Web-Crypto-Zufall im Browser-Poker: Was er beweist und was nicht

Bei Poker im Browser stellt sich schnell eine einfache Frage: Woher kommt in einer Webseite ernstzunehmender Zufall? Die kurze Antwort lautet: Moderne Browser bieten die Web Crypto API, und crypto.getRandomValues() ist für kryptografisch starke Zufallswerte gedacht.

Das ist wichtig, aber es ist nicht die ganze Fairness-Geschichte. Ein sicherer Poker-Shuffle braucht vor der Hand schwer vorhersagbare Eingaben, eine klare Methode, wie daraus eine Kartenreihenfolge entsteht, und Nachweise, die Spieler später prüfen können.

Was Web Crypto einer Poker-App gibt

Die Browser-Schnittstelle Crypto bietet Zugriff auf grundlegende Kryptografie, darunter einen starken Zufallszahlengenerator. MDN beschreibt crypto.getRandomValues() als Methode, die typisierte Arrays mit kryptografisch starken Zufallswerten füllt: MDN getRandomValues.

Für Poker ist das relevant, weil gewöhnlicher Zufall nicht reicht. Eine Funktion für Animationen, Farben oder einfache Spiele ist keine Sicherheitsgrundlage. Ein Shuffle-Seed muss vor dem Festlegen des Decks für andere Spieler, den Server und bösartige Skripte schwer zu erraten sein.

Das passt direkt zu kryptografischer Entropie bei Poker-Shuffles. Entropie bedeutet frische Ungewissheit. Web Crypto ist im Browser ein praktischer Zugang zu solcher Ungewissheit.

Warum es besser ist als gewöhnlicher Zufall

Die Web-Cryptography-Spezifikation sagt, dass getRandomValues kryptografisch starke Zufallswerte erzeugt: W3C Web Cryptography. Einfach gesagt: Es ist für sicherheitsrelevante Nutzung gedacht, nicht nur dafür, dass ein Ergebnis gemischt aussieht.

Poker ist auch mit Spielchips sicherheitsrelevant. Wenn jemand den Seed erraten kann, kann er mögliche Deckreihenfolgen vielleicht stark eingrenzen. Wenn ein Server den Seed erst nach anderen Eingaben wählen kann, lässt sich der Shuffle möglicherweise lenken. Wenn niemand die Berechnung nachspielen kann, bleibt nur Vertrauen.

Darum ist wie zufällig ist ein Shuffle nicht nur Mathematik. Es gibt enorm viele Kartenreihenfolgen, aber Fairness hängt davon ab, wie eine davon ausgewählt wurde und ob jemand diese Auswahl beeinflussen konnte.

Was Zufall nicht beweist

Starke Zufallsbytes beweisen nicht, dass eine Seite sie ehrlich verwendet hat. Sie beweisen nicht, dass das Deck vor dem Setzen feststand. Sie beweisen nicht, dass niemand verdeckte Karten gesehen hat. Sie verhindern auch keine Kollusion, keinen Kontodiebstahl und keine Echtzeit-Hilfe.

NIST trennt in seinen Veröffentlichungen zu Random Bit Generation zwischen Entropiequellen, deterministischen Generatoren und Tests, weil sichere Zufallsausgabe mehrere Schichten braucht: NIST random bit generation publications. Ein Poker-System braucht darüber hinaus öffentliche Überprüfung.

Genau hier hilft einen Shuffle Schritt für Schritt prüfen. Ein überprüfbares System sollte genug Eingaben, Commitments und Endergebnisse offenlegen, damit eine Hand unabhängig nachgerechnet werden kann.

Eine bessere Checkliste für Browser-Poker

Man muss keinen Quellcode auditieren, um bessere Fragen zu stellen:

• Nutzt die Seite Web Crypto oder eine andere kryptografische Zufallsquelle statt gewöhnlichem Zufall?
• Erklärt sie, wie Zufallsbytes zur Deckreihenfolge werden?
• Legt sie sich auf geheime Eingaben fest, bevor diese offengelegt werden?
• Kann ein Spieler den Shuffle nach der Hand nachrechnen?
• Trennt sie Shuffle-Fairness klar von Kollusion und Kontosicherheit?

Fair Poker konzentriert sich auf überprüfbares Poker mit Spielchips. Die nützliche Aussage ist nicht: “Der Browser ist magisch.” Sie ist enger: Ein Browser kann starke Zufallseingaben liefern, und ein sorgfältiges Protokoll kann daraus einen Shuffle machen, den Spieler prüfen können.

Schlussgedanke

Web Crypto ist ein starker Baustein für Zufall im Browser-Poker. Es hilft bei der Frage, ob ein Seed erraten werden konnte. Es beantwortet aber nicht jede Fairness-Frage allein. Vertrauenswürdiges Online-Poker kombiniert starken Zufall, Commitments, nachspielbare Aufzeichnungen und ehrliche Grenzen.