Seminar EBSI Produktlabor – Verifiable Credentials und Trusted Registries

Das Labor behandelt EBSI als europäische Vertrauens- und Registerinfrastruktur für grenzüberschreitende Verifiable Credentials. DID Registry, Akkreditierung, Trusted Issuer Registry, Issuing, Wallet, Verification und Governance werden zu einer vollständigen Teststrecke verbunden.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Laborumgebung
• Seminarinhalte
• Praxisaufgaben
• Laborartefakte
• Betrieb und Qualitätssicherung
• Praxisnutzen

Zielsetzung

Ziel ist ein reproduzierbarer EBSI-naher Credential-Pilot mit nachvollziehbarer Vertrauenskette. Neben der technischen Ausgabe und Prüfung werden Ausstellerzulassung, Registerzustände, Konformität, Statusänderung und grenzüberschreitende Betriebsverantwortung praktisch beherrscht.

Zielgruppe

Softwarearchitektur, Entwicklung, Plattformbetrieb, IAM, PKI, Informationssicherheit, technische Produktverantwortung sowie Projektleitungen für digitale Identitäten, Wallets und verifizierbare Nachweise. Zusätzlich geeignet für Verantwortliche von Vertrauensdiensten, Registern, Akkreditierung und grenzüberschreitenden Verwaltungsverfahren.

Voraussetzungen

Sichere Kenntnisse zu HTTP, REST, JSON, OAuth 2.0, OpenID Connect und Public-Key-Kryptografie. Grundverständnis von DIDs, Verifiable Credentials und containerisierten Anwendungen wird vorausgesetzt.

Laborumgebung

1. Isolierte Laborinstanz für EBSI mit getrennten Rollen für Aussteller, Wallet beziehungsweise Holder und Prüfstelle.
2. Arbeitsplatz mit aktuellem Browser, Kommandozeile, Git, Container-Laufzeit und Werkzeugen für HTTP-, JSON- und Token-Analyse.
3. Lokale Test-PKI beziehungsweise verwaltete Schlüsselablage, Testidentitäten sowie synthetische Credential-Daten ohne Produktivdaten.
4. Protokollierungs- und Testumgebung für erfolgreiche Abläufe, Fehlerszenarien, Wiederholungen und Audit-Nachweise.
5. Testzugänge für DID- und Trusted-Issuer-Funktionen sowie eine EBSI-nahe Wallet- und Verifier-Implementierung.

Seminarinhalte

Modul 1: EBSI-Rollen und Vertrauensarchitektur

Issuer, Holder, Verifier, Akkreditierungsstellen und Register werden in einem grenzüberschreitenden Credential-Szenario eindeutig eingeordnet. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Geschäftsfall und beteiligte Organisationen mit ihren Rechts- und Technikrollen erfassen.
2. Schritt 2: Vertrauensketten von Akkreditierung über Ausstellerzulassung bis zur Prüfung modellieren.
3. Schritt 3: DID- und Registerzugriffe von Credential- und Wallet-Prozessen trennen.
4. Schritt 4: Datenflüsse, Vertrauensgrenzen und verantwortliche Betreiber dokumentieren.
5. Schritt 5: Nicht durch Technik lösbare Governance-Entscheidungen kennzeichnen.

Kontrollpunkt: Jede positive Verifikation besitzt eine nachvollziehbare fachliche und technische Vertrauenskette.

Modul 2: Laborzugänge, Wallet und Testidentitäten

Eine isolierte Teststrecke mit Wallet, Issuer, Verifier und EBSI-nahen Registerzugängen wird vorbereitet. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Testkonten, Mandanten, Schlüssel und technische Rollen anlegen.
2. Schritt 2: Wallet beziehungsweise Holder-Komponente mit Testidentität und sicheren Schlüsseln konfigurieren.
3. Schritt 3: Issuer- und Verifier-Endpunkte sowie Metadaten prüfen.
4. Schritt 4: Register- und Netzwerkzugänge mit minimalen Berechtigungen testen.
5. Schritt 5: Baseline sichern und einen vollständigen Gesundheitscheck dokumentieren.

Kontrollpunkt: Alle Rollen sind getrennt funktionsfähig und können aus der Baseline neu aufgebaut werden.

Modul 3: DID Registry und Schlüsselzustände

Aussteller- und Organisationsidentitäten werden registriert, aufgelöst und über ihren Schlüssel-Lebenszyklus geprüft. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Geeignete Identitäts- und Schlüsselstrategie festlegen.
2. Schritt 2: Testidentität registrieren und DID-Dokument beziehungsweise Metadaten auflösen.
3. Schritt 3: Verification Method und Service-Endpunkte gegen die lokale Konfiguration prüfen.
4. Schritt 4: Schlüsselwechsel und aktualisierte Auflösung testen.
5. Schritt 5: Deaktivierten beziehungsweise unbekannten Identifikator als Negativfall verarbeiten.

Kontrollpunkt: Die Verifikation verwendet den zum Prüfzeitpunkt gültigen und nachvollziehbar aufgelösten Schlüsselzustand.

Modul 4: Akkreditierung und Trusted Issuer Registry

Die Zulassung eines Ausstellers wird als mehrstufige Vertrauenskette mit Gültigkeit, Umfang und Status modelliert. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Credential-Typ und dafür zuständige Akkreditierungsrolle bestimmen.
2. Schritt 2: Akkreditierung, Berechtigung und Ausstellerregistrierung als getrennte Artefakte erfassen.
3. Schritt 3: Gültigkeitszeitraum und zulässigen Credential-Umfang konfigurieren.
4. Schritt 4: Verifier-Prüfung gegen die Trusted Issuer Registry aufbauen.
5. Schritt 5: Abgelaufene, entzogene und fachlich unzuständige Aussteller testen.

Kontrollpunkt: Ein technisch gültiges Credential wird bei fehlender oder unpassender Ausstellerberechtigung abgelehnt.

Modul 5: Credential-Schema und semantisches Profil

Ein grenzüberschreitend verständliches Credential-Profil wird mit minimalen Claims, stabiler Semantik und klaren Vertrauensregeln entworfen. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Fachliche Aussage und erforderliche Claims minimieren.
2. Schritt 2: Datentypen, Begriffe, Gültigkeiten und Mehrsprachigkeit festlegen.
3. Schritt 3: Schema- beziehungsweise Profilbezug eindeutig dokumentieren.
4. Schritt 4: Holder-Bindung, Ausstellerbindung und Statusverfahren definieren.
5. Schritt 5: Gültige und absichtlich nicht konforme Test-Credentials erzeugen.

Kontrollpunkt: Semantik, Syntax und Vertrauensanforderungen sind getrennt testbar.

Modul 6: Issuance-Strecke

Credential-Angebot, Autorisierung, Proof und Ausgabe werden als wiederholbare Issuer-Strecke umgesetzt. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Issuer und zulässige Credential-Konfiguration einrichten.
2. Schritt 2: Identitäts- beziehungsweise Berechtigungsprüfung für den Testfall durchführen.
3. Schritt 3: Credential-Angebot erzeugen und durch die Wallet annehmen.
4. Schritt 4: Signatur, Claims, Zeiten und Bindungen analysieren.
5. Schritt 5: Doppelte, abgelaufene und manipulierte Angebote kontrolliert testen.

Kontrollpunkt: Nur berechtigte Testidentitäten erhalten ein profilkonformes Credential.

Modul 7: Wallet-Verarbeitung und Präsentation

Die Wallet übernimmt das Credential, bewertet Ausstellerinformationen und erstellt eine zweckgebundene Präsentation. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Aussteller und Vertrauenskette vor Annahme anzeigen und bewerten.
2. Schritt 2: Credential sicher speichern und verständlich darstellen.
3. Schritt 3: Präsentationsanforderung mit minimalen Claims erzeugen.
4. Schritt 4: Wallet-Auswahl, Einwilligung und Präsentation durchführen.
5. Schritt 5: Replay, falsche Zielgruppe und überbreite Anfrage testen.

Kontrollpunkt: Die Wallet gibt nur die für den dokumentierten Prüfzweck erforderlichen Daten frei.

Modul 8: Verifier-Policies und Registerprüfung

Technische Credential-Prüfung wird mit Register-, Akkreditierungs- und fachlichen Policies verbunden. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Signatur, Gültigkeit, Holder-Bindung und Status getrennt prüfen.
2. Schritt 2: DID- und Trusted-Issuer-Informationen mit Prüfzeitpunkt erfassen.
3. Schritt 3: Fachliche Zulassungsregel auf Claims und Akkreditierungsumfang anwenden.
4. Schritt 4: Ergebnisse in gültig, ungültig und manuell zu prüfen klassifizieren.
5. Schritt 5: Registerausfall und veraltete Cache-Daten mit festgelegter Risikoregel testen.

Kontrollpunkt: Technisches und fachliches Prüfergebnis bleiben getrennt erklärbar.

Modul 9: Status, Ablauf und Vertrauensänderung

Credential- und Ausstellerstatus werden über Änderung, Ablauf, Widerruf und Neuausstellung verfolgt. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Statusänderung für Credential und Aussteller getrennt auslösen.
2. Schritt 2: Auswirkungen auf bestehende Präsentationen und neue Prüfungen testen.
3. Schritt 3: Cache- und Aktualisierungsintervalle festlegen.
4. Schritt 4: Neuausstellung nach Schlüssel- oder Akkreditierungsänderung durchführen.
5. Schritt 5: Audit-Nachweise für die vollständige Vertrauensänderung zusammenstellen.

Kontrollpunkt: Eine Vertrauensänderung führt innerhalb der definierten Frist zu einem nachvollziehbar geänderten Prüfergebnis.

Modul 10: Wallet-Konformität und Interoperabilität

Die Laborartefakte werden mit einer zweiten Wallet- beziehungsweise Verifier-Implementierung und einer Konformitätsmatrix geprüft. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Unterstützte Formate, Algorithmen, Metadaten und Protokolloptionen vergleichen.
2. Schritt 2: Credential in einer zweiten Wallet übernehmen.
3. Schritt 3: Präsentation an einen unabhängigen Verifier senden.
4. Schritt 4: Fehlercodes und optionale Parameter bei Abweichungen erfassen.
5. Schritt 5: Notwendige Profilbegrenzungen und Interoperabilitätsentscheidungen dokumentieren.

Kontrollpunkt: Mindestens ein herstellerübergreifender Ausgabe- und Prüfpfad ist reproduzierbar.

Modul 11: Betrieb, Governance und Datenschutz

Registerabhängigkeiten, Schlüssel, personenbezogene Daten, Protokollierung und organisatorische Freigaben werden in ein Betriebsmodell überführt. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Verantwortlichkeiten für Akkreditierung, Registrierung, Issuing, Wallet und Verification festlegen.
2. Schritt 2: Schlüssel-, Secret- und Administrationszugriffe absichern.
3. Schritt 3: Protokollierung auf technische Nachweise und erforderliche Audit-Daten begrenzen.
4. Schritt 4: Ausfall, Wiederanlauf, Update und Registerstörung als Betriebsproben ausführen.
5. Schritt 5: Änderungs- und Vier-Augen-Verfahren für vertrauensrelevante Konfigurationen festlegen.

Kontrollpunkt: Technische Betriebsprozesse und organisatorische Vertrauensentscheidungen sind aufeinander abgestimmt.

Modul 12: Grenzüberschreitendes Abschlusslabor

Alle Rollen werden in einem vollständigen Szenario mit Akkreditierung, Issuing, Wallet, Verification und Statusänderung verbunden. Die Konfiguration wird als reproduzierbare Laborstrecke aufgebaut, dokumentiert und mit Positiv- sowie Negativtests geprüft.

1. Schritt 1: Zwei Organisationen und einen grenzüberschreitenden Prüfzweck festlegen.
2. Schritt 2: Aussteller zulassen, Identität registrieren und Credential ausgeben.
3. Schritt 3: Credential in der Wallet übernehmen und beim zweiten Teilnehmer präsentieren.
4. Schritt 4: Status- oder Vertrauensänderung auslösen und erneut prüfen.
5. Schritt 5: Architektur, Testnachweise, Risiken und Pilotgrenzen in einer Abnahmeakte zusammenführen.

Kontrollpunkt: Die Abnahmeakte belegt die vollständige Vertrauenskette und alle getesteten Negativfälle.

Praxisaufgaben

1. DID- und Vertrauensarchitektur für einen grenzüberschreitenden Nachweis modellieren.
2. Ausstelleridentität und Schlüsselzustand registrieren beziehungsweise nachvollziehbar auflösen.
3. Akkreditierungs- und Trusted-Issuer-Kette mit Umfang und Gültigkeit aufbauen.
4. Credential ausstellen, in einer Wallet übernehmen und mit Register-Policies prüfen.
5. Ausstellerentzug, Credential-Status, Registerausfall und veraltete Cache-Daten testen.
6. Herstellerübergreifenden Wallet-/Verifier-Pfad und eine Abnahmeakte erstellen.

Laborartefakte

• EBSI-Rollen-, Governance- und Vertrauensmodell.
• DID- und Trusted-Issuer-Testkonfiguration.
• Credential-Schema und grenzüberschreitendes Profil.
• Issuance-, Wallet- und Verifier-Teststrecke.
• Konformitäts-, Negativtest- und Registerausfallmatrix.
• Pilot- und Betriebsakte für Akkreditierung, Register und technische Dienste.

Betrieb und Qualitätssicherung

Die technische Umsetzung wird nicht auf den erfolgreichen Demonstrationsfall beschränkt. Fehlerbilder, Datenschutz, Schlüsselverwaltung, Protokollierung, Wiederanlauf und nachvollziehbare Abnahmekriterien werden in die Laborarbeit einbezogen.

• Schutzbedarfsanalyse und Datenminimierung für die mit EBSI verarbeiteten Claims.
• Trennung von Entwicklungs-, Test- und Produktionskonfiguration einschließlich Geheimnissen und Schlüsseln.
• Nachvollziehbare Prüfung von Signaturen, Statusinformationen, Vertrauensankern und Protokollparametern.
• Messbare Abnahmekriterien für Interoperabilität, Fehlertoleranz, Antwortzeiten und Protokollierung.
• Betriebshandbuch für Sicherung, Wiederherstellung, Schlüsselwechsel, Aktualisierung und Störungsbearbeitung.
• Governance-Entscheidungen, Registerzustände und technische Prüfergebnisse werden mit eindeutigem Prüfzeitpunkt dokumentiert.

Praxisnutzen

Das Seminar schafft eine realistische Grundlage für EBSI-basierte Pilotvorhaben. Technisch gültige Credentials werden nicht isoliert betrachtet, sondern mit Akkreditierung, Ausstellerberechtigung, Registerverfügbarkeit, Wallet-Interoperabilität und organisatorischer Governance verbunden.