Stellen Sie sich vor, Sie beweisen etwas, ohne es zu zeigen. Genau das leistet ein Zero-Knowledge-Proof. Er belegt, dass Sie eine Information kennen. Und zwar ohne die Information selbst preiszugeben. Zunächst klingt das wie ein Widerspruch. Doch dahinter steckt saubere Kryptografie. Deshalb gewinnt das Verfahren gerade für datenschutzbewusste Betriebe an Bedeutung.
Dieser Beitrag erklärt den Zero-Knowledge-Proof verständlich. Zunächst mit einem Alltagsbeispiel. Danach mit den drei Eigenschaften, auf denen er beruht. Zum Schluss geht es um den Nutzen für ein KMU. Also darum, wie Sie weniger sensible Daten übertragen und trotzdem alles nachweisen. Das Ziel ist Klarheit statt Fachjargon.
Was ein Zero-Knowledge-Proof ist
Ein Zero-Knowledge-Proof ist ein kryptografisches Verfahren. Damit weist eine Partei einer anderen nach, dass sie ein Geheimnis kennt. Und zwar ohne das Geheimnis zu verraten. Zunächst heißt die eine Seite Beweiser. Die andere heißt hingegen Prüfer. Somit überzeugt der Beweiser den Prüfer. Dennoch erfährt der Prüfer nichts über die Information selbst. Genau daher stammt der Name. Null Wissen wechselt die Seite. Der Nachweis bleibt leer. Das ist der ganze Clou.
Ein Alltagsbeispiel
Ein Bild macht das greifbar. Denken Sie beispielsweise an einen ringförmigen Gang mit einer verschlossenen Tür in der Mitte. Anna behauptet, sie kennt das Passwort für diese Tür. Ben will das prüfen, ohne das Passwort zu hören. Also geht Anna zunächst in einen der beiden Gänge. Danach ruft Ben, aus welchem sie herauskommen soll. Kennt Anna das Passwort, gelingt ihr das jedes Mal. Kennt sie es hingegen nicht, klappt es nur mit Glück. Somit ist Ben nach vielen Runden überzeugt. Trotzdem hat er das Passwort nie gehört. Er hat es nie gehört. Genau das ist ein Zero-Knowledge-Proof im Kern.
Die Idee ist nicht neu. Beschrieben haben Forscher sie nämlich schon in den 1980er-Jahren. Zunächst blieb sie ein Thema für die Wissenschaft. Erst mit der Blockchain und modernen Rechnern wurde sie praktisch nutzbar. Das NIST definiert das Verfahren zudem als Beweis, der nichts außer dem einen Bit „wahr“ offenlegt. Genau diese Kürze ist der ganze Trick.
Wichtig ist außerdem die Abgrenzung zu einem einfachen Passwort-Vergleich. Bei einem klassischen Login schicken Sie zunächst Ihr Passwort zum Server. Danach vergleicht der Server es mit dem gespeicherten Wert. In diesem Moment kennt der Server Ihr Geheimnis. Ein Zero-Knowledge-Proof vermeidet hingegen genau das. Somit prüft der Server nur den Beweis. Folglich verlässt Ihr Geheimnis Ihr Gerät nie. Deshalb hilft ein gestohlener Datensatz dem Angreifer kaum. Ebenso findet er dort keine nutzbaren Passwörter, sondern nur Prüfwerte.
Interaktiv oder nicht-interaktiv
Es gibt zwei Grundformen. Zunächst arbeitet die interaktive Form wie im Beispiel. Dabei tauschen Beweiser und Prüfer mehrere Fragen und Antworten aus. Die nicht-interaktive Form braucht das hingegen nicht. Stattdessen erzeugt der Beweiser einen einzigen Nachweis. Diesen kann jeder später prüfen. Genau diese Variante steckt zudem in vielen modernen Systemen. Beispielsweise tragen bekannte Verfahren Namen wie zk-SNARK oder zk-STARK. Beide erzeugen ebenso kompakte Beweise, die schnell zu prüfen sind. Somit ist der Zero-Knowledge-Proof vom Theorie-Konzept zur einsetzbaren Technik gereift. Er ist heute reif. Und er ist im Einsatz.
Die drei Eigenschaften des Verfahrens
Ein Zero-Knowledge-Proof beruht auf drei festen Eigenschaften. Nämlich Vollständigkeit, Korrektheit und Zero-Knowledge. Zunächst müssen alle drei gelten. Andernfalls ist der Beweis nichts wert. Zunächst klingen die Begriffe abstrakt. Dennoch steht jeder für eine klare Zusage. Und jede ist leicht zu fassen. Wir gehen sie der Reihe nach durch. Schritt für Schritt.
Vollständigkeit und Korrektheit
Vollständigkeit heißt zunächst: Ein ehrlicher Beweiser überzeugt immer. Wer das Geheimnis wirklich kennt, besteht somit die Prüfung. Und zwar zuverlässig, nicht nur manchmal. Korrektheit heißt hingegen das Gegenteil. Ein Betrüger scheitert also fast sicher. Wer das Geheimnis nicht kennt, kann den Prüfer folglich nicht täuschen. Nur mit winziger Wahrscheinlichkeit rutscht zudem ein falscher Beweis durch. Mit jeder weiteren Runde sinkt diese Chance. Somit wird der Beweis Runde für Runde sicherer. Jede Runde zählt. So wächst das Vertrauen.
Die Zero-Knowledge-Eigenschaft
Die dritte Eigenschaft gibt dem Verfahren den Namen. Sie sagt nämlich: Der Prüfer lernt nichts dazu. Außer der einen Tatsache, dass die Aussage stimmt. Also kein Passwort, keine Kontonummer, kein Detail. Nur das reine Ja. Mehr sieht er nie. Genau darin liegt der Datenschutz-Vorteil. Denn was nie übertragen wird, kann auch nicht gestohlen werden. Diese Logik passt zudem gut zum Grundsatz der Datensparsamkeit aus der DSGVO. Folglich bedeuten weniger Daten unterwegs weniger Angriffsfläche.
Ein kurzer Vergleich ordnet die Eigenschaften ein. Somit zeigt er, was jede Zusage schützt und was passiert, wenn sie fehlt.
| Eigenschaft | Was sie zusichert | Fehlt sie, dann |
|---|---|---|
| Vollständigkeit | Ehrliche Beweiser bestehen immer | Berechtigte werden abgewiesen |
| Korrektheit | Betrüger scheitern fast sicher | Falsche Beweise gelten als echt |
| Zero-Knowledge | Kein Detail wird preisgegeben | Das Geheimnis sickert durch |
Diese drei Zusagen machen den Reiz aus. Ein grundlegendes Verständnis von Verschlüsselung hilft, sie einzuordnen. Denn ein Zero-Knowledge-Proof nutzt ähnliche mathematische Bausteine. Mehr zu den Bausteinen selbst lesen Sie zu den Grundlagen der Verschlüsselung.
Was das für ein Unternehmen bedeutet
Für ein KMU zählt vor allem der praktische Nutzen. Ein Zero-Knowledge-Proof senkt nämlich die Menge sensibler Daten, die Sie preisgeben müssen. Das wirkt zudem an drei Stellen. Nämlich bei der Sicherheit, beim Datenschutz und beim Vertrauen Ihrer Kunden. Somit zahlen alle drei auf Ihr Risiko ein. Und das direkt.
Weniger Daten, weniger Angriffsfläche
Jedes gespeicherte Passwort ist ein Ziel. Ebenso ist jede übertragene Kontonummer ein Risiko. Wer weniger überträgt, bietet folglich weniger Angriffsfläche. Genau hier setzt der Zero-Knowledge-Proof an. Somit ersetzt er die Übertragung des Geheimnisses durch einen Beweis. Deshalb liegt das Geheimnis nie im Netz. Und auch nicht auf einem fremden Server. Für den Datenschutz ist das folglich ein klarer Gewinn. Denn eine saubere Datenschutz-Umsetzung beginnt bei der Frage, welche Daten überhaupt fließen müssen.
Bezug zu DSGVO und Datensparsamkeit
Die DSGVO fordert Datenschutz durch Technikgestaltung. Also Privacy by Design. Ein Zero-Knowledge-Proof ist zudem ein Musterbeispiel dafür. Somit erfüllt er einen Zweck mit dem Minimum an Daten. Die ENISA ordnet solche Verfahren ebenso als datenschutzfreundliche Technik ein. Für ein Unternehmen heißt das: Sie können eine Berechtigung nachweisen, ohne eine Identität offenzulegen. Somit reduziert sich die Datenmenge, die Sie schützen und dokumentieren müssen. Folglich bleibt Ihr Verarbeitungsverzeichnis schlanker.
Ein Rechenbeispiel macht den Nutzen sichtbar. Angenommen, ein Dienstleister prüft täglich hunderte Zugangsberechtigungen. Bisher wandert bei jeder Prüfung ein Datensatz durch das System. Mit einem Zero-Knowledge-Proof bleibt der sensible Kern hingegen beim Nutzer. Somit wird nur das Prüfergebnis übertragen. Kommt es danach zu einem Datenleck, fehlen den Angreifern die eigentlichen Geheimnisse. Deshalb bleibt der Schaden begrenzt. Genau diese Begrenzung senkt zudem die Kosten eines Vorfalls spürbar.
Meldepflicht und Haftung im Blick
Auch die rechtliche Seite profitiert. Eine Datenpanne mit sensiblen Daten löst nämlich oft eine Meldepflicht aus. Danach müssen Sie den Vorfall binnen 72 Stunden melden. Die österreichische Datenschutzbehörde prüft zudem solche Meldungen. Werden aber nur Prüfwerte erbeutet, sinkt das Risiko für die Betroffenen. Somit kann eine Panne weniger schwer wiegen. Wie eine solche Meldung abläuft, zeigt zudem der Beitrag zum Melden einer Datenpanne. Folglich bedeuten weniger preisgegebene Daten hier weniger Aufwand und weniger Haftung.
Wo der Fall im Betrieb auftritt
Ein Zero-Knowledge-Proof begegnet Ihnen an mehr Stellen, als Sie vermuten. Meist unsichtbar, tief in der Technik. Zunächst bei der Anmeldung. Danach bei digitalen Nachweisen. Und schließlich in der Blockchain. Somit zeigen drei Felder das gut.
Anmeldung ohne Passwort-Übertragung
Der häufigste Fall ist zunächst die Authentifizierung. Dabei prüft ein System, ob Sie ein Passwort kennen. Und zwar ohne dass das Passwort das Gerät verlässt. Genau das leistet ein Zero-Knowledge-Proof. Somit speichert der Server nie das Passwort im Klartext. Stattdessen prüft er nur den Beweis. Folglich hilft ein gestohlener Datensatz dem Angreifer wenig. Er findet dort nichts. Nur leere Prüfwerte. Zudem ergänzt diese Idee bekannte Verfahren wie die Zwei-Faktor-Authentifizierung. Wie moderne Authentifizierungsmethoden zusammenspielen, lesen Sie zudem im verlinkten Beitrag.
Digitale Nachweise und Blockchain
Ein zweites Feld sind digitale Nachweise. Somit belegen sie ein Merkmal, ohne den Rest zu zeigen. Beispielsweise beweisen Sie, dass Sie über 18 sind. Und zwar ohne Ihr Geburtsdatum zu nennen. Ebenso belegen Sie ein ausreichendes Guthaben. Und zwar ohne den Kontostand zu verraten. Ein drittes Feld ist hingegen die Blockchain. Datenschutzorientierte Kryptowährungen nutzen nämlich den Zero-Knowledge-Proof, um Transaktionen zu prüfen. Und zwar ohne Betrag und Beteiligte offenzulegen. Zudem setzen auch Unternehmen das ein. Beispielsweise um die Echtheit eines Produkts zu belegen, ohne interne Prozessdaten zu teilen.
In der Praxis merken Sie davon wenig. Denn der Zero-Knowledge-Proof arbeitet im Hintergrund. Zudem steckt er in Protokollen, Wallets und Ausweis-Apps. Deshalb müssen Sie ihn nicht selbst bauen. Dennoch sollten Sie wissen, dass es ihn gibt. Denn bei der Auswahl einer Software lohnt die Frage, welche Daten wirklich fließen. Ein IT-Security-Audit deckt zudem auf, wo Ihr Betrieb heute mehr Daten überträgt als nötig.
Ein weiteres Feld ist die digitale Identität. Beispielsweise entstehen in Europa gerade staatliche Ausweis-Apps. Diese sollen genau so arbeiten. Somit belegen sie ein Merkmal, ohne den ganzen Ausweis zu zeigen. Der Zero-Knowledge-Proof ist dafür ein passender Baustein. Somit prüfen Sie künftig vielleicht das Alter eines Kunden. Und zwar ohne dessen Geburtsdatum je zu speichern. Für viele Betriebe ist das folglich ein echter Fortschritt. Denn was Sie nie erheben, müssen Sie auch nie schützen. Das spart Mühe. Und es senkt das Risiko.
Wie Sie das Verfahren sinnvoll nutzen
Ein Zero-Knowledge-Proof ist kein Werkzeug, das Sie morgen selbst einbauen. Vielmehr ist er eine Eigenschaft moderner Systeme. Deshalb geht es weniger um die Technik. Und mehr um die richtige Auswahl und Einordnung. Somit helfen Ihnen drei Schritte dabei.
Realistische Einordnung
Zunächst die ehrliche Lage. Der Zero-Knowledge-Proof ist nämlich noch spezialisiert. Für viele Alltagsprobleme gibt es hingegen einfachere Mittel. Beispielsweise reicht eine starke Verschlüsselung oft aus. Ebenso löst eine saubere Zugriffskontrolle viele Fälle. Erst wenn Sie eine Berechtigung ohne Datenpreisgabe nachweisen wollen, spielt das Verfahren seine Stärke aus. Setzen Sie es also gezielt ein. Und nicht als Selbstzweck. Die ENISA-Analyse zu datenschutzfreundlichen Technologien ordnet zudem den Reifegrad solcher Verfahren nüchtern ein.
Auswahl und Prüfung von Software
Der praktische Hebel liegt beim Einkauf. Fragen Sie deshalb bei neuer Software gezielt nach. Welche Daten überträgt das System? Speichert es Passwörter im Klartext? Nutzt es datenschutzfreundliche Verfahren? Ein Anbieter, der einen Zero-Knowledge-Proof einsetzt, wirbt meist damit. Prüfen Sie die Aussage trotzdem. Denn Marketing und Technik gehen nicht immer Hand in Hand. Ordnen Sie das Ergebnis danach in Ihr Risikomanagement ein. Und dokumentieren Sie die Entscheidung. Wie Sie Daten grundsätzlich schützen, zeigt zudem der Beitrag zur Datenverschlüsselung im Unternehmen.
Ein letzter Hinweis zur Einordnung. Der Zero-Knowledge-Proof ersetzt nämlich kein Sicherheitskonzept. Vielmehr ist er ein Baustein davon. Wer nur auf ein einzelnes Verfahren setzt, baut hingegen auf Sand. Deshalb gehört er in ein größeres Gefüge. Beispielsweise in eine durchdachte Netzwerkarchitektur und in geregelte Prozesse. Erst im Verbund entfaltet er somit seinen Wert. Als isolierte Technik bleibt er hingegen ein nettes Detail. Allein trägt er wenig. Erst im Team wird er stark.
Wie SecTec Sie dabei unterstützt
Sie müssen Kryptografie nicht selbst beherrschen. Genau dafür gibt es SecTec. Zunächst ordnen wir den Zero-Knowledge-Proof in Ihr Gesamtbild ein. Also in Datenschutz, Sicherheit und Ihre konkreten Prozesse. Dabei geht es nie um Technik um ihrer selbst willen. Vielmehr um Ihren Nutzen als KMU.
Datenschutz- und Krypto-Konzepte
Zunächst prüfen wir, wo Sie heute zu viele Daten übertragen. Danach zeigen wir passende Verfahren auf. Manchmal ist das ein Zero-Knowledge-Proof. Oft ist es hingegen eine einfachere Lösung. Somit empfehlen wir ehrlich, was zu Ihrer Größe passt. Als herstellerunabhängige Beratung verkaufen wir zudem kein Produkt. Stattdessen beraten wir zum Konzept. Ein solides Datenschutz-Fundament steht dabei am Anfang. Bei komplexen KI-Systemen greift zusätzlich unsere KI-Security-Beratung.
Von der Analyse zur Umsetzung
Der Einstieg ist meist ein Audit. Dabei erfassen wir Ihre Datenflüsse und Ihre Systeme. Danach entsteht ein priorisierter Plan. Zunächst die großen Lücken, danach die Feinarbeit. Ein Zero-Knowledge-Proof kann somit Teil dieses Plans sein. Muss es aber nicht. Zudem betten wir die Empfehlung in Ihre Informationssicherheit ein. Und bei Bedarf in ein ISMS nach ISO 27001. Ein kurzes Gespräch klärt danach den ersten Schritt. Nehmen Sie dazu einfach über die Kontaktseite mit uns auf.
Am Ende zählt für Sie ein Ergebnis. Nämlich weniger Risiko bei gleichem Aufwand. Der Zero-Knowledge-Proof ist ein Werkzeug dafür. Ein weiteres ist zudem ein klares Konzept. Somit bringen wir beides zusammen. Folglich treffen Sie eine fundierte Entscheidung. Und zwar statt auf Buzzwords zu setzen. Genau das ist unsere Rolle. Wir raten zu dem, was hilft. Und nicht zu dem, was klingt.
Häufig gestellte Fragen
Was ist ein Zero-Knowledge-Proof einfach erklärt?
Ein Zero-Knowledge-Proof beweist, dass Sie eine Information kennen. Und zwar ohne die Information selbst preiszugeben. Eine Partei überzeugt die andere. Doch das Geheimnis wechselt nie die Seite. Deshalb bleibt es geschützt.
Welche drei Eigenschaften hat ein Zero-Knowledge-Proof?
Es sind Vollständigkeit, Korrektheit und Zero-Knowledge. Vollständigkeit heißt, ehrliche Beweiser bestehen immer. Korrektheit heißt, Betrüger scheitern fast sicher. Zero-Knowledge heißt, der Prüfer lernt nur, dass die Aussage stimmt.
Wofür wird ein Zero-Knowledge-Proof verwendet?
Häufig für die Anmeldung ohne Passwort-Übertragung. Zudem für digitale Nachweise, etwa eines Alters ohne Geburtsdatum. Außerdem in datenschutzorientierten Kryptowährungen. Auch Unternehmen belegen damit die Echtheit von Produkten.
Was bringt ein Zero-Knowledge-Proof für den Datenschutz?
Er senkt die Menge sensibler Daten, die Sie übertragen. Was nie fließt, kann nicht gestohlen werden. Das passt zum DSGVO-Grundsatz der Datensparsamkeit. Somit sinkt Ihre Angriffsfläche und Ihr Dokumentationsaufwand.
Was sind zk-SNARK und zk-STARK?
Beides sind moderne Varianten des Verfahrens. Sie erzeugen kompakte, nicht-interaktive Beweise. Diese lassen sich schnell prüfen. Solche Verfahren machten den Zero-Knowledge-Proof für die Praxis nutzbar, etwa in der Blockchain.
Muss mein KMU einen Zero-Knowledge-Proof selbst einbauen?
In der Regel nicht. Das Verfahren steckt in fertigen Systemen und Protokollen. Wichtig ist die richtige Auswahl. Fragen Sie bei Software gezielt nach, welche Daten fließen. Ein Audit deckt unnötige Datenübertragungen auf.
Ist ein Zero-Knowledge-Proof schon Standard?
Noch nicht überall. Das Verfahren ist einsatzreif, aber weiterhin spezialisiert. Für viele Fälle genügen einfachere Mittel wie starke Verschlüsselung. Gezielt eingesetzt bietet der Zero-Knowledge-Proof jedoch einen klaren Datenschutz-Vorteil.
Fazit: Weniger Daten preisgeben, mehr Vertrauen gewinnen
Der Zero-Knowledge-Proof löst einen scheinbaren Widerspruch. Nämlich beweisen Sie etwas, ohne es zu zeigen. Somit übertragen Sie weniger sensible Daten. Und Sie senken Ihr Risiko im Fall eines Lecks. Die drei Eigenschaften Vollständigkeit, Korrektheit und Zero-Knowledge machen das Verfahren zudem belastbar. Für ein KMU zählt vor allem die richtige Einordnung. Denn nicht jede Aufgabe braucht dieses Werkzeug. Doch wo es passt, bringt es echten Datenschutz durch Technik.
Der beste Zeitpunkt für eine ehrliche Bestandsaufnahme ist jetzt. Prüfen Sie deshalb, wo Ihr Betrieb heute mehr Daten überträgt als nötig. Ein Zero-Knowledge-Proof kann somit ein Baustein der Lösung sein. Zudem ordnen wir ihn für Sie in ein tragfähiges Konzept ein. Folglich treffen Sie eine Wahl mit Substanz. Und nicht mit Schlagworten.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren