Aussteller
(Issuer)
Ein Aussteller ist die Organisation, die ein Verifiable Credential erstellt und kryptografisch signiert, zum Beispiel eine Behörde, eine Bank oder eine Handelskammer, und damit für die enthaltenen Claims bürgt.
Ein Aussteller übergibt einem Inhaber ein signiertes Credential über ein Protokoll wie OpenID4VCI und muss nicht erneut kontaktiert werden, wenn dieses Credential später geprüft wird: Ein Verifizierer validiert die Signatur stattdessen gegen den öffentlichen Schlüssel des Ausstellers. Unter eIDAS 2.0 muss ein Aussteller qualifizierter Attestierungen auf einer nationalen Trusted List geführt werden, sodass jeder Verifizierer die Berechtigung ohne separate Vereinbarung pro Aussteller bestätigen kann. Ausstellen ist eine eigene Rolle, getrennt vom Betrieb einer Wallet oder eines Verifizierer-Systems: Eine Organisation kann alle drei Rollen innehaben, aber die technischen und rechtlichen Pflichten unterscheiden sich für jede. Als Aussteller ist sie dafür verantwortlich, ihre Signaturschlüssel sicher zu halten, eine Widerrufsstatusliste zu veröffentlichen, damit Verifizierer prüfen können, ob ein Credential noch gültig ist, und das Schema des Credentials festzulegen, welche Angaben es enthält und in welchem Format, typischerweise SD-JWT VC oder ein ISO mdoc. Weil die Prüfung keine Kontaktaufnahme mit dem Aussteller zum Nutzungszeitpunkt erfordert, kann ein Aussteller offline gehen, seine Infrastruktur ändern oder sogar aufhören, einen bestimmten Credential-Typ zu betreiben, solange sein öffentlicher Schlüssel und die Statusliste für die bereits ausgestellten Credentials weiterhin veröffentlicht bleiben, damit diese prüfbar bleiben. Diese Trennung zwischen Ausstellung und Prüfung ist es, die ein Credential jederzeit und überall prüfen lässt, ohne dass der Aussteller an jeder Transaktion beteiligt ist.
Verwandte Begriffe
Muss ein Aussteller online sein, damit ein Verifizierer ein Credential prüfen kann?
Nein. Ein Verifizierer prüft die Signatur des Credentials gegen den veröffentlichten öffentlichen Schlüssel des Ausstellers und schaut in dessen Widerrufsstatusliste nach, wofür beides keine direkte Kontaktaufnahme mit dem Aussteller nötig ist. Deshalb kann ein Aussteller offline sein oder sogar aufhören, einen Credential-Typ zu betreiben, während bereits ausgestellte Credentials prüfbar bleiben, solange Schlüssel und Statusliste veröffentlicht bleiben.