OpenTimestamps-Alternativen: Verwaltetes Git-Timestamping

Sie haben die Prämisse bereits akzeptiert: Sie möchten Ihre Git-Commits in Bitcoin verankern, sodass ein bestimmter Zustand Ihres Repositorys nachweislich zu einem bestimmten Datum existierte. Dieser Punkt steht nicht zur Debatte.

Die eigentliche Kaufentscheidung ist, wer die Pipeline betreibt.

Das OpenTimestamps-Protokoll ist der Standard, auf dem die meisten dieser Systeme aufbauen, und es ist wirklich gut — offen, herstellerneutral, direkt gegen Bitcoin verifizierbar. Aber ein Protokoll ist ein Werkzeugkasten, kein Produkt. Irgendwo zwischen „das Protokoll existiert" und „meine Commits werden jede Nacht gestempelt, und mein Compliance-Leiter kann ein PDF-Zertifikat herunterladen" muss eine Menge Arbeit passieren. Dieser Artikel vergleicht die realistischen Optionen für Git-Timestamping im Jahr 2026, damit Sie entscheiden können, wo diese Arbeit liegen soll: auf dem Teller Ihres Teams oder hinter einer GitHub App, die Sie einmal installieren.

Die Kaufentscheidung: Warum über rohes OpenTimestamps hinausschauen?

OpenTimestamps löst das schwierige kryptografische Problem: Es verwandelt einen Hash in einen Existenznachweis, der in der Bitcoin-Blockchain verankert ist, und nutzt öffentliche Kalender-Server, damit Sie nicht pro Timestamp eine Transaktionsgebühr zahlen.

Was es nicht löst:

• Commit-Erkennung. Das Protokoll hat keine Ahnung, was Git ist. Jemand muss entscheiden, welche Commits gestempelt werden.
• Batching-Ökonomie. Einen Nachweis pro Commit zu stempeln ist verschwenderisch. Echte Setups bündeln Hashes täglich in einem Merkle-Baum und verankern nur die Wurzel.
• Schlüssel- und Nachweisspeicherung. .ots-Belege sind klein, aber sie müssen irgendwo dauerhaft liegen, an einem Ort, den ein Anwalt in drei Jahren finden kann.
• Verifizierungs-UX. „Laden Sie eine Datei herunter und prüfen Sie sie gegen Bitcoin" ist kein Workflow, den die meisten Compliance-Teams übernehmen werden.
• Laufender Betrieb. Eigenheiten der Kalender-Server, Upgrade-Pfade und die Frage, wer Bereitschaft hat, wenn der nächtliche Job stillschweigend aufhört, Nachweise zu erzeugen.

Das sind die versteckten Kosten von DIY: nicht die Kryptografie, sondern die Verkabelung drumherum. Die Wahl ist, ob Sie ein Protokoll weiter betreiben oder einen Dienst übernehmen, der es Ende-zu-Ende automatisiert. Timestamp GIT ist die verwaltete Option in diesem Vergleich — es verbirgt das Protokoll hinter einer GitHub App und einem nächtlichen Job, sodass kein Entwickler jemals einen Timestamping-Befehl anfassen muss.

Ein Satz Ehrlichkeit vor dem Vergleich: Ja, Sie können all das von Hand mit dem offenen Protokoll und einem Cron-Job erreichen. Dieser Artikel vergleicht diesen Weg mit den Alternativen; er führt Sie nicht durch den Aufbau.

Die Landschaft: Welche Optionen gibt es für Git-Timestamping?

Es gibt vier Formen von Lösungen, auf die Sie stoßen werden.

1. Der rohe OpenTimestamps-Ansatz. Sie installieren die Client-Tools, skripten Ihre eigene Commit-Sammlung, verwalten die Kalender-Interaktion, speichern Nachweise selbst und verifizieren manuell gegen Bitcoin. Maximale Kontrolle, maximale Angriffsfläche. Es ist nicht Git-nativ und wird nicht mit einem Dashboard, einem Badge oder einem Audit-Bericht ausgeliefert.

2. Blockchain-Timestamping-Plattformen mit APIs. Diese bieten Ihnen einen HTTP-Endpunkt, der einen Hash annimmt und einen Beleg zurückgibt. Besser als rohe Tools, aber sie sind generisch — sie stempeln alles, also ist die Git-Integration Ihr Problem. Sie bauen immer noch die Commit-Überwachungslogik, das Batching und die Speicherschicht.

3. Verwaltete Git-Timestamping-Dienste. Das ist die Kategorie, die Timestamp GIT besetzt: Installieren Sie eine GitHub App, wählen Sie Repositorys aus, und jeder Commit wird automatisch gesammelt. Jede Nacht bündelt ein Worker die Commit-Hashes des Tages, baut einen Merkle-Baum und verankert die Wurzel über öffentliche OpenTimestamps-Kalender in Bitcoin. Die Nachweise landen zurück in Ihrem eigenen Repository.

4. Selbst gehostete, lizenzierte Deployments. Verwalteter Komfort muss nicht die Server von jemand anderem bedeuten. Timestamp GIT wird als Docker-Image ausgeliefert, das Sie selbst betreiben können — die relevante Option für air-gapped Umgebungen und strenge Sicherheitsrichtlinien.

Auswahlkriterien: Was Entwickler und Compliance-Teams bewerten sollten

Wenn Sie Optionen vergleichen, ist das Protokoll darunter weniger wichtig als das Betriebsmodell darüber. Sechs Kriterien tragen den größten Teil der Entscheidung:

• Setup-Aufwand. Ein-Klick-Installation der GitHub App versus Tools installieren, Skripte schreiben und einen Scheduler verdrahten.
• Automatisierungsgrad. Bemerkt das System neue Commits von selbst, oder muss ein Mensch daran denken?
• Sicherheit und Datenschutz. Kann der Dienst seine Aufgabe erfüllen, ohne Ihren Quellcode zu lesen? Gibt es einen Modus, in dem Ihr Code Ihre Infrastruktur nie verlässt?
• Integrationsoberfläche. Git-Hosting-Integration, README-Badges, REST-Endpunkte, CSV-Audit-Ledger, PDF-Zertifikate.
• Kostenmodell. Kostenlose Stufe für öffentliche Repositorys, transparente Preisgestaltung pro Stufe für private und eine selbst gehostete Lizenz, wenn Sie Souveränität brauchen.
• Verifizierbarkeit und Lock-in. Kann ein Dritter Ihren Nachweis mit Standardwerkzeugen und Bitcoin-Blockdaten verifizieren, ohne dass Ihr Anbieter beteiligt ist?

Das letzte Kriterium wird von Teams unterschätzt. Ein Timestamp, den Sie nicht unabhängig verifizieren können, ist nur eine Datenbankzeile mit gutem Marketing.

Gegenüberstellung: Rohes Protokoll vs. verwaltete Dienste

Beachten Sie das Muster in der mittleren Spalte: Eine API entfernt die Kryptografiearbeit, lässt aber die Git-Arbeit übrig. Dort bleiben DIY-Projekte oft stecken — nicht weil die Verankerung schwer ist, sondern weil Commit-Sammlung, Batching und Zustellung langweilig genug sind, um dauerhaft nachrangig behandelt zu werden.

Urteil: Wer sollte welche Option wählen?

Solo-Entwickler und Open-Source-Maintainer. Wenn Ihnen die Verkabelung Freude macht und Ihre Repositorys ohnehin öffentlich sind, ist das rohe Protokoll vertretbar. Aber die kostenlose Stufe von Timestamp GIT deckt öffentliche Repositorys ab, also ist die ehrliche Frage, ob Ihre Zeit besser in Ihr Projekt als in die Pflege einer Nachweis-Pipeline investiert ist. Wenn nichts anderes, beseitigt es den Fehlermodus „Ich automatisiere das nächsten Monat richtig".

Startups und Agenturen. Nehmen Sie den verwalteten Weg. Prior-Art-Argumente kümmern sich nicht darum, dass Sie diese Commits hätten stempeln können — sie kümmern sich darum, dass Sie es getan haben, konsequent, in den Monaten vor dem Streit. Konsistenz ist ein Produktmerkmal, und nächtliche Automatisierung liefert sie weit besser als gute Vorsätze. Wenn Sie Lieferdaten während eines Zahlungsstreits nachweisen, lesen Sie Protecting Agency Code Deliverables With Blockchain Proof.

Unternehmen mit strengen Sicherheitsrichtlinien. Standard Mode plus der Enterprise-ZK-Pfad oder die selbst gehostete Docker-Lizenz geben Ihnen die Kontrolle, die Sie brauchen, ohne das Protokoll selbst neu zu bauen. Der Enterprise-ZK-Modus ist derjenige, zu dem Sie greifen, wenn das Quell-Repository vom Dienst nicht lesbar sein darf — eine GitHub Action pusht den Commit-Hash aus Ihrer eigenen Infrastruktur. Wenn Ihr Anliegen eher Patentexposition als Repository-Berechtigungen ist, deckt Git Commit Timestamp Proof for Patent Disputes dieses Szenario ab.

Die Kurzfassung: Timestamp GIT ist nicht bloß eine Alternative zum Betreiben des Protokolls — es ist die Version des Protokolls, die Sie nicht betreiben müssen.

Wie Timestamp GIT als verwaltete Alternative funktioniert

Hier ist der gesamte entwicklerseitige Workflow.

1. Die GitHub App einmal installieren. Nichts auf Entwicklermaschinen zu installieren. Die App liest nur den HEAD-Commit-Hash überwachter Repositorys; Ihr Quellcode wird nie gelesen, kopiert oder gespeichert. Im Standard Mode benötigt die App mindestens Lesezugriff auf das Quell-Repository (es gibt keine „nur Hash"-Berechtigung in GitHubs Modell) und Lese-/Schreibzugriff auf das Ziel-Repository, in das Nachweise geschrieben werden.

2. Commits werden automatisch gesammelt. Entweder erkennt die GitHub App neue Commits über Webhooks, oder — im Enterprise ZK Mode — pusht eine 12-zeilige GitHub Action nur den Commit-Hash an die Timestamp GIT API. Im ZK Mode ist kein Lesezugriff auf das Quell-Repository erforderlich, aber Sie installieren die Action. Ausstehende Hashes liegen in einem In-Memory-Key-Value-Store und warten auf den Batch.

3. Ein Mitternachts-Cron-Worker verankert den Batch. Jede Nacht gruppiert der Worker alle ausstehenden Hashes, baut Manifest-.txt-Dateien pro Repository, konstruiert einen Merkle-Baum, erstellt OpenTimestamps-Nachweise mit öffentlichen OTS-Kalendern und verankert die Merkle-Wurzel in der Bitcoin-Blockchain. Die Bitcoin-Bestätigung dauert normalerweise etwa drei Stunden, sodass Nachweise einige Stunden nach dem Batch-Lauf erscheinen.

4. Nachweise werden in Ihr Repository geliefert. Die Manifest- und .ots-Belegdateien werden zurück in einen dedizierten timestamps-Branch oder ein Shadow-Repository gepusht. Ab diesem Punkt ist der Timestamp unveränderlich — keine Entität, einschließlich Timestamp GIT, kann ihn ändern oder fälschen.

5. Sie verifizieren und veröffentlichen. Einbettbare README-Badges zeigen den Verifizierungsstatus und verlinken auf die öffentliche Verifizierungsseite. Das Repository-Status-Dashboard zeigt Nachweis-Langlebigkeit, frühestes Ankerdatum, tägliche Regelmäßigkeit, Bitcoin-Block- und Transaktionsdaten, eine Kalender-Heatmap sowie herunterladbare CSV-Audit-Ledger und PDF-Zertifikate. Die Verifizierung selbst läuft lokal im Browser gegen die Merkle-Chain — keine Berechnung auf unserer Seite, niemand sieht, was Sie verifizieren. Wenn Sie die Mechanik im Detail möchten, lesen Sie How to Verify a Git Repository’s Bitcoin Timestamp.

Für Automatisierung jenseits des Dashboards gibt es öffentliche Endpunkte:

curl https://timestampgit.dev/api/statusSummary/your-org/your-repo
curl https://timestampgit.dev/api/statusLast/your-org/your-repo
curl -O https://timestampgit.dev/api/audit/your-org/your-repo

Private Repositorys hängen ein verschlüsseltes HMAC an ihre URLs an, spezifisch für die Server-Instanz, sodass nur autorisierte Benutzer ihren Status lesen können.

Die selbst gehostete Option

Für maximale Sicherheit und air-gapped Umgebungen ist Timestamp GIT als Docker-Image verfügbar. Ein Quick-Start-Docker-Compose-Setup sieht so aus:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

Die Anwendung ist unter http://localhost:8080 verfügbar. Beim ersten Start führt Sie ein Setup-Assistent durch die Verbindung Ihrer GitHub App und die Konfiguration der Instanz. Eine zeitlich begrenzte Demo-Lizenz ist verfügbar, indem Sie das Anfrageformular auf der Docker-License-Seite mit Ihrem Namen, Unternehmen, E-Mail und optionaler Telefonnummer einreichen; die Lizenzdatei kann dann heruntergeladen werden.

FAQ

Muss ich irgendwelche OpenTimestamps-Befehle ausführen?

Nein. Timestamp GIT ist ein verwalteter Dienst. Sobald Sie die GitHub App installieren, erkennt sie Commits automatisch und verankert sie jede Nacht in Bitcoin. Sie müssen nie CLI-Tools ausführen oder das Protokoll selbst verwalten.

Kann ich Nachweise ohne Timestamp GIT verifizieren?

Ja. Die .ots-Belegdateien und Merkle-Nachweise basieren auf offenen Standards. Sie können sie unabhängig mit Standard-OpenTimestamps-Verifizierungswerkzeugen gegen die Bitcoin-Blockchain verifizieren oder Timestamp GITs lokale browserbasierte Verifizierung nutzen, die alle Berechnungen clientseitig durchführt.

Was passiert, wenn Timestamp GIT den Betrieb einstellt?

Ihre Nachweise sind in der Bitcoin-Blockchain verankert und anbieterunabhängig. Die .ots-Dateien und Merkle-Nachweise können offline mit Open-Source-Werkzeugen verifiziert werden. Timestamp GIT bindet Sie nicht; der kryptografische Nachweis beruht ausschließlich auf SHA-256 und Bitcoin-Blockdaten.

Wird mein Quellcode jemals exponiert?

Nein. Timestamp GIT arbeitet nach einem Zero-Knowledge-Prinzip. Im Standard Mode liest die GitHub App nur den Commit-Hash, nicht den Quellcode. Im Enterprise ZK Mode pusht eine GitHub Action nur den Commit-Hash aus Ihrer Infrastruktur, sodass Ihr Quellcode Ihre Umgebung nie verlässt.

Fazit

Jede Option in diesem Vergleich endet am selben Ort: ein SHA-256-Hash in einem Bitcoin-Block. Was sich unterscheidet, ist, wie viel Engineering, operative Disziplin und institutionelles Gedächtnis Sie liefern müssen, um dorthin zu gelangen — und ob das Ergebnis etwas ist, das ein Compliance-Team tatsächlich einem Anwalt aushändigen kann.

Wenn Sie die kryptografischen Garantien wollen, ohne der Maintainer einer Timestamping-Pipeline zu werden, installieren Sie die GitHub App einmal und lassen Sie den nächtlichen Worker den Rest erledigen. Beginnen Sie auf der kostenlosen Stufe mit einem öffentlichen Repository, um die Nachweise landen zu sehen, und verschieben Sie private Repositorys dann auf Pro Agency, wenn Sie bereit sind. Ihre Commits haben bereits Hashes; sie können genauso gut Zeugen haben.

Verwandte Beiträge

• Protecting Agency Code Deliverables With Blockchain Proof
• Git Commit Timestamp Proof for Patent Disputes
• How to Verify a Git Repository’s Bitcoin Timestamp