Die Nachvollziehbarkeit eines Verfahrens misst sich an zwei Dingen: ob alles, was geschieht, festgehalten wird, und ob das Festgehaltene nachträglich geändert werden kann. Append-only-Protokolle mit Hash-Verkettung lösen beide Dimensionen elegant: jede Handlung wird protokolliert, und jede spätere Änderung erzeugt eine mathematische Inkonsistenz, die sofort erkennbar ist.
Append-only: Einträge, die nicht umgeschrieben werden
Append-only bedeutet, dass nur das Hinzufügen von Einträgen erlaubt ist, niemals das Ändern oder Löschen vorhandener. War ein Eintrag falsch, wird er mit einem neuen Eintrag korrigiert, der den vorherigen aufhebt, und die Historie bleibt unversehrt. Es ist eine einfache architektonische Entscheidung mit enormen Beweisfolgen: das Protokoll spiegelt buchstäblich wider, was geschah, ohne spätere Neuinterpretationen.
Verkettung durch Hashes
Jeder Eintrag enthält neben seinem Inhalt den Hash des vorherigen Eintrags. Versuchte jemand, einen alten Eintrag einfach zu ändern, würde der Hash, den der nächste Eintrag gespeichert hat, nicht mehr passen und die Kette würde brechen. Die Historie zu ändern würde die Neuberechnung aller nachfolgenden Hashes erfordern, eine Operation, die erkennbar ist, weil frühere Kopien des Protokolls bereits veröffentlicht oder gesichert wären.
Was genau protokolliert wird
- Wer (Benutzer und Rolle) die Handlung ausführte.
- Wann (Zeitstempel mit Zeitsiegel).
- Welche Art der Handlung (Eintrag eines Gutes, Änderung, Schließung der Präferenzen, Auslosung, Zuteilung...).
- Vorheriger und nachfolgender Zustand, soweit anwendbar, in kompaktem Format.
- Hash des vorherigen Eintrags, der die Kette schließt.
Periodische Überprüfung
Eine automatische Routine durchläuft das Protokoll periodisch und validiert die Hash-Kette. Jeder Bruch wird als sofortiger Vorfall eskaliert. Für maximale Strenge wird täglich ein globaler Fingerabdruck des Protokolls (Root-Hash) in einem externen Register veröffentlicht (zum Beispiel eine Verankerung in einer öffentlichen Kette oder ein qualifizierter Zeitstempel), so dass nicht einmal der Plattformbetreiber die Historie unbemerkt umschreiben kann.