Kein Projekt darf an einem Login hängen

Am 12. Oktober 2026 wurde unser X-Konto gesperrt. Unser Einspruch wurde am selben Tag abgelehnt.

In diesem Beitrag geht es nicht um diese Entscheidung. Jede Plattform setzt ihre eigenen Regeln. Das ist ihr Recht.

Es geht um eine einfachere Frage, die uns die Sperre gestellt hat. Was ist ein Projekt, wenn ein einziges Login wegfällt?

Ein Login ist gemietet

Ein Konto auf einer Plattform ist kein Eigentum. Es ist eine Erlaubnis. Den Schalter hält jemand anderes, und so steht es auch in den Bedingungen.

Das gilt nicht nur für soziale Medien. Eine Domain ist bei einem Registrar gemietet. Ein Server ist bei einem Hoster gemietet. Code liegt auf der Plattform eines anderen. Ein Schlüssel liegt in einer einzigen Wallet.

Als Werkzeug ist jedes davon in Ordnung. Zum Problem wird es in dem Moment, in dem es der einzige Ort ist, an dem etwas existiert, oder der einzige Weg hinein.

Dreimal reichte ein einziger Kontrollpunkt

Eine Domain. 2022 erklärte der Registrar eth.link für abgelaufen. Über diese Adresse waren .eth-Namen in gewöhnlichen Browsern erreichbar. Nach einem Bericht von Forkast saß die einzige Person, die sie verlängern durfte, im Gefängnis. Am 3. September 2022 wurde die Adresse versteigert. Das Projekt dahinter zog vor Gericht, bestritt den Ablauf und bekam die Domain zurück.

Ein Registrar. Am 12. Mai 2025 änderten Angreifer beim Registrar die DNS-Einstellungen von curve.fi. Curves eigener Bericht ist eindeutig: Kein Contract und kein internes System wurde berührt. Besucher landeten trotzdem auf einer Kopie der Seite, die ihre Wallets um Signaturen bat. Die Sicherheitsfirma Hypernative bezifferte den Schaden auf 3,5 Mio. US-Dollar; Curves Bericht nennt keine Zahl.

Ein Social-Media-Konto. Am 9. September 2023 wurde das X-Konto von Vitalik Buterin übernommen und für einen gefälschten NFT-Link benutzt. Der On-chain-Ermittler ZachXBT zählte 691.000 US-Dollar Schaden. Buterin sagte später, es sei ein SIM-Swap gewesen: Jemand hatte seinen Mobilfunkanbieter dazu gebracht, seine Nummer herauszugeben.

Drei Ebenen, ein Muster. Kein Contract wurde gebrochen. Jedes Mal reichte ein einziger Kontrollpunkt vor den Contracts.

Fünf Fragen an jedes Projekt

Der Test lautet also nicht „nutzt ihr zentrale Dienste?“ Das tut jeder. Der Test ist, was passiert, wenn einer davon Nein sagt. Diese fünf Fragen passen auf jedes Projekt. Wir stellen sie auch uns selbst, und der Rest dieses Beitrags ist unsere bisherige Antwort.

1. Wem gehört die Domain, und wer kann sie verlängern, wenn diese Person nicht da ist?
2. Wenn eine Plattform morgen ein Konto sperrt, was ist dann weg? Nur Reichweite, oder die einzige Kopie dessen, was gesagt wurde?
3. Wer hält die Schlüssel, die Gelder bewegen oder Einstellungen ändern können? Eine Person, oder mehrere, die sich einig sein müssen?
4. Wenn eine Person nicht erreichbar ist, wer kommt sonst hinein?
5. Wo steht das alles geschrieben, damit du es prüfen kannst, statt es zu glauben?

Ein Projekt braucht keine perfekten Antworten. Es braucht Antworten und eine Richtung.

Für wen dieses Projekt da ist

Shiba Classic stützt sich auf seine Community. Der Maintainer, der Entwickler, der es vorantreibt, ist ein Mitglied der Community wie alle anderen. Er hat seine Token am offenen Markt gekauft und keine Allocation bekommen. Das Projekt gehört ihm nicht. Er baut es so auf, dass es künftig erfüllt, was eine DAO verlangt, und zwar vollständig.

Das Ziel ist leicht gesagt. Niemand im Projekt soll es zu seinem eigenen Vorteil wenden können. Alles im Projekt soll der Community gehören und für die Community arbeiten.

Warum macht er das? Zum Teil, weil es ihm Spaß macht. Zum Teil wegen des Zustands, in dem so viele DAOs und so große Teile von Krypto sind.

Daraus folgt, wie wir mit sozialen Kanälen umgehen. Wir bauen sie auf die Community, die das Projekt unterstützt, so wie der Maintainer das Projekt selbst aufbaut. Kein einzelnes Konto soll seine Stimme sein.

Was sich nicht abschalten lässt

Einige Teile von Shiba Classic bestehen den Test schon heute. Sie brauchen gar kein Login.

Der Token hat keinen Eigentümer. Die Ownership des Contracts wurde am 13. November 2024 aufgegeben. Niemand kann Gebühren erhöhen, den Handel stoppen oder neue Token erzeugen.

Die Liquidität hat keinen Schlüssel. Die LP-Token des Pools liegen auf der Burn-Adresse.

Abstimmungen werden on-chain gezählt. Die DAO läuft auf Aragon, und der Maintainer hält keinen Admin-Schlüssel darüber.

Nichts davon hat die Sperre bemerkt. Kein Halter hat etwas verloren. Keine Regel hat sich geändert. So sieht „es gehört niemandem“ an einem gewöhnlichen Montag aus.

Was heute schon so funktioniert

Kommunikation soll funktionieren wie der Token: ohne einzelnen Schalter. Zwei Teile davon stehen heute.

1. Jeder kann ohne Konto abonnieren. Der Blog hat einen Feed in jeder Sprache. Ein Feed-Reader braucht kein Login und keinen Algorithmus.
2. Die Aufzeichnung liegt auch woanders. Jede Woche gehen Seiten der Website erneut ans Internet Archive, die mit der ältesten Kopie zuerst. Was wir gesagt haben und wann, hängt nicht allein an unserem eigenen Server.

Was wir als Nächstes angehen

Ab jetzt ist die Website die Quelle. Ein Update steht zuerst dort, unter eigener Adresse, und die Kanäle verlinken darauf. Fällt ein Kanal weg, fehlt nichts.

Wir wollen, dass die nächsten Kanäle an Schlüsseln hängen, nicht an Personen. In offenen Netzen kann ein Konto einer Wallet gehören, und ein Handle kann unsere eigene Domain sein. Diese Konten haben wir noch nicht angelegt.

Wir haben das Modell vorher getestet. In einer Simulation auf einer Kopie der echten Contracts eines offenen sozialen Protokolls haben wir ein Konto an ein Multisig übergeben, bei dem zwei von drei Signierenden zustimmen müssen. Danach gehörten dem Multisig das Konto und seine Wiederherstellung. Es konnte einen Schlüssel zum Posten vergeben und wieder entziehen. Die Person, die das Konto angelegt hatte, konnte es weder verschieben noch zurückholen.

Ein Detail aus diesem Test lohnt die Weitergabe. Eine einfache Übertragung reichte nicht. Das Recht zur Wiederherstellung blieb beim Ersteller, und damit konnte er das Konto verschieben, wohin er wollte. Besitz und Wiederherstellung müssen zusammen den Besitzer wechseln, sonst ist das Multisig Dekoration.

Auf dieses Modell bauen wir hin. Die Gruppe besitzt. Eine Person arbeitet mit einer Erlaubnis, die man ihr entziehen kann.

Dieselbe Regel für jeden Schlüssel

Kanäle sind der sichtbare Teil. Dieselbe Regel wird für Domains, Server und Betriebsschlüssel gelten, überall dort, wo das System es zulässt. Die Reihenfolge steht: zuerst ein Notfallzugang, dann ein zweiter Schlüsselhalter, dann ein Multisig als Verwahrer, dann ein Team aus der Community. Nichts davon geschieht über Nacht. Die Schritte stehen in unserem Whitepaper.

Und die Website?

Auch sie ist ein einzelner Punkt. Eine Domain, ein Registrar, ein Server. Das können wir nicht abschaffen, und sonst auch niemand. Was ein Projekt tun kann: dafür sorgen, dass kein einzelner Punkt ohne Ersatzweg bleibt.

Für die Website gibt es heute schon Ersatzwege. Kopien ihrer Seiten liegen im Internet Archive. Der Feed hinterlässt jeden Beitrag im Reader derer, die ihn abonniert haben. Token, Pool und DAO brauchen die Website überhaupt nicht; ihre Adressen stehen auf der Chain.

Weitere kommen als Nächstes: eine zweite Person mit Zugang zur Domain, und eine Kopie der Seite, die weder unseren Server noch unseren Registrar braucht.

Das ist die Regel, die wir aus dieser Woche mitnehmen. Nicht „keine zentralen Dienste“. Kein einzelner Punkt ohne zweiten Weg.

Ein Projekt, das an einem Login hängt, gehört dem, der dieses Login hat. Wir wollen nicht dieser Jemand sein, und wir wollen nicht, dass es sonst jemand ist.

Stolpersteine wie dieser machen uns nur härter. Besser jetzt hinfallen als später, wenn mehr daran hängt.

Quellen zu den drei Fällen: Forkast und The Block zu eth.link; Curves eigener Bericht zum Vorfall und Hypernative zu curve.fi; Decrypt und The Block zum X-Konto.