Die Arbeitsagenda

Zugrunde liegt eine radikale, aber ergiebige Metapher: die heutige Weltordnung - mit ihrer ganzen gesellschaftlich-politischen, wirtschaftlichen und rechtlichen Verfassung - ist ein arbeitendes, aber altes Betriebssystem. Der behelfsmäßige Name lautet „Windows 11“. Es ist nicht sinnlos: Es fährt hoch, auf ihm leben Milliarden Prozesse. Doch seine Bugs sind bereits bekannt - jene, die sich über Jahrzehnte zeigen und Menschenleben kosten.

Die Frage des Dokuments lautet: Wenn man einen vollständigen Stab von Entwicklern und ein leeres Blatt hätte, wie sähe die nächste Fassung aus - „Windows 12“? Eine ideale gibt es nicht - die Rede ist von der richtigsten und vollkommensten unter den in der heutigen Lage erreichbaren.

Die Metapher des Betriebssystems ist ernst genommen. Ein Betriebssystem hat eine wirkliche Anatomie: einen Kern und Ringe der Privilegien, ein Modell der Berechtigungen, die Isolierung der Prozesse, einen Scheduler, einen Mechanismus der Aktualisierung, die Behandlung von Fehlern, die Authentifizierung. Jede dieser Achsen bildet sich erstaunlich genau auf den Aufbau der Gesellschaft ab - und wo die Abbildung bricht, bricht sie lehrreich. Am Ende (Teil IX) wird auch der Hauptmangel der Metapher selbst zerlegt: Ein Betriebssystem hat einen Eigentümer, die Menschheit aber darf keinen haben. Die Sprache der Betriebssysteme ist genau wegen dieser Genauigkeit gewählt - sie ist am nächsten und am verständlichsten, um einen solchen Aufbau zu erklären. Dabei ist „Windows 12“ eine Linse der Zerlegung und keine Losung: Im Modell selbst verschwindet der Staat nicht, sondern wird zu einer dünnen Schicht (Teil III), es geht also um den Umbau des ganzen Stapels als Gegenstand der Zerlegung, der die Staaten ergänzt, und nicht um ihre Abschaffung.

Fachliche technische Begriffe (kernel, user space, capability, zero-knowledge, sandbox, nullifier und ähnliche) werden absichtlich nicht erläutert: Erklärungen zu jedem würden den Umfang aufblähen, und ihre Bedeutung lässt sich bei Bedarf leicht in offenen Quellen finden. Wichtig ist hier nicht die Genauigkeit der IT-Begriffsbestimmung, sondern die Rolle, die der Begriff im Aufbau spielt.

Das Dokument ist so eingerichtet: zuerst die Diagnose des alten Systems (I), dann die Zerlegung dessen, was aus ihm überleben muss (II), darauf die Architektur des neuen (III) und der Ort des Menschen in ihr (IV). Weiter - die drei am stärksten belasteten Module, einzeln aufgeschnitten (V bis VII), ihre wechselseitigen Konflikte (VIII), die Falle des Architekten (IX), Stresstests auf Bruch (X), der Abgleich mit wirklichen lebenden Versuchen (XI) und schließlich der offene Horizont der Arbeit (XII).

I.1

Bevor man Neues entwirft, muss man ehrlich bestimmen, was sich nicht wegwerfen lässt. Die romantische Fassung - die Staaten lösen sich einfach in freiwilligen Gemeinschaften auf - zerschellt an mehreren harten Tatsachen.

Der physische Raum ist rival

Einen Fluss, ein Stromnetz, einen Hafen, einen Hektar Land kann man nicht forken, und man kann nicht in zwei Rechtsordnungen zugleich sein. Solange Menschen Körper haben und Platz einnehmen, verwaltet jemand diesen Platz und beendet die Konflikte um ihn. Das ist der unaufhebbare Kern der Gebietsgewalt: Die Materie erzeugt den Wettbewerb um die ausschließliche Nutzung.

Die körperliche Sicherheit ist der äußerste Fall, in dem ein Austritt unmöglich ist

Eine Pandemie, ein Einfall, eine Katastrophe. Hier braucht es eine Struktur, aus der man nicht mit einem Klick austreten kann, weil sie diejenigen im gemeinsamen Preis halten muss, die gern fliehen würden. Die Freiheit des Austritts ist herrlich gegen Tyrannei und tödlich gegen eine Pandemie: Dem Virus ist gleichgültig, welcher freiwilligen Gemeinschaft ein Mensch angehört.

Die Sorge um die, die nichts beitragen können

Das ist das stärkste Argument für etwas Staatsähnliches, und es wird am seltensten laut ausgesprochen. Freiwillige Gemeinschaften sorgen ihrer Natur nach gut für die Nützlichen und schlecht für die Nutzlosen: die Kranken, die Alten, die Zerbrochenen, die Unrentablen. Zur Solidarität hat die Geschichte gerade über eine Struktur ohne Austritt gezwungen - eine, aus der der Gesunde und Reiche nicht vor den Pflichten gegenüber dem Schwachen auswandern kann. Nimmt man den Zwang zur Solidarität weg, so ergibt sich eine Sortierung der Menschen nach Nützlichkeit. Das ist keine Freiheit. Das ist Darwinismus mit guter Benutzeroberfläche.

III.1

Das Modell antwortet auf die unmittelbare Frage - wer der Mensch in ihm wird - mit drei Bündeln.

Rechte (capability-Token, unveräußerlich, vom Kern gewährleistet)

Exit

Aus jedem Prozess außer der Kernschicht auszutreten. Das Recht wegzugehen ist die Grundlage der Freiheit: dasjenige, was jede Zustimmung zu einer wirklichen macht und nicht zu einer erzwungenen.

Voice

An den Regeln teilzunehmen, unter denen ein Mensch lebt. Die Stimme wird besonders dort gebraucht, wo der Austritt nicht wirkt - aus dem Kern kann man nicht austreten.

Audit

Den Code zu lesen, der den Menschen ausführt. Kein geschlossener Quelltext bei der Macht über ihn. Was herrscht, muss für den Beherrschten durchsichtig sein.

Non-domination

Die Freiheit als Abwesenheit willkürlicher Macht über den Menschen und nicht bloß als Abwesenheit augenblicklicher Hindernisse. Frei ist er nicht, wenn ihn niemand stört, sondern wenn über ihm keiner steht, der über ihn nach eigenem Ermessen verfügen kann.

Floor

Ein gewährleistetes Mindestmaß an Mitteln, unter das ihn das System nicht fallen lässt. Keine Gnade, sondern die Bedingung der Redlichkeit alles Übrigen (Modul 2).

Die Funktion

Der Mensch ist zugleich user (Souverän über seinen Bereich) und, gemeinsam, die einzige Quelle der Autorität des Kerns. Der Kern ist genau insoweit legitim, als er im Namen der Benutzer ausgeführt wird. Es gibt kein „Volk über den Menschen“, es gibt keinen „Staat über den Bürgern“ als ein gesondertes höheres Wesen - es gibt Menschen, deren gemeinsamer Wille der einzige Root ist. Genauer: Einen Root als besetzte Stellung gibt es überhaupt nicht (Teil IX), es gibt nur eine verteilte, von niemandem angeeignete Quelle der Befugnisse.

Pflichten (der Preis der Schicht ohne Austritt - ohne ihn ist der ganze Bau eine Utopie)

• Den gemeinsamen Speicher nicht verderben. Die eigenen Kosten nicht in die Biosphäre und in fremdes Leben abladen. Die Verinnerlichung externer Kosten ist weder eine Steuer noch eine Moral, sondern ein Verbot der memory corruption: Man darf keine Zerstörung in einen Speicher schreiben, den alle teilen.
• Den Unterhalt des Gemeinsamen tragen. In die Kernschicht (Sicherheit, Commons, Schutz der Schwachen) einzahlen, aus der man nicht austreten kann - eben deshalb, weil man aus ihr nicht vor den Pflichten auswandern kann. Der einzige legitime Zwang zu einem Beitrag.
• Das System betreuen. Die Teilnahme als maintenance. Ein Betriebssystem, das niemand betreut, verfällt. Bürger zu sein heißt zugleich einloggen und Dienst am System tun: ein Mindestmaß an Aufmerksamkeit und Arbeit, ohne das das Gemeinsame rostet.

Das eigentliche Dilemma

Es ist ein Trilemma: drei Eigenschaften, von denen sich höchstens zwei zugleich erreichen lassen.

Einmaligkeit

Ein lebender Mensch = ein Konto. Ohne sie entartet „ein Mensch - eine Stimme“ zu „wer mehr Bots hat“.

Privatheit

Ein Mensch darf sich nicht verfolgen lassen, seine Handlungen dürfen sich nicht verknüpfen, es darf sich keine Akte über ihn anlegen lassen.

Dezentralität

Es gibt keinen einheitlichen Aussteller, der selbst zu eben dem Root wird, den zu schaffen das Modell sich verpflichtet hat zu unterlassen.

Jedes wirkliche System opfert eines für zwei. Anscheinend ist das eine Struktureigenschaft der Aufgabe und kein Versäumnis.

Was versucht wurde und woran es bricht

• Ein zentrales biometrisches Register. Einmaligkeit - hervorragend. Doch das ist genau jener Root: eine einzige Stelle des Ausschlusses (der Eintrag abgeschaltet - und der Mensch ist bürgerlich tot), eine einzige Stelle der Überwachung, ein unvermeidlicher function creep.
• Web of Trust (Bürgschaft). Dezentral, privat. Doch die Widerstandsfähigkeit gegen Sybil ist im großen Maßstab schwach, und sie bildet die Ungleichheit des sozialen Graphen nach: Wer Verbindungen hat, wird geprüft; der Vereinzelte bleibt niemand.
• Proof of Personhood über Biometrie. Die Einmaligkeit im großen Maßstab ist gelöst. Aber: ein biometrischer Honeypot von planetarer Größe; das Vertrauen in Hardware; die Verwundbarkeit durch Zwang; die Unumkehrbarkeit (eine Iris lässt sich nicht neu ausstellen); und hinter allem ein Unternehmen. Eine weltweite biometrische Doppelbereinigung ist selbst eine fertige Infrastruktur der Überwachung.
• Ein staatliches Dokument in der Hülle der selective disclosure. Verbessert die Privatheit, belässt aber den Staat als Wurzel des Vertrauens und erbt die Lotterie der Staatsangehörigkeit.

Die am wenigsten schlechte Fassung

Der Schlüsselzug besteht darin, das zu entkleben, was das Wort „Identität“ zu einem Klumpen zusammengeschmolzen hat: die Authentifizierung (derselbe Träger), die Einmaligkeit (der Träger ist einer) und die Merkmale (der Mensch ist 18 / er gehört genau hierher / er hat das Recht X). Das Verbrechen der Passsysteme besteht darin, alle drei durch eine einzige Kennung zu treiben.

• Wer die Einmaligkeit prüft, darf nicht zum Beobachter der Tätigkeit werden. Zwischen „wer einmalig ist“ und „was er getan hat“ steht eine kryptographische Wand: zero-knowledge und Nullifier. Der Aussteller gibt einen Beweis aus und vergisst; der proof bleibt beim Menschen.
• Vielfalt der Aussteller statt eines Monopols. Viele unabhängige, k aus n genügen. Keiner ist Root, keiner ist die einzige Stelle des Ausschlusses.
• Widerruflichkeit statt roher Biometrie als Schlüssel. Der Erstschlüssel ist ein neu ausstellbares credential. Die Biometrie versagt gerade bei der Neuausstellung und kann deshalb keine Wurzel sein.
• Nullifier nach Zusammenhang. Die Einmaligkeit „in dieser Wahl“ zu beweisen, ohne sie mit der Einmaligkeit „in jenem Forum“ zu verknüpfen.

Das eigentliche Dilemma

Zwei verkettete Fragen: wie das Knappe zuzuteilen ist (Land, Energie, Materie, Aufmerksamkeit) und wer den Kern ohne Austritt finanziert. Über beiden steht der Konflikt zweier Fehlschläge:

Fehlschlag des Marktes

Der reine Markt scheitert am gemeinsamen Speicher (den externen Kosten), an denen, die keine Kaufkraft haben, und an der Ballung (der Erfolg kauft die Bedingungen des nächsten Spiels auf).

Fehlschlag des Plans

Der reine Plan scheitert am Wissensproblem (die Mitte weiß nicht, was der Markt in Preisen zusammenträgt) und daran, dass ein zentraler Zuteiler ein neuer allmächtiger Root ist.

Die am wenigsten schlechte Fassung

1. Ein geschützter Floor. Ein gewährleistetes Mindestmaß: Nahrung, Energie, Zugang zu Rechenleistung und Information, grundlegende Gesundheit. Die Begründung ist kein Mitleid, sondern die Freiheit: Auf einem Markt frei zu verhandeln vermag nur, wer einen Ort hat, an den er vor einem schlechten Geschäft ausweichen kann. Der Floor gibt die Kraft aufzustehen und zu gehen; er macht den Markt über ihm redlich.
2. Das Gemeinsame wird gemessen und bezahlt. Die rivalen Commons (Atmosphäre, Umlaufbahn, Frequenzspektrum, Wasser, Aufmerksamkeit) sind weder kostenlos noch privatisiert - der Zugang zu ihnen ist kostenpflichtig und wird zugeteilt. Der Erlös aus der Erschöpfung des Gemeinsamen finanziert den Floor und den Kern. Das ist eine Rente auf das Gemeinsame (im Sinne Henry Georges) und keine Steuer auf die Erzeugung: Man zahlt nicht für das, was man geschaffen, sondern für das, was man allen entnommen hat.
3. Eine Obergrenze der Ballung ist ein Sicherheitsmerkmal und keine Frage des Neides. Die äußerste Ballung von Mitteln = die Ballung von Macht = ein möglicher Root, und die Rootlosigkeit gehört zu den Grundsätzen des Modells. Die Beschränkung der Anhäufung ist ein Mittel gegen die Übernahme. Die Begründung ist stärker als die sittliche: nicht „Reichtum ist ungerecht“, sondern „Überreichtum ist eine unbefugte Aneignung von Administratorrechten“.

Das eigentliche Dilemma

zu starr

Das System verknöchert, und der aufgestaute Druck zerreißt es durch einen Umsturz. Ein Umsturz = das Eingeständnis, dass es keinen ordentlichen Updater gab.

zu formbar

Wer die Aktualisierung beherrscht, beherrscht alles. Eine Tür für die „Verbesserer“, die die lebendige Vielschichtigkeit nach ihrem Schema asphaltieren (der Hochmodernismus tötete millionenfach).

Die am wenigsten schlechte Fassung

• Politik als Versuch. Ein schrittweises Ausrollen statt „alles auf einmal“; A/B in einem kleinen, einverstandenen Kreis; die Messung an vorher erklärten Kennzahlen; die Ausweitung nur, wenn es gewirkt hat.
• Eine Neigung zur Umkehrbarkeit. Der Vorzug für das Zurückrollbare. Für das Unumkehrbare eine deutlich höhere Schwelle. Sunset-Klauseln: Regeln laufen aus und müssen erneut bestätigt werden. Die Voreinstellung ist die Aufhebung und nicht die Anhäufung; eine tote Einrichtung läuft still aus und schleppt sich nicht aus Trägheit weiter.
• Der Fork als Sicherung. Wer bei einer Aktualisierung unterliegt, führt keinen Krieg, sondern trennt sich nach offenen Regeln ab. Der Pluralismus, auf die Zeit angewandt.
• Die Trennung der Macht, Regeln zu ändern, von der Macht, aus Regeln zu gewinnen. Wer eine Änderung schreibt, darf sich nicht von ihr ernähren. Die Änderung geschieht unter einem teilweisen Schleier des Nichtwissens über die eigene künftige Stellung.
• Wer den Updater bewacht. Der Mechanismus der Aktualisierung ist selbst Code, und wer ihn ändert, der ist der wirkliche Root. Die Meta-Regel ist die am schwersten zu ändernde: nur eine beständige, über die Zeit gedehnte übergroße Mehrheit. Timelocks: Eine Änderung des Kerns verlangt Unterstützung über mehrere Zeiträume hinweg. Eine Mehrheit vom Dienstag rührt den Kern nicht an.

Das ist wichtiger als jedes Modul für sich. Die drei Module sind keine unabhängigen Aufgaben, sondern ein Bündel von Reglern, bei dem jede Stellung des einen das andere verdirbt. Ein ehrliches Modell muss diese Konflikte zeigen und nicht verstecken.

Hier bekommt die Metapher des Betriebssystems einen Riss - und dieser Riss ist das Wichtigste im Dokument. Ein Betriebssystem hat einen Eigentümer - denjenigen, der den Root hat, der entscheidet, was dem Benutzer nützt, und der Aktualisierungen ausrollt, ohne zu fragen. Der Menschheit ist ein solcher Eigentümer nicht zuträglich.

Das Gefährlichste an der Aufgabe „entwirf eine Weltordnung“ ist die Versuchung, ein schönes, einheitliches, vernünftig eingerichtetes System mit einem weisen Architekten zusammenzubauen. Eben das hat in der Geschichte millionenfach getötet. Die Gesellschaft ist kein Code; die Werte haben keinen Compiler; es gibt keinen Unit-Test auf Gerechtigkeit; und jeder, der erklärt, er wisse, wie es sein muss, und das Recht verlangt, alle umzuschreiben, ist gefährlicher als der Bug, den er zu beheben unternimmt.

• es überhaupt keinen Root-Benutzer hat - keine Mitte, die den Kern für sich umschreiben könnte; die Quelle der Befugnisse ist verteilt und wird von niemandem angeeignet;
• ihm eine absichtliche Unwirtschaftlichkeit und Reibung eingebaut ist - Gewaltenteilung, Verdopplung, Timelocks -, damit es sich nicht schnell übernehmen lässt; ein wirksames System gerät wirksam auch in die falschen Hände, deshalb ist ein Teil der Unwirtschaftlichkeit hier kein Bug, sondern Immunität;
• es by design pluralistisch ist - viele Systeme und nicht eines; das Recht zu forken ist wichtiger als die Schönheit einer einheitlichen Architektur.

Das gilt auch für dieses Dokument selbst. Es ist als eine Stimme geschrieben - und eben deshalb darf man es nicht als ein fertiges System annehmen. Seine Bestimmung ist es, aufgeschnitten, bestritten und geforkt zu werden, und nicht, eingeführt zu werden.

Ein Modell, das nicht an einem Bruchszenario geprüft ist, ist kein Modell, sondern eine Kulisse. Der Durchlauf von „Windows 12“ durch drei harte Szenarien zeigt ehrlich, wo es fällt.

Szenario 1. Die Pandemie

Ein schneller tödlicher Erreger. Der Kern braucht einen augenblicklichen Zwang zu einer gemeinsamen Maßnahme, doch die ganze Architektur ist um das Recht auf Austritt und um ein Mindestmaß an Zwang herum gebaut.

wo es hält

Die Pandemie ist der kanonische Fall für den Kern (planetare Lebenserhaltung, kein Austritt), die Legitimität des Zwanges ist hier also von der Bauart her gegeben.

wo es bricht

Die Geschwindigkeit. Timelocks und Umkehrbarkeit, die in Friedenszeiten retten, sind in einem exponentiellen Ausbruch tödlich langsam. Es entsteht die Versuchung eines „Ausnahmezustands“ - und der ist geschichtlich die wichtigste Maschine zur Herstellung eines dauerhaften Roots.

Szenario 2. Der Krieg um eine physische Ressource

Zwei Gebietsschichten erheben Anspruch auf denselben Fluss, Schelf, Korridor. Die Ressource ist rival, ein Fork ist unmöglich.

wo es hält

Die planetare Schicht ist genau dafür gedacht - als Schiedsrichter in Konflikten ohne Austritt; die Rente auf das Gemeinsame gibt einen Mechanismus für „wie viel und zu welchem Preis für jeden“ und nicht für „wessen“.

wo es bricht

Und wenn die starke Schicht sich weigert, den Schiedsspruch anzuerkennen? Eine Kraft, die genügt, den Stärksten zu zwingen, genügt auch, um selbst zum Tyrannen zu werden. Der ewige Widerspruch der Weltordnung: Der Schiedsrichter ist entweder schwächer als der Stärkste (nutzlos) oder stärker (selbst gefährlich).

Szenario 3. Die Übernahme durch eine KI

Eine übermächtige KI ist im Kern. Wer diesen Prozess beherrscht, beherrscht den am höchsten privilegierten Code des Planeten.

wo es hält

Die geringsten Privilegien, die Prüfbarkeit und das Fehlen eines Roots stehen unmittelbar dagegen; eine KI im Kern muss von der Bauart her größtmöglich durchsichtig und beschränkt sein.

wo es bricht

Die Prüfung setzt voraus, dass der Prüfer den Code zu verstehen vermag. Eine übermenschliche KI kann grundsätzlich undurchsichtig sein - nicht verschlossen, sondern unfassbar. Das „Recht, den Code zu lesen, der den Menschen ausführt“ wird entwertet, wenn sich der Code nicht verstehen lässt. Vielleicht die tiefste Bresche.

Nichts hier ist als Ganzes neu. Fast jeden Bestandteil hat schon jemand im Leben versucht - und fast jeder Versuch ist an etwas gebrochen. Ein ehrliches Modell muss seine Vorgänger kennen und darf Altes nicht als Unerhörtes ausgeben. Die Neuheit liegt, wenn es sie gibt, allein in der Konfiguration und nicht in den Bestandteilen. Jeder lebende Versuch ist ein bereits durchgeführter Stresstest eines Moduls.

Der Wert des Modells liegt nicht in den Antworten, sondern in der Güte der Fragen, die es bestimmt und überprüfbar macht. Die schwachen Stellen der vorangegangenen Teile sind eben die Agenda. Bestimmte Spuren, offen für gemeinsame Forschung, gemeinsamen Entwurf und gemeinsame Prüfung:

1. Sybil ohne den Großen Bruder. Die Einmaligkeit eines Menschen zu bescheinigen, ohne ein zentrales Überwachungsregister und ohne ein ausschließendes Tor zu bauen. Bislang ein Trilemma ohne Lösung.
2. Eine hinzufügende und nicht torhütende Personalität. Damit das Fehlen eines Logins niemals die grundlegende Würde nimmt. Der Schutz vor dem Hauptrisiko - einer Klasse digitaler Nichtmenschen.
3. Die Finanzierung des Kerns ohne Austritt ohne einen neuen Einnehmer-Tyrannen. Die Rente auf das Gemeinsame ist eine Vermutung; wer sie wie einnimmt, ohne die Kasse in einen Root zu verwandeln, ist offen.
4. Die Geschwindigkeit des Kerns gegen den Schutz vor Übernahme. Dem Kern in einer Katastrophe Schnelligkeit zu geben, ohne eine Maschine des Ausnahmezustands zu schaffen.
5. Ein Schiedsrichter, stärker als der Stärkste, aber kein Tyrann. Vielleicht liegt die Antwort nicht in der Kraft des Schiedsrichters, sondern in einem Bau, in dem sich ein Verstoß für alle zugleich nicht lohnt - das ist zu bauen und zu prüfen.
6. Die Prüfbarkeit des Unfassbaren. Die Kontrolle über eine übermächtige KI im Kern, wenn sich ihr Code mit menschlichem Verstand nicht verstehen lässt. Vielleicht die wichtigste.
7. Floor und Austritt zugleich. Das Recht wegzugehen mit der Festigkeit des Gemeinsamen zu vereinen, damit die Freiheit des Auseinandergehens die Solidarität nicht tötet.
8. Kennzahlen ohne Goodhart. Den Erfolg von Politiken zu messen, ohne das Unmessbare zu erdrücken und ohne einen Wettlauf um das Umgehen der Schwellen auszulösen.

Der abschließende Rahmen