Den Zugriff zu beschränken ist eine abstrakte Idee; der Mechanismus, der ihn beschränkt, muss es nicht sein.

Der Federal Circuit hat entschieden, dass die Kontrolle des Zugriffs auf Ressourcen, die Verifizierung der Identität einer Person und das Filtern von Inhalten nach ihren Eigenschaften abstrakte Ideen sind und dass ein Patentanspruch, der eines dieser Ziele nennt und es von generischen Computerkomponenten ausführen lässt, nicht patentfähig ist. Dasselbe Gericht hat Patentansprüche auf ein verhaltensbasiertes Verfahren zur Erkennung von Schadcode bestätigt, ebenso auf das Speichern eines Verifizierungsdatensatzes in einem bestimmten Speicherbereich, weil er dort schwerer zu manipulieren ist. Gegenstand war in jedem Fall die Sicherheit; der Unterschied lag darin, ob der Patentanspruch nannte, wie der Schutz erreicht wird, oder nur, dass er erreicht wird.

Vertrauens-Scores und Risikobewertungen sind besonders angreifbar, denn ein Patentanspruch, der Signale sammelt, einen Score berechnet und ihn meldet, folgt dem Muster aus Sammeln, Analysieren und Anzeigen, das das Gericht wiederholt verworfen hat. Die Patentbeschreibung muss die Signale als technische darstellen – als das, was ein Gerät, eine Verbindung oder ein Speichersystem tatsächlich aufweist – und den Score mit etwas verknüpfen, das das System daraufhin anders macht: eine Sitzung verweigern, eine Datei unter Quarantäne stellen, ein Gerät neu provisionieren, einen Knoten isolieren. Sicherheit ist eine Eigenschaft der Maschine, und ihre Verbesserung kann eine Verbesserung des Computers selbst sein – aber nur, wenn der Patentanspruch bis zur Maschine reicht.

Sicherheitserfindungen bestehen meist aus Bausteinen, die für sich genommen alt sind: Hashing, Signaturen, Schlüsselaustausch, Challenge-Response, ein zweiter Faktor. Ein Prüfer, der jeden Baustein in einer anderen Entgegenhaltung findet, braucht kaum mehr als einen Grund, sie zu kombinieren, und „zur Verbesserung der Sicherheit“ wird als dieser Grund so routinemäßig angeführt, dass er das Hinzufügen jeder beliebigen Schutzmaßnahme zu jedem beliebigen System zu rechtfertigen scheinen kann. Neu ist die Anordnung – was woran gebunden ist, welche Partei welchen Schlüssel hält, in welcher Reihenfolge die Schritte ablaufen – und der Angriff, den diese Anordnung unterbindet.

Dieses Argument wirkt am stärksten, wenn es in der Patentbeschreibung steht, bevor es gebraucht wird. Eine Anmeldung, die den Angriff benennt, für den die frühere Anordnung offen war – ein erneut eingespielter Berechtigungsnachweis, eine geklonte Geräteidentität, ein Replikationsziel, dem man keinen Klartext anvertrauen kann –, und erklärt, warum die naheliegende Schutzmaßnahme ihn nicht verhindert, gibt der Erwiderung auf eine Zurückweisung wegen Naheliegens etwas in der Akte, worauf sie sich berufen kann. Eine Anmeldung, die nur die Anordnung beschreibt, überlässt die Begründung, warum sie funktioniert, dem Anwaltsvortrag, der kein Beweismittel ist, oder einer nachträglich zusammengestellten Erklärung – sei es vor dem Prüfer oder Jahre später vor dem Patent Trial and Appeal Board.