Security on kenji.blog

Die Funktionsweise von Zero-Knowledge-Proofs (ZKP) und ihre neuesten Anwendungen in Web3 und Sicherheit

Fri, 11 Sep 2026 19:00:00 +0900

Einführung

In der heutigen digitalen Gesellschaft sind Datenschutz und Skalierbarkeit zwei der wichtigsten Herausforderungen. Angesichts des steigenden Risikos von Datenlecks und dem unbefugten Missbrauch persönlicher Informationen besteht ein großer Bedarf an einer Technologie, mit der man “beweisen kann, dass man bestimmte Informationen besitzt, ohne diese Informationen dem Gegenüber preiszugeben”. Dies wird durch Zero-Knowledge-Proofs (ZKP) (wörtlich: Null-Wissen-Beweise) ermöglicht.

Zero-Knowledge-Proofs sind ein kryptographisches Konzept, das in den 1980er Jahren erstmals von Shafi Goldwasser, Silvio Micali und Charles Rackoff vorgeschlagen wurde, aber lange Zeit auf theoretische Forschung beschränkt blieb. Mit dem Aufstieg der Blockchain-Technologie und Web3 hat sich die Situation jedoch schlagartig geändert. ZKP ist als “Zauberstab” ins Rampenlicht gerückt, der gleichzeitig das Skalierbarkeitsproblem (die Grenzen der Verarbeitungskapazität) und das Datenschutzproblem (die Tatsache, dass alle Transaktionen öffentlich sind), mit denen öffentliche Blockchains wie Ethereum konfrontiert sind, löst.

In diesem Artikel werden wir von den grundlegenden Konzepten der Zero-Knowledge-Proofs über die tiefgreifenden mathematischen und kryptographischen Mechanismen der derzeit vorherrschenden zk-SNARKs und zk-STARKs bis hin zu den neuesten Web3- und Sicherheitsanwendungen wie ZK-Rollups und dezentralen Identitäten (DID) äußerst detailliert und technisch fundiert berichten.

Was sind Zero-Knowledge-Proofs (ZKP)?

Ein Zero-Knowledge-Proof (ZKP) bezieht sich auf ein Protokoll, bei dem ein Beweiser (Prover) gegenüber einem Verifizierer (Verifier) beweist, dass eine bestimmte Aussage wahr ist, “ohne jegliche andere Informationen zu übertragen, als die Tatsache, dass die Aussage wahr ist”.

Drei Anforderungen, die ein ZKP erfüllen muss

Um als ZKP zu gelten, müssen die folgenden drei Eigenschaften strikt erfüllt sein:

Vollständigkeit (Completeness) Wenn die Aussage wahr ist und sowohl der Beweiser als auch der Verifizierer das Protokoll korrekt befolgen, muss der Verifizierer den Beweis mit überwältigender Wahrscheinlichkeit akzeptieren (Accept).
Korrektheit (Soundness) Wenn die Aussage falsch ist, ist es für einen noch so rechenstarken und böswilligen Beweiser unmöglich, den Verifizierer so zu täuschen, dass er den Beweis akzeptiert (bis auf eine vernachlässigbar geringe Wahrscheinlichkeit).
Zero-Knowledge (Null-Wissen) Wenn die Aussage wahr ist, kann der Verifizierer aus dem Beweisprozess keinerlei andere Informationen gewinnen als die Tatsache, “dass die Aussage wahr ist”. Aus der Sicht des Verifizierers wird dies durch die mathematische Definition bewiesen, dass es möglich ist, den Beweisprozess zu simulieren (es existiert ein Simulator).

Interaktive und nicht-interaktive Beweise

Es gibt zwei Arten von ZKP: interaktive Beweise, bei denen Beweiser und Verifizierer mehrfach kommunizieren, und nicht-interaktive Beweise, bei denen der Beweiser die Beweisdaten nur einmal sendet und der Vorgang damit abgeschlossen ist.

Interaktive Beweise (Interactive ZKP)

Frühe ZKPs wurden als interaktive Protokolle entworfen. Die berühmte Analogie der “Ali Baba Höhle” fällt in diese Kategorie. Der allgemeine Ablauf des Protokolls ist wie folgt:

sequenceDiagram participant Prover as "Prover (Beweiser)" participant Verifier as "Verifier (Verifizierer)" Note over Prover, Verifier: "Grundlegender Ablauf des interaktiven Beweisprotokolls" Prover->>Verifier: "1. Sende Commitment (Commitment)" Verifier->>Prover: "2. Sende zufällige Herausforderung (Challenge)" Prover->>Verifier: "3. Berechne und sende Antwort (Response)" Note over Verifier: "Antwort verifizieren (Verification)" Verifier-->>Prover: "4. Akzeptieren oder Ablehnen (Accept / Reject)" Note over Prover, Verifier: "※ Um die Sicherheit zu erhöhen, wird dies dutzende Male wiederholt"

Diese Methode ist leistungsstark, erfordert jedoch, dass der Verifizierer online ist, was für asynchrone verteilte Systeme wie Blockchains unpraktisch ist. In einer Blockchain muss jeder in der Lage sein, vergangene Beweise jederzeit zu verifizieren.

Fiat-Shamir-Heuristik und Nicht-Interaktivität

Eine bahnbrechende Methode zur Umwandlung interaktiver Beweise in nicht-interaktive Beweise (Non-Interactive Zero-Knowledge Proof: NIZK) ist die Fiat-Shamir-Heuristik.

Anstelle der vom Verifizierer gesendeten “zufälligen Herausforderung” erzeugt der Beweiser selbst eine “pseudozufällige Herausforderung”, indem er den Hashwert seines eigenen Commitments und der öffentlichen Informationen verwendet. Unter der Voraussetzung, dass eine kryptographische Hashfunktion (z. B. SHA-256 oder Keccak) als Random Oracle fungiert, kann der Beweiser die Herausforderung nicht im Voraus vorhersagen oder manipulieren und kann den Beweis mit einer einzigen Nachrichtensendung abschließen, während er die gleiche Sicherheit wie ein interaktiver Beweis aufrechterhält.

Technische Details von zk-SNARKs

Derzeit ist zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) das am weitesten verbreitete ZKP. Wie der Name schon sagt, handelt es sich um ein Wissensargument (Argument of Knowledge), das Zero-Knowledge (zk) besitzt, eine sehr kleine Beweisgröße aufweist, schnell zu verifizieren ist (Succinct) und nicht-interaktiv (Non-Interactive) ist.

Die Grundlage von zk-SNARKs bildet fortschrittliche algebraische Geometrie und Kryptographie. Es wandelt die Ausführung eines Programms oder einer Berechnung in die Verifizierung von Gleichungen bestimmter Polynome um.

1. Umwandlung in Arithmetische Schaltkreise und R1CS (Rank-1 Constraint System)

Zunächst wird eine beliebige Berechnung (ein Algorithmus oder eine Smart-Contract-Logik), die bewiesen werden soll, in einen arithmetischen Schaltkreis (Arithmetic Circuit) umgewandelt, der aus Additions- und Multiplikationsgattern besteht.

Als nächstes wird dieser arithmetische Schaltkreis in eine Menge von Matrixgleichungen umgewandelt, die R1CS (Rank-1 Constraint System) genannt wird. R1CS ist das Problem, für einen Variablenvektor $x$ die Matrizen $A, B, C$ zu finden, die die folgende Einschränkung erfüllen:

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

Hier steht $\circ$ für das Hadamard-Produkt (elementweises Produkt). Diese Einschränkung garantiert, dass alle logischen Gatter (insbesondere Multiplikationsgatter) im Schaltkreis korrekt berechnet wurden.

2. Umwandlung in QAP (Quadratic Arithmetic Program)

Da es unzählige R1CS-Matrixeinschränkungen gibt, wäre es sehr ineffizient, diese einzeln zu verifizieren. Daher werden diese Einschränkungen mithilfe der Lagrange-Interpolation in eine einzige Polynomgleichung komprimiert. Dies ist das QAP (Quadratic Arithmetic Program).

Durch die Umwandlung in ein QAP reduziert sich das zu beweisende Problem auf die Frage: “Ist ein bestimmtes Polynom $P(x)$ durch ein anderes bekanntes Polynom $Z(x)$ teilbar?”.

$$ P(x) = L(x) \cdot R(x) - O(x) $$

Hier sind $L(x), R(x), O(x)$ Polynome, die den jeweiligen Zeilen der Matrizen $A, B, C$ entsprechen. Wenn der Beweiser die richtige Lösung (Witness) kennt, wird der Wert an jeder Wurzel (Auswertungspunkt) von $P(x)$ Null, sodass $P(x)$ das Zielpolynom $Z(x)$ als Faktor hat. Das heißt, es existiert ein bestimmtes Polynom $H(x)$, sodass die folgende Gleichung gilt:

$$ P(x) = H(x) \cdot Z(x) $$

Der Verifizierer kann sofort überprüfen, ob die gesamte Berechnung korrekt durchgeführt wurde, indem er lediglich kontrolliert, ob diese Gleichung $P(s) = H(s) \cdot Z(s)$ an einem zufälligen geheimen Punkt $s$ gilt. Dies ist das Geheimnis der “Prägnanz” (Succinctness).

3. Elliptische-Kurven-Kryptographie und Paarungen (Bilinear Pairings)

Wenn der Verifizierer jedoch den geheimen Punkt $s$ kennen würde, könnte der Beweiser ein gefälschtes Polynom konstruieren, um die Gleichung zu erfüllen (Zusammenbruch der Korrektheit). Daher muss die Berechnung durchgeführt werden, während $s$ so verschlüsselt ist (mithilfe homomorpher Verschlüsselung), dass niemand es kennt.

Dies wird durch elliptische Kurven-Paarungen (Bilinear Pairings) erreicht. Die Paarung $e$ ist eine spezielle Funktion, mit der man aus zwei verschlüsselten Werten einen Wert berechnen kann, der der Verschlüsselung ihres Produkts entspricht.

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

Selbst wenn der Beweiser $s$ nicht kennt, verwendet er die verschlüsselten Werte der Potenzen von $s$ (dies wird CRS: Common Reference String genannt), um die verschlüsselten Werte der Polynome $P(s)$ und $H(s)$ zu berechnen. Der Verifizierer nutzt die Paarungsfunktion, um zu überprüfen, ob die Beziehung $P(s) = H(s) \cdot Z(s)$ im verschlüsselten Zustand gilt.

4. Trusted Setup (Vertrauenswürdige Einrichtung)

Die größte Schwäche von zk-SNARKs (insbesondere des frühen Groth16) ist, dass ein sogenanntes Trusted Setup erforderlich ist, also ein Prozess zur Generierung des geheimen Punktes $s$. Wenn der Ersteller von $s$ den Wert behält und nicht vernichtet, kann er jeden beliebigen falschen Beweis generieren (Toxic Waste Problem).

Um dies zu verhindern, wird eine sogenannte “Ceremony” mithilfe von Multi-Party Computation (MPC) durchgeführt. Dabei kooperieren viele Teilnehmer, um Zufälligkeit bereitzustellen, und solange mindestens ein Teilnehmer ehrlich ist und seinen eigenen Zufallswert vernichtet, bleibt die Sicherheit des gesamten Systems gewahrt. Die Forschung zur Beseitigung dieser Abhängigkeit wurde jedoch über viele Jahre hinweg fortgesetzt.

Technische Details von zk-STARKs

Als Antwort auf die Abhängigkeit vom Trusted Setup und das Risiko der Entschlüsselung der elliptischen Kurven-Kryptographie durch Quantencomputer entstand zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge).

Die von Eli Ben-Sasson und anderen entwickelten STARKs benötigen, wie der Name “Transparent” (Transparenz) andeutet, überhaupt kein Trusted Setup. Zudem zeichnen sie sich durch die Eigenschaft aus, dass, wie der Name “Scalable” (Skalierbarkeit) impliziert, Beweisgröße und Verifizierungszeit auch bei zunehmendem Rechenaufwand effizient bleiben.

1. Polynom-Commitment und das FRI-Protokoll

zk-STARKs basieren nicht auf elliptischer Kurven-Kryptographie, sondern stützen ihre Sicherheit ausschließlich auf Hashfunktionen. Daher besitzen sie die Eigenschaften von Post-Quanten-Kryptographie (Post-Quantum Cryptography).

Die Überprüfung der Berechnung erfolgt unter Ausnutzung der Eigenschaften von ein- oder mehrdimensionalen Polynomen, nachdem sie in ein Format namens AIR (Algebraic Intermediate Representation) konvertiert wurde. Der Kern von STARKs liegt im FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity)-Protokoll.

Das FRI-Protokoll ist eine Technik zur Überprüfung, “ob eine bestimmte Funktion ausreichend nahe (Proximity) an einem Polynom eines bestimmten Grades liegt”. Der Beweiser bindet sich (Commitment) an die Werte des Polynoms als Blätter eines Merkle-Baums (Merkle Tree) (Polynom-Commitment).

graph TD Root["Merkle Root (Commitment)"] --> Node0["Knoten 0"] Root --> Node1["Knoten 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

Der Verifizierer verlangt die Offenlegung einiger zufälliger Punkte und verwendet Merkle-Beweise, um sicherzustellen, dass diese im Commitment enthalten sind. Indem dies rekursiv wiederholt wird, wird mit überwältigender Wahrscheinlichkeit garantiert, dass der Grad des ursprünglichen Polynoms tatsächlich niedrig ist.

Vergleich zwischen zk-SNARKs und zk-STARKs

Eigenschaft	zk-SNARKs	zk-STARKs
Kryptographische Annahmen	Elliptische Kurven, Paarungen	Kollisionsresistente Hashfunktionen
Trusted Setup	Erforderlich (Plonk etc. sind universell)	Nicht erforderlich (Transparent)
Quantenresistenz	Nein	Ja
Beweisgröße	Sehr klein (~200 Byte)	Etwas größer (Dutzende KB)
Rechenaufwand zur Beweisgenerierung	Hoch	Relativ niedriger als bei SNARKs
Verifizierungskosten (Gas-Gebühren)	Sehr niedrig (konstant)	Niedrig (steigen logarithmisch)

In den letzten Jahren sind SNARKs wie Plonk oder Halo2 aufgetaucht, die “kein Trusted Setup benötigen oder bei denen es nur einmal durchgeführt werden muss”, sodass die Grenzen zwischen SNARKs und STARKs allmählich verschwimmen, aber die grundlegenden Unterschiede im mathematischen Ansatz bleiben wichtig.

Neueste Anwendungen von Zero-Knowledge-Proofs in Web3 und Sicherheit

ZKP hat den Übergang von der Theorie zur Praxis vollzogen und revolutioniert derzeit die Frontlinien von Web3 und Cybersicherheit.

1. Ultimative Skalierung von Ethereum durch ZK-Rollups

L1 (Layer 1) Blockchains wie Ethereum haben aufgrund ihrer starken Ausrichtung auf Dezentralisierung und Sicherheit erhebliche Einschränkungen bei der Skalierbarkeit (das Trilemma). Die definitive L2 (Layer 2) Lösung für dieses Problem sind ZK-Rollups.

Bei ZK-Rollups werden Tausende von Transaktionen off-chain (L2) ausgeführt und verarbeitet, und es wird “ein ZKP (Validity Proof)” generiert, das beweist, dass alle korrekt ausgeführt wurden. Der Smart Contract auf der L1-Chain muss lediglich diesen Beweis verifizieren.

flowchart LR Users["Benutzer (Tx senden)"] --> Sequencer["Sequencer (Tx sammeln/ausführen)"] Sequencer --> Prover["Prover (ZKP generieren)"] Sequencer --> L1Contract["L1 Smart Contract (Tx-Daten veröffentlichen)"] Prover --> L1Contract["Einreichen des ZKP (Beweis)"] L1Contract --> Verify["Verifizieren & Zustand aktualisieren"]

Der größte Vorteil von ZK-Rollups besteht im Gegensatz zu Optimistic Rollups (wie Arbitrum oder Optimism) darin, dass keine Herausforderungsperiode (Challenge Period, typischerweise 7 Tage) für Betrugsbeweise (Fraud Proofs) erforderlich ist. Da die Korrektheit kryptographisch garantiert ist, ist das Abheben von Geldern auf L1 (Finality) in dem Moment abgeschlossen, in dem der Beweis verifiziert wird. Derzeit liefern sich Projekte wie zkSync, Starknet, Scroll und Polygon zkEVM einen harten Entwicklungswettbewerb, und die Realisierung von zkEVM, das mit der EVM (Ethereum Virtual Machine) kompatibel ist, treibt das schnelle Wachstum des Ökosystems voran.

2. Datenschutzwahrende Identitäten (ZKP for Identity)

Die Art und Weise, wie die Personenidentifikation in der digitalen Welt gehandhabt wird, wird sich durch ZKP grundlegend ändern. Bislang musste man beispielsweise auf die Frage “Sind Sie über 18 Jahre alt?” in herkömmlichen Systemen einen Führerschein oder Reisepass vorlegen und dabei unnötige persönliche Informationen wie Name und Adresse an die andere Partei weitergeben.

Mithilfe von ZKP ist es möglich, auf der Grundlage digitaler Zertifikate (Verifiable Credentials), die von Behörden ausgestellt wurden, nur die Tatsache mathematisch zu beweisen, “dass ich, berechnet aus meinem Geburtsdatum, am aktuellen Datum über 18 Jahre alt bin”. Der Verifizierer muss lediglich die Signatur des Zertifikats und den ZKP überprüfen, ohne das Geburtsdatum oder die Identität des Benutzers zu erfahren.

Auch Proof of Personhood-Projekte (Beweis der Menschlichkeit) wie Worldcoin speichern oder teilen keine Irisdaten direkt, sondern nutzen einen Mechanismus auf Basis von ZKP, um lediglich zu beweisen, dass man “ein einzigartiger Mensch ist”.

3. Vertrauliche Smart Contracts und Unternehmensnutzung

Die Eigenschaft öffentlicher Blockchains, dass “alle Daten öffentlich sind”, war ein großes Hindernis für Unternehmen, die vertrauliche Transaktionen oder Lieferketteninformationen auf der Blockchain verarbeiten wollen.

Durch den Einsatz von ZKP-Technologie (wie bei datenschutzorientierten Netzwerken wie Aleo oder Aztec) können die Eingabewerte, die Ausgabewerte und sogar die Logik des ausgeführten Smart Contracts selbst verschlüsselt bleiben, während nur die Korrektheit der Zustandsaktualisierung auf der öffentlichen Blockchain festgehalten wird. Dies ermöglicht die Verhinderung von Front-Running (MEV) im DeFi-Bereich (Decentralized Finance) und den Aufbau vertraulicher Konsortium-Netzwerke zwischen Unternehmen, wobei gleichzeitig die hohe Sicherheit einer öffentlichen Blockchain genutzt wird.

Zukünftige Herausforderungen und Perspektiven von ZKP

ZKP ist zweifellos eine Basistechnologie der nächsten Generation, es bleiben jedoch einige Herausforderungen.

Rechenkosten für die Beweisgenerierung und Hardwarebeschleunigung Die Generierung eines ZKP erfordert enorme Polynomoperationen, FFT (Fast Fourier Transform) und MSM (Multi-Scalar Multiplication). Derzeit schreitet die Erforschung spezieller Hardware (FPGA und ASIC) zur Beschleunigung dieser Beweisgenerierung, auch bekannt als ZKP-Mining (Prover Network), rasant voran.
Standardisierung und Verbesserung der Developer Experience (DX) Es gibt eine Vielzahl spezialisierter Sprachen zum Schreiben von ZKP-Schaltkreisen, wie Circom, Cairo, Noir und Leo. Standardisierungen, die diese vereinheitlichen, sowie die Ausreifung von Compilern, die automatisch ZKP-Schaltkreise aus bestehendem Rust- oder C++-Code generieren, werden der Schlüssel für die Einführung von ZKP durch gewöhnliche Softwareentwickler sein.

Fazit

Zero-Knowledge-Proofs (ZKP) haben sich von einer reinen “Technologie zur Erhöhung der Anonymität von Kryptowährungen” zu einer “universellen Technologie, die das Vertrauen (Trust) im gesamten Internet neu definiert” entwickelt. Kleine Beweise, die tief in mathematischen Formeln und der Kryptographie berechnet werden, erweitern die Skalierbarkeit der Blockchain grenzenlos und dienen als robuster Schild zum Schutz unserer Privatsphäre.

Auf dem Weg zu einer echten Massenadaption von Web3 und dem Aufbau eines sicheren und privaten Internets der nächsten Generation wird das Zero-Knowledge-Proof weiterhin als wichtigstes Puzzleteil fungieren. Die zukünftige Entwicklung der ZKP-Technologie sollte man unbedingt im Auge behalten.

Referenzen & Verwandte Links

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

Was ist die vollständig homomorphe Verschlüsselung (FHE)? Der Schlüssel zur Sicherheit der nächsten Generation

Fri, 11 Sep 2026 11:00:00 +0900

Während Cloud-Computing und KI-Technologien als Grundlage unserer Gesellschaft fest etabliert sind, ist der Kompromiss zwischen “Datenschutz” und “Datennutzung” zu einer der wichtigsten Herausforderungen geworden. Es gibt eine wachsende Nachfrage danach, dass KI hochsensible Daten wie medizinische Daten, Finanzinformationen und persönliche biometrische Daten in der Cloud analysiert. Dennoch zögern viele Unternehmen aus Sicherheitsbedenken, Daten nach außen zu senden.

Herkömmliche Verschlüsselungstechnologien (wie AES und RSA) eignen sich hervorragend zum Schutz von gespeicherten Daten (Data at Rest) oder Daten, die über ein Netzwerk übertragen werden (Data in Transit). Wenn der Server jedoch Verarbeitungen (Berechnungen) wie Suchen oder maschinelles Lernen an den Daten durchführt (Data in Use), müssen die Daten zuerst entschlüsselt und wieder in Klartext umgewandelt werden. Wenn der Server in diesem Moment der Entschlüsselung gehackt wird oder ein böswilliger interner Administrator die Daten einsieht, führt dies direkt zu einem Informationsleck.

Die vollständig homomorphe Verschlüsselung (Fully Homomorphic Encryption: FHE) ist eine Traumtechnologie, die diese fundamentale Schwäche der “Entschlüsselung während der Verarbeitung” überwindet. Mit FHE ist es möglich, Berechnungen an Daten durchzuführen, während sie verschlüsselt bleiben, ohne sie jemals zu entschlüsseln, und nur das verschlüsselte Ergebnis an den Client zurückzusenden.

In diesem Artikel werden wir FHE, den Schlüssel zur Sicherheit der nächsten Generation, detailliert untersuchen – von seinen Konzepten und seiner Geschichte über den bahnbrechenden Durchbruch von Craig Gentry, die mathematischen Grundlagen (wie Ring-LWE), die größte Herausforderung des “Rauschens” und deren Lösung (Bootstrapping) bis hin zu den neuesten Implementierungsbibliotheken.

1. Was ist homomorphe Verschlüsselung? Grundkonzepte

“Homomorph” ist ein Begriff aus der Algebra, der sich auf die Eigenschaft bezieht, dass zwischen Mengen mit einer bestimmten Struktur Abbildungen vorgenommen werden können, während die Struktur der Operationen erhalten bleibt. In der Kryptographie bedeutet die “homomorphe” Eigenschaft, dass Operationen im Klartextraum den Operationen im Geheimtextraum entsprechen.

Ausgedrückt in einer einfachen Formel: Sei $E(\cdot)$ die Verschlüsselungsfunktion und $D(\cdot)$ die Entschlüsselungsfunktion für die Klartexte $m_1$ und $m_2$. Wenn wir die Operation auf dem Klartext (wie Addition oder Multiplikation) als $\circ$ und die Operation auf dem Geheimtext als $\diamond$ bezeichnen, gilt die folgende Beziehung:

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

Das bedeutet, wenn wir das Ergebnis einer Operation $\diamond$ auf die Geheimtexte $E(m_1)$ und $E(m_2)$ entschlüsseln, stimmt es mit dem Ergebnis der Operation $\circ$ auf die ursprünglichen Klartexte überein.

Datenfluss im Cloud Computing

Die Architektur der Cloud-Verarbeitung mit FHE unterscheidet sich völlig von herkömmlichen Methoden. Das folgende Diagramm zeigt den Ablauf einer sicheren Datenverarbeitung unter Verwendung von FHE.

Der Server empfängt die verschlüsselten Daten $E(x)$, aber da er den privaten Schlüssel nicht besitzt, kann er unmöglich den Inhalt der Daten kennen. Durch Ausnutzung der Eigenschaften von FHE kann er jedoch eine Funktion $f$ (zum Beispiel ein maschinelles Lern-Inferenzmodell) auf den Geheimtext anwenden und $E(f(x))$ erzeugen. Der Client empfängt dies und entschlüsselt es mit seinem eigenen privaten Schlüssel, um das gewünschte Ergebnis $y = f(x)$ zu erhalten.

2. Die Evolutionsgeschichte der homomorphen Verschlüsselung: PHE, SHE, FHE

Die homomorphe Verschlüsselung hat ihre aktuelle “vollständige” Form nicht auf einmal erreicht. Sie wird je nach Art und Anzahl der durchführbaren Operationen grob in drei Phasen eingeteilt.

Partially Homomorphic Encryption (PHE: Partiell homomorphe Verschlüsselung)

PHE ist ein Verschlüsselungsschema, das es erlaubt, entweder Addition oder Multiplikation unbegrenzt durchzuführen. Tatsächlich existieren Verschlüsselungen mit dieser Eigenschaft schon seit langer Zeit.

RSA-Verschlüsselung (Homomorphismus bezüglich Multiplikation) Die RSA-Verschlüsselung hatte unbeabsichtigt eine multiplikative homomorphe Eigenschaft. Seien $m_1, m_2$ Klartexte und $(e, N)$ der öffentliche Schlüssel: $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ Wenn wir diese multiplizieren: $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ Auf diese Weise entspricht die Multiplikation von Geheimtexten der Multiplikation von Klartexten.
Paillier-Verschlüsselung (Homomorphismus bezüglich Addition) Die 1999 erfundene Paillier-Verschlüsselung besitzt eine additive homomorphe Eigenschaft. Sie wird in der Praxis für elektronische Wahlen (Zählen von verschlüsselten Stimmen und Entschlüsseln nur des Endergebnisses) verwendet.

Somewhat Homomorphic Encryption (SHE: Etwas homomorphe Verschlüsselung)

Dieses Schema kann sowohl Addition als auch Multiplikation ausführen, aber es gibt eine Grenze für die Anzahl der Operationen (die Tiefe der Schaltung), die durchgeführt werden können. Aufgrund der Ansammlung von “Rauschen”, das später erläutert wird, wird die Entschlüsselung nach einer bestimmten Anzahl von Multiplikationen unmöglich. Die BGN (Boneh-Goh-Nissim)-Verschlüsselung von 2005 ist ein solches Beispiel, aber sie hatte Einschränkungen bei der Durchführung komplexer praktischer Berechnungen (wie Deep Learning).

Fully Homomorphic Encryption (FHE: Vollständig homomorphe Verschlüsselung)

Ein Verschlüsselungsschema, das sowohl Addition als auch Multiplikation unbegrenzt oft ausführen kann. Ähnlich der Turing-Vollständigkeit in der Informationstheorie bedeutet dies: Wenn Addition (entspricht XOR) und Multiplikation (entspricht AND) unendlich oft kombiniert werden können, kann theoretisch jede berechenbare Funktion oder jeder Algorithmus in einem verschlüsselten Zustand ausgeführt werden.

FHE wurde lange Zeit als der “Heilige Gral der Kryptographie” bezeichnet und man hielt es sogar für unmöglich, dies zu erreichen. Im Jahr 2009 schlug Craig Gentry, der damals Doktorand an der Stanford University war, jedoch das erste FHE-Schema vor, das ideale Gitter (Ideal Lattices) nutzte und die Welt schockierte.

3. Mathematische Grundlagen von FHE: Das LWE-Problem und Ring-LWE

Viele der heutigen Mainstream-FHE-Schemata basieren auf dem LWE (Learning With Errors)-Problem, einer mathematischen Herausforderung der “gitterbasierten Kryptographie” (Lattice-based Cryptography), die auch als Post-Quanten-Kryptographie (Post-Quantum Cryptography) bekannt ist.

Intuitives Verständnis des LWE-Problems

Das Lösen von linearen Gleichungssystemen ist mit Methoden wie der Gaußschen Elimination einfach.

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

Was passiert jedoch, wenn wir den Ergebnissen dieser Gleichungen einen sehr kleinen “zufälligen Fehler (Rauschen)” $e$ hinzufügen?

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

Nur durch Hinzufügen dieses Fehlers $e$ verwandelt sich das Problem, den geheimen Variablenvektor $\vec{s}$ zu finden, in ein NP-schweres Problem, das selbst mit aktuellen Supercomputern oder Quantencomputern schwer zu knacken ist. Dies ist das LWE-Problem.

Das Ring-LWE-Problem (RLWE)

Das Standard-LWE-Problem beinhaltet Matrixoperationen, was zu dem Problem führt, dass die Schlüsselgrößen sehr groß sind (manchmal in der Größenordnung von Gigabyte) und die Berechnungseffizienz gering ist. Um dies zu lösen, wurde das Ring-LWE (RLWE)-Problem eingeführt, welches Operationen über Polynomringen verwendet.

In RLWE gehören die Elemente zum Polynomring $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ (wobei $N$ eine Zweierpotenz und $q$ eine Primzahl als Modul ist). Wenn der private Schlüssel ein Polynom $s(x)$, $a(x)$ ein zufälliges Polynom und $e(x)$ ein kleines Rauschpolynom ist, ist der öffentliche Schlüssel das folgende Paar:

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

Während der Verschlüsselung werden die Eigenschaften dieser Polynome genutzt, um den Klartext $m(x)$ zu kodieren und den Geheimtext zu erzeugen.

4. Das größte Hindernis “Rauschen” und Gentrys Bootstrapping

Das wichtigste Konzept für das Verständnis von FHE ist das “Rauschmanagement”.

In LWE/RLWE-basierter Kryptographie wird absichtlich ein kleines “Rauschen (Fehler)” eingeschlossen, um die Sicherheit zu gewährleisten. Der Prozess der Entschlüsselung des Geheimtextes $c$ eines Klartextes $m$ wird grob durch die folgende Formel ausgedrückt:

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

Bei der Entschlüsselung wird dieses noise durch Prozesse wie Rundung entfernt, um den richtigen Klartext $m$ zu erhalten. Wenn Sie jedoch homomorphe Operationen (insbesondere Multiplikation) zwischen Geheimtexten durchführen, wird dieses Rauschen dramatisch verstärkt.

Homomorphe Addition: Rauschen nimmt additiv zu ($e_1 + e_2$). Dies ist eine relativ langsame Zunahme.
Mathematischer Ausdruck der homomorphen Eigenschaft für homomorphe Addition: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
Homomorphe Multiplikation: Rauschen explodiert multiplikativ (weil es Ausdrücke wie $e_1 \times e_2$ enthält). Nach nur wenigen Multiplikationen überschreitet das Rauschen den Schwellenwert $q/2$, was eine korrekte Rundung unmöglich macht und die Entschlüsselung fehlschlägt.
Mathematischer Ausdruck der homomorphen Eigenschaft für homomorphe Multiplikation: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

Aus diesem Grund war FHE lange Zeit nicht realisierbar und blieb auf SHE (mit einer begrenzten Anzahl von Operationen) beschränkt.

Die Magie des Bootstrapping

Craig Gentrys genialer Beitrag war die Erfindung einer Rauschreduzierungstechnik namens “Bootstrapping”. Dies war ein Paradigmenwechsel in der Kryptographie.

Intuitiv ist es die Operation: “Bevor der Geheimtext mit Rauschen bedeckt und zerstört wird, ’entschlüsseln’ wir ihn im verschlüsselten Zustand, bereinigen ihn und legen ihn in einen neuen Geheimtext.”

Angenommen, wir haben einen Geheimtext $C_{noisy}$ mit hohem Rauschen.
Der Client übergibt im Voraus an den Server seinen privaten Schlüssel $sk$, der “mit dem öffentlichen Schlüssel verschlüsselt” ist, nämlich $E_{pk}(sk)$ (dies wird als Bootstrapping-Schlüssel bezeichnet).
Der Server führt homomorph eine Entschlüsselungsschaltung (Decryption Circuit) auf $C_{noisy}$ aus.
Insbesondere führt er eine “Entschlüsselung innerhalb des verschlüsselten Raums” durch, indem er $E_{pk}(sk)$ auf $E_{pk}(C_{noisy})$ anwendet.
Da diese Entschlüsselungsschaltung selbst eine homomorphe Operation ist, erzeugt sie neues Rauschen, aber das Rauschen des ausgegebenen neuen Geheimtextes $C_{fresh}$ wird auf ein bestimmtes “festes Niveau” zurückgesetzt.

graph LR A["Geheimtext mit hohem Rauschen C_noisy"] --> B["Homomorphe Entschlüsselungsschaltung (Eval_Dec)"] C["Verschlüsselter privater Schlüssel E(sk)"] --> B B --> D["Geheimtext mit geringem Rauschen C_fresh"] style B fill:#ffeeba,stroke:#ffc107

Durch die regelmäßige Ausführung dieses Bootstrappings während der Berechnung ist es theoretisch möglich, eine Schaltung unendlicher Tiefe zu berechnen (Erreichen von FHE). Die frühe Methode von Gentry hatte jedoch einen so hohen Rechenaufwand, dass ein einziger Bootstrapping-Prozess zig Minuten bis Stunden in Anspruch nahm.

5. FHE-Generationen und die Evolution der wichtigsten Schemata

Um FHE in die Praxis umzusetzen, haben Kryptographen auf der ganzen Welt darum gewetteifert, die Algorithmen zu verbessern. Gegenwärtig wird FHE hauptsächlich in vier Generationen/Familien eingeteilt.

Zweite Generation: Exakte Berechnung von Ganzzahlen (BGV, BFV)

Die BGV (Brakerski-Gentry-Vaikuntanathan) und BFV (Brakerski/Fan-Vercauteren) Schemata tauchten in den Jahren 2011-2012 auf. Diese basieren auf RLWE und eignen sich gut für modulare Arithmetik (exakte Berechnungen) mit ganzen Zahlen. Sie unterstützen Batching-Technologien wie SIMD (Single Instruction, Multiple Data), die es ermöglichen, Tausende von Datensteckplätzen in einen einzigen riesigen Polynom-Geheimtext zu packen und sie alle auf einmal parallel zu berechnen.

Dritte Generation: Beschleunigung des Bootstrapping (GSW, FHEW, TFHE)

Das GSW (Gentry-Sahai-Waters) Schema von 2013 vereinfachte die Struktur von FHE. Dies wurde weiterentwickelt zu einem der heutigen Mainstream-Schemata, TFHE (Fast Fully Homomorphic Encryption over the Torus). Das Besondere an TFHE ist, dass sein Bootstrapping extrem schnell (im Millisekundenbereich) ist. Es ist stark bei Operationen auf Gatterebene (Logikschaltungen wie AND, XOR) und hat eine relativ kleine Geheimtextgröße, wodurch es sich zur schnellen Auswertung beliebiger Logikschaltungen eignet.

Vierte Generation: Spezialisierung auf Näherungsberechnungen und maschinelles Lernen (CKKS)

Das 2017 von Cheon et al. vorgeschlagene CKKS (Cheon-Kim-Kim-Song) Schema ist die definitive Technologie für den Schutz der Privatsphäre in der heutigen KI und beim maschinellen Lernen. Während sich bisherige FHE auf “exakte Ganzzahlberechnungen” konzentrierten, unterstützt CKKS “Näherungsberechnungen von Fließkommazahlen” im verschlüsselten Zustand. Es zeigt eine überwältigende Leistung bei Berechnungen mit reellen Zahlen, bei denen kleine Fehler toleriert werden, wie z.B. das Training und die Inferenz von neuronalen Netzen.

Die folgende Tabelle fasst zusammen, wie Sie ein Schema basierend auf Ihrem Zweck auswählen.

Schema-Name	Bevorzugter Datentyp	Empfohlene Anwendungsfälle	Merkmale
BFV / BGV	Ganzzahlen (Integer)	Genaue statistische Berechnungen, Aggregation von Finanzdaten, DB-Suche	Hoher Durchsatz durch SIMD-Batching
CKKS	Reelle Zahlen (Real/Complex)	Maschinelles Lernen (DNN, logistische Regression), Signalverarbeitung	Beschleunigung durch Näherungsberechnungen, Reskalierung
TFHE	Boolesche Werte (Boolean)	Beliebige Logikschaltungen, String-Suche, Auswertung nichtlinearer Funktionen	Ultraschnelles Bootstrapping (Millisekundenbereich)

6. Praxis: FHE-Bibliotheken und konzeptioneller Code

Heutzutage gibt es viele Open-Source-Bibliotheken, mit denen man FHE nutzen kann, ohne fundierte Kenntnisse der Kryptographie zu besitzen.

Microsoft SEAL (Simple Encrypted Arithmetic Library): Eine C++-Bibliothek, die BFV, BGV und CKKS unterstützt. Einer der Industriestandards. Die Python-Anbindung TenSEAL ist bei KI-Ingenieuren sehr beliebt.
Zama (Concrete): Ein Framework basierend auf TFHE. Es kann in Rust/Python geschrieben werden und bietet die Funktion (Concrete ML), bestehende PyTorch-Modelle zu kompilieren und auf FHE auszuführen.
OpenFHE: Der Nachfolger von PALISADE, eine umfassende C++-Bibliothek, die alle gängigen Schemata unterstützt.

Beispiel für FHE-Programmierung in Python (TenSEAL)

Hier ist ein konzeptionelles Python-Codebeispiel unter Verwendung des CKKS-Schemas, das Vektoren aus reellen Zahlen addiert und multipliziert, während sie verschlüsselt bleiben.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. Kontext-Setup (inklusive Schlüsselerzeugung)
# Verwendung des CKKS-Schemas, Polynomgrad auf 8192 gesetzt
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # Skalierungsfaktor für reelle Zahlen

# 2. Client-Seite: Daten verschlüsseln
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# Klartext-Vektoren in Geheimtexte umwandeln (wird normalerweise auf der Client-Seite ausgeführt)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. Server-Seite: Operationen in verschlüsseltem Zustand (Schutz von Data in Use)
# Der Server kennt den Klartext nicht, kann aber Addition und Multiplikation ausführen
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. Client-Seite: Ergebnisse entschlüsseln
# Nur der Client mit dem privaten Schlüssel kann das Ergebnis sehen
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"Entschlüsseltes Additionsergebnis: {res_add}")
# Beispielausgabe: [3.5000001, 5.5000001, 7.5000002] (enthält aufgrund der Näherungsberechnung einen winzigen Fehler)

print(f"Entschlüsseltes Multiplikationsergebnis: {res_mul}")
# Beispielausgabe: [3.0000002, 7.5000005, 14.0000003]

Wie aus dem obigen Code ersichtlich ist, können Sie Berechnungen zwischen Geheimtexten intuitiv schreiben, indem Sie Standard-Python-Operatoren wie in enc_v1 + enc_v2 überladen. Auf der Serverseite werden Vektoroperationen abgeschlossen, ohne den Inhalt der Vektoren zu kennen.

7. Herausforderungen von FHE: Leistung und Hardware-Beschleunigung

Während FHE theoretisch perfekte Sicherheit bietet, ist die größte Herausforderung bei seiner praktischen Anwendung der “Leistungs-Overhead”.

Rechenaufwand: Im Vergleich zu Berechnungen mit Klartexten sind Berechnungen mit Geheimtexten auf CPUs Tausende bis Zehntausende Male langsamer. Polynommultiplikation und Bootstrapping erfordern massive Mengen an FFT- (Fast Fourier Transform) oder NTT- (Number Theoretic Transform) Berechnungen.
Datenexpansion (Ciphertext Expansion): Ein paar Byte Klartext können im verschlüsselten Zustand zu mehreren Megabyte werden. Dies übt großen Druck auf die Speicherbandbreite und die Netzwerkbandbreite aus.

Ansätze für Hardware-Lösungen

Um diesen Overhead zu überwinden, treibt man weltweit die Entwicklung von FHE-spezifischen Hardware-Beschleunigern (ASIC, FPGA, GPU-Unterstützung) voran.

GPU-Beschleunigung: Die Bemühungen schreiten voran, um NTT-Berechnungen und Bootstrapping mit leistungsstarken GPUs wie denen von NVIDIA zu parallelisieren, was eine zigfache Beschleunigung gegenüber Softwareimplementierungen meldet (z. B. 100x.ai, Zamas TFHE-rs CUDA-Backend).
DARPA DPRIVE-Projekt: Die US-amerikanische Defense Advanced Research Projects Agency (DARPA) fördert “DPRIVE (Data Protection in Virtual Environments)”, ein Projekt zur Entwicklung dedizierter Hardware, um die Berechnungsgeschwindigkeit von FHE auf ein Niveau anzuheben, das dem der Klartextverarbeitung entspricht (innerhalb des 10-fachen Overheads). Unternehmen wie Intel, Microsoft und Intellectual Ventures sind daran beteiligt.
Aufkommen der FPU (FHE Processing Unit): Start-ups wie Cornami und Optalysys haben mit der Entwicklung von FHE-spezifischen Chips begonnen, die optisches Computing oder spezielle Siliziumarchitekturen nutzen.

In naher Zukunft wird es möglicherweise eine Zeit geben, in der “FPUs” standardmäßig in Servern und Cloud-Infrastrukturen installiert sind, ähnlich wie NPUs (Neural Processing Units) in der KI.

8. Erwartete Anwendungsfälle

Da FHE mittlerweile praktische Geschwindigkeiten erreicht, werden bahnbrechende Innovationen in den folgenden Bereichen erwartet.

Schutz der Privatsphäre in der medizinischen und genomischen Analyse: Indem die von mehreren Krankenhäusern gehaltenen Patientenakten und DNA-Daten mit FHE verschlüsselt und von der Cloud-KI trainiert werden, können hochpräzise Krebsdiagnosemodelle und die Entwicklung neuer Medikamente durchgeführt werden, ohne gegen Datenschutzgesetze (wie HIPAA oder DSGVO) zu verstoßen.
Betrugserkennung und Anti-Geldwäsche (AML) für Finanzinstitute: Konkurrierende Banken können gegenseitig ihre Daten in verschlüsselter Form abgleichen, um riesige illegale Überweisungsnetzwerke zu erkennen (Cross-Bank-Analyse), ohne Kundenkontoinformationen oder Transaktionshistorien preiszugeben.
Sichere KI-Inferenz-API (MaaS: Model as a Service): Benutzer verschlüsseln ihre eigene Stimme, Gesichtsbilder oder Prompts und senden sie an einen KI-Dienst (z.B. ein LLM wie ChatGPT). Der KI-Anbieter generiert Antworten, ohne die Eingabe des Benutzers jemals zu kennen, und gibt sie als Geheimtext zurück. Dies beseitigt vollständig die Sorge, dass “die KI persönliche Informationen lernt oder einsehen kann”.

9. Fazit: Die Zukunft der Kryptographie geht hin zu “unsichtbaren Berechnungen”

Genauso wie die Erfindung der Public-Key-Kryptographie (RSA) in den 1970er Jahren die sichere Kommunikation (wie HTTPS) über das Internet ermöglichte, ist die Erfindung von FHE durch Craig Gentry einer der wichtigsten Meilensteine in der Geschichte der Kryptographie.

Heute verlässt die vollständig homomorphe Verschlüsselung (FHE) die Forschungslabors und tritt in ein Stadium ein, in dem Microsoft, IBM, Intel, Google und viele Start-ups um die Kommerzialisierung wetteifern. Herausforderungen hinsichtlich der Rechenkosten und der Datengröße bestehen weiterhin, aber durch die Verfeinerung von Algorithmen und die Entwicklung von Hardware-Beschleunigern wird die Leistung in einem Tempo verbessert, das das Mooresche Gesetz übertrifft.

In wenigen Jahren wird es nichts Besonderes mehr sein, “zu rechnen, während die Daten verschlüsselt bleiben”, sondern es wird eine Standard-Best-Practice für den Datenschutz bei Cloud-Diensten werden. FHE ist der Schlüssel zur Sicherheit der nächsten Generation und realisiert die ultimative Balance zwischen Datenschutz und Datennutzung in unserer datengesteuerten Gesellschaft.