Zero-Knowledge Proofs jenseits von Krypto: Wie ZK-Technologie in den Enterprise Privacy vordringt

Zero-Knowledge Proofs verbrachten ihr erstes Jahrzehnt als Blockchain-Kuriosität – die kryptografische Maschinerie hinter Zcashs geschützten Transaktionen und Ethereums ZK-Rollups. Diese Einordnung ist heute überholt. Enterprise-Deployments von ZK-Proofs in Identitätsverifikation, regulatorischer Compliance und organisationsübergreifendem Datenaustausch sind bei Unternehmen wie HSBC, ING und Siemens live in Production – und nutzen ZK-Infrastruktur, die nichts mit Kryptowährung zu tun hat.

Der Wandel wird durch ein spezifisches Problem getrieben, das Organisationen haben, wenn sie sensible Informationen teilen müssen: nachzuweisen, dass etwas wahr ist, ohne die zugrunde liegenden Daten preiszugeben. Genau dieses Problem sollten ZK-Proofs lösen, und es stellt sich heraus, dass es in Enterprise-Kontexten weitaus häufiger vorkommt als in Blockchain-Anwendungen.

Was Zero-Knowledge Proofs tatsächlich beweisen

Ein Zero-Knowledge Proof erlaubt es einem Prover, einen Verifier davon zu überzeugen, dass eine Aussage wahr ist, ohne dabei mehr Informationen als die Wahrheit dieser Aussage selbst preiszugeben. Das klassische Beispiel: beweisen, dass man ein Passwort kennt, ohne das Passwort zu senden. Die Enterprise-Übersetzung: nachweisen, dass das Einkommen eines Kunden eine Schwelle überschreitet, ohne die tatsächliche Einkommenszahl zu nennen; nachweisen, dass die CO2-Emissionen eines Lieferanten innerhalb eines regulatorischen Bandes liegen, ohne die vollständigen Emissionsdaten preiszugeben; nachweisen, dass ein Benutzer über 18 Jahre alt ist, ohne das Geburtsdatum preiszugeben.

Moderne ZK-Proof-Systeme – insbesondere zk-SNARKs (Succinct Non-interactive Arguments of Knowledge) und zk-STARKs (Scalable Transparent Arguments of Knowledge) – können beliebige Berechnungen beweisen, nicht nur einfache Aussagen. Ein ZK-Proof kann verifizieren, dass die Ausgabe eines Machine-Learning-Modells korrekt auf privaten Daten berechnet wurde, dass eine Finanztransaktion den Sanktionsprüfungsregeln entspricht oder dass ein Dokument von einer autorisierten Partei signiert wurde – alles ohne die Eingaben der Berechnung preiszugeben.

Identitätsverifikation ohne Datenaustausch

Der Identitätssektor hat die ausgereiftesten Enterprise-ZK-Deployments. Traditionelle Know Your Customer (KYC)-Prozesse erfordern, dass Organisationen rohe persönliche Daten sammeln, speichern und teilen – Pass-Scans, Stromrechnungen, Steuerunterlagen – was bei jeder Übergabe Datenhaftung und GDPR-Exposition schafft. ZK-basierte Identitätssysteme kehren das um: Der Benutzer weist einem vertrauenswürdigen Aussteller (einer Regierung, einer Bank, einem Arbeitgeber) Attribute über sich nach, erhält einen ZK-Credential und präsentiert dann Dritten gegenüber Proofs, die von diesem Credential abgeleitet sind, ohne dass der Dritte jemals die zugrunde liegenden Daten sieht.

Polygon ID, aufgebaut auf ZK-Technologie, die ursprünglich für Ethereum entwickelt wurde, wurde von mehreren europäischen Finanzinstituten genau für diesen Use Case übernommen. Die niederländische Bank ING pilotierte 2024 ein ZK-basiertes Altersverifikationssystem, das die GDPR-Datenspeicherungspflichten reduzierte, indem die Speicherung von Geburtsdaten überflüssig wurde – der Proof ersetzte die Daten. Idemia, eines der weltweit größten Identitätsdokumentenunternehmen, brachte 2025 eine ZK-Credential-Schicht für staatlich ausgestellte digitale IDs auf den Markt, die jetzt in drei EU-Mitgliedstaaten deployed ist.

Compliance-Proofs: Prüfung ohne Offenlegung

Regulierungs-Compliance erzeugt eine ständige Spannung: Regulierungsbehörden müssen überprüfen, ob Unternehmen Regeln einhalten, aber Unternehmen können nicht immer die zugrunde liegenden Daten teilen, ohne Wettbewerbspositionen zu schädigen oder die Vertraulichkeit von Kunden zu verletzen. ZK-Proofs bieten eine Lösung.

HSBC und ING arbeiteten 2023 an einem Proof-of-Concept für ZK-basierte Trade-Finance-Compliance und zeigten, dass eine Bank einer Regulierungsbehörde nachweisen konnte, dass eine Transaktion den Sanktionsprüfungen entspricht, ohne die Gegenparteidaten preiszugeben. Das Proof-System nutzte eine ZK-Circuit auf Basis von Groth16 (ein effizientes zk-SNARK-Schema), die die OFAC-Sanktionsliste als Merkle Tree codierte; der Proof verifiziert die Mitgliedschaft oder Nichtmitgliedschaft in der Liste, ohne die Transaktion offenzulegen.

Siemens deployte 2024 ein ZK-basiertes System für die Lieferketten-Emissionsberichterstattung unter der EU Corporate Sustainability Reporting Directive (CSRD). Lieferanten reichen ZK-Proofs ein, dass ihre Emissionsdaten innerhalb der gemeldeten Bereiche liegen, und erfüllen so die Berichtspflichten von Siemens, ohne dass die Lieferanten rohe Emissionszahlen preisgeben müssen, die Produktionsvolumina oder Herstellungsprozesse offenbaren könnten.

Die technische Reifelücke – und wie sie sich schließt

Vor drei Jahren waren ZK-Proofs für die meisten Enterprise-Deployments unpraktisch, weil die Proof-Generierung prohibitiv langsam war. Die Generierung eines Proofs für eine komplexe Berechnung konnte auf Standardhardware Minuten bis Stunden dauern. Das hat sich dramatisch geändert:

• Hardwarebeschleunigung: Ingonyama, Cysic und Ulvetanna haben anwendungsspezifische integrierte Schaltungen (ASICs) und FPGAs gebaut, die für die ZK-Proof-Generierung optimiert sind. Cysics ZK-Beschleunigerchip, der 2025 in Sampling geht, erreicht Proof-Generierungsgeschwindigkeiten, die für bestimmte Proof-Systeme 100–1000-mal schneller sind als allgemeine GPUs.
• Rekursive Proofs: Proof-Systeme wie Halo2 und Nova unterstützen rekursive Komposition, bei der ein Proof einen anderen Proof verifiziert. Dies ermöglicht Batching: Anstatt Tausende einzelner Proofs zu generieren und zu verifizieren, generiert man einen Proof, der die Gültigkeit aller bestätigt. Aztecs Honk-Proving-System nutzt dies, um Verifikationskosten für Batch-Operationen um 90%+ zu senken.
• Entwickler-Tooling: Circom und Noir (entwickelt von Aztec) sind Circuit-Programmiersprachen, die ZK-Mathematik in programmierbare Constraints abstrahieren. Ein Ingenieur, der nie Kryptografie studiert hat, kann ein Noir-Programm schreiben, das festlegt, was bewiesen werden soll, und der Compiler generiert die zugrunde liegende ZK-Circuit. Dies hat die Qualifikationshürde für Enterprise-ZK-Deployment drastisch gesenkt.

Datenaustausch und föderierte Analysen

Die vielleicht am wenigsten diskutierte, aber kommerziell bedeutendste Anwendung sind organisationsübergreifende Datenanalysen. Unternehmen möchten häufig Statistiken über Datensätze berechnen, die sie rechtlich oder wettbewerblich nicht teilen können. ZK-Proofs, kombiniert mit Multi-Party Computation (MPC), ermöglichen dies.

Google und Meta haben separat in datenschutzfreundliche Analyse-Infrastruktur mit ZK- und MPC-Techniken investiert. Ein Konsortium europäischer Banken – organisiert im Rahmen des Sandbox-Programms der Europäischen Bankenaufsichtsbehörde – führte 2025 einen Pilotversuch durch, bei dem fünf Banken gemeinsame Betrugserkennungsstatistiken über ihre Transaktionsdaten mit ZK-verifiziertem MPC berechneten, ohne dass eine Bank die rohen Transaktionsdaten einer anderen sah. Die Erkennungsrate für bankübergreifende Betrugsmuster verbesserte sich im Vergleich zu isolierten Modellen um 23%.

Was Enterprise ZK noch nicht löst

ZK-Proofs verifizieren Berechnungen, nicht die Datenherkunft. Sie können beweisen, dass eine Berechnung korrekt auf behaupteten Eingaben durchgeführt wurde, aber sie können nicht beweisen, dass die Eingaben selbst korrekt waren. Wenn ein Unternehmen falsche Emissionsdaten einreicht, um einen ZK-Proof der Compliance zu generieren, wird der Proof korrekt verifiziert – er beweist die Berechnung, nicht die Wahrheit der Eingaben. Dies ist das "Garbage-in, garbage-out"-Problem und erfordert ergänzende Mechanismen: Oracle-Netzwerke, IoT-Sensor-Attestierung oder geprüfte Eingabezertifizierung.

Proof-Generierungskosten bleiben ebenfalls nicht trivial. Selbst mit Hardwarebeschleunigung kostet die Generierung eines Proofs für eine komplexe Berechnung reale Zeit und Geld. Für hochfrequente, latenzarme Anwendungen sind ZK-Proofs ohne erhebliche Infrastrukturinvestitionen oft noch unpraktikabel.

Handlungsempfehlungen

• Wenn Ihre Organisation KYC oder Altersverifikation handhabt, evaluieren Sie ZK-Credential-Systeme (Polygon ID, Idemias digitale ID-Schicht) als Weg zur Reduzierung der GDPR-Datenspeicherhaftung – die Technologie ist in diesem Use Case production-ready.
• Für die Compliance-Berichterstattung unter CSRD oder ähnlichen Rahmenwerken wird die ZK-basierte Proof-Einreichung derzeit aktiv mit Regulierungsbehörden in der EU pilotiert – setzen Sie sich mit Ihrem Branchenverband in Verbindung, um die Zeitpläne zu verstehen.
• Engineering-Teams, die mit ZK experimentieren möchten, können mit Noir beginnen (Dokumentation unter noir-lang.org) – es erfordert keine Vorkenntnisse in Kryptografie und hat aktive Enterprise-Tooling-Unterstützung.
• Verwechseln Sie nicht die Integrität von ZK-Proofs mit der Genauigkeit der Eingabedaten – jedes Enterprise-Deployment benötigt eine verifizierte Datenaufnahmeschicht vor der ZK-Circuit, sonst sind die Proofs nur so vertrauenswürdig wie die Personen, die die Eingaben einreichen.
• Hardwarebeschleunigung verringert schnell den Proof-Generierungs-Engpass; wenn ein ZK-Use Case vor 18 Monaten aufgrund von Latenz unpraktisch war, lohnt es sich, ihn jetzt neu zu bewerten.