Der Zeitgeber, der entscheidet, dass Sie nicht mehr da sind

Jede Übertragung nach dem Tod stößt auf eine Frage: Wer erfährt, und wie, dass der Moment gekommen ist? Ein Notar hat eine Sterbeurkunde; ein verteiltes System hat keine und kann keine haben — es hat weder Zugang zu Registern noch zu Krankenhäusern.

Was bleibt, ist ein indirektes Zeichen. Der Mensch hat aufgehört, im System Lebenszeichen zu geben, also ist er wahrscheinlich nicht mehr da. Die Annahme ist bauartbedingt unvollkommen, und die ganze Technik läuft hier darauf hinaus, die Kosten eines Irrtums zu senken.

Die Schwelle des Schweigens beträgt in der Spezifikation 360 Tage. Die Zahl ist nicht willkürlich, und man sollte sie im Kopf behalten: fast ein Jahr ohne eine einzige Handlung.

Eine zu kurze Frist ist auf die offensichtliche Weise gefährlich. Ein Mensch reist, erkrankt, wechselt das Telefon, verschwindet für drei Monate aus dem Netz — und das System erklärt ihn für tot, während er lebt. Ein Fehler in diese Richtung ist unumkehrbar: Die Rechte sind übertragen, der Zugang gehört jemand anderem.

Eine zu lange Schwelle ist anders gefährlich, und das wird selten bedacht. Der Erbe wartet jahrelang; in dieser Zeit kann er selbst sterben, die Wallet verlieren oder einfach vergessen, dass es das Archiv gibt. Ein Jahr ist der Versuch, zwischen diesen beiden Übeln zu stehen.

Zusätzlich zur Hauptfrist gibt es ein siebentägiges Warnfenster. Das ist wichtiger, als es aussieht: Der Mechanismus löst nicht still aus. Bevor er Rechte überträgt, gewährt er eine Woche, in der der Mensch ein Lebenszeichen geben und alles abbrechen kann. Jede Handlung im System setzt den Zeitgeber zurück.

Das Recht, die Arche zu verwalten, wird als Token nach dem SPL-Standard auf Solana ausgegeben — der Inheritance Token. Übertragen wird kein Passwort und keine Datei, sondern das Recht selbst, und das verändert die Gestalt des Problems: Ein Passwort lässt sich unbemerkt kopieren, ein Token dagegen bewegt sich durch eine Transaktion, die sichtbar ist.

Es gibt zwei Übertragungsszenarien. Das aktive: Zu Lebzeiten gibt der Mensch die Wallet-Adresse des Erben an und signiert eine aufgeschobene Transaktion. Und das automatische, per Zeitgeber. Das erste ist zuverlässiger, weil es nicht davon abhängt, dass die Annahme über das Schweigen stimmt; das zweite gibt es für den Fall, dass das erste nie erledigt wurde.

Der eleganteste Teil der Konstruktion ist die Teilung des Schlüssels nach dem Verfahren von Shamir. Der Schlüssel wird nirgends vollständig gespeichert: Er wird in Anteile zerschnitten, und für die Wiederherstellung muss eine vereinbarte Zahl davon zusammenkommen.

Der Sinn ist, dass der einzelne Ausfallpunkt verschwindet. Einen Speicher zu knacken bringt nichts; einen Anteil zu verlieren ist nicht tödlich. Genau diese Eigenschaft fehlt dem gewöhnlichen „Passwort im Umschlag beim Notar“: Der Umschlag ist entweder unversehrt und stehlbar oder verloren, und dann hilft nichts mehr.

Speicherung kostet Geld, und ein Mensch, der nicht mehr da ist, kann nicht zahlen. Deshalb wird die Bezahlung in denselben deflationären Router verlegt: Fünf Prozent einer Diensttransaktion werden verbrannt, fünfundsechzig gehen an die Schatzkammer zum Kauf der Ressource für dauerhafte Speicherung, und nicht beanspruchte Botschafteranteile — bis zu dreißig Prozent — gehen ebenfalls in die Verbrennung.

Die Logik ist dieselbe wie in der gesamten Ökonomie des Projekts: Die Speicherung wird nicht durch ein Abonnement bezahlt, das auslaufen wird, sondern durch einen einmaligen Beitrag zu einem Fonds, der von der Differenz zwischen Rendite und fallendem Speicherpreis lebt.

Zuallererst ein falsches Auslösen. Dreihundertsechzig Tage plus eine Woche Warnung verringern das Risiko stark, beseitigen es aber nicht. Ein Mensch in langer Krankheit, ohne Zugang zu Geräten, ist formal nicht von einem Verstorbenen zu unterscheiden.

Zweitens der Erbe als schwaches Glied. Das Schema überträgt die Rechte getreu an eine Wallet, die irgendwann in der Vergangenheit genannt wurde. Hat der Erbe den Zugang zu ihr verloren oder wurde die Adresse fehlerhaft eingegeben, liefert ein fehlerfrei ausgeführtes Protokoll das Archiv ins Nirgendwo.

Drittens das Orakelnetz, das die Aktivität beobachtet. Es ist verteilt, und das ist richtig, aber es bleibt Teil des Systems: Der Zeitgeber funktioniert, solange es funktioniert.

Mein Schluss ist dieser. Die automatische Übertragung ist kein Ersatz für ein Testament, sondern eine Versicherung für den Fall, dass keines hinterlassen wurde. Das Vernünftigste, was jemand tun kann, der die Spezifikation gelesen hat, ist, sich nicht auf den Zeitgeber zu verlassen: die aktive Übertragung zu Lebzeiten vornehmen und dem Erben laut sagen, dass er sie erhalten hat.