Timestamp GIT vs. OpenTimestamps: Managed vs. DIY

Die Entscheidung Timestamp GIT vs. OpenTimestamps läuft auf eine Frage hinaus: Möchtest du eine Timestamping-Infrastruktur betreiben oder Timestamping als Service nutzen?

Timestamp GIT nimmt das OpenTimestamps-Protokoll und verbirgt die operative Komplexität hinter einer GitHub-App, automatischer nächtlicher Verankerung, einem Web-Dashboard, Badges und einer REST-API. Rohes OpenTimestamps bietet dir dieselbe zugrunde liegende kryptografische Primitive – SHA-256-Hashes, die in der Bitcoin-Blockchain verankert werden –, erwartet aber, dass du Hashing, Batching, Scheduling, Receipt-Speicherung und Verifizierung selbst übernimmst.

Beide Ansätze erzeugen .ots-Receipts, die beweisen, dass deine Git-Commit-Historie vor einem bestimmten Bitcoin-Block existierte. Der Unterschied liegt darin, ob du oder ein verwalteter Dienst für die zuverlässige Erzeugung verantwortlich ist.

Die Wahl: Managed Timestamping vs. DIY OpenTimestamps

Die Kaufentscheidung ist einfach. Du benötigst einen kryptografisch unbestreitbaren Beweis, dass ein Git-Commit an einem bestimmten Datum existierte. Das rohe Protokoll kann das. Ein auf diesem Protokoll aufgebauter Managed Service kann das ebenfalls. Der Kompromiss ist:

• Timestamp GIT: Automatisierung, Einfachheit, compliance-fertige Nachweise, vom Anbieter betriebene Infrastruktur, kostenpflichtige Tarife für private Repos.
• OpenTimestamps: volle Kontrolle, Open-Source-Transparenz, keine Lizenzkosten, aber manuelle Werkzeuge und individuelle Automatisierung.

Für viele Teams lautet die richtige Bewertung nicht „Welches ist kryptografisch stärker?“, denn die Bitcoin-Verankerungsmathematik ist dieselbe. Die richtige Bewertung lautet: „Welches wird in sechs Monaten noch Receipts, Badges und Audit-Berichte produzieren, ohne dass jemand im Team einen Cron-Job babysitten muss?“

Genau diesen Vergleich führt dieser Artikel durch.

Die Landschaft: Zwei Wege zu Bitcoin-verankerten Beweisen

OpenTimestamps ist ein Open-Source-Protokoll zur Verankerung von Daten-Hashes in der Bitcoin-Blockchain. Es verwendet SHA-256 und Bitcoin-Blockdaten, um Zeitstempel-Beweise zu erstellen. Die Kernausgabe ist ein .ots-Receipt. Es ist kein verwaltetes Produkt; du installierst Werkzeuge, entscheidest, was gehasht wird, und führst den Prozess selbst aus. Es hat standardmäßig kein Dashboard, keinen Badge-Generator und keine Repo-Integration. Die Verifizierung ist ebenso manuell: Du führst Protokoll-Werkzeuge gegen Bitcoin-Blockdaten aus.

Timestamp GIT ist ein Managed-SaaS + GitHub-App, aufgebaut auf OpenTimestamps. Du installierst die GitHub-App einmal. Ab dann wird jeder Commit in einem überwachten Repository automatisch erkannt, in einem nächtlichen Manifest gebündelt, in einem Merkle-Baum zusammengeführt, über öffentliche OTS-Kalender in Bitcoin verankert und als Beweis an einen dedizierten Branch oder ein Shadow-Repository zurückgegeben. Es gibt keine CLI, die auf Entwickler-Rechnern installiert werden muss. Es gibt keinen Cron-Job zu pflegen. Das Produkt bietet außerdem eine Docker-Self-Hosted-Option für Umgebungen, die den verwalteten Workflow innerhalb der eigenen Infrastruktur benötigen.

Beide Wege erzeugen .ots-Receipts, die in der Bitcoin-Blockchain verankert sind. Das Beweisformat und die kryptografischen Garantien sind grundlegend identisch. Die Benutzererfahrung und die operative Angriffsfläche sind es nicht.

Auswahlkriterien: Was für Entwickler und Compliance zählt

Einfachheit der Einrichtung und laufenden Nutzung

Timestamp GIT erfordert die Installation der GitHub-App und das Verbinden von Repositories. Keine lokalen Werkzeuge, kein Scheduler, keine zu verwaltende Receipt-Speicherung. Eine Nuance: Da GitHub keine Berechtigungen nur für Commit-Hashes anbietet, verlangt die GitHub-App im Standardmodus Lesezugriff auf das Quell-Repo – sie liest jedoch nur den HEAD-Commit-Hash. Sie benötigt außerdem Lese-/Schreibzugriff auf das Ziel-Proof-Repo oder den Branch, in den die Receipts geschrieben werden.

OpenTimestamps erfordert die Installation von Protokoll-Werkzeugen, das Schreiben von Skripten, das Planen von Jobs und das Speichern von Receipts. Für ein einzelnes Repository ist das nicht schwer, aber über eine Organisation hinweg wird daraus echte Wartungsarbeit.

Automatisierung und Zuverlässigkeit

Timestamp GIT übernimmt die gesamte Pipeline:

1. Commit-Erkennung über GitHub-Webhooks oder eine GitHub Action.
2. Hash-Warteschlange in einem In-Memory-Key-Value-Store.
3. Ein nächtlicher Worker gruppiert ausstehende Hashes in Manifest-Dateien, baut einen Merkle-Baum, erstellt OpenTimestamps-Beweise und verankert die Merkle-Root in Bitcoin.
4. Beweis-Zustellung nach der Bitcoin-Bestätigung, die normalerweise einige Stunden dauert.

OpenTimestamps hat keine eingebaute Automatisierung. Commit-Erkennung, Batching, Scheduling und Receipt-Zustellung liegen vollständig bei dir.

Sicherheit und Zero-Knowledge

Beide Ansätze können Zero-Knowledge sein. Timestamp GIT sieht, kopiert oder speichert deinen Quellcode niemals. Im Standardmodus liest die GitHub-App nur den HEAD-Commit-Hash. Im Enterprise-ZK-Modus läuft eine GitHub Action auf deiner Infrastruktur und übermittelt nur den Commit-Hash an die Timestamp-GIT-API. Dein Quellcode verlässt niemals deine Umgebung.

Rohes OpenTimestamps erlaubt dir, lokal zu hashen und nur den Digest zu timestampen. Der Unterschied ist, dass Timestamp GIT diese Grenze bereits mit einem GitHub-App-Berechtigungsmodell und einer HMAC-geschützten ZK-API operationalisiert hat.

Integration in bestehende Workflows

Timestamp GIT passt sofort in GitHub-Workflows. Es bietet:

• README-Verifizierungs-Badges
• Öffentliche Status-Dashboards mit Bitcoin-Block- und Transaktionsdaten
• Audit-CSV-Exporte
• PDF-Zertifikate pro Datum
• REST-API-Endpunkte für Status, Badges, Verifizierung und Berichte

Badge-URLs für private Repositories hängen einen verschlüsselten HMAC an, sodass nur autorisierte Benutzer den Status sehen können. OpenTimestamps liefert rohe .ots-Dateien; diese in Badges, Dashboards oder Compliance-Exporte umzuwandeln, erfordert eigene Werkzeuge.

Self-Hosting mit Docker

Wenn du den verwalteten Workflow benötigst, aber alles intern behalten musst, ist Timestamp GIT auch als Docker-Image verfügbar:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

Die Anwendung ist nach dem Start unter http://localhost:8080 verfügbar. Beim ersten Start führt dich ein Einrichtungsassistent durch das Verbinden deiner GitHub-App und die Konfiguration deiner Instanz.

Preise

Timestamp GIT hat einen kostenlosen Tarif für öffentliche Repositories, einen Pro-Agency-Plan für 49 $/Monat für private Repos und Enterprise ZK für 199 $/Monat für Zero-Knowledge-Timestamping auf GitHub-Actions-Basis. Eine Docker-Self-Hosted-Lizenz ist über eine Demo-Lizenzanfrage erhältlich.

OpenTimestamps ist freie Open-Source-Software, aber die tatsächlichen Kosten sind Entwicklungszeit, Skripte, Monitoring und das Risiko, dass eine Pipeline stillschweigend ausfällt, bevor du den Beweis benötigst.

Direkter Vergleich: Timestamp GIT vs. OpenTimestamps

Die kryptografische Stärke ist kein Unterscheidungsmerkmal: Beide Ansätze verwenden dieselben SHA-256-Hashes und die Bitcoin-Verankerung über das OpenTimestamps-Protokoll. Der Beweis ist identisch. Die operative Erfahrung ist es nicht.

Fazit: Wer sollte was wählen?

Wähle Timestamp GIT, wenn du eine Lösung ohne Einrichtungsaufwand möchtest, die automatisiert in GitHub-Workflows passt und compliance-fertige Nachweise produziert, ohne das zugrunde liegende Protokoll lernen zu müssen. Dies ist der praktische Weg für die meisten Startups, Entwicklungsagenturen, Freelancer und internen Teams.

Wähle rohes OpenTimestamps, wenn du spezifische technische Anforderungen hast, volle Kontrolle über jeden Schritt des Timestamping-Prozesses möchtest und dich mit der Verwaltung von Infrastruktur wohlfühlst. Dies kann für Protokollforscher, Nicht-Git-Daten oder individuelle Batch-Pipelines sinnvoll sein.

Ziehe die Docker-Self-Hosted-Option in Betracht, wenn du den verwalteten Timestamp-GIT-Workflow benötigst, aber aus Gründen der Air-Gap-Sicherheit, Sicherheit oder Compliance alles intern behalten musst.

Für die meisten Entwickler und Compliance-Teams bietet Timestamp GIT die beste Balance aus Sicherheit, Komfort und rechtlicher Verteidigungsfähigkeit.

FAQ

Ist Timestamp GIT nur ein Wrapper um OpenTimestamps?

Ja, Timestamp GIT verwendet unter der Haube das OpenTimestamps-Protokoll, um Commit-Hashes in der Bitcoin-Blockchain zu verankern. Es automatisiert jedoch den gesamten Prozess: Du installierst die GitHub-App, und jeder Commit wird automatisch nächtlich mit Zeitstempel versehen, ohne manuelle CLI-Befehle. Die resultierenden .ots-Beweise sind identisch mit denen, die du manuell erstellen würdest.

Kann ich von rohem OpenTimestamps zu Timestamp GIT wechseln, ohne meine bestehenden Beweise zu verlieren?

Ja, deine bestehenden OpenTimestamps-Beweise bleiben gültig, da sie in der Bitcoin-Blockchain verankert sind. Timestamp GIT kann ab dem Zeitpunkt, an dem du dein Repository verbindest, neue Commits mit Zeitstempeln versehen, und du kannst deine alten Receipts für die historische Verifizierung behalten.

Sieht Timestamp GIT jemals meinen Quellcode?

Nein, Timestamp GIT ist als Zero-Knowledge konzipiert. Im Standardmodus liest die GitHub-App nur den HEAD-Commit-Hash, nicht den Code selbst. Im Enterprise-ZK-Modus läuft eine GitHub Action auf deiner Infrastruktur und übermittelt nur den Commit-Hash an die API, sodass dein Quellcode niemals deine Umgebung verlässt.

Ist die Bitcoin-Verankerung mit Timestamp GIT genauso sicher wie mit manuellem OpenTimestamps?

Ja, die Sicherheit ist identisch, da beide dasselbe OpenTimestamps-Protokoll und dieselbe Bitcoin-Blockchain verwenden. Timestamp GIT bündelt mehrere Commit-Hashes in einem Merkle-Baum und verankert die Root in einer Bitcoin-Transaktion, genau wie du es manuell tun würdest. Der Unterschied ist, dass Timestamp GIT die technischen Details für dich übernimmt.

Fazit: Die richtige Wahl für deinen Prior-Art-Nachweis treffen

Timestamp GIT und rohes OpenTimestamps erzeugen beide mathematisch unbestreitbare Beweise dafür, dass deine Git-Commits zu einem bestimmten Zeitpunkt existierten. Die zugrunde liegende Bitcoin-Verankerungsmathematik ist identisch. Der Unterschied ist operativ: Das eine ist eine verwaltete GitHub-App, die die gesamte Pipeline automatisiert, das andere ist ein Protokoll, das du selbst betreiben musst.

Wenn du Wert auf Zeit, Einfachheit und compliance-fertige Nachweise legst, ist Timestamp GIT die praktische Wahl. Du installierst die GitHub-App einmal, verbindest deine Repositories und lässt die nächtliche Verankerung den Rest erledigen – während dein Quellcode privat bleibt.

Teste Timestamp GIT kostenlos auf öffentlichen Repositories oder erkunde die Docker-Self-Hosted-Option, wenn du denselben Workflow innerhalb deiner eigenen Infrastruktur benötigst.

Verwandte Beiträge

• Automatisiere Git-Commit-Timestamping mit einer GitHub-App
• So beweist du, dass dein Code an einem bestimmten Datum existierte (ohne ihn preiszugeben)
• Schütze dein Startup vor Patent-Trollen mit Git-Timestamping