Der Digitale Pass: ein Eintrag, den niemand widerrufen kann

Wie ein Identitätsdokument, das in einem offenen Netz lebt, tatsächlich funktioniert: was es beweist, was es nicht beweist und warum Unwiderruflichkeit ihren Preis hat.

„Eine Identität, die man wegnehmen kann, beglaubigt nicht Sie, sondern den, der sie ausgestellt hat.“

— Koan Nr. 46, Maksim Valentinovich Galatin

Einleitung. Die Nacht, nach der ein Mensch nicht mehr sichtbar war

Die E-Mail kommt um 3:40 Uhr morgens. Betreff: „Ihr Konto wurde gesperrt.“ Darin ein einziger Satz über einen Verstoß gegen die Community-Richtlinien. Welche Richtlinie, welcher Beitrag, welcher Tag — wird nicht gesagt. Der Mensch schläft und erfährt es am Morgen.

Am Morgen öffnet er seine E-Mails — statt Nachrichten derselbe Satz. Er öffnet sein Telefon — die App hat ihn auf den Anmeldebildschirm zurückgeworfen, das Passwort wird akzeptiert, und dann geht es nicht weiter. Fotos, die sich neun Jahre lang von selbst in der Cloud angesammelt haben, öffnen sich nicht. Ein Gespräch mit jemandem, der nicht mehr lebt, öffnet sich ebenfalls nicht.

Er findet das Einspruchsformular. Das Feld für die Begründung fasst ein paar hundert Zeichen, und Dokumente lassen sich nirgends anhängen. Er schreibt, dass er nichts verletzt hat, und schickt es ab.

Die Antwort kommt vier Stunden später: Entscheidung bestätigt. Kein Link zum konkreten Beitrag, kein Name dessen, der es geprüft hat, keine Möglichkeit zu antworten. Nach Zeitpunkt und Wortlaut zu urteilen, wurde der Einspruch von derselben Automatik bearbeitet, die die ursprüngliche Entscheidung getroffen hatte.

Dann beginnt der Teil, an den man im Moment der Sperre nicht denkt. Diese Adresse war das Login für ein Dutzend anderer Orte: den Arbeitschat, die Cloud mit Dokumenten, den Shop mit fünf Jahren Quittungen, das Konto beim Mobilfunkanbieter. Die Schaltfläche „Anmelden mit …“ liefert jetzt einen Fehler. Die persönliche Domain ist auf dieselbe Adresse registriert, und die Verlängerungsmitteilung wird in einem Postfach landen, das sich nicht öffnen lässt. Über Jahre gesammelte Abonnenten sind auf der anderen Seite der Mauer — man kann sie nicht mitnehmen und nicht warnen.

Eine Woche später weiß er immer noch nicht genau, was passiert ist. Nicht weil jemand die Erklärung verweigert hätte. Sondern weil es niemanden gibt, der erklären könnte: Auf der anderen Seite ist kein Mensch.

Diese Szene wurde nicht um der Wirkung willen erfunden. Im Folgenden stehen dokumentierte Fälle, in denen sie sich genau so abgespielt hat, und eine Untersuchung einer Frage: Kann es einen Eintrag über einen Menschen geben, der sich nicht zusammen mit einem Konto abschalten lässt?

Kapitel 1. Jedes Dokument, das Sie besitzen, wurde von jemandem ausgestellt — und kann zurückgenommen werden

Die Gestalt des Problems

Nehmen Sie ein beliebiges Dokument, das Sie ausweist, und stellen Sie eine einzige Frage: Wer hat es ausgestellt?

Es gibt immer eine Antwort. Und dieselbe Antwort sagt Ihnen, wer es Ihnen wegnehmen kann.

Das ist keine Verschwörung und keine Böswilligkeit. Es ist die Architektur. Ein Dokument ist kein Ding, sondern eine Anerkennung: Jemand mit Autorität versichert, dass Sie Sie sind. Solange die Versicherung aufrechterhalten wird, funktioniert das Dokument. In dem Moment, in dem derjenige, der sie abgegeben hat, verstummt oder seine Meinung ändert, wird das Dokument zu einem Bild.

Der Unterschied zwischen einem staatlichen Reisepass und einem Nutzerkonto ist keiner der Natur, sondern der Fristen und des Verfahrens. Ein Reisepass wird nach Gesetz eingezogen, mit genannten Gründen, mit dem Weg zum Gericht. Ein Konto wird nach Dienstregeln geschlossen, die der Dienst selbst geschrieben hat, und Einspruch ist nur beim Dienst selbst möglich.

Es lohnt sich, bei diesem Gedanken innezuhalten, denn er ist kontraintuitiv. Es fühlt sich an, als wäre ein Dokument ein Gegenstand: eine Plastikkarte, ein Blatt Papier mit Stempel, eine Zeile in einem Profil. In Wirklichkeit ist der Gegenstand nur der Träger einer Versicherung. Wert schafft nicht der Träger, sondern die lebendige Verbindung zu dem, der die Versicherung aufrechterhält. Trennen Sie die Verbindung, und was Ihnen in der Hand bleibt, ist ein Ding ohne Inhalt. Genau deshalb wird der Verlust eines Kontos schärfer empfunden als der Verlust eines Gegenstands: Es verschwindet nicht eine Datei, sondern die Bestätigung, dass Sie hinter dieser Datei standen.

Was die Unternehmen selbst sagen

Das ist keine Spekulation: Das Recht, ein Konto zu schließen, steht direkt in den Nutzungsbedingungen, und es steht dort in ruhiger Sprache.

Google behält sich in seinen Nutzungsbedingungen das Recht vor, den Zugang zu sperren oder ein Konto zu löschen, wenn wesentlich oder wiederholt gegen die Bedingungen und Richtlinien verstoßen wird, und ebenso, wenn das Gesetz es verlangt oder das Verhalten eines Nutzers Schaden oder rechtliches Risiko verursacht. Dasselbe Dokument verspricht eine vorherige Benachrichtigung und eine Gelegenheit zur Erklärung — mit einem Vorbehalt: soweit vernünftigerweise möglich, und mit einer Liste von Ausnahmen.

YouTube formuliert es ähnlich: Der Dienst kann den Zugang zu Teilen oder zum gesamten Dienst sperren oder beenden, unter anderem, wenn er annimmt, dass ein Verhalten ein Risiko für Nutzer, Dritte oder das Unternehmen selbst schafft.

Achten Sie darauf, wie die Sätze gebaut sind. Alles dreht sich um das Urteil einer Seite: „wenn wir begründet annehmen“, „soweit vernünftigerweise möglich“. Die andere Seite ist an der Konstruktion nicht beteiligt. Sie erfährt das Ergebnis.

Das ist übrigens kein Vorwurf an Juristen. Anders lässt sich ein solches Dokument nicht schreiben: Ein Dienst muss schnell auf Missbrauch reagieren können, und eine Pflicht, jeden Fall von Hand in einem kontradiktorischen Verfahren zu prüfen, würde die Arbeit unmöglich machen. Das Problem liegt nicht im Text der Vereinbarung, sondern darin, dass ein Nutzer kein zweites Standbein hat — nichts, das weiter funktioniert, wenn das erste weggezogen wird.

Dokumentierte Fälle

Februar 2021, Vereinigte Staaten. Zwei Väter — einer in San Francisco, einer in Houston — fotografierten auf Bitte des medizinischen Personals Entzündungen bei ihren kleinen Kindern, damit der Arzt sie aus der Ferne sehen konnte. Die Bilder synchronisierten sich automatisch in die Cloud. Ein Algorithmus stufte sie als Material sexuellen Kindesmissbrauchs ein. Google meldete die Sache den Strafverfolgungsbehörden, ohne die Väter zu benachrichtigen, und prüfte nicht nur die markierten Bilder, sondern das gesamte Archiv eines der beiden. Die Polizei von San Francisco und die Polizei von Houston ermittelten und fanden nichts: Es war keine Straftat begangen worden. Die Konten wurden danach nicht wiederhergestellt — das Unternehmen lehnte die Wiederherstellung auch dann ab, als der Fehler eindeutig festgestellt war. Die Männer verloren ihre E-Mails, ihre Fotos, ihre Videos und in einem Fall auch ihre Telefonnummer. Über den Fall berichtete Kashmir Hill in der New York Times, und die Bürgerrechtsorganisation EFF analysierte ihn im August 2022.

Wichtig ist hier nicht der Fehler des Algorithmus — Algorithmen irren, das ist zu erwarten. Wichtig ist, dass ein von der Polizei ausgestelltes Dokument der Unschuld innerhalb eines Systems, das die Polizei nicht ausgestellt hat, keinerlei Wirkung hatte. Ein Aussteller erkennt das Papier eines anderen Ausstellers nicht an, wenn er nicht dazu verpflichtet ist.

2025, Meta-Plattformen. Laut Berichten der BBC beschwerten sich weltweit Zehntausende Nutzer über irrtümliche Sperren auf Instagram und Facebook, darunter Vorwürfe der schwersten Verstoßkategorien. Mehr als 500 Menschen wandten sich direkt an die Redaktion und schilderten den Verlust von Fotos, die ihnen wichtig waren, und die Gefährdung ihrer Geschäfte. Eine Petition gegen Massensperren und das Fehlen menschlicher Unterstützung sammelte mehr als 25.000 Unterschriften. Einige Konten wurden wiederhergestellt, nachdem die Redaktion zu konkreten Fällen nachgefragt hatte; in einer Episode entschuldigte sich das Unternehmen für den Fehler.

Der zweite Punkt verdient es, langsam noch einmal gelesen zu werden. Der funktionierende Weg des Einspruchs erwies sich als die Kontaktaufnahme mit einer großen Redaktion. Nicht das Einspruchsformular — ein Journalist. Dieser Weg steht der überwältigenden Mehrheit nicht offen, und er sagt nichts über das Verfahren aus; er sagt, dass es kein Verfahren gibt.

Das Verifizierungsabzeichen. Am 20. April 2023 entfernte Twitter (heute X) die blauen Haken bei allen Konten, die vor dem Eigentümerwechsel verifiziert worden waren. Das Abzeichen wurde zum Kennzeichen eines bezahlten Abonnements — damals acht Dollar im Monat im Web in den Vereinigten Staaten. Der Haken wurde nicht wegen Fehlverhaltens entzogen: Die Regel änderte sich. Das Zeichen mit der Bedeutung „das ist wirklich diese Person“ erwies sich nicht als Eigenschaft der Person, sondern als Dienstleistung der Plattform.

Einstellung von Diensten. Google+ wurde für normale Nutzer am 2. April 2019 geschlossen, danach begann man, die Inhalte von Konten und Seiten zu löschen. Microsoft stellte Skype am 5. Mai 2025 ein; der Zugriff auf Chat- und Anrufverlauf blieb bis Januar 2026 möglich. Niemand hatte gegen Regeln verstoßen. Das Produkt endete einfach, und mit ihm endete der Teil einer Biografie, der nur in ihm lebte.

Domains. Ein Domainname wird nicht für immer gekauft; er wird für eine Laufzeit registriert. ICANN führt einen eigenen Leitfaden für diejenigen, die Gerichtsbeschlüsse und Ersuchen von Strafverfolgungsbehörden zur Beschlagnahme von Domains vorbereiten, und beschreibt darin, welche Daten Registry und Registrar benötigen, um schnell nachzukommen. Eine beschlagnahmte Domain zeigt in der Regel eine Hinweisseite der beteiligten Behörde. All das ist rechtmäßige Mechanik, und es geht nicht darum, ob sie gut oder schlecht ist; es geht darum, dass die Adresse, unter der Menschen Sie finden, nicht Ihnen gehört.

Warum Einsprüche selten helfen

Ein Einspruch wird bei derselben Partei eingereicht, die die Entscheidung getroffen hat. Das ist kein Missbrauch — es folgt aus derselben Architektur: Wenn das Dokument kraft der Anerkennung des Ausstellers existiert, dann entscheidet über Streitigkeiten um das Dokument der Aussteller.

Dann übernimmt die Arithmetik. Entscheidungen trifft eine Automatik, weil sich das Volumen nicht von Hand abarbeiten lässt. Es gibt so viele Einsprüche gegen automatisierte Entscheidungen, wie es Entscheidungen gibt — was bedeutet, dass auch die Einsprüche von einer Automatik bearbeitet werden. Das Ergebnis ist ein geschlossener Kreislauf: Das System prüft sich selbst und bestätigt sich selbst.

Die Regulierer haben es bemerkt. Das europäische Gesetz über digitale Dienste (DSA) verpflichtet Plattformen, Nutzern eine klare Begründung zu geben, wenn Inhalte entfernt, die Sichtbarkeit eingeschränkt, die Monetarisierung entzogen oder ein Konto gesperrt wird — einschließlich der Angabe, ob die Entscheidung automatisiert getroffen wurde, und einer Beschreibung der Rechtsbehelfe. Diese Begründungen werden in einer offenen Transparenzdatenbank der EU gesammelt. Das ist ein echter Fortschritt. Doch sehen Sie, worauf er zielt: Er verbessert das Verfahren beim Aussteller. Die Abhängigkeit vom Aussteller bleibt genau da, wo sie war.

Was genau verloren geht

Es lohnt sich, es schlicht aufzuzählen, denn im Moment einer Sperre wirkt die Liste kürzer, als sie ist:

• Jahre an Korrespondenz, auch mit Menschen, die man nichts mehr fragen kann;
• Fotos und Videos, wenn die einzige Kopie in der Cloud lag;
• Kontakte und die Möglichkeit, die Menschen zu warnen, die Sie lesen;
• der Zugang zu anderen Diensten, bei denen Sie auf „Anmelden mit …“ geklickt haben;
• Zahlungsverlauf, Quittungen, Abonnements, die verknüpfte Telefonnummer;
• Einkommen, wenn Publikum und Aufträge nur dort existierten;
• und das am schwersten zu Benennende: die Bestätigung, dass Sie die ganze Zeit dort waren.

Der letzte Punkt ist keine Poesie. Die Präsenz eines Menschen im Netz ist heute seine Biografie: wo er studiert hat, was er getan hat, mit wem er gesprochen hat, was er mit dreißig dachte. Wenn das durch eine einzige Entscheidung ausgelöscht wird, wird nicht ein Archiv ausgelöscht, sondern die Beweisbarkeit einer Vergangenheit.

Die Frage, für die dieser Artikel geschrieben wurde

Kann es einen Identitätseintrag geben, der nicht von dem abhängt, der ihn ausgestellt hat? Einen Eintrag, der sich nicht zusammen mit einem Konto abschalten, zusammen mit einem Dienst schließen, per Beschluss beschlagnahmen oder bei einer Regeländerung verlieren lässt. Nicht weil der Aussteller freundlich ist und versprochen hat, das nicht zu tun — sondern weil der Aussteller technisch keine solche Möglichkeit hat.

Die Frage stammt nicht von uns. Am 19. Juli 2022 verabschiedete das Konsortium W3C den Standard für Decentralized Identifiers (DID) — Kennungen, die nach der Beschreibung des Konsortiums selbst keine zentrale ausstellende Stelle benötigen und zwischen Dienstanbietern übertragbar sind. Mit anderen Worten: Die Branche hat den Punkt bereits eingeräumt — die Bindung der Identität an einen einzigen Aussteller ist ein Konstruktionsfehler, kein Naturgesetz.

Was folgt, ist die Untersuchung eines Versuchs, diese Frage in der Praxis zu beantworten: was sich so aufzeichnen lässt, dass es alle überdauert, die es aufgezeichnet haben — und, ebenso wichtig, was ein solcher Eintrag nicht kann und nie können wird.

Kapitel 2. Selbstbestimmte Identität in einfacher Sprache

Hinter dem Ausdruck „selbstbestimmte Identität“ (Self-Sovereign Identity, SSI) steht ein Gedanke in einer Zeile: Ein Dokument über einen Menschen sollte dieser Mensch selbst besitzen, nicht nur die Datenbank dessen, der es ausgestellt hat. Alles andere ist eine Folge davon. Um zu sehen, warum das überhaupt eine Frage ist, zerlegen Sie einen beliebigen Akt der Dokumentenprüfung.

Drei Parteien

An jeder Szene mit einem Dokument sind drei Beteiligte beteiligt.

Wer beglaubigt (Aussteller). Eine Universität, eine Bank, ein Ministerium, ein Arbeitgeber. Er versichert etwas über einen Menschen: „hat abgeschlossen“, „Kunde seit 2019“, „berechtigt für Klasse B“.

Wer vorlegt (Inhaber). Der Mensch. Er besitzt das Diplom, die Karte, die Bescheinigung.

Wer prüft (Prüfer). Eine Personalabteilung, ein Vermieter, ein Grenzbeamter, ein Formular auf einer Website.

Das ist keine Metapher. Genau diese drei Rollen sind im W3C Verifiable Credentials Data Model 2.0 festgeschrieben: Der Aussteller formuliert Aussagen und erstellt den Nachweis, der Inhaber besitzt und legt ihn vor, der Prüfer empfängt und verarbeitet ihn.

Das Schema wirkt selbstverständlich — bis zu einer Frage: Worauf beruht eigentlich das Vertrauen des Prüfers?

Warum der Prüfer dem Aussteller vertrauen muss

Die Personalabteilung schaut auf das Diplom. Papier mit Stempel beweist für sich genommen nichts — etwas beweist das, was dahintersteht: das Register der Universität, bei dem man anrufen kann. Echtheitsprüfung ist eine Anfrage an den Eigentümer einer Datenbank. Daraus folgen drei Konsequenzen, die gewöhnlich unbemerkt bleiben.

1. Die Prüfung lebt genau so lange wie der Aussteller. Die Universität schließt, die Bank geht pleite, die Behörde wird umstrukturiert — das Dokument ist noch in Ihrer Hand, und es gibt keinen Ort mehr, an dem es bestätigt werden kann.
2. Der Aussteller sieht jede Prüfung. Wer gefragt hat, wann, unter welchem Vorwand. Das sind Daten über einen Menschen, die dieser Mensch nie jemandem übergeben hat: Sie entstehen durch den Akt der Prüfung selbst.
3. Der Aussteller kann seine Meinung ändern. Widerrufen, sperren, den Registerzugang schließen, die Regeln umschreiben. In diesem Schema hat der Inhaber keinen einzigen Hebel.

Ein fälschungssicherer Vordruck — Wasserzeichen, ein Hologramm — hebt nichts davon auf. Er beweist, dass das Papier auf der richtigen Presse gedruckt wurde, nicht, dass der Eintrag im Register noch existiert.

Was sich ändert, wenn das Dokument in einem offenen Netz lebt

Kryptografie liefert zwei Dinge, für die man zu niemandem gehen muss. Integrität: Ändern Sie ein Zeichen, und die Signatur bricht — nicht „sieht verdächtig aus“, sondern geht rechnerisch nicht auf. Herkunft: Eine Signatur lässt sich gegen genau einen Schlüssel prüfen, nicht gegen einen ähnlichen.

Die Prüfung hört auf, eine Anfrage zu sein, und wird zu einer Berechnung. Der praktische Unterschied:

• der Prüfer fragt den Aussteller nichts — das heißt, der Aussteller erfährt nie, dass eine Prüfung stattgefunden hat;
• ob der Server des Ausstellers läuft, spielt keine Rolle mehr;
• jeder kann die Prüfung selbst wiederholen, ein Jahr später, aus einem anderen Land, ohne Erlaubnis.

Die Verschiebung klingt technisch, aber es geht um Macht. Solange die Prüfung eine Anfrage ist, hält der Eigentümer der Datenbank einen Schalter und ein Protokoll in der Hand: Er kann die Antwort verweigern, und er kann sehen, wer gefragt hat. Wenn die Prüfung eine Berechnung ist, gibt es keinen Schalter, kein Protokoll und niemanden, den man um Erlaubnis fragen müsste.

Unser digitaler Pass ist der einfachste Fall dieses Schemas: Das Dokument wird einmal in das offene Netz Arweave geschrieben und ist von diesem Moment an für jeden ohne unser Zutun lesbar. Wie es im Inneren aufgebaut ist, ist Gegenstand von Kapitel 3; hier zählt nur, dass es zu dieser Klasse von Lösungen gehört und nicht zur Klasse „ein Profil auf einer Website“.

Die Standards: DID und Verifiable Credentials

Die Branche baut das aus zwei Bausteinen — beides offene W3C-Standards.

DID (Decentralized Identifiers) — eine Kennung, die kein Registrar ausstellt. Sie wird zu einem Dokument aufgelöst, das die öffentlichen Schlüssel des Inhabers enthält, und diese Schlüssel prüfen die Signaturen des Inhabers. DID 1.0 wurde im Juli 2022 zur W3C-Empfehlung — gegen förmliche Einwände von Google und Mozilla. Mozilla argumentierte, praktische Interoperabilität sei nicht nachgewiesen und die Spezifikation delegiere alles an ein Register von etwa fünfzig „Methoden“; Google bat darum, mit der Verabschiedung zu warten, bis es mindestens drei ausgereifte Methoden gebe, weil sich der Kern nicht losgelöst von ihnen beurteilen lasse. Die Einwände wurden zurückgewiesen, in der Sache aber nicht beantwortet. Version 1.1 wurde am 5. März 2026 als Candidate Recommendation veröffentlicht und ist mit Stand August 2026 weiterhin Kandidat.

Verifiable Credentials — das Format des Nachweises selbst. Die VC-2.0-Familie wurde am 15. Mai 2025 zur W3C-Empfehlung, als sieben Dokumente auf einmal: das Datenmodell, Data Integrity 1.0, die Kryptosuiten EdDSA und ECDSA, die Absicherung über JOSE/COSE, Controlled Identifiers 1.0 und Bitstring Status List 1.0.

Was das in der Praxis bringt:

• ein gemeinsames Format — ein Prüfer kann einen Nachweis eines unbekannten Ausstellers ohne bilaterale Vereinbarung auslesen;
• selektive Offenlegung — Sie können „über 18“ zeigen, ohne ein Geburtsdatum zu zeigen;
• Widerruf — Bitstring Status List: Der Aussteller veröffentlicht eine Bitmap der Status, und der Prüfer liest das entsprechende Bit.

Und hier liegt der Kern für unser Thema. Der Standard schafft das Vertrauen in den Aussteller nicht ab; er formalisiert es. Die Spezifikation sagt es direkt: Prüfer vertrauen bestimmten Ausstellern in Bezug auf bestimmte Aussagen und wenden ihre eigenen Regeln an. Die Mathematik beweist, dass genau diese Universität die Bescheinigung signiert hat. Ob man der Universität glauben sollte, ist eine Frage jenseits der Mathematik. Und die Statusliste stellt einen Teil der alten Abhängigkeit wieder her: Da der Aussteller den Widerruf pflegt, müssen Sie zum Aussteller zurück.

Unser Pass ist kein Nachweis nach dem VC-Standard — er ist JSON in einem eigenen Schema. Einen Widerruf gibt es darin nicht: Es gibt nichts, womit man widerrufen könnte. Das ist eine bewusste Weggabelung, und Kapitel 4 behandelt sie als Abwägung, nicht als unfertige Funktion.

eIDAS 2.0: die europäische Identitäts-Wallet

Die EU-Verordnung 2024/1183 trat am 20. Mai 2024 in Kraft. Nach ihr ist jeder der 27 Mitgliedstaaten verpflichtet, seinen Bürgern mindestens eine Digital Identity Wallet (EUDI Wallet) bereitzustellen. Die Frist läuft ab den am 28. November 2024 verabschiedeten Durchführungsrechtsakten — was nach gängiger Rechnung den 24. Dezember 2026 als Stichtag ergibt. Der regulierte Privatsektor — Banken, Telekommunikation, Gesundheitswesen, große Plattformen — muss die Wallet etwa ein Jahr später akzeptieren.

Technisch steht die Wallet der SSI-Idee nahe: Die Nachweise liegen auf dem Telefon, und selektive Offenlegung wird unterstützt. Zwei Formate sind verpflichtend — SD-JWT VC und ISO/IEC 18013-5 mdoc (dasselbe, das mobile Führerscheine verwenden); W3C VC 2.0 ist als optionales drittes zugelassen.

Der Unterschied zu unserem Ansatz liegt in der Vertrauenswurzel. Jeder Staat führt eine nationale Vertrauensliste: wer Nachweise ausstellen darf, wer Wallet-Anbieter sein darf. Die Europäische Kommission führt die Liste der Listen (LoTL) und signiert sie. Die Prüfung ist eine Kette: Signatur auf dem Dokument → Aussteller in der nationalen Liste → Liste in der LoTL → Signatur der Kommission.

Der Staat ist nicht verschwunden. Er ist nicht mehr der Ort, an den man eine Anfrage schickt, bleibt aber die Quelle dafür, wem man glauben soll. Für Führerscheine und Steuerbescheinigungen sollte es nicht anders sein — das ist einfach ein anderes Problem als unseres.

Die Bereitschaft ist ungleich: Deutschland kündigte einen Start für den 2. Januar 2027 an — neun Tage nach dem gesetzlichen Datum; die Niederlande signalisierten, dass sie es nicht schaffen werden; Malta rechnet mit einem Start mit teilweiser Funktionalität.

Die Vereinigten Staaten sind einen anderen Weg gegangen, und der Unterschied ist lehrreich. Es gibt kein bundesweites Identitätsdokument und keine einheitliche nationale Wallet. Stattdessen gibt es ein technisches Regelwerk: NIST Special Publication 800-63, Digital Identity Guidelines, deren Revision 4 im Juli 2025 nach einem fast vierjährigen Prozess, zwei öffentlichen Entwürfen und rund sechstausend öffentlichen Kommentaren fertiggestellt wurde. Es ist um drei abgestufte Skalen aufgebaut — Identity Assurance Level (Identitätsnachweis), Authentication Assurance Level (Stärke der Anmeldung) und Federation Assurance Level (wie Zusicherungen zwischen Systemen weitergegeben werden) — verteilt auf drei Bände: 800-63A zu Registrierung und Identitätsnachweis, 800-63B zu Authentifizierung und Verwaltung von Authentifikatoren, 800-63C zu Föderation und Zusicherungen. Revision 4 erweiterte die Anforderungen rund um Betrug beim Identitätsnachweis, fügte Kontrollen gegen Injektionsangriffe und gefälschte Medien wie Deepfakes hinzu, ließ synchronisierbare Authentifikatoren (synchronisierte Passkeys) zu und brachte vom Nutzer kontrollierte Wallets in das Föderationsmodell. Beachten Sie, was das ist und was nicht: eine Richtlinie für Bundesbehörden und die Systeme, in die sich Menschen einloggen, kein Gesetz, das ein Dokument schafft, das jeder akzeptieren muss.

Wo Amerikaner einem digitalen Nachweis tatsächlich begegnen, ist die Ebene der Bundesstaaten, über den mobilen Führerschein. Anfang 2026 stellen etwa einundzwanzig Bundesstaaten plus Puerto Rico einen mDL nach ISO/IEC 18013-5 aus — demselben technischen Standard, den die europäische Wallet für mdoc-Nachweise verwendet —, und einige Bundesstaaten betreiben mobile Ausweis-Apps außerhalb des Standards, die entsprechend an TSA-Kontrollen nicht akzeptiert werden. Das Ergebnis ist ein Flickenteppich: Der Nachweis ist echt, die Kryptografie ist echt, und der Aussteller ist eine Kraftfahrzeugbehörde des Bundesstaates, die genau wie immer sperren oder widerrufen kann. Das Telefon hat den Träger verändert, nicht die Architektur.

Das Vereinigte Königreich liegt irgendwo dazwischen. Sein Vertrauensrahmen für digitale Identität und Attribute, als freiwilliges Branchenprogramm gestartet, wurde durch Teil 2 des Data (Use and Access) Act 2025, der am 19. Juni 2025 die königliche Zustimmung erhielt, auf eine gesetzliche Grundlage gestellt; die Abschnitte 32 bis 44 traten am 1. Dezember 2025 in Kraft. Das Office for Digital Identities and Attributes (OfDIA) führt nun ein öffentliches Register zertifizierter digitaler Prüfdienste — 46 Anbieter mit 64 zertifizierten Diensten, Stand Juli 2026 — zusammen mit einem eigenen Vertrauenszeichen, UK CertifID, und einem Rahmenwerk, dessen Version 1.0 am 9. Juni 2026 veröffentlicht wurde und im September in Kraft treten soll. Daneben läuft GOV.UK Wallet, ein Nachweisspeicher in der App GOV.UK One Login: Als Erstes ging die HM Armed Forces Veteran Card live, der digitale Führerschein folgt im Lauf des Jahres 2026, und der erklärte Plan der Regierung ist, dass bis Ende 2027 alle Dienste eine digitale Alternative zu Papier- oder Kartennachweisen anbieten. Eine gesonderte Ankündigung vom 26. September 2025 sah eine digitale ID vor, die bis zum Ende der Legislaturperiode für Arbeitserlaubnisprüfungen verpflichtend werden soll, vorbehaltlich einer Konsultation.

Stellen Sie diese drei neben eIDAS 2.0, und in jedem von ihnen zeigt sich dieselbe Gestalt. Alle vier machen den Nachweis übertragbar, legen ihn in die Tasche des Inhabers und reduzieren sinnlose Anfragen beim Aussteller. Keiner ändert, wer entscheidet. Eine Kraftfahrzeugbehörde kann einen mDL entziehen; OfDIA kann einen Anbieter aus dem Register streichen; eine nationale Vertrauensliste kann einen Aussteller fallen lassen; und in jedem Fall lässt sich die Kopie des Inhabers nicht mehr prüfen. Das ist das richtige Design für einen Führerschein, und es lohnt sich, das offen zu sagen, statt darüber zu spotten: Ein Führerschein sollte widerrufbar sein, weil das, was er beglaubigt, entzogen werden kann. Die Frage dieses Artikels ist enger — ob sich überhaupt etwas aufzeichnen lässt, das sich anders verhält.

Der Unterschied zwischen all diesen und dem hier beschriebenen Ansatz passt in einen Satz. Bei eIDAS 2.0 und seinen Verwandten tragen Sie das Dokument, und der Staat stellt es aus und widerruft es. Bei einem Eintrag in einem offenen Netz tragen Sie das Dokument, und niemand kann es widerrufen — auch nicht der, der es geschrieben hat.

Wo selbstbestimmte Identität nicht funktioniert

Sie prüft nicht die Person. Kryptografie beantwortet die Frage „ist dieser Eintrag echt und unverändert?“, nicht die Frage „ist dieser Mensch der, für den er sich ausgibt?“. SSI löst die Bindung eines Eintrags an einen lebenden Menschen nicht — die Literatur nennt das das Bindungsproblem, und daneben steht Sybil: Ohne zentrale Registrierung hindert nichts einen Menschen daran, beliebig viele Identitäten anzulegen.

Sie verleiht keine Rechte. Ein Eintrag in einem Netz öffnet keine Grenze, gewährt keinen Kredit, ersetzt keinen Reisepass, keine Lizenz und kein Visum.

Sie schafft Vertrauen nicht ab; sie verlagert es. Dem Aussteller müssen Sie weiterhin glauben. Es verschwindet nur die Abhängigkeit von den Servern und vom guten Willen des Ausstellers.

Unumkehrbarkeit schneidet in beide Richtungen. Was geschrieben ist, lässt sich nicht ändern, löschen oder widerrufen. Das schützt vor willkürlichem Löschen — und es bedeutet, dass ein Tippfehler im Namen für immer bleibt und ein Mensch, der seine Meinung ändert, den Eintrag nicht zurücknehmen kann. Der einzige mögliche Schritt ist, einen neuen zu schreiben und beide stehen zu lassen.

Die Schwachstelle ist der Mensch. Ein verlorener Schlüssel ist von niemandem wiederherstellbar — die Kehrseite der Tatsache, dass ihn niemand wegnehmen kann.

Die Standards sind noch unterwegs. VC 2.0 ist seit Mai 2025 eine Empfehlung; DID 1.1 ist seit März 2026 Kandidat und bleibt es. Eine Infrastruktur, in der ein beliebiger Nachweis von einem beliebigen Prüfer ohne vorherige Absprache geprüft wird, existiert noch nicht.

Drei Arten zu sagen: „Das bin ich“

Die Zeile „wer kann es widerrufen“ ist die, für die dieses ganze Unterfangen begonnen wurde. Und sie ist zugleich der Grund, ein solches Dokument nicht gedankenlos auszustellen.

Kapitel 3. Wie der digitale Pass von CODE Eternal aufgebaut ist

Es ist eine Datei, kein Bild

Die Hälfte der Fragen löst sich auf, sobald das Wichtigste gesagt ist: Der Pass ist eine Textdatei im JSON-Format. Sie können sie im Editor öffnen. Darin gibt es keine Stempel, keine Unterschriften, kein Foto — nur Felder und Werte in gewöhnlichen Zeichen.

Diese Datei wird einmal in das Netz Arweave geschrieben und erhält eine Transaktionsadresse aus 43 Zeichen. Die Adresse funktioniert zugleich als Link und als Prüfsumme: Eine andere Bytefolge würde eine andere Adresse ergeben. Das Dokument lässt sich über jedes Gateway des Netzes öffnen — https://arweave.net/<address> —, und es kommen genau die Bytes zurück, die geschrieben wurden. Nach dem Schreiben lässt sich die Datei weder ändern noch löschen — nicht von der Person, für die sie ausgestellt wurde, und nicht von uns.

Daraus besteht sie:

Im Dokument steht keine E-Mail-Adresse. Das ist wahrscheinlich die wichtigste Entscheidung des gesamten Entwurfs, und sie verdient eine eigene Betrachtung.

Warum ein Fingerabdruck der E-Mail statt der E-Mail selbst

Eine Einwegfunktion ist eine Operation, die sich leicht ausführen und unmöglich umkehren lässt. Ein Beispiel aus dem Haushalt: Rühren Sie eine Dose blaue Farbe in eine Dose gelbe. Eine Sekunde Arbeit, und Sie haben Grün. Nichts auf der Welt trennt es wieder in Blau und Gelb: Die Farbe erinnert sich nicht, woraus sie gemacht ist.

sha256 funktioniert genauso. Es nimmt einen beliebigen Text und liefert 64 Zeichen. Derselbe Text ergibt immer dieselben 64 Zeichen, auf jedem Computer der Welt. Doch von diesen 64 Zeichen führt kein Weg zurück zum ursprünglichen Text — nicht weil es verboten ist, sondern weil es nichts gibt, von dem aus man zurückgehen könnte.

In einem echten Pass sieht das so aus:

378e447d96ee98f8c44ce50c75a9805d68cede0886ccec932a9a4050bee41bc2

Warum wir die E-Mail-Adresse nicht im Klartext schreiben. Das Dokument ist zugleich öffentlich und dauerhaft, und diese Kombination ist gefährlicher als jede Eigenschaft allein. Eine öffentliche Adresse in einem offenen Netz ist eine Adresse, die der erste Adressensammler einsammelt und unter Spam begräbt. Eine Adresse ist außerdem das halbe Login: Kennt man sie, bleibt nur noch, das Passwort zu erraten. Und dauerhaft bedeutet, dass man sie nicht zurücknehmen kann: Für einen solchen Eintrag gibt es keine Löschtaste und wird es nie geben. Ein unumkehrbarer Schritt, und ein Mensch erhält eine lebenslange Zielscheibe.

Der Fingerabdruck löst das Problem anders. Der Inhaber kann jederzeit beweisen, dass der Eintrag ihm gehört: seine E-Mail nehmen, sha256 davon berechnen — ein einzeiliger Befehl, auf jedem Computer verfügbar — und mit dem vergleichen, was im Dokument steht. Übereinstimmung: Der Eintrag gehört ihm. Keine Übereinstimmung: Er gehört jemand anderem.

Hier ist Ehrlichkeit nötig. Ein Fingerabdruck ist keine Anonymität. Er hindert jemanden daran, die Adresse zu lesen, aber nicht daran, eine Vermutung zu prüfen: Wer bereits ahnt, wie die E-Mail eines Menschen lautet, kann sha256 davon berechnen und genauso vergleichen wie der Inhaber. Ungesalzene Hashes von E-Mail-Adressen gelten seit Langem als Pseudonym, nicht als Anonymität — gegen Listen geleakter Adressen werden sie mit einem gewöhnlichen Wörterbuchdurchlauf geknackt.

Was der Fingerabdruck verlässlich leistet: An einen Hash kann man keine E-Mail schreiben. Ein Roboter, der das Netz nach Adressen durchsucht, wird aus unseren Einträgen keine einzige funktionierende herausholen.

Die Dokumentnummer CE-XXXXXXXX

Die Nummer wird nicht vergeben und nirgends gespeichert. Sie wird berechnet: Nehmen Sie die ersten acht Zeichen des Fingerabdrucks, setzen Sie sie in Großbuchstaben, stellen Sie CE- voran.

378e447d96ee98f8...  →  CE-378E447D
6495fb95eae56f47...  →  CE-6495FB95

Beide Nummern lassen sich sofort prüfen: Öffnen Sie einen der beiden Live-Links unten, und das Feld Passport ID enthält genau das.

Die Beständigkeit der Nummer folgt daraus, dass sie abgeleitet und nicht zugewiesen ist. Es gibt keinen Zähler, der abdriften kann. Es gibt keine Zuordnungstabelle, die bei einer Datenbankmigration verloren gehen kann. Es gibt niemanden, der sich merken muss, welche Nummer wem gegeben wurde. Dieselbe E-Mail ergibt denselben Fingerabdruck, der Fingerabdruck ergibt dieselbe Nummer, und das gilt auch in zwanzig Jahren, wenn kein einziger unserer Server und keine unserer Datenbanken mehr existiert: Die Nummer wird aus dem Dokument selbst neu berechnet, von jedem.

Und auch hier ist Ehrlichkeit nötig. Acht hexadezimale Zeichen sind etwa 4,3 Milliarden Kombinationen. Reichlich für eine Nummer, die man am Telefon vorlesen kann, ohne sie mit einer benachbarten zu verwechseln, aber nicht genug, um sie für immer als eindeutig zu betrachten. Die eigentlichen Erkennungsmerkmale sind andere: die 43-stellige Transaktionsadresse und der vollständige 64-stellige Fingerabdruck. Die CE--Nummer ist für Menschen; diese beiden sind für die Prüfung.

Warum sich der Eintrag nicht ändern lässt

Eine gewöhnliche Website speichert Daten, solange jemand für das Hosting bezahlt. Hört man auf zu zahlen, sind die Daten weg. Arweave ist umgekehrt gebaut: Sie zahlen einmal, im Moment des Schreibens.

Diese einmalige Zahlung wird aufgeteilt. Ein kleiner Teil geht an diejenigen, die die Datei gerade annehmen, der Rest fließt in einen gemeinsamen Speicherfonds. Der Grundpreis wird als 200 Jahre Speicherung zu heutigen Festplattenpreisen berechnet, und der Fonds lebt von seinem Ertrag. Da Speicher über Jahrzehnte billiger wird, steigt die Kaufkraft des Fonds, und der Horizont dehnt sich über den berechneten hinaus. Wie robust diese Konstruktion ist und was geschieht, wenn die Annahme nicht aufgeht, wird in Kapitel 4 untersucht — die Risiken werden dort benannt.

Darüber hinaus übernimmt das Design des Netzes selbst. Die Datei landet in einem Block, der Block wird bestätigt, Kopien verbreiten sich über die Knoten. Eine Operation „ändern“ gibt es im Protokoll schlicht nicht — es gibt nur „schreiben“. Sie können ein neues Dokument schreiben, aber das alte bleibt, wo es ist, und beide bleiben sichtbar. Gesondert erwähnenswert ist, wie die Blöcke verknüpft sind: Jeder neue Block verweist nicht nur auf den vorigen, sondern auch auf einen zufällig gewählten alten, sodass das nachträgliche Austauschen eines einzigen Eintrags die gesamte Konstruktion bricht und nicht nur ein Glied.

Für unser Beispiel sieht das so aus. Die Antwort des Netzes für die Transaktionsadresse mGLT…:

block_height: 1975726
number_of_confirmations: 130

Das Erste ist die Nummer des Blocks, in dem der Eintrag gelandet ist. Das Zweite ist, wie viele Blöcke das Netz seitdem darübergestapelt hat; diese Zahl steigt von selbst und sinkt nie.

Die andere Seite davon wird ehrlich gesagt: Auch wir haben keine Löschtaste. Ein Tippfehler im Manifest bleibt ein Tippfehler. Ein Text, den ein Mensch in einem Jahr bereuen wird, bleibt ein Text. Das ist der Preis der Unwiderruflichkeit, und ihn zahlt der, der das Dokument ausstellt.

Was ein Außenstehender sieht und was nicht

Gesondert: Der Eintrag ist als CODE-Eternal-Pass gekennzeichnet, sodass er sich im Netz auch ohne Kenntnis der Adresse finden lässt — über die allgemeine Auflistung solcher Einträge. „Öffentlich“ bedeutet hier öffentlich im Ernst, ohne Einschränkungen. Wer nicht möchte, dass sein Name und sein Manifest für immer offen daliegen, sollte das Dokument nicht ausstellen. Es wird niemanden geben, den man bitten kann, diese Entscheidung rückgängig zu machen.

Wie Sie prüfen, ohne uns zu vertrauen

Die Prüfung ist so angelegt, dass unsere Beteiligung daran unnötig ist.

Schritt eins. Öffnen Sie https://arweave.net/<address> — Sie sehen dasselbe JSON. Nicht unsere Seite mit unserer Gestaltung, sondern die Ausgangsdatei.

Schritt zwei. Öffnen Sie dieselbe Adresse über ein anderes Gateway. Es gibt Hunderte von Gateways, sie gehören verschiedenen Menschen in verschiedenen Ländern, und keines davon ist unseres. Der Inhalt muss Zeichen für Zeichen übereinstimmen: Die Transaktionsadresse in Arweave ist der Fingerabdruck der Daten selbst, und eine untergeschobene Datei wird unter ihr schlicht nicht ausgeliefert.

Schritt drei. Gleichen Sie das Datum ab. Das Dokument enthält ein Feld mit dem Ausstellungsdatum, und das Netz meldet gesondert, in welchem Block der Eintrag gelandet ist. Das Datum im Dokument ist das, was wir geschrieben haben; die Blocknummer ist das, was das Netz festgehalten hat. Hätten wir das Dokument rückdatiert, wäre die Abweichung für alle sichtbar.

Schritt vier. Wenn Sie Ihr eigenes Dokument prüfen, berechnen Sie sha256 Ihrer E-Mail und vergleichen Sie es mit dem Fingerabdruck.

Nach diesen vier Schritten hängt nichts mehr von uns ab. Wir können Ihnen nicht das eine und jemand anderem das andere zeigen: Es gibt eine Datei, und sie ist nicht in unserer Hand.

Wozu überhaupt eine Anzeigeseite nötig ist

Das Dokument lässt sich ohne Website problemlos lesen — aber es liest sich als Datei. Zeilen mit geschweiften Klammern und englischen Feldnamen ergeben für Entwickler Sinn und für fast niemanden sonst. Das einem Menschen zu überreichen, ist, als würde man ihm einen Datenbankausdruck statt eines Passes geben.

Deshalb haben wir eine Seite unter /passport/<address>. Sie holt die Datei aus dem Netz und zeichnet daraus ein Dokument: einen holografischen Streifen, ein geprägtes Siegel, einen Fotorahmen, eine VERIFIED-Markierung, die Dokumentfelder, ein Fingerabdruckmuster, eine maschinenlesbare Zone unten und einen QR-Code. Der QR-Code zeigt auf genau diese Seite — es ist ein „Prüf mich“-Code, kein „Schick mir Geld“-Code.

Wichtig ist, was die Seite nicht ist. Sie speichert nichts. Jedes Mal fordert sie das Dokument neu von den Gateways des Netzes an — und wenn das erste nicht antwortet, geht sie zum zweiten und dritten, damit der Ausfall eines anderen nicht wie „diesen Pass gibt es nicht“ aussieht. Die Seite kann das Dokument physisch nicht verändern: Sie ist ein Leser, kein Eigentümer. Würden morgen alle unsere Websites verschwinden, bliebe das Dokument, wo es ist, und wäre unter seiner Transaktionsadresse weiterhin lesbar — nur ohne Rahmen und Siegel.

Das Handle ist für immer gebunden

Ein gewöhnlicher Dienst gibt einen Namen nach dem Löschen eines Kontos wieder frei: Der Platz ist leer, der Nächste soll ihn nehmen. Für uns geht das nicht.

Das Handle steht im Dokument, das Dokument liegt in einer Blockchain und lässt sich daraus nicht entfernen. Einen frei gewordenen Namen einem neuen Menschen zu geben, hieße, in einem dauerhaften Eintrag zwei verschiedene Menschen unter einem Namen zu schaffen — und in zehn Jahren könnte niemand mehr herausfinden, wer wer war.

Deshalb verschwindet der Name beim Löschen eines Kontos nicht mit, sondern wandert in eine eigene Liste gesperrter Namen — und bleibt vergeben. Die Verfügbarkeitsprüfung bei der Wahl eines Handles schaut auch in diese Liste. Der Mensch ist fort, seine Daten sind gelöscht, und der Name bleibt seiner.

Was Sie unter den Live-Links sehen

Maksim Galatins Pass — ein Dokument mit der Nummer CE-378E447D, Ausstellungsdatum 2026-08-08, Stufe Digital DNA, Handle @maksimgalatin, Links zu Telegram, X und einer Website. Darunter ein Block „About“, das Manifest „CODE KOAN“ und eine maschinenlesbare Zone mit zwei Zeilen: SUBJECT (der Fingerabdruck) und TX (die Transaktionsadresse).

Fils Pass — Nummer CE-6495FB95, Handle @fizikfil, dasselbe Datum. Hier sehen Sie, wie das Dokument mit leer gelassenen Feldern aussieht: An Stelle von Beschreibung und Manifest steht eine „Schriftrolle der Erinnerung“, und an Stelle eines Stufennamens die Worte Eternal Member.

Beide Adressen öffnen sich identisch auf codeofdigitaleternity.com, aifa.digital und aifa.works. Und wenn Sie die Transaktionsadresse an https://arweave.net/ anhängen, sehen Sie die Primärquelle — die Datei, aus der beide Dokumente gezeichnet werden:

https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM

Kapitel 4. Grenzen: was dieses Dokument nicht leistet

Bei einem Dokument ist es nützlicher zu wissen, was es Ihnen nicht gibt, als was es gibt. Bei einem digitalen Pass gilt das besonders: Er sieht aus wie ein Ausweisdokument — ein förmliches Layout, ein geprägtes Siegel, eine VERIFIED-Markierung, eine maschinenlesbare Zone unten. Das Aussehen zieht Erwartungen nach sich, die das Dokument nicht tragen wird. Deshalb die Grenzen, direkt gesagt, ohne Abschwächung.

Er ist nicht staatlich und von niemandem rechtlich anerkannt

Kein Staat, keine Behörde, keine Bank und keine Universität ist verpflichtet, ihn anzusehen, und keine wird es tun. Er ersetzt keinen Reisepass, keinen Führerschein, kein Visum, kein Diplom und keine Geburtsurkunde. Er bringt Sie über keine Grenze, eröffnet kein Konto, registriert keine Ehe und verschafft Ihnen keine Arbeit.

Anerkennung verleiht einem Dokument das Gesetz, nicht ein Eintrag in einem Netz. Staaten bauen ihre digitalen Nachweise genau auf diesem Weg — wie bei eIDAS 2.0, besprochen in Kapitel 2: Hinter einem solchen Dokument steht eine Pflicht, es zu akzeptieren; hinter unserem stehen nur die Mathematik und die Verfügbarkeit des Eintrags.

Er beglaubigt nicht, dass Sie Sie sind

Hier liegt das Hauptmissverständnis, und es lohnt sich, es langsam durchzugehen.

„Identität beglaubigen“ bedeutet, dass jemand mit Autorität die Person und ihre Dokumente geprüft hat und mit seiner eigenen Haftung für das Ergebnis einsteht: Das ist tatsächlich diese Person. Das tun wir nicht — weder bei der Ausstellung noch danach.

„Das Bestehen eines Eintrags festhalten“ bedeutet etwas anderes: Zu dem und dem Datum wurde ein Dokument in das Netz geschrieben, in dem das Handle so und so lautet, der Fingerabdruck so und so, die Felder so und so. Überprüfbar ist, dass der Eintrag existiert und sich seitdem nicht verändert hat. Nicht überprüfbar ist, dass dahinter der Mensch steht, dessen Name im Feld „Name“ steht.

Zwischen diese beiden lässt sich kein Gleichheitszeichen setzen. Das Dokument bezeugt Zeit, nicht Identität. Es beantwortet die Frage „was wurde geschrieben, und wann“, nicht die Frage „wer ist das“.

Zum Fingerabdruck im Besonderen. Wie in Kapitel 3 dargelegt, verbirgt er die Adresse vor einem flüchtigen Blick, macht den Eintrag aber nicht anonym. Regulierer lesen Hashing genau so — als Pseudonymisierung, nicht als Anonymisierung, wobei gehashte Daten personenbezogene Daten bleiben. Der Fingerabdruck schützt vor zufälligem Lesen, nicht aber vor jemandem, der Ihre E-Mail bereits kennt und eine Vermutung bestätigen will.

Zum Vergleich: Im ausgereiften Modell W3C Verifiable Credentials 2.0 sind Widerruf und Aussetzung in das Design eingebaut — dafür gibt es eine eigene Spezifikation, Bitstring Status List v1.0. Wir haben konstruktionsbedingt keinen Widerruf. Das ist eine Abwägung, keine unfertige Funktion.

Der Eintrag lässt sich nicht widerrufen, und das wirkt in beide Richtungen

Ein Mensch ändert seine Meinung: verlässt das Projekt, ändert seinen Namen, zerstreitet sich mit einem Manifest, das er vor drei Jahren geschrieben hat.

Was wir tun können: das Dokument aus der Anzeige auf unseren eigenen Websites entfernen, es vom Konto lösen, beim Ausstellen eines neuen Eintrags helfen, der besagt, dass der vorige die Person nicht mehr widerspiegelt.

Was wir nicht tun können: den Eintrag aus dem Netz löschen, ein einziges Zeichen darin ändern oder ihn widerrufen. Nicht auf Bitte der Person, nicht aus eigener Entscheidung, nicht auf irgendjemandes Verlangen. Den Schlüssel, der das rückgängig machen würde, hat niemand in der Hand.

Das Recht auf Löschung prallt hier frontal auf die Unveränderlichkeit. Artikel 17 der DSGVO gibt einem Menschen das Recht, die Löschung zu verlangen — etwa wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, oder wenn die Einwilligung widerrufen wurde. Das Recht ist nicht absolut: Absatz drei desselben Artikels nennt Ausnahmen — Meinungs- und Informationsfreiheit, Erfüllung einer rechtlichen Verpflichtung, Archivierung im öffentlichen Interesse und wissenschaftliche Forschung, Geltendmachung oder Verteidigung von Rechtsansprüchen. Doch auf dieser Liste steht kein Punkt „für uns technisch unbequem“.

Wie Regulierer mit dem Konflikt umgehen:

• CNIL (Frankreich), Leitlinien von 2018: personenbezogene Daten außerhalb der Kette halten, auf der Kette nur pseudonyme Kennungen oder Hashes ablegen und die Löschung durch Vernichtung des Schlüssels oder der Verknüpfung außerhalb der Kette vorsehen — dann ist der Eintrag nicht mehr lesbar.
• EDSA (Europäischer Datenschutzausschuss), Leitlinien 02/2025: verabschiedet im April 2025, Version 2.0 am 7. Juli 2026. Die Position ist strenger: personenbezogene Daten überhaupt nicht in eine Kette schreiben, weder im Klartext noch verschlüsselt noch gehasht; die Löschung schon bei der Wahl der Technologie durchdenken, nicht erst, wenn ein Antrag eingeht.

Was das für uns bedeutet, ohne Selbstrechtfertigung. Die E-Mail gelangt nicht in die Kette — genau das ist die empfohlene Anordnung. Aber Handle, Name und Fingerabdruck sind in der Kette, und nach der Lesart der Regulierer ist auch ein Hash personenbezogen. Die ehrliche Einordnung lautet daher: Ein digitaler Pass ist eine Veröffentlichung, keine Zeile in einer Datenbank. Die nächste Entsprechung ist nicht ein Eintrag in einem Kundenbereich, sondern ein Buch, das in Druck ging und sich in Bibliotheken verteilt hat. Auflagen werden nicht zurückgerufen. Deshalb wird das Dokument als gesonderter, bewusster Akt ausgestellt und nicht automatisch bei der Registrierung.

Ein Fehler in den Daten bleibt für immer

Ein Tippfehler im Namen, ein falsches Datum, ein Link zu einem Konto, das Sie in einem Jahr aufgeben, ein Manifest, um drei Uhr morgens geschrieben — all das erstarrt in der Form, in der es ins Netz geht. Es lässt sich nicht korrigieren. Ein neues Dokument kann ausgestellt werden, und dann leben beide Versionen nebeneinander: die alte mit dem Fehler und die neue ohne.

Die Tarifstufe ist ebenfalls ein Feld des Dokuments und hält den Moment der Ausstellung fest. Wechseln Sie von Spark zu Digital DNA, und der frühere Eintrag trägt für immer die frühere Stufe.

Es gibt eine Schlussfolgerung: Lesen Sie jedes Feld vor dem Ausstellen laut vor. Name, Handle, Beschreibung, Manifest, jeden Link. Das ist die einzige Minute, in der sich noch etwas ändern lässt.

Der Verlust des Kontozugangs hebt nichts auf

Passwort vergessen, E-Mail verloren, Konto gelöscht — nichts davon berührt das Dokument. Es liegt bereits außerhalb unserer Kontrolle, und die Wiedererlangung des Kontozugangs verleiht keine Macht darüber: Es neu auszustellen, zu bearbeiten oder zu verbergen, ist auch nach der Anmeldung unmöglich.

Das Handle bleibt auch nach dem Löschen des Kontos an die Person gebunden. Das ist zugleich ein Schutz und eine Einschränkung — wir können den Namen nicht für jemand anderen „freigeben“, selbst wenn Sie darum bitten.

Plattformkonten folgen der umgekehrten Logik, und es lohnt sich, sie zum Kontrast daneben zu halten: Google etwa prüft für ein deaktiviertes Konto höchstens zwei Einsprüche, danach bleibt es deaktiviert und wird samt allen Inhalten gelöscht. So lässt sich unser Dokument nicht wegnehmen — aber ebenso wenig können Sie das Recht zurückgewinnen, es zu ändern.

Was geschieht, wenn Arweave selbst verschwindet

Die Speicherung dort beruht nicht auf einem Versprechen, sondern auf der in Kapitel 3 beschriebenen wirtschaftlichen Konstruktion: einmal zahlen, der kleinere Teil deckt grob die ersten 200 Jahre, der größere Teil fließt in einen Fonds. Darunter liegt die Annahme, dass die Kosten der Datenspeicherung um mindestens 0,5 % pro Jahr sinken; historisch sind sie über ein halbes Jahrhundert um ein Vielfaches schneller gesunken, sodass ein großer Puffer eingebaut ist.

Doch das ist eine Wette, kein Gesetz der Physik. Die Risiken, ehrlich:

• die Annahme immer billigerer Speicherung kann sich als falsch erweisen, und der Fonds kann schlecht angelegt werden;
• der Fonds ist im Token des Netzes bemessen, dessen Kurs schwankt: Eine Summe, die heute mehr als ausreicht, kann in einem Jahr nur noch einen Bruchteil davon wert sein;
• Miner sind nicht verpflichtet, alles zu speichern: Jeder hat seine eigene Inhaltsrichtlinie, und das Überleben einer bestimmten Datei hängt von der Zahl der Kopien und vom wirtschaftlichen Anreiz ab, sie zu behalten;
• der Zugriff auf Daten läuft über Gateways, und arweave.net war historisch der einzige solche Punkt — genau deshalb entstand das Netz unabhängiger Gateways ar.io.

Daher der praktische Punkt. Das Wort „für immer“ bedeutet „solange die Wirtschaftlichkeit des Netzes trägt“, nicht „unter allen Umständen“. Das Dokument ist eine kleine JSON-Datei: Laden Sie sie herunter und bewahren Sie selbst eine Kopie auf. Sollte das Netz eines Tages nicht mehr existieren, gehört der Inhalt immer noch Ihnen — doch mit dem Netz verschwindet das, wofür alles gedacht war: die unabhängige Bestätigung, dass der Eintrag zu jenem Zeitpunkt gemacht wurde und sich seitdem nicht verändert hat.

Warum wir ein solches Dokument dennoch für nützlich halten

Weil es eine Eigenschaft hat, die ein Konto in sozialen Medien nicht hat, die ein Plattformprofil nicht hat und die eine Seite auf Ihrer eigenen Domain nicht hat: Es lässt sich nicht annullieren. Nicht von uns, nicht von einem Moderator, nicht vom Eigentümer einer Plattform, nicht von dem, der diese Plattform morgen kauft. Alles oben Aufgezählte ist der Preis dieser Eigenschaft, und es lohnt sich, ihn mit offenen Augen zu zahlen.

Das Dokument sagt nicht: „Dieser Mensch ist, wer er zu sein behauptet.“ Es sagt: „Ein Handle wie dieses, mit einem Fingerabdruck wie diesem und einem Manifest wie diesem, existierte am achten August 2026“ — und es wird das sagen, solange das Netz lesbar ist, unabhängig davon, was aus uns, aus den Websites oder aus dem Menschen wird.

Kapitel 5. Wofür er tatsächlich gut ist

Der Pass hat fünf Anwendungen, die heute funktionieren, und eine klare Grenze, jenseits derer er nutzlos ist. Wir gehen beides durch — beginnend mit der umstrittensten.

Nachweis der Priorität

Das Szenario. Sie haben eine Formulierung erdacht: einen Produktnamen, einen Absatz eines Manifests, ein Schema, wie ein Dienst funktioniert. Ein halbes Jahr später taucht etwas fast Identisches bei jemand anderem auf, und Sie müssen Ihre Sache im Nachhinein beweisen. Screenshots taugen nicht — ihr Datum stammt von Ihrem eigenen Computer.

Ein Arweave-Eintrag entscheidet diesen Streit teilweise. Die Transaktion landet in einem Block, der Block hat eine Zeit, und nichts lässt sich rückwirkend hineinschreiben — wie die Blöcke verkettet sind, behandelt Kapitel 3. Von diesem Moment an hat der Text ein Datum, für das Ihr Laptop nicht verantwortlich ist.

Wie sich das von einem Notar unterscheidet. Ein Notar kann genau dasselbe tun: In Russland etwa sichert ein Notar nach den Artikeln 102 und 103 der Grundlagen der Notargesetzgebung Beweise, unter anderem durch die Besichtigung einer Webseite und die Feststellung, was zu einem bestimmten Zeitpunkt darauf stand; eine solche Feststellung ist für die Vorlage vor Gericht nicht befristet. Es gibt eine technische Fassung derselben Idee — Zeitstempel nach RFC 3161: Eine Zertifizierungsstelle signiert den Hash Ihrer Datei mit ihrem Schlüssel.

Gerichte behandeln solche Einträge an verschiedenen Orten unterschiedlich. In China erlaubte das Oberste Volksgericht im September 2018 den Internetgerichten von Hangzhou, Peking und Guangzhou, Beweise anzunehmen, die durch Blockchain, Hashes und Zeitstempel authentifiziert sind. In der Europäischen Union führte die Verordnung 2024/1183 den Begriff des qualifizierten elektronischen Registers ein: Einträge darin genießen eine Vermutung der Integrität und der korrekten chronologischen Reihenfolge. Unser Eintrag fällt nicht unter diese Definition — ein solches Register wird von einem akkreditierten Anbieter geführt, nicht von einem öffentlichen Netz.

Und hier ist die Grenze. Der Eintrag beweist genau eines: Dieses Dokument mit diesen Feldern existierte spätestens zu diesem Zeitpunkt. Er beweist nicht, dass Sie der Urheber sind, dass Sie der Erste auf der Welt waren oder dass Sie nicht bei jemand anderem abgeschrieben haben. Jemand könnte dasselbe früher erdacht und nicht veröffentlicht haben — darüber sagt der Pass nichts. Ihre Rechte bestehen unterdessen auch ohne den Eintrag: Nach der Berner Übereinkunft (182 Vertragsstaaten) entsteht das Urheberrecht im Moment der Schaffung eines Werks, ohne Registrierung oder Formalitäten. Der Eintrag schafft keine Rechte. Er hilft beim Datum — und bei nichts anderem.

Eine Visitenkarte, die Plattformwechsel überdauert

Das Szenario. Sie geben jemandem einen Link zu sich — in einem Lebenslauf, in einer E-Mail-Signatur, auf einer Visitenkarte, in einem Vortrag. Drei Jahre später führt der Link ins Leere.

Das ist kein Pessimismus, das ist gemessen. Im Mai 2024 stellte das Pew Research Center fest, dass ein Viertel der Seiten, die zwischen 2013 und 2023 existierten, bis Oktober 2023 bereits nicht mehr erreichbar war, und dass 38 % der Seiten von 2013 verschwunden waren. Meist lebt die Website, und die konkrete Seite wurde entfernt. Auch ganze Plattformen verschwinden: Vine wurde im Januar 2017 eingestellt und sein Archiv bis 2019 abgeschaltet; das private Google+ wurde samt allen Profilen am 2. April 2019 gelöscht; und seit dem 1. Dezember 2023 löscht Google persönliche Konten, in die zwei Jahre lang niemand eingeloggt war — samt Mail, Drive und Fotos.

Die Adresse eines Passes hängt von keiner dieser Entscheidungen ab. Sie gehört weder einer Plattform noch uns: Solange das Netz Arweave existiert, liefert jedes Gateway das Dokument unter diesen 43 Zeichen aus.

Eine ehrliche Einschränkung: Auch die Felder des Dokuments sind eingefroren. Ändern Sie Ihr Telegram, behält der Pass das alte Handle. Deshalb ist es sinnvoller, in das Website-Feld eine Domain einzutragen, die Sie kontrollieren: Eine Domain lässt sich umleiten, das Profil eines anderen nicht.

Bestätigung für Nachkommen

Das Szenario. Das Jahr 2090. Ein Urenkel kennt Ihren Namen und ein paar Geschichten. Die Konten sind längst verschwunden, die Foto-Cloud wurde mit dem Unternehmen geschlossen.

Was von Ihnen bleibt, sind 43 Zeichen. Damit öffnet der Nachkomme das Dokument und sieht, wie Sie sich selbst beschrieben haben: Name, Handle, ein kurzer Text über sich, ein Manifest, ein Datum. Keine Nacherzählung, nicht die Bescheinigung eines anderen — Ihre eigenen Worte.

Damit das funktioniert, muss die Adresse auf menschliche Weise weitergegeben werden: in ein Testament geschrieben, zusammen mit den Dokumenten ausgedruckt, auf die Rückseite eines Fotos geschrieben, eingraviert. Sie passt in eine Zeile und erfordert kein Passwort — darum geht es.

Und hier kommt die Grenze. Das Dokument bestätigt nicht, dass das Geschriebene wahr ist. Es bestätigt, dass ein Mensch mit diesem Handle und diesem Fingerabdruck an diesem Datum existierte und dies über sich geschrieben hat. Dem Genre nach steht es einem Tagebucheintrag näher als einer Archivbescheinigung — aber einem Tagebucheintrag mit verlässlichem Datum.

Wiederherstellung nach dem Verlust von Konten

Das Szenario. Telegram wurde gekapert, X hat ohne Erklärung eine Sperre verhängt, und die E-Mail, an die alles gebunden war, ist unerreichbar. Sie legen neue Konten an, und die erste Frage jedes Bekannten lautet: „Bist das wirklich du?“

Der Pass dient als Sammelpunkt. In das neue Profil setzen Sie einen Link auf die Adresse des Eintrags; der Eintrag zeigt, welche Handles Ihnen gehörten und seit welchem Datum. Wer Sie vorher kannte, vergleicht das eine mit dem anderen: dieselben Kontakte, dasselbe Manifest, ein Datum vor dem Vorfall. Ein Betrüger müsste einen Eintrag mit demselben Datum vorweisen, und den hat er nicht.

Ehrlich zu den Grenzen: Ein Pass stellt kein Konto wieder her, beeinflusst die Entscheidung einer Plattform nicht und verhindert nicht, dass jemand anderswo ein ähnliches Handle registriert. Er ist ein Argument für Menschen, kein Schlüssel zu einer Tür.

Für eine Gemeinschaft

Das Szenario. Eine Gruppe von Mitautoren, eine Gilde in einem Spiel, der Kreis der Beteiligten eines Projekts. Sie müssen die Mitgliedschaft so zeigen, dass sie sich prüfen lässt, ohne über den Organisator zu gehen.

Eine Liste von Adressen löst das Problem: Jedes Mitglied ist ein Link, und wer will, kann die Dokumente direkt aus dem Netz lesen. Niemand pflegt das Register, das heißt, es gibt niemanden, der es verlieren, nach Laune bearbeiten oder zusammen mit einer Website schließen könnte. Geht der Organisator, bleibt die Liste in allen Händen.

Ein ehrlicher Vergleich: Der in Kapitel 2 besprochene Standard dezentraler Kennungen löst ein anderes Problem — er hat Schlüssel, Authentifizierung und Schlüsselrotation. Unser Pass enthält keine Schlüssel, und er meldet Sie nirgends an. Er ist eine Anzeige, kein Passierschein.

Wo er nicht hilft

Wir prüfen nicht, ob ein Mensch ist, wer er zu sein behauptet. Wir halten eine Tatsache fest: Ein Handle wie dieses, mit einem Fingerabdruck wie diesem, existierte an einem solchen Datum. Der Rest ist die Auslegung des Lesers.

Wie Sie Ihren eigenen ausstellen

Ein aktiver Tarif ist erforderlich — ab 15 $. Die Ausstellung ist in jedem Tarif möglich: Spark (15 $) — ein digitaler Pass, Family Archive (100 $) — bis zu zehn pro Konto, Digital DNA (1000 $) — bis zu hundert. Die Stufe wird als eigenes Feld in das Dokument geschrieben.

Schritt 1. Füllen Sie den Entwurf aus in Ihrem Kundenbereich, auf dem Reiter „Pass“. Die Felder und ihre Grenzen:

Den Entwurf können Sie beliebig oft bearbeiten. Bis Sie auf „Ausstellen“ drücken, ist nichts ins Netz gegangen.

Schritt 2. Prüfen Sie vor dem Ausstellen. Die Liste ist kurz, aber es lohnt sich, sie ganz durchzugehen:

• das Handle — lesen Sie es Buchstabe für Buchstabe: Es bleibt für immer bei Ihnen und wird auch nach dem Löschen Ihres Kontos niemand anderem gegeben;
• der Name — in der Schreibweise, in der Sie bleiben möchten;
• das Manifest — lesen Sie es laut; der Text wird Sie überdauern, und der Tippfehler auch;
• die Links — öffnen Sie jeden und vergewissern Sie sich, dass er funktioniert und Ihnen gehört;
• das Foto — eines, das Ihnen in zwanzig Jahren nicht peinlich ist;
• die E-Mail — der Fingerabdruck wird genau aus dieser berechnet; sie gelangt nicht ins Dokument, aber die Bindung erfolgt an sie.

Schritt 3. Drücken Sie „Ausstellen“. Die Website fragt noch einmal: „Der Pass wird dauerhaft in die Arweave-Blockchain geschrieben. Die Daten können nicht geändert werden. Fortfahren?“ Das ist der einzige Punkt ohne Rückkehr.

Schritt 4. Speichern Sie die Adresse. Nach dem Schreiben erhalten Sie diese 43 Zeichen. Prüfen Sie das Dokument auf zwei Wegen: über die Seite /passport/<address> auf einer unserer Websites und direkt unter https://arweave.net/<address> — der zweite ist wichtiger, weil er zeigt, dass der Eintrag ohne uns lebt.

Die Schaltfläche „Ausstellen“ wird nach dem ersten Drücken dauerhaft inaktiv. Einen zweiten Pass auf demselben Konto wird es nicht geben: Das System liefert Ihre bestehende Adresse zurück, statt eine neue zu erzeugen. Ein Fehler in einem Feld lässt sich nicht korrigieren — weder von uns noch von Ihnen. Deshalb dauert Schritt 2 fünf Minuten, nicht dreißig Sekunden.

Kapitel 6. Fragen und Antworten

Hier die Dinge, nach denen am häufigsten gefragt wird.

Worin unterscheidet sich das von einem NFT?

Ein NFT ist ein Eintrag über Eigentum: Es wird verkauft, verschenkt und zusammen mit einer Wallet verloren. Bei den meisten NFTs liegen die Daten selbst nicht in der Blockchain, sondern hinter einem Link — die Kette hält einen Zeiger, und wenn der Server auf der anderen Seite stirbt, bleibt vom Token nur eine Hülle. Der Pass ist anders gebaut: Das ganze Dokument geht ins Netz, und Eigentum daran gibt es nicht — es gibt die Tatsache einer Veröffentlichung. Er lässt sich nicht kaufen und nicht an eine andere Adresse übertragen. Ein Marktplatz kann eine Sammlung auf seiner eigenen Website verbergen; das Dokument hat überhaupt keinen Marktplatz.

Aber das ist doch nur eine JSON-Datei im Internet. Wo liegt der Wert?

Der Wert liegt nicht in der Datei, sondern darin, dass niemand sie nachträglich umschreiben oder entfernen wird. Eine gewöhnliche Datei lebt, solange jemand für das Hosting zahlt und es sich nicht anders überlegt hat; die in Kapitel 5 zitierten Messungen von Pew Research zeigen, was das über zehn Jahre bedeutet. Hier zahlen Sie einmal, und danach hängt das Dokument weder von unserer Domain noch von irgendjemandes Laune ab.

Was hindert jemanden daran, einen Pass auf den Namen eines anderen auszustellen?

Nichts. Jeder kann ein Dokument mit beliebigem Namen in Arweave schreiben, ohne uns — das Netz ist offen, das ist seine Natur. Deshalb ist der Eintrag für sich genommen kein Identitätsnachweis, und wir nennen ihn auch nicht so. Was unsere Ausstellung hinzufügt: die Adresse der ausstellenden Website im Dokument, den Fingerabdruck einer bei der Registrierung bestätigten E-Mail und ein Datum. Geprüft wird nicht „dieser Mensch ist Max Mustermann“, sondern „an diesem Datum hatte dieses Handle diesen Fingerabdruck, und wir haben den Eintrag erstellt“. Das Handle eines anderen lässt sich innerhalb unseres Systems nicht aneignen — es ist für immer gebunden; der Name eines anderen lässt sich in einen fremden Eintrag schreiben, und die Technik wird das nicht verhindern.

Lässt sich der Pass selbst fälschen?

Ein veröffentlichtes Dokument lässt sich nicht ändern: Unter der Transaktionsadresse liegt genau das, was geschrieben wurde. Fälschen lässt sich etwas anderes — eine nachgemachte Seite, auf die man alles Mögliche zeichnet, Siegel und VERIFIED-Markierung inklusive. Deshalb sollte die Prüfung an der Adresse erfolgen, nicht an einer hübschen Seite: https://arweave.net/<address> zeigt das Ausgangsdokument. Die Seite /passport/ ist nur Darstellung.

Was, wenn ich meinen Pass löschen möchte?

Das wird nicht gehen. Nicht über den Support, nicht über ein Gericht, nicht über den Architekten — einen Löschmechanismus gibt es für niemanden. Sie können ein neues Dokument ausstellen und das vorige als veraltet betrachten, aber das vorige bleibt lesbar. Das sollten Sie vor dem Ausstellen verstehen: In ein Manifest gehört sinnvollerweise nur, womit Sie lange leben können.

Was, wenn Ihr Projekt eingestellt wird?

Das Dokument überdauert das Projekt. Die Seiten /passport/ verschwinden mit den Websites, und der Eintrag bleibt unter seiner Transaktionsadresse. Prüfen Sie es gleich jetzt, ohne uns zu besuchen: https://arweave.net/mGLTBEbJM01kbau_sgSLboLzNmZOWwWflbdZiBXUCNM — reines JSON, und unsere Server sind nirgends in der Kette. Das ist der einzige Teil des Systems, der nicht davon abhängt, ob es uns noch gibt.

Was, wenn Arweave nicht mehr existiert?

Dann geht das Dokument mit — das ist die ehrliche Antwort. Die Wirtschaftlichkeit des Netzes und seine Schwachstellen werden in Kapitel 4 untersucht; kurz gesagt ist es eine Wette auf die fortgesetzte Verbilligung von Speicher, keine Garantie. Es ist einfach eine längere Wette als Hosting mit monatlicher Rechnung. Die vernünftige Absicherung: Laden Sie Ihr JSON herunter und bewahren Sie eine Kopie auf.

Warum ein Fingerabdruck der E-Mail statt der E-Mail selbst?

Weil eine offene Adresse in einem dauerhaften Eintrag ein Geschenk an Spammer ohne Rückrufrecht ist. Der Fingerabdruck (sha256) löst ein Problem: Ein Mensch, der seine eigene E-Mail kennt, berechnet den Hash und überzeugt sich, dass das Dokument ihm gehört. Aus dem Fingerabdruck lässt sich die E-Mail durch Rückrechnung nicht gewinnen.

Heißt der Fingerabdruck also, dass man mich nicht finden kann?

Man kann Sie finden, wenn jemand weiß, wonach er suchen muss. Ungesalzenes sha256 ist deterministisch: eine vermutete Adresse nehmen, den Hash berechnen, vergleichen. Wer Ihre E-Mail bereits hat oder eine Liste von Adressen, kann prüfen, ob Ihre unter den Pässen ist. Genau deshalb stufen Regulierer gehashte E-Mails als personenbezogene und nicht als anonyme Daten ein. Der Fingerabdruck schützt vor zufälligem Adressensammeln, nicht aber vor einer gezielten Prüfung — etwas anderes zu behaupten, wäre eine Lüge.

Kann ich mehrere Pässe ausstellen?

Wie viele Pässe Sie ausstellen können, hängt von Ihrem Tarif ab: 15 $ — ein digitaler Pass, 100 $ — bis zu zehn pro Konto, 1000 $ — bis zu hundert. Ein neues Dokument können Sie auch später ins Netz schreiben — jeder Eintrag ist separat, mit eigenem Datum, und frühere werden nicht annulliert. Der Sinn einer Neuausstellung ist, eine Beschreibung, ein Manifest oder Links zu aktualisieren: Das neue Dokument wird aktuell, die alten bleiben Geschichte. Die Kehrseite: Es sammelt sich eine öffentliche Chronik der Änderungen an, und eine unglückliche Fassung lässt sich daraus nicht tilgen.

Was sehen Außenstehende?

Genau das, was Sie ausgefüllt haben: Name, Handle, Beschreibung, Manifest, Links, Tarifstufe, Ausstellungsdatum, Adresse der ausstellenden Website und Fingerabdruck. Im Dokument steht keine E-Mail. Gespräche mit AIfa haben mit dem Pass nichts zu tun — dieses Gedächtnis ist gesondert verschlüsselt und gelangt nicht hinein. Das ist eine öffentliche Seite, kein privater Kundenbereich.

Wozu der Aufwand, wenn ich einfach in sozialen Medien posten könnte?

Ein Beitrag lebt, solange es der Plattform passt. Der in Kapitel 1 geschilderte Fall des Vaters in San Francisco handelt genau davon: Der Mann hatte nichts verletzt, ein Algorithmus traf die Entscheidung, und mit dem Konto gingen seine E-Mails, Jahre an Fotos und seine Telefonnummer. Ein Pass schützt Ihr Konto nicht und bringt keine Fotos zurück; das liegt schlicht in niemandes Macht. Ein Arweave-Eintrag hat keinen Moderator, bei dem man sich beschweren könnte — und niemanden, der ihn entfernen kann.

Wird er irgendwo anerkannt?

Nein. Er ist kein staatliches Dokument: Er ersetzt keinen Reisepass, keine Lizenz und kein Visum, er gewährt zu nichts Zugang und hat keine Rechtskraft. Anerkannte Systeme sind anders gebaut — dort steht ein Staat hinter der Identität, und die Pflicht, das Dokument zu akzeptieren, ist im Gesetz festgeschrieben. Unsere Aufgabe ist kleiner: die Tatsache festzuhalten, dass ein Mensch und seine Worte an einem bestimmten Datum existierten.

Worin unterscheidet sich das von W3C DID und Verifiable Credentials?

Diese Systeme haben durchdacht, was uns fehlt: selektive Offenlegung von Feldern, Prüfung der Signatur des Ausstellers und vor allem den Widerruf — Bitstring Status List bietet einen Standardweg, einen Nachweis als widerrufen zu kennzeichnen. In ausgereiften Systemen gilt der Widerruf als Pflichtfunktion, und wir haben ihn nicht, bewusst. Es sind verschiedene Instrumente: Ein Nachweis beantwortet die Frage „ist das gerade jetzt gültig“, unser Dokument beantwortet „war das damals so“.

Was passiert, wenn ich mein Handle oder meine E-Mail ändere?

Das alte Dokument ändert sich nicht: Es trägt für immer das alte Handle und den alten Fingerabdruck. Ein neuer Eintrag hält die neuen Daten und ein neues Datum fest; die Verbindung zwischen ihnen ist aus der Chronik der Ausstellungen ersichtlich, nicht in das Dokument eingebaut. Das Handle wird nicht freigegeben: Auch nach dem Löschen eines Kontos geht es an niemand anderen.

Kann man einen Pass vererben?

Es gibt nichts zu übergeben: Er ist kein Eigentum und kein Schlüssel, und er lässt sich nicht auf jemand anderen überschreiben. Vererbt wird die Möglichkeit, ihn zu zeigen. Eine 43-stellige Transaktionsadresse passt in ein Testament, auf ein Blatt Papier, in ein Familienarchiv; in fünfzig Jahren braucht ein Erbe weder unsere Websites noch irgendjemandes Erlaubnis — nur die Adresse und ein beliebiges Gateway.

Wie lange lebt er?

So lange, wie das Netz lebt. Die Speicherung wird mit einer Berechnung von mindestens zweihundert Jahren im Voraus bezahlt, doch zweihundert Jahre werde ich nicht versprechen: Kein Speichermedium und keine Organisation hat eine solche Spanne in der Praxis nachgewiesen. Der vernünftige Vergleich ist nicht der mit der Ewigkeit, sondern mit den Nachbarn: Eine Domain wird jährlich verlängert, ein Konto beruht auf der Entscheidung eines anderen.

Wozu brauche ich das, wenn ich es niemandem zeigen will?

Möglicherweise brauchen Sie es nicht. Es ist sinnvoll, wenn Ihnen wichtig ist, dass das, was Sie gesagt haben, nicht von der Entscheidung eines anderen abhängt: ein Datum unter einer Idee, ein Manifest, die Tatsache „ich war hier und habe das gedacht“. Ansonsten beschleunigt ein Pass Ihre Arbeit nicht, bringt Ihnen keine Rabatte und schaltet keine Bereiche einer Website frei.

Schluss

Ein Dokument, das niemand widerrufen kann, lässt sich leicht für einen Machtanspruch halten. Das ist es nicht. Widerruf ist immer das Recht von jemandem zu sagen „Sie stehen nicht mehr auf der Liste“: das einer Plattform, einer Behörde, eines Algorithmus. Ein Arweave-Eintrag verleiht Macht über niemanden: Er öffnet keine Türen und verpflichtet niemanden zu irgendetwas. Er tut eines — er nimmt die Tatsache Ihrer Existenz unter der Entscheidung eines anderen hervor.

Der Preis ist symmetrisch. Niemand kann Ihren Eintrag löschen — und Sie auch nicht. Niemand wird Ihr Manifest umschreiben — und Sie auch nicht. Alles, was in Kapitel 4 als Einschränkung beschrieben ist, ist keine Liste von Mängeln, sondern die Kehrseite der einzigen nützlichen Eigenschaft.

Wenn Sie sich trotzdem entschieden haben — drei Schritte.

1. Der Entwurf. Name, Handle, Beschreibung, Manifest, Links zu Telegram, X und einer Website. All das geht vollständig und für immer in den Eintrag. Die Tarifstufe wird so festgehalten, wie sie im Moment der Ausstellung war. Ein bezahlter Tarif ist erforderlich: ab 15 $ — ein digitaler Pass, 100 $ — bis zu zehn pro Konto, 1000 $ — bis zu hundert.
2. Lautes Vorlesen. Lesen Sie jedes Feld Buchstabe für Buchstabe, öffnen Sie jeden Link. Das ist die letzte Minute, in der sich noch etwas ändern lässt.
3. Ausstellung. Speichern Sie die Transaktionsadresse: Diese 43 Zeichen sind Ihr Dokument. Prüfen Sie es zweimal — auf der Seite /passport/<address> und direkt im Netz unter https://arweave.net/<address>. Der zweite Weg ist wichtiger: Er funktioniert ohne uns.

Und um zu sehen, wie das fertig aussieht, öffnen Sie die beiden lebenden Dokumente: Maksim Galatins Pass und Fils Pass. Beide sind ohne unsere Websites lesbar — unter der Transaktionsadresse, aus dem offenen Netz, für jeden, jederzeit.