Agentur-Code-Lieferungen mit Blockchain-Nachweis schützen

Elena führt einen Entwicklungsbetrieb mit fünf Personen. Vor elf Monaten hat sie einen Kunden für ein Kundenportal gewonnen: drei Meilensteine, Festpreis, Abrechnung bei Lieferung. Meilenstein eins und zwei liefen problemlos. Meilenstein drei wurde an einem Freitag im September ausgeliefert — funktionsvollständig, getestet, in die Staging-Umgebung des Kunden deployt. Dann kam die Rechnung, und der Kunde verstummte.

Zwei Wochen später die Antwort: „Das Reporting-Modul wurde nie tatsächlich geliefert. Wir zahlen die Schlussrechnung nicht, und wir wollen eine Gutschrift für die Verzögerung."

Elena hat Belege. So halbwegs. Es gibt einen E-Mail-Thread, in dem der Produktmanager des Kunden selbst geschrieben hat: „Sieht gut aus, wir testen nächste Woche." Es gibt einen geteilten Google-Drive-Ordner mit exportierten Spezifikationen. Und es gibt das GitHub-Repository — über 400 Commits, die genau dann enden, wenn sie sagt, dass sie endeten, wobei das Reporting-Modul sechs Wochen vor der Rechnung ausgeliefert wurde.

Nichts davon ist neutral. Der E-Mail-Thread ist ein Screenshot-Krieg. Der Drive-Ordner enthält Dateien, deren Änderungsdaten der Kunde infrage stellen kann (und auch hat). Die Git-Historie liegt in einer Organisation, die der Kunde mitbesitzt, und Commit-Daten lassen sich mit einem einzigen git rebase und einem Force-Push umschreiben. In einem Zahlungsstreit ist „wir haben interne Logs" ungefähr nichts wert — es sind Beweise, die man über sich selbst produziert hat, auf Systemen, die man kontrolliert.

Dieser Artikel ist ein praktisches Playbook für Agenturen, die das Gegenteil wollen: eine Aufzeichnung, die keine der beiden Parteien kontrolliert, die nicht den guten Willen des Kunden erfordert, um verifiziert zu werden, und die überlebt, wenn der Kunde das Repository, den Hosting-Anbieter oder die Geschichte ändert.

Kryptografischer Existenznachweis löst genau dieses Problem. Und seit 2026 muss man die Kryptografie nicht verstehen, um sie zu nutzen — die Managed-Schicht erledigt die Arbeit.

Warum Blockchain-Nachweis für Agenturen wichtig ist (nicht nur für Patent-Trolle)

Blockchain-Timestamping wird unter „Patentverteidigung" abgelegt, weshalb die meisten Agenturen es ignorieren, bis sie es brauchen. Aber Patent-Trolle sind nicht das tägliche Risiko für einen Entwicklungsbetrieb. Kunden mit einem Cashflow-Problem sind es.

Vier konkrete Stellen, an denen sich eine Bitcoin-verankerte Commit-Aufzeichnung bezahlt macht:

• Zahlungsstreitigkeiten. Sie können das exakte Datum nachweisen, an dem ein Meilenstein committet wurde — nicht wann eine Rechnung versendet wurde, nicht wann jemand in Slack „fertig" gesagt hat. Das Datum leitet sich aus einem Bitcoin-Block ab, nicht aus Ihrer Server-Uhr oder der des Kunden.
• Haftungsabsicherung. Scope-Creep-Diskussionen drehen sich meist darum, wann etwas vereinbart wurde versus wann es gebaut wurde. Eine unveränderliche, tagesgenaue Aufzeichnung dessen, was zu jedem Zeitpunkt des Projekts existierte, erlaubt es Ihnen zu zeigen, dass eine Änderungsanforderung nach der Lieferung einging, ohne über den Kalender von irgendwem streiten zu müssen.
• Portfolio- und Wiederverwendungsschutz. Die meisten Agenturen pflegen eine Komponentenbibliothek — ein Auth-Modul, einen Billing-Adapter, eine CMS-Integration —, die in einem Dutzend Kundenprojekten auftaucht. Nachzuweisen, dass Sie sie verfasst haben, und wann, schützt Sie, falls ein ehemaliger Kunde behauptet, Sie hätten seinen Code übernommen.
• Kundenvertrauen als Feature. Ein Lieferpaket, das ein verifizierbares Zertifikat der Urheberschaft enthält, liest sich in einer Beschaffungsverhandlung anders als eines, das ein PDF enthält, das Sie selbst erstellt haben.

Dies ist nicht in erster Linie eine Patent-Geschichte. Wenn Sie den Prior-Art-Winkel wollen — breite Patente ungültig machen, Geschäftsgeheimnisse vor der Anmeldung schützen —, das ist im Schwesterbeitrag zu Prior-Art-Schutz für Software-Startups behandelt. Hier bleiben wir bei der kommerziellen Beziehung.

Ein praktisches Playbook: Blockchain-Nachweis für Agentur-Repos einrichten

Das gesamte Setup umfasst fünf Schritte, und vier davon sind einmalig. Nichts davon erfordert, dass Ihre Entwickler ein neues Tool lernen oder auch nur einen einzigen Befehl ändern.

Schritt 1 — Die Timestamp GIT GitHub App installieren

Installieren Sie die App auf den Repositories, die Sie für Kundenarbeit nutzen. Im Standard-Modus liest die GitHub App automatisch den HEAD-Commit-Hash jedes überwachten Repositories und schreibt Nachweise in einen dedizierten Branch (im selben Repo oder in einem separaten Shadow-Repo, Ihre Wahl). Sie benötigt Lesezugriff auf das Quell-Repo und Lese-/Schreibzugriff auf das Ziel-Repo, in dem die Nachweise landen.

Tun Sie dies einmal, zu Beginn der Zusammenarbeit, nicht erst, nachdem der Streit begonnen hat. Ein Timestamp, der während einer Auseinandersetzung erstellt wird, ist einen Bruchteil dessen wert, was einer während der normalen Lieferung erstellte.

Schritt 2 — Das nächtliche Anchoring laufen lassen

Es gibt keinen Schritt pro Commit. Commit-Hashes werden über Webhooks erkannt und im Speicher in eine Warteschlange gestellt. Jede Nacht bündelt ein Worker alles Ausstehende, erstellt Manifest-Dateien pro Repository, konstruiert einen Merkle-Baum und verankert die Merkle-Wurzel über das OpenTimestamps-Protokoll unter Verwendung öffentlicher Kalender in der Bitcoin-Blockchain.

Die Bitcoin-Bestätigung dauert normalerweise etwa drei Stunden, sodass die Nachweise einige Stunden nach dem Batch-Lauf zurückgeschrieben werden. Von Ihrer Seite aus: Sie pushen Code, und am nächsten Morgen ist die Arbeit des Vortages verankert.

Schritt 3 — Das Verifizierungs-Badge dem Kunden präsentieren (höflich)

Einbettbare Badges sind für Ihre README und für Lieferberichte verfügbar. Jeder mit dem Link kann den Timestamp über die öffentliche Statusseite verifizieren — kein Konto, kein Login.

# Get ready-made badge markdown for your delivery report or README
curl -s https://timestampgit.dev/api/badgeLink/your-agency/client-portal

Das Badge ist ein Shields.io-kompatibles Snippet, sodass es in eine README, eine Notion-Seite oder das PDF passt, das Sie mit einer Rechnung versenden. Bei privaten Repositories trägt die Status-URL einen verschlüsselten HMAC, sodass nur autorisierte Personen den Status lesen können — der Nachweis selbst bleibt öffentlich und verifizierbar, die Metadaten lecken nicht.

Schritt 4 — Zertifikate und Audit-Ledger an Meilensteinen exportieren

Ziehen Sie an jedem Meilenstein die Unterlagen und hängen Sie sie an die Rechnung.

# Full audit ledger as CSV — every anchored commit, every date
curl -s -o audit-client-portal.csv \
  "https://timestampgit.dev/api/audit/your-agency/client-portal"

# Per-day PDF certificate — include with the handover pack
curl -s -o certificate-2026-09-30.pdf \
  "https://timestampgit.dev/api/report/your-agency/client-portal/2026-09-30"

Die Repository-Statusseite liefert Ihnen dieselben Daten visuell: Nachweis-Langlebigkeit, frühestes Ankerdatum, tägliche Regelmäßigkeit, den Bitcoin-Block und die Transaktion hinter jedem Anker, eine Kalender-Heatmap sowie die herunterladbaren CSV- und PDF-Dateien. Der Endpunkt /api/statusSummary/{user}/{repo} gibt eine kombinierte Zusammenfassung zurück, wenn Sie sie in ein internes Dashboard einspeisen möchten.

Schritt 5 — (Optional) Enterprise-ZK-Modus für sensible Kunden

Manche Kundenverträge — Verteidigung, Fintech, alles mit einer strikten IP-Klausel — verbieten Drittzugriff auf den Quellcode. Der Enterprise-ZK-Modus adressiert das: Eine 12-zeilige GitHub Action läuft innerhalb Ihrer Infrastruktur und pusht nur Commit-Hashes an die Timestamp GIT API. Ihr Quellcode verlässt nie Ihre Umgebung, und nur das Ziel-Repository benötigt Schreibzugriff.

Optional: selbstgehostetes Docker

Wenn ein Kunde Air-Gapped-Betrieb oder Datenresidenz auf Ihrer eigenen Hardware verlangt, wird Timestamp GIT als Docker-Image ausgeliefert. Die Quick-Start-Compose-Datei:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

Die App ist unter http://localhost:8080 erreichbar. Ein Einrichtungsassistent beim ersten Start führt Sie durch die GitHub-App-Verbindung und die Instanzkonfiguration. Eine zeitlich begrenzte Demo-Lizenz zur Evaluierung kann über die Docker-Lizenzseite angefordert werden.

Was Sie bei der Nutzung von Blockchain-Nachweisen für Kundenarbeit vermeiden sollten

Fünf Fehler, die Agenturen hier machen, in ungefähr absteigender Häufigkeit:

• Sich allein auf interne Git-Logs verlassen. Sie sind editierbar, sie liegen auf Infrastruktur, die Sie oder der Kunde kontrollieren, und in einem Audit werden sie als eigennützig abgetan. Ein Commit-Datum von GitHub ist eine Behauptung; ein Commit-Hash in einem Bitcoin-Block ist ein Beweis.
• Versuchen, das Protokoll von Hand zu machen. Sie können die zugrunde liegende OpenTimestamps-Maschinerie selbst mit CLI-Tooling und eigenen Kalender-Einreichungen betreiben — es ist der schwierige Weg, es erfordert einen Workflow pro Commit, den Ihre Entwickler vergessen werden, und es produziert genau das Ergebnis, das Sie wollen, mit ungefähr hundertfach höherem Wartungsaufwand. Die Managed-Schicht existiert, damit niemand in Ihrem Team je darüber nachdenken muss.
• Nur am Projektende timestampen. Ein einzelner Nachweis am Projektende sagt „das existierte am Datum X". Eine nächtliche Kette sagt „dieser Commit existierte an diesem Datum, und jener Commit an jenem Datum, und so weiter durchgehend". Wenn ein Kunde eine Zeitachse statt einer Lieferung bestreitet, ist Granularität der ganze Fall.
• Den Nachweis für sich behalten. Ein Nachweis, den die andere Seite nicht prüfen kann, ist ein Nachweis, den sie bestreiten wird. Setzen Sie das Badge in die README, senden Sie den Status-Link, hängen Sie das PDF-Zertifikat an.
• Die Datenschutzanforderungen des Kunden ignorieren. Wenn der Vertrag Drittzugriff auf Code verbietet, nutzen Sie den Enterprise-ZK-Modus oder Self-Hosting. Nehmen Sie nicht stillschweigend an, dass „nur Hashes" eine Klausel erfüllt, die „keine Dritten" sagt.

Wie Timestamp GIT in Ihren Agentur-Workflow passt

Das Designziel ist, dass Timestamping unsichtbar ist, bis Sie es brauchen:

• Null Setup für Entwickler. Installieren Sie die GitHub App einmal. Jeder Commit in ein überwachtes Repository wird automatisch in die Warteschlange gestellt; der Batch läuft nächtlich. Keine neuen Befehle, nichts, was auf Entwickler-Rechnern installiert werden muss.
• Zero-Knowledge-Architektur. Timestamp GIT sieht, kopiert oder speichert Ihren Quellcode nie. Es stempelt Commit-Hashes. Der Fingerabdruck in Schritt eins ist ein Einweg-Hash des Repository-Zustands — nichts an Ihrer Implementierung ist daraus rekonstruierbar.
• Anbieterunabhängige Verifizierung. Der Nachweis ist ein .ots-Beleg, der in Bitcoin verankert ist. Die Verifizierung hängt von SHA-256 und Bitcoin-Blockdaten ab — kein proprietäres Format. Jeder kann den Beleg herunterladen und ihn mit Standard-OpenTimestamps-Tools gegen die Blockchain prüfen, selbst wenn Timestamp GIT morgen verschwinden würde. Eine Schritt-für-Schritt-Anleitung gibt es in So verifizieren Sie den Bitcoin-Timestamp eines Git-Repositorys.
• Integrationspunkte, die zu Agentur-Papierkram passen. Eine REST-API für Status, Audit-CSV und PDF-Zertifikate; einbettbare Badges für READMEs und Lieferdokumente; eine öffentliche Statusseite, die Kunden als Lesezeichen speichern können.
• Preise, die zum Agentur-Maßstab passen. Open Source (kostenlos) für öffentliche Repositories, Pro Agency für 49 $/Monat für private Repos, Enterprise ZK für 199 $/Monat, wenn ein Vertrag Isolation verlangt. Details auf der Preisseite.

Für Teams, die die Mechanik statt des Playbooks wollen, ist der technische Begleitbeitrag automatisiertes Git-Timestamping: Wie eine GitHub App jeden Commit verankert.

FAQ

Muss ich ändern, wie meine Entwickler Code committen?

Nein. Sobald die Timestamp GIT GitHub App auf einem Repository installiert ist, wird jeder Commit automatisch erkannt und sein Hash für das nächtliche Bitcoin-Anchoring in die Warteschlange gestellt. Entwickler nutzen weiterhin ihren normalen Git-Workflow ohne zusätzliche Befehle oder Tools.

Können Kunden den Nachweis selbst verifizieren?

Ja. Sie können ein Verifizierungs-Badge in Ihre README oder Ihren Lieferbericht einbetten, das auf eine öffentliche Statusseite verlinkt. Kunden können auch die .ots-Belegdatei herunterladen und sie unabhängig mit Standard-OpenTimestamps-Tools gegen die Bitcoin-Blockchain verifizieren.

Was, wenn ein Kunde verlangt, dass kein Dritter je den Code sieht?

Nutzen Sie den Enterprise-ZK-Modus, bei dem eine 12-zeilige GitHub Action auf Ihrer Infrastruktur läuft und nur Commit-Hashes an die Timestamp GIT API pusht. Ihr Quellcode verlässt nie Ihre Umgebung. Alternativ können Sie Timestamp GIT mit dem bereitgestellten Docker-Image selbst hosten, um volle Kontrolle zu haben.

Wie lange dauert es, bis ein Commit in Bitcoin verankert ist?

Commit-Hashes werden täglich gebündelt und über das OpenTimestamps-Protokoll in einem Bitcoin-Block verankert. Die Bitcoin-Bestätigung dauert typischerweise etwa drei Stunden, danach ist der Nachweis unveränderlich und verifizierbar.

Ersetzt das einen Vertrag?

Nein. Es ersetzt den schwächsten Teil eines Vertragsstreits: die faktische Aufzeichnung dessen, was wann existierte. Ihr Vertrag bestimmt, wer was schuldet; der Timestamp bestimmt, was an einem gegebenen Datum wahr war.

Fazit

Elenas Streit löste sich so, wie diese Dinge meist ausgehen — eine Teilzahlung und ein verlorener Kunde. Das Frustrierende war nicht das Geld. Es war, dass sie recht hatte und keine Möglichkeit, es so zu belegen, dass ein Dritter es akzeptieren würde.

Genau diese Lücke schließt der Blockchain-Nachweis für Agenturen. Nicht der Patentkrieg, nicht die abstrakte Zukunft — der gewöhnliche Dienstag, an dem ein Kunde entscheidet, dass die Rechnung optional ist, und Ihre einzige Verteidigung eine Aufzeichnung ist, die keiner von Ihnen beiden bearbeiten kann.

Installieren Sie die Timestamp GIT GitHub App auf Ihren Kunden-Repositories, lassen Sie das nächtliche Anchoring laufen und hängen Sie das Zertifikat an Ihre nächste Rechnung. Es dauert einmalig etwa zehn Minuten, und es verändert den Ton jedes Liefergesprächs danach.

Verwandte Beiträge

• Git-Commit-Timestamp-Nachweis für Patentstreitigkeiten
• So verifizieren Sie den Bitcoin-Timestamp eines Git-Repositorys
• Automatisiertes Git-Timestamping: Wie eine GitHub App jeden Commit verankert