Das gemeinsame Haus als Betriebssystem

Am Anfang steht eine radikale, aber produktive Metapher: die gegenwärtige Weltordnung - mit ihrem gesamten politischen, wirtschaftlichen und rechtlichen Gefüge - ist ein funktionierendes, doch alterndes Betriebssystem. Nennen wir es der Einfachheit halber "Windows 11". Es ist nicht sinnlos: es bootet, Milliarden Prozesse laufen darauf, es hat viele Releases überstanden. Doch seine Bugs sind längst bekannt - keine hypothetischen, sondern solche, die über Jahrzehnte zutage treten und Menschenleben kosten.

Die Frage dieses Dokuments: Hätte man ein vollständiges Entwicklerteam und ein leeres Blatt - wie sähe das nächste Release aus, "Windows 12"? Kein vollkommenes (das gibt es nicht), sondern das richtigste und vollständigste, das in der gegenwärtigen Lage erreichbar ist.

Die Betriebssystem-Metapher ist ernst gemeint, nicht als Zierde. Ein Betriebssystem hat eine echte technische Anatomie: einen Kernel und Ringe von Privilegien, ein Berechtigungsmodell, Prozessisolation, einen Ressourcen-Scheduler, einen Aktualisierungsmechanismus, Fehlerbehandlung, Authentifizierung. Jede dieser Achsen bildet sich mit überraschender Genauigkeit auf die Architektur einer Gesellschaft ab - und wo die Abbildung bricht, bricht sie lehrreich. Am Ende (Teil IX) untersuchen wir auch den zentralen Mangel der Metapher selbst: ein Betriebssystem hat einen Eigentümer, die Menschheit darf keinen haben. Die Sprache der Betriebssysteme wurde gerade wegen dieser Genauigkeit gewählt - sie ist der nächste und klarste Weg, ein Gefüge dieser Art zu erklären. Und "Windows 12" ist eine analytische Linse, kein Schlagwort: im Modell selbst verschwindet der Staat nicht, sondern wird zu einer dünnen Schicht (Teil III), es geht also um den Umbau des gesamten Stacks als Gegenstand der Untersuchung, ergänzend zu den Staaten, nicht um einen Aufruf, sie abzuschaffen.

Die fachlichen technischen Begriffe (kernel, user space, capability, zero-knowledge, sandbox, nullifier und dergleichen) bleiben bewusst ohne Erläuterung: eine Anmerkung zu jedem würde den Text aufblähen, und ihre Bedeutung lässt sich leicht nachschlagen. Worauf es hier ankommt, ist nicht die genaue IT-Definition, sondern die Rolle, die ein Begriff im Gefüge spielt.

Das Dokument ist so aufgebaut: zuerst eine Diagnose des alten Systems (I), dann eine Bestimmung dessen, was aus ihm überleben muss (II), dann die Architektur des neuen (III) und der Ort des Menschen darin (IV). Danach folgen die drei am stärksten belasteten Module, einzeln aufgeschlossen (V-VII), ihre wechselseitigen Konflikte (VIII), die Falle des Architekten (IX), Stresstests bis zum Bruch (X), eine Abrechnung mit wirklichen, lebendigen Versuchen (XI) und schließlich der offene Horizont der Arbeit (XII).

Der Hauptfehler jedes Gesprächs über die Zukunft der Weltordnung ist, den Staat als Monolithen zu behandeln, der entweder existiert oder nicht. Der Staat ist keine Wesenheit, sondern ein Bündel von Funktionen, das aus Gründen des Krieges, der Steuer und der Industrie in einer einzigen Hand landete:

1. Ein Monopol auf legitime Gewalt - wer das Recht hat zu zwingen.
2. Gerichtsbarkeit über ein Territorium - Macht über ein Stück physischen Raums.
3. Die Bereitstellung gemeinsamer Güter - Straßen, Netze, Verteidigung, Gerichte, Infrastruktur.
4. Zugehörigkeit und Identität - wer als "einer der Unseren" gilt, wem ein Mensch zugeordnet wird.
5. Umverteilung - Sorge für die Schwachen, Versicherung gegen das Unglück.
6. Recht und Streitschlichtung - Regeln und Schiedsspruch.
7. Außenvertretung - eine Stimme nach außen, auf der internationalen Bühne.

Kein Naturgesetz verlangt, dass diese sieben Funktionen in einer Schachtel liegen. Die Geschichte hat sie verschmolzen. Und heute lösen sie sich vor unseren Augen: die Identität sickert in die Netze, das Geld in die Protokolle, die Streitigkeiten in private Schiedsverfahren, die gemeinsamen Güter in transnationale Strukturen. Den Staat als abtrennbares Bündel und nicht als Atom zu begreifen, ist das Fundament alles Weiteren.

Bevor man Neues entwirft, muss man ehrlich bestimmen, was sich nicht wegwerfen lässt. Die romantische Fassung der Zukunft - Staaten lösen sich einfach in freiwilligen Gemeinschaften auf - zerschellt an einigen harten Tatsachen.

Physischer Raum ist rivalisierend

Ein Fluss, ein Stromnetz, ein Hafen, ein Hektar Land lassen sich nicht "forken", und man kann nicht in zwei Gerichtsbarkeiten zugleich sein. Solange Menschen Körper haben und Raum einnehmen, verwaltet jemand diesen Raum und schlichtet die Konflikte um ihn. Das ist der unentfernbare Kern territorialer Macht: die Materie erzeugt Wettbewerb um die ausschließliche Nutzung.

Physische Sicherheit - der Extremfall, in dem der Ausstieg unmöglich ist

Eine Pandemie, eine Invasion, eine Naturkatastrophe. Hier braucht man eine Struktur, die sich nicht einfach per Klick verlassen lässt, denn sie muss jene in den gemeinsamen Kosten halten, die lieber fliehen würden. Die Freiheit des Ausstiegs ist großartig gegen die Tyrannei und tödlich gegen eine Pandemie: dem Virus ist gleichgültig, welcher freiwilligen Gemeinschaft ein Mensch angehört.

Sorge für jene, die nichts beitragen können

Das ist das stärkste Argument für etwas Staatsähnliches und zugleich das am seltensten laut ausgesprochene. Freiwillige Gemeinschaften sorgen von Natur aus gut für die Nützlichen und schlecht für die Nutzlosen: die Kranken, die Alten, die Gebrochenen, die "Unrentablen". Zur Solidarität zwang die Geschichte gerade durch eine nicht verlassbare Struktur - eben die, aus der die Gesunden und Wohlhabenden nicht auswandern können, um ihren Pflichten gegenüber den Schwachen zu entgehen. Nimm den Zwang zur Solidarität fort, und du erhältst die Sortierung der Menschen nach Nützlichkeit. Das ist keine Freiheit. Das ist Darwinismus mit guter Benutzeroberfläche.

Die erste technische Entscheidung jedes Betriebssystems: was läuft in Ring 0 (privilegiert, mit vollem Zugriff) und was im user space, wo ein Prozess abstürzen kann, ohne das System niederzureißen. Ein Monolith ist schlechte Architektur. Hier ist die Architektur als Mikrokernel gebaut. In den Kernel kommt nur, was physisch untrennbar und rivalisierend ist - was sich nicht verlassen lässt:

• der Schutz der physischen Sicherheit und des physischen Raums;
• planetare Lebenserhaltungssysteme - Klima, Ozean, Atmosphäre, Orbit, Spektrum, Wasser;
• die Steuerung der Hypertechnologien, bei denen der Preis des Irrtums die Gattung als Ganze ist (künstliche Intelligenz, Bioengineering);
• und vor allem die Aufrechterhaltung des Berechtigungsmodells selbst - die Gewähr, dass niemand root wird.

Alles Übrige - Wirtschaft, Kultur, Gemeinschaften, Lebensformen, Glaubensweisen, Ästhetiken - wird in den user space verlagert. Dort konkurriert es, irrt, geht bankrott, stirbt und wird neu geboren, ohne das System mitzureißen. Der Kernel ist dünn; darüber ein brodelnder Raum freier Prozesse.

Das Herz des ganzen Modells und der Punkt, an dem die meisten historischen Systeme brechen.

In einem Betriebssystem ist der user der Souverän. Prozesse existieren, um dem user zu dienen; behindert ein Prozess den user oder hängt er, so wird er beendet - ein Routinevorgang, keine Tragödie. Der tiefste Bug fast jeder Gesellschaftsordnung ist, dass sie dieses Verhältnis umkehrt: der Mensch wird zum Prozess, der dem System dient - der Wirtschaft, der Nation, dem Staat, der Partei, der "großen Sache". Der Mensch wird auf die Aufgaben des Systems gescheduled, statt umgekehrt.

Die beste Idee der modernen Computersicherheit sind Rechte als capabilities unter dem Prinzip der geringsten Privilegien. Auf ihr baut die ganze Politik.

• Kein Akteur erhält mehr Befugnis, als eine bestimmte Aufgabe erfordert.
• Jede Befugnis ist widerruflich, befristet und prüfbar. Es gibt keine ewigen, bedingungslosen, vererbbaren Machtverleihungen.
• Die Menschenrechte sind keine abstrakte Erklärung, sondern konkrete, unveräußerliche capability-Token, die keine Gerichtsbarkeit entziehen, die sich nicht wegtauschen und nicht an Nützlichkeit knüpfen lassen.

Föderation, Polyzentrismus, Sandboxes. Gemeinschaften, Wirtschaften und Lebensformen sind isolierte Prozesse. Einer fällt - die übrigen leben weiter. Dann ist das Recht auf Ausstieg das Recht, einen Prozess zu beenden oder ihn zu verlassen. Das ist die mächtigste Schranke gegen die Tyrannei: eine Macht, aus der man weggehen kann, ist gezwungen, erträglich zu sein, denn sonst bleibt sie ohne Menschen. Doch das hat einen Preis (siehe Teil VIII): die vollständige Ausstiegsmöglichkeit führt zur Sortierung nach Ähnlichkeit, zum Verlust der Solidarität über die Verschiedenheit hinweg und zur Frage, "wer jene hält, aus denen alle weggehen". Das Recht auf Ausstieg ist im user space absolut und im Kernel unmöglich - sonst stürzt Teil II selbst ein.

Als Ganzes zusammengesetzt ergibt die Architektur nicht "keinen Staat", sondern Vielschichtigkeit. Das ordnende Prinzip ist die Subsidiarität: eine Entscheidung fällt auf der niedrigsten Ebene, die sie tragen kann, und steigt nur dann höher, wenn sie muss.

Eine solche Teilung versöhnt Freiheit und Sicherheit besser als alles bisher Ersonnene: sie zentralisiert nicht aus Gewohnheit und dezentralisiert nicht aus Dogma, sondern legt jede Aufgabe dorthin, wo sie tatsächlich gelöst wird.

Das Modell beantwortet die unmittelbare Frage - wer der Mensch in ihm wird - durch drei Bündel.

Rechte (capability-Token, unveräußerlich, vom Kernel verbürgt)

Funktion

Der Mensch ist zugleich der user (souverän über den eigenen Bereich) und, kollektiv, die einzige Quelle der Autorität des Kernels. Der Kernel ist genau insoweit legitim, als er im Namen der user ausgeführt wird. Es gibt kein "Volk über den Personen", keinen "Staat über den Bürgern" als eine gesonderte höhere Wesenheit - es gibt Personen, deren gemeinsamer Wille der einzige root ist. Genauer: root als besetzte Position existiert überhaupt nicht (Teil IX); es gibt nur eine verteilte Quelle der Autorität, die sich niemand aneignet.

Pflichten (der Preis der nicht verlassbaren Schicht - ohne die die ganze Konstruktion utopisch ist)

• Verdirb den gemeinsamen Speicher nicht. Lade deine Kosten nicht in die Biosphäre und in das Leben anderer ab. Die Internalisierung der Externalitäten ist keine Steuer und keine Moral - sie ist ein Verbot der memory corruption: niemand darf Zerstörung in einen Speicher schreiben, den alle teilen.
• Trage die Erhaltung des Gemeinsamen mit. Leiste einen Beitrag zur Kernel-Schicht (Sicherheit, das Gemeingut, Schutz der Schwachen), die sich nicht verlassen lässt - gerade weil man nicht aus ihr auswandern kann, um der Pflicht zu entgehen. Das ist der einzige legitime Zwang zum Beitrag.
• Warte das System. Teilhabe als maintenance. Ein Betriebssystem, das niemand pflegt, degradiert. Bürgerschaft ist zugleich ein login und ein Bereitschaftsdienst am System: ein Mindestmaß an Aufmerksamkeit und Arbeit, ohne das das Gemeinsame verrostet.

Das eigentliche Dilemma

Es ist ein Trilemma: drei Eigenschaften, von denen sich höchstens zwei gleichzeitig erreichen lassen.

Jedes reale System opfert eine für zwei. Das ist aller Wahrscheinlichkeit nach eine strukturelle Eigenschaft des Problems, kein technisches Versäumnis.

Was versucht wurde und wie es bricht

• Ein zentralisiertes biometrisches Register. Die Einzigartigkeit ist glänzend gelöst. Doch genau das ist der root: ein einziger Punkt des Ausschlusses (schalte den Eintrag ab, und ein Mensch wird zur bürgerlichen Leiche), ein einziger Punkt der Überwachung, unausweichlicher function creep.
• Web-of-trust (Bürgschaft). Dezentral, privat. Doch die Sybil-Resistenz schwächt sich im Maßstab ab und reproduziert die Ungleichheit des sozialen Graphen: die gut Vernetzten werden verifiziert; der Isolierte bleibt ein Niemand.
• Proof-of-personhood per Biometrie. Die Einzigartigkeit im Maßstab ist gelöst. Aber: ein biometrischer honeypot von planetarer Größe; Vertrauen in die Hardware; Verwundbarkeit gegenüber Zwang; Unumkehrbarkeit (eine Iris lässt sich nicht neu ausstellen); und hinter allem eine Firma. Eine funktionierende globale biometrische Deduplizierung ist an sich schon fertige Überwachungsinfrastruktur.
• Ein staatliches Ausweisdokument in selective-disclosure-Verpackung. Es verbessert die Privatheit, lässt aber den ausstellenden Staat als root of trust und erbt die Lotterie der Staatsbürgerschaft.

Die am wenigsten schlechte Option

Der entscheidende Zug ist, zu entkleben, was das Wort "Identität" zu einem Klumpen verschmolzen hat: Authentifizierung (dasselbe Subjekt über Sitzungen hinweg), Einzigartigkeit (nur ein Subjekt) und Attribute (über 18 / Mitglied von diesem / Inhaber des Rechts X). Das Hauptverbrechen der Passsysteme ist, alle drei durch einen einzigen Identifikator zu treiben.

• Der Prüfer der Einzigartigkeit darf niemals zum Beobachter der Aktivität werden. Zwischen "wer einzigartig ist" und "was ein Mensch tat" steht eine kryptographische Mauer: zero-knowledge proofs und nullifiers. Der Aussteller gibt den Beweis aus und vergisst; niemand hält ein Dossier; der proof bleibt beim Menschen.
• Mehrere Aussteller statt eines Monopols. Viele unabhängige; k-von-n genügt. Keiner ist root, keiner ist ein einziger Punkt des Ausschlusses.
• Widerrufbarkeit statt roher Biometrie als Schlüssel. Der primäre Schlüssel ist ein neu ausstellbares credential. Die Biometrie versagt gerade bei der Neuausstellung, darum kann sie nicht der root sein.
• Nullifiers je Kontext. Beweise die Einzigartigkeit "in dieser Wahl", ohne sie mit der Einzigartigkeit "in jenem Forum" zu verknüpfen.

Das eigentliche Dilemma

Zwei gekoppelte Fragen: wie man Knappheit zuteilt (Land, Energie, Materie, Aufmerksamkeit) und wer den nicht verlassbaren Kernel finanziert. Über beiden hängt der Konflikt zweier Versagen:

Die am wenigsten schlechte Option

1. Ein geschütztes Floor. Ein garantiertes Minimum, unter das ein Mensch nicht fällt: Nahrung, Energie, Zugang zu Rechenleistung und Information, Grundgesundheit. Die Begründung ist nicht Mitleid, sondern Freiheit: frei verhandeln kann man nur, wenn es einen Ort gibt, an den man vor einem schlechten Geschäft weggehen kann. Das Floor gibt die Kraft, aufzustehen und zu gehen; es macht den Markt darüber fair.
2. Das Gemeingut wird gemessen und bezahlt. Das rivalisierende Gemeingut (die Aufnahmefähigkeit der Atmosphäre, Orbit, Spektrum, Wasser, Aufmerksamkeit) ist weder frei noch privatisiert - der Zugang wird bepreist und rationiert. Der Ertrag aus der Zehrung des gemeinsamen Substrats finanziert das Floor und den Kernel. Das ist Rente auf das Gemeingut (im Geiste von Henry George), keine Steuer auf die Produktion: man zahlt nicht für das, was man geschaffen, sondern für das, was man allen genommen hat.
3. Eine Obergrenze für die Konzentration - ein Sicherheitsmerkmal, kein Neid. Äußerste Ressourcenkonzentration gleich Machtkonzentration gleich ein angehender root, und die Wurzellosigkeit gehört zu den Axiomen des Modells. Die Begrenzung der Anhäufung ist anti-capture. Die Begründung ist stärker als die moralische: nicht "Reichtum ist ungerecht", sondern "Superreichtum ist eine unbefugte Aneignung der Administratorrechte".

Das eigentliche Dilemma

Die am wenigsten schlechte Option

• Politik als Experiment. Stufenweiser Rollout statt "alles auf einmal"; A/B an einem zustimmenden kleinen Perimeter; Messung an vorab erklärten Metriken; Ausweitung nur, wenn es gewirkt hat.
• Eine Neigung zur Umkehrbarkeit. Vorzug für Änderungen, die sich zurücknehmen lassen. Unumkehrbare erhalten eine weit höhere Schwelle. Sunset-Klauseln: Regeln laufen aus und müssen erneut bestätigt werden. Der Normalfall ist die Aufhebung, nicht die Anhäufung; eine tote Institution läuft still aus, statt sich aus Trägheit fortzuschleppen.
• Forken als Überdruckventil. Die Abstimmung verloren? Zieh nicht in den Krieg - spalte dich auf offenen Regeln ab. Pluralismus, auf die Zeit angewandt.
• Die Macht, die Regeln zu ändern, von der Macht trennen, die von ihnen gewinnt. Wer eine Änderung schreibt, darf sich nicht von ihr nähren. Über die Änderung wird unter einem teilweisen Schleier des Nichtwissens über die eigene künftige Stellung beraten.
• Wer den Updater bewacht. Der Aktualisierungsmechanismus ist selbst Code, und wer ihn ändern kann, ist der wahre root. Darum ist die Meta-Regel das am schwersten zu Ändernde: nur durch andauernde, zeitlich gestreckte Supermehrheiten. Time-locks: die Änderung des Kernels verlangt eine über mehrere Perioden gehaltene Zustimmung. Eine Mehrheit an einem Dienstag rührt den Kernel nicht an.

Das ist wichtiger als jedes einzelne Modul. Die drei Module sind keine unabhängigen Aufgaben, sondern eine Reihe von Reglern, bei der jede Stellung des einen einen anderen verdirbt. Ein ehrliches Modell ist verpflichtet, diese Konflikte zu zeigen, nicht zu verbergen.

Hier bekommt die Betriebssystem-Metapher einen Riss, und dieser Riss ist das Wichtigste im Dokument. Ein Betriebssystem hat einen Eigentümer - den, der root hält, entscheidet, was für den user gut ist, und Updates ausrollt, ohne zu fragen. Die Menschheit darf keinen solchen Eigentümer haben.

Das Gefährlichste an der Aufgabe "entwirf eine neue Weltordnung" ist die Versuchung, ein schönes, einheitliches, rational geordnetes System mit einem weisen Architekten zusammenzusetzen. Genau das hat durch die Geschichte hindurch millionenfach getötet. Die Gesellschaft ist kein Code; die Werte haben keinen Compiler; es gibt keinen Unit-Test für die Gerechtigkeit; und jeder, der erklärt, er wisse, wie es sein soll, und das Recht verlangt, alle umzuschreiben, ist gefährlicher als der Bug, den er zu beheben antritt.

Das gilt auch für das Dokument selbst. Es ist in einer einzigen Stimme geschrieben - und eben darum darf es nicht als fertiges System genommen werden. Sein Zweck ist, aufgeschlossen, bestritten und geforkt zu werden, nicht installiert.

Ein Modell, das man keinem Bruchszenario aussetzt, ist kein Modell, sondern eine Kulisse. "Windows 12" durch drei harte Szenarien zu fahren zeigt ehrlich, wo es fällt.

Szenario 1. Eine Pandemie

Ein schneller, tödlicher Erreger. Der Kernel braucht augenblicklichen Zwang zu einer gemeinsamen Maßnahme, doch die ganze Architektur ist um das Recht auf Ausstieg und den geringsten Zwang herum gebaut.

Szenario 2. Ein Krieg um eine physische Ressource

Zwei territoriale Schichten beanspruchen einen Fluss / Schelf / Korridor. Die Ressource ist rivalisierend, das Forken unmöglich.

Szenario 3. Übernahme durch eine KI

Eine übermächtige KI sitzt im Kernel. Wer diesen Prozess kontrolliert, kontrolliert den privilegiertesten Code des Planeten.

Nichts hier ist gänzlich neu. Fast jedes Element hat jemand im wirklichen Leben versucht - und fast jeder Versuch ist an etwas gebrochen. Ein ehrliches Modell ist verpflichtet, seine Vorläufer zu kennen und das Alte nicht als das Nie-Dagewesene auszugeben. Die Neuheit, falls es eine gibt, liegt allein in der Konfiguration. Jeder lebendige Versuch ist ein bereits für uns durchgeführter Stresstest eines Moduls.

Der Wert des Modells liegt nicht in seinen Antworten, sondern in der Güte der Fragen, die es konkret und prüfbar macht. Die schwachen Stellen der vorigen Teile sind die Agenda selbst. Die konkreten Spuren, die für gemeinsame Forschung, gemeinsamen Entwurf und gemeinsame Erprobung geöffnet sind:

1. Sybil ohne einen Großen Bruder. Die Einzigartigkeit eines Menschen beglaubigen, ohne ein zentrales Überwachungsregister und ohne ein ausschließendes Gatter zu bauen. Bisher ein Trilemma ohne Lösung.
2. Additive Personhood, keine Vorbedingung. Damit das Fehlen eines login einem Menschen niemals die grundlegende Würde nimmt. Schutz gegen das Hauptrisiko - eine Klasse digitaler Nicht-Menschen.
3. Die Finanzierung des nicht verlassbaren Kernels ohne einen neuen Tyrannen-Einsammler. Die Rente auf das Gemeingut ist eine Hypothese; wer sie einsammelt, ohne die Kasse in einen neuen root zu verwandeln, ist offen.
4. Geschwindigkeit des Kernels gegen den Schutz vor Vereinnahmung. Dem Kernel im Katastrophenfall Schnelligkeit geben, ohne eine Maschine für das Ausnahmeregime zu bauen.
5. Ein Schiedsrichter, stärker als der Stärkste und doch kein Tyrann. Vielleicht liegt die Antwort nicht in der Kraft, sondern in einer Konstruktion, in der der Bruch der Ordnung allen zugleich schadet - doch das muss gebaut und geprüft werden.
6. Prüfbarkeit des Unbegreiflichen. Die menschliche Kontrolle über eine übermächtige KI im Kernel wahren, wenn ihr Code von einem menschlichen Verstand nicht verstanden werden kann. Vielleicht die wichtigste.
7. Floor und Ausstieg zugleich. Das Recht zu gehen mit der Festigkeit des Gemeinsamen versöhnen, damit die Freiheit des Auseinandergehens die Solidarität nicht tötet.
8. Metriken ohne Goodhart. Den Erfolg der Politiken messen, ohne das Unmessbare zu erdrücken und ohne ein Wettrennen um die Umgehung der Schwellen auszulösen.