Dritte Säule · Evidentia · Corpus · WARTE

Wer von innen
sieht, was außen
verborgen bleibt.

Hinweise von Innentäter:innen sind die wertvollste Aufdeckungsform — und die gefährlichste für die Hinweisgeber:innen. WARTE ist kein Portal, sondern ein Protokoll. Es baut nicht auf Vertrauen zu einem Betreiber, sondern auf Mathematik. Selbst wer den Server beschlagnahmt, erfährt nicht, wer gemeldet hat.

„Wenn du einen Menschen von einer Sache abhalten willst, die er für richtig hält, dann mach es ihm unmöglich, anonym zu bleiben."

— Prinzip jeder funktionierenden Whistleblower-Unterdrückung

WARTE kehrt das Prinzip um. Die Anonymität ist nicht Vertrauenssache, sondern kryptographisch erzwungen. Keine Betreiber-Instanz — nicht einmal Offenes Werkzeug selbst — kann die Identität der Hinweisgeber:innen herstellen, auch unter Zwang.

01 · Bedrohungsmodell

Wer jagt Whistleblower — und mit welchen Mitteln?

Konkret, nicht abstrakt. In Österreich und EU-weit. Das sind die sechs realistischen Angriffsszenarien — jedes mit einer technischen Gegenmaßnahme in WARTE verankert.

Ω · T-01

IP-Zuordnung

Arbeitgeber oder Behörde sieht ausgehenden Traffic zur Plattform. Zeitstempel der Einreichung wird rückverfolgt.

GegenmaßnahmeOnion-Service. Kein Server kennt je eine IP. Tor Browser verpflichtend.

Ω · T-02

Server-Beschlagnahme

Polizei oder Gericht lässt Server-Hardware sicherstellen. Datenbank wird ausgewertet.

GegenmaßnahmeDaten sind clientseitig verschlüsselt. Server hat nur Shamir-Shares, kein Volltext.

Ω · T-03

Stil-Analyse

Aus dem Sprachstil des Hinweises wird auf eine Person im bekannten Personenkreis geschlossen (Forensic Linguistics).

GegenmaßnahmeInhalts-Sanitizer bietet Rewrite-Empfehlungen. Dokumente werden separat hochgeladen und nie mit Text vermischt.

Ω · T-04

Insider-Verrat beim Empfänger

Einer der vorgesehenen Empfänger (Journalist, NGO) wird unter Druck gesetzt oder korrumpiert, die Identität zu preiszugeben.

GegenmaßnahmeShamir n-von-m. Drei unabhängige Empfänger müssen sich zusammenschließen, damit der Klartext zugänglich wird.

Ω · T-05

Metadaten in Dokumenten

Hochgeladene PDFs, Word-Dateien, Fotos enthalten Autor, GPS, Zeitstempel, Drucker-Dots.

GegenmaßnahmeClientseitiger Metadata-Stripper vor Verschlüsselung. Tracking-Dots-Warnung für gescannte Dokumente.

Ω · T-06

Korrelationsangriff

Nur 3 Personen in einer Firma hatten Zugang zu einem bestimmten Dokument. Schon die Tatsache der Meldung verrät.

GegenmaßnahmeIngress-Warnung wenn Hinweis auf zu kleinen Personenkreis zeigt. Empfehlung: breiterer Gruppenzugang vor Einreichung.

02 · Sicherheitsschichten

Drei Ebenen, die unabhängig voneinander schützen.

Versagt eine Ebene, schützen die anderen noch. Keine einzelne Schwachstelle darf das System kompromittieren. Defense in Depth ist hier nicht Best Practice, sondern Überlebensbedingung.

Transport-Anonymität

Tor Hidden Service · Onion v3 · No-JS-fallback

Die Plattform ist ausschließlich als .onion-Adresse erreichbar. Kein Clearnet-Mirror, keine HTTPS-Endpoints, keine DNS-Einträge. Der Server weiß nicht, woher der Besucher kommt — technisch-mathematisch, nicht per Policy. Das gilt für den initialen Zugriff, die Einreichung, und den Statusabruf. Eine no-JavaScript-Fallback-Version existiert für Nutzer:innen, die Script aus Sicherheitsgründen deaktivieren.

Was das in der Praxis bedeutet: Wer von einem Firmen-Laptop aus Hinweise einreicht, muss Tor Browser benutzen. Das ist ungewöhnlich genug, dass wir in der UI explizit darauf hinweisen — besser vom Privatgerät oder einem öffentlichen Bibliothekscomputer.

Inhalts-Verschlüsselung

age · X25519 · Shamir's Secret Sharing (3-of-5) · Client-side

Die Inhalte (Text, Dokumente) werden im Browser vor dem Upload verschlüsselt, mit einem Einmal-Schlüssel, der per Shamir-Secret-Sharing auf die Public Keys der vorgesehenen Empfänger aufgeteilt wird: z.B. 5 Shares bei 5 Empfängern, 3 genügen zur Rekonstruktion.

Was der Server sieht: Chiffrat + 5 verschlüsselte Shares. Ohne Zusammenarbeit von mindestens 3 Empfängern ist keine Entschlüsselung möglich — auch nicht mit der ganzen Serverdatenbank.

Empfänger-Auswahl: Vorkonfiguriert (Klagsverband, VKI, ZARA, ein investigativer Journalist, ein Datenschutz-Jurist). Whistleblower können bei Bedarf eigene Empfänger-Sets wählen, solange das 3-of-5-Minimum gewahrt bleibt.

III

Metadaten-Minimierung

ExifTool (WASM) · PDFSani · Stylometric Sanitizer · Delay-Jitter

Dateien: Bevor die Verschlüsselung greift, läuft clientseitig ein Metadata-Stripper. EXIF aus Fotos (Position, Kamera, Zeitpunkt, Serial), XMP aus PDFs (Autor, Bearbeitungshistorie), Office-Metadaten, Drucker-Tracking-Dots (wenn erkennbar — Warnung zum Re-Scan).

Texte: Optionaler Stylometric Sanitizer warnt vor Formulierungen, die typisch für eine Branche oder Hierarchie sind. Er ersetzt nichts automatisch — die Empfehlungen sind Hinweise zum Selbst-Edit.

Zeitliches: Einreichungen werden mit zufälligem Delay (0–6h) an die Empfänger weitergegeben, damit der Zeitpunkt der Aktivität auf der Plattform nicht mit einem exakten Ereignis bei der Herkunftsstelle korreliert werden kann.

03 · Ablauf

Was eine Einreichung tatsächlich macht.

Alles im Browser, nichts im Klartext auf dem Server, überprüfbar im Open-Source-Code.

HINWEISGEBER:IN WARTE-SERVER (.onion) EMPFÄNGER:INNEN (3-of-5) │ │ │ │ 1. Tor Browser → http://xyz...abcd.onion │ │ │──────────────────────────────────────────►│ │ │ │ │ │ 2. Hinweis verfassen (lokal, im Browser) │ │ │ · Text │ │ │ · Anhänge (werden vor Upload │ │ │ automatisch metadata-gestripped) │ │ │ · Stylometric-Warnung optional aktiv │ │ │ │ │ 3. Lokale Verschlüsselung: │ │ │ K = zufälliger AES-Key │ │ Chiffrat = AES-GCM(Inhalt, K) │ │ Shares = Shamir(K, n=5, t=3) │ │ Shares_enc[i] = X25519(Shares[i], pubkey[i]) │ │ │ │ │ 4. Submit (chiffrat + shares_enc) │ │ │──────────────────────────────────────────►│ │ │ │ │ │ 5. Server antwortet mit Token │ │ │ Token = zufällig, zeigt später Status │ │◄──────────────────────────────────────────│ │ │ │ │ │ 6. Ziel-Fingerprint (nur Hashes!) │ │ │ an Corpus übermittelt │──► Corpus merkt sich: "Meldung für Institution-X" │ │ │ │ │ 7. Shares_enc[1..5] zugestellt │ │ │─────────────────────────────────►│ │ │ │ │ │ │ 8. Drei Empfänger:innen │ │ │ entsperren kooperativ: │ │ │ K = Shamir-Reconstruct(share1, share3, share5) │ │ │ Klartext = AES-GCM-Decrypt(Chiffrat, K) │ │ │ │ │ │ 9. Prüfung, Recherche, │ │ │ Sammelverfahren, Anzeige... │ │ │ │ 10. Später: Token eingeben │ │ │ sieht Bearbeitungsstand │ │ │ kann nachlegen │ │ │──────────────────────────────────────────►│ │ │ │ │ │ Niemand kennt Identität des/der Hinweisgeber:in. │ Auch der Server nicht. Auch Offenes Werkzeug nicht.

04 · Ökosystem

Wie WARTE mit Evidentia und Corpus zusammenspielt.

Die drei Projekte ergänzen sich, tauschen aber niemals personenbezogene Daten aus. Verknüpfung geschieht ausschließlich über institutionelle Fingerabdrücke — dieselbe Technik wie bei Evidentia.

Evidentia·Betroffene

von außen, dokumentiert

Einzelne Bürger:innen dokumentieren persönliche Rechtsprobleme. Erzeugen Fingerabdrücke ihrer Fälle. Erfahren: „3 weitere Menschen haben Probleme mit dieser Institution gemeldet."

Corpus·Öffentliche Daten

von oben, sichtbar gemacht

Crawler durchforsten öffentliche Quellen (RIS, Parlament, Ediktsdatei, Vergaberegister). Erkennen strukturelle Muster — Vergabekonzentrationen, unbeantwortete Anfragen, verdächtige Umwidmungen.

WARTE·Innentäter:innen

von innen, anonym

Menschen mit Einblick in eine Organisation liefern konkrete Hinweise mit Dokumenten — anonym, kryptographisch gesichert, an mehrere unabhängige Empfänger verteilt.

Die Verknüpfung passiert über Fingerabdruck-Tokens, nicht über Identitäten: [EVIDENTIA] Fingerabdruck: {institution_hash: a3f...} → matching-pool.example [WARTE] Nach Meldung: nur institution_hash wird exportiert → matching-pool.example [CORPUS] Detektiert Muster mit institution_hash = a3f... → verknüpft mit anderen Fällen ┌─── Corpus-Pattern wird stärker ───┐ │ 3 Evidentia-Fingerabdrücke │ │ + 1 WARTE-Hinweis │ │ + 2 öffentliche Auffälligkeiten│ └────────────────────────────────────┘ → Klagsverband bekommt Signal: "Hier ist Muster-Häufung, die Einzelprüfung lohnt sich." → Niemand erfährt: wer die Whistleblowerin war, wer die Evidentia-Nutzer sind, welche Dokumente existieren. Nur die Institution und die Tatsache der Häufung sind sichtbar.

05 · Regeln

Sieben Versprechen, die im Code stehen.

Nicht als Absichtserklärung — als Constraints, die der Code nicht umgehen kann.

Kein Betreiber-Zugriff auf Klartext

Der jeweilige Instanzbetreiber betreibt den Server, kann aber die Inhalte nicht lesen. Die Architektur macht das technisch unmöglich — kein Master-Key, keine Backdoor, keine „für Notfälle bewahrte Kopie". Selbst wenn wir wollten, könnten wir nicht.

Keine IP-Speicherung, kein Logging

Access-Logs sind komplett deaktiviert. Der Tor-Hidden-Service-Descriptor protokolliert nichts, was über Rendezvous-Zirkel hinausgeht. Reverse-Proxy-Logs sind auf /dev/null gerichtet.

Open Source + Reproducible Builds

AGPL-3.0. Jede Server-Version wird mit Hash veröffentlicht. Wer will, kann die laufende Instanz mit dem öffentlichen Quellcode vergleichen. Keine geheimen Patches.

Föderierbar

Jeder kann eine eigene WARTE-Instanz betreiben — andere NGOs, andere Länder. Die Protokoll-Spezifikation ist offen, das Empfänger-Set konfigurierbar. Wird Offenes Werkzeug abgeschaltet, funktionieren andere Instanzen weiter.

Empfänger ohne Alleingang

Kein einzelner Empfänger kann die Identität oder den Inhalt allein rekonstruieren. Mindestens drei von fünf müssen kooperieren. Das schützt vor Korruption, Druck, Infiltration einzelner Stellen.

Keine Gebühren, keine Anmeldung

Kein Konto, keine Verifikation, kein Beitrag. Die einzige Voraussetzung ist ein Browser mit Tor-Zugang. Jede Form von Anmeldung wäre ein zusätzlicher Angriffsvektor auf die Anonymität.

Klare Ablehnungskriterien

Empfänger verpflichten sich, bestimmte Meldetypen nicht zu bearbeiten: private Rachefeldzüge ohne öffentliches Interesse, Material aus Privatkommunikation ohne Bezug zu Institutionen, Meldungen gegen Einzelpersonen ohne öffentliche Rolle. Das ist eine Haltung, keine technische Filterung — aber sie ist im Empfänger-Ethikkodex verankert und Voraussetzung für Aufnahme ins Empfänger-Set.

06 · Ehrliche Warnungen

Was WARTE nicht leisten kann.

▲ Restrisiko Stilanalyse

Selbst mit bestem Metadaten-Stripping bleiben Sprache, Formulierung, inhaltliches Wissen. Wer in einem Hinweis Details nennt, die nur drei Personen kennen können, ist identifizierbar — egal wie gut die Technik ist. Der Stylometric Sanitizer kann nur darauf hinweisen. Entscheiden muss die Person selbst.

▲ Rechtsschutz nicht automatisch

Das HinweisgeberInnenschutzgesetz (HSchG) greift nur bei bestimmten Arten von Meldungen und wenn die formalen Meldekanäle eingehalten wurden. WARTE ist kein zertifizierter interner oder externer Meldekanal im Sinne des Gesetzes. Die rechtliche Dimension muss parallel geprüft werden — idealerweise mit einer auf HSchG spezialisierten Anwältin vor der Meldung.

▲ Tor-Nutzung ist auffällig in manchen Kontexten

In restriktiven Arbeitsumgebungen (Behörden mit Monitoring, Konzerne mit DLP-Systemen) kann schon die Nutzung von Tor protokolliert werden. Empfehlung: nicht vom Arbeitsgerät, nicht aus dem Firmennetz, nicht mit persönlicher Google/Apple-ID gleichzeitig angemeldet. Vom Privatgerät, aus Heim- oder öffentlichem WLAN.

▲ Kein Schutz gegen alles

Wer körperlich bedroht wird, braucht Personenschutz, nicht ein Protokoll. Wer rechtlich verfolgt wird, braucht Anwält:innen. WARTE schützt die technische Anonymität der Einreichung. Der Rest ist außerhalb unserer Reichweite.

07 · Umsetzung

Was real aufgebaut werden muss.

PHASE 01 · Protokoll-Spezifikation (2 Monate) · Kryptographisches Protokoll (age + Shamir) final spezifizieren · Empfänger-Schlüssel-Management (GPG, Ceremony) · Threat-Model-Review mit Sicherheits-Community (epicenter.works, noyb, Ottakringer Whistleblower-Forschung) PHASE 02 · Referenz-Implementierung (3 Monate) · Client: React + age-js + shamir-js, als statische Seite für Onion-Hosting · Server: Go oder Rust (klein, auditierbar), SQLite für minimale Staatsspeicherung · Metadata-Stripper-Suite (EXIF, PDF, DOCX, Tracking-Dots) · Dokumentation mit Bedrohungs-Szenarien und Gegenmaßnahmen PHASE 03 · Empfänger-Onboarding (2 Monate) · Vereinbarungen mit Klagsverband, VKI, ZARA, investigativen Journalist:innen, Datenschutz-Juristin · GPG-Ceremony (öffentlich, live, damit alle Shares vertrauenswürdig erzeugt werden) · Schulungen zu Shamir-Kombination und Umgang mit Meldungen PHASE 04 · Soft-Launch (1 Monat) · Erster .onion-Service live, dokumentierter Betrieb · Security-Audit durch externe Firma (positive Ergebnisse vor öffentlichem Launch) · Open-Source-Veröffentlichung auf Codeberg PHASE 05 · Öffentlicher Launch + Föderation · Pressekonferenz mit Empfänger-Stellen gemeinsam · Dokumentation für Dritte, die eigene WARTE-Instanzen betreiben wollen · Integration mit Evidentia-Corpus-Fingerabdruck-Pool

Jetzt braucht es

Team, Budget, Rechtsschutz, Empfänger.

WARTE ist technisch spezifiziert, aber noch nicht gebaut. Das braucht vier Entwickler:innen mit Kryptographie-Erfahrung, fünf institutionelle Partner als Empfänger, eine auf HSchG spezialisierte Juristin, und etwa 150–200k€ für 8 Monate Entwicklung. Förderbar über netidee, EU-Direct-Managed, US-amerikanische Stiftungen (NLnet, OTF).

Mitarbeiten Konzept als PDF

Wer von innensieht, was außenverborgen bleibt.