur umgehen.
Bitcoin nutzt traditionell ECDSA und für den mit Taproot hinzugekommenen Ausgabetyp Schnorr-Signaturen; bei Solana liefert jede signierende Partei eine Signatur nach Ed25519.
NiveauAufbauStufe 2 von 3
Baut auf2Hash Function, Public-Key Cryptography
Eine Digital Signature (digitale Signatur) soll zwei Dinge zeigen: ob Daten unbefugt verändert wurden und wer sie signiert hat. Im Folgenden geht es darum, wie Signieren und Prüfen ablaufen, wie sich die Verfahren ECDSA, EdDSA und Schnorr unterscheiden und wo Bitcoin, Ethereum und Solana sie einsetzen.
01Was leistet eine Digital Signature?
Der US-Standard FIPS 186-5 beschreibt eine Digital Signature als Ergebnis einer kryptografischen Umwandlung von Daten, das bei richtiger Umsetzung drei Prüfungen erlaubt: Herkunft, Integrität (Unversehrtheit) der Daten und Non-Repudiation (Nicht-Abstreitbarkeit). Nicht-Abstreitbarkeit heißt: Wer signiert hat, kann die Signatur später nicht ohne Weiteres abstreiten.
Die Ethereum-Dokumentation beschreibt den Nutzen für Transaktionen so: Signaturen helfen zu belegen, dass eine Transaktion wirklich vom Absender signiert wurde, und verhindern Fälschungen.
02Wie laufen Signieren und Prüfen ab?
Signiert wird mit einem Private Key (privater Schlüssel), geprüft mit dem dazugehörigen Public Key (öffentlicher Schlüssel); beide gehören zusammen, sind aber nicht derselbe Schlüssel. Wie ein solches Schlüsselpaar aufgebaut ist, erklärt der Artikel über Public-Key Cryptography.
Grafik 1 · Die zwei Rollen. Der Absender signiert mit dem Private Key, der geheim bleiben muss. Die Prüfenden erhalten Daten und Signatur gemeinsam und prüfen mit dem Public Key.Grafik 1 in Worten
Die Grafik zeigt zwei Parteien. Im Querformat steht der Absender links und stehen die Prüfenden rechts, im Hochformat steht der Absender oben und stehen die Prüfenden unten. Der Absender trägt einen hellen Punkt in einem gestrichelten Ring (geheime Eingabe) mit der Marke „Private Key“: Nur wer diesen Schlüssel besitzt, kann signieren. Die Prüfenden tragen ein goldenes Häkchen (das Ergebnis der Prüfung) mit der Marke „Prüfung“, darunter steht „prüfen mit dem Public Key“: Mit diesem dazugehörigen Schlüssel prüfen sie die Signatur. Zwischen beiden laufen drei Linien mit wandernden Punkten und der Beschriftung „Signatur + Daten“ vom Absender zu den Prüfenden. Sie stehen für die Daten und die Signatur, die gemeinsam übergeben werden. Ein Band zwischen beiden sagt: Der Private Key muss geheim bleiben.
Häufig wird die Nachricht vor dem Signieren mit einer Hash Function (Hashfunktion) verdichtet. Diese verdichtete Fassung heißt Message Digest (Hashwert der Nachricht); sie geht in das Signaturverfahren ein, und daraus entsteht die Signatur. Das gilt nicht für jedes Verfahren: Bei EdDSA in der Grundform geht die Nachricht ohne vorherigen Message Digest in das Signieren und Prüfen ein. Nur die Variante HashEdDSA signiert den Hashwert der Nachricht statt der Nachricht selbst. Eine Hash Function verwendet aber auch die Grundform: Zu den Parametern von EdDSA gehört eine kryptografische Hash Function. Was eine Hash Function leistet, erklärt der Artikel über Hash Functions.
Grafik 2 · Der häufige Ablauf. Die Nachricht wird zu einem Hashwert verdichtet, aus ihm entsteht mit dem Private Key die Signatur. Die Prüfenden erhalten Nachricht und Signatur und prüfen mit dem Public Key. Bei EdDSA in der Grundform entfällt nur der Hashwert vorab: Die Nachricht selbst geht in das Signieren und Prüfen ein.Grafik 2 in Worten
Die Grafik zeigt den häufigen Ablauf in vier Stationen, im Querformat von links nach rechts, im Hochformat von oben nach unten. Station eins ist die Nachricht, also die Daten, die signiert werden; sie geht mit der Signatur an die Prüfenden. Ein Pfeil mit der Beschriftung „hashen“ führt zu Station zwei, dem Hashwert (Message Digest). In dieser Station steht, dass er bei EdDSA in der Grundform nicht vorab gebildet wird. Ein Pfeil mit der Beschriftung „signieren“ führt zu Station drei, der Signatur, die mit dem Private Key entsteht. Ein Pfeil mit der Beschriftung „prüfen“ führt zu Station vier, der Prüfung mit dem Public Key, die gold hervorgehoben ist.
Die Signatur geht zusammen mit den signierten Daten an die Prüfenden; sie ersetzt die Daten nicht. Die Prüfenden prüfen sie mit dem Public Key der Signierenden.
Man kann sich eine Signatur vorstellen wie eine Unterschrift unter einem Vertrag, die vom Inhalt des Vertrags abhängt: Weil sie aus den Daten berechnet wird, soll eine unbefugte Änderung bei der Prüfung auffallen.
03Welche Verfahren gibt es?
ECDSA (Elliptic Curve Digital Signature Algorithm, Signaturverfahren auf elliptischen Kurven) verlangt für jede Signatur eine zufällige geheime Zahl, EdDSA dagegen nicht. EdDSA (Edwards-curve Digital Signature Algorithm) ist im Dokument RFC 8032 der IETF beschrieben. Es ist eine Variante des Signatursystems von Schnorr auf Edwards-Kurven. Für Bitcoin schlägt BIP 340 einen Standard für Schnorr Signatures (Schnorr-Signaturen) auf der Kurve secp256k1 vor.
Merkmal
ECDSA
EdDSA (Ed25519)
Schnorr nach BIP 340
Geheime Zufallszahl je Signatur
nötig, außer bei der deterministischen Variante
nicht nötig, Signaturen sind deterministisch
nicht zwingend; empfohlen wird, Zufall beizumischen, er ist nur ein Zusatzschutz
Länge der Signatur
bei Bitcoin variabel, bis 72 Byte
64 Byte
fest 64 Byte
Batch Verification (Stapelprüfung)
in der standardisierten Form ohne Zusatzdaten kein Vorteil gegenüber der Einzelprüfung
Beschleunigung möglich, braucht dann Zufallszahlen
möglich
Für Fortgeschrittene: Zufallszahl, Determinismus und Hash-Kollisionen
Bei Deterministic ECDSA (deterministisches ECDSA) wird die geheime Zahl aus der Nachricht und dem Private Key abgeleitet, sodass jede Nachricht fest auf eine Signatur abgebildet wird. BIP 340 geht einen eigenen Weg: Beim Signieren sollen frische Zufallsdaten beigemischt werden, das Ergebnis heißt Synthetic Nonce (synthetische Einmalzahl). Laut RFC 8032 brechen Kollisionen der Hash Function das Verfahren EdDSA nicht; das gilt allerdings nur für die Variante PureEdDSA.
Für Fortgeschrittene: Was Schnorr-Signaturen nach BIP 340 anders machen
ECDSA-Signaturen sind von Natur aus veränderbar, die Fachsprache nennt das Malleability (Veränderbarkeit): Dritte können ohne geheimen Schlüssel aus einer gültigen Signatur eine andere machen, die für denselben Schlüssel und dieselbe Nachricht ebenfalls gültig ist. Für Schnorr-Signaturen folgt nach Darstellung von BIP 340 dagegen aus ihrer Sicherheitseigenschaft, dass sie nicht veränderbar sind. Außerdem bieten Schnorr-Signaturen einen einfachen und effizienten Weg, mit dem mehrere Parteien gemeinsam eine Signatur erzeugen, die für die Summe ihrer Public Keys gültig ist. In der allgemeinen Form geht in eine Schnorr-Signatur ein Hashwert ein, der aus einem Punkt R und der Nachricht m berechnet wird. BIP 340 nimmt zusätzlich den Public Key in diesen Hashwert auf; das schützt gegen bestimmte Related-Key Attacks (Angriffe mit verwandten Schlüsseln). Nach Darstellung von BIP 340 bedeutet Sicherheit hier informell: Wer den geheimen Schlüssel nicht kennt, kann auch aus gültigen Signaturen keine weiteren gültigen herstellen.
04Wo setzen Blockchains Signaturen ein?
Das Bitcoin-Whitepaper definiert eine elektronische Münze als Kette digitaler Signaturen. Wer sie weitergibt, signiert einen Hash der vorigen Transaktion und den Public Key des nächsten Besitzers und hängt beides an die Münze an.
Grafik 3 · Ein vereinfachter Ausschnitt der Kette, in der Darstellung des Bitcoin-Whitepapers. Wer die Münze weitergibt, signiert einen Hash der vorigen Transaktion und den Public Key des nächsten Besitzers.Grafik 3 in Worten
Die Grafik zeigt einen vereinfachten Ausschnitt der Kette in der Darstellung des Bitcoin-Whitepapers: drei Transaktionen hintereinander, im Querformat von links nach rechts, im Hochformat von oben nach unten. Transaktion 1 enthält den Public Key von Besitzer 1; was ihr vorausgeht, lässt die Grafik weg. Ein Pfeil mit der Beschriftung „weitergeben“ führt zu Transaktion 2: Sie enthält einen Hash von Transaktion 1 und den Public Key von Besitzer 2, signiert von Besitzer 1. Ein zweiter Pfeil „weitergeben“ führt zu Transaktion 3: Sie enthält einen Hash von Transaktion 2 und den Public Key von Besitzer 3, signiert von Besitzer 2. So entsteht die Kette digitaler Signaturen, als die das Bitcoin-Whitepaper eine elektronische Münze definiert.
Zur Authentifizierung von Transaktionen nutzt Bitcoin traditionell ECDSA auf der Kurve secp256k1, zusammen mit SHA256 als Hash Function. Private Keys sind dort 256 Bit Zufallsdaten. Nach Darstellung der Bitcoin-Entwicklerdokumentation zeigt die Signatur nicht nur, dass der Absender seinen Private Key kontrolliert; sie macht auch die übrigen Teile der Transaktion manipulationssicher. Das gilt für den Standardfall SIGHASH_ALL, bei dem die Signatur alle Eingaben und Ausgaben der Transaktion abdeckt. Mit anderen Signature Hash Types (Signatur-Hash-Typen) können Signierende bewusst zulassen, dass andere ihre Transaktion verändern; SIGHASH_NONE etwa signiert keine der Ausgaben. Mit Taproot (BIP 341) kam ein neuer Ausgabetyp hinzu, dessen Ausgaberegeln unter anderem auf Schnorr-Signaturen beruhen. Eine Taproot-Signatur ist eine 64 Byte lange Schnorr-Signatur nach BIP 340, an die ein Sighash-Byte angehängt wird.
Bei Ethereum braucht man den Private Key, um Nachrichten und Transaktionen zu signieren; heraus kommt eine Signatur. Der Private Key gibt damit laut Dokumentation die Verfügung über die Mittel des Kontos. Das Glossar von ethereum.org nennt ECDSA als das Verfahren, mit dem Ethereum sicherstellt, dass nur die Besitzer ihre Mittel ausgeben können.
Bei Solana liefert jede signierende Partei einer Transaktion eine 64 Byte lange Signatur nach Ed25519.
05Wo liegen die Grenzen einer Signatur?
Nur wer den Private Key besitzt, kann signieren. Entscheidend ist dabei der Besitz: Ein Externally-owned Account (extern gehaltenes Konto) bei Ethereum wird laut Dokumentation von jedem kontrolliert, der die Private Keys hat. Dass die Signierenden tatsächlich Inhaber des Schlüsselpaars sind, lässt sich laut FIPS 186-5 nur sicherstellen, wenn ihre Identität und ihr Public Key miteinander verbunden sind, etwa in einem Zertifikat. Der Private Key muss geheim bleiben, während der Public Key öffentlich bekannt sein darf.
Bei ECDSA kann eine zu schwache geheime Zufallszahl den Private Key offenlegen; davor schützt die deterministische Variante.
Laut NIST ist von den Verfahren in FIPS 186-5 nicht zu erwarten, dass sie Angriffen eines großen Quantencomputers standhalten. RFC 8032 hält fest, dass ein ausreichend großer Quantencomputer Ed25519 und Ed448 brechen könnte. Nach Angaben von NIST in FIPS 186-5 werden Signaturverfahren, die Sicherheit gegen Quantencomputer bieten, in künftigen Veröffentlichungen festgelegt. Im Standard FIPS 204 legt NIST das Signaturverfahren ML-DSA fest; nach Angaben von NIST gilt es als sicher, auch gegen Angreifer, die einen großen Quantencomputer besitzen. Ein weiteres Verfahren, SLH-DSA, legt FIPS 205 fest; es beruht auf SPHINCS+, das im Standardisierungsprozess von NIST für Post-Quantum Cryptography (Post-Quanten-Kryptografie) ausgewählt wurde.
Welche Narrative gerade breit besprochen werden, zeigt der Orbit.
06Häufige Missverständnisse
Verschlüsselt eine Digital Signature die Nachricht?
Nein. Die Signatur wird zusammen mit den signierten Daten übergeben und ersetzt sie nicht. Sie dient laut Standard dazu, unbefugte Änderungen an Daten zu erkennen und die Identität der Signierenden zu prüfen. Dass die Signierenden auch Inhaber des Schlüsselpaars sind, lässt sich laut Standard aber nur sicherstellen, wenn ihre Identität und ihr Public Key miteinander verbunden sind, etwa in einem Zertifikat.
Passt eine Signatur zu jeder beliebigen Nachricht?
Nein. Sie wird aus der Nachricht oder aus deren Hashwert berechnet, und eine unbefugte Änderung an den Daten soll bei der Prüfung auffallen.
Hat Schnorr bei Bitcoin das Verfahren ECDSA ersetzt?
Nicht im Sinne einer Ablösung. Bitcoin hat traditionell ECDSA genutzt. Taproot hat einen neuen Ausgabetyp eingeführt, dessen Signaturen Schnorr-Signaturen sind; er kommt zu den bisherigen hinzu.
