Rosabelle, glaube: Houdinis Zwei-Faktor-Authentifizierung für das Jenseits
Er baute ein Protokoll, um nach seinem Tod zu beweisen, dass er es wirklich ist. Hundert Jahre später sagt es noch immer Nein.
Die englische Originalfassung erschien an Halloween, dem 31. Oktober 2026, um 13:26 Uhr Ortszeit Detroit — genau hundert Jahre nach Houdinis Tod. Die zeitlichen Bezüge in diesem Artikel beziehen sich auf diesen Jahrestag.
An Halloween 1936 versammelte sich eine kleine Gesellschaft auf dem Dach des Knickerbocker Hotels in Hollywood, um auf einen Toten zu warten. Es gab Einladungen, es gab Musik, und es gab eine Live-Übertragung im Radio, natürlich. Der Tote war der berühmteste Unterhaltungskünstler seiner Zeit gewesen, und seine Witwe wusste, wie man einen Abend inszeniert.
Bess Houdini hatte zehn Jahre lang an jedem Todestag ihres Mannes eine Séance abgehalten. Zehn Jahre Kerzen, gefasste Hände und hoffnungsvolle Medien. An diesem Abend, nach langem und sehr öffentlichem Schweigen, sagte sie ins Mikrofon: „Houdini ist nicht gekommen. Meine letzte Hoffnung ist dahin.“ Dann löschte sie das Licht. Hinterher, so wird erzählt, fügte sie hinzu, zehn Jahre seien lang genug, um auf irgendeinen Mann zu warten.† Es ist die Art Satz, die ihr Mann sofort für seine Bühnenshow gestohlen hätte.
Am vergangenen Samstag, dem 31. Oktober, jährte sich Harry Houdinis Tod zum hundertsten Mal. Um 13:26 Uhr Ortszeit Detroit, seiner Todesminute, saßen in Marshall, Michigan, wieder Menschen im Kreis und warteten darauf, dass er etwas sagt.
Er hat nichts gesagt. Und ich möchte behaupten, dass genau das sein beeindruckendster Trick ist.
Die Frage nach den hundert Jahren
Irgendwo im Netz liest man, Houdini habe einmal gefragt, ob sich in hundert Jahren noch jemand an ihn erinnern werde.† Ich habe nach einer Quelle gesucht und keine gefunden. Der Satz ist zu perfekt, und das ist meistens das Problem mit Zitaten: Er hat genau die Form, die ihm ein Drehbuchautor im Nachtzug in den Mund legen würde, den Blick aus dem Fenster gerichtet.
Houdini-Zitate sind überhaupt ein Minenfeld. „Mein Verstand ist der Schlüssel, der mich befreit“† steht auf Tassen und T-Shirts, doch niemand scheint sagen zu können, wo er das geschrieben oder gesagt hat. Für einen Mann, der seine zweite Karriere der Entlarvung von Fälschungen widmete, ist es eine passende Ironie, dass die Hälfte seiner berühmten Sprüche seinen eigenen Test nicht bestehen würde.
Die Sorge hinter der Frage war allerdings echt. Geboren als Erik Weisz in Budapest, benannte er sich nach dem französischen Zauberkünstler Robert-Houdin und gab ein Vermögen aus, um die Geschichte seines Fachs zu sammeln. Auf Tourneen besuchte er die Gräber von Zauberern und bezahlte oft für ihre Pflege. Er sorgte dafür, dass die Toten seiner Zunft nicht vergessen wurden.
Sein eigenes Grab in Queens hatte weniger Glück. Vandalen zerschlugen 1975 seine steinerne Büste, ihr Ersatz wurde 1983 gestohlen. Selbst nach seinem Tod hatten die Dinge um Houdini die Angewohnheit, zu verschwinden.
Und die Frage selbst? Drei Tage nach Houdini starb Annie Oakley. Im November 1926 kannte beide jedes Kind. Fragen Sie heute jemanden, wer von den beiden sich aus einer verschlossenen, mit Wasser gefüllten Milchkanne befreit hat, und Sie wissen, wer das Jahrhundert gewonnen hat. Aber der Ruhm ist nicht das Interessante. Interessant ist, wie Houdini nach seinem Tod beweisen wollte, dass er es wirklich ist.
Der Mann, der wusste, wie der Trick geht
Als seine Mutter 1913 starb, wollte Houdini unbedingt glauben. Er saß bei Medien, bezahlte sie und hoffte. Was er fand, waren Tricks, und er erkannte sie, denn in den ersten Ehejahren war er mit Bess selbst mit einer Séance-Nummer aufgetreten. Nichts macht einen Menschen zu einem besseren Betrugsermittler, als früher selbst ziemlich gut im Betrügen gewesen zu sein.
1924 setzte der Scientific American 2.500 Dollar für jedes Medium aus, das seine Kommission von echten übersinnlichen Phänomenen überzeugen würde. Houdini saß in dieser Kommission. Die aussichtsreichste Kandidatin war eine Dame der Bostoner Gesellschaft, Mina Crandon, genannt „Margery“. Empfohlen hatte sie dem Magazin kein Geringerer als Sir Arthur Conan Doyle.
Houdini tat, was jeder gute Ingenieur mit einem System tut, das verdächtige Ergebnisse liefert: Er änderte die Versuchsbedingungen. Er baute einen Holzkasten, der das Medium bis zum Hals umschloss, nur Kopf und Hände schauten heraus. Die berühmte Geisterglocke, die sie nach Houdinis Überzeugung mit dem Fuß geläutet hatte, stand draußen. Unter diesen Bedingungen verloren die Geister schlagartig das Interesse. Margery bekam den Preis nicht.
Die Ironie ist kaum zu übertreffen. Doyle, der Erfinder des unerbittlich rationalsten Detektivs der Literatur, war überzeugt, dass Houdini selbst übernatürliche Kräfte besaß. Er berief sich auf einen Zeugen, der gespürt haben wollte, wie Houdini sich bei der Milchkannen-Entfesselung dematerialisierte. In einem Brief soll er Houdini gefragt haben, warum er um die Welt reise, um eine Demonstration des Okkulten zu suchen, „wenn Sie doch selbst ständig eine liefern“.† Sherlock Holmes hätte nach den Daten gefragt.
Houdini soll mit vierzehn verschiedenen Menschen ähnliche Abmachungen getroffen haben: Wer zuerst stirbt, meldet sich beim anderen, falls das möglich ist. Eine Antwort habe er nie erhalten.† Das waren persönliche Vereinbarungen, keine vierzehn kontrollierten Experimente. Die Frage nach einem Leben nach dem Tod konnten sie nicht entscheiden. Aber sie zeigen eine nützliche Denkgewohnheit: vorher festzulegen, was als Beleg gelten soll, statt hinterher jedes beliebige Ereignis passend zu deuten.
Zwei Faktoren aus dem Jenseits
Also vereinbarten Houdini und Bess ein Protokoll. Wer zuerst stirbt, versucht zurückzukommen, und der andere akzeptiert nichts Geringeres als einen Beweis.
Der erste Faktor war ein gemeinsames Geheimnis. Es begann mit „Rosabelle“, dem Lied, das Bess gesungen hatte, als sie sich 1894 kennenlernten; der Titel war in ihren Ehering graviert. Dann folgten neun Wörter aus ihrer alten Gedankenlesenummer, in der harmloses Geplauder mit dem Publikum heimlich Zahlen transportierte: pray stand für 1, answer für 2, tell für 5, look für 9 und so weiter. Aus den Zahlen wurden Buchstaben, je nach ihrer Stelle im Alphabet. Heraus kam „Believe“: glaube.
Das Ganze passt in ein paar Zeilen Python:
# Der Bühnencode von Houdini und Bess: Jedes Wort steht für eine Ziffer.
CODE = {"pray": 1, "answer": 2, "say": 3, "now": 4, "tell": 5,
"please": 6, "speak": 7, "quickly": 8, "look": 9, "be quick": 0}
def decode(gruppe):
"""('pray', 'answer') -> 12 -> 'L'"""
zahl = int("".join(str(CODE[wort]) for wort in gruppe))
return chr(ord("A") + zahl - 1)
nachricht = [("answer",), ("tell",), ("pray", "answer"), ("look",),
("tell",), ("answer", "answer"), ("tell",)]
print("Rosabelle,", "".join(decode(g) for g in nachricht).lower())
# Rosabelle, believe
Der Bühnencode diente dazu, eine Nachricht zu verbergen. Der beabsichtigte Schutz lag darin, die mit Bess vereinbarte Botschaft zu kennen, nicht allein die Zuordnung von Wörtern zu Zahlen. Dieser Unterschied ist wichtig: Wer ein Codierverfahren kennt, kennt deshalb noch nicht das Geheimnis, das damit ausgedrückt wird.
Die Vereinbarung verlangte außerdem eine körperliche Demonstration. Houdinis Geist sollte ein Paar verschlossene Handschellen öffnen. Die richtigen Wörter aufzusagen hätte diese zusätzliche Forderung also noch nicht erfüllt. Auch eine solche Demonstration hätte sorgfältig kontrolliert werden müssen — Houdini hatte schließlich jahrelang gezeigt, wie leicht sich ein Publikum täuschen lässt. Aber sie verlangte eine andere Art von Nachweis.
Das erinnert an moderne Zwei-Faktor-Authentifizierung, ohne bereits dasselbe Verfahren zu sein. Heutige Faktoren beruhen üblicherweise auf etwas, das man weiß, besitzt oder als körperliches Merkmal mitbringt. Houdinis Vereinbarung veranschaulicht den allgemeineren Gedanken dahinter: Wenn sich ein Nachweis kopieren oder belauschen lässt, sollte ein weiterer hinzukommen, der nicht auf dieselbe Weise versagt.
Das Leck
Am 31. Oktober 1926 starb Houdini in Zimmer 401 des Grace Hospital in Detroit an einer Bauchfellentzündung nach einem Blinddarmdurchbruch. Vielleicht haben Sie gehört, die Fausthiebe eines Studenten in Montreal hätten ihn getötet. Die ergeben die bessere Geschichte, der Blinddarm die bessere Diagnose. Seine letzten Worte waren, nach Auskunft seines Bruders, er sei es müde zu kämpfen.† Dann begann das Warten.
Get Dr Markus Bach’s stories in your inbox
Join Medium for free to get updates from this writer.
Dann machte ein Blick ins Bücherregal die Geschichte komplizierter. Auf Seite 105 von Harold Kellocks 1928 erschienener Biografie Houdini: His Life-Story stand die Wort-Zahl-Tabelle aus der Bühnennummer des Ehepaars. Die vollständige vereinbarte Nachricht „Rosabelle, believe“ stand dort nicht. Aus der Tabelle allein konnte ein Leser deshalb nicht ablesen, auf welche Botschaft Bess wartete.
Die vertraute Erklärung, Ford habe das Passwort einfach in einem Buch nachgeschlagen, ist damit zu glatt. Wie er an die Nachricht gelangte, bleibt umstritten; Bess distanzierte sich später von seinem Anspruch, mit Houdini gesprochen zu haben. Eine richtige Botschaft zeigt zunächst, dass jemand die Botschaft kennt. Sie erklärt für sich genommen noch nicht, woher dieses Wissen stammt. Die zusätzliche körperliche Demonstration blieb aus. Die Handschellen blieben zu.
Ein Jahrhundert später geben Authenticator-Apps der Idee eines gemeinsamen Geheimnisses eine mathematische Form. Beim Einrichten erzeugt ein Dienst einen geheimen Schlüssel und überträgt ihn auf Ihre Authenticator-App, meist über einen QR-Code. Anschließend berechnen App und Dienst unabhängig voneinander aus diesem Schlüssel und der aktuellen Uhrzeit einen kurzen Code. Zusammen mit einem Passwort liefert das einen zweiten Faktor, der auf dem Besitz des Authentifikators beruht:
import base64, hashlib, hmac, struct, time
def totp(geheimnis_b32, t=None, stellen=6, periode=30):
schluessel = base64.b32decode(geheimnis_b32 + "=" * (-len(geheimnis_b32) % 8))
zaehler = int((time.time() if t is None else t) // periode) # die Uhrzeit ist die einzige "Nachricht"
mac = hmac.new(schluessel, struct.pack(">Q", zaehler), hashlib.sha1).digest()
offset = mac[-1] & 0x0F # wählt 4 Bytes an wechselnder Stelle
zahl = struct.unpack(">I", mac[offset:offset + 4])[0] & 0x7FFFFFFF
return str(zahl % 10**stellen).zfill(stellen)
# Testwert aus RFC 6238: Geheimnis "12345678901234567890", t = 59 s
geheimnis = base64.b32encode(b"12345678901234567890").decode()
print(totp(geheimnis, t=59, stellen=8)) # 94287082Nach der Einrichtung muss der Schlüssel bei einer normalen Anmeldung nicht mehr übertragen werden. Unterwegs ist nur ein daraus berechneter Code. Üblicherweise entsteht alle dreißig Sekunden ein neuer. Ein Dienst kann allerdings auch benachbarte Zeitfenster akzeptieren, um Unterschiede zwischen den Uhren auszugleichen. Außerdem muss er einen bereits erfolgreich verwendeten Code innerhalb seiner Gültigkeit zurückweisen. Eine wechselnde Anzeige allein macht aus einem Code noch keinen Einmalcode.
Wie aussichtsreich das Raten ist, hängt von der Codelänge, den akzeptierten Zeitfenstern und der Zahl der erlaubten Versuche ab. Nehmen wir ein vereinfachtes Modell: sechs Stellen, drei akzeptierte Zeitfenster und fünf zufällige Rateversuche alle dreißig Sekunden — einen ganzen Tag lang, ohne zusätzliche Sperre. Dann beträgt die Wahrscheinlichkeit für mindestens einen Treffer ungefähr 4,2 Prozent: 1 - (1 - 3/10**6) ** (5 * 2880). Das ist ein starkes Argument für begrenzte Fehlversuche, aber keine Vorhersage für jeden realen Dienst.
Ein gemeinsames Geheimnis schafft allerdings auch eine gemeinsame Schwachstelle. Kopiert ein Angreifer den TOTP-Schlüssel, kann er dieselben Codes erzeugen wie Ihre Authenticator-App. Dreißig Sekunden zu warten hilft dann nicht: Sein nächster Code ändert sich zusammen mit Ihrem. Der kompromittierte Schlüssel muss ungültig gemacht und, wenn TOTP weiterverwendet werden soll, ersetzt werden. Eine Vereinbarung für das Jenseits hat hier ein etwas unhandliches Wartungsproblem. Mit einem Toten kann man keinen Schlüssel tauschen.
Semper idem
Es gibt einen zweiten Code, und er ist mein Lieblingsteil der Geschichte.
Im Dezember 1917 betrat Houdini die Redaktion von The Billboard in New York und schenkte seinem Freund William J. Hilliar einen Roget-Thesaurus. Darin hatte er mit Bleistift eine Nachricht notiert. So erzählte es Hilliar später: Houdini habe ihm zugeflüstert, das sei ihr gemeinsamer Code, er dürfe ihn keiner lebenden Seele verraten.
Für Hilliar hatte Houdini eine andere Botschaft vorgesehen als für Bess. Das erinnert an eine Regel, die auch für heutige Konten gilt: unterschiedliche Geheimnisse für unterschiedliche Gegenüber. Als Hilliar ihn einmal wegen seines Egos aufzog, soll Houdini geantwortet haben: „Das ist kein Egoismus, Hilliar, das ist Houdinismus.“†
Hilliar hielt Wort. 1933 schrieb er eine Artikelserie mit dem Titel „Versucht Harry Houdini, mit mir Kontakt aufzunehmen?“ und verriet den Code nie. Er starb 1936. Der Thesaurus blieb bei Billboard, wo er jahrzehntelang tat, was Thesauri eben tun: Man schlug darin Synonyme nach. Ein Geheimnis aus dem Jenseits, unauffällig in einem Büroregal.
An Halloween 2016, zum neunzigsten Todestag, öffnete ein Sammler das Buch schließlich öffentlich. Die Nachricht lautete: Semper idem. Immer dasselbe. Es war der Wahlspruch Elisabeths I., und er beschreibt etwas, das auch bei der Authentifizierung Bestand haben sollte: klare Maßstäbe dafür, was als Nachweis zählt. Die Zugangsdaten dürfen sich ändern. Manchmal müssen sie das sogar. Die Anforderungen an einen gültigen Nachweis sollten dagegen nicht sinken, nur weil der Absender überzeugend auftritt, das Publikum voller Hoffnung ist oder die Veranstaltung mit Kerzen und einer Radioübertragung aufwartet.
Wer die moderne Variante erkunden möchte, ohne auf eine Séance zu warten, findet dazu eine Begleit-App: Two-Factor Lab, auf Deutsch und Englisch. Blenden Sie das Demo-Handy direkt im Browser ein oder scannen Sie den QR-Code mit einem zweiten Gerät, um es dort zu öffnen. Beobachten Sie, wie das Demo-Handy den Code erzeugt, den der simulierte Dienst akzeptiert. Dann wechseln Sie die Seite: Raten Sie Codes, kopieren Sie einen geleakten Schlüssel oder verfolgen Sie einen Phishing-Angriff, der Eingaben sofort an die echte Anmeldeseite weiterreicht.
Das Labor vergleicht Einmalcodes außerdem mit Passkeys und zeigt, wie die Bindung der Authentifizierung an den richtigen Dienst einen solchen Angriff verhindert. Die Passkey-Darstellung ist eine erklärende Simulation, keine echte WebAuthn-Implementierung. Eine Anmeldung ist nicht erforderlich; die Schlüssel gelten ausschließlich für die Demo. Houdini hätte vermutlich mit den Angriffen angefangen.
Erinnert man sich also nach hundert Jahren noch an ihn? Die Frage beantwortet sich selbst, wer auch immer sie zuerst gestellt hat. Mich beschäftigt mehr, welche Art Erinnerung es ist. Houdini verbrachte sein Leben damit, sich aus Schlössern zu befreien. Mit der Vereinbarung, die er hinterließ, stellte er anderen eine Aufgabe. Fords Botschaft machte Schlagzeilen. Ihre umstrittene Herkunft zeigt aber auch, warum die richtigen Wörter allein die Frage nicht entscheiden konnten. Die Handschellen blieben zu.
Am vergangenen Samstag, um 13:26 Uhr in Marshall, Michigan, hat jemand das Licht gelöscht. Die Menschen haben gewartet. Dann hat jemand das Licht wieder eingeschaltet, und niemand hatte ein Wort gesagt.
Semper idem. Rosabelle, glaube. Aber prüfe nach.
† Zugeschrieben, aber ich konnte keine verlässliche Quelle dafür finden. Aufgenommen, weil es zu gut ist, um es wegzulassen, und markiert, weil Houdini genau das verlangt hätte.
Englische Fassung: https://medium.com/@dr.markus.bach/rosabelle-believe-houdinis-two-factor-authentication-for-the-afterlife-146a28e95427
Quellen und weiterführende Literatur
- Dimunation, Mark: „Hollywood, Houdini and the Halloween Seance of 1936“. Library of Congress, 30. Oktober 2020. Zur Séance von 1936, Bess Houdinis Schlussworten und der Vereinbarung über eine codierte Botschaft und verschlossene Handschellen. Artikel lesen
- Polidoro, Massimo: „The Day Houdini (Almost) Came Back from the Dead“. Skeptical Inquirer, Band 36, Heft 2, März/April 2012, S. 23–25. Zu Arthur Fords Behauptungen, Bess Houdinis Stellungnahmen und der Kontroverse um die Nachricht. PDF lesen
- Kellock, Harold: Houdini: His Life-Story. From the Recollections and Documents of Beatrice Houdini. Harcourt, Brace and Company, 1928, S. 105. Primärquelle für die veröffentlichte Wort-Zahl-Tabelle. Die verlinkten Scans werden von Thomas Razzeto bereitgestellt. Buchseiten 104–105 ansehen · Weitere Scans und begleitender Kommentar
- „Overdue“. Futility Closet, 28. November 2017. Kurze Darstellung des Bühnencodes und der Nachricht Fords, gestützt auf Craig Bauers Unsolved! (2017). Die Interpretation des Buchfunds sollte mit der oben verlinkten Originalseite abgeglichen werden. Artikel lesen
- Cox, John: „William Hilliar and the lost Houdini message code“ und „The Houdini-Hilliar Code Is Revealed!“. Wild About Harry, 29. und 31. Oktober 2016. Zur Geschichte der Vereinbarung mit Hilliar und zur Veröffentlichung von „Semper idem“. Hintergrund lesen · Veröffentlichung des Codes
- Cox, John: „The true story of Houdini & Doyle“. Wild About Harry, 29. April 2016. Zur Freundschaft und zu den Meinungsverschiedenheiten zwischen Houdini und Arthur Conan Doyle. Artikel lesen
- „Mina Crandon“. Wikipedia. Überblick zum Medium „Margery“, zur Untersuchung durch Scientific American und zu Houdinis Beteiligung; mit Literaturhinweisen zur weiteren Recherche. Eintrag lesen
- „Harry Houdini died in Detroit 100 years ago“. Axios Detroit, 28. Oktober 2026. Zeitgenössische Berichterstattung zum hundertsten Todestag und zu den Gedenkveranstaltungen. Artikel lesen
- M’Raihi, D.; Machani, S.; Pei, M.; Rydell, J.: „TOTP: Time-Based One-Time Password Algorithm“. RFC 6238, Mai 2011. Beschreibung des Algorithmus, Umgang mit Zeitfenstern, Verhinderung einer erneuten Verwendung und Referenztestwerte zum Python-Beispiel. RFC 6238 lesen
- National Institute of Standards and Technology: Digital Identity Guidelines: Authentication and Authenticator Management. NIST SP 800–63B-4, 2025. Zu Authentifizierungsfaktoren, Einmalcodes, begrenzten Anmeldeversuchen, dem Austausch von Authentifikatoren und Phishingresistenz. Richtlinie lesen
