Bevor ich die Polyglottal Cipher schreiben konnte, habe ich zehn Jahre lang gelesen.
Keine Bücher. URLs. Query-Strings. Die langen kodierten Schwänze von Affiliate-Links — ?utm_source=, Base64-Blobs, prozentkodierte Parameter, Tracking-IDs, eingefaltet in Tracking-IDs. Millionen davon. Es war mein Job, die Abgase des Internets zu lesen und zu verstehen, woher das Geld kam.
Wenn man lange genug auf kodierte Strings starrt, passiert etwas mit den Augen. Man sieht kein Rauschen mehr. Man sieht Struktur. Man lernt, dass jeder String eine Sprache ist und jede Sprache nur eine Übereinkunft darüber, welche Zeichen Bedeutung tragen.
Das ist die ganze Einsicht hinter der Cipher, und sie kam aus dem Marketing, nicht aus der Mathematik.
Herkömmliche Verschlüsselung markiert sich selbst. Man verschlüsselt eine Datei, und sie wird zu einer Wand aus Zufallsbytes, die verkündet: Hier ist etwas Wertvolles versteckt. Der Schutz wird zum Ziel. Denselben Fehler hatte ich jahrelang im SEO beobachtet — die Seiten, die „optimiere mich“ schrien, waren die, die abgestraft wurden. Die, die natürlich aussahen, überlebten.
Also stellte ich die kryptografische Version der Frage, die ich seit einem Jahrzehnt beantwortet hatte. Was, wenn das Geschützte nicht geschützt aussähe? Was, wenn verschlüsselte Daten wie ein Satz aussähen?
Die Antwort lag längst in Unicode. 133,387 Zeichen aus 202 Sprachtraditionen. Die meisten davon kommen in gewöhnlichem Text nie vor. Ein enormer stiller Raum, den alle für ein Font-Problem halten und niemand für einen Kanal.
Man nimmt den Klartext. Man verschlüsselt ihn zuerst ordentlich — ChaCha20-Poly1305, keine Abkürzungen, echte symmetrische Stärke. Dann zeigt man die Payload nicht als Bytes, sondern kodiert sie in Glyphen aus echten Schriftsystemen. Die Ausgabe liest sich wie natürlicher menschlicher Text, in welcher Sprache man will.
Ein Angreifer, der sie abfängt, sieht keinen Geheimtext. Er sieht Schrift. Ohne den Schlüssel kann er nicht einmal beweisen, dass überhaupt verschlüsselt wurde. Das ist nicht nur Vertraulichkeit. Das ist Abstreitbarkeit — die Nachricht gibt nicht zu, dass sie eine Nachricht ist.
Man nimmt an, dass man einen Doktortitel in Kryptografie braucht, um hier anzukommen. Ich hatte keinen. Ich hatte ein Jahrzehnt, in dem ich die kodierten Strings der Welt gelesen habe, bis ich mit den Händen verstanden hatte, dass der Unterschied zwischen Text und Geheimtext nur eine Frage der Übereinkunft ist, mit der man liest.
Die formale Arbeit läuft jetzt, mit Leuten, die weit besser ausgewiesen sind als ich — die COSIC-Gruppe der KU Leuven, das Team, zu dem einer der beiden Entwickler von AES gehört. Das Patent ist beim EPO eingereicht. Die Mathematik wird die Prüfung bekommen, die sie verdient, und das soll sie auch.
Aber die Idee kam nicht aus einem Labor. Sie kam aus Jahren, in denen ich in einem Feld unterschätzt wurde, das niemand respektiert, und eine Art von Lesen betrieb, die niemand für Lesen hielt.
Früher habe ich mich ein wenig dafür geschämt, woher ich komme. Affiliate-Marketing ist das Gewerbe mit dem niedrigsten Status im Internet. Das schreibt man sich nicht auf ein Konferenz-Namensschild, neben Kryptografen.
Ich bin damit fertig, mich dafür zu schämen. Dieses Gewerbe hat mich das sehen gelehrt, woran die Ausgewiesenen jeden Tag vorbeigingen.
Bei der Cipher ging es nie wirklich ums Verstecken. Es ging darum, dass Lesen und Schreiben derselbe Akt sind, nur in entgegengesetzter Richtung ausgeführt — und ich hatte meine ganze Laufbahn lang beides getan, nur falsch beschriftet.