Verifiable Credentials: digitale Nachweise nach W3C-Standard

Ein Zeugnis auf Papier lässt sich fälschen, ein PDF noch leichter. Wer prüfen will, ob ein Nachweis echt ist, muss traditionell beim Aussteller nachfragen — ein Anruf beim Prüfungsamt, eine E-Mail an die Personalabteilung. Das dauert, kostet Zeit auf beiden Seiten und funktioniert nicht, wenn der Aussteller nicht mehr erreichbar ist.

Verifiable Credentials drehen das um: Der Nachweis trägt seinen Echtheitsbeweis in sich. Der Aussteller signiert ihn mit einem privaten Schlüssel; jeder, der den zugehörigen öffentlichen Schlüssel kennt, kann prüfen, dass der Nachweis von diesem Aussteller stammt und seitdem nicht verändert wurde. Das funktioniert maschinell, in Sekunden und ohne Anruf.

Das Datenmodell des W3C beschreibt drei Rollen. Der Aussteller (Issuer) — etwa eine Hochschule oder ein Unternehmen — erstellt den Nachweis mit Aussagen über eine Person (Credential Subject), zum Beispiel „hat den Kurs X mit Ergebnis Y abgeschlossen“. Der Inhaber (Holder) verwahrt ihn, etwa in einer digitalen Brieftasche, und legt ihn bei Bedarf vor. Der Prüfer (Verifier) — ein Arbeitgeber, eine andere Hochschule — prüft Signatur, Gültigkeit und Status.

Was, wenn ein Nachweis zurückgezogen werden muss, etwa nach einem Fehler oder einer aufgedeckten Täuschung? Verifiable Credentials verweisen dafür auf eine Statusliste. Der Aussteller veröffentlicht eine signierte Liste aus Bits; jeder Nachweis kennt seine Position. Ist das Bit gesetzt, ist der Nachweis widerrufen. Das W3C hat dafür den Standard „Bitstring Status List“ verabschiedet.

Der Vorteil für den Datenschutz: Die Liste enthält keine Namen, nur Bits. Der Prüfer lädt die ganze Liste und liest die eine Position — der Aussteller erfährt nicht, wessen Nachweis gerade geprüft wird.

Ein Nachweis, den der Inhaber selbst verwahrt und vorlegt, passt gut zu den Grundsätzen der DSGVO: Der Inhaber kontrolliert, wer welche Daten sieht. Moderne Verfahren erlauben zudem selektive Offenlegung — etwa nur die Angabe „Abschluss vorhanden“, ohne Note und Geburtsdatum. Das entspricht dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO.

Trotzdem bleibt ein Nachweis ein Bündel personenbezogener Daten. Aussteller müssen festlegen, welche Angaben wirklich nötig sind, und sollten personenbezogene Daten nicht in öffentliche oder unveränderliche Register schreiben, aus denen sie nie wieder gelöscht werden können.

Im Bildungsbereich bauen mehrere Standards auf dem Datenmodell auf. Open Badges 3.0 formt digitale Abzeichen und Zertifikate als Verifiable Credentials. Die europäischen digitalen Nachweise im European Learning Model nutzen ebenfalls die Grundlage des W3C und ergänzen ein qualifiziertes elektronisches Siegel nach eIDAS. Mit der europäischen Brieftasche für die digitale Identität nach der Verordnung (EU) 2024/1183 wird es zudem möglich, solche Nachweise neben dem Ausweis zu verwahren.

Für Aussteller lohnt es sich, zweigleisig zu fahren: ein für Menschen lesbares Dokument — ein PDF mit QR-Code — und der maschinenprüfbare Nachweis dahinter. So kann der Personalchef auf das Dokument schauen und die Software des Bewerbermanagements trotzdem automatisch prüfen.

Eine Signatur beweist nur, dass ein bestimmter Schlüssel unterschrieben hat. Der Prüfer muss zusätzlich wissen, dass dieser Schlüssel wirklich zur Hochschule oder zum Unternehmen gehört, das als Aussteller genannt ist. Dafür gibt es verschiedene Wege. Bei einer dezentralen Kennung, die an eine Web-Adresse gebunden ist, veröffentlicht der Aussteller seinen öffentlichen Schlüssel unter seiner eigenen Domain — wer der Domain vertraut, vertraut dem Schlüssel.

Für höhere Vertrauensstufen kommen Vertrauenslisten oder qualifizierte elektronische Siegel nach der eIDAS-Verordnung hinzu. Für die meisten Bildungsnachweise genügt die Bindung an die bekannte Domain des Ausstellers; für Abschlüsse mit europäischer Reichweite gewinnt das qualifizierte Siegel an Bedeutung.