Bankräuber brauchen heute weder Strumpfmaske noch Waffe. Gute Programmierkenntnisse reichen. Vor zwei Wochen zweigte ein Unbekannter von einer neuartigen Investmentbank im Internet Digitalgeld für mehr als 50 Millionen Dollar ab. Dabei nutzte er eine Lücke im Softwarecode. Den Kurs der als aussichtsreich geltenden Digitalwährung Ether schickte er auf Talfahrt: Binnen zwei Tagen verlor sie 50 Prozent.
Allerdings sorgt eine technische Besonderheit dafür, dass der Angreifer 27 Tage lang nicht auf das Digitalgeld zugreifen kann. Daher liefern sich Programmierer nun einen erbitterten Krieg: Mit verschiedenen Mitteln versuchen sie, dem Räuber die Beute streitig zu machen und den Schaden zu begrenzen.
Der Vorfall ist alles andere als eine Randnotiz für technikaffine Spekulanten. Er wirft kein gutes Licht auf eine der spannendsten Innovationen der Finanzwelt: die Blockchain. Auf dieser Technologie basiert neben Ether auch die bekannteste Digitalwährung Bitcoin. Die Blockchain ist letztlich eine Art dezentrales Kassenbuch, in dem alle Transaktionen bei allen Teilnehmern gespeichert werden. Banken und Finanzdienstleister hoffen, mit der Blockchain Transaktionen schneller, effizienter und sicherer zu machen.
Digital Handeln per Blockchain
Die Blockchain könnte ein weltweites Netzwerk zwischen Privatanlegern, Banken und Börsen spannen. Kauft ein Privatanleger eine Aktie, würde die Übertragung des Besitzrechtes sofort in einem digitalen Register erfasst und verifiziert. Bisher brauchen Anleger dafür eine Bank, die den Kauf noch von einer Abwicklungsstelle bestätigen lässt.
20 Milliarden Euro könnten Anleger mit der Blockchain-Technik jährlich sparen. Das Einsparpotenzial bei Lagerung und Abwicklung von Wertpapieren und dem Handel damit wird auf 90 Prozent geschätzt.
Die großen Investmentbanken zeigen bereits großes Interesse an der neuen Technik. Das New Yorker Start-up R3 CEV konnte bereits 25 internationale Großbanken für das Vorhaben interessieren, darunter JP Morgan, HSBC, Goldman Sachs, UBS, Deutsche Bank und Commerzbank. Gemeinsam arbeiten sie an Standards für den digitalen Wertpapierhandel.
Viele Unternehmen haben bei ersten Blockchain-Experimenten Ethereum, die Software-Plattform hinter Ether, genutzt. Im Januar führten elf Großbanken, darunter Credit Suisse, HSBC und Barclays, einen gemeinsamen Test mit Ether durch. Denn Ether gilt als fortschrittlichere Version des Bitcoin und ist mehr als digitales Geld: Mit ihr lassen sich programmierbare Verträge, so genannte „smart contracts“, erstellen. Diese zahlen beispielsweise automatisch Zinsen aus oder kontrollieren Geldeingänge.
Alternative zum krisenanfälligen Geldsystem
Die Fans von Bitcoin und Ether glauben zudem, dass ihre Geldsysteme – mit festen Regeln und einer festgelegten Geldmenge – eine Alternative zu unserem krisenanfälligen Finanzsystem werden können. Doch durch den 50-Millionen-Dollar-Coup ist das Vertrauen erschüttert.
Dabei betrifft der Vorfall Ether nicht direkt. Tatsächlich traf er einen Anlegerpool, der auf eine Initiative des Ether-Pioniers Christoph Jentzsch aus dem sächsischen Örtchen Mittweida zurückgeht. Der Gründer des Unternehmens Slock.it rief mit einer Gruppe von Mitstreitern die Dezentrale Autonome Organisation (DAO) ins Leben. Es sollte eine Art Risikokapitalfonds ohne Chefs sein, eine Mischung aus Crowdfundingplattform und Investmentbank. Ihre Regeln wurden festgeschrieben in Softwarecode. Wer sich beteiligen wollte, musste in Ether investieren und bekam Stimmrechte, um mitzuentscheiden, was mit dem gesammelten Kapital passiert.
Bis Ende Mai kamen fast 160 Millionen Dollar zusammen. Investoren hofften, so vom Blockchain-Boom zu profitieren. „Niemand hätte erwartet, dass die DAO so eine Größe annimmt“, sagt Jentzsch. Doch so wie große US-Wagniskapitalgeber Millionensummen in Blockchain-Start-ups stecken, hofften offenbar auch viele Investoren, am Hype um Ethereum teilhaben zu können. Schließlich war der Ether-Kurs von einem Dollar zu Jahresbeginn auf mehr als 20 Dollar Mitte Juni gestiegen.
Doch der Erfolg der DAO wurde ihr zum Verhängnis. Denn der dezentrale Fonds basiert auch auf intelligenten Verträgen. Alle Investitionsprojekte sollten in Softwarecode geschrieben werden, spätere Gewinne automatisch ausgezahlt werden. Solch eine Überweisung steckte auch hinter dem jüngsten Vorfall – allerdings ungeplant und lange vor der ersten Investition.
Seither streiten Entwickler und Blockchain-Experten um den Millionen-Hack. Es geht dabei um die grundsätzliche, beinahe philosophische Frage, ob es sich dabei überhaupt um Diebstahl handelt. Oder hat der vermeintliche Angreifer einfach nur das Kleingedruckte ganz besonders genau studiert? Denn bei der Frage, nach welchen Rechtsgrundlagen der dezentrale Fonds agiert, antworteten die Macher gern: „Der Code ist das Gesetz“. Die Allgemeinen Geschäftsbedingungen sind letztlich quasi im Computercode festgeschrieben. Und streng genommen machte sich der Angreifer beim Ausnutzen einer Softwarelücke nur die, wenn auch unglücklich formulierten, DAO-Regeln zunutze.
Gegenangriff in letzter Minute abgeblasen
Da der Angreifer nicht sofort auf das Digitalgeld zugreifen kann, versuchen jetzt weitere Angreifer, sich mit der gleichen Methode den Rest der 160 Millionen Euro zu sichern.
Dann sollte ein so genannter „soft fork“ durchgeführt werden: Damit wäre durch eine kleinere Änderung der Software das Konto mit den entwendeten Millionen dauerhaft eingefroren worden. Mitte vergangener Woche war es soweit, die Ethereum-Entwickler hatten in wenigen Nächten die neue Softwareversion geschrieben. Doch kurz vor der Umstellung tauchte dabei eine neue Lücke auf, die Gegenattacke musste in letzter Minute abgeblasen werden.
Vor dem radikalen Schritt schrecken die Entwickler noch zurück
Nun wird die Zeit langsam knapp. Noch bis zum 14. Juli sind dem Angreifer die Hände gebunden. Die einzig verbleibende Gegenmaßnahme, ihn daran zu hindern dann das Geld abzuziehen, ist so radikal wie umstritten. „Hard Fork“ nennt sich der Schritt: Es wäre eine Änderung der Software, die im Prinzip das System zurücksetzt und so den Angriff rückgängig macht.
Allerdings widerspricht das den ursprünglich erklärten Grundprinzipien. So heißt es auf der Plattform großspurig: „Die DAO ist geboren aus unveränderbarem, unwiderlegbarem und nicht zu stoppendem Computercode“. Doch wenn die Mehrheit der Ethereum-Nutzer zustimmt, ist der Code eben doch veränderbar.
Das Problem ist die unerwartete Größe des Projekts, denn es stecken 14 Prozent allen in Umlauf befindlichen Ethers in der DAO. Sie ist damit für die Blockchain-Jünger, die gern das von Bankenrettungen und Krisen geprägte Finanzsystem kritisieren, selbst „too big to fail“ geworden. Die DAO ist plötzlich für Ethereum so systemrelevant, wie viele Großbanken für das traditionelle Geldsystem. Und so werden auch die ehernen Prinzipien schnell in Frage gestellt. „Wir dürfen uns nicht zu Sklaven des Systems machen“, sagt Jentzsch.
Die Idee des dezentralen Unternehmens ist damit erst einmal gescheitert. „Die DAO wird es in dieser Form nicht mehr geben“, sagt Jentzsch. „Ich hoffe, dass sie komplett rückabgewickelt wird und alle ihre Ether zurückbekommen.“ Endet damit auch die Blockchain-Euphorie?
Eher nicht. „Das ist eine gute Erinnerung daran, dass wir klare Regeln, Standards und Sicherheitstests für die Blockchain benötigen“, sagt Edward Budd, Chief Digital Officer der Deutschen Bank. „Es hat aber keine Auswirkungen auf unsere Pläne und Tests mit der Blockchain-Technologie.“
Die schnelle Reaktion auf den Vorfall könnte die Bedeutung von Ether sogar stärken, glaubt Mervyn Maistry, Blockchain-Experte der Beratung EY. Trotz aller Schwierigkeiten seien die dezentral organisierten Ethereum-Programmierer mit dem Fehler besser umgegangen, als Großkonzerne wie Microsoft mit Softwarelücken. Ähnlich sieht es auch Alex Tapscott, Co-Autor des Buchs „Blockchain Revolution“ und Chef der Beratung Northwest Passage Ventures. „Blockchains sind extrem sicher, besonders im Vergleich mit zentralisierten Computersystemen von Unternehmen wie JP Morgan, Home Depot und zahlreichen anderen, die regelmäßig gehackt werden.“
„Jetzt ist es zwar ein großes Desaster, doch es wird Ethereum mittelfristig stärken und die Entwicklung sicherer machen“, sagt auch Jentzsch. Es wäre viel schlimmer, wenn der Fehler in zwei, drei Jahren aufgefallen wäre und schon viel mehr über die Blockchain gelaufen wäre. Nun können die Entwickler aus den gemachten Fehlern lernen. „Man hätte kleiner anfangen müssen“, räumt Jentzsch ein. Und beispielsweise Obergrenzen für die Ether in einzelnen Verträgen einführen können. Eine weitere Erkenntnis ist es, dass die Werkzeuge, um smart contracts zu schreiben, noch nicht ausgereift sind.
Doch das Ende von Ether auszurufen wäre verfrüht. Im Internet vergleichen viele die „Daokalypse“ mit dem Crash der einst größten Bitcoin-Börse Mt. Gox. Die ging nach Unterschlagungen 2014 insolvent, der Bitcoin-Kurs stürzte ab, und Beobachter riefen das Ende der Cyberwährung aus. Die hat sich längst erholt: Ein Bitcoin kostete zuletzt wieder mehr als 700 Dollar – so viel wie zuletzt vor zwei Jahren.
