David Chaum

Stellen wir uns eine Journalistin vor, die vertrauliche Informationen erhält. Verschlüsselung verbirgt den Inhalt, doch ein Beobachter kann weiterhin erkennen, wer mit wem kommuniziert. Diesen Unterschied behandelt Chaums Vorschlag von 1981. Nachrichten passieren einen Computer namens Mix, der eine äußere Verschlüsselungsschicht entfernt und sie in anderer Reihenfolge ausgibt. Die Empfänger entschlüsseln anschließend den inneren Teil. Das Ziel ist also auch, die Zuordnung eines bestimmten Absenders zu einem bestimmten Empfänger zu erschweren. [1]

Geht bei einem Vermittler nur eine Nachricht ein und sofort wieder hinaus, lässt sich ihr Weg leicht erschließen. Das Verfahren von 1981 verarbeitet deshalb Stapel gleich großer Nachrichten. Der Mix muss außerdem Wiederholungen zurückweisen: Sonst könnte ein Angreifer dieselbe Nachricht mehrfach einspeisen und am Ausgang nach dem passenden Muster suchen. Reihenfolge und äußere Gestalt zu verändern, gehört somit zu einem bestimmten Verfahren. Ein weiterer Computer auf dem Übertragungsweg bietet allein noch nicht denselben Schutz. [1]

Chaum beschrieb 1981 auch eine Kette von Mixen. Die Nachricht trägt mehrere Verschlüsselungsschichten, die die einzelnen Knoten nacheinander entfernen. Im beschriebenen Modell kann schon ein nicht kompromittierter Mix die Zuordnung zwischen Ein- und Ausgängen der gesamten Kette verbergen. Diese Aussage setzt jedoch sichere Verschlüsselung und eine korrekte Ausführung des Protokolls voraus. Sie garantiert keine Anonymität in jedem realen Netz. Ein gehacktes Telefon unserer Journalistin bliebe beispielsweise ein Problem, selbst wenn die Übertragung korrekt funktioniert. [1]

Bei Zahlungen stellt sich eine ähnliche Frage: Lassen sich Geldzeichen prüfen, ohne jeden Einkauf mit einer Auszahlung zu verknüpfen? In seinem Artikel von 1985 erklärt Chaum Blind Signatures, also Signaturen auf einer verdeckten Nachricht. Der Nutzer erstellt einen digitalen Geldschein, blendet ihn mathematisch und lässt diese Form von der Bank signieren, die den entsprechenden Betrag vom Konto abbucht. Danach entfernt er die Blendung; die Signatur auf dem ursprünglichen Schein bleibt gültig. Der Schein ist überprüfbar, doch die Signatur allein verrät der Bank nicht, aus welcher Auszahlung der später vorgelegte Schein stammt. [2]

Digitale Dateien lassen sich kopieren. Bezahlt Peter mit einem Geldschein und bietet ihn anschließend erneut an, wirkt die Signatur auf beiden Kopien gültig. In der 1985 beschriebenen Onlinevariante führt die Bank deshalb eine Liste bereits angenommener Scheinnummern und weist Wiederverwendungen zurück. Der Empfänger benötigt diese Prüfung zusätzlich zur Signaturprüfung. Die Signatur beantwortet, wer den Schein ausgegeben hat. Die andere Kontrolle stellt fest, ob er schon eingelöst wurde. Das sind unterschiedliche Fragen. [2]

Dieses Zahlungsmodell behält einen Herausgeber. Die Bank signiert die Geldscheine und soll sie einlösen; Schutz vor Nachverfolgung garantiert noch nicht, dass sie ihre Verpflichtung erfüllt. Bitcoin behandelt einen anderen Teil des Problems: Ein Netzwerk prüft die Geschichte der BTC-Übertragungen nach gemeinsamen Regeln und mit Proof of Work, einem rechnerischen Arbeitsnachweis, ohne zentralen Scheinaussteller. Ein blind signierter Token ist daher nicht automatisch BTC. Zahlungsprivatsphäre und die Abhängigkeit von der Leistung eines Anbieters sollten getrennt bewertet werden. [3] [2]

Chaums Text von 1985 geht über Zahlungen hinaus. Er behandelt auch Nachweise von Eigenschaften oder Berechtigungen unter verschiedenen Pseudonymen, ohne dass Organisationen sämtliche Datensätze leicht verbinden können. Denken wir an einen Mitgliederrabatt: Das Geschäft muss die Berechtigung prüfen, aber nicht unbedingt alle bisherigen Besuche kennen. Ein solcher Nachweis heißt Credential. Das Verfahren schafft weder Prüfungen noch Nutzungsregeln ab. Es soll den Nachweis einer benötigten Tatsache von Informationen trennen, die für den Vorgang unnötig sind. [2]

Der Betrieb eines Systems kann ein starkes mathematisches Verfahren schwächen. Chaum wies 1985 darauf hin, dass unmittelbare gegenläufige Kontostandsänderungen Konten verknüpfen könnten, selbst wenn die Signatur keinen Zusammenhang verrät. In unserem Beispiel könnte Peter außerdem seinen Namen für die Lieferung angeben. Zeitpunkte, Konten und Angaben gegenüber Händlern gehören deshalb ebenso zur Analyse wie Signaturen. Zu Chaums Beitrag gehört diese Frage: Welche Informationen benötigt ein Dienst wirklich, und welche sammelt er nur, weil sein System so gestaltet wurde? [2]