Privacy Coin

Als Privacy Coin (englisch für „Privatsphären-Münze“) werden Kryptowährungen bezeichnet, welche digitale anonyme Zahlungen ermöglichen (digitales Bargeld). Bitcoin wurde zu Beginn seiner Einführung noch als Privacy Coin angesehen, und er fand auf zahlreichen Darknet-Marktplätzen seine Anwendung als Zahlungsmittel. Durch die zunehmende Integration von Kryptowährungen in die bestehenden staatlichen Zahlungssysteme haben jedoch regulatorische Anforderungen, z. B. KYC (Know your customer; deutsch: kenne deinen Kunden) oder Geldwäschegesetzen (Anti-Money Laundering, AML), zu einer Aufweichung der Anonymität im Bitcoin-Ökosystems geführt. Transaktionen mit Bitcoin sind deshalb nicht anonym, sondern lediglich pseudonym. Daher wird versucht, die im Bitcoin-Ökosystem vorhandene Pseudonymisierung zu einer möglichst vollständigen Anonymisierung auszubauen. Die Anfänge von Privacy Coins und digitalem Bargeld finden sich in der Geschichte der Krypto-Anarchie und Cypherpunks (vgl. The Crypto Anarchist Manifesto von Timothy C. May).

Geschichte

Mit Einführung von Geld konnte der Tauschhandel wesentlich vereinfacht werden. Edelmetalle, in Form von Kurantmünzen, verfügten über eine werthaltige Beschaffenheit und ließen sich nicht beliebig vervielfältigen, jedoch in unterschiedlichen Stückelungen (große und kleine Münzen) anfertigen. Durch Papiergeld (Banknoten) wurde die Vervielfältigung und Stückelung nochmals wesentlich vereinfacht, jedoch stellt das Papier an sich keinen werthaltigen Gegenwert mehr dar. Eine staatliche Beaufsichtigung und Regulierung wurde deshalb notwendig (Währungsmonopol). Banknoten sind mit eindeutigen Seriennummern versehen, welche im Zahlungsalltag jedoch eine untergeordnete Rolle spielen. Wenige Anwender werden sich notieren, welche Banknoten sie mit welchen Seriennummern gemeinsam ausgegeben bzw. zurückerhalten haben. Es gibt auch kein frei zugängliches Verzeichnis, auf welchem solche Informationen öffentlich abgelegt oder abgefragt werden könnten. Deshalb wird anhand einer rein physisch vorliegenden Banknote niemand erkennen können, welche vorausgegangenen Zahlungsvorgänge mit dieser Banknote getätigt wurden. Darum sind Banknoten gleicher Stückelung im Allgemeinen beliebig austauschbar und somit gleichwertig (fungibel).

Bei vielen Kryptowährungen, welche zumeist auf einer Distributed-Ledger-Technologie (DLT) basieren, ist die öffentliche Einsehbarkeit historischer Zahlungsströme jedoch unabdingbare Voraussetzung für die Funktion als Zahlungsmittel. Durch öffentliche DLTs wird aber ersichtlich, wie oft, und ggf. in welchem Zusammenhang, Kryptowährungseinheiten (Coins), von welchen Adressen ausgehend den Besitzer, bzw. dessen digitale Geldbörse (Wallet), gewechselt haben. Ist nachweisbar, dass Coins ehemals unrechtmäßig in den Besitz etwaiger Vorbesitzer gekommen sind, so können diese auch nachträglich ihren rechtmäßigen Eigentümern zugeordnet und unter Umständen beschlagnahmt werden. Nur sehr wenige Kryptowährungen, bzw. deren Coins, können bisher als ausreichend fungibel betrachtet werden.

Wahrnehmung

Privacy Coins stellen damit eine Unterart von Kryptowährungen dar, welche die Rückverfolgbarkeit von Coin-Besitzverhältnissen erschweren, und als Zahlungsmedium eine Fungibilität, ähnlich dem der bisherigen Banknoten wieder herstellen. Durch die steigende Beliebtheit von digitalen Währungen und Plänen der Europäischen Zentralbank (EZB) einen digitalen Euro einzuführen, werden verstärkt Verbraucherwünsche nach einem höheren Schutz der Privatsphäre geäußert. Bei einer Umfrage der EZB zum digitalen Euro unter Bürgern, Verbänden und Fachleuten nannten 43 Prozent der rund 8200 Befragten den Schutz der Privatsphäre als wichtigstes Anliegen.

Privatsphären-Technologien

Liste bekannter Privacy Coins

Währung	Symbol	Mining
Monero	XMR	RandomX
Dash	DASH	X11
Zcash	ZEC	Equihash
MobileCoin	MOB	Proof of Stake
Verge	XVG	ja
Particl	PART	PPoS/SHA256
Epic Cash	EPIC	Randomx, ProgPow, Cuckoo

Zur Gewährleistung einer möglichst hohen Anonymität von auf öffentlichen DLTs basierenden Zahlungsvorgängen, sind derzeit verschiedene, zum Teil konkurrierende, technologische Ansätze in Entwicklung. Die Entwicklung hin zu einem höheren Schutz der von Bitcoin bekannten Privatsphäre, wird häufig mit der Entwicklung vom ursprünglichen HTT-Protokoll für Webbrowser, hin zu dem heute üblichen HTTPS verglichen.

Nachfolgend aufgeführte Privatsphären-Technologien sind derzeit in der Erprobung:

CoinJoin (CJ)

Beim 2013 von Gregory Maxwell vorgestellten CoinJoin-Verfahren, können von eigentlich pseudonymen Transaktionen, die Absender- und Empfänger-Adressen auch nachträglich durch Mischen mit fremden Transaktionen verschleiert werden. Vereinfacht kann man sich vorstellen, dass mehrere Bezahlende ihre „Münzen“ (Coins) in einen gemeinsamen „Topf“ werfen, die Münzen im Topf „durchgemischt“ werden, und anschließend jedem Empfänger genau den Betrag der ihm noch zustehenden Münzen willkürlich wieder zugewiesen wird. Für die Anwendung dieses Verfahrens existieren spezielle digitale Geldbörsen (Bitcoin-Mixer), z. B. Wasabi Wallet, Samourai Wallet, Sparrow Wallet oder eigens dafür programmierte Kryptowährungen, z. B. DASH (PrivateSend).

Confidential Transactions (CT)

Confidential Transactions (CT) wurden 2015 von Gregory Maxwell beschrieben. CT werden bei zahlreichen Privacy Coins, oftmals in Kombination mit anderen Privatsphären-Technologien, eingesetzt. Bei CT werden die zu übertragenden Beträge gegenüber der Öffentlichkeit verborgen. Bulletproofs ermöglicht zusätzlich die Range-Proofs verschiedener Teilnehmer zu einem Proof zusammenzufassen, wodurch die Information nur noch in stark komprimierter Form auf der Blockchain abgespeichert wird.

Stealth Adressen

Stealth Adressen (ECDH-Adressen) sind nur einmalig verwendbaren Adressen, welche stets neu generiert werden. Zusammen mit einem vom Sender zu erstellenden Transaktionsschlüssel können über ein „Shared Secret“ Transaktionen getätigt werden, ohne die Sender- und Empfängeradressen zu offenbaren.

Ring-Signaturen

Rivest-Shamir-Tauman-Ringsignaturverfahren

2001 auf der ASIACRYPT von Ronald L. Rivest et al. vorgestellt, gehören Ring-Signaturen im Anwendungsbereich der Kryptowährungen zu den am besten erprobten Anonymisierungsmethoden. Eingeführt durch eine in betrügerischer Absicht aufgesetzte Kryptowährung (ByteCoin), werden mittels Ring-Signaturen viele der auf Darknet-Marktplätzen vorgenommenen Zahlungsvorgänge abgewickelt. Aus einer Gruppe von Nutzern signiert nur einer der Nutzer die entsprechende Nachricht bzw. Transaktion, und anschließend ist es rechnerisch nicht mehr möglich festzustellen, welcher der Nutzer die Signatur erstellt hat. In Verbindung mit CT (RingCT) und Stealth-Adressen kommen Ring-Signaturen u. a. bei Monero, MobileCoin und Particl zum Einsatz.

Am 31. August 2020 erklärte die Firma CipherTrace, Monero-Ring-Signaturen mit einer ausreichend hohen Wahrscheinlichkeit deanonymisieren zu können. Die Monero-Entwicklergemeinde erklärte daraufhin, die Anzahl an verbundenen Signaturen durch einen neuen Algorithmus (Triptych) zukünftig weiter zu erhöhen.

Zero-Knowledge-Proofs

2013 schlug der amerikanische Informatiker Matthew Green Zerocoin als Zusatzprotokoll zur bestehenden Bitcoin-Blockchain vor. Dabei wird durch die Anwendung von Zero-Knowledge-Beweisen das Wissen um eine geheime Information bewiesen, ohne dabei die geheime Information selbst preis zugeben. Im Fall von Kryptowährungen wäre dies der Beweis eine Transaktion tatsächlich getätigt zu haben, ohne den Betrag oder die Sender- und Empfängeradressen offen zulegen. Im Mai 2019 wurde allerdings eine relevante Sicherheitslücke im Zerocoin-Protokoll offen gelegt.

Eine Weiterentwicklung von Zerocoin stellt das Zerocash-Protokoll dar (zk-SNARKs), welches z. B. bei Zcash zur Anwendung kommt. In der Praxis weisen Zcashs anonyme Transaktionen vergleichsweise hohe Signaturzeiten und einen hohen Speicherbedarf auf. Dies ist ein Grund dafür, dass anonyme Transaktionen vom Protokoll nicht standardmäßig vorgeschlagen werden, und durch die geringe Anzahl an anonymen Transaktionen (Anon-Set), die in der Praxis erzielbare Anonymität stark eingeschränkt ist.

Mimblewimble (MW)

Das Prinzip von Mimblewimble wurde im Juli 2016 vom Pseudonym T. Jedusor erstmals vorgestellt, und im Oktober 2016 von A. Poelstra weiter ausformuliert. Bei Mimblewimble werden mehrere Transaktionen analog zu CoinJoin kryptographisch zusammengefasst, um einerseits Speicherplatz zu sparen und um sie andererseits vor der Öffentlichkeit zu verbergen. Transaktionen können bei Mimblewimble nur durchgeführt werden, sofern Sender und Empfänger gleichzeitig „online“ sind. Dadurch wird vermieden, dass dieselben Coins unterschiedlichen Empfängern gleichzeitig zur Zahlung angeboten werden (double spending). Auf das dauerhafte Speichern aufgebrauchter Guthaben (spent UTXOs) wird verzichtet, wodurch sich die Größe der Blockchain signifikant reduzieren lässt (Pruning). Erste Kryptoprojekte, die das Mimblewimble-Protokoll nutzen, sind Grin oder Beam.

Dandelion++

Bei Dandelion handelt es sich weniger um eine kryptographische Anonymisierungsmethode, als viel mehr um ein Verfahren zum Verbergen des Rechner-Standorts. Durch ein leicht zeitverzögertes Absetzen von Nachrichten soll es verschiedenen Netzwerk-Knoten (Nodes) nicht mehr möglich sein, anhand der Zeitdifferenz des Eintreffens der Nachrichten, den geographischen Ort des absendenden Netzwerkteilnehmers und seiner IP-Adresse einzugrenzen.

Taproot + Schnorr-Signaturen

Basierend auf den Vorschlägen eines Merklized Abstract Syntax Trees (MAST) möchte Taproot, z. B. bei Bitcoin, die als Skript vorgesehenen Bedingungen zum Versenden von Coins (Spending Conditions), in einem Hash zusammenfassen. Dadurch werden die möglichen Spending Conditions gegenüber der Allgemeinheit verborgen, deren Validierung beschleunigt, als auch der dafür notwendige Speicherbedarf reduziert. Durch Schnorr-Signaturen wird es möglich Nachrichten mit mehreren Schlüsseln in einer Signatur zu unterschreiben. Schnorr-Signaturen finden bei der Kryptowährung MobileCoin Anwendung.

Kritik

Die beschriebenen Anonymisierungsmethoden können allesamt zu einer signifikant verbesserten Privatsphäre beitragen. Das Maß an Anonymitätszugewinn ist jedoch stark von den jeweiligen Rahmenbedingungen abhängig, z. B. vom Anteil der anonymen Transaktionen an der Gesamtanzahl aller getätigten Transaktionen. Der Zugewinn an Privatsphäre erfordert häufig einen Anstieg der notwendigen Transaktionsgröße in Bytes. Dies führt in aller Regel zu einem höheren Speicherbedarf und zu höheren Transaktionskosten auf der jeweiligen Blockchain. Die feste Integration von Privacy-Technologien auf Protokoll-Ebene stellt für jedes Krypto-Projekt einen Kompromiss aus maximal möglicher Privatsphäre und sinnvoll vertretbarem Rechen- und Speicherbedarf dar. Rein optional vorgesehene Anonymisierungsmethoden haben in der Vergangenheit dazu geführt, dass die Anonymität durch angepasste Analysemethoden aufgeweicht werden konnte.

Die bei Privacy Coins angewandten Technologien besitzen eine vergleichsweise hohe Komplexität und sind daher anfällig für Programmierfehler (Bugs). Außerdem erschweren Privacy-Technologien bewusst die Nachvollziehbarkeit auf der Blockchain, was dazu beitragen kann, dass Angriffe auf das jeweilige Krypto-Ökosystem nur schwer festgestellt werden können. So muss jederzeit sichergestellt werden, dass dieselben Coins nicht gleichzeitig an mehrere Empfänger gesendet werden können (double spending). Auch sollte nicht unbemerkt bleiben, sofern, z. B. durch Blockbelohnungen, mehr Coins „aus dem Nichts“ entstehen, als ursprünglich dafür vorgesehen (Inflation-Bug). Dieser Vorgang wird auch als Coin-Generierung „out of thin air“ bezeichnet.

Literatur

• SerHack: Mastering Monero. 1. Auflage. 2018, ISBN 978-1-73107-996-1 (eingeschränkte Vorschau in der Google-Buchsuche). 
• Desi-Rae Campbell: The Privacy Coin Guide. 1. Auflage. 2019, ISBN 978-1-73300-361-2. 

Weblinks

• Liste von Privacy Coins. In: Cryptoslate. Abgerufen am 27. August 2020 (englisch). 
• BitDevs: CoinJoin - Whitepaper Series. In: bitdevs.org. 19. Februar 2020, abgerufen am 27. August 2020 (englisch). 
• Huixin Wu, Feng Wang: A Survey of Noninteractive Zero Knowledge Proof System and Its Applications. In: Hindawi. The Scientific World Journal, 4. Mai 2014, abgerufen am 28. August 2020 (englisch). 
• Tari Labs: Bulletproofs and Mimblewimble. Tari Labs (Monero), abgerufen am 27. August 2020 (englisch).