Ein Zero-Knowledge-Beweis (ZKP) ist ein kryptographisches Protokoll, das es einer Partei, dem sogenannten Beweiser, ermöglicht, eine andere Partei, den sogenannten Verifizierer, davon zu überzeugen, dass eine bestimmte mathematische Aussage wahr ist, ohne dabei Informationen preiszugeben, die über die bloße Tatsache hinausgehen, dass die Aussage tatsächlich wahr ist.

Das Konzept basiert auf der grundlegenden Erkenntnis, dass Wissen und Verifizierung grundsätzlich trennbar sind: Es ist möglich, den Besitz von Wissen nachzuweisen, ohne dieses Wissen weiterzugeben.

Im Kontext von Blockchain-Technologie und Kryptowährung haben sich Zero-Knowledge-Proofs zu einer der transformativsten Technologien entwickelt. kryptographisch Primitive, die datenschutzfreundliche Transaktionen, skalierbare Layer-2-Berechnungen, überprüfbare Off-Chain-Verarbeitung und Identitätssysteme ermöglichen, die Attribute nachweisen, ohne die zugrunde liegenden Daten preiszugeben.

Die mathematische Grundlage von Zero-Knowledge-Beweisen basiert auf der Theorie der Komplexitätstheorie und interaktiven Beweissystemen. Ein Beweissystem erfüllt die Zero-Knowledge-Eigenschaft, wenn für jeden möglichen Verifizierer, einschließlich gegnerischer Verifizierer, die versuchen, Informationen zu extrahieren, ein Simulator existiert, der ein Protokoll erzeugen kann, das von einer realen Beweisinteraktion nicht zu unterscheiden ist, ohne Zugriff auf den geheimen Zeugen des Beweisers zu haben.

Dieses Simulationsmodell, das von Goldwasser, Micali und Rackoff in ihrer bahnbrechenden Arbeit von 1985 eingeführt wurde, formalisierte die Intuition, dass ein Beweis „nichts“ offenbart, indem es zeigte, dass alles, was der Prüfer aus der Beweisinteraktion berechnen könnte, er auch unabhängig ohne jegliche Interaktion berechnen könnte.

Die drei wesentlichen Eigenschaften sind Vollständigkeit (ein ehrlicher Beweiser kann einen ehrlichen Prüfer immer von einer wahren Aussage überzeugen), Korrektheit (kein betrügerischer Beweiser kann einen Prüfer von einer falschen Aussage überzeugen, außer mit vernachlässigbarer Wahrscheinlichkeit) und Nullwissen (der Prüfer erfährt nichts über die Wahrheit der Aussage hinaus).

In Blockchain-Anwendungen adressieren Zero-Knowledge-Proofs (ZKP) den grundlegenden Konflikt zwischen Transparenz und Datenschutz, der öffentliche Ledger-Systeme kennzeichnet. Bitcoin und Ethereum machen systembedingt alle Transaktionsdaten öffentlich sichtbar, einschließlich Beträge, Adressen und Smart-Contract-Interaktionen. Dadurch entsteht ein permanenter, überprüfbarer Datensatz, der Nutzer gleichzeitig Überwachung, Front-Running und Finanzprofiling aussetzt. Zero-Knowledge-Proofs lösen dieses Problem, indem sie Nutzern und Systemen ermöglichen, Konformität, Korrektheit oder Besitz nachzuweisen, ohne die zugrundeliegenden Daten offenzulegen. Ein ZKP kann die Gültigkeit einer Transaktion beweisen (Eingaben und Ausgaben stimmen überein, keine Doppelausgaben, Absender verfügt über ausreichend Guthaben), ohne preiszugeben, wer wie viel an wen gesendet hat.

Herkunft & Geschichte

1985: Shafi Goldwasser, Silvio Micali und Charles Rackoff veröffentlichten „The Knowledge Complexity of Interactive Proof-Systems“, in dem sie die formale Definition von Zero-Knowledge-Beweisen einführten und die theoretischen Grundlagen des Fachgebiets legten. Diese Arbeit trug dazu bei, dass Goldwasser und Micali 2012 für ihre Forschungen zur Kryptographie den Turing Award erhielten.

1986: Oded Goldreich, Silvio Micali und Avi Wigderson zeigen, dass jedes Problem in NP einen Zero-Knowledge-Beweis besitzt und belegen damit die außerordentliche Allgemeingültigkeit von Zero-Knowledge: Jede Aussage, die effizient verifiziert werden kann, lässt sich auch mit Zero-Knowledge beweisen. Zur gleichen Zeit veröffentlichen Amos Fiat und Adi Shamir die Fiat-Shamir-Heuristik, die interaktive Beweise in nicht-interaktive umwandelt, indem sie die Herausforderungen des Verifizierers durch Hash-Funktionsausgaben ersetzen. Diese Transformation wurde zur Standardtechnik für den Einsatz von Zero-Knowledge-Beweisen in nicht-interaktiven Umgebungen, einschließlich Blockchain.

1988: Manuel Blum, Paul Feldman und Silvio Micali stellen Non-Interactive Zero-Knowledge (NIZK)-Beweise unter Verwendung eines gemeinsamen Referenzstringmodells vor, wodurch die Notwendigkeit einer Hin- und Her-Kommunikation entfällt und die Grundlage für praktische Anwendungen geschaffen wird.

2012: Nir Bitansky, Ran Canetti, Alessandro Chiesa und Eran Tromer formalisieren Succinct Non-Interactive Arguments of Knowledge (SNARKs) und liefern damit die theoretische Grundlage für die kompakten Beweise, die für den Datenschutz und die Skalierung der Blockchain von zentraler Bedeutung werden sollten.

2013: Das von Bryan Parno, Jon Howell, Craig Gentry und Mariana Raykova bei Microsoft Research entwickelte Pinocchio-Protokoll demonstriert die erste praktische zk-SNARK-Konstruktion, die effizient genug für den Einsatz in der realen Welt ist, und beweist damit, dass verifizierbare Berechnungen für allgemeine Zwecke möglich sind.

2014: Das Zcash-Projekt (ursprünglich Zerocash) nimmt seine Entwicklung auf und stellt den ersten größeren Einsatz von zk-SNARKs in einer Kryptowährung dar. Die von der Electric Coin Company koordinierte Zcash-Zeremonie generiert die ersten vertrauenswürdigen Setup-Parameter für den Produktiveinsatz und ermöglicht so vollständig geschützte (private) Kryptowährungstransaktionen.

2016: Jens Groth veröffentlichte das Groth16-Beweissystem, das damals die kleinsten Beweisgrößen und schnellsten Verifizierungszeiten aller paarungsbasierten SNARKs erreichte. Groth16 entwickelte sich zu einem der am weitesten verbreiteten SNARKs in Produktionssystemen und wird von Zcash, Tornado Cash und zahlreichen anderen Protokollen verwendet.

2018: Eli Ben-Sasson, Iddo Bentov, Yinon Horesh und Michael Riabzev veröffentlichen die zk-STARK-Konstruktion, die die Anforderungen an eine vertrauenswürdige Einrichtung eliminiert und Sicherheit nach der Quantenberechnung bietet. StarkWare Industries wurde gegründet, um die STARK-Technologie für die Blockchain-Skalierung zu kommerzialisieren.

2019: Ariel Gabizon, Zachary J. Williamson und Oana Ciobotaru veröffentlichen PLONK und führen damit universelle und aktualisierbare strukturierte Referenzzeichenketten ein. Dank seiner benutzerdefinierten Gatter und Permutationsargumente ist PLONK für komplexe Schaltungen deutlich flexibler als Groth16 und wird rasch von Projekten wie Aztec, zkSync und dem Mina-Protokoll übernommen.

2020: Sean Bowe, Jack Grigg und Daira Hopwood von der Electric Coin Company veröffentlichen die Halo-Konstruktion und anschließend Halo 2, wodurch eine rekursive Beweiskomposition ohne vertrauenswürdige Einrichtung erreicht wird – ein Durchbruch, der Beweise ermöglicht, die andere Beweise verifizieren, was für die inkrementelle Blockchain-Zustandsverifizierung unerlässlich ist.

2021: zkSync (Matter Labs) und StarkNet (StarkWare) starten als zk-Rollup-Layer-2-Netzwerke auf Ethereum. Sie nutzen SNARKs bzw. STARKs, um Tausende von Transaktionen zu einzelnen, von Ethereum-Smart-Contracts verifizierten Proofs zusammenzufassen. Der Wettbewerb zwischen zk-Rollup-Projekten verschärft sich und positioniert ZKPs als führende Skalierungstechnologie für Ethereum.

2022: Nova von Kothapalli, Setty und Tzialla führt Faltungsschemata für effiziente, inkrementelle, verifizierbare Berechnungen ein und reduziert den Beweisaufwand für rekursive Beweissysteme drastisch. Polygon übernimmt die Projekte Hermez und Miden und kündigt Polygon zkEVM an, ein auf ZKP basierendes Äquivalent zur Ethereum Virtual Machine.

2023 zu 2024: Das zk-Rollup-Ökosystem reift weiter. zkSync Era, StarkNet, Polygon zkEVM, Scroll, Linea und Taiko starten allesamt Mainnet- oder öffentliche Testnet-zk-Rollups. Die Beweisgenerierung wird zunehmend parallelisiert, beschleunigt durch GPUs und FPGAs. Beweisaggregation und gemeinsames Beweisen entwickeln sich zu aktiven Forschungsgebieten, wobei Projekte gemeinsam genutzte ZKP-Verifizierungsschichten vorschlagen.

2025 zu 2026: Zero-Knowledge-Beweise werden zunehmend in die gängige Blockchain-Infrastruktur integriert. Ethereums Forschungs-Roadmap sieht weiterhin die Einbindung von ZKP-basierten „Verkle-Beweisen“ und verwandten Techniken für das Zustandsmanagement vor. Gleichzeitig wird die Entwicklung von kettenübergreifenden ZKP-Bridges vorangetrieben, um eine vertrauenslose Interoperabilität zwischen Blockchains zu ermöglichen. Parallel dazu führte Ethereums Fusaka-Upgrade Ende 2025 eine andere, aber verwandte kryptografische Skalierungstechnik, das Data Availability Sampling, für die Blob-Daten des Netzwerks ein.

„Zero-Knowledge-Beweise gehören zu den am meisten unterschätzten Technologien, sowohl im Blockchain-Bereich als auch darüber hinaus. Sie werden grundlegend für unser Verständnis von Datenschutz und Verifizierung in der digitalen Welt sein.“ Vitalik Buterin, Mitbegründer von Ethereum, EthCC Paris, 2022.

Einfach ausgedrückt

Die Passwort-Analogie: Stellen Sie sich vor, Sie müssen einer Website beweisen, dass Sie Ihr Passwort kennen. Anstatt es einzugeben (was abgefangen werden könnte), lösen Sie ein spezielles mathematisches Rätsel, das nur mit dem Passwort lösbar ist. Die Website überprüft Ihre Lösung und bestätigt, dass Sie das Passwort kennen, ohne das Passwort selbst jemals zu sehen. Genau das leistet ein Zero-Knowledge-Beweis: Er beweist Ihr Wissen, ohne preiszugeben, was Sie wissen.

Die Sudoku-Lösung: Sie haben ein schwieriges Sudoku-Rätsel gelöst und möchten dies beweisen, ohne Ihre Lösung preiszugeben. Sie decken jede Zeile, Spalte und jedes 3×3-Feld mit Karten ab und lassen den Prüfer dann zufällig eine beliebige Zeile, Spalte oder ein beliebiges Feld auswählen und untersuchen. Er stellt fest, dass es die Zahlen 1 bis 9 ohne Wiederholungen enthält. Nach genügend zufälligen Überprüfungen ist er überzeugt, dass die gesamte Lösung korrekt ist, obwohl er nie genug von der Lösung gesehen hat, um sie zu rekonstruieren.

Wichtig: Zero-Knowledge-Beweise (ZKP) bieten zwar leistungsstarke Funktionen für Datenschutz und Verifizierung, sind aber komplexe kryptografische Systeme, die eine sorgfältige Implementierung erfordern. Fehler in ZKP-Schaltungen (der mathematischen Beschreibung der zu beweisenden Berechnung) können zu Sicherheitslücken führen, in denen falsche Beweise akzeptiert werden. Die Sicherheit vieler ZKP-Systeme basiert auf kryptografischen Annahmen, wie z. B. der Härte des diskreten Logarithmus oder Paarungsannahmen, die prinzipiell von ausreichend leistungsfähigen Quantencomputern gebrochen werden könnten. Nutzer, die auf ZKP-basierten Datenschutz angewiesen sind, sollten sich bewusst sein, dass die Datenschutzgarantie nur so stark ist wie die zugrunde liegende kryptografische Implementierung und dass Fortschritte in der Kryptoanalyse oder im Quantencomputing die Sicherheit im Laufe der Zeit beeinträchtigen können.

Wichtige technische Merkmale

Die mathematischen Grundlagen: Polynomielle Verpflichtungen und arithmetische Schaltkreise

Das Herzstück moderner Zero-Knowledge-Beweissysteme ist die Darstellung von Berechnungen als Polynomgleichungen über endlichen Körpern. Jede Berechnung, einschließlich der Verifizierung einer Blockchain-Transaktion, der Ausführung eines Smart Contracts oder der Validierung eines Identitätsattributs, lässt sich als arithmetischer Schaltkreis ausdrücken: ein gerichteter azyklischer Graph von Additions- und Multiplikationsgattern, die auf Elementen eines endlichen Körpers (ganze Zahlen modulo einer Primzahl) operieren.

Die Aufgabe des Beweisers besteht darin, zu demonstrieren, dass er eine Wertezuordnung (einen „Zeugen“) zu den Drähten des Schaltkreises besitzt, sodass alle Gatter erfüllt sind, ohne den Zeugen preiszugeben.

Die Umwandlung von Berechnungen in Polynomgleichungen erfolgt durch Arithmetisierung. Der Beweiser kodiert die Leitungswerte des Schaltkreises als Koeffizienten oder Auswertungspunkte von Polynomen, und die Bedingungen des Schaltkreises werden zu Identitätsprüfungen für Polynome. Beispielsweise wird ein Multiplikationsgatter a × b = c zu einer Polynombedingung, die an bestimmten Auswertungspunkten erfüllt sein muss.

Kann der Beweiser nachweisen, dass diese Polynomidentitäten gelten, ausgewertet an zufälligen Prüfpunkten, die vom Prüfer vorgegeben oder mithilfe der Fiat-Shamir-Heuristik abgeleitet wurden, ist der Prüfer davon überzeugt, dass die zugrunde liegende Berechnung korrekt durchgeführt wurde.

Polynomielle Commitment-Schemata sind der Mechanismus, mit dem sich der Beweiser auf ein Polynom festlegt, ohne es offenzulegen, und diese Festlegung später an bestimmten Punkten aufhebt, um Auswertungen zu beweisen. Das KZG-Commitment-Schema (Kate-Zaverucha-Goldberg), das auf Paarungen elliptischer Kurven basiert, gehört zu den am weitesten verbreiteten Verfahren: Der Beweiser berechnet einen einzelnen Punkt auf einer elliptischen Kurve als Commitment, und die Verifikation erfordert unabhängig vom Grad des Polynoms nur wenige Paarungsoperationen.

Diese Kürze macht zk-SNARKs so kompakt. Alternative Commitment-Verfahren umfassen FRI (Fast Reed-Solomon Interactive Oracle Proofs of Proximity), das in STARKs verwendet wird und auf Hash-Funktionen anstelle von Paarungen basiert. Dies bietet Transparenz und Post-Quanten-Sicherheit, erfordert jedoch größere Beweisgrößen.

Wie ein zk-SNARK-Beweis funktioniert (Schritt für Schritt)

1. Schaltungszusammenstellung: Die zu beweisende Berechnung, beispielsweise „Diese Transaktion ist gültig“, wird als arithmetischer Schaltkreis ausgedrückt, eine Folge von Additions- und Multiplikationsgattern über einem endlichen Körper. Spezialisierte domänenspezifische Sprachen wie Circom, Noir, Leo oder Cairo kompilieren Hochsprachenprogramme in diese Schaltkreise.
2. Zeugenerzeugung: Der Beweiser berechnet den vollständigen Schaltkreis und weist jeder Leitung (Eingang, Zwischenspeicher und Ausgang) konkrete Werte zu. Der Zeuge umfasst sowohl öffentliche, für den Verifizierer sichtbare Eingaben, wie beispielsweise einen Transaktions-Hash, als auch private, geheime Eingaben, wie etwa den Kontostand oder den privaten Schlüssel des Absenders.
3. Arithmetisierung: Der Schaltkreis und der Zeuge werden mithilfe eines spezifischen Arithmetisierungsschemas in ein System von Polynomgleichungen transformiert. Im R1CS (Rank-1 Constraint System, verwendet von Groth16) wird jedes Gatter zu einer spezifischen Beschränkung, die den Zeugenvektor und die Selektorvektoren einbezieht. Bei der PLONK-ähnlichen Arithmetisierung werden Gatter durch Selektorpolynome, Permutationsargumente und Nachschlagetabellen kodiert.
4. Polynomielle Verpflichtung: Der Beweiser kodiert den Zeugen und die Bedingungserfüllung in Polynome und verpflichtet sich dazu mithilfe eines Polynom-Commitment-Schemas, KZG für SNARKs oder FRI für STARKs. Diese Commitments sind kompakte kryptografische Objekte, wie z. B. Punkte elliptischer Kurven oder Merkle-Wurzeln, die den Beweiser an bestimmte Polynome binden, ohne diese offenzulegen.
5. Herausforderungsgenerierung: Zufällige Bewertungspunkte werden entweder durch Interaktion mit dem Verifizierer (interaktiver Modus) oder durch die Fiat-Shamir-Heuristik (nicht-interaktiver Modus, bei dem Herausforderungen durch Hashing des bisherigen Beweisprotokolls abgeleitet werden) generiert.
6. Beweiskonstruktion: Der Beweiser wertet festgelegte Polynome an den Herausforderungspunkten aus und liefert erste Beweise, die zeigen, dass die Auswertungen mit den Festlegungen übereinstimmen. Der Beweis enthält auch Quotientenpolynome, die zeigen, dass die Polynomidentitäten über alle Nebenbedingungen hinweg gelten.
7. Überprüfung: Der Verifizierer überprüft den Beweis, indem er die Öffnungen der Polynom-Commitment-Verfahren verifiziert und sicherstellt, dass die Polynomidentitäten an den zufälligen Herausforderungspunkten gelten. Für Groth16 erfordert dies eine kleine, feste Anzahl von Paarungen elliptischer Kurven; für PLONK einige zusätzliche Paarungsprüfungen; für STARKs Hash-Funktionsauswertungen und Merkle-Pfadverifizierungen. Die Verifizierung ist im Allgemeinen um Größenordnungen schneller als die erneute Ausführung der Berechnung.

Groth16: Ein kompakter Prüfstandard

Groth16, 2016 von Jens Groth veröffentlicht, gilt weiterhin als einer der Standards für Beweiskompaktheit. Ein Groth16-Beweis besteht aus genau drei Elementen der elliptischen Kurvengruppe und umfasst je nach Kurve etwa 128 bis 192 Byte.

Die Verifizierung erfordert eine geringe, feste Anzahl von Paarungsoperationen sowie einige Gruppenmultiplikationen und dauert auf moderner Hardware etwa 1 bis 3 Millisekunden. Diese extreme Kürze macht Groth16 ideal für die On-Chain-Verifizierung, da die Gaskosten proportional zur Beweisgröße und dem Verifizierungsaufwand sind.

Der Nachteil von Groth16 besteht darin, dass es eine schaltungsspezifische Vertrauenskonfiguration erfordert: Jede einzelne Schaltung benötigt eine eigene strukturierte Referenzzeichenkette, die durch eine mehrseitige Berechnungszeremonie generiert wird. Sollten alle Teilnehmer der Zeremonie kollaborieren oder ihre Zufälligkeit beeinträchtigt sein, könnte der entstehende „toxische Abfall“ prinzipiell zur Fälschung von Beweisen verwendet werden.

Die Zcash-Zeremonie „Powers of Tau“ und die darauffolgende „Hermez“-Zeremonie umfassten jeweils viele Teilnehmer, um sicherzustellen, dass mindestens ein ehrlicher Teilnehmer eine Fälschung praktisch unmöglich machte. Trotz dieser Sicherheitsvorkehrungen hat die Anforderung einer vertrauenswürdigen Einrichtung die Suche nach transparenten Alternativen vorangetrieben.

PLONK: Universelles und aktualisierbares Setup

PLONK revolutionierte die ZKP-Landschaft durch die Einführung einer universellen, strukturierten Referenzzeichenkette: ein einziges, bewährtes Setup, das für jeden Schaltkreis bis zu einer maximalen Größe funktioniert. Das bedeutet, dass eine Zeremonie, die durch weitere Teilnehmer kontinuierlich verstärkt werden kann, ein ganzes Ökosystem von Schaltkreisen bedient und somit die Notwendigkeit von Zeremonien pro Schaltkreis überflüssig macht.

Die Arithmetisierung von PLONK verwendet ein System von Gattergleichungen mit Selektorpolynomen, einen Kopierbeschränkungsmechanismus (ein Großproduktargument) zur Durchsetzung von Drahtverbindungen und die Möglichkeit, benutzerdefinierte Gatter für häufig auftretende Muster zu definieren.

Die Proof-Größe von PLONK ist größer als die von Groth16 und liegt je nach Variante zwischen etwa 400 und 900 Byte. Die Verifizierung ist etwas langsamer, aber absolut gesehen immer noch schnell. Die universelle Einsetzbarkeit und Aktualisierbarkeit des Systems, kombiniert mit der Flexibilität benutzerdefinierter Gates und Lookup-Tabellen, haben es zu einem bevorzugten System für komplexe Blockchain-Anwendungen gemacht. Varianten, darunter Versionen mit benutzerdefinierten Gates, Lookup-Tabellen im PLONK-Stil und verbesserter Batchverarbeitung, wurden auf zkSync, Aztec, Polygon zkEVM und Scroll implementiert.

Halo 2: Rekursive Beweise ohne vertrauenswürdige Konfiguration

Halo 2, entwickelt vom Team von Zcash und Electric Coin Company, erreichte etwas, das zuvor als fundamentale Hürde galt: die effiziente rekursive Beweiskomposition ohne vertrauenswürdige Einrichtung. Rekursive Beweiskomposition bedeutet, dass ein Beweis einen anderen Beweis innerhalb seiner Kette verifizieren kann. Dadurch entsteht eine Beweiskette, in der jeder Beweis die Korrektheit des vorherigen bestätigt und so eine beliebige Menge an Berechnungen in einem einzigen finalen Beweis komprimiert wird.

Die technische Innovation von Halo besteht in einem Akkumulationsschema für polynomische Verpflichtungen, das auf dem Skalarproduktargument basiert. Anstatt jede Verpflichtung vollständig zu verifizieren, was Paarungen und somit eine vertrauenswürdige Konfiguration erfordern würde, „akkumuliert“ Halo Verpflichtungsprüfungen und verschiebt die aufwändige Verifizierung ans Ende der rekursiven Kette.

Diese verzögerte Verifizierung ermöglicht vertrauenslose Rekursion. Halo 2 erweiterte dies um PLONK-ähnliche Arithmetisierung und Suchargumente und schuf so ein vollwertiges Beweissystem. Zcash übernahm Halo 2 für seinen geschützten Orchard-Pool und beseitigte damit die seit dem Start von Zcash immer wieder kritisierte Vertrauenskonfiguration.

Nova- und Faltungsschemata: Effiziente inkrementelle Berechnung

Nova, eingeführt im Jahr 2022, stellt eine bedeutende Neuerung in der Konstruktion rekursiver Beweise dar. Anstatt jeden Schritt einer inkrementellen Berechnung vollständig zu beweisen und den Beweis anschließend rekursiv zu verifizieren, verwendet Nova ein Faltungsschema. Dieses fasst zwei Instanzen einer Berechnung zu einer einzigen zusammen und reduziert so den Aufwand für den Beweiser in jedem Schritt von der vollständigen Beweisgenerierung auf eine einfache Gruppenskalarmultiplikation. Das resultierende System für inkrementell verifizierbare Berechnungen (IVC) weist deutlich geringere Beweiserkosten auf als herkömmliche rekursive SNARK-Verfahren für Berechnungen mit vielen wiederholten Schritten, wie beispielsweise die sequentielle Verarbeitung von Blockchain-Transaktionen.

zk-STARKs: Transparenz und Post-Quanten-Sicherheit

zk-STARKs erreichen ihre Transparenz (keine Trusted Setup) und Post-Quanten-Sicherheit, indem sie elliptische Kurvenpaarungen durch Hashfunktionen und algebraische Codierungstheorie ersetzen. Das zentrale Commitment-Schema von STARKs ist FRI. Dieses prüft, ob eine Funktion einem Polynom niedrigen Grades nahekommt, indem es die Funktion wiederholt „faltet“, ihren Definitionsbereich durch zufällige Linearkombinationen halbiert und die Konsistenz mithilfe von Merkle-Bäumen überprüft. Da FRI ausschließlich auf kollisionsresistenten Hashfunktionen basiert, die als resistent gegen Quantenangriffe gelten, erben STARKs Post-Quanten-Sicherheit.

Zero-Knowledge Virtual Machines (zkVMs und zkEVMs)

Das ultimative Ziel der ZKP-Technologie in der Blockchain ist die Zero-Knowledge Virtual Machine: eine universelle Rechenumgebung, in der die Ausführung jedes Programms ohne Kenntnis des Wissens bewiesen werden kann. Eine zkEVM (Zero-Knowledge Ethereum Virtual Machine) beweist die korrekte Ausführung von Ethereum Smart Contracts und ermöglicht so vollständig EVM-kompatible zk-Rollups. Entlang eines Kompatibilitätsspektrums existieren verschiedene Ansätze:

• Typ 1 (vollständig Ethereum-äquivalent): Beweist die tatsächliche Ethereum-Ausführungsumgebung, einschließlich State-Tries und Gasabrechnung – ein erstrebenswertes Ziel für viele Projekte. Maximale Kompatibilität, aber höchste Beweiskosten.
• Typ 2 (vollständig EVM-äquivalent): Beweist die Bytecode-Ausführung der EVM, jedoch mit modifizierter Zustandsverwaltung, ähnlich wie bei Scroll und Polygon zkEVM. Nahezu vollständige Kompatibilität mit geringfügigen Unterschieden.
• Typ 3 (nahezu EVM-äquivalent): Beweist die meisten EVM-Opcodes, modifiziert oder entfernt jedoch einige, die nicht ZKP-kompatibel sind, wie z. B. bestimmte Präkompilierungen. Schnelleres Beweisen mit geringfügigen Kompatibilitätslücken.
• Typ 4 (Äquivalent einer höheren Programmiersprache): Beweist die Ausführung von Code, der aus Solidity oder Vyper in einen ZKP-kompatiblen Befehlssatz kompiliert wurde, anstatt wie bei zkSync Era direkt EVM-Bytecode zu beweisen. Schneller Beweis, aber Verträge müssen neu kompiliert werden und können sich auf Bytecode-Ebene geringfügig anders verhalten.

Zu den universellen zkVMs jenseits von Ethereum gehören RISC Zero (zum Nachweis der Ausführung von RISC-V-Befehlen), SP1 (ebenfalls RISC-V-basiert) und Miden VM (eine STARK-basierte VM mit einem für ZKP-Effizienz optimierten, benutzerdefinierten Befehlssatz). Diese Systeme ermöglichen die Ausführung von Programmen, die in Rust, C, Go oder anderen Sprachen geschrieben sind, die zu RISC-V kompiliert werden, mit einem kryptografischen Korrektheitsnachweis.

Vorteile Nachteile

Aspekt	Vorteil	Nachteil
Wahrung der Privatsphäre	Ermöglicht private Transaktionen und Berechnungen auf öffentlichen Blockchains; Benutzer können Transaktionen durchführen, Identitätsattribute nachweisen und mit Smart Contracts interagieren, ohne sensible Daten an Beobachter oder Validatoren preiszugeben.	Datenschutzfunktionen können für Geldwäsche, Sanktionsumgehung und illegale Finanzgeschäfte missbraucht werden; die OFAC-Sanktionen gegen Tornado Cash im Jahr 2022 verdeutlichten die regulatorischen Risiken, die mit ZKP-basierten Datenschutztools verbunden sein können.
Skalierbarkeit	ZK-Rollups komprimieren Tausende von Transaktionen zu einem einzigen, auf Layer 1 verifizierten Nachweis. Führende Plattformen verarbeiten Tausende von Transaktionen pro Sekunde und profitieren dabei von den Sicherheitsgarantien von Ethereum.	Die Beweisgenerierung ist rechenintensiv; die Generierung eines SNARK-Beweises für eine komplexe Schaltung kann auf handelsüblicher Hardware Minuten bis Stunden dauern und erfordert für Produktionssysteme eine spezialisierte Infrastruktur wie GPU-Cluster oder FPGA-Beschleuniger.
Sicherheitsmodell	Mathematische (kryptografische) Sicherheit statt rein wirtschaftlicher Sicherheit; im Gegensatz zu optimistischen Rollups, die auf Betrugsnachweisen und Anfechtungsfristen beruhen, bieten zk-Rollups eine wesentlich schnellere Finalität, die durch mathematische Gewissheit untermauert ist.	Die kryptographischen Annahmen, die SNARKs zugrunde liegen, wie das Problem des diskreten Logarithmus und verschiedene Paarungsannahmen, könnten prinzipiell von ausreichend leistungsstarken Quantencomputern gebrochen werden, was potenziell Auswirkungen auf Beweise haben könnte, die unter diesen Annahmen generiert wurden.
Trusted Setup Eliminierung	Moderne Systeme wie STARKs, Halo 2 und Nova haben die Anforderungen an eine vertrauenswürdige Einrichtung vollständig eliminiert, wodurch das Risiko kompromittierter Zeremonienparameter und der logistische Aufwand für die Durchführung von MPC-Zeremonien beseitigt wurden.	Systeme wie Groth16, die weiterhin auf vertrauenswürdige Konfigurationen angewiesen sind, hängen von der Integrität des Ablaufs ab. Sollten alle Teilnehmer kollaborieren oder die Zufälligkeit beeinträchtigt sein, sind gefälschte Beweise theoretisch unentdeckt möglich.
Überprüfungseffizienz	Die On-Chain-Verifizierung ist schnell und vergleichsweise günstig; ein Groth16-Beweis kostet auf Ethereum typischerweise etwa 200,000 bis 300,000 Gas, unabhängig davon, wie komplex die nachgewiesene Berechnung war.	Die Entwicklung von Schaltungen ist schwierig; das Schreiben korrekter ZKP-Schaltungen erfordert tiefgreifende Kenntnisse in Arithmetik endlicher Körper, Constraint-Systemen und kryptografischer Technik, und Fehler in Schaltungen können subtil und gravierend sein.
Zusammensetzbarkeit	ZKP-basierte Systeme sind im Allgemeinen mit bestehender Blockchain-Infrastruktur kombinierbar; zk-Rollups werden auf bestehenden Layer-1-Chains implementiert, ZKP-Identitätssysteme integrieren sich in bestehende DeFi-Protokolle und ZKP-Bridges verbinden bestehende Chains.	Das ZKP-Ökosystem ist nach wie vor recht fragmentiert; unterschiedliche Beweissysteme, Arithmetisierungen und zkVM-Typen führen zu Interoperabilitätsproblemen.
Datenkomprimierung	Validitätsnachweise ermöglichen es, Zustandsdifferenzen anstelle vollständiger Transaktionsdaten in der Blockchain zu veröffentlichen, wodurch die Datenkosten auf Layer 1 im Vergleich zu optimistischen Rollups, die vollständige Transaktionsdatenaufrufe veröffentlichen müssen, reduziert werden.	Die Größe von Beweisen variiert erheblich; STARK-Beweise können beispielsweise von Dutzenden bis zu Hunderten von Kilobyte reichen. Obwohl sie kleiner sind als die Rohdaten der Transaktion, die sie ersetzen, stellen sie dennoch nicht unerhebliche Kosten in der Blockchain dar, die mit der Komplexität des Beweises skalieren.
Cross-Chain-Verifizierung	ZKPs ermöglichen mehr vertrauenslose Cross-Chain-Brücken, indem sie den Zustand einer Kette gegenüber einem Verifizierungsvertrag auf einer anderen Kette nachweisen und so die Abhängigkeit von vertrauenswürdigen Brückenbetreibern oder Multi-Signatur-Komitees verringern.	Die kettenübergreifende ZKP-Verifizierung erfordert für jede Quellkette einen Light-Client-Schaltkreis, dessen Erstellung, Wartung und Überprüfung komplex ist, da der Konsensmechanismus und die Zustandsstruktur jeder Kette als ZKP-Schaltkreis kodiert werden müssen.
Einhaltung von Vorschriften	ZKPs ermöglichen „Compliance by Design“, indem sie Nutzern den Nachweis der Einhaltung gesetzlicher Bestimmungen, wie z. B. den KYC-Status oder die Zugehörigkeit zu einer nicht sanktionierten Gerichtsbarkeit, ermöglichen, ohne personenbezogene Daten preiszugeben. Dadurch werden sowohl Datenschutz- als auch regulatorische Ziele erfüllt.	Die regulatorische Unsicherheit bezüglich datenschutzfreundlicher Tools (ZKP) besteht weiterhin; der Präzedenzfall Tornado Cash hat eine abschreckende Wirkung erzielt, und Regulierungsbehörden in verschiedenen Jurisdiktionen entwickeln weiterhin Rahmenbedingungen, die die Offenlegung in datenschutzfreundlichen Systemen einschränken oder zusätzliche Informationen vorschreiben könnten.

Risikomanagement

Anforderungen an die Schaltkreisintegrität und -prüfung: Das größte Risiko in ZKP-Systemen ist die Fehlerhaftigkeit der Schaltkreise. Ein Fehler im arithmetischen Schaltkreis kann es einem Beweiser ermöglichen, einen scheinbar gültigen Beweis für eine falsche Aussage zu generieren. Anders als bei Fehlern in Smart Contracts, deren Code öffentlich und in bekannter Form lesbar ist, können Fehler in ZKP-Schaltkreisen äußerst subtil sein, da sie oft auf unzureichend spezifizierten Einschränkungen beruhen: Ein Schaltkreis kann beispielsweise einen Wert in einer Leitung nicht ausreichend einschränken, sodass der Beweiser beliebige Werte einfügen kann, die zwar den Beweis erfüllen, aber ungültigen Transaktionen entsprechen. Forscher, darunter auch Teams, die sich mit der Roadmap für Datenschutz und Skalierung von Ethereum befassen, haben verschiedene Arten von Schaltkreisschwachstellen dokumentiert, darunter fehlende Einschränkungen, fehlerhafte Bereichsprüfungen und arithmetische Überläufe bei Operationen in endlichen Körpern. Nutzer sollten nur mit ZKP-Systemen interagieren, deren Schaltkreise von spezialisierten ZKP-Prüfstellen geprüft und idealerweise formal verifiziert wurden.

Risiken und Minderungsmaßnahmen bei vertrauenswürdigen Setups: Bei Systemen mit vertrauenswürdigen Setups, wie Groth16 oder dem ursprünglichen PLONK, stellt die Integrität der Setup-Zeremonie einen zentralen Schwachpunkt dar. Wenn der während der Zeremonie verwendete geheime Zufallsgenerator („toxischer Abfall“) rekonstruierbar ist, könnte ein Angreifer prinzipiell Beweise fälschen, Token aus dem Nichts erzeugen, Gelder ausgeben, die ihm nicht gehören, oder falsche Identitätsnachweise generieren. Zu den Gegenmaßnahmen gehören Mehrparteien-Berechnungszeremonien mit vielen Teilnehmern (bei denen für die Sicherheit nur ein ehrlicher Teilnehmer benötigt wird), kontinuierliche „Powers of Tau“-Zeremonien, die das Setup stetig stärken, und die Migration zu transparenten Systemen wie STARKs oder Halo 2, die das Setup vollständig eliminieren. Benutzer sollten sicherstellen, dass jedes System mit vertrauenswürdigem Setup, mit dem sie interagieren, eine ausreichend umfangreiche und gut dokumentierte Zeremonie durchgeführt hat.

Implementierungsschwachstellen: Selbst bei einem korrekten mathematischen Beweissystem können Implementierungsfehler im Beweiser, Verifizierer oder der zugehörigen Infrastruktur ausnutzbare Sicherheitslücken schaffen. Zu den bekanntesten Vorfällen zählt ein dokumentierter Inflationsfehler bei Zcash, bei dem ein Fehler in der Schaltkreisverifizierung die unbemerkte Erzeugung von Token ermöglicht hätte, wäre er zuvor von einem Angreifer entdeckt worden. Hinzu kommen diverse Fehler in Schaltkreisimplementierungen, die im Laufe der Jahre durch Bug-Bounty-Programme aufgedeckt wurden. Die Komplexität der ZKP-Implementierungen, die Arithmetik endlicher Körper, Operationen auf elliptischen Kurven, Polynomauswertung und Hashfunktionen umfasst, bietet eine große Angriffsfläche. Verteidigungsstrategien beinhalten die formale Verifikation kritischer Schaltkreise, umfangreiches Fuzzing und eigenschaftsbasiertes Testen, mehrere unabhängige Implementierungen für die konsenskritische Verifikation sowie eine vorsichtige und schrittweise Einführung.

Bedrohungen durch Quantencomputer: Paarungsbasierte SNARKs, darunter Groth16 und PLONK mit KZG-Commitments, nutzen die Schwierigkeit des diskreten Logarithmusproblems auf elliptischen Kurven, welches mit Shors Algorithmus auf einem ausreichend leistungsstarken Quantencomputer effizient lösbar wäre. Obwohl aktuelle Quantencomputer noch weit von der dafür benötigten Größe entfernt sind, gehen gängige Schätzungen davon aus, dass Tausende logischer Qubits erforderlich wären, um 256-Bit-elliptische Kurven zu knacken. Dies würde bei den heutigen Fehlerraten eine deutlich größere Anzahl physikalischer Qubits bedeuten. Das langfristige Risiko wird in der Forschung ernst genommen. STARKs und Hash-basierte Commitment-Schemata gelten als quantenresistent, und der anhaltende Trend hin zu STARK-basierten und gitterbasierten Beweissystemen bietet einen Migrationspfad. Nutzer, deren Vermögenswerte durch paarungsbasierte ZKPs geschützt sind, sollten die Fortschritte im Bereich des Quantencomputings aufmerksam verfolgen und bereit sein, auf Post-Quanten-Alternativen umzusteigen, falls dies erforderlich wird.

Datenschutzbeschränkungen und Metadatenlecks: ZKPs schützen zwar den Inhalt von Berechnungen, aber nicht inhärent Metadaten. Die On-Chain-Verifizierung eines ZKPs legt offen, dass ein Nachweis eingereicht wurde, einschließlich des Zeitpunkts, des verwendeten Smart Contracts, der gezahlten Gasgebühren und der Position der Transaktion im Block. Für datenschutzorientierte Anwendungen wie geschützte Transaktionen oder Identitätsnachweise können diese Metadaten wichtige Informationen preisgeben. Die Größe des Anonymisierungssets ist entscheidend: Wenn nur wenige Nutzer einen geschützten Pool verwenden, kann die Analyse des Transaktionsgraphen die Anonymität der Nutzer trotz des zugrunde liegenden kryptografischen Datenschutzes potenziell aufheben. Nutzer sollten daher ZKP-Datenschutztools mit großen Anonymisierungssets, Zeitverschleierung und Metadaten-minimierenden Relay-Netzwerken einsetzen.

Kulturelle Relevanz

Zero-Knowledge-Beweise haben ihre Ursprünge als rein theoretisches Konstrukt der Komplexitätstheorie hinter sich gelassen und sich zu einer der kulturell bedeutendsten Technologien im Blockchain-Ökosystem entwickelt. Der Begriff „ZK“ ist in den allgemeinen Sprachgebrauch der Kryptowährungsdiskussion eingegangen: „ZK-Rollup“, „ZK-Proof“, „ZK-EVM“ und „ZK-Bridge“ gehören zum alltäglichen Vokabular der Ethereum-Entwicklergemeinschaften, und „ZK“ hat sich zu einem Markenpräfix entwickelt, das technologische Raffinesse und kryptografische Strenge signalisiert. Zwischen 2021 und 2024 erlebten zahlreiche Projekte einen regelrechten „ZK-Boom“, in dessen Verlauf sie „ZK“ in ihren Namen aufnahmen. Dies führte zu Diskussionen in der Community über „ZK-Washing“, also die Praxis, ZK-Eigenschaften zu beanspruchen, ohne tatsächlich Zero-Knowledge-Beweise zu implementieren.

Die kulturelle Bedeutung von Zero-Knowledge-Proofs (ZKPs) in der Kryptographie reicht über die Technologie hinaus bis in die Philosophie. Die Cypherpunk-Bewegung, die 1993 in Eric Hughes’ Manifest formuliert wurde und argumentierte, dass Privatsphäre für eine offene Gesellschaft im digitalen Zeitalter unerlässlich sei, findet in Zero-Knowledge-Proofs eine ihrer wirkungsvollsten technischen Verkörperungen. ZKPs verwirklichen einen Großteil des Cypherpunk-Anspruchs auf beweisbare Privatsphäre: die Möglichkeit, uneingeschränkt an digitalen Systemen teilzuhaben, ohne die informationelle Autonomie aufzugeben. Diese philosophische Ausrichtung hat ZKP-Forscher und -Entwickler zu einflussreichen Persönlichkeiten innerhalb der Krypto-Community gemacht, darunter Eli Ben-Sasson (StarkWare), Vitalik Buterin (der sich intensiv für ZKPs eingesetzt hat), Barry Whitehat (bekannt für das Semaphore-Protokoll und Privacy and Scaling Explorations) sowie Mitglieder des Zcash-Teams wie Zooko Wilcox, Sean Bowe und Daira Hopwood.

Die Erzählung vom „ZK-Winter zum ZK-Sommer“, in der auf jahrelange, vorwiegend theoretische Forschung von etwa 2016 bis 2020 ein explosionsartiger Anstieg praktischer Anwendungen ab 2021 folgte, hat sich zu einer Art Vorlage für das Verständnis der Technologieentwicklung in der Krypto-Community entwickelt. Die Ansicht, dass „ZK-Rollups zur Lösung des Skalierungsproblems von Ethereum beitragen werden“, etablierte sich als eine der am weitesten verbreiteten Positionen in der Ethereum-Community. Vitalik Buterin argumentierte, dass ZK-Rollups langfristig wahrscheinlich die Nase vorn haben würden. Diese Überzeugung führte zu erheblichen Risikokapitalinvestitionen in ZKP-Projekte, zog Kryptografieforscher aus der akademischen Welt in Krypto-Startups und etablierte ZKP-Expertise als eine der wertvollsten Spezialisierungen im Blockchain-Engineering.

Innerhalb der akademischen Kryptographie-Community hat die Nachfrage der Blockchain-Branche nach praktischen ZKP-Systemen einen bemerkenswerten Kreislauf geschaffen: Industrielle Fördermittel unterstützen die akademische Forschung, die neue Beweissysteme hervorbringt. Diese werden von Startups rasch marktreif gemacht, deren Einnahmen wiederum die Forschung finanzieren. Konferenzen und Workshops mit Schwerpunkt auf ZK-Forschung haben sich zu wichtigen Plattformen für die Zusammenarbeit von akademischen Kryptographen und Blockchain-Ingenieuren entwickelt. Das Innovationstempo – von Groth16 über PLONK und Halo 2 bis hin zu Nova innerhalb von nur sieben Jahren – spiegelt die Intensität dieser Kooperation wider.

Die Sanktionen gegen Tornado Cash im August 2022, als das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums die Tornado-Cash-Smart-Contracts auf seine Sanktionsliste setzte, markierten einen Wendepunkt für die ZKP-Community. Die Sanktionen kriminalisierten faktisch die Nutzung eines Open-Source-Datenschutztools und entfachten eine Debatte über die Legitimität von On-Chain-Datenschutz, die Einstufung von Code als freie Meinungsäußerung und das Spannungsverhältnis zwischen Finanzüberwachung und individuellen Datenschutzrechten. Die anschließende Strafverfolgung eines Tornado-Cash-Entwicklers in den Niederlanden verschärfte diese Debatten und bestärkte Teile der ZKP-Community in ihrem Glauben an den Grundsatz, dass Datenschutz nicht per se kriminell ist. Dieser Vorfall prägte die Designphilosophie nachfolgender ZKP-Datenschutzprojekte, die neben dem Schutz von Transaktionen zunehmend auch selektive Compliance-Mechanismen, wie den Nachweis der Zugehörigkeit zu einer nicht sanktionierten Liste, integrieren.

Beispiele aus der Praxis

Zcash Shielded Transactions: Pionierarbeit im Bereich privater Kryptowährungen

Szenario: Bitcoin und andere frühe Kryptowährungen basieren auf vollständig transparenten Transaktionsbüchern, in denen alle Transaktionsbeträge, Absender- und Empfängeradressen öffentlich einsehbar sind. Befürworter des Datenschutzes im Finanzbereich und institutionelle Nutzer benötigten eine Kryptowährung, deren Transaktionen kryptografisch verifiziert werden können, ohne dass Transaktionsdetails öffentlich zugänglich gemacht werden.

Implementierung: Zcash nutzte zunächst den Sprout-Circuit, später Sapling mit Groth16 und zuletzt Orchard mit Halo 2, um „geschützte“ Transaktionen zu ermöglichen. Bei einer geschützten Transaktion werden Absender, Empfänger und Betrag in der Blockchain verschlüsselt. Ein der Transaktion beigefügter zk-SNARK-Beweis belegt, dass der Absender den privaten Schlüssel für die eingegebenen Token besitzt, diese im Commitment-Baum vorhanden und noch nicht ausgegeben wurden, die Summe der Eingaben der Summe der Ausgaben zuzüglich der Gebühr entspricht und keine Doppelausgaben stattgefunden haben – alles ohne diese Werte offenzulegen. Das Sapling-Upgrade reduzierte die Beweisgenerierungszeit im Vergleich zu Sprout erheblich, und Halo 2 (Orchard) beseitigte die Trusted-Setup-Anforderung vollständig.

Ergebnis: Zcash demonstrierte die Praxistauglichkeit von ZKPs für den Datenschutz in Kryptowährungen und verarbeitete seit seinem Start im Jahr 2016 eine große Anzahl geschützter Transaktionen. Die Zcash-Zeremonien wurden zu weithin zitierten Vorbildern für bewährte Verfahren zur Einrichtung vertrauenswürdiger Systeme. Obwohl die Nutzung geschützter Transaktionen aufgrund des Rechenaufwands und der Präferenz von Börsen für transparente Adressen historisch gesehen nur einen Bruchteil aller Zcash-Transaktionen ausmachte, bewies das Protokoll, dass kryptografischer Datenschutz in großem Umfang technisch realisierbar ist und schuf eine Vorlage für viele nachfolgende ZKP-Datenschutzimplementierungen in der Blockchain.

zkSync-Ära: Skalierung von Ethereum mit Zero-Knowledge-Rollups

Szenario: Der Layer-1-Durchsatz und die Gaskosten von Ethereum in Zeiten hoher Nachfrage machten das Netzwerk für viele alltägliche Anwendungen unpraktisch, darunter Mikrozahlungen, Spieletransaktionen und hochfrequente DeFi-Interaktionen. Das Blockchain-Trilemma – der Konflikt zwischen Skalierbarkeit, Sicherheit und Dezentralisierung – erforderte eine Lösung, die den Durchsatz erhöhen konnte, ohne die Sicherheitsgarantien von Ethereum zu beeinträchtigen.

Implementierung: zkSync Era, entwickelt von Matter Labs, hat ein Type-4-zkEVM-Rollup eingeführt, das Solidity- und Vyper-Smart-Contracts in einen angepassten, ZKP-kompatiblen Befehlssatz kompiliert und SNARK-Beweise generiert, die die korrekte Ausführung von Transaktionsstapeln bestätigen. Tausende von Transaktionen werden Off-Chain ausgeführt, eine Zustandsdifferenz berechnet und ein SNARK-Beweis der korrekten Ausführung an einen Ethereum-Smart-Contract übermittelt. Dieser verifiziert den Beweis, wendet die Zustandsdifferenz an und übernimmt so die Sicherheit von Ethereum für den gesamten Stapel.

Ergebnis: zkSync Era verarbeitete in den ersten Jahren seines Mainnet-Betriebs eine sehr große Anzahl von Transaktionen mit einem Durchsatz und Kosten, die deutlich besser waren als bei Ethereum L1 allein. Das System demonstrierte, dass ZKP-basierte Skalierung komplexe DeFi- und NFT-Anwendungen unterstützen und gleichzeitig die Sicherheit auf Ethereum-Niveau gewährleisten kann. Der Start trug dazu bei, den Wettbewerb zwischen zk-Rollup-Projekten anzukurbeln und ZKPs als Schlüsseltechnologie in Ethereums langfristiger Skalierungsstrategie zu etablieren.

Worldcoin: Biometrischer Nachweis der Personenidentität

Szenario: Sybil-Angriffe, also die Erstellung mehrerer gefälschter Identitäten, untergraben demokratische Steuerungsmechanismen, faire Token-Verteilungen und Vorschläge für ein bedingungsloses Grundeinkommen im Web3-Ökosystem. Traditionelle Identitätsprüfungen erfordern die Offenlegung persönlicher Daten, während pseudonyme Blockchain-Adressen die Erstellung nahezu unbegrenzter Identitäten ermöglichen. Es wurde eine Lösung benötigt, die die Einzigartigkeit einer Person nachweisen kann, ohne die Anonymität zu gefährden.

Implementierung: Worldcoin entwickelte das World-ID-System, das mithilfe eines speziellen Hardwaregeräts namens Orb per Iris-Scan eine eindeutige biometrische Kennung für jede Person erstellt. Anschließend generiert es mithilfe des auf Groth16 basierenden Semaphore-Protokolls einen Zero-Knowledge-Beweis (ZKP), der beweist, dass es sich um eine eindeutig registrierte Person handelt, ohne den genauen Iris-Scan preiszugeben, mit dem die Registrierung durchgeführt wurde. Der ZKP verhindert, dass sich dieselbe Person zweimal registrieren kann und schützt so vor Sybil-Angriffen. Gleichzeitig wird sichergestellt, dass kein Prüfer einen Beweis einer bestimmten biometrischen Vorlage zuordnen kann.

Ergebnis: Worldcoin registrierte in den Jahren nach seinem Start Millionen verifizierter, einzigartiger Personen und schuf damit eines der weltweit größten ZKP-basierten Identitätssysteme. Das Projekt demonstrierte, dass ZKPs biometrische Identität und Blockchain-basierte Privatsphäre verbinden können, löste aber gleichzeitig eine bedeutende Debatte über die Erhebung biometrischer Daten, die Einwilligung in Entwicklungsländern und die Zentralisierungsrisiken hardwareabhängiger Identitätssysteme aus. Mehrere Governance- und Airdrop-Protokolle integrierten die World-ID-Verifizierung und etablierten den Nachweis der Persönlichkeit als wichtigen Anwendungsfall für ZKPs jenseits des finanziellen Datenschutzes.

Polygon zkEVM: Typ-2-EVM-Äquivalenz mit Zero-Knowledge-Beweisen

Szenario: Ethereum-Entwickler benötigten eine Skalierungslösung, die vollständig mit bestehenden Ethereum-Smart-Contracts kompatibel war und die Bereitstellung desselben Solidity-Bytecodes ohne Neukompilierung oder Modifikation ermöglichte. Gleichzeitig sollte sie die Sicherheitsgarantien von Gültigkeitsnachweisen anstelle der verzögerten Finalität optimistischer Rollups bieten. Die Erreichung der Byte-basierten EVM-Äquivalenz mit der ZKP-Verifizierung galt als eine der größten technischen Herausforderungen im Blockchain-Engineering.

Implementierung: Polygon zkEVM entwickelte eine Typ-2-zkEVM, die die korrekte Ausführung des tatsächlichen EVM-Bytecodes mithilfe eines eigens entwickelten Beweissystems nachweist, das SNARK- und STARK-Elemente kombiniert. Das System verwendet einen Ansatz mit multipolynomialen Commitments, bei dem verschiedene Aspekte der EVM-Ausführung durch separate spezialisierte Schaltungen bewiesen werden. Ein rekursiver Aggregationsbeweis kombiniert diese zu einer einzigen On-Chain-Verifizierung.

Ergebnis: Polygon zkEVM wurde im März 2023 im Ethereum-Mainnet eingeführt und war damit eine der ersten produktiven Typ-2-zkEVMs. Das System demonstrierte, dass mit ZKP-Beweisverfahren eine nahezu perfekte EVM-Äquivalenz erreicht werden kann, wobei die große Mehrheit der Ethereum-Smart-Contracts ohne Modifikationen bereitgestellt werden kann. Mehrere DeFi-Protokolle wurden auf Polygon zkEVM implementiert, und die Beweisgenerierungszeit verbesserte sich durch sukzessive Protokoll-Upgrades deutlich. Dies bestätigte den Typ-2-zkEVM-Ansatz und beeinflusste die Entwicklung konkurrierender Implementierungen.

Vergleichstabelle

Funktion	zk-SNARKs (Groth16/PLONK)	zk-STARKs	Optimistische Rollups	Vertrauenswürdige Ausführungsumgebungen (TEEs)
Proof-Größe	Sehr klein: Groth16 etwa 128 bis 192 Byte, PLONK etwa 400 bis 900 Byte; minimaler Speicherbedarf in der Blockchain.	Groß: üblicherweise einige zehn bis einige hundert Kilobyte pro Nachweis; immer noch viel kleiner als die Rohdaten der Transaktion, die er ersetzt.	Kein Gültigkeitsnachweis erforderlich; vollständige Transaktionsdaten werden als Calldata in der Blockchain veröffentlicht.	Kein kryptografischer Beweis; Bestätigungszitate von der Hardware bieten vergleichsweise schwächere Garantien
Überprüfungszeit	Extrem schnell, typischerweise im einstelligen Millisekundenbereich; annähernd konstant unabhängig von der Rechengröße	Mäßig, und skaliert aufgrund der FRI-Verifizierung mit der Rechengröße, ist aber im Allgemeinen immer noch schnell.	Keine sofortige Überprüfung; für Betrugsnachweise gilt eine mehrtägige Frist, was Auszahlungen verzögert.	Minimale Überprüfung der Hardware-Attestierung; kein mathematischer Beweis für die korrekte Ausführung
Vertrauenswürdiges Setup	Groth16 erfordert eine schaltungsspezifische Zeremonie; PLONK verwendet ein universelles, aktualisierbares System; beide bergen ein gewisses Risiko der Kompromittierung durch giftige Abfälle.	Keine erforderlich (transparent); basiert ausschließlich auf Hashfunktionen und öffentlicher Zufälligkeit.	Keine erforderlich; die Sicherheit basiert auf wirtschaftlichen Anreizen durch das betrugssichere Spiel.	Vertraut dem Hardwarehersteller; birgt Risiken durch Lieferketten- und Seitenkanalangriffe.
Quantenwiderstand	Nein; paarungsbasierte Verfahren könnten durch Shors Algorithmus angreifbar werden, was eine Migration zu postquantenmechanischen Alternativen erforderlich machen würde.	Ja; Hash-basierte Commitments widerstehen bekannten Quantenangriffen	Nicht direkt anwendbar; hängt vom Quantenwiderstand der zugrundeliegenden Kette ab.	Nein; Hardware-Sicherheitsmodule könnten durch quantenbasierte Seitenkanalangriffe kompromittiert werden.
Prüfkosten	Hoch; erfordert FFTs und Multiplikationen mehrerer Skalare über elliptische Kurven	Sehr hoch für kleine Berechnungen, skaliert aber effizienter für sehr große Schaltkreise.	Niedrig; keine Beweisgenerierung erforderlich, da der Sequenzer lediglich Transaktionen ausführt und bündelt.	Niedrig; die Berechnungen laufen in einer Hardware-Enklave mit nahezu nativer Leistung, ohne dass kryptografische Beweise generiert werden.
Datenschutzfunktion	Vollständiges Zero-Knowledge-System; die Beweise geben nichts über den Zeugen preis.	Vollständiges Zero-Knowledge-System bei Konfiguration als ZK-STARKs; ähnliche Datenschutzfunktionen wie SNARKs	Keine inhärente Privatsphäre; alle Transaktionsdaten werden öffentlich als Anrufdaten auf Layer 1 veröffentlicht.	Teilweise; die Daten werden während der Berechnung verschlüsselt, das Vertrauen gilt jedoch eher dem Hardwarehersteller als der Mathematik.
Endgültigkeit	Unmittelbar nach Verifizierung des Nachweises in der Blockchain	Unmittelbar, ähnlich wie bei SNARKs, da die On-Chain-Beweisverifizierung eine sofortige mathematische Finalität gewährleistet.	Die Auszahlung verzögert sich in der Regel um etwa eine Woche, wobei Überbrückungsfinanzierungen schnellere Ausstiege mit erhöhtem Liquiditätsrisiko ermöglichen können.	Unmittelbar, aber schwächer; die Bestätigung wird sofort verifiziert, die Sicherheit beruht jedoch auf Hardwareannahmen anstatt auf kryptografischen Beweisen.

Verwandte Begriffe

• zk-SNARK (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge): Eine Familie von Beweissystemen, die extrem kompakte Beweise mit schneller Verifizierung erzeugen und in Zcash, Tornado Cash und den meisten zk-Rollups verwendet werden; charakterisiert durch Kürze, erforderte aber in der Vergangenheit vertrauenswürdige Setups.
• zk-STARK (Zero-Knowledge Scalable Transparent Argument of Knowledge): Eine Familie von Beweissystemen, die Hash-basierte Commitments (FRI) nutzt, um Transparenz und Post-Quanten-Sicherheit zu erreichen, allerdings auf Kosten größerer Beweisgrößen; entwickelt von Eli Ben-Sasson und eingesetzt von StarkWare.
• zk-Rollup: A Ebene 2 Eine Skalierungslösung, die Transaktionen außerhalb der Blockchain ausführt und Gültigkeitsnachweise (SNARKs oder STARKs) an Layer 1 sendet, wodurch die Sicherheit der Basisschicht erhalten bleibt und gleichzeitig ein deutlich höherer Durchsatz und geringere Kosten erzielt werden.
• Arithmetischer Schaltkreis: Die mathematische Darstellung einer Berechnung als gerichteter azyklischer Graph von Additions- und Multiplikationsgattern über einem endlichen Körper; die grundlegende Struktur, mit der ZKP-Systeme Aussagen über
• Vertrauenswürdige Einrichtung: Eine einmalige kryptografische Zeremonie, die öffentliche Parameter generiert, die von bestimmten SNARK-Systemen benötigt werden; die Kompromittierung der geheimen Zufälligkeit der Zeremonie ermöglicht die Fälschung von Beweisen.
• Polynomielles Commitment-Schema: Ein kryptographisches Primitiv, das es einem Beweiser ermöglicht, sich auf ein Polynom festzulegen und später Auswertungen an bestimmten Stellen zu beweisen; KZG (paarungsbasiert) und FRI (hashbasiert) sind zwei der dominanten Schemata, die modernen ZKPs zugrunde liegen.
• Fiat-Shamir-Heuristik: Eine Technik zur Umwandlung interaktiver Beweisprotokolle in nicht-interaktive, indem die zufälligen Herausforderungen des Verifizierers durch Hash-Funktionsausgaben ersetzt werden, wodurch ZKPs ohne Echtzeitinteraktion verifiziert werden können.
• Rekursive Beweiskomposition: Die Technik, einen Beweis zu erstellen, der einen anderen Beweis innerhalb seines Schaltkreises verifiziert, wodurch Beweisketten ermöglicht werden, die beliebige Rechenmengen komprimieren; erreicht ohne vertrauenswürdige Einrichtung durch Halo 2 und mit minimalen Kosten durch Novas Faltungsschemata.
• R1CS (Rank-1 Constraint System): Ein Arithmetisierungsformat, das Schaltungsbeschränkungen als quadratische Gleichungen vom Rang 1 über Vektoren darstellt; verwendet von Groth16, Marlin und Nova
• PLONK-ähnliche Arithmetisierung: Das von PLONK und seinen Varianten verwendete Constraint-Systemformat umfasst Selektorpolynome, benutzerdefinierte Gatter, Permutationsargumente und Nachschlagetabellen für flexibles Schaltungsdesign.
• Cairo (Programmiersprache): Eine Programmiersprache, die für das Schreiben beweisbarer Programme entwickelt wurde und von StarkNet verwendet wird, um Smart Contracts in eine Repräsentation zu kompilieren, die mit STARKs bewiesen werden kann.
• Circom: Eine domänenspezifische Sprache zur Definition arithmetischer Schaltungen, die im Ethereum-ZKP-Ökosystem weit verbreitet ist, um Schaltungen zu schreiben, die gemäß den R1CS-Bedingungen für Groth16- und PLONK-Beweiser kompiliert werden.

FAQ

F: Worin besteht der Unterschied zwischen einem zk-SNARK und einem zk-STARK? Die beiden Hauptunterschiede liegen im Vertrauensaufbau und den zugrundeliegenden kryptografischen Annahmen. zk-SNARKs, insbesondere paarungsbasierte Verfahren wie Groth16 und PLONK mit KZG, erfordern einen Vertrauensaufbau und basieren auf Annahmen über elliptische Kurven, die für Quantencomputer anfällig sind. Sie erzeugen sehr kleine Beweise mit schneller Verifizierung. zk-STARKs benötigen keinen Vertrauensaufbau und verwenden Hashfunktionen, die als quantenresistent gelten. Sie erzeugen größere Beweise mit langsamerer, aber dennoch schneller Verifizierung. In der Praxis erfordert die Wahl zwischen SNARKs und STARKs einen Kompromiss zwischen Beweisgröße (On-Chain-Kosten), Beweisleistung, Quantenresistenz und Vertrauensannahmen. Viele moderne Systeme verwenden hybride Ansätze, beispielsweise die Generierung eines STARK-Beweises und dessen anschließende Einbettung in einen SNARK zur kostengünstigeren On-Chain-Verifizierung.

F: Wie ermöglichen Zero-Knowledge-Proofs die Skalierung der Blockchain? ZKPs ermöglichen Skalierung durch ZK-Rollups. Ein Rollup-Operator führt Tausende von Transaktionen außerhalb der Blockchain aus, berechnet die resultierenden Zustandsänderungen und generiert einen ZKP, der die korrekte Ausführung aller Transaktionen belegt. Dieser einzelne Nachweis wird zusammen mit der Zustandsdifferenz an die Layer-1-Blockchain gesendet. Der Layer-1-Smart-Contract verifiziert den Nachweis, was unabhängig von der Anzahl der Transaktionen im Batch etwa den gleichen Rechenaufwand erfordert, und wendet die Zustandsänderungen an. Dadurch muss Layer 1 nur einen Nachweis verifizieren, anstatt Tausende von Transaktionen erneut auszuführen. Dies führt zu einer deutlichen Steigerung des Durchsatzes bei gleichzeitiger Übernahme der Sicherheitsgarantien der Basisschicht.

F: Was ist ein vertrauenswürdiges System und warum ist es umstritten? Ein Trusted Setup ist eine einmalige Zeremonie, die die kryptografischen Parameter – eine sogenannte strukturierte Referenzzeichenkette – generiert, die von bestimmten SNARK-Beweissystemen benötigt werden. Während der Zeremonie werden zufällige geheime Werte, auch „toxischer Abfall“ genannt, zur Berechnung der Parameter verwendet. Wenn jemand diese geheimen Werte rekonstruieren kann, könnte er prinzipiell Beweise fälschen, gefälschte Transaktionen erstellen, Token aus dem Nichts prägen oder falsche Identitätsnachweise generieren. All dies würde vom Verifizierer als gültig akzeptiert. Die Bedenken rühren daher, dass die Sicherheit auf der unwiderruflichen Vernichtung dieser Geheimnisse beruht. Multi-Party-Computation-Zeremonien mildern dieses Problem, indem viele Teilnehmer Zufallswerte beitragen, da nur ein ehrlicher Teilnehmer benötigt wird, um die Sicherheit zu gewährleisten. Das Trusted Setup bleibt jedoch ein philosophisches Problem für Systeme, die vollständige Vertrauenslosigkeit anstreben. Deshalb verzichten neuere Systeme wie STARKs und Halo 2 vollständig darauf.

F: Können Zero-Knowledge-Beweise zur Identitätsprüfung verwendet werden, ohne personenbezogene Daten preiszugeben? Ja, dies ist eine der leistungsstärksten Anwendungen. Mithilfe von ZKP-basierten Identitätssystemen können Sie bestimmte persönliche Attribute nachweisen, ohne die zugrundeliegenden Daten preiszugeben. Beispielsweise können Sie Ihr Alter (über 18 Jahre) belegen, ohne Ihr Geburtsdatum anzugeben, die KYC-Prüfung abgeschlossen haben, ohne Ihren Namen oder Ihre Passnummer offenzulegen, nachweisen, dass Sie nicht auf einer Sanktionsliste stehen, ohne Ihre Identität preiszugeben, oder Ihre Qualifikation als akkreditierter Investor nachweisen, ohne Ihr Vermögen offenzulegen. Das DeFi-Protokoll bzw. der DeFi-Dienst erhält einen kryptografischen Nachweis für die Richtigkeit der Aussage und kann diese On-Chain verifizieren, ohne jedoch jemals die zugrundeliegenden persönlichen Daten zu erfahren. Dies ermöglicht gleichzeitig die Einhaltung regulatorischer Vorgaben und den Schutz der Privatsphäre.

F: Was ist rekursive Beweiskomposition und warum ist sie wichtig? Die rekursive Beweiskomposition ermöglicht es einem Zero-Knowledge-Process (ZKP), einen anderen ZKP innerhalb seines Schaltkreises zu verifizieren – im Wesentlichen ein Beweis, der einen anderen Beweis prüft. Dadurch entsteht eine Kette, in der jeder Beweis die Korrektheit aller vorherigen Beweise bestätigt. So wird eine beliebige Menge an Rechenleistung in einen einzigen, finalen Beweis konstanter Größe komprimiert. Für Blockchains ist dies von großer Bedeutung: Anstatt für jeden Transaktionsstapel einen neuen Beweis zu verifizieren, kann ein rekursives System einen Beweis generieren, der die Gültigkeit des vorherigen Beweises und die Korrektheit des neuen Transaktionsstapels bestätigt. Dadurch wird die gesamte Historie der Kette in einem einzigen Beweis zusammengefasst. Einige Protokolle nutzen diesen Ansatz, um eine Blockchain mit annähernd konstanter Größe unabhängig von der Kettenlänge zu gewährleisten. Novas Faltungsschemata machen diese Rekursion deutlich günstiger, indem sie Berechnungsinstanzen „falten“, anstatt in jedem Schritt vollständige Beweise zu generieren.

F: Wie viel kostet die Verifizierung eines Zero-Knowledge-Beweises auf Ethereum? Die Kosten für die On-Chain-Verifizierung variieren je nach Proof-System. Die Verifizierung eines Groth16-Proofs kostet auf Ethereum üblicherweise einige hunderttausend Gas. Die PLONK-Verifizierung ist tendenziell etwas teurer. Die STARK-Verifizierung ist aufgrund der größeren Proof-Größe im Allgemeinen kostspieliger. Daher kapseln viele STARK-basierte Systeme ihre Proofs in einen abschließenden SNARK-Proof, um die On-Chain-Verifizierung zu verbilligen. Im Kontext von zk-Rollups werden diese Verifizierungskosten auf alle Transaktionen im Batch verteilt, sodass die effektiven Verifizierungskosten pro Transaktion sehr gering sein können, wenn Batches Tausende von Transaktionen enthalten. Die EIP-4844-Blob-Transaktionen von Ethereum und die nachfolgenden Blob-Kapazitätserhöhungen in der Fusaka-Ära haben die Kosten für die Veröffentlichung der Zustandsdifferenzen, die diese Proofs begleiten, weiter reduziert.

F: Sind Zero-Knowledge-Beweise in der Praxis wirklich „Zero-Knowledge“-Beweise? Die mathematische Zero-Knowledge-Eigenschaft garantiert, dass der Beweis nichts über den geheimen Zeugen preisgibt, außer der Wahrheit der bewiesenen Aussage. In der Praxis können jedoch verschiedene Faktoren Informationen preisgeben. Die Tatsache, dass ein Beweis eingereicht wurde, ist selbst ein öffentliches Metadatenelement; ein Beobachter weiß, dass jemand zu einem bestimmten Zeitpunkt eine Transaktion durchgeführt hat. Die Größe der Anonymitätsmenge ist wichtig, da bei einer geringen Anzahl von Nutzern eines geschützten Pools die Transaktionsgraphenanalyse die Teilnehmerzahl eingrenzen kann. Seitenkanalangriffe auf die Beweisgenerierung, wie z. B. Zeit- oder Stromverbrauchsanalysen, können Informationen über den Zeugen preisgeben. Die öffentlichen Eingaben zum Beweis, die systembedingt sichtbar sind, können mehr Informationen preisgeben als beabsichtigt, wenn die Schaltung nicht sorgfältig entworfen wurde. Für maximale Privatsphäre sollten ZKP-basierte Systeme mit großen Anonymitätsmengen, Zeitverschleierung und einem sorgfältigen Schaltungsdesign kombiniert werden, das die öffentlichen Eingaben minimiert.

Quellen

• Goldwasser, S., Micali, S. und Rackoff, C., „Die Wissenskomplexität interaktiver Beweissysteme“
• Groth, J., „Über die Größe paarungsbasierter nicht-interaktiver Argumente“ (Groth16)
• Gabizon, A., Williamson, Z. und Ciobotaru, O., „PLONK“,
• Ben-Sasson, E., Bentov, I., Horesh, Y. und Riabzev, M., „Scalable, Transparent, and Post-Quantum Secure Computational Integrity“ (STARKs)
• Bowe, S., Grigg, J. und Hopwood, D., „Rekursive Beweiskomposition ohne Trusted Setup“ (Halo)
• Kothapalli, A., Setty, S. und Tzialla, I., „Nova: Rekursive Zero-Knowledge-Argumente aus Faltungsschemata“,
• Ethereum Foundation, „Zero-Knowledge Proofs“, ethereum.org
• Buterin, V., „Ein unvollständiger Leitfaden zu Rollups“, vitalik.eth.limo