Cicada 3301: Das schwerste Rätsel des Internets verriet nie seinen Urheber
In einer Winternacht Anfang 2012 begannen an Laternenpfählen und Ladenwänden in vierzehn Städten auf vier Kontinenten gedruckte Plakate aufzutauchen. Jedes Blatt trug nur zwei Dinge: eine schroffe schwarze Zikade und einen QR-Code. Warschau erwachte zu einem. Ebenso Paris, Seoul, Sydney und eine Handvoll amerikanischer Orte. Keine Werbeagentur hatte sie in Auftrag gegeben. Kein Künstler hatte für sie unterschrieben. Und doch waren sie da, geklebt innerhalb derselben wenigen Tage, Tausende Kilometer voneinander entfernt, als hätte ein einziger Verstand zugleich in ein Dutzend Länder gegriffen. Sie waren der erste harte, physische Beweis, dass ein Spiel, das nur Wochen zuvor als einzelnes Bild auf einem anonymen Forum begonnen hatte, nun Hände in der wirklichen Welt besaß und in stiller Abstimmung über den Planeten hinweg vorging.
Das Bild war am 4. Januar 2012 auf 4chan erschienen und war fast aggressiv schlicht: Weiße Buchstaben auf schwarzem Grund verkündeten, die Urheber suchten "hochintelligente Individuen", sie hätten "eine Prüfung entworfen", und im Bild selbst verberge sich eine Botschaft. Das Ganze war mit nichts als einer Zahl unterschrieben: 3301. Die meisten scrollten weiter. Einige nicht. Unter ihnen war ein schwedischer IT-Sicherheitsforscher namens Joel Eriksson, der die Datei öffnete, sie durch Steganographie-Werkzeuge laufen ließ und feststellte, dass über einen verborgenen Text eine einfache Verschiebechiffre gelegt war. Entschlüsselt führte sie weiter, zum Bild einer Ente und einer spöttischen Zeile aus Worten. Zwei dieser Worte, "out" und "guess", waren der eigentliche Hinweis: Sie nannten ein zweites Steganographie-Programm, OutGuess, und das Entenbild dadurch laufen zu lassen, spuckte einen Buchcode und einen Link zu einer Reddit-Seite aus, gekrönt von einer Reihe Maya-Zahlzeichen.
Von dort vertiefte sich die Spur nur. Die Löser arbeiteten sich durch klassische Chiffren und Buchcodes, jagten einem Hinweis zu einer Telefonnummer nach, wählten sie und hörten eine Bandansage, folgten dieser zu einer Website mit Countdown und gelangten schließlich zu jenen vierzehn GPS-Koordinaten, über die Welt verstreut, deren jede ein echtes Plakat mit echtem QR-Code an einer echten Wand markierte. Dann tauchte die Jagd ins anonyme Tor-Netzwerk und endete nach etwa einem Monat. Eriksson erreichte nach eigener späterer Schilderung gegenüber der Presse eine letzte Seite, auf der im Kern stand: "Wir wollen die Besten, nicht die Anhänger" - nur um festzustellen, dass er sich zu spät registriert hatte. Die Urheber, so hieß es, sahen eine Handvoll Menschen zuerst ankommen und schlossen die Tür.
Ein anderer früher Löser, ein amerikanischer Teenager namens Marcus Wanner, damals erst fünfzehn und in einer losen Gruppe aktiv, die sich #decipher nannte, sagte, er sei einen Schritt weiter gekommen: Die Gewinner, so behauptete er, seien in ein privates Forum eingeladen und gebeten worden, an datenschutz- und überwachungsfeindlicher Software mitzuarbeiten. Dann erlosch auch dieses Forum. Kein Bericht der Teilnehmer über das Weitere wurde je unabhängig bestätigt.
Das Ritual wiederholte sich. Eine zweite Runde begann genau ein Jahr später, am 4. Januar 2013, eine dritte wurde am 4. Januar 2014 auf Twitter angekündigt. Jede verlangte eine seltsame und fordernde Breite des Wissens: Kryptographie und Steganographie, ja, aber auch eine Vertrautheit mit Kunst, Literatur und Mystik, die kein gewöhnlicher Personalwerber je prüfen würde. Die Hinweise stützten sich auf William Blakes "Die Vermählung von Himmel und Hölle", auf Aleister Crowleys okkultes "Buch des Gesetzes", auf die mittelalterlichen walisischen Erzählungen des Mabinogion und, in einer eleganten Volte, auf William Gibsons Gedicht "Agrippa (Ein Buch der Toten)" von 1992, ein Werk, berühmt dafür, auf einer Diskette verkauft worden zu sein, die programmiert war, sich nach einmaligem Lesen selbst zu verschlüsseln. Cicada benutzte dieses sich selbst löschende Gedicht als Schlüssel zu einer Buchchiffre. Und jede Botschaft, die die Gruppe sandte, war mit ihrem PGP-Schlüssel signiert, damit die Anhänger prüfen konnten, dass eine Mitteilung wirklich von 3301 stammte und nicht von einem der vielen Nachahmer, die bereits kreisten.
Die Runde von 2014 brachte das dauerhafteste Artefakt des Mysteriums hervor. Es heißt Liber Primus, lateinisch "Erstes Buch", ein Band von rund fünfundsiebzig Seiten, ganz mit Runen bedeckt. Um auch nur ein Wort zu lesen, mussten die Löser ein Ersetzungssystem rekonstruieren, das sie Gematria Primus nannten, ein Alphabet aus neunundzwanzig Runen, in dem jede Rune zugleich einen Laut und eine Zahl trägt. Im Arbeiten modulo neunundzwanzig, im Verketten von Primzahlen und im Durchlaufen des Textes durch verschlüsselte Verschiebungen hat die Gemeinschaft nur einen kleinen Bruchteil überzeugend entziffert, in der Größenordnung von siebzehn Seiten des ersten Abschnitts, während Dutzende weitere mehr als einem Jahrzehnt unablässiger kollektiver Anstrengung standhielten. Die Passagen, die nachgaben, sind dunkle kleine Predigten über Wissen, über Primzahlen, über die Gestalt des Selbst. Eine davon warnt den Leser im Kern, nichts in dem Buch zu glauben außer dem, was er in sich selbst als wahr weiß. Der Großteil von Liber Primus ist nie gelesen worden.
Der Name selbst wurde mit Bedacht gewählt. Echte Zikaden verbringen den Großteil ihres Lebens unter der Erde und treten in riesigen synchronen Bruten in Zyklen von dreizehn und siebzehn Jahren hervor, beide Primzahlen, eine evolutionäre Laune, von der Biologen glauben, sie helfe den Insekten, Fressfeinden zu entgehen, die auf kürzere Rhythmen geeicht sind. Primzahlen ziehen sich wie ein Rückgrat durch jede Stufe des Rätsels: Die Zahl 3301 ist selbst prim, die Chiffren beruhen auf primzahlabgeleiteten Schlüsselströmen, und die entzifferten Runen kehren immer wieder zu der Vorstellung zurück, Primzahlen seien auf irgendeine Weise heilig. Dies war keine zum Spaß zusammengeschusterte Schnitzeljagd. Sie wurde von jemandem, oder einer Gruppe, mit tiefem technischen Können, weiter Belesenheit und der Geduld ersonnen, eine Botschaft in einer Botschaft in einer Fotografie zu vergraben und darauf zu vertrauen, dass die richtige Art Verstand sie ausgräbt. Jeder Hinweis belohnt Genauigkeit und bestraft Nachlässigkeit, jede falsche Abzweigung ist eine Sackgasse und kein Wink, und das ganze Gebäude wird von kryptographischen Signaturen zusammengehalten.
Und gegraben wurde reichlich. Auf dem Höhepunkt bündelten Tausende Fremde ihre Mühen in Chaträumen und Foren, entzifferten in einem Dutzend Zeitzonen zugleich, und die große Presse folgte dicht dahinter; Rolling Stone, Fast Company und unzählige andere brachten Reportagen, die rangen, das Namenlose zu benennen. Das letzte Wort kam im April 2017: eine finale PGP-signierte Botschaft, geprüft gegen den bekannten Schlüssel der Gruppe, die vor falschen Pfaden warnte und anwies, nur Mitteilungen mit gültiger Signatur zu trauen. Seither treiben Nachahmungen und Schwindeleien durch das Internet, manche aufwendig, keine davon ordentlich signiert, und die Gemeinschaft, die einst nach Tausenden zählte, ist auf eine hartnäckige Handvoll geschrumpft, die noch immer an den ungelesenen Runen von Liber Primus mahlt.
Schlussfolgerungen und offene Fragen
Eben diese Aufmerksamkeit ist das Paradox im Zentrum des Falls. Ein Rätsel, gebaut, um wenige Seltene herauszufiltern, rief stattdessen eine Menge herbei, und die Menge zerstreute sich nie ganz, weil der Preis, was immer er war, nie offen überreicht wurde. Warum sollte jemand einen so barocken Rekrutierungstrichter bauen, physische Plakate auf vier Kontinenten drucken und die Mühe über Jahre aufrechterhalten, nur um dann nie einzulösen, nie einen Auftraggeber zu nennen, nie ein Produkt oder eine Gehaltsliste zu zeigen? War das Ziel, Kryptographen anzuwerben, so untergrub sich das öffentliche Schauspiel selbst, denn es zog Journalisten, Dokumentarteams und Tausende neugieriger Amateure an. Und warum das Beharren auf Kunst und Mystik, auf Blake und Crowley und einem Gedicht, das sich selbst zerstören soll, wenn eine Prüfung roher kryptographischer Fähigkeit nichts davon gebraucht hätte?
Die meistwiederholte Theorie besagt, ein Geheimdienst, die NSA, die CIA oder das britische GCHQ, habe still nach Talenten gesiebt. Ihre Stärke ist der Umfang und die Perfektion selbst: die globale Reichweite, die operative Disziplin, die kryptographische Tiefe deuten auf eine Organisation mit echten Mitteln im Rücken. Ihre Schwäche ist ebenso klar. Nachrichtendienste rekrutieren im Verborgenen, durch stille Annäherungen und geschlossene Kanäle, nicht durch virales Theater, das auf den Titelseiten landet, und keiner hat es je für sich beansprucht.
Eine konkurrierende Theorie, die mehrere der tatsächlichen Löser bevorzugen, verweist stattdessen auf ein privates Kollektiv aus Kryptographen und Datenschutzaktivisten, eine ideologisch getriebene Schar, die der kryptoanarchistischen Tradition näher steht als jeder Regierung. Wanners Bericht über die Bitte, überwachungsfeindliche Werkzeuge zu bauen, und das ganze Ensemble antiautoritärer Bezüge passen gut zu dieser Lesart. Doch sie tut sich schwer zu erklären, wer weltweit Plakate bezahlte und über Jahre vollkommen anonym blieb. Eine dritte Idee, eine Cyber-Söldnertruppe auf Personalsuche, zerschellt am selben Felsen wie der Rest: Weder eine solche Truppe noch ein Produkt tauchte je auf, weder vorher noch nachher.
Eine Theorie besagt, der Rekrutierungsrahmen sei nie wirklich der Kern gewesen, die Gewinner seien ein Vorwand und das Rätsel selbst das Ziel gewesen, ein Werk, ersonnen von jemandem, der sehen wollte, wozu die schärfsten Köpfe des Internets fähig sind, einmal von der Leine gelassen, ohne dass am Ende wirklich ein Arbeitgeber oder ein Lohn wartet. Die literarische DNA der Sache liest sich weniger wie ein Einstellungsmaßstab und mehr wie ein Manifest oder wie ein Stück Konzeptkunst mit einem globalen Publikum unfreiwilliger Mitarbeiter. Nichts in der Aktenlage stützt diese Lesart unmittelbar. Nichts schließt sie aus.
Was ungeklärt bleibt, ist das ganze Zentrum der Sache. Kein Bericht der Teilnehmer über das private Forum hinaus wurde je unabhängig bestätigt; die Menschen, die der Antwort am nächsten waren, sind genau jene ohne Beweis für das Gesehene. Cicada 3301 verlangte von Zehntausenden, alles über sich zu beweisen, ihre Geduld, ihre Intelligenz, ihre Ausdauer, und bewies im Gegenzug fast nichts über sich selbst. Das eine Rätsel, das sie niemanden je lösen ließ, das einzige, das wirklich zählt, ist die Identität des Fragestellers.