Seminar Mobile Wallet Grundlagen: Security, Attestation, Recovery und Zertifizierung

Seminarprofil

Die Veranstaltung schafft ein gemeinsames technisches Vokabular und ordnet die wichtigsten Sicherheitsmechanismen in den vollständigen Wallet-Lebenszyklus ein.

Das Seminar ist als technischer Einstieg konzipiert. Es zeigt Zusammenhänge und Entscheidungsfragen, ohne die spezialisierten Labor- und Zertifizierungsthemen der Vertiefungsseminare vorwegzunehmen.

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Lernziele
• Fachliche Schwerpunkte
• Wallet-Ökosystem, Rollen und Vertrauensbeziehungen
• Schutzobjekte, Sicherheitsziele und Assurance
• Hardwarebasierte Roots of Trust
• Attestation-Grundlagen: Evidence, Verifier und Policy
• Recovery-Bedrohungsmodell und Assurance
• Verifiable-Credential-Modell und Rollen
• Zertifizierungslandschaft und Assurance-Nachweise
• Praxisaufgaben
• Einordnung in das Seminarprogramm

Zielgruppe

• IT- und Security-Fachkräfte
• Architekten und Entwickler mit Wallet-Einstieg
• Produkt- und Projektverantwortliche
• Compliance- und Datenschutzteams

Voraussetzungen

Allgemeine IT- und Security-Grundkenntnisse. Spezifische Mobile-Wallet-Erfahrung ist nicht erforderlich.

Lernziele

• Wallet-Typen, Rollen und Vertrauensbeziehungen einordnen.
• Zentrale Schutzobjekte und Angriffspfade erkennen.
• Attestation, Schlüsselhaltung und Recovery fachlich bewerten.
• Credential- und Zertifizierungsthemen voneinander abgrenzen.

Fachliche Schwerpunkte

Wallet-Ökosystem, Rollen und Vertrauensbeziehungen

Der Einstieg ordnet Mobile Wallets als Zusammenspiel von App, sicherer Geräteplattform, Backend, Ausstellern, Prüfern und Vertrauensdiensten ein. Dadurch werden Zuständigkeiten und Sicherheitsgrenzen eindeutig.

1. Wallet-Typen, Geschäftsprozesse und Schutzbedarf voneinander abgrenzen.
2. Rollen wie Wallet-Anbieter, Herausgeber, Inhaber, Prüfer, Zahlungsdienst und Vertrauensanker zuordnen.
3. Daten-, Schlüssel- und Entscheidungsflüsse vom Onboarding bis zur Sperrung modellieren.
4. Verantwortlichkeiten, Haftungsübergänge und technische Vertrauensannahmen dokumentieren.

Schutzobjekte, Sicherheitsziele und Assurance

Sicherheitsmaßnahmen werden nicht aus einer Produktliste abgeleitet, sondern aus den zu schützenden Identitäten, Zahlungsdaten, Schlüsseln, Nachweisen und Entscheidungen. Der Baustein übersetzt Geschäftsrisiken in prüfbare Sicherheitsziele.

1. Schutzobjekte und deren Lebenszyklus vollständig erfassen.
2. Vertraulichkeit, Integrität, Authentizität, Verfügbarkeit, Unlinkability und Nachweisbarkeit priorisieren.
3. Missbrauchsfolgen und erforderliche Vertrauensniveaus bewerten.
4. Messbare Sicherheitsanforderungen und Abnahmekriterien formulieren.

Hardwarebasierte Roots of Trust

Secure Element, TEE, Secure Enclave, StrongBox und HSM liefern unterschiedliche Sicherheitsgarantien. Der Baustein trennt Marketingbegriffe von überprüfbaren Eigenschaften.

1. Sicherheitsdomänen und Isolationseigenschaften der verfügbaren Hardwareklassen vergleichen.
2. Schlüsselgenerierung, nicht exportierbare Speicherung und kryptografische Operationen zuordnen.
3. Angriffsmodelle für kompromittiertes Betriebssystem, physischen Zugriff und Seitenkanäle bewerten.
4. Geeignete Hardwareanker für Assurance, Recovery und Zertifizierung auswählen.

Attestation-Grundlagen: Evidence, Verifier und Policy

Attestation ist kein einzelner Wahrheitswert, sondern eine Kette aus erzeugtem Nachweis, technischer Verifikation und geschäftlicher Entscheidung. Diese Trennung verhindert Fehlinterpretationen.

1. Zu attestierende Eigenschaften und ihren Sicherheitswert definieren.
2. Evidence-Erzeuger, Verifier, Trust Anchors und Policy Engine voneinander trennen.
3. Authentizität, Freshness, Kontextbindung und Replay-Schutz prüfen.
4. Technische Ergebnisse in gestufte Geschäftsentscheidungen übersetzen.

Recovery-Bedrohungsmodell und Assurance

Recovery ist ein erneutes Vertrauensetablieren und häufig der attraktivste Angriffsweg. Der Baustein setzt das erforderliche Recovery-Niveau aus Schutzbedarf und Missbrauchsfolgen ab.

1. Verlust-, Defekt-, Kontoübernahme- und Insider-Szenarien unterscheiden.
2. Zu rekonstruierende Bindungen, Schlüssel und Credentials erfassen.
3. Angreiferfähigkeiten und missbrauchbare Supportpfade modellieren.
4. Recovery-Assurance und erforderliche Kontrollen je Geschäftsaktion festlegen.

Verifiable-Credential-Modell und Rollen

Verifiable Credentials strukturieren signierte Aussagen zwischen Herausgeber, Inhaber und Prüfer. Der Baustein trennt Datenmodell, Signaturformat, Transportprotokoll und Vertrauensmodell.

1. Credential-Typ, Claims, Herausgeber und Gültigkeitsregeln definieren.
2. Holder-, Issuer- und Verifier-Rollen sowie Vertrauensbeziehungen modellieren.
3. Datenmodell und kryptografisches Sicherungsformat auswählen.
4. Status, Erneuerung und Präsentationsanforderungen in den Lebenszyklus integrieren.

Zertifizierungslandschaft und Assurance-Nachweise

Wallet-Lösungen können regulatorische, kryptografische, Plattform- oder Zahlungszertifizierungen benötigen. Der Baustein trennt Produktzertifikat, Prozessnachweis, Laborprüfung und regulatorische Konformität.

1. Produktkomponenten, Märkte und verpflichtende Nachweise erfassen.
2. Relevante Zertifizierungs- und Prüfprogramme dem Scope zuordnen.
3. Überschneidungen und nicht abgedeckte Risiken transparent machen.
4. Eine mehrjährige Zertifizierungs- und Nachweisroadmap erstellen.

Praxisaufgaben

• Erstellung eines einfachen Wallet-Kontext- und Vertrauensmodells.
• Zuordnung typischer Bedrohungen zu Schutzmaßnahmen.
• Bewertung von drei Schlüssel- und Recovery-Varianten.
• Auswahl eines passenden Vertiefungspfads.

Einordnung in das Seminarprogramm

Das Einzelseminar kann eigenständig besucht oder in einen Rollenpfad für Architektur, Entwicklung, Betrieb, Recovery, Testing oder Zertifizierung eingeordnet werden. Die Herstellerseite ordnet alle Angebote nach Einstieg, technischer Vertiefung und Assurance.