01
Offline-Endgültigkeit
Die empfangende Partei entscheidet an Ort und Stelle, ohne Netz. Kein Store-and-Forward, bei dem das Risiko aufgeschoben und später von jemand anderem getragen wird — sondern echte, lokal endgültige Annahme.
Vorgeschichte
Das Feld, vermessen.
Eine Aussage der Form „kein anderes System ist bekannt“ ist genau so viel wert wie die Suche dahinter. Es folgen deshalb der Maßstab, die geprüften Quellen und die Befunde — einzeln benannt.
Der Maßstab
Sieben Eigenschaften, jede für sich entscheidbar, an denen sich jedes System messen lässt — eine akademische Konstruktion, ein industrielles Produkt, ein Pilotprojekt einer Zentralbank, ein Patent. Die ersten sechs sind falsifizierbar: Wer ein System zeigt, das alle sechs erfüllt, bringt die Aussage zu Fall.
02
Kein Hardware-Vertrauen
Die Sicherheitsargumentation stützt sich nicht auf ein manipulationssicheres Bauteil im Gerät des Nutzers. Ein gewöhnliches Smartphone, ohne Sicherheitshardware. Nutzt ein System ein solches Bauteil optional, ist das zulässig; eine Aussage, die ohne den Chip zusammenbricht, ist es nicht.
03
Weitergabe über mehrere Hops
Die digitale Banknote wandert offline weiter, von Hand zu Hand — mindestens zwei Hops, ohne zum Emittenten zurückzukehren. Das ist der Unterschied zwischen einer E-Geld-Karte und Bargeld: Von der Karte geht der Wert zum Händler und bleibt dort stehen; eine Banknote geht weiter.
04
Selbstenttarnender Betrug
Die Identität eines Doppelausgebers lässt sich kryptografisch aus den Spuren der beiden Zahlungen zurückgewinnen. Keine vertrauenswürdige dritte Partei entsiegelt etwas, keine Behörde wägt ab — die Mathematik gibt sie heraus, und jeder kann es nachprüfen.
05
Zuordnung, die Unschuldige verschont
Das System benennt genau den ursprünglichen Betrüger, und jedes andere ehrliche Glied der Kette behält seine Anonymität — weder die ehrlichen Inhaber vor dem Betrüger noch die nach ihm werden enttarnt oder auch nur verdächtigt.
06
Keine falsche Beschuldigung
Ein formaler Satz, wonach sich gegen einen ehrlichen Nutzer kein gültiger Doppelausgabe-Nachweis erzeugen lässt — weder durch einen bösartigen Emittenten noch durch zusammenwirkende Kettenteilnehmer. Die Literatur nennt das exculpability oder non-frameability. Es ist das, was echte Verantwortlichkeit von bloßer Beschuldbarkeit trennt.
07
Einsatzfähigkeit
Eine versionierte Spezifikation, eine Referenzimplementierung, ein lauffähiger Demonstrator, gemessene Größen und gemessene Laufzeiten, eine benannte Kurvenwahl, eine im Einsatz befindliche Basisschicht sowie ein regulatorischer und ein Entschädigungsrahmen. Eine Konstruktion, die auf dem Papier stimmt, an der Kasse aber unbrauchbar ist, ist kein Zahlungssystem.
Der übliche Einwand gegen einen Maßstab lautet, sein Urheber habe ihn sich zurechtgeschnitten. Deshalb gehört festgehalten: Eine völlig unabhängige Systematisierung misst die fünfte Eigenschaft auf genau dieselbe Weise. Eine Spalte des SoK: Offline Payment Systems vom März 2026 (Universität Innsbruck, Universität Wien, SBA Research; arXiv:2603.16320, sechsunddreißig Systeme) heißt „privacy revocation“ und ist so definiert: DS, wenn die Aufdeckung ausschließlich bei einer Doppelausgabe erfolgt, und U, wenn die Privatsphäre ehrlicher Nutzer als Nebeneffekt der Aufdeckung eines Doppelausgebers unbeabsichtigt preisgegeben werden kann. Die Autoren setzen U in Rot, als ausdrücklich unerwünschte Eigenschaft. Von den vollständig offlinefähigen Systemen erhalten genau zwei ein U — dieselben zwei Konstruktionen, die auch der Maßstab oben als Gegenbeispiele nennt. Das Kriterium ist also keine Erfindung von Pactena.
Die akademische Linie
Vier Jahrzehnte, Posten für Posten, jeweils mit dem, was sie brachten, und dem, was sie kosteten. Der Reihe nach gelesen hat die Linie eine Form: Jeder Schritt, der eine Eigenschaft gewann, bezahlte dafür an anderer Stelle.
- Jahr
1982
Was es warChaum: die blinde Signatur.
Was es gabDie Idee des anonymen digitalen Bargelds, in einer Konstruktion, die elegant genug ist, um bis heute grundlegend zu bleiben.
Der PreisOnline. Der Händler muss bei jeder einzelnen Zahlung die Bank anrufen, um zu erfahren, ob die Banknote schon ausgegeben wurde. Offline unbrauchbar, und eine Weitergabe gibt es nicht.
- Jahr
1988
Was es warChaum–Fiat–Naor: offline-fähiges elektronisches Bargeld.
Was es gabDie Geburt der selbstenttarnenden Doppelausgabe. Die Identität des Ausgebenden ist so in die Banknote codiert, dass eine einzelne Zahlung nichts preisgibt, zwei Zahlungen der Bank aber erlauben, den Namen des Betrügers zu berechnen.
Der PreisEin Hop. Der Nutzer zahlt dem Händler, der Händler reicht die Banknote bei der Bank ein. Kein Weg von Hand zu Hand. Und eine Präzisierung: Die Arbeit enthält keinen Unmöglichkeitsbeweis zur Verhinderung. Sie enthält eine Entwurfsentscheidung — sie setzt auf Erkennung statt auf Verhinderung, weil sich Verhinderung offline nicht geben lässt.
- Jahr
1990–1992
Was es warOkamoto–Ohta: das erste übertragbare elektronische Bargeld.
Was es gabGeld, das zwischen beliebig vielen Nutzern weiterwandern kann.
Der PreisDie Anonymität ist schwach. Auch ganz ohne Doppelausgabe lässt sich entscheiden, ob zwei Zahlungen von demselben Nutzer stammen. Die Literatur nannte das später weak anonymity.
- Jahr
1993
Was es warChaum–Pedersen: ein negatives Ergebnis.
Was es gabEin Beweis, dass eine weitergegebene Banknote bei jeder Übergabe zwangsläufig wächst, und dass ein Beobachter mit unbegrenzten Mitteln eine Banknote, die er zuvor selbst hielt, immer wiedererkennt.
Der PreisDieser Satz hängt über der gesamten weiteren Linie. Jede übertragbare Konstruktion muss je Hop bezahlen. Offen ist nur, wie viel.
- Jahr
2005
Was es warCamenisch–Hohenberger–Lysyanskaya: Compact E-Cash.
Was es gabEin Durchbruch bei der Effizienz der Abhebung — viele Banknoten in einem einzigen Vorgang, in einem kleinen Bestand. Seither ein breit genutzter Baustein.
Der PreisNicht übertragbar. Vom Nutzer zum Händler, und dort endet der Weg.
- Jahr
2008
Was es warCanard–Gouget: das formale Modell.
Was es gabDie erste formale Systematisierung der Anonymitätsbegriffe für übertragbares Bargeld, samt Beweis, dass der stärkste denkbare Begriff unerreichbar ist. Sie geben auch eine Konstruktion an, die jede erreichbare Eigenschaft erfüllt.
Der PreisIn den Worten der Literatur selbst: „completely impractical“ (völlig unpraktikabel) — sie beruht auf generischen komplexitätstheoretischen Reduktionen und ist damit eher ein Machbarkeitsnachweis als ein baubares System.
- Jahr
2009
Was es warFuchsbauer, Vergnaud und Koautoren: übertragbares Bargeld konstanter Größe.
Was es gabEin eleganter Weg um die Wachstumsschranke herum: Die Geschichte der Kette steckt nicht in der Banknote, sondern in Quittungen, die bei den Nutzern liegen. Die Größe bleibt konstant.
Der PreisDas ist der lehrreichste Preis der ganzen Geschichte. Bei einer Doppelausgabe konnte eine vertrauenswürdige Nachverfolgungsstelle auch die Identität ehrlicher Inhaber aufdecken, durch deren Hände die belastete Banknote später lief — die Unschuldigen zahlten für den Schuldigen, wenn auch nur gegenüber einer einzigen privilegierten Partei. Zwei Präzisierungen der Fairness halber: Die Anonymität geht nicht öffentlich verloren, sondern nur gegenüber dieser vertrauenswürdigen Partei, und das Verfahren ist interaktiv, die Quittungen müssen bei den Nutzern angefordert werden. Nach dem Maßstab oben fällt die Eigenschaft dennoch durch: Ehrliche Inhaber werden identifiziert und geraten in Verdacht.
- Jahr
2011
Was es warBlazy und Koautoren: Anonymität mit einem Richter.
Was es gabEine Reparatur der Mängel der vorigen Arbeit, die dem ehrlichen Nutzer die Anonymität zurückgibt.
Der PreisDafür braucht es einen allsehenden Richter. Dieser Schlüssel identifiziert aber nicht nur den Betrüger: Mit ihm lässt sich jederzeit jede Banknote und jeder Nutzer verfolgen. Der Preis ist nicht gesunken, er hat die Form gewechselt — ein einziger Schlüssel, der die Anonymität des gesamten Systems aufsperrt.
- Jahr
2015
Was es warBaldimtsi–Chase–Fuchsbauer–Kohlweiss: vollständig anonymes übertragbares Bargeld.
Was es gabDie erste Konstruktion, die ohne vertrauenswürdige dritte Partei auf alle drei Anonymitätsbegriffe der Literatur zielt. Das Entwurfsziel beschreiben die Autoren so: „it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved“ (es muss sichergestellt sein, dass der richtige Nutzer beschuldigt wird, während die Anonymität ehrlicher Inhaber … gewahrt bleibt) — der Sache nach die fünfte Eigenschaft des Maßstabs, aus dem Jahr 2015.
Der PreisZwei Preise. Im Beweis des stärksten Anonymitätsbegriffs fand sich später ein Fehler — gefunden von den Autoren des nächsten Kapitels. Und nach der Einschätzung der Literatur selbst ist sie „hardly practical“ (kaum praktikabel); die Bausteine seien „far from being implementable on constrained mobile devices“ (weit davon entfernt, auf ressourcenbeschränkten Mobilgeräten implementierbar zu sein).
Bauer–Fuchsbauer–Qian, 2021 — der einzige echte Herausforderer
2021 stellten Balthazar Bauer, Georg Fuchsbauer und Chen Qian auf der PKC die Arbeit Transferable E-Cash: A Cleaner Model and the First Practical Instantiation vor. Ihre Konstruktion erfüllt alle sechs falsifizierbaren Eigenschaften. Offline-Endgültigkeit, kein Hardware-Vertrauen, unbegrenzte Weitergabetiefe, eine selbstenttarnende Doppelausgabe, eine Zuordnung, die Unschuldige verschont, und ein formaler Satz zum Schutz vor falscher Beschuldigung — Letzterer gegen eine bösartige Bank und zusammenwirkende Kettenteilnehmer zugleich. Alle drei Anonymitätsbegriffe der Literatur sind bewiesen, auch der stärkste. Die unabhängige Systematisierung von 2026 bestätigt das und ordnet sie der Seite „nur bei Doppelausgabe“ zu.
Die Machbarkeit dieser Eigenschaftskombination haben also sie gezeigt. Das steht nicht infrage. Erst dass die Quelle des Begriffs benannt wird — und genau benannt wird, was hinzukam —, macht den Rest dieser Seite überprüfbar.
Was nicht getan wurde, ist streng genommen eine Tatsachenkategorie, und sie hat drei Elemente: Es gibt keine veröffentlichte Implementierung, keine gemessene Laufzeit und keine Kurvenwahl. Drei unabhängige Quellen bestätigen das — eine ACNS-Arbeit von 2026, die das Werk zitiert („the performance of Bauer et al. is not reported“), die Tabelle des SoK von 2026, in der die Zellen zu Implementierung, Transaktionen pro Sekunde und Latenz leer sind, sowie die im Volltext verfügbare Dissertation des Erstautors, in der eine Suche nach Laufzeiten, Bytegrößen, einem Prototyp oder einer Kurve ohne substanziellen Treffer bleibt.
We view this as practical by current standards.
| Messgröße | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| Zahlungspaket an den Empfänger, nach der Abhebung | 19.248 Byte | ~456 Byte |
| Zuwachs je Weitergabe | +7.392 Byte | +48 Byte |
| Tiefste Kette | unbegrenzte Tiefe | ~956 Byte (zehn Hops) |
| Offline-Prüfung | nicht gemessen | ~12 ms |
| Implementierung, Benchmark, Kurvenwahl | nichts veröffentlicht | Referenzimplementierung und lauffähiger Demonstrator |
Die Zahlen der Tabelle stammen aus der Effizienzanalyse der Arbeit, die Größen als abstrakte Zahlen von Gruppenelementen angibt. Rechnet man sie auf die Kurve um, die die Autoren selbst betrachtet haben — eine Umrechnung, die auch die zitierende Literatur vorgenommen und mit demselben Ergebnis abgeschlossen hat —, ergeben sie die Bytegrößen oben. Ihre Banknote ist frisch rund neunzehn Kilobyte groß und wächst bei jeder Übergabe um rund sieben Kilobyte; nach einer Kette von zehn Schritten liegt sie in der Größenordnung von neunzig Kilobyte. Das ist kein Fehler der Autoren: Es ist der Preis des stärksten Anonymitätsbegriffs, den sie bewusst auf sich genommen und in der Arbeit begründet haben. Verglichen werden Zahlungspakete und nicht Nachweise, weil ihr Schuldnachweis 96 Byte groß ist und mit der Tiefe nicht wächst — an der Nachweisgröße gemessen wären die beiden Systeme nicht zu unterscheiden.
Der Unterschied ist an zwei Punkten ein bewusster Tausch. Die Weitergabetiefe von Pactena ist begrenzt — zehn Hops, als konfigurierbarer Parameter —, ihre nicht. Und die Privatsphäre von Pactena gilt je Transaktion und ist an der Emittentengrenze abgeschottet statt systemweit: Der Händler erfährt nicht, wer gezahlt hat; der Empfänger prüft die Gegenpartei, die vor ihm steht, erfährt über die früheren Inhaber aber nichts; und ein Emittent kennt nur seinen eigenen Kunden sowie den Emittenten, mit dem er abrechnen muss. Die dazwischenliegenden Nutzer der Kette werden gegenüber niemandem offengelegt. Der stärkste Anonymitätsbegriff der Literatur würde zusätzlich verlangen, dass ein Emittent seine eigene Emission nicht verfolgen kann; in einem regulierten, KYC-basierten System ist das weder nötig noch wünschenswert, denn an der Emittentengrenze wird genau Verantwortlichkeit gebraucht. Der Preis des Tauschs ist messbar: Das Zahlungspaket von Pactena wächst je Weitergabe um 48 Byte, nicht um sieben Kilobyte. Bauer, Fuchsbauer und Qian haben gezeigt, dass es geht; Pactena zeigt, dass es sich einführen lässt.
Die industrielle und die zentralbankliche Linie
In den 1990er-Jahren gab es tatsächlich offline-fähiges digitales Bargeld, in vielen Ländern und in großem Maßstab. Dieser Teil fehlt in den meisten Darstellungen — dabei erklärt gerade er die heutige Lage.
- Jahr
1990er
Was es warDigiCash / eCash — Chaums Unternehmen.
Was es gabDer Beweis, dass anonymes digitales Bezahlen funktioniert, auf einem gewöhnlichen Personal Computer, ohne Sicherheitshardware.
Der PreisIm ausgelieferten Produkt prüfte die Bank jede Banknote online; der Offline-Modus blieb eine „future extension“ (künftige Erweiterung). Das Unternehmen ging 1998 bankrott.
- Jahr
1992–1995
Was es warCAFE — das ESPRIT-Projekt der EU, unter Beteiligung von Chaum.
Was es gabDie ausgefeilteste Konstruktion der Epoche — und die einzige jener Jahre mit kryptografischer Identifizierung des Betrügers: „Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.“ (Selbst wenn die Manipulationssicherheit gebrochen wird, werden Nutzer, die elektronisches Geld mehr als einmal ausgeben, identifiziert, und die Identität des Nutzers, dessen Gerät für diesen Betrug verwendet wurde, lässt sich beweisen.) Schon 1994 sahen die Autoren, dass es auf die vor Gericht haltbare Beweisbarkeit ankommt und nicht auf die Erkennung allein.
Der PreisIn den Worten des Projekts selbst: „it allows just one transfer of the electronic money“ (es erlaubt nur eine einzige Weitergabe des elektronischen Geldes). Ein Hop. Keine Kette. Das Projekt endete planmäßig im November 1995 und wurde nie ein Produkt.
- Jahr
1990er
Was es warMondex — NatWest, später Mastercard.
Was es gabVon Karte zu Karte, offline, von Hand zu Hand, ohne Clearing dazwischen — in seiner Zeit das einzige System, das die Kette in unbegrenzter Länge beherrschte. Ein ITSEC-E6-Zertifikat, ein formales Sicherheitsmodell und Echtbetrieb in mehr als einem Dutzend Ländern.
Der PreisDas Vertrauen zog in den Chip. Die Karte bewies nicht, dass niemand betrogen hatte; sie verließ sich darauf, dass Betrug nicht durchführbar war. Eine Identifizierung des Betrügers gibt es nicht: Die Karte speicherte nur die letzten zehn Transaktionen, ein globaler Prüfpfad existierte nicht. Genau das kritisierte man schon damals. Der letzte Markt wurde 2008 geschlossen.
- Jahr
1996–2020er
Was es warGeldKarte, Octopus, Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Was es gabFunktionierendes, verbreitetes Offline-Bezahlen, in mehreren Ländern, teils über Jahrzehnte im Betrieb.
Der PreisAlle bauten auf einer manipulationssicheren Chipkarte auf. Die Weitergabe zwischen Nutzern ist entweder ausdrücklich ausgeschlossen — die deutsche GeldKarte-Dokumentation widmet dem Grundsatz der „Nichtübertragbarkeit von Guthaben“ einen eigenen Abschnitt — oder läuft über eine Online-Anwendung, wie bei Octopus. Keines hat eine kryptografische Identifizierung des Betrügers; Missbrauch wird über zentrale Schattenkonten und Sperrlisten behandelt.
- Jahr
2020er
Was es warDie Zentralbanken: die Offline-Schicht des digitalen Euro, e-CNY, UPI Lite X, das E-Krona-Pilotprojekt, das digitale Pfund, BIS Project Polaris.
Was es gabOffline-Bezahlen in echten Systemen mit großem Volumen, in reguliertem Umfeld, teils mit mehr als einem Hop.
Der PreisDer Sicherheitsanker ist überall ein Chip im Gerät des Nutzers, und die Identifizierung des Betrügers fehlt entweder oder erfolgt institutionell statt kryptografisch. Im Versuch der Bank of England von 2025 nutzten fünf von fünf Anbietern Secure Elements; die Riksbank versuchte einen allein auf Telefone gestützten Entwurf und verwarf ihn schriftlich.
Zwei Muster, und beide halten über vierzig Jahre. Wo das Offline-Bezahlen ernst genommen wurde, legte man Hardware darunter. Wo stattdessen die Mathematik gewählt wurde, kam entweder nichts zur Auslieferung, oder die Ehrlichen zahlten den Preis des Betrügers. Kein historisches System erfüllte die Offline-Kette über mehrere Hops und die kryptografische Identifizierung des Betrügers zugleich: Mondex hatte die Kette, aber nicht die Identifizierung; CAFE hatte die Identifizierung, aber nicht die Kette.
Die stärkste historische Fußnote ist diese. Als David Chaum selbst sich 2022 erneut dem offline von Hand zu Hand laufenden Bezahlen zuwandte, griff er auf eine physische Karte zurück und schrieb: „Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.“ (Lösungen, die allein auf Software beruhen — darunter frühere Vorschläge des vorliegenden Autors —, bieten keine starke Gewähr für Endgültigkeit.) Dieses Zitat schneidet nach beiden Seiten, und beide Lesarten gehören hierher. Die eine: Der Begründer des Feldes stellt fest, dass auf dem rein softwarebasierten Weg bis dahin niemand Erfolg hatte. Die andere: Eine erhebliche Autorität stellt fest, dass dieser Weg nirgendwohin führt. Die zweite Lesart ist ein ernster Einwand — und sie ist der Grund, warum die Pactena-Konstruktion vermessen wurde und nicht bloß entworfen.
Geprüfte Quellen
Eine Behauptung der Form „nichts anderes gefunden“ ist so viel wert wie die Suche dahinter. Deshalb stehen die Quellen hier einzeln, jeweils mit dem Umfang der Durchsicht.
- Archiv von IACR ePrint
- Der vollständige Korpus zu übertragbarem E-Cash — fünf Einträge, der jüngste der Preprint von Bauer–Fuchsbauer–Qian aus dem Jahr 2020. Seither ist keine neue übertragbare Konstruktion erschienen.
- DBLP
- Die vollständige Publikationsliste jedes Autors dieser Linie ab 2021, dazu alle achtunddreißig Arbeiten, die Bauer–Fuchsbauer–Qian zitieren, einzeln gelesen.
- SoK: Offline Payment Systems, 2026
- Alle sechsunddreißig Systeme der Übersicht, Zelle für Zelle, aus dem LaTeX-Quelltext der Arbeit ausgelesen.
- Konferenzprogramme
- Real World Crypto vollständig von 2015 bis 2026, das IACR-Videoarchiv mit 2.290 Aufzeichnungen, das Hauptprogramm der Financial Cryptography sowie der CoDecFin-Workshop von 2019 bis 2026.
- Dissertationen und Masterarbeiten
- Die Archive von HAL, CORE, TU Delft, Normandie und CUHK — darunter eine im März 2026 verteidigte Dissertation, die nach vier Jahren gezielter Forschung weiterhin auf Sicherheitshardware aufbaut.
- Google Patents
- Volltext- und Klassifikationssuche, rund vierzig Abfragen, davon siebenundzwanzig Patente auf Anspruchsebene gelesen.
- Zentralbank- und internationale Dokumente
- Vierundzwanzig Projekte, dreizehn davon im Volltext des amtlichen Dokuments — BIS, EZB, Bank of England, Riksbank, Fed und EDPB — sowie jeder der zwölf Anbieter von BIS Project Polaris einzeln.
- Normungsgremien
- ISO/TS 12812, EMVCo, ISO 20022, W3C, ETSI, X9 und GSMA. Wo der Volltext hinter einer Bezahlschranke liegt, wird nur behauptet, was der veröffentlichte Anwendungsbereich trägt.
- Historische Guthabensysteme
- Fünfundzwanzig Systeme, auf Primärquellen zurückgeführt — Mondex, DigiCash, CAFE, GeldKarte, Octopus und der Rest des Feldes.
- Industrieller und nicht akademischer Korpus
- Das vollständige Archiv von media.ccc.de sowie DEF CON 27 bis 33.
- Register der Forschungsförderung
- Über den OpenAIRE-Aggregator: CORDIS, ANR, DFG, UKRI, NWO, NSF und FWF. Die Abfrage offline AND payment liefert null Projekte.
- Nicht englischsprachige Literatur
- Chinesische, japanische, koreanische, russische, deutsche und französische Quellen. Jeder zugängliche Eintrag beruht ausnahmslos auf einem Hardware-Vertrauensanker.
Die zweite und die dritte Rechercherunde brachten keinen neuen Befund gegen die ersten sechs Eigenschaften. Die Suche hat den Sättigungspunkt erreicht.
Stimmen von außen
Zitate über das digitale Geld selbst und über das Offline-Bezahlen.
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(Jedes steht vor offenen Herausforderungen: der vollständigen Abhängigkeit von vertrauenswürdiger Hardware, der Deanonymisierung ehrlicher Nutzer im Fall einer Doppelausgabe oder Transaktionen, die mit jeder Offline-Zahlung wachsen. Bis heute wurde kein System mit Offline-Funktionalität umgesetzt.)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [Der Modus mit mehreren Hops] hinges entirely on the security of the hardware.
(In einer vollständig offline betriebenen Umgebung ohne sichere Hardware lässt sich eine Doppelausgabe nicht verhindern. … [Der Modus mit mehreren Hops] hängt vollständig von der Sicherheit der Hardware ab.)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(Abwicklungsmodell mit lokaler Speicherung — ein Abwicklungsmodell, das auf das Secure Element (SE) in den Geräten der Nutzer des digitalen Euro verweist, welches die technischen Aufgaben der Prüfung und der Verbuchung von Beständen übernimmt…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(Alle Lösungen setzten Secure Elements ein, um Doppelausgabe und Fälschung zu verhindern oder um kryptografische Schlüsselinformationen zu schützen.)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(Das war nicht möglich, denn nach unserer Einschätzung ließ sich keine ausreichende Sicherheit erreichen. Wir haben uns deshalb entschieden, die Offline-Lösung ausschließlich auf Karten zu stützen.)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(Jede Lösung wird von der Manipulationssicherheit des Nutzergeräts abhängen, um vor physischen Angriffen und Cyberangriffen zu schützen.)
Zwei weitere Sätze beschreiben genau das scheinbare Dilemma, auf das die ganze Recherche zielte. Die BIS: „if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.“ (Gibt es keine Verbindung zwischen Geräten und Nutzeridentität, lassen sich potenziell bösartige Nutzer nicht identifizieren, selbst wenn bösartige Geräte im System gesperrt werden können.) Die Bank of England: „if double spending were to occur, there would be no way of knowing which device initiated it.“ (Käme es zu einer Doppelausgabe, ließe sich nicht feststellen, welches Gerät sie ausgelöst hat.)
Das zentralbankliche Feld behandelt Anonymität und Identifizierung des Betrügers 2026 als einander ausschließend. Die kryptografische Literatur weiß seit 2021, dass sie es nicht sind. Was fehlte, war die einsatzfähige Umsetzung.
Wo Pactena steht
Die kryptografische Machbarkeit dieser Eigenschaftskombination hat die akademische Literatur begründet — Baldimtsi–Chase–Fuchsbauer–Kohlweiss 2015 und Bauer–Fuchsbauer–Qian 2021. Das steht nicht infrage. Was Pactena hinzufügt, sind die Innovation und die Umsetzung: gemessene Größen, gemessene Prüfzeit, eine Referenzimplementierung und ein lauffähiger Demonstrator, auf einem gewöhnlichen Telefon, ohne Sicherheitshardware. Das Zahlungspaket, das der Empfänger erhält, ist frisch ausgegeben rund 456 Byte groß und bei der tiefsten Kette rund 956 Byte, geprüft in rund 12 ms.
Die Weitergabetiefe ist bewusst auf zehn Hops begrenzt, bei gewahrter Privatsphäre. Die externe kryptografische Begutachtung der Zahlungsschicht läuft; das Ergebnis wird veröffentlicht. Die Spezifikation ist vollständig.
Bis August 2026 ist kein anderes öffentlich dokumentiertes, funktionierendes Zahlungssystem bekannt, das diese Eigenschaftskombination zusammen und in implementierter, gemessener Form bietet.
Die Recherche läuft fortlaufend. Wenn Sie ein solches System kennen, würden wir es aufrichtig gern sehen.