The form has been successfully submitted.
Please find further information in your mailbox.
EinstellenSelect language
Über unsLeistungenTechnologienPortfolio
Sie haben es wahrscheinlich selbst schon erlebt: Sie geben GPT ein Selfie, bitten um ein passähnliches Dokument, und innerhalb von Minuten erhalten Sie etwas, das einfache Sichtkontrollen übersteht. Wenn man dann noch Stimmenklonen und synthetische Videos hinzufügt, sieht die “Lebendigkeit” wie Theater aus. Das ist der wirkliche Durchbruch der digitalen Identität in 2026. Das fotobasierte KYC-Modell selbst nutzt sich ab. Wenn der Identitätsnachweis immer noch davon abhängt, dass Bilder schwer zu fälschen sind, bauen Sie auf Sand.
Und was bedeutet das für uns? Mit einer ziemlich offensichtlichen Verlagerung: weg von der Speicherung von Identitätsdaten und hin zur kryptografischen Überprüfung von Ansprüchen. Anstatt einen Passscan zu sammeln und in einer anderen Datenbank zu parken, fragt das System nach Beweisen: Sind Sie über 18 Jahre alt, haben Sie KYC bestanden, sind Sie für diese Transaktion zugelassen, und Können Sie das beweisen, ohne etwas anderes zu verraten?
Aber was genau ändert sich? Warum sprechen wir plötzlich über DIDs und nachprüfbare Zeugnisse?
Denn in einem DID-basierten Modell hängt das Vertrauen nicht davon ab, wie etwas aussieht. Es kommt darauf an, wer es signiert hat und ob Sie die Kontrolle darüber nachweisen können. Ein Deepfake-Selfie hilft nicht, wenn der Prüfer einen Ausweis erwartet, der von einem vertrauenswürdigen Aussteller unterzeichnet und an Ihre kryptografischen Schlüssel gebunden ist. Sie versuchen nicht mehr, “echt” auszusehen. Sie beweisen, dass Sie im Besitz eines gültigen, signierten Anspruchs sind. Bilder sind nicht mehr die Quelle des Vertrauens. Signaturen übernehmen die Rolle.
Und genau darum geht es in diesem Leitfaden: Ich zeige, wie dieses Modell funktioniert, warum es sich zum ernstzunehmenden Weg in die Zukunft entwickelt und wie Blockchain in dieses Modell passt.
Ein dezentraler Identifikator (DID) ist ein URI-basierter Identifikator, der über kryptografische Schlüssel gesteuert wird und nicht von einem zentralen Verzeichnis ausgegeben und verwaltet wird. Unter dem World Wide Web Konsortium (W3C) DID-Standard wird eine DID in ein DID-Dokument aufgelöst, das andere Systeme darüber informiert, wie sie Signaturen überprüfen, den Controller authentifizieren oder mit diesem Identifikator verbundene Dienstendpunkte finden können. Im Klartext: Eine DID ist nicht Ihr Profil, Ihr Reisepass oder Ihr Kontodatensatz. Es ist der Zeiger, den andere Parteien verwenden, um zu überprüfen, ob Sie einen bestimmten Identifikator und die Schlüssel dahinter kontrollieren.
An dieser Stelle wird oft alles als “nur eine weitere ID” abgetan. Das ist es aber nicht.
Eine E-Mail-Adresse ist eigentlich eine Kennung im System einer anderen Person. Wenn der Anbieter das Konto sperrt, ist die Kennung praktisch weg. Eine SSN ist eine staatlich vergebene Kennung, aber sie hat keine eingebaute kryptografische Beweisebene; jeder, der die Nummer bekommt, kann sie nachspielen. OAuth-Tokens sind wieder anders: Sie sind überhaupt keine Identitätskennungen, sondern delegierte Zugriffsartefakte, die von einem Autorisierungsserver ausgegeben werden, damit ein Client eine geschützte Ressource aufrufen kann. Nützlich, ja. Tragbare Identitätsschicht, nein.
Ein DID funktioniert anders. Sie soll gelöst werden und nicht nur in einer Anbieterdatenbank nachgeschlagen werden. Die Kontrolle liegt beim Subjekt durch Schlüsselmaterial und die Regeln der DID-Methode, nicht bei einem Mail-Anbieter, einer SaaS-Plattform oder einem Identitätsbroker. Diese Unterscheidung ist in der Praxis wichtig. Wenn Sie wiederverwendbare Anmeldeinformationen, wallet-basierte Anmeldungen oder Überprüfungsabläufe entwickeln, die über Unternehmensgrenzen hinweg funktionieren sollen, bietet eine E-Mail- oder app-spezifische Benutzer-ID nicht genügend vertrauensbildende Elemente. Eine DID schon.
Auf der Ebene der Syntax ist das W3C-Modell einfach: Ein DID besteht aus drei Teilen: dem DID-Schema, einem Methodennamen und einem methodenspezifischen Bezeichner. Mit anderen Worten: did:methode:bezeichner.
Ein Beispiel ist did:web:beispiel.de als ein konkretes Beispiel.
Mit tat:web, Die Auflösung bezieht sich in der Regel auf ein DID-Dokument, das an einem bekannten HTTPS-Standort auf dieser Domäne veröffentlicht wird. Mit etwas wie tat:ethr, Die Auflösung hängt von den Regeln für Ethereum-verknüpfte Methoden ab. Gleiche DID-Syntax, anderes Vertrauens- und Aktualisierungsmodell.
Das ist der springende Punkt: die DID-Zeichenkette selbst ist nur das Handle. Die Methode sagt Ihnen, wie Sie sie auflösen können. Das DID-Dokument liefert Ihnen das Prüfmaterial. Sobald Sie dieses erhalten haben, können Sie Unterschriften überprüfen, einen Inhaber authentifizieren oder eine Berechtigungsnachweispräsentation validieren ohne die Kennung als eine weitere Zeile in einer Benutzertabelle zu behandeln.
Bis jetzt haben wir DIDs und überprüfbare Ausweise als Datenstrukturen betrachtet: Identifikatoren, Dokumente, Unterschriften. Aber das ist nur ein Teil eines funktionierenden Identitätssystems. In realen Anwendungen ist das schwierigere Problem die Interaktion: Wie werden Ausweise ausgestellt, wie werden sie präsentiert, und wie entscheiden die Prüfer, ob sie ihnen vertrauen.
In Produktionssystemen wie dem EU-Geldbörse für digitale Identität oder US-Mobilführerschein (mDL) Piloten, Geldbörsen und Verifizierer lösen nicht einfach einen DID auf und machen damit Schluss. Sie kommunizieren über definierte Protokolle und Berechtigungsformate:
Der wichtige Unterschied besteht darin, dass DIDs und überprüfbare Bescheinigungen Folgendes definieren was überprüft wird. Diese Protokolle definieren von in realen Systemen zwischen Emittent, Inhaber und Prüfer bewegt.
Ohne diese Schicht bleiben die DIDs ein Auflösungsmechanismus. Mit ihr werden sie Teil einer funktionierenden Identitätsinfrastruktur.
Dezentralisierte Identität ist ein Modell, bei dem Identifikatoren, Berechtigungsnachweise und Überprüfungsabläufe nicht von einem einzigen Anbieter kontrolliert werden. Stattdessen ist die Identität in kryptografischen Schlüsseln (über DIDs) verankert, und Behauptungen über diese Identität werden unabhängig davon, wo sie verwendet werden, ausgegeben und überprüft. Eine nützliche Art, darüber nachzudenken: Die Identität ist nicht länger ein Konto, das in der Datenbank eines anderen gespeichert ist, sondern wird zu einer Reihe von überprüfbaren Angaben, die Sie kontrollieren und wiederverwenden können.
Vergleichen wir das mit den Modellen, mit denen Sie bereits arbeiten.
Die zentralisierte Identität ist immer noch überall der Standard. Eine Plattform ist Eigentümer des Benutzerdatensatzes, speichert Ihre Daten und fungiert als Autorität für die Überprüfung. Wenn Sie Zugang wünschen, authentifizieren Sie sich bei diesem System. Alles, einschließlich Anmeldung, Berechtigungen und Wiederherstellung, läuft über dieses System.
Das Problem ist nicht nur die Sicherheit (obwohl es immer wieder zu Sicherheitsverletzungen kommt). Es ist die Architektur:
Die dezentrale Identität kehrt dies um. Das System braucht Ihre Daten nicht zu speichern. Es muss nur die von Ihnen vorgetragenen Behauptungen verifizieren. Das Vertrauen verlagert sich von “wir haben Ihre Daten” zu “wir können diesen kryptografischen Beweis verifizieren.”
Föderierte Identitäten (OAuth, SAML, OpenID Connect) versuchten, die Fragmentierung zu lösen, indem sie Identitätsanbieter wie Google, Microsoft oder Apple einführten, die sich für Benutzer über Dienste hinweg verbürgen.
Das funktioniert, bis zu einem gewissen Grad. Aber die föderierte Identität hat immer noch eine zentrale Abhängigkeit:
Die dezentrale Identität beseitigt diese Abhängigkeit. Es gibt keinen einzelnen Emittenten, der zum Zeitpunkt der Überprüfung online sein muss. Berechtigungsnachweise werden über Signaturen verifiziert, nicht über API-Aufrufe. Das bedeutet:
Es ist eher so, wie es bei physischen Ausweisen funktioniert: Sie rufen nicht jedes Mal beim Passamt an, wenn jemand Ihren Ausweis überprüft.
Diese Begriffe werden oft durcheinander gebracht. SSI ist eher eine Design-Philosophie: Der Einzelne kontrolliert seine Identität, wählt aus, was er teilen möchte, und ist nicht an einen Anbieter gebunden. Dezentrale Identität ist der technische Stack, der das möglich macht:
Sie können dezentrale Identitätssysteme implementieren, die nicht vollständig “selbstverwaltet” sind (z. B. von Unternehmen kontrollierte Geldbörsen oder Netzwerke mit Berechtigungen). Und man kann über SSI sprechen, ohne die Infrastruktur zu spezifizieren. In realen Systemen konvergieren die beiden Begriffe in der Regel, aber es ist sinnvoll, die Unterscheidung bei der Entwicklung von Architekturen deutlich zu machen.
Wallets sind der Ort, an dem dezentralisierte Identität auf reale Zwänge trifft. Theoretisch liegt die Kontrolle über die Identität in der Kontrolle der kryptografischen Schlüssel. In der Praxis stellt dies ein Problem dar, das traditionelle Systeme nicht haben: Was passiert, wenn der Benutzer den Zugang verliert?
Wenn ein DID an einen privaten Schlüssel gebunden ist und dieser Schlüssel verloren geht, gibt es keinen Standard-Wiederherstellungsmechanismus. Es gibt keinen “Passwort zurücksetzen”-Fluss, es sei denn, das System ist ausdrücklich dafür ausgelegt. Der Verlust des Schlüssels kann den Verlust der Kontrolle über die Kennung und die an sie gebundenen Anmeldedaten bedeuten.
Aus diesem Grund werden bei Produktionssystemen zusätzlich zur DID-Schicht Wiederherstellungs- und Verwahrungsmodelle eingeführt:
Der Kompromiss ist unvermeidlich: Je mehr Kontrolle der Benutzer erhält, desto mehr Verantwortung geht auf die Schlüsselverwaltung über. Aus diesem Grund wird in der Praxis meist ein Gleichgewicht zwischen Selbstbestimmung und Benutzerfreundlichkeit hergestellt, anstatt dem Benutzer die volle Kontrolle über die Schlüssel zu übertragen.
Es lohnt sich, an dieser Stelle innezuhalten, denn die DID-basierte Identität wird erst dann wirklich verständlich, wenn man ihre Kernprimitive trennt. Der Identifikator ist nicht der Berechtigungsnachweis, der Berechtigungsnachweis ist nicht die Brieftasche, und der On-Chain-Marker ist nicht die Identität selbst. Jede Ebene hat eine eigene Funktion, und diese Trennung macht das Modell erst funktionsfähig.
Diese beiden Komponenten bilden den Kern des dezentralen Identitätsmodells. In einigen Systemen, insbesondere in Web3-Umgebungen, werden zusätzliche On-Chain-Mechanismen verwendet, um den Zugang oder die Rollen durchzusetzen.
Seelengebundene Spielsteine (SBTs) sind ein Beispiel. Sie sind nicht übertragbare Token, die an eine Wallet gebunden sind und für Dinge wie KYC-Gating, Akkreditierung oder Protokollberechtigungen verwendet werden. Intelligente Verträge können sie direkt überprüfen.
SBTs sind jedoch nicht Teil des Identitätsstapels selbst. Sie sind eine optionale Durchsetzungsschicht, die auf Identitätssignalen aufbaut, und sie bringen Nachteile mit sich: öffentliche Sichtbarkeit in der Kette, begrenzte Übertragbarkeit und Herausforderungen im Zusammenhang mit Widerruf und Schlüsselwiederherstellung.
Herkömmliche Identitätssysteme scheitern, weil sie Vertrauen als ein Speicherproblem behandeln. Jede Plattform sammelt die gleichen Rohdaten, wie z. B. Scans von Reisepässen, Selfies und Adressnachweisen, und speichert sie dann innerhalb ihres eigenen Compliance-Bereichs. Dadurch entsteht überall das gleiche Chaos: doppelte personenbezogene Daten, schwache Übertragbarkeit, große Angriffsflächen und Onboarding-Prozesse, die immer komplizierter werden, ohne viel besser zu werden.
Im traditionellen Modell kumulieren Identitätssysteme mit der Zeit Risiken. KYC-Anbieter, Börsen, Fintech-Apps, HR-Plattformen und Marktplätze speichern am Ende alle in etwa die gleichen Nachweise: Personalausweis, Gesichtsscan, Adressdaten und Metadaten aus der Verifikationssitzung selbst.
Vom Standpunkt der Implementierung aus betrachtet, wird das Problem in der Regel durch die Verbreitung von Kopien noch verschärft. Dieselben Benutzerdaten landen in Onboarding-Systemen, Betrugs-Tools, CRM-Ebenen, Support-Tools, Data Warehouses und Compliance-Archiven. Selbst wenn der primäre Verifizierungsstapel gesperrt ist, gelten für die umliegenden Systeme oft nicht die gleichen Standards.
Bei der herkömmlichen Identität hat der Nutzer fast keine Kontrolle über den Überprüfungsstatus. Die Plattform kontrolliert den Datensatz, die Aufbewahrungsrichtlinie, den Zeitplan für die erneute Überprüfung und die Regeln für die Wiederverwendung.
Das bedeutet, dass der Nutzer kein Vertrauen von einem Kontext in einen anderen übertragen kann. Das Bestehen der KYC-Prüfung auf Plattform A bringt auf Plattform B nichts, da das Prüfergebnis innerhalb des Konformitätsbereichs von Plattform A gefangen ist. Die zugrunde liegende Behauptung mag immer noch gültig sein, aber es gibt kein übertragbares kryptografisches Artefakt, auf das sich der nächste Prüfer verlassen kann.
An dieser Stelle beginnt das Modell wirtschaftlich zu scheitern. Jede Plattform muss das Vertrauen von Grund auf neu aufbauen, da die Identität als interne Daten gespeichert und nicht als wiederverwendbarer Nachweis ausgegeben wird.
Auch das alte Modell gibt standardmäßig zu viel preis. Um einen engen Sachverhalt zu beweisen, werden die Nutzer in der Regel aufgefordert, das vollständige Quelldokument dahinter offenzulegen.
Das ist ein schlechtes Datenschutzmuster, aber auch ein schlechtes Systemmuster. Sobald die Identität an kontobasierte Datensätze und die wiederholte Vorlage von Dokumenten gebunden ist, wird die Korrelation über Dienste, Sitzungen und Gegenparteien hinweg einfach. Die Prüfstelle erhält mehr Daten, als sie benötigt, speichert mehr, als sie sollte, und erhöht die Haftung, ohne die Qualität des Vertrauens proportional zu verbessern.
Dies ist die operative Steuer, die jeder bereits kennt. Dieselbe Person füllt KYC immer wieder aus, weil jede Plattform ihren eigenen Trust-Stack betreibt und die Verifizierung nicht als übertragbare Berechtigung nutzen kann.
Wenn Sie sich mit Tokenisierung, Onboarding von Börsen oder regulierten Wallet-Flows beschäftigt haben, wissen Sie, wie verschwenderisch dies ist. Der Engpass ist die Tatsache, dass Vertrauen nicht sauber zwischen Systemen übertragen werden kann, sodass jede Institution die gleiche Verifizierungspipeline um ihre eigene Datenbankgrenze herum aufbaut.
Und auch überprüfbare Beglaubigungen allein helfen da nicht weiter. Eine gültige Unterschrift beweist nur, dass eine Forderung von einer bestimmten Partei ausgestellt wurde. Sie beweist nicht, dass diese Partei die Befugnis hatte, diese Forderung auszustellen. Das ist der Teil, den viele DID-Piloten unterschätzen. Die Prüfer müssen wissen, welche Aussteller legitim sind, welche Schemata für Berechtigungsnachweise akzeptiert werden und nach welchen Regeln man sich auf eine Forderung verlassen kann.
In der Produktion wird dies durch Trust-Frameworks gehandhabt: eIDAS 2.0 Vertrauenslisten in der EU, VICAL-Stil Vertrauenskoordination für mobile Führerscheine nach ISO 18013-5, OpenID-Föderation Treuhandketten und nationale Register der Vertrauensdiensteanbieter.
Ohne diese Schicht erhalten Sie keine wiederverwendbare Identität. Sie erhalten Berechtigungsnachweise, die zwar mathematisch verifiziert sind, aber in der Praxis nichts bedeuten. Die Signatur ist gültig. Aber es fehlt das Vertrauen.
Genug mit den Definitionen. Was hier zählt, ist der Verifizierungspfad: wie eine DID auflösbar wird, wie ein Aussteller einen Anspruch an sie bindet und wie dieser Anspruch später überprüft wird, ohne auf ein zentrales Register zurückzugreifen. Schauen wir uns den Ablauf einmal von vorne bis hinten an.
01
Die DID wird erstellt und aufgelöst | Eine DID wird erst dann nützlich, wenn sie aufgelöst werden kann. Sie wird mit Schlüsselmaterial erzeugt und gemäß einer DID-Methode veröffentlicht. Bei der Auflösung wird das DID-Dokument zurückgegeben, das die öffentlichen Schlüssel und Überprüfungsmethoden offenlegt, die andere zur Validierung von Signaturen verwenden. |
02
Der Emittent bindet eine Forderung an den DID | Sobald das Subjekt einen DID hat, kann ein Aussteller einen signierten Anspruch als überprüfbaren Berechtigungsnachweis mit ihm verbinden. Der Aussteller führt zunächst seine Überprüfungen durch und signiert dann eine Bescheinigung, die den Anspruch mit dem Identifikator des Subjekts verknüpft. Es handelt sich also nicht um einen Rohbeweis, sondern um ein bescheinigtes Ergebnis. |
03
Der Inhaber legt den Antrag vor | Der Inhaber bewahrt den Berechtigungsnachweis auf, in der Regel in einer Brieftasche, und legt ihn vor, wenn ein Nachweis erforderlich ist. Je nach Stack kann dies der vollständige Berechtigungsnachweis oder ein abgeleiteter Nachweis sein. Der Punkt ist die Wiederverwendung: Der Inhaber legt einen bereits verifizierten Anspruch vor, anstatt das Onboarding neu zu starten. |
04 Der Prüfer validiert sie lokal | Die Prüfstelle prüft die Signatur des Ausstellers, bestätigt die Subjektbindung und bewertet den Status der Berechtigung, z. B. Ablauf oder Widerruf. Zu diesem Zweck löst er die DID des Ausstellers auf und ruft den öffentlichen Schlüssel aus dem DID-Dokument ab. Ein Rückruf des Ausstellers ist nicht erforderlich. |
Sobald der Ablauf klar ist, stellen sich die eigentlichen Designfragen: Wie werden die Identifikatoren verwendet und wie werden die Schlüssel im Laufe der Zeit verwaltet?.
Eine öffentliche DID stabil und auffindbar ist. Die Aussteller verwenden es in der Regel, weil die Prüfer eine einheitliche Methode zur Auflösung von Schlüsseln und zur Validierung von Signaturen benötigen. Ein paarweiser DID hingegen wird pro Beziehung erstellt. Ein und derselbe Benutzer gibt verschiedenen Prüfern unterschiedliche Identifikatoren, was eine dienstübergreifende Korrelation verhindert.
Diese Entscheidung ist nicht kosmetisch. Die Wiederverwendung einer einzigen DID über Dienste hinweg macht die Verknüpfung trivial. Paarweise DIDs unterbrechen diese Verknüpfung auf der Ebene der Kennung.
Dann ist da noch die Schlüsselverwaltung, mit der die meisten Systeme in der Produktion Probleme haben. Ein DID ist nur so zuverlässig wie die Schlüssel, die ihm zugrunde liegen, also muss man das einplanen:
In der Praxis ist dies der Punkt, an dem die Komplexität liegt. Die Überprüfung von Signaturen ist einfach. Die Identifikatoren brauchbar, wiederherstellbar und im Laufe der Zeit nicht korrelierbar zu halten, ist das schwierigere technische Problem.
Sobald man den Fluss hinter sich gelassen hat, stellt sich die Frage, wie die Identifikatoren tatsächlich aufgelöst und gepflegt werden. Dabei geht es um zwei Dinge: implementieren DID-Dokumentenstruktur die implementieren DID-Methode die definiert, wie sie erstellt, aktualisiert und aufgelöst wird.
Ein DID-Dokument ist die Auflösungsausgabe eines DIDs. Es teilt den Überprüfern mit, welche Schlüssel, Kontrolleure und Dienstendpunkte für diesen Identifikator autorisiert sind. In der Praxis handelt es sich nicht um ein Benutzerprofil. Es ist ein Verifikationsdeskriptor.
Kernbereiche, die Sie normalerweise interessieren:
Und der Punkt der Schlüsselimplementierung bleibt derselbe: Ein Überprüfer löst die DID auf, wählt die geeignete Überprüfungsmethode aus und prüft, ob der Schlüssel für die ausgeführte Operation zugelassen ist.
Bislang haben wir vor allem über Identität als etwas gesprochen, das eine Person kontrolliert. In B2B-Systemen ist das Schlüsselsubjekt oft eine Organisation. Banken, Logistikanbieter und RWA-Plattformen müssen nicht nur die Identität wer etwas unterschrieben hat, sondern ob diese Person befugt war, für ein Unternehmen zu handeln.
An dieser Stelle werden organisatorische DIDs komplexer. Die Kontrolle ist über Rollen, Verwahrungssysteme, Unterzeichnungsrichtlinien und Delegationsregeln verteilt. In einer Produktionseinrichtung muss festgelegt werden, wer signieren darf, was er signieren darf und wie diese Berechtigung widerrufen wird.
In der Praxis kann dies bedeuten vLEI von GLEIF für die Identität von juristischen Personen, Firmenbrieftaschen mit HSM-gestützte Unterzeichnung, und Berechtigungsfähigkeitsketten wie ZCAP-LD.
DID-Dokumente sind nicht statisch. Schlüssel laufen ab, Geräte gehen verloren, die Signierinfrastruktur ändert sich, und die Schlüssel des Ausstellers müssen ausgetauscht werden. Ein seriöser DID-Entwurf muss damit umgehen können, ohne dass bestehende Berechtigungsnachweise zerstört werden.
Schlüsselrotation bedeutet in der Regel das Hinzufügen einer neuen Verifizierungsmethode, das Ändern des Schlüssels, der für eine bestimmte Beziehung autorisiert ist, und das Zurückziehen des alten Schlüssels. Aber das entscheidende Detail ist Zweck. Drehen einer Authentifizierung Taste wirkt sich auf den Login- oder Challenge-Response-Flow aus. Das Drehen eines assertionMethod Schlüssel die Ausstellung und Überprüfung von Berechtigungsnachweisen beeinflusst.
Der Aktualisierungspfad hängt von der DID-Methode ab. Mit tat:web, aktualisieren Sie das gehostete DID-Dokument. Mit tat:ethr, veröffentlichen Sie eine Transaktion in der Registrierung. Der schwierige Teil ist die Kontinuität: Die Überprüfer müssen wissen, welcher Schlüssel gültig war, als eine Berechtigung ausgestellt wurde, und ob diese Berechtigung inzwischen widerrufen wurde, abgelaufen ist oder ersetzt wurde.
Und das bringt uns zu den DID-Methoden, denn die Methode definiert genau, wie Erstellung, Auflösung, Aktualisierung und Deaktivierung im realen System funktionieren.
Eine DID-Methode ist die Implementierungsschicht hinter der DID-Standardsyntax.
Sie definiert die Regeln für:
Mit anderen Worten, die DID-Syntax ist Standard (did:methode:bezeichner), aber die Methode prägt das gesamte Infrastrukturmodell hinter dem DID.
Diese drei Methoden decken die meisten Anwendungsfälle in der Praxis ab:
| Kriterien | hat:Schlüssel | tat:web | tat:ethr |
|---|---|---|---|
| Modell der Auflösung | Deterministisch (abgeleitet vom öffentlichen Schlüssel) | HTTPS (bekannter DID-Dokumentenpfad) | Ethereum DID-Register (auf der Kette) |
| Modell aktualisieren | Nicht aktualisierbar | Außerhalb der Kette (in der Domäne gehostet) | On-chain-Transaktionen |
| Vertrauensmodell | Direkte Tastensteuerung | DNS + TLS + Domänenkontrolle | Blockchain-Konsens (Ethereum) |
| Typischer Anwendungsfall | Kurzlebige IDs, Peer-DIDs, Tests | Unternehmen, SaaS, Emittenten-DIDs | Web3, Tokenisierung, On-Chain-Identität |
Die Tabelle zeigt Ihnen die Mechanik. Der schwierigere Teil ist die Entscheidung, mit welchem Ausfallmodus Sie leben können: DNS-Abhängigkeit, Kettenkosten, keine Rotation, öffentliche Überprüfbarkeit oder schwächere Übertragbarkeit. Hier ist also meine Meinung zur Auswahl.
Bevor Sie sich entscheiden, sollten Sie die unangenehmen Fragen zur Produktion stellen:
Bei realen Einsätzen werden in der Regel verschiedene Methoden verwendet. Emittenten verwenden oft tat:web oder tat:ethr; Die Inhaber verwenden paarweise oder ephemere Kennungen. Durch diese Aufteilung bleibt das Vertrauen der Emittenten stabil, während das Korrelationsrisiko für die Nutzer verringert wird.
Um es gleich vorweg zu nehmen: Sie brauchen keine Blockchain, um eine dezentrale Identität zu implementieren. Die DID-Core-Spezifikation des World Wide Web Consortium erfordert sie nicht, und viele Produktionssysteme laufen komplett ohne Blockchain.
Warum ist die Blockchain also überhaupt im Gespräch? Weil sie ein bestimmtes Problem wirklich gut löst: gemeinsames Vertrauen ohne einen zentralen Eigentümer. Nicht die Speicherung, nicht die Identität selbst, sondern die Koordinierung von Schlüsseln, Identifikatoren und Status.
In DID-basierten Systemen fungiert die Blockchain als öffentliches, manipulationssicheres Register. Je nach Methode kann es verwendet werden, um:
Der entscheidende Punkt: Die Blockchain verifiziert nicht die Identität. Sie bietet eine gemeinsamer Bezugspunkt auf die sich die Prüfer verlassen können, ohne einer einzigen Partei zu vertrauen.
Zum Beispiel, mit tat:ethr, wird die DID anhand der Daten auf der Kette aufgelöst. Die Prüfstelle vertraut dem Zustand der Kette, nicht der Infrastruktur des Ausstellers.
Dies ist der Punkt, an dem viele DID-Implementierungen scheitern. Blockchain ist nützlich für die gemeinsame Nutzung von Daten, aber sie ist ein schrecklicher Ort für rohe Identitätsdaten. Pässe, biometrische Daten, vollständige Anmeldeinformationen oder persönliche Daten werden nicht in die Kette aufgenommen. Sie verwenden die Kette für Beweismaterial und Koordinationsdaten und halten dann sensible Identitätsdaten außerhalb der Kette.
Ein sauberer Split sieht in der Regel wie folgt aus:
On-chain:
Off-Chain:
Der Grund dafür ist einfach: Datenschutz und Kosten. Blockchains sind öffentlich, permanent und kostspielig zu aktualisieren. Identitätsdaten benötigen Datenschutz, Löschung, Korrektur und Zugangskontrolle. Diese beiden Aspekte passen nicht zusammen.
Die Blockchain wird in der Regel zur Verankerung und nicht zur Speicherung verwendet. Sie übertragen einen kleinen Zustandsnachweis in die Kette, z. B. einen Hash eines DID-Dokuments, eine Aktualisierung des Ausstellerregisters, einen Verweis auf den Berechtigungsstatus oder ein Schlüsselrotationsereignis, während die eigentlichen Identitätsdaten außerhalb der Kette bleiben.
Dadurch erhalten die Prüfer drei nützliche Eigenschaften:
Der Kompromiss ist die Dauerhaftigkeit. Wenn man die falschen Daten in die Kette einspeist, kann man sie nicht mehr sauber entfernen. Aus diesem Grund verankern ausgereifte DID-Systeme Hashes, Referenzen und Zustandsübergänge, nicht aber vollständige Anmeldeinformationen, Dokumente oder persönliche Daten.
Blockchain ist das falsche Werkzeug wenn es eine Vertrauensabhängigkeit nicht aufhebt. Wenn dieselbe Organisation den Emittenten, die Prüfstelle und die Anwendung kontrolliert, führt die Einbindung des DID-Status in die Kette in der Regel nur zu zusätzlichen Gebühren, Latenzzeiten und Betriebsstörungen.
Überspringen Sie Blockchain, wenn:
Deshalb ist tat:web für viele Identitätsströme in Unternehmen so gut funktioniert. Das DID-Modell wird beibehalten, aber es wird die bestehende Web-Infrastruktur genutzt, anstatt jede Aktualisierung durch eine Blockchain-Transaktion zu erzwingen.
Verwenden Sie Blockchain, wenn unabhängige Parteien einen gemeinsamen Zustand benötigen, den sie überprüfen können, ohne Ihrem Server zu vertrauen. Andernfalls sollten Sie es außerhalb der Blockchain halten. Mehr Dezentralisierung auf dem Papier bedeutet nicht automatisch eine bessere Identitätsarchitektur.
Bei Systemen wie der digitalen Identitätsbörse der EU oder mobilen Führerscheinen (ISO 18013-5) wurde PKI vor allem deshalb gewählt, weil öffentliche L1/L2-Netze die wichtigsten Identitätsanforderungen nicht erfüllen: Datenschutz, Datensouveränität und regulatorische Kontrolle. Identitätsdaten können nicht öffentlich vervielfältigt werden, und die Behörden müssen streng kontrollieren, wo die Daten verarbeitet und gespeichert werden.
Neuere Architekturen bieten jedoch eine dritte Möglichkeit: zugelassene zk-L2-Systeme. Diese kombinieren:
Der Kerngedanke ist die Trennung der Belange auf der Ebene der Infrastruktur:
Dadurch wird eine wesentliche Einschränkung öffentlicher Ketten vermieden: die Offenlegung von Daten. Gleichzeitig wird eine Einschränkung der reinen PKI vermieden: die Abhängigkeit von geschlossenen Vertrauenshierarchien ohne gemeinsame Überprüfbarkeit.
Eine weitere wichtige Eigenschaft ist Multi-Domain-Architektur. Verschiedene Akteure - Ministerien, Aufsichtsbehörden, Banken oder Regionen - können in getrennten Ausführungszonen mit ihren eigenen Compliance-Grenzen operieren, aber dennoch durch Nachweise zu einem gemeinsamen überprüfbaren Zustand beitragen.
Dadurch erweitert sich der Gestaltungsspielraum für Identitätssysteme. Anstatt zwischen einer zentralisierten PKI und einer öffentlichen Blockchain zu wählen, können neue Implementierungen Datenschutz, Compliance und gemeinsames Vertrauen in einem einzigen Modell kombinieren.
Ok, jetzt sollte klar sein, was DIDs anders machen als die Standard-KYC. Aber die praktischere Frage ist: Was ändert das eigentlich für mich? Gute Frage. Nach dem, was ich in realen Implementierungen gesehen habe, hängt die Auswirkung stark davon ab, auf welcher Seite man steht, daher lohnt es sich, sie aufzuschlüsseln.
Für die Nutzer ist die größte Veränderung die Kontrolle über wann und wie die Identität geteilt wird.
In der Praxis bedeutet dies, dass die Identität nicht mehr etwas ist, das man ständig neu vorlegt, sondern etwas, das man bei Bedarf anwesend.
Für Unternehmen geht es dabei weniger um UX als vielmehr um Risiko- und Kostenstruktur.
Was sich operativ ändert, ist Folgendes: Sie hören auf, ein Datenverwalter zu sein, und werden zu einem Anspruchsprüfer.
Für Entwickler ist der Wert in wie die Identitätslogik aufgebaut ist.
Vom technischen Standpunkt aus betrachtet, findet eine Verlagerung von der “Verwaltung von Benutzern und Sitzungen” zu Überprüfung von Beweisen und Durchsetzung von Bedingungen.
Lassen wir einmal die Theorie beiseite und gehen wir das Ganze wie in einem echten System durch. Was bedeutet DID eigentlich sich fühlen wie in der Praxis? Wo hört es auf, ein Diagramm zu sein, und fängt an, etwas zu sein, das man verschiffen würde?
Sie werden feststellen, dass sich die Objekte ändern - Abschlusszeugnis, beruflicher Werdegang, KYC-Status - aber der Ablauf ändert sich kaum.
Nehmen wir an, Sie haben gerade Ihren Abschluss gemacht und müssen einem zukünftigen Arbeitgeber Ihren Abschluss nachweisen. Der übliche Weg ist umständlich: Sie laden eine PDF-Datei hoch, fügen einen Scan an und warten vielleicht, bis jemand eine E-Mail an die Zulassungsstelle schickt. Es funktioniert, aber kaum. Der gesamte Prozess ist auf manuelles Vertrauen angewiesen.
Bei einer DID-basierten Bescheinigung stellt die Universität eine überprüfbare Bescheinigung aus, wenn Sie Ihren Abschluss machen. Sie befindet sich in Ihrer Brieftasche und ist mit einem Schlüssel unterzeichnet, der im DID-Dokument der Universität veröffentlicht ist.
Monate später bewerben Sie sich um eine Stelle. Der Arbeitgeber braucht die Universität nicht zu kontaktieren. Sie legen die Zeugnisse vor, und das System prüft sie:
Das ist das Schöne an diesem Modell: die Universität unterschreibt einmal, Sie verwenden den Nachweis wieder, und jeder Prüfer kann ihn unabhängig überprüfen.
Wie viel von einem Lebenslauf kann man tatsächlich glauben? Titel werden aufgeblasen. Daten werden unscharf. “Ein Team leiten” kann alles Mögliche bedeuten, von der Leitung von zehn Mitarbeitern bis zur Durchführung von Standups.
Jetzt drehen Sie das Modell um. Wenn Sie ein Unternehmen verlassen, wird Ihnen ein Zeugnis ausgestellt:
Wenn Sie das nächste Mal gefragt werden: “Können Sie beweisen, dass Sie X getan haben”, erklären Sie nichts. Du präsentierst. Und nein, das bedeutet nicht, dass Sie jedes Mal Ihren gesamten beruflichen Werdegang offenlegen müssen. Mit dem richtigen Ausweisformat kann der Inhaber eine engere Behauptung nachweisen, z. B.:
...ohne die gesamte Beschäftigungsgeschichte zu übermitteln. Das ist eine ganz andere Haltung als “Senden Sie uns Ihren vollständigen Lebenslauf und Ihre Referenzen.”
Hier wird die wiederverwendbare Identität offensichtlich. Sie verifizieren sich einmal bei einem vertrauenswürdigen Anbieter: Reisepass geprüft, Sanktionsprüfung bestanden, Gerichtsbarkeit bestätigt. Der Anbieter stellt eine KYC-Bestätigung für Ihre Brieftasche aus.
Nächste Plattform? Sie legen die Anmeldedaten vor, anstatt die gleichen Dokumente erneut hochzuladen. Die Plattform prüft:
Einige Tokenisierungs-Teams verwenden auch Seelengebundene Spielsteine als On-Chain-KYC-Marker: Diese Adresse hat die erforderliche Prüfung bestanden. Die Identitätsdaten bleiben außerhalb der Kette; die Kette trägt nur das Berechtigungssignal.
Nützlich, aber nur, wenn die Markierung weit gefasst und widerrufbar ist und nicht zu einem dauerhaften Verlust der Privatsphäre führt.
Das Gesundheitswesen ist ein Bereich, in dem die DID-Architektur an die kurze Leine genommen werden muss. Nehmen wir an, eine Klinik stellt Ihnen eine Impfbescheinigung aus, ein Labor signiert Ihr Bluttestergebnis und Ihr Arzt stellt Ihnen eine Rezeptbescheinigung aus. Sie bewahren sie in Ihrer Brieftasche auf, anstatt jeden Datensatz in einem anderen Portal verschwinden zu lassen.
Dann wechseln Sie den Arzt. Warten Sie darauf, dass ein System mit einem anderen kommuniziert? Müssen Sie sich mit PDFs herumschlagen? Nein. Sie teilen dem neuen Anbieter die spezifische Bescheinigung mit, die dieser benötigt. Sie überprüfen den Aussteller, die Unterschrift und den Status.
Und nur um das klarzustellen: Nichts davon erfordert, dass medizinische Daten in die Kette aufgenommen werden. Die Kette ist für Identifikatoren, Schlüssel, vielleicht Statusregister. Die sensiblen Daten bleiben außerhalb der Kette. Wenn diese Grenze nicht respektiert wird, ist das Design kaputt.
Lassen wir einmal die Menschen beiseite. Nehmen Sie ein Produkt in die Hand - sagen wir, eine Flasche Olivenöl. Hochwertiges Etikett, schöne Verpackung. Ist es echt? Anstatt sich auf die Marke zu verlassen, tippen Sie mit Ihrem Telefon auf einen NFC-Tag. Hinter diesem Etikett befindet sich eine DID, die mit der Produktcharge verknüpft ist.
Was Sie zurückbekommen, sind signierte Daten:
Sie können das Produkt buchstäblich von der Quelle bis zum Regal verfolgen. Ist damit alles gelöst? Nein. Wenn die erste Dateneingabe falsch ist, bleibt der Fehler bei allen weiteren Eingaben erhalten. Aber zumindest wissen Sie jetzt wer jeden Schritt unterschrieben. Das ist ein großer Fortschritt gegenüber “Vertrauen Sie uns.”
Die Regierung ist der Ort, an dem die DID-Identität die Krypto-Blase verlässt. Ein wichtiger Bezugspunkt ist die EU-Geldbörse für digitale Identitäten im Rahmen von eIDAS 2.0, einer groß angelegten Initiative, die darauf abzielt, Geldbörsen für Bürger, Einwohner und Unternehmen in allen Mitgliedstaaten bereitzustellen.
Aber die breitere Landschaft ist noch vielfältiger. Einige der größten und ausgereiftesten digitalen Identitätssysteme weltweit sind nicht streng DID-basiert, folgen aber ähnlichen Mustern in Bezug auf wiederverwendbare Ausweise und vom Inhaber kontrollierte Daten:
Diese Systeme haben alle den gleichen Wandel zu verzeichnen: weg von zentralisierten Identitätsdatensätzen hin zu wiederverwendbaren, vom Benutzer vorgelegten Nachweisen. Gleichzeitig ist es wichtig, die Vertrauensmodelle zu trennen. Systeme wie eIDAS stützen sich auf föderierte PKI und Vertrauensdienstlisten, während DID-basierte Systeme auf kryptografischen Identifikatoren und überprüfbaren Berechtigungsnachweisen basieren. In der Praxis existieren diese Modelle oft nebeneinander, anstatt sich gegenseitig zu ersetzen.
Bisher hat alles innerhalb eines einzigen Systems gut funktioniert. Aber was passiert, wenn Berechtigungsnachweise Systemgrenzen überschreiten? Dann wird es schwierig. Sie brauchen gemeinsame Standards, damit die Daten überall Sinn machen, und Sie brauchen eine Governance, damit die Prüfer wissen, welchen Ausstellern sie vertrauen können. Hier sind die wichtigsten Standards und Governance-Ebenen.
| Ebene | Was sie definiert | Wie es in der Praxis aussieht | Warum das wichtig ist |
|---|---|---|---|
| W3C DID Core-Spezifikation | DID-Syntax (did:methode:id), DID-Dokumente, Verifikationsbeziehungen, Auflösungsmodell | DID-Dokument mit verificationMethod, Authentifizierung, assertionMethod, Dienst-Endpunkte | stellt sicher, dass jeder Prüfer eine DID auflösen kann und versteht, welche Schlüssel für welche Operationen gültig sind |
| Datenmodell für überprüfbare Berechtigungsnachweise | Struktur der Berechtigungsnachweise, Rollen von Ausstellern, Inhabern und Prüfern, Nachweisformate, Präsentationsmodell | JSON-LD- oder JWT-Berechtigungsnachweise, selektive Offenlegung, Austausch von Präsentationen | Ermöglicht die Übertragbarkeit von Berechtigungsnachweisen über verschiedene Systeme hinweg und deren Überprüfung ohne Beteiligung des Ausstellers |
| DIF (Dezentralisierte Identitätsstiftung) | Protokolle, Interoperabilitätsspezifikationen, Kommunikation zwischen Wallet und Agent, Austausch von Präsentationen | DIDComm-Nachrichtenübermittlung, Präsentationsaustausch, Brieftasche-zu-Brieftasche- oder Brieftasche-zu-Dienst-Flüsse | Verhindert eine Fragmentierung, indem verschiedene Geldbörsen und Verifizierer tatsächlich zusammenarbeiten |
| Rahmen des Vertrauens | Akkreditierung von Ausstellern, Berechtigungsschemata, Sicherheitsstufen, Governance-Regeln | Für eine Plattform zugelassene KYC-Anbieter, Schemadefinitionen für “verifizierter Anleger” oder “lizenzierte Einrichtung” | Legt fest, welche Nachweise akzeptabel sind und unter welchen Bedingungen man sich auf sie verlassen kann |
Normen machen Ausweise interoperabel. Governance macht sie akzeptabel. Ohne Standards lässt sich nichts parsen. Ohne Governance ist nichts vertrauenswürdig. Echte Systeme funktionieren nur, wenn beide Ebenen gemeinsam definiert sind.
Normen sagen Ihnen, wie sich ein DID-System verhalten sollte. Die Produktion sagt Ihnen, wo es unübersichtlich wird. Heute gehen die meisten Risiken nicht von der DID-Syntax oder den Signaturalgorithmen selbst aus. Sie betreffen Brieftaschen, Schlüsselwiederherstellung, Widerruf, Interoperabilität und die Frage, ob genügend Emittenten und Prüfer sich tatsächlich darauf einigen, das gleiche Vertrauensmodell zu verwenden.
In DID-Systemen hängt die Identität von der Schlüsselkontrolle ab. Das ist leistungsfähig, aber unversöhnlich. Wenn ein Benutzer den Schlüssel verliert, ist die Wiederherstellung nicht automatisch. Gelangt ein Angreifer in den Besitz des Schlüssels, kann er sich als dessen Inhaber ausgeben. Aus diesem Grund verlassen sich seriöse Implementierungen nur selten auf eine Rohdatenphrase allein. Sie benötigen in der Regel MPC, soziale Wiederherstellung, Hardware-gestützte Schlüssel oder ein hybrides Verwahrungsmodell.
Zeugnisse altern. KYC läuft ab, Mitarbeiter gehen, Lizenzen werden ausgesetzt. Die Überprüfung kann also nicht bei der Frage “Ist die Unterschrift gültig?” stehen bleiben. Die Prüfstelle prüft den Status des Ausweises zum Zeitpunkt der Verwendung. Das bedeutet in der Regel Statuslisten, Sperrverzeichnisse oder kurzlebige Ausweisdokumente. Wird dieser Teil vernachlässigt, sehen alte Berechtigungsnachweise weiterhin gültig aus.
Standards sind hilfreich, aber sie machen nicht auf magische Weise jede Wallet, jeden Emittenten und jeden Verifier kompatibel. Ein Stack verwendet vielleicht JSON-LD-Anmeldeinformationen, ein anderer bevorzugt vielleicht JWT. DID-Methoden. Die Darstellungsprotokolle unterscheiden sich. Ja, das Ökosystem bewegt sich in Richtung Interoperabilität, aber reale Projekte benötigen immer noch Integrationsarbeit und strenge Profilentscheidungen.
Der schwierigste Teil ist die Koordination. Ein DID-System braucht Emittenten, denen die Menschen vertrauen, Prüfstellen, die bereit sind, Ausweise zu akzeptieren, Nutzer, die in der Lage sind, Wallets zu verwalten, und Governance-Regeln, die jeder versteht. Solange diese Teile nicht aufeinander abgestimmt sind, erfolgt die Einführung nur punktuell: reguliertes Finanzwesen, Tokenisierung, Mitarbeiterausweise, staatliche Ausweise und geschlossene Ökosysteme zuerst.
Die meisten DID-Systeme basieren heute auf der Kryptographie mit elliptischen Kurven: Ed25519, secp256k1, oder P-256. Diese Verfahren sind weit verbreitet, aber sie sind nicht post-quantum-sicher. Ein hinreichend leistungsfähiger Quantencomputer könnte sie mit dem Shor-Algorithmus brechen, was die Fälschung von Unterschriften zu einem echten langfristigen Risiko macht.
Das ist wichtig, weil Identitätsnachweise oft jahrelang gültig sind. Diplome, Lizenzen und juristische Bescheinigungen, die heute ausgestellt werden, müssen unter Umständen auch dann noch überprüft werden, wenn die ihnen zugrunde liegende Kryptographie längst überholt ist.
Die Standards bewegen sich bereits in diese Richtung. Das NIST hat Post-Quantum-Signaturverfahren wie ML-DSA (Dilithium) und SLH-DSA (SPHINCS+) fertiggestellt, während das DID/VC-Ökosystem hybride Signaturen und Krypto-Agilität erforscht.
DID-Systeme sollten vom ersten Tag an mehrere Überprüfungsmethoden, neue Signatursuiten und klare Schlüsselrotationspfade unterstützen. Post-Quantum-Signaturen sind viel größer als Ed25519- oder ECDSA-Signaturen, was sich auf QR-Präsentationen, Register und On-Chain-Statusmechanismen auswirkt. Für langlebige Behörden- und Unternehmensidentitäten ist die Krypto-Agilität jedoch ein Muss.
Der häufigste Fehler besteht darin, DID als etwas zu betrachten, das man zu einem bestehenden Identitätsstapel “hinzufügt”. In der Praxis geht es darum, wie man Vertrauen, Datenfluss und Verantwortung modelliert. Die technischen Aspekte sind selten der schwierigste Teil. Die meisten Projekte sind erfolgreich oder scheitern an der Koordination, Governance und Integration.
Ermitteln Sie zunächst, wo Sie Identitätsdaten speichern, um sie später zu überprüfen: KYC-Status, Alter, Beschäftigung, Lizenzen, Akkreditierung und Zugangsrechte. Ziel ist es, weniger Rohdaten zu speichern und mehr signierte Angaben zu verifizieren. Das reduziert die Haftung, vereinfacht die Einhaltung von Vorschriften und macht die Identität systemübergreifend übertragbar.
Bevor Sie Werkzeuge auswählen, sollten Sie das Vertrauensmodell konkret definieren. In realen Projekten führt das in der Regel zu:
Andernfalls erhalten Sie Ausweise, die zwar korrekt verifiziert, aber von den Überprüfern nicht akzeptiert werden.
Wählen Sie nun den technischen Stack. Wählen Sie die DID-Methode, das Berechtigungsformat, den Wallet-Flow und das Widerrufsmodell. tat:web in der Regel für Unternehmen und SaaS-Ströme geeignet. tat:ethr passt zur Durchsetzung von Smart Contracts und zur On-Chain-Identität. hat:Schlüssel passt zu kurzlebigen oder lokalen Identifikatoren.
Entscheiden Sie sich nicht für die “dezentralste” Option. Wählen Sie die Option, die Ihrer Vertrauensgrenze entspricht.
Beginnen Sie nicht mit “Identität für alles”. Beginnen Sie mit einem Fluss, bei dem der Schmerz klar ist. Gute Piloten sind:
Enger Anwendungsbereich: ein Berechtigungstyp, ein oder zwei Aussteller, ein Überprüfungsablauf, klare Widerrufsregeln. Vermeiden Sie den Beginn mit:
Beweisen Sie den Fluss von Ende zu Ende und erweitern Sie dann.
Sobald man von einem Pilotprojekt zur Produktion übergeht, ist die Ausstellung von Berechtigungsnachweisen nur noch die Hälfte des Problems. Die schwierigere Frage ist, was passiert, wenn ein Berechtigungsnachweis nicht mehr vertrauenswürdig ist: eine KYC-Prüfung läuft ab, ein Mitarbeiter verlässt das Unternehmen, eine Lizenz wird ausgesetzt oder eine Brieftasche wird kompromittiert.
Es gibt keinen einzigen Standardansatz, und jedes Modell bringt Kompromisse mit sich:
Verschiedene Ökosysteme verfolgen unterschiedliche Ansätze. So beruhen beispielsweise mobile Führerscheine nach ISO 18013-5 eher auf der Validierung des Ausstellers und auf Vertrauenslisten als auf einem Widerruf nach W3C-Vorbild. Ohne eine klare Widerrufsstrategie bricht das Modell der “wiederverwendbaren Berechtigungsnachweise” zusammen. Ein kompromittierter Berechtigungsnachweis kann weiterhin vorgelegt werden, wenn sein Status nicht aktiv überprüft wird.
Ein typisches DID/VC-Projekt verläuft in Phasen. Ein Pilotprojekt dauert in der Regel 3-4 Monate und validiert einen Anwendungsfall von Ende zu Ende, typischerweise im Bereich von $150K–$300K, je nach Umfang. Ein Produktionsrollout dauert 9-12 Monate und erweitert sich auf mehrere Aussteller, Prüfer und Berechtigungstypen, in der Regel von $800K bis $2M+, abhängig von der Komplexität der Integration und den Anforderungen an die Einhaltung der Vorschriften.
Zu einem typischen Team gehören:
In der Praxis liegt die Komplexität selten in der Kryptographie. Sie liegt in der Integration, der Verwaltung und der Benutzerfreundlichkeit.
Um dies abzuschließen, lassen Sie uns ein wenig herauszoomen. Die DID-basierte Identität ist kein fertiger Stack. Er befindet sich noch in der Entwicklung, vor allem in Bezug auf Nachweissysteme, Brieftascheninfrastruktur, Interoperabilitätsebenen und die Integration von Vorschriften. Aus dem, was ich in realen Implementierungen sehe, werden einige Richtungen deutlich.
Eine wiederverwendbare Identität ist das offensichtliche Endziel, aber der Engpass ist nicht die Überprüfung der Unterschrift. Dieser Teil funktioniert bereits. Der schwierigere Teil ist das Vertrauen des Ausstellers, die Schemata der Berechtigungsnachweise und die Akzeptanzregeln.
Künftig sollte ein in einem regulierten Umfeld ausgestellter KYC-Nachweis über Börsen, Tokenisierungsplattformen, Kreditprodukte und konforme DeFi-Schnittstellen hinweg wiederverwendbar sein, vorausgesetzt, die DID des Ausstellers ist auflösbar, das Schema wird verstanden und die Prüfstelle akzeptiert den Aussteller in ihrem Vertrauensrahmen. Darin liegt die eigentliche Arbeit: nicht zu beweisen, dass eine Signatur gültig ist, sondern zu vereinbaren, was die signierte Forderung tatsächlich bedeutet.
Heute weisen viele Systeme noch Eigenschaften auf. Die Zukunft ist der Nachweis von Bedingungen. Anstatt Ihr Geburtsdatum anzugeben, weisen Sie nach, dass Sie über 18 Jahre alt sind. Anstatt die vollständigen KYC-Daten offenzulegen, beweisen Sie, dass Sie eine bestimmte Compliance-Richtlinie erfüllt haben. Anstatt ein Rechtsprechungsfeld freizugeben, weisen Sie die Berechtigung für eine Transaktion nach.
Technisch gesehen deutet das auf BBS+-Signaturen für die selektive Offenlegung und zk-SNARKs oder zk-STARKs für Prädikatsnachweise hin. Der Verifizierer prüft den Beweis anhand der vom Aussteller kontrollierten öffentlichen Schlüssel, während die zugrunde liegenden persönlichen Daten verborgen bleiben. Damit ändert sich das Datenschutzmodell von “weniger Daten weitergeben” zu “gar keine Daten weitergeben, wenn ein Beweis ausreicht.”
Die Interoperabilität wird darüber entscheiden, ob die dezentralisierte Identität fragmentiert bleibt oder zu einer brauchbaren Infrastruktur wird.
Die Schwachstellen sind nach wie vor bekannt: JSON-LD vs. JWT-Berechtigungsnachweise, unterschiedliche DID-Methoden, unterschiedliche Brieftaschenprotokolle, unterschiedliche Präsentationsabläufe. Aus diesem Grund definieren Produktionssysteme zunehmend strenge Profile: zugelassene Berechtigungsformate, unterstützte DID-Methoden, vertrauenswürdige Aussteller und akzeptierte Präsentationsprotokolle.
Im Laufe der Zeit erwarte ich eine stärkere Konvergenz in Bezug auf den Fluss von Brieftaschen zu Überprüfern, den Austausch von Präsentationen und Vertrauensregistern. Ohne dies wird jedes DID-Projekt zu einer weiteren Identitätsinsel. Damit können Berechtigungsnachweise plattformübergreifend genutzt werden, ohne dass jedes Mal eine individuelle Integration erforderlich ist.
Durch die Regulierung wird die dezentrale Identität von einer technischen Option zu einer öffentlichen Infrastruktur.
In der EU sind eIDAS 2.0 und die EU Digital Identity Wallet das große Signal. Die Mitgliedstaaten sind verpflichtet, eine Wallet-Infrastruktur mit Berechtigungsnachweisen für Identitätsattribute, Lizenzen, Qualifikationen und Anwendungsfälle im öffentlichen und privaten Sektor bereitzustellen. Damit wird eine regulierte Ausweisschicht in ganz Europa geschaffen.
In den USA aktualisiert das National Institute of Standards and Technology die Richtlinien zur digitalen Identität (z. B. NIST 800-63), um kryptografische Berechtigungsnachweise, Zuverlässigkeitsstufen und datenschutzfreundliche Verifizierung zu berücksichtigen. Die USA werden wahrscheinlich ein eher marktorientiertes Modell beibehalten, während die EU einen koordinierten Rahmen für Brieftaschen vorantreibt.
Wohin soll das führen? In Richtung weniger Dokumenten-Uploads, mehr wiederverwendbare Ausweise, mehr lokale kryptografische Überprüfungen und eine selektivere Offenlegung. Die Gewinner werden nicht die Systeme sein, die die meisten Identitätsdaten speichern. Sie werden diejenigen sein, die die richtige Behauptung mit dem geringsten Risiko überprüfen können.
Ein dezentraler Identifikator ist ein eindeutiger, auflösbarer Identifikator, der auf ein DID-Dokument verweist, das öffentliche Schlüssel und Überprüfungsmethoden enthält. Er ermöglicht den Nachweis von Identität oder Kontrolle, ohne sich auf eine zentrale Behörde zu verlassen. In der Praxis werden Datenbankabfragen durch kryptografische Überprüfungen ersetzt.
Ein DID wird in ein DID-Dokument mit öffentlichen Schlüsseln aufgelöst. Ein Aussteller signiert einen Berechtigungsnachweis, ein Inhaber speichert ihn, und ein Prüfer überprüft die Signatur und den Status anhand der DID des Ausstellers. Es ist kein direkter Aufruf des Ausstellers erforderlich. Dies macht die Überprüfung portabel und unabhängig von einem einzelnen System.
Unter dezentraler Identität versteht man das Gesamtmodell der Ausstellung und Überprüfung von Ansprüchen ohne zentrale Speicherung. Eine DID ist nur eine Komponente dieses Modells. Sie dient als Identifizierungsschicht für die Auflösung von Schlüsseln und die Überprüfung von Signaturen. Ohne DIDs gäbe es im System keine einheitliche Möglichkeit, Verifizierungsmaterial zu finden und ihm zu vertrauen.
Nicht unbedingt. Einige DID-Methoden verwenden Blockchains zur Auflösung oder Verankerung, aber viele, wie tat:web, basieren auf einer Standard-Web-Infrastruktur. Die DID selbst ist eine Referenz, kein Datensatz. Was in der Kette gespeichert werden kann, sind Schlüssel, Hashes oder Statusreferenzen, keine Identitätsdaten.
Sie werden verwendet, um Identitäten mit kryptografischen Schlüsseln zu verknüpfen, überprüfbare Berechtigungsnachweise zu ermöglichen, wiederverwendbare KYC, die Überprüfung von Arbeitskräften, digitale IDs und die Zugangskontrolle sowohl in web- als auch in blockchainbasierten Systemen zu unterstützen. Ihre Aufgabe besteht darin, die Identitätsüberprüfung systemübergreifend zu ermöglichen.
Sie generieren ein Schlüsselpaar und erstellen eine DID nach einer gewählten Methode. Dann veröffentlichen oder registrieren Sie es, damit es in ein DID-Dokument aufgelöst werden kann. Der genaue Vorgang hängt von der DID-Methode ab (z. B. web-, blockchain- oder schlüsselbasiert). Die Methode bestimmt, wie die DID verankert, aktualisiert und aufgelöst wird.
