Ich bin aufgewacht und habe gesehen, dass eine Freundin mir geschrieben hat und mir einen Screenshot von einem DeFi-Exploit-Post-Mortem geschickt hat – so einer von diesen „genau so sind die Gelder abhandengekommen“-Aufschlüsselungen, die alle paar Wochen herumgehen. Ich bin nicht wirklich darauf eingegangen, ich hab’s nur überflogen und bin weiter, hab Kaffee gemacht, das übliche Scrollen am Morgen.
Später, so ein bisschen unabhängig davon, bin ich irgendwie beim Newton Protocol gelandet, vor allem weil ich irgendwo „makes policy enforcement practical“ gelesen hatte und dieses Wort „practical“ bei mir hängen geblieben ist. „Practical“ ist eine konkrete Behauptung. Es ist nicht nur „möglich“, sondern „nutzbar ohne viel Reibung“. Also wollte ich sehen, ob das auch wirklich stimmt.
Hier wurde es interessant. Ich dachte, praktisch bedeutet so etwas wie: Man schaltet es ein, es funktioniert, und es braucht nur minimale Einrichtung und möglichst wenige Entscheidungen von einem selbst. Das ist es, was praktisch im Produktkontext normalerweise impliziert. Aber was ich tatsächlich vorfand, war ein System, dessen Durchsetzung nur so gut ist wie die Richtlinie, die man selbst konfiguriert. Und eine sinnvolle Richtlinie zu konfigurieren, erfordert echtes Nachdenken und ein Verständnis dafür, wie viel Risiko man selbst in Kauf nehmen möchte, welche Transaktionsarten man markiert haben will und welche Schwellenwerte einem wichtig sind. Das ist nicht nichts. Das ist eine beträchtliche Menge an Arbeit im Vorfeld.
Der Mechanismus scheint also, soweit ich das beurteilen kann, folgender zu sein: „Praktisch“ bedeutet hier vor allem, dass die Infrastruktur zur Durchsetzung einer Richtlinie vorhanden ist und reibungslos funktioniert, sobald man eine erstellt hat. Es beschreibt nicht, wie einfach es ist, überhaupt erst zu einer guten Richtlinie zu kommen. Das sind zwei unterschiedliche Bedeutungen von praktisch, und das Marketing wirft sie in einen Topf.
Zuerst hielt ich das für Haarspalterei, so nach dem Motto: Na gut, jedes Tool muss irgendwie eingerichtet werden, das ist normal. Aber wenn ich länger darüber nachdenke, ist dieser Unterschied hier wichtiger als anderswo, denn das ganze Wertversprechen besteht darin, Menschen vor Fehlern zu schützen, von denen sie noch gar nicht wissen, dass sie sie gleich machen werden. Wenn man die Schutzfunktion nur dann gut einrichten kann, wenn man die Risiken bereits im Detail versteht, verlangt man im Grunde von den besonders gefährdeten Nutzern – also denen, die am meisten davon profitieren würden –, schon das Wissen zu haben, das sie auch ohne dieses Tool geschützt hätte.
Aber hier ist der Punkt, der mich stört. Dieser Screenshot, den mir mein Freund heute Morgen geschickt hat, der Exploit-Postmortem – so etwas passiert immer wieder Leuten, die nicht wussten, worauf sie achten müssen. Wenn die praktische Durchsetzung von Richtlinien voraussetzt, dass man schon weiß, worauf man achten muss, um sie richtig zu konfigurieren, löst sie das Problem für die Gruppe, für die es gelöst werden müsste, eigentlich nicht. Sie macht die Durchsetzung für Leute reibungsloser, die ohnehin schon ein gutes Gespür dafür hatten, und lässt den eigentlichen blinden Fleck weitgehend bestehen. Ich bin nicht ganz überzeugt, dass „praktisch“ das richtige Wort für etwas ist, unter dem immer noch eine erhebliche Wissenshürde liegt.
Ehrlich gesagt bin ich mir immer wieder unsicher, wie streng diese Einschätzung ist. Vielleicht gibt es gute Standardeinstellungen, und ich habe einfach nicht gründlich genug gesucht, um sie zu finden. Das ist möglich; ich habe nicht alles untersucht. Aber nach dem, was ich mir tatsächlich angesehen habe, schien der Konfigurationsschritt mehr Vertrautheit vorauszusetzen, als ein Neuling oder Gelegenheitsnutzer mitbringen würde.
Am meisten hilft das wahrscheinlich zuerst den Leuten, die bereits damit vertraut sind, in Kategorien wie Transaktionsrisiken, Schwellenwerten und Sonderfällen zu denken – derselben Gruppe, die Exploit-Postmortems zum Spaß liest, statt daran vorbeizuscrollen. Wem es indirekt versprochen wird – den eher gelegentlichen oder neueren Teilnehmenden –, profitiert später davon, falls sich die Standardeinstellungen verbessern. Oder vielleicht auch gar nicht, wenn der Konfigurationsaufwand gleich bleibt.
Am wichtigsten ist es genau in dem Moment, in dem jemand nichts sorgfältig konfiguriert hat – und statistisch gesehen trifft das wahrscheinlich auf viele Menschen zu, und zwar meistens.
Wie auch immer, ich habe diesen Exploit-Thread nie ganz gelesen. Der Markt läuft heute gut, nichts Dramatisches. Ich werde wahrscheinlich noch einmal nachsehen, ob es eine bessere Standardeinstellung gibt, die ich übersehen habe, denn im Moment bin ich mir wirklich nicht sicher, ob es eine gibt.