Am 16. August 1997 um 01:52:34 Uhr Weltzeit begann irgendwo ein Computer, Zahlen zu erzeugen. Der Rechner wusste nichts von der Zukunft. Er ahnte nicht, dass ein Wert aus dieser Folge Jahrzehnte später in digitalen Zertifikaten auftauchen und zu einem Baustein moderner IT-Sicherheit werden würde. Er arbeitete einfach weiter. Kandidat für Kandidat.
Schließlich fiel die Wahl auf Kandidat Nummer 1.842. Fast 30 Jahre später rekonstruierte ein KI-Modell von Anthropic, wie es dazu gekommen war.
Damit ist ein Rätsel gelöst, das die Kryptografie seit einem Vierteljahrhundert begleitet: Woher kamen die Ausgangswerte mehrerer elliptischer Kurven, die das US-amerikanische National Institute of Standards and Technology im Jahr 2000 standardisierte? Anthropic zufolge brauchte Claude weniger als eine halbe Stunde, um ihre Herkunft aufzuspüren. Die überraschend gewöhnliche Antwort: Hinter den Zahlen verbarg sich offenbar keine verschollene Geheimbotschaft, sondern ein alter Zufallszahlengenerator und die Uhr eines Computers. Recherchequelle: Anthropic
Zahlen, denen man vertrauen musste
Bei den fraglichen Kurven handelt es sich um mathematische Konstruktionen, auf denen digitale Signaturen beruhen. Solche Signaturen helfen etwa dabei, die Echtheit von Software, Dokumenten oder Internetverbindungen zu prüfen. Vereinfacht gesagt legen die Kurven die mathematische Landschaft fest, in der Schlüssel erzeugt und Signaturen überprüft werden.
Zu ihnen zählen die NIST-Kurven P-192, P-224, P-256, P-384 und P-521. Besonders P-256 und P-384 fanden breite Verwendung. Als der Standard veröffentlicht wurde, enthielt er für jede Kurve einen sogenannten Seed, eine lange Folge aus Buchstaben und Zahlen. Aus diesem Ausgangswert wurden bestimmte Eigenschaften der jeweiligen Kurve abgeleitet.
Die Seeds lagen offen vor. Verschlüsselt oder geheim waren sie nicht. Rätselhaft blieb allerdings, wie sie ausgewählt worden waren. Sie stammten von der National Security Agency, doch eine nachvollziehbare Entstehungsgeschichte fehlte. In einem Forschungsgebiet, dessen Glaubwürdigkeit davon abhängt, dass mathematische Verfahren überprüfbar sind, blieb damit ein unschöner blinder Fleck.
Der Kryptograf Alfred Menezes, der entscheidend an der Entwicklung des ursprünglichen Standards beteiligt war, erinnerte sich später daran, dass er im Herbst 1997 die entsprechenden Werte von dem NSA-Mathematiker Jerry Solinas erhalten hatte. Diese Information wirft ein Licht auf die Herkunft der Seeds und stellt einen wichtigen Bezug zu den geheimnisvollen Auswahlkriterien her, die zuvor unklar geblieben waren. Warum ausgerechnet diese Zahlen genommen wurden, wusste er nicht. 2018 versuchte der Sicherheitsforscher Steve Weis, mithilfe von Informationsfreiheitsanfragen an entsprechende Unterlagen zu gelangen. NIST erklärte demnach, keine solchen Dokumente zu besitzen; die NSA stellte die Kommunikation schließlich ein. Recherchequelle: Steve Weis
Wo Dokumente fehlen, wächst Misstrauen. Wer die Parameter eines kryptografischen Verfahrens festlegt, könnte theoretisch sehr viele Kandidaten testen und bewusst einen auswählen, der eine nur ihm bekannte Schwäche aufweist. Dass die NSA in der Vergangenheit an einem umstrittenen Zufallszahlengenerator namens Dual_EC_DRBG beteiligt war, machte die Sache nicht beruhigender.
Die meisten Kryptografen hielten eine verborgene Schwäche in den NIST-Kurven zwar für unwahrscheinlich. Trotzdem blieb die Herkunft der Seeds eine offene Frage. Keine akute Gefahr, eher ein leises Knarren im Gebälk.
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Die Geschichte von der verlorenen Botschaft
Lange führte die Spur zu einem Satz, den niemand mehr kannte.
Jerry Solinas hatte Kollegen erzählt, die Seeds seien möglicherweise durch das Hashen einer humorvollen englischen Botschaft entstanden. In den Erinnerungen kursierten Varianten, denen zufolge Jerry und ein Kollege eine Gehaltserhöhung verdient hätten. Doch der genaue Wortlaut, mögliche Zähler und selbst Einzelheiten des Verfahrens waren verloren gegangen. Der ursprüngliche Rechner war ersetzt worden, Archive ließen sich nicht finden.
Als Solinas Anfang 2023 starb, schien auch die beste Quelle für die Entstehungsgeschichte zu versiegen.
Im Oktober desselben Jahres setzte der Kryptograf Filippo Valsorda gemeinsam mit weiteren Geldgebern ein Preisgeld aus. Wer die Herkunft der fünf Seeds nachweisen konnte, sollte 12.288 Dollar erhalten. Überließ der Gewinner das Geld einer gemeinnützigen Organisation, wurde die Summe auf 36.864 Dollar verdreifacht. Gesucht wurde nach Passphrasen, Zählern und Hashwerten. Die Ausschreibung beruhte auf der naheliegenden Annahme, dass Solinas’ Erinnerung zumindest im Kern zutraf. Recherchequelle: Filippo Valsorda
Offenbar führte genau diese Annahme in die falsche Richtung.
Claude sucht nicht nach Worten
Im Oktober 2026 stellte ein Angestellter von Anthropic eine Anfrage an ein internes Forschungsmodell, um herauszufinden, auf welche Weise die Seeds generiert worden sein könnten. Den Hinweis auf die vermeintlich humorvolle Passphrase erhielt das Modell nach Angaben des Unternehmens nicht.
Claude suchte deshalb nicht nach vergessenen Sätzen. Stattdessen versuchte das Modell zu rekonstruieren, wie ein Programmierer Ende der neunziger Jahre ein solches Verfahren praktisch umgesetzt haben könnte. Welche Zufallszahlengeneratoren waren damals verbreitet, welche Muster hinterließen sie – und ließen sich Teile ihres internen Zustands aus den veröffentlichten Zahlen zurückrechnen?
Als aussichtsreichster Kandidat erwies sich lrand48, ein alter Generator aus der Welt der C-Programmierung. Er erzeugt keine wirklich zufälligen Zahlen, sondern eine deterministische Folge. Wer den Ausgangszustand kennt, kann dieselbe Zahlenreihe jederzeit wiederholen. Und weil der Generator mathematisch recht einfach aufgebaut ist, hinterlässt er verräterische Spuren.
Claude schrieb Prüfprogramme, untersuchte verschiedene Ausschnitte der Seeds und fand auffällige Nullbits. Anschließend rekonstruierte das Modell Zustände des Generators und rechnete die Folgen rückwärts. Die Untersuchung ergab schließlich, dass die Hinweise auf Unix-Zeitstempel aus dem Zeitraum von Mai 1997 bis April 1998 hinwiesen.
Für P-256 endete sie am 16. August 1997. Der Generator wurde mit dem damaligen Zeitstempel gestartet und produzierte nacheinander Kandidaten von jeweils 20 Byte. Beim 1.842. Versuch erschien exakt jener Seed, der später im Standard veröffentlicht wurde. Die Seeds der anderen vier Primzahlkurven konnten ebenfalls auf ähnliche Weise rekonstruiert werden. Diese Methode ermöglichte es, die spezifischen Werte der Seeds zu verifizieren und ihre Herkunft nachzuvollziehen. So wurde die Konsistenz und Nachvollziehbarkeit der Ergebnisse weiter gestärkt.
Das war kein bloßes Ratespiel. Aus einem kleinen Hinweis entstand Schritt für Schritt eine überprüfbare Rekonstruktion: Hypothese, Programmcode, Berechnung, exakte Übereinstimmung. Bemerkenswert ist nicht allein die Erklärung, sondern ihre Prüfbarkeit. Der erzeugte Code stellt die historischen Zahlen exakt wieder her.
Der menschliche Gegencheck
Eine spektakuläre Unternehmensmeldung ist noch kein Beweis. Den entscheidenden Gegencheck lieferte Filippo Valsorda: Er implementierte den Algorithmus unabhängig in der Programmiersprache Go und bestätigte die Ergebnisse.
Am 15. Oktober 2026 um 01:07:51 Uhr UTC bestätigte er den Anspruch des Anthropic-Teams auf das vollständige Preisgeld. Die 36.864 Dollar gingen an die Internet Security Research Group, die gemeinnützige Organisation hinter der Zertifizierungsstelle Let’s Encrypt. So mündete die Lösung des kryptografischen Rätsels in eine Spende für die Infrastruktur des Internets. Recherchequelle: Filippo Valsorda
Die Rekonstruktion entlastet die NIST-Kurven, beantwortet aber nicht jede Frage. Sie zeigt, dass ihre Seeds aus einem gewöhnlichen, mit Zeitstempeln gestarteten Generator hervorgingen. Dadurch schrumpft der Spielraum für eine gezielte Suche der NSA nach einer exotischen Schwäche erheblich. Valsorda kommt zu dem Schluss, dass sich damit eine bestimmte, zuvor diskutierte Methode zur Auswahl absichtlich geschwächter Kurven ausschließen lässt.
Vollständig geklärt ist der Vorgang dennoch nicht. Bei P-256 hätte bereits der 876. Kandidat eine scheinbar geeignete Kurve ergeben. Warum stattdessen Kandidat 1.842 gewählt wurde, bleibt offen. Bei weiteren Läufen wurden ebenfalls verwendbare Ergebnisse übersprungen. Ein Seed der binären Kurve B-163 sowie mehrere sogenannte Basispunkte entziehen sich weiterhin der Rekonstruktion.
Für die Praxis entscheidend: Claude hat ECDSA nicht gebrochen. Private Schlüssel sind durch den Fund nicht plötzlich berechenbar, Zertifikate müssen nicht ausgetauscht werden. Bitcoin bleibt ebenfalls unberührt, weil es die elliptische Kurve secp256k1 verwendet. Der Fund ist kein Angriff auf die Kryptografie, sondern ein Stück Kryptografie-Archäologie. Recherchequelle: CoinDesk
Ein neues Werkzeug für alte Rätsel
Die verführerische Pointe lautet, eine Maschine habe in 30 Minuten geschafft, woran Menschen 25 Jahre scheiterten. Doch so einfach ist es nicht. Schließlich arbeiteten nicht 25 Jahre lang Hunderte Forscher ununterbrochen an dem Problem. Viele Kryptografen hielten die Kurven ohnehin für sicher, und der praktische Nutzen weiterer Nachforschungen war begrenzt. Zudem beruht Claudes Erfolg auf menschlicher Vorarbeit: Ein Mitarbeiter stellte dem Modell die Aufgabe; es nutzte bekannte mathematische Methoden und war in ein Team aus erfahrenen Sicherheitsforschern eingebunden.
Neu ist dennoch, wie eng das Modell Vermutung, Programmierung und Kontrolle miteinander verknüpfte. Forschungsmodelle können Hypothesen nicht nur formulieren, sondern unmittelbar in Code übersetzen, Varianten durchspielen und Ergebnisse rechnerisch überprüfen. Sie können Tausende erfolglose Kandidaten systematisch untersuchen und konkurrierende Erklärungen verfolgen, ohne sich früh auf eine charmante Überlieferung festzulegen.
Vielleicht liegt darin ihre besondere Stärke: nicht im einsamen Geistesblitz, sondern im schnellen Wechsel zwischen Hypothese, Code und Gegenprobe. Eine alte Computeruhr tickte 1997 für einen Augenblick. Fast drei Jahrzehnte später hörte eine Maschine noch einmal genau hin.
Weiterführende Informationen
Quellenhinweis: Einzelne Fakten, Einschätzungen und Prognosen dieses Beitrags stützen sich auf Veröffentlichungen der nachfolgend genannten Unternehmen und Institutionen. Die Links dienen zugleich der weiterführenden Information.
Dr. Web – Claude klärt die Herkunft der ECDSA-Kurven: Die NSA-Startwerte stammen aus einem simplen Zufallsgenerator
Der Fachartikel erläutert die exakte Rekonstruktion der fünf NIST-Seeds aus lrand48-Ausgaben und Unix-Zeitstempeln samt Kandidatennummern und LLL-Verfahren.
https://www.drweb.de/ecdsa-nist-kurven-startwerte-anthropic/
Borncity – NIST-Kurven: Claude führt kryptografische Seeds auf lrand48 zurück
Der Beitrag dokumentiert Filippo Valsordas unabhängige Überprüfung in Go und die vollständige Vergabe des Preisgelds von 36.864 US-Dollar zugunsten der Internet Security Research Group.
https://borncity.com/news/nist-kurven-claude-fuehrt-kryptografische-seeds-auf-lrand48-zurueck/
NEWS – P-256 und die NSA: KI Claude löst das Rätsel um die Herkunft der Krypto-Kurven
Der Artikel ordnet die Sicherheitsfolgen ein und behandelt den ungeklärten Seed von B-163, offene Basispunkte sowie übersprungene gültige Kandidaten.
https://www.news.at/technik/p-256-nsa-kurven-ki-claude-herkunft-seeds
