> ## Documentation Index > Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt > Use this file to discover all available pages before exploring further. # Bridge > Wie Sicherheiten zwischen Intention und externen Chains bewegt werden – Einzahlungen, zweistufige Auszahlungen mit Einspruchsfrist und die Rollen, die den Vorgang stoppen können. Die Bridge ist die Stelle, an der das Netzwerk Assets berührt, die es nicht selbst erzeugt hat. Alles andere in dieser Architektur ist ein geschlossenes System, dessen Korrektheit jeder durch erneutes Ausführen der Blöcke prüfen kann. Eine Bridge kann das nicht sein, weil sie zur Hälfte auf einer anderen Chain liegt – mit eigenen Validatoren, eigener Finalität und eigenen Fehlermodi. Diese Asymmetrie bestimmt das Design. Einzahlungen und Auszahlungen sind keine symmetrischen Vorgänge, und Auszahlungen sind bewusst langsamer, als sie technisch sein müssten.

Rollen

Externe Chain
Intention
Bridge-Contracthält die Verwahrung · prüft Signaturen vor jeder Freigabeder Teil, von dem die Mittel wirklich abhängen
Validatorenbeobachten die externe Chain und signieren, was sie sehen
Finalizerein Relais, keine Instanz – er kann keine Auszahlung erzeugen, die niemand signiert hat
GovernorValidatorenset und Parameter – was sich nicht sicher automatisieren lässt
Eine Auszahlung wird erst ausführbar, wenn genug Validatorensignaturen aggregiert sind – dieselbe Vertrauensannahme wie beim Konsens, über eine Chain-Grenze hinweg.
Einzahlungs-Events
aggregierte Signaturen
Auszahlungs­transaktionen
**Validatoren** beobachten die externe Chain und signieren, was sie sehen. Eine Auszahlung wird erst ausführbar, wenn genügend Validatorensignaturen aggregiert wurden – dieselbe Vertrauensannahme wie beim Konsens, angewendet über eine Chain-Grenze hinweg. **Der Finalizer** reicht Transaktionen auf der externen Seite ein. Er ist ein Relais, keine Instanz: Er kann wählen, *wann* er einreicht, und er kann es unterlassen – aber er kann keine Auszahlung erzeugen, die die Validatoren nicht signiert haben. **Der Governor** führt administrative Operationen aus – Änderungen am Validatorenset, Parameteraktualisierungen. Seine Befugnisse sind genau die, die sich nicht sicher automatisieren lassen. **Der Bridge-Contract** hält die Verwahrung auf der externen Seite und prüft Signaturen, bevor er etwas freigibt. Er ist der Teil, von dem die Mittel eines Nutzers tatsächlich abhängen.

Einzahlungen

Eine Einzahlung ist die einfache Richtung. Mittel werden im externen Contract gesperrt, der ein Einzahlungs-Event auslöst; Validatoren beobachten es, und die Gutschrift wird zu einer protokolleigenen Transaktion auf Intention. Weil diese Gutschrift eine gewöhnliche Transaktion ist, erbt sie alles, was der [Kernel](/de/protocol/architecture/kernel) garantiert. Sie wird in kanonischer Reihenfolge ausgeführt, ihre Wirkung auf das Konto wird ihr zugerechnet, und sie erscheint in derselben Ausgabe wie jede andere Zustandsänderung. Eine Einzahlung, die die Margin einer liquidationsnahen Position wiederherstellt, ist für die [Clearingstelle](/de/protocol/architecture/clearinghouse) im selben Ausführungsschritt sichtbar – nicht erst bei einem späteren Abgleich. Gewartet wird auf die Finalität der externen Chain, nicht auf Intention. Eine Einzahlung wird gutgeschrieben, sobald die Bestätigungsanforderung der Quell-Chain erfüllt ist.

Auszahlungen

Eine Auszahlung ist die gefährliche Richtung, und sie läuft in zwei Phasen mit einer **Einspruchsfrist** dazwischen.
Antrag auf Intention
Von Validatoren signiert, im Contract registriertzahlt noch nichts aus
Einspruchsfristeine konfigurierte Frist muss ablaufen
FinalisiertMittel freigegeben
Annulliertstorniert, bevor etwas fließt
Warum sie wartetJeder katastrophale Bridge-Ausfall hat dieselbe Struktur: Ein Angreifer erlangt die Fähigkeit, eine Auszahlung zu autorisieren, und im selben Block sind die Mittel weg. Eine Einspruchsfrist verwandelt den sofortigen, unumkehrbaren Verlust in ein Zeitfenster, in dem Monitoring und Menschen handeln können. Der Preis: Auch legitime Auszahlungen warten.
abgelaufen
annulliert
Ein Antrag wird von Validatoren signiert und im externen Contract registriert. Er zahlt nichts aus. Zuerst muss eine konfigurierte Frist ablaufen, während der die Auszahlung **annulliert** werden kann – storniert, bevor Mittel bewegt werden. Das ist kein Performance-Versehen. Jeder katastrophale Bridge-Ausfall hat dieselbe Struktur: Ein Angreifer erlangt die Fähigkeit, eine Auszahlung zu autorisieren, und im selben Block sind die Mittel weg. Eine Einspruchsfrist verwandelt einen sofortigen, unumkehrbaren Verlust in ein Zeitfenster, in dem Menschen und Monitoring handeln können. Der Preis dafür ist, dass auch legitime Auszahlungen warten. Auszahlungen werden gebündelt – gruppenweise beantragt und finalisiert statt je eine Transaktion pro Auszahlung –, weshalb die Gebühren auf der externen Chain nicht linear mit der Zahl der Auszahlungen steigen. Fehler sind explizit. Eine Auszahlung, die nicht finalisiert werden kann, meldet einen Fehler mit Fehlercode, statt still nichts zu tun. So ist der Unterschied zwischen *hängengeblieben* und *abgelehnt* beobachtbar und muss nicht aus einer Abwesenheit erschlossen werden.

Den Vorgang stoppen

Für den Fall, dass etwas nicht stimmt, gibt es zwei Mechanismen. **Die Annullierung** storniert eine bestimmte Auszahlung innerhalb ihrer Einspruchsfrist. Sie ist die gezielte Reaktion. **Die Sperre** ist das grobe Mittel: Eine dafür vorgesehene Rolle kann die Bridge sperren, und wie viele solcher Parteien dafür handeln müssen, ist selbst ein Parameter. Das ist der Mechanismus für „etwas stimmt nicht, und wir wissen noch nicht was“ – er stoppt den Fluss, statt über einzelne Transaktionen zu entscheiden. Diese Kontrollen machen die Einspruchsfrist überhaupt erst nützlich, und sie sind zugleich echte Vertrauensannahmen. Eine Partei, die die Bridge sperren kann, kann legitime Auszahlungen stoppen. Das ist ein bewusster Tausch: Bridges fallen katastrophal und unumkehrbar aus, und die Fähigkeit, eine anzuhalten, ist mehr wert als die Zusicherung, dass sie nie pausiert. Siehe [Risikohinweise](/de/protocol/security/risks).

Änderungen am Validatorenset

Der externe Contract muss wissen, wer die Validatoren sind; Änderungen am Validatorenset müssen also über die Grenze hinweg weitergegeben werden. Sie werden vorgeschlagen und dann in einem separaten Schritt finalisiert, statt im Moment der Einreichung wirksam zu werden – dieselbe zweistufige Form wie bei Auszahlungen, und aus demselben Grund.

Wo das Risiko tatsächlich liegt

Das gehört klar gesagt, denn an Bridges verlieren Nutzer Geld: * **Auf Intention ist die Bridge nichts Besonderes.** Eine gutgeschriebene Einzahlung ist eine normale Transaktion mit normalen Garantien. * **Auf der externen Chain hängen Sie vom Contract und von der Signaturschwelle ab.** Das ist ein anderes Sicherheitsmodell als der Konsens, und es wird [separat auditiert](/de/protocol/security/audits) – die Bridge ist die Komponente, die extern geprüft wird. * **Dazwischen hängen Sie davon ab, dass die Validatoren korrekt beobachten** und dass der Finalizer einreicht. Keiner von beiden kann eine Auszahlung erfinden; beide können eine verzögern. Unterstützte Chains, Assets, Bestätigungsanforderungen und die Länge der Einspruchsfrist sind Betriebsparameter, die sich mit jedem Release ändern. Maßgeblich sind die Werte, die im Moment der Übertragung in den Ein- und Auszahlungsdialogen der Börse angezeigt werden – siehe [Deposit](/de/help/deposit) und [Withdraw](/de/help/withdraw).

Wie es weitergeht

Der Weg hinein aus Nutzersicht, mit den aktuellen Chains und Zeiten. Was eine Auszahlung kostet und warum Einzahlungen kostenlos sind. Was eine Einzahlung in dem Moment mit der Margin macht, in dem sie ankommt. Die Vertrauensannahmen der Bridge, als Risiken formuliert.