So beweisen Sie die Urheberschaft von Software: Ein Leitfaden für Entwickler

Maya ist eine freiberufliche Entwicklerin, die Anfang 2025 eine kleine, aber kritische Datensynchronisierungs-Bibliothek für einen Kunden erstellt hat. Achtzehn Monate später behauptet das neue Engineering-Team des Kunden, die Bibliothek sei im Rahmen eines späteren Vertrags entstanden, und fordert sie auf, die Nutzung in ihren anderen Projekten einzustellen. Maya hat Git-Commits aus dem ursprünglichen Projekt, aber als sie Screenshots des Logs schickt, winkt der Anwalt des Kunden ab: „Git-Verlauf kann umgeschrieben werden. Diese Zeitstempel beweisen nichts."

Mayas Problem ist nicht, dass es ihr an Beweisen mangelt. Es ist, dass die Beweise, die sie hat, behauptend, nicht verifizierbar sind. Der Nachweis der Software-Urheberschaft in einem Rechtsstreit, einer Patentanmeldung, einem Compliance-Audit oder einer Geschäftsgeheimnis-Prüfung erfordert mehr als ein Commit-Datum. Er erfordert eine kryptografische Aufzeichnung, die eine unabhängige Partei prüfen kann, ohne Ihrem Repository, Ihrer Plattform oder Ihrem Wort vertrauen zu müssen.

Dieser Leitfaden erklärt, wie Entwickler und Compliance-Beauftragte eine solche Aufzeichnung in der Praxis erstellen können. Er konzentriert sich auf Timestamp GIT, einen verwalteten Dienst, der das zugrunde liegende OpenTimestamps-Protokoll automatisiert. Sie installieren einmalig eine GitHub-App, und der Dienst verankert Ihre Commit-Hashes im Hintergrund in der Bitcoin-Blockchain.

Warum herkömmliche Urheberschaftsnachweise unzureichend sind

Die meisten Entwickler haben bereits mehrere Möglichkeiten, auf ein Datum zu verweisen. Das Problem ist, dass keine davon einer echten Prüfung standhält.

Selbst gehostete Git-Verläufe sind veränderbar. Git-Commit-Daten sind nicht manipulationssicher. Mit Umgebungsvariablen wie GIT_AUTHOR_DATE und GIT_COMMITTER_DATE kann ein Commit rückdatiert werden. Rebasing, Force-Push und das Umschreiben des Verlaufs können die scheinbare Zeitachse verändern. Selbst wenn Sie das nie tun, kann die Gegenseite argumentieren, dass Sie es hätten tun können.

Gehostete Git-Plattformen lösen dieses Problem nicht. Ein GitHub-Repository zeigt Zeitstempel an, aber diese Zeitstempel sind kein unabhängiger Existenzbeweis. Sie hängen von den Servern von GitHub, der Kontosicherheit von GitHub und der Bereitschaft oder Fähigkeit von GitHub ab, die Daten vor Gericht zu bezeugen. Ein Angreifer, der ein Konto kompromittiert, kann potenziell Repository-Inhalte verändern. Eine Änderung der Plattformrichtlinien kann den Zugriff auf historische Aufzeichnungen erschweren.

Formeller IP-Schutz ist teuer und langsam. Patente können Zehntausende von Dollar kosten, Jahre bis zur Erteilung benötigen und die Offenlegung von Informationen erfordern, die Sie lieber vertraulich behandeln würden. Für Freiberufler, Startups, Agenturen und kleine Teams sind Patente als erste Verteidigungslinie oft unpraktikabel.

Ein stärkerer Ansatz besteht darin, einen kryptografischen Fingerabdruck Ihrer Arbeit in einem unveränderlichen öffentlichen Ledger zu verankern. Der Fingerabdruck ist ein Einweg-Hash. Er beweist, dass ein bestimmter Repository-Zustand zu einem bestimmten Zeitpunkt existierte, ohne den Quellcode hinter diesem Zustand preiszugeben. Wenn das Ledger Bitcoin ist, kann der Beweis von jedem unabhängig verifiziert werden, der über die Receipt-Datei und einen Bitcoin-Node verfügt.

Für eine ausführlichere Erklärung, warum dies für IP-Streitigkeiten wichtig ist, siehe Was ist kryptografischer Stand der Technik und warum ist er für Software wichtig?.

Ein praktischer Leitfaden zum Nachweis der Urheberschaft mit Timestamp GIT

Timestamp GIT ist eine verwaltete Ebene über OpenTimestamps ohne Einrichtungsaufwand. Sie müssen keine OpenTimestamps-Befehle ausführen, keine Bitcoin-Transaktionen verwalten und keine eigene Zeitstempel-Infrastruktur betreiben. Sie installieren eine GitHub-App, verbinden ein Repository und schreiben weiterhin Code. Der Dienst übernimmt den Rest.

Schritt 1: Installieren Sie die Timestamp GIT GitHub-App

Installieren Sie die Timestamp GIT GitHub-App auf dem Repository oder der Organisation, die Sie schützen möchten.

Der Standardmodus erfordert Lesezugriff auf Ihr Quell-Repository und Lese-/Schreibzugriff auf ein Ziel-Repository, in dem die Beweisdateien gespeichert werden. Das Ziel kann dasselbe Repository oder ein separates Schatten-Repository sein. Da GitHub keinen reinen Commit-Hash-Lesezugriff anbietet, existiert die Leseberechtigung, obwohl Timestamp GIT nur den HEAD-Commit-Hash liest.

Im Zero-Knowledge-Enterprise-Modus gewähren Sie überhaupt keinen Lesezugriff auf das Quell-Repository. Stattdessen läuft eine GitHub Action auf Ihrer Infrastruktur und übermittelt nur den Commit-Hash an die Timestamp GIT API.

Auf Ihren Entwicklungsrechnern muss nichts installiert werden. Ihr lokaler Git-Workflow bleibt unverändert.

Schritt 2: Committen Sie Code wie gewohnt weiter

Sobald die App installiert ist, benachrichtigen Webhooks Timestamp GIT, wenn ein neuer Commit erscheint. Im Enterprise-Zero-Knowledge-Modus sendet Ihre GitHub Action stattdessen den Hash.

Ihr normaler Workflow sieht so aus:

git add src/
git commit -m "Implement rate limiter v2"
git push origin main

Kein zusätzlicher Stempelbefehl ist erforderlich. Der Commit selbst ist der Auslöser.

Schritt 3: Lassen Sie den nächtlichen Batch Ihre Hashes verankern

Timestamp GIT verankert nicht jeden Commit einzeln. Es bündelt die Arbeit aus Effizienzgründen und erhält gleichzeitig einen verifizierbaren Pfad für jeden Commit-Hash.

Täglich führt das System Folgendes aus:

1. Erkennt neue Commits über Webhooks oder die GitHub Action.
2. Stellt die Commit-Hashes in einen In-Memory-Key-Value-Speicher in die Warteschlange.
3. Gruppiert ausstehende Hashes zu geplanten Zeitpunkten in Manifestdateien pro Repository.
4. Erstellt einen Merkle-Baum aus dem täglichen Batch.
5. Erstellt OpenTimestamps-Beweise unter Verwendung öffentlicher OTS-Kalender.
6. Verankert die Merkle-Wurzel in der Bitcoin-Blockchain.

Die Bitcoin-Bestätigung dauert normalerweise etwa drei Stunden, daher erscheinen die Beweisdateien einige Stunden nach dem nächtlichen Batch.

Schritt 4: Erhalten Sie Ihre Beweisdateien

Nachdem die Verankerung bestätigt wurde, pusht Timestamp GIT das Beweismaterial in den dafür vorgesehenen Timestamps-Branch oder das Schatten-Repository, das Sie konfiguriert haben.

Der Beweis umfasst:

• Manifestdateien, die aufzeichnen, welche Commit-Hashes enthalten waren.
• .ots-Receipt-Dateien, die die OpenTimestamps-Beweisdaten enthalten.

Sie können prüfen, was auf dem Proof-Branch angekommen ist:

git fetch origin timestamps
git ls-tree -r --name-only origin/timestamps | tail

Sie können auch ein Verifizierungs-Badge über den authentifizierten Badge-Endpunkt in Ihre README einbetten. Das Badge zeigt den aktuellen Verifizierungsstatus an und verlinkt auf die öffentliche Statusseite für Ihr Repository.

Schritt 5: Verifizieren Sie jederzeit — auch ohne Timestamp GIT

Die Verifizierung ist über die öffentlichen Seiten des Produkts verfügbar. Die kryptografische Verifizierungsseite verarbeitet die Merkle-Chain-Daten lokal in Ihrem Browser, sodass der Dienst nicht sieht, was Sie verifizieren.

Sie können die .ots-Datei auch herunterladen und unabhängig mit Standard-OpenTimestamps-Tools gegen die Bitcoin-Blockchain verifizieren. Da der Beweis nur von SHA-256 und Bitcoin-Blockdaten abhängt, erfordert die Verifizierung nicht, dass Timestamp GIT online bleibt.

Eine schnelle Statusprüfung kann über die öffentliche API erfolgen:

curl -s https://timestampgit.dev/api/statusSummary/your-user/your-repo

Für ein vollständiges Ledger können Sie ein Audit-CSV herunterladen. Für einen bestimmten Tag können Sie ein PDF-Zertifikat herunterladen.

Selbst gehostete und Enterprise-Bereitstellungen

Wenn Sie maximale Isolation benötigen oder in einer Air-Gap-Umgebung arbeiten, ist Timestamp GIT als Docker-Image mit einer Self-Hosted-Lizenz verfügbar. Ein minimaler Compose-Stack sieht so aus:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

Starten Sie ihn dann mit:

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

Beim ersten Start führt Sie ein Einrichtungsassistent durch die Verbindung Ihrer GitHub-App und die Konfiguration der Instanz. Eine zeitlich begrenzte Demo-Lizenz ist zur Evaluierung verfügbar.

Der Enterprise-Zero-Knowledge-Modus verwendet eine GitHub Action, die auf Ihrer eigenen Infrastruktur läuft. Sie übermittelt nur den Commit-Hash an die Timestamp GIT API, sodass Ihr Quellcode Ihre Umgebung nie verlässt.

Was Sie beim Nachweis der Software-Urheberschaft vermeiden sollten

Verlassen Sie sich nicht ausschließlich auf interne Logs oder Versionskontroll-Zeitstempel. Sie sind nicht manipulationssicher. Ein Gericht oder Prüfer kann sie als eigennützig zurückweisen, selbst wenn sie korrekt sind.

Geben Sie Ihren Quellcode im Beweisprozess nicht preis. Ein Zeitstempel sollte beweisen, dass Code existierte, nicht veröffentlichen, was er tut. Verwenden Sie eine Zero-Knowledge-Methode, die nur einen Einweg-Hash verankert. Das schützt Geschäftsgeheimnisse und vermeidet versehentliche Offenlegung.

Verwenden Sie keine proprietären Zeitstempeldienste, die verschwinden oder Aufzeichnungen verändern könnten. Wenn der Beweis von einem geschlossenen System abhängt, vertrauen Sie wieder einem Vermittler. Offene Standards wie SHA-256, OpenTimestamps und Bitcoin sind ohne den Anbieter verifizierbar.

Warten Sie nicht, bis ein Streitfall entsteht. Beginnen Sie früh und regelmäßig mit dem Zeitstempeln. Eine kontinuierliche Kette verankerter Commits zeigt ein Muster fortlaufender Arbeit, nicht einen Last-Minute-Versuch, Beweise zu fabrizieren.

Der manuelle Ansatz mit OpenTimestamps würde erfordern, dass Sie das Protokoll selbst betreiben. Timestamp GIT existiert, um diese Komplexität hinter einer GitHub-App und einer automatisierten nächtlichen Pipeline zu verbergen.

FAQ

Was genau ist ein kryptografischer Nachweis der Software-Urheberschaft?

Ein kryptografischer Nachweis der Software-Urheberschaft ist eine Methode, um zu beweisen, dass eine bestimmte Version Ihres Codes zu einem bestimmten Zeitpunkt existierte, ohne den Code selbst preiszugeben. Er funktioniert, indem ein eindeutiger Hash — ein Fingerabdruck — des Codes erstellt und dieser Hash in einem unveränderlichen öffentlichen Ledger wie der Bitcoin-Blockchain verankert wird. Jeder kann später verifizieren, dass der Hash zu diesem Zeitpunkt existierte, was einen manipulationssicheren Beweis der Urheberschaft liefert.

Wie beweist Timestamp GIT die Urheberschaft, ohne meinen Code zu sehen?

Timestamp GIT verwendet einen Zero-Knowledge-Ansatz. Es liest nur den Commit-Hash, der ein kryptografischer Fingerabdruck ist, niemals den tatsächlichen Quellcode. Der Hash wird in einen Merkle-Baum aufgenommen und über das OpenTimestamps-Protokoll in Bitcoin verankert. Da der Hash ein Einweg-Hash ist, kann niemand ihn umkehren, um Ihren Code zu sehen, aber der Zeitstempel beweist, dass der Code zu diesem Zeitpunkt existierte.

Kann ich den Zeitstempel selbst verifizieren, wenn Timestamp GIT verschwindet?

Ja. Der Beweis basiert vollständig auf offenen Standards: SHA-256, Bitcoin und OpenTimestamps. Sie erhalten .ots-Receipt-Dateien, die unabhängig mit Standard-OpenTimestamps-Tools gegen die Bitcoin-Blockchain verifiziert werden können. Für die Verifizierung ist keine proprietäre Technologie oder ein Dienst erforderlich, sodass Ihr Beweis auch dann gültig bleibt, wenn Timestamp GIT nicht mehr existiert.

Ist das rechtlich anerkannt?

Kryptografische Zeitstempel, die in öffentlichen Blockchains verankert sind, werden zunehmend als starke Beweismittel in Gerichtsverfahren anerkannt. Sie liefern einen manipulationssicheren, mathematisch verifizierbaren Nachweis der Existenz zu einem bestimmten Zeitpunkt. Die rechtliche Anerkennung variiert je nach Rechtsordnung, aber solche Beweise sind weitaus robuster als interne Logs oder E-Mail-Zeitstempel. Sie können Gerichten, Prüfern oder Gegenparteien vorgelegt werden, um den Stand der Technik oder die Urheberschaft zu belegen.

Wie viel kostet Timestamp GIT?

Öffentliche Repositorys werden im Rahmen eines kostenlosen Plans unterstützt. Private Repositorys sind mit dem Pro-Agency-Plan für 49 $ pro Monat verfügbar. Der Enterprise-Zero-Knowledge-Modus, der GitHub Actions verwendet, ist für 199 $ pro Monat verfügbar. Eine zeitlich begrenzte Demo-Lizenz ist ebenfalls für die Docker-Self-Hosted-Evaluierung verfügbar.

Fazit: Machen Sie den Urheberschaftsnachweis zu einem Teil Ihres Workflows

Der Nachweis der Software-Urheberschaft muss Ihren Entwicklungsprozess nicht verkomplizieren. Timestamp GIT verwandelt Ihre bestehenden Git-Commits automatisch in Bitcoin-verankerte Belege. Der Workflow ist Zero-Knowledge, d. h. Ihr Quellcode bleibt privat. Der Beweis ist anbieterunabhängig, d. h. er bleibt auch dann verifizierbar, wenn der Dienst verschwindet.

Installieren Sie die Timestamp GIT GitHub-App, verbinden Sie ein Repository und lassen Sie die nächtliche Verankerung im Hintergrund laufen. Öffentliche Repositorys können kostenlos starten, während private Repos durch die Pro- und Enterprise-Pläne abgedeckt sind. Sobald die erste Bitcoin-Bestätigung eingeht, haben Sie eine kryptografische Antwort auf die Frage: „Können Sie beweisen, dass Sie das zuerst geschrieben haben?"

Verwandte Beiträge

• So verifizieren Sie einen Git-Commit-Zeitstempel
• Git-Commits automatisch mit einer GitHub-App zeitstempeln
• Was ist kryptografischer Stand der Technik und warum ist er für Software wichtig?