// AUDITS
Ein Audit ist kein Siegel,
das man sich selbst aufklebt.
Es ist der Moment, in dem eine Idee aufhören muss, sich selbst zu glauben.
Hier stehen acht Prüfungen. Bei jeder findest du drei Dinge: was geprüft wurde, was dabei herauskam, und was sie ausdrücklich nicht zeigt. Der dritte Teil ist der wichtigste, denn ohne ihn ist ein Ergebnis nur eine Zahl mit gutem Gefühl.
Und einer der acht Berichte endet damit, dass ich meine eigene Reparatur weggeworfen habe.
// Vier Worte, bevor es losgeht
Damit wir dasselbe meinen.
Diese vier Begriffe klingen nach Fachsprache und bedeuten etwas ganz Einfaches.
Audit
Eine Prüfung mit Ergebnis
Jemand schaut auf eine Behauptung und schreibt hin, ob sie hält. Kein Zertifikat, kein Stempel. Nur ein nachlesbares Urteil und der Weg, auf dem es zustande kam.
Beleg
Etwas, das man nachrechnen kann
Nicht eine Aussage, sondern eine Spur, die auch dann noch stimmt, wenn ich sie nicht mehr erkläre. Ein Beleg hängt nicht daran, dass man mir glaubt.
Gegenprüfung
Jemand versucht, es zu widerlegen
Nicht wohlwollend nachvollziehen, sondern gezielt angreifen. Ein Ergebnis, das nur eine freundliche Prüfung überlebt hat, ist kein Ergebnis.
Beweis
Das Wort, das ich meide
Ein Beweis gilt für alle Fälle. Ich habe endlich viele geprüft. Deshalb steht hier geprüft, gehalten oder gemessen, aber fast nie bewiesen.
Wenn du auf dieser Website irgendwo das Wort bewiesen findest, wo es nicht hingehört, schreib mir. Das wäre ein Fehler und kein Stilmittel.
// Acht Prüfungen
Was geprüft wurde, und wo die Grenze lag.
In der Reihenfolge, in der sie entstanden sind. Nicht in der Reihenfolge, in der sie gut aussehen.
Prüfung 01
Fünf Lücken im Fundament
Geprüft wurde nicht das Herzstück, sondern die Schicht drumherum, die Herkunft und Zusammenhang eines Übergangs beurteilt, bevor der Kern urteilt. Also genau dort, wo man sich am wenigsten Sorgen macht, weil der Kern ja stimmt.
Ergebnis: fünf echte Konstruktionsfehler. Drei Wege, auf denen etwas ohne Alarm durchgerutscht wäre. Und zwei umgekehrte Fälle, in denen ein ehrlicher Vorgang falschen Alarm ausgelöst hätte. Beide Richtungen sind gefährlich: die eine lässt durch, die andere macht blind vor lauter Fehlalarm.
Nicht gezeigt: dass es keine sechste Lücke gibt.
Prüfung 02
Der Umweg, in drei Runden
Ein früheres Audit hatte einen offenen Punkt benannt: der Wächter darf sich für seine geschützten Stellen nicht auf das eingereichte Regelbuch verlassen, sondern muss den echten Nachweis gegen sein eigenes Register prüfen. Genau das wurde gebaut und dann angegriffen.
Ergebnis: Runde eins fand echte Löcher, einen Umweg und einen Fehlalarm. Runde zwei bestätigte die Reparatur. Runde drei fand kein hartes Loch mehr, nur zwei feinere Punkte.
Nicht gezeigt: dass eine vierte Runde nichts finden würde.
Prüfung 03
Der blinde Angriffslauf
Eine breite Reihe von Angriffen, gemischt mit ehrlichen Vorgängen, die genauso böse aussehen. Der Wächter urteilte blind, ohne zu wissen, was echt und was Angriff war.
Ergebnis: kein einziger ungültiger Übergang wurde endgültig. Und kein einziger Fehlalarm, jeder ehrliche Zwilling ging sauber durch. Er überblockt also nicht, sondern trennt sieht böse aus, ist berechtigt von echten Brüchen.
Nicht gezeigt: wenige, selbst gebaute Fälle. Keine Aussage über die Welt draußen.
Prüfung 04
Die verworfene Reparatur
Ich hatte einen Fix gebaut, um eine bekannte Schwachstelle zu schließen. An der Oberfläche wirkte er, die anvisierte Lücke war gemessen zu. Danach habe ich blinde Skeptiker darauf gesetzt, deren einzige Aufgabe war, ihn zu widerlegen.
Ergebnis: der Fix hatte die falsche Form. Er ließ sich umgehen, und er löste zusätzlich Fehlalarm auf einem berechtigten Fall aus. Beides habe ich nachgestellt und bestätigt.
Entscheidung: vollständig verworfen, statt eine Illusion stehen zu lassen.
Prüfung 05
Das Selbst-Audit von null bis hundert
Eine vollständige Durchsicht über mehrere Dimensionen, absichtlich mehrperspektivisch und gegnerisch angelegt, um die eigene Arbeit zu bewerten statt sie schönzureden.
Ergebnis: das Gebaute trägt. Die philosophische Grundlage dahinter bleibt eine Hypothese und wird strikt davon getrennt gehalten. Die reale Grenze ist Erkennung und nicht Verhinderung. Während der Prüfung wurden zwei meiner eigenen Aussagen als zu stark erkannt und abgeschwächt.
Nicht gezeigt: eine Note, die jemand anderes vergeben hätte.
Prüfung 06
Der Zeuge auf echter Hardware
Anders als die fünf davor war das kein Test in einer künstlichen Umgebung, sondern ein Angriffslauf gegen die tatsächliche Schlüssel- und Speicherkette, in einem abgeschotteten Labor mit einem zweiten, physisch getrennten Gerät als Mitzeuge.
Ergebnis: fünf dokumentierte Angriffe auf den Zeugen selbst. Eintrag umschreiben, abgewiesen. Eintrag ohne Schlüssel fälschen, abgewiesen. Logbuch abschneiden, lokal unbemerkt und vom getrennten Gerät erkannt. Schlüssel auslesen, von der Hardware verweigert. Schlüssel heimlich aus der Ferne benutzen, verweigert.
Nicht gezeigt: ein Aufbau, den jemand nachstellen könnte, und keine Zahl für den Dauerbetrieb.
Prüfung 07
Acht Gegenproben auf zwei Maschinen
Die bisher ernsteste Prüfung, weil sie nicht auf dem Zeugen lag, sondern auf der ganzen Kette. Ein zweiter, eigenständiger Computer musste jedem Schreibvorgang zustimmen. Danach wurde versucht, an dieser Zustimmung vorbeizukommen.
Ergebnis: acht von acht abgewiesen. Verbindung getrennt, kein Ergebnis und keine Wirkung. Zwei gleiche Anfragen gleichzeitig, genau eine Erlaubnis, die zweite als Wiederholung erkannt. Unterschrift gefälscht, abgewiesen. Inhalt nach der Freigabe ausgetauscht, abgewiesen. Anfrage zu alt, abgewiesen. Format kaputt, abgewiesen. Versuch, über den Zugangsweg eine Befehlszeile zu bekommen, ohne Wirkung. Erlaubnis ein zweites Mal vorgelegt, abgewiesen. Anschließend wurde das Buch des getrennten Geräts auf dem Rechner geprüft, ausschließlich mit dem öffentlichen Schlüssel, sieben Einträge, kein Fehler.
Nicht gezeigt: keine zerstörenden Angriffe auf das Gerät, keine Messung unter vieler gleichzeitiger Last, und kein Beweis, dass das Gerät selbst nicht zu öffnen ist. Seine Schlüssel liegen als Dateien auf einer Speicherkarte.
Prüfung 08
Der eigene Bauweg unter Zeugen
Keine Angriffsprüfung, sondern die unbequemere Variante: die eigenen Regeln auf die eigene Arbeit angewendet. Zehn Stufen beim Aufbau der zweiten Werkstatt, und jede Stufe, die etwas verändern würde, musste vorher anhalten und auf eine ausdrückliche Freigabe warten, gebunden an den genauen Stand des Bauteils. Danach hat jedes Mal ein getrennter, nur lesender Vorgang nachgemessen.
Ergebnis: dreimal hat der eigene Mechanismus den eigenen Lauf gestoppt. Zweimal verfiel die Erlaubnis, bevor die erste Veränderung möglich war, und war danach verbraucht statt weiterverwendbar. Einmal ging ein Lauf halb durch, meldete Wiederherstellung nötig und wurde zurückgedreht. Danach ging nichts weiter, bis eine neue Freigabe vorlag. Genau das sollte passieren.
Nicht gezeigt: kein Angriff von aussen, keine blinde Prüfung durch jemand anderen, und kein Beweis, dass die Regeln auch unter Zeitdruck eingehalten würden. Der Aufbau steht heute angehalten und wartet auf die nächste Freigabe. Mehr dazu im Laboratorium.
// Der Bericht, auf den ich am meisten gebe
Warum eine weggeworfene Reparatur mehr wert ist als fünf gelungene.
Ein Wächter, der nicht getäuscht werden kann, merkt nie, dass er getäuscht wurde.
Der Fix aus Prüfung 04 hätte bleiben können. Er sah gut aus, die Messung war grün, und niemand hätte nachgefragt. Ich hätte ihn auf dieser Seite als Erfolg gezählt, und er wäre still falsch geblieben, bis jemand von außen gegen ihn gelaufen wäre.
Dass er nicht geblieben ist, liegt nicht an meiner Gründlichkeit, sondern an einer Regel: jede Reparatur wird von jemandem angegriffen, dessen einzige Aufgabe das Widerlegen ist. Nicht von mir in wohlwollender Absicht.
Genau deshalb steht dieser Bericht hier und nicht in einer Schublade. Ein selbst gefundener und verworfener Fehlgriff sagt mehr über ein Projekt aus als eine Liste bestandener Tests.
// Die ehrliche Wand
Was er nicht gefangen hat, und warum.
Das Muster
Die Fälle, die im blinden Lauf durchkamen, waren ausnahmslos Angriffe auf die Beobachtung selbst und nicht auf das Urteil. Wer dem Zeugen ein falsches Bild der Lage zeigt, muss sein Urteil nicht überlisten. Das Urteil war richtig, die Grundlage war es nicht.
Warum das kein Ausrutscher ist
Es ist die eingebaute Grenze eines Zeugen, der eine Momentaufnahme sieht. Und es ist genau die Stelle, an der die neue Frage entstanden ist: nicht besser hinsehen, sondern Bedingungen bauen, unter denen eine Abweichung nicht unbemerkt bleiben kann.
// Was das alles nicht ersetzt
Der größte offene Punkt steht ganz oben.
Ich habe diese Prüfungen entworfen, durchgeführt und bewertet. Dass ich dabei mehrfach gegen mich selbst gearbeitet habe und eigene Ergebnisse verworfen habe, macht das besser, aber es macht es nicht unabhängig.
Ein Audit von außen würde entweder bestätigen, was hier steht, oder mich vorführen. Beides wäre ein Fortschritt. Solange es das nicht gibt, gilt für jede Zeile auf dieser Seite: geprüft von einer Partei, die ein Interesse am Ergebnis hat.
Deshalb steht das hier und nicht im Kleingedruckten.
// Weiterlesen
Wie ich prüfe, und wo die Grenzen liegen.
Die Regeln, nach denen diese Prüfungen entstehen, stehen auf der Laborseite. Die vollständige Liste der offenen Punkte steht bei den Grenzen.