Кривые от brainpoolP160r1 до brainpoolP512r1 (а также скрученные варианты «t1» с a = −3) используют простые числа и коэффициенты, выведенные из цифр π и e, поэтому никто не мог подобрать их со скрытым свойством. Плата за это — скорость: простые числа у них не имеют специального вида. Распространённые OID: 1.3.36.3.3.2.8.1.1.7 (brainpoolP256r1), …1.1.11 (P384r1) и …1.1.13 (P512r1).
Поддержка в протоколах: группы TLS 1.2 с номерами 26, 27 и 28 (RFC 7027); группы TLS 1.3 brainpoolP256r1tls13 (31), 32 и 33 со схемами подписи вроде ecdsa_brainpoolP256r1tls13_sha256 (0x081A) (RFC 8734); ключи OpenPGP (RFC 9580). Браузеры не предлагают их по умолчанию, а WebCrypto их не поддерживает. Они распространены в немецких экосистемах eID и смарт-карт, в электронных паспортах (ePassports) и шлюзах интеллектуальных счётчиков. NIST SP 800-186 (приложение H.1) допускает кривые от brainpoolP224r1 до P512r1 «по соображениям совместимости».
На одном ядре Apple M4 Max OpenSSL 3.6.5 подписывает около 7 800 сообщений в секунду на brainpoolP256r1 против примерно 87 000 на P-256, потому что только для P-256 есть отдельная оптимизированная реализация. Известных слабостей нет; brainpoolP256r1 обеспечивает стойкость около 128 бит.