Dieses Whitepaper stellt eine ganzheitliche Sicherheitsarchitektur vor, die einen herstellerunabhängigen Software Trust Layer direkt an der Datenquelle verankert. Durch die Erzeugung kryptographischer Vertrauensnachweise (Trust Labels bzw. komprimierter Datenprodukte) auf Sensorebene, die chronologische Verkettung von Zeitreihendaten sowie die wechselseitige Authentifizierung über ein dezentrales Knotennetzwerk gewährleistet TrustNXT, dass jeder erfasste Datenstrom mit einem fälschungssicheren, nachvollziehbaren Herkunftsnachweis versehen wird. Wir erläutern die Architektur dieser Vertrauensebene, ihr dezentrales Resilienzmodell und eine edge-native Implementierungsstrategie in C++ für Cluster-Systeme (Raspberry Pi 5, NXP i.MX 95, Nvidia Jetson Orin Nano, WSL2). Ergänzt wird die Architektur durch einechtzeitsynchronisierte Multi-Video-Suite zur forensischen Verifizierung.
Das digitale Informationsökosystem steht an einem kritischen Wendepunkt. Die Demokratisierung digitaler Werkzeuge zur Datenmanipulation sowie die strukturellen Schwachstellen konventioneller Speichermedien führen dazu, dass die Authentizität visueller Daten und Sensorwerte nicht mehr als gegeben vorausgesetzt werden kann.
Vor der Etablierung digitaler Speichermedien wurden Sensordaten analog aufgezeichnet und auf physikalischen Trägern wie belichtetem Film fixiert, wodurch nachträgliche Eingriffe stets physische Spuren hinterließen. Heutige digitale Speichermedien lassen sich hingegen löschen, überschreiben oder manipulieren, ohne dass verbleibende physische Spuren auf eine Verfälschung hindeuten. Die Möglichkeit, synthetische, aber täuschend echte visuelle Beweismittel zu erzeugen, birgt unmittelbare Risiken für Branchen, die auf unverfälschbare Nachweise angewiesen sind – darunter die Strafverfolgung, die Versicherungsbranche und der Journalismus.
Diese Bedrohung durch generative Medien wird durch eine verhängnisvolle Schwachstelle unmittelbar am Erfassungsort (Point of Capture) verstärkt: Fehlt eine Aufzeichnung ganz oder teilweise, lässt sich nicht zweifelsfrei belegen, dass sie jemals existiert hat. So könnten Angreifer versuchen, gezielt einzelne Aufnahmen aus der Zeitreihe einer Überwachungskamera zu entfernen, die einen Täter identifizieren würden. Sicherheitskonzepte, die Daten erst nach dem Schreiben auf ein zentrales Speichersystem sichern, greifen hier zu spät: Sie bieten keinen Schutz gegen das Abfangen von Daten, selektive Löschungen oder Angriffe durch Dateneinspeisung (Injection Attacks) auf Hardwareebene, die unmittelbar nach dem Sensor ansetzen.
Zur Etablierung des Manipulationsschutzes wurden verschiedene Gegenmaßnahmen entwickelt. Eine systematische Analyse zeigt jedoch, dass alle bisherigen Ansätze unter Einschränkungen leiden, die ihren Einsatz in sicherheitskritischen Beweisszenarien ausschließen.
Verfahren, die auf statistischer Mustererkennung oder digitalen Wasserzeichen basieren, arbeiten prinzipbedingt erst im Nachhinein (post-hoc). Sie verhindern nicht die ursprüngliche Verfälschung der Datensätze. Zudem lassen sich solche Methoden von versierten Angreifern oft umgehen oder werden durch Standardoperationen wie eine Datenkompression unbrauchbar gemacht.
Spezifikationen wie der C2PA-Standard bieten zwar hervorragende Frameworks für Provenienz-Metadaten, den gängigen Softwareimplementierungen fehlt jedoch die hardwareverankerte Kopplung an den physischen Sensor. Zudem erzeugt die Abhängigkeit von einer zentralen Instanz oder einem einzelnen Backend-Server einen kritischen Schwachpunkt (Single Point of Failure). Erlangen Angreifer physischen oder digitalen Zugriff auf die Kamera oder den zentralen Server, bricht die gesamte Vertrauenskette (Chain of Trust) zusammen.
Um diesen fundamentalen Sicherheitslücken zu begegnen, etabliert das TrustNXT-Framework eine dezentrale, hardwareverankerte Vertrauenskette direkt an der Netzwerkperipherie (Edge). Das Herzstück der Architektur bildet ein Authentifizierungsmodul, das sich aus einer Datenschnittstelle, einer Authentifizierungsschnittstelle und einer dedizierten Authentifizierungslogik zusammensetzt.
Kernfunktion des TrustNXT-Moduls ist es, eingehende Datensätze über die Datenschnittstelle zu erfassen und unverzüglich in ein oder mehrere „komprimierte Produkte“ zu überführen. Im TrustNXT-Framework wird dieses komprimierte Produkt als deterministisches Trust Label formalisiert. Ein Trust Label ist eine verdichtete, unveränderliche Zusammenfassung des Datensatzes (etwa ein kryptographischer Hashwert), die sich bereits bei der geringsten Modifikation an beliebiger Stelle der Nutzdaten (Payload) verändert.
TrustNXT beschränkt sich nicht auf die Absicherung einzelner Frames, sondern erzwingt die zeitliche Kontinuität des gesamten Datenstroms. Dazu bettet die Authentifizierungslogik eine Referenz auf mindestens einen vorausgehenden Datensatz der Zeitreihe – oder das komprimierte Produkt dieses Datenpunkts Hf-1 – direkt in die aktuelle Authentifizierungs-Nutzlast ein. Dies bindet jeden Frame f rekursiv an seinen Vorgänger f-1 und bildet eine fälschungssichere chronologische Kette. Versucht ein Angreifer nachträglich Sequenzen zu verfälschen (beispielsweise um einzelne Frames aus einer Überwachungsaufzeichnung zu entfernen oder synthetische Bildelemente einzuschleusen), führt die kryptographische Diskrepanz zum sofortigen Abbruch der Zustandsbewertung und legt die Stelle der Manipulation offen.
Das entscheidende Alleinstellungsmerkmal der TrustNXT-Architektur ist die dezentrale Verteilung von Vertrauen, die eine Abhängigkeit von zentralen Servern vollständig aufhebt.
Die Authentifizierungslogik von TrustNXT ist gezielt darauf ausgelegt, Authentifizierungsdaten externer Module zu empfangen und zu verarbeiten. In einer typischen Systemarchitektur sind die Knoten als geschlossenes, bidirektionales P2P=2-Ringnetzwerk organisiert, bei dem jeder Knoten aktive, latenzarme UDP/SRT-Verbindungen zu seinen direkten Nachbarknoten hält. Ein Modul signiert somit nicht nur die eigenen Sensordaten, sondern empfängt und speichert fortlaufend die 32-Byte-Hashes angrenzender Sensoren. Diese externen Nachbarnachweise HLeft und HRight werden kontinuierlich in die Berechnung der eigenen, neu erzeugten Trust Labels des Moduls eingebunden.
Diese gegenseitige Signierung im Peer-to-Peer-Netzwerk schafft eine extrem widerstandsfähige Netzwerktopologie. Sollte ein Angreifer eine Kamera physisch zerstören, um Beweismittel zu vernichten, bleiben die Validierungsnachweise dieser Kamera in den Speichern der umliegenden Netzwerkknoten gesichert.
Um einen Datensatz unbemerkt zu fälschen oder zu unterdrücken, müsste ein Angreifer zeitgleich die Hardware und die geheimen Schlüssel sämtlicher gekoppelter Kameras im gesamten Netzwerk kompromittieren – was eine unbemerkte Manipulation in der Praxis ausschließt.
Wird beispielsweise die Nutzlast eines einzelnen Bildes auf Knoten A bei Frame f manipuliert, schlägt die Prüfinstanz (Audit Engine) für Knoten A sofort Alarm. Der Status „chain_broken“ kaskadiert unverzüglich auf Knoten B durch, wodurch der kompromittierte Knoten im gesamten Netzwerk isoliert wird.
Der Trust Layer ist für den praxisnahen Einsatz in unterschiedlichsten Hardwareumgebungen konzipiert – von leistungsstarken Überwachungsinfrastrukturen bis hin zu ressourcenbeschränkten IoT-Sensoren.
Die Architektur zeichnet sich durch hohe Effizienz aus, da die Rechenlast direkt an die Netzwerkperipherie (Edge) verlagert wird. In aktuellen Referenzarchitekturen ist die Software-Logik in hochoptimiertem C++ umgesetzt und läuft direkt auf Edge-Systemen (wie dem Raspberry Pi 5, NXP i.MX 95 oder Nvidia Jetson Orin Nano).
Um asymmetrische Kryptographie mit mehr als 30 Bildern pro Sekunde auf Edge-Hardware ohne Bildverluste (Frame Drops) auszuführen, nutzt TrustNXT ein hybrides Signaturverfahren:
Durch die direkte Anbindung an die lokalen Netzwerkschnittstellen und die Nutzung von Hardwarebeschleunigern verarbeitet TrustNXT hochfrequente Sensordaten in Echtzeit. Zur Bandbreitensteuerung kann ein dynamischer Selektor konfiguriert werden, der gezielt Datenfraktionen an die Authentifizierungslogik weiterleitet, um Sicherheitsniveau und Rechenaufwand gegeneinander abzuwägen. Empirische Leistungsmessungen in einem Mesh-Netzwerk aus vier Knoten belegen eine durchschnittliche Übertragungsverzögerung der Hashwerte von ca. 23 ms über SRT via VPN-Tunnel (z. B. Tailscale).
Während das interne Mesh-Netzwerk auf proprietäre, hocheffiziente Hashprodukte und knotenübergreifende Validierungen setzt, entspricht das finale Exportdokument globalen Standards. Indem die Telemetriedaten der Trust Labels (etwa Knoten-IDs, fortlaufende Frame-IDs, Mikrosekunden-Zeitstempel, Peer-Hashes und Kettenvalidierungen) als benutzerdefinierte Absicherungen (z. B. org.trustnxt.assertion) in ein C2PA-konformes Manifest eingebettet werden, fungiert TrustNXT als finale Vertrauensinstanz auf der „letzten Meile“. Das Ergebnis ist eine Standard-C2PA-Datei, die von gängigen Verifizierungswerkzeugen ausgelesen werden kann, deren Integrität jedoch durch ein fälschungssicheres, hardwareverankertes P2P-Sensornetzwerk sichergestellt wird.
Angesichts immer ausgereifterer Werkzeuge zur digitalen Manipulation muss die Vertrauensgrenze direkt an die physische Edge verschoben werden. TrustNXT vollzieht hierzu einen grundlegenden architektonischen Paradigmenwechsel: weg von reaktiven, softwarebasierten Herkunftsnachweisen hin zu einer proaktiven, hardwareverankerten Prävention.
Indem kryptographische Nachweise direkt beim Erfassungsvorgang erzeugt, Zeitreihendaten chronologisch verkettet und diese Beweise über ein dezentrales P2P-Mesh-Netzwerk miteinander verflochten werden, sichert TrustNXT Daten ab, noch bevor Modifikationen greifen können. Das Framework garantiert, dass Existenz, Inhalt und zeitlicher Verlauf eines Ereignisses ab dem Moment der Aufzeichnung zu einer kryptographischen Gewissheit werden.
[1] Skwarek, V., Hebbel, M., & Adank, S. (2025). Authentication Module for Sensor Data. U.S. Patent No. 12,470,667 B2. United States Patent and Trademark Office. Anmelder/Inhaber: TrustNXT GMBH.
