OpenID4VC: Die technische Grundlage der EUDI-Wallet
OpenID4VC beschreibt, wie digitale Nachweise ausgestellt und präsentiert werden. Für EUDI-Wallet-Projekte ist der Standard einer der wichtigsten Bausteine zwischen Wallet, Issuer und Verifier.
Wallet-Projekte klingen schnell abstrakt: digitale Identität, Verifiable Credentials, eIDAS, Trust Framework, Issuer, Holder, Verifier. Dahinter steht jedoch ein sehr konkreter technischer Kern. Einer der wichtigsten Standards ist OpenID for Verifiable Credentials, kurz OpenID4VC. Er beschreibt, wie digitale Nachweise sicher ausgestellt, in einer Wallet gespeichert und später gegenüber einem Prüfer präsentiert werden können.
Für die EUDI-Wallet ist OpenID4VC deshalb zentral. Der Standard verbindet bekannte OpenID-Konzepte mit den Anforderungen verifizierbarer Nachweise. Unternehmen, die Wallet-Prozesse bauen wollen, sollten OpenID4VC nicht nur als technische Spezifikation betrachten, sondern als Prozessmodell für digitale Nachweise.
Die drei Rollen: Issuer, Holder und Verifier
OpenID4VC arbeitet mit drei Rollen:
- Der Issuer stellt einen digitalen Nachweis aus. Das kann eine Behörde, ein Arbeitgeber, eine Versicherung, eine Hochschule oder ein Unternehmen sein.
- Der Holder erhält den Nachweis und verwaltet ihn in einer Wallet.
- Der Verifier prüft den Nachweis, wenn der Holder ihn in einem konkreten Vorgang teilt.
Dieses Modell trennt Verantwortung sauber. Der Issuer garantiert die Echtheit des Nachweises. Der Holder kontrolliert die Weitergabe. Der Verifier erhält genau die Informationen, die für den Vorgang gebraucht werden.
Für Unternehmen ist diese Trennung ein großer Vorteil. Sie können entweder Nachweise ausstellen, Nachweise prüfen oder beides tun. Ein Versicherer kann zum Beispiel eine digitale Police oder Mitgliedsbestätigung ausstellen und zugleich Nachweise von Kundinnen und Kunden prüfen. Eine HR-Abteilung kann Qualifikationen verifizieren und später eigene Arbeits- oder Teilnahmebestätigungen ausgeben.
Ausstellung: OpenID4VCI
OpenID4VCI steht für OpenID for Verifiable Credential Issuance. Der Standard beschreibt, wie ein Credential in eine Wallet gelangt. In der Praxis startet der Prozess häufig über einen Link, QR-Code oder eine integrierte Nutzerreise. Der Holder authentifiziert sich, der Issuer prüft die Berechtigung und stellt anschließend das Credential aus.
Wichtig ist dabei nicht nur die technische Übergabe. Ein Issuer braucht ein vollständiges Backend:
- Credential-Vorlagen für unterschiedliche Nachweistypen
- Datenquellen aus Fachsystemen, SAP, CRM oder Registern
- Signatur- und Schlüsselmanagement
- Regeln für Gültigkeit und Widerruf
- Monitoring und Supportprozesse
Ein gutes Issuer-System ist deshalb kein reiner Dokumentengenerator. Es ist eine vertrauenswürdige Schnittstelle zwischen Unternehmensdaten und Wallet-Ökosystem.
Präsentation: OpenID4VP
OpenID4VP steht für OpenID for Verifiable Presentations. Der Standard beschreibt, wie ein Holder einem Verifier einen Nachweis präsentiert. Der Verifier fordert bestimmte Informationen an, die Wallet zeigt der Nutzerin oder dem Nutzer diese Anfrage, und erst nach Zustimmung werden die relevanten Daten geteilt.
Das ist ein wichtiger Unterschied zu klassischen Formularen. Der Verifier fragt nicht pauschal nach einem Dokument, sondern nach bestimmten Aussagen. Bei einem Altersnachweis kann die Antwort lauten: Diese Person ist über 18. Der Verifier muss nicht zwingend Name, Anschrift oder Geburtsdatum erhalten.
Diese selektive Offenlegung passt sehr gut zum Datenschutzgedanken der EUDI-Wallet. Sie reduziert Datenweitergabe und ermöglicht trotzdem eine belastbare Prüfung.
Warum Widerruf und Statusprüfung dazugehören
Ein digitaler Nachweis ist nur dann nützlich, wenn seine Gültigkeit geprüft werden kann. Ein Führerschein kann entzogen werden, ein Zertifikat ablaufen, eine Berechtigung widerrufen werden. Wallet-Prozesse brauchen daher Mechanismen, mit denen Verifier prüfen können, ob ein Credential noch gültig ist.
Dabei muss die Architektur sorgfältig entworfen werden. Einerseits braucht der Verifier verlässliche Statusinformationen. Andererseits darf die Prüfung nicht zu Tracking führen, bei dem Issuer oder Infrastrukturbetreiber nachvollziehen können, wann ein Holder welchen Nachweis wo verwendet. Gute Wallet-Architektur denkt Datenschutz und Betriebsfähigkeit gemeinsam.
Was das für Integrationsprojekte bedeutet
In echten Projekten liegt die Komplexität selten nur im Protokoll. Die größeren Fragen entstehen an den Systemgrenzen:
- Woher kommen die Daten für ein Credential?
- Wer darf ein Credential ausstellen?
- Wie wird ein Nachweis aktualisiert oder widerrufen?
- Wie wird der Prüfprozess in bestehende Portale oder Fachverfahren integriert?
- Welche Fehlerfälle müssen Nutzer:innen verstehen können?
Deshalb sollte OpenID4VC früh in die Prozessanalyse einfließen. Ein Credential ist kein hübsches PDF in einer App. Es ist ein maschinenprüfbarer Nachweis mit rechtlicher, technischer und organisatorischer Bedeutung.
Ein Beispiel: Qualifikationsnachweis im Unternehmen
Ein Unternehmen möchte Schulungsnachweise digital ausstellen. Nach Abschluss einer Pflichtschulung erzeugt das Learning-System ein Credential. Die Mitarbeiterin erhält es in ihrer Wallet. Monate später muss sie bei einem Einsatz nachweisen, dass die Schulung gültig absolviert wurde. Der Verifier prüft den Nachweis per QR-Code oder Link und erhält nur die relevanten Informationen: Schulung, Gültigkeit, Aussteller, Status.
Der Prozess spart manuelle Kontrolle, reduziert Rückfragen und macht Berechtigungen portabel. Gleichzeitig bleibt die Nutzerin in Kontrolle darüber, wann sie den Nachweis teilt.
Fazit
OpenID4VC ist einer der wichtigsten technischen Bausteine für die EUDI-Wallet. Der Standard macht digitale Nachweise interoperabel, prüfbar und in konkrete Prozesse integrierbar. Für Unternehmen ist er der Punkt, an dem aus Wallet-Strategie echte Umsetzung wird.
Unsere BU Wallets unterstützt bei der Konzeption von Issuer- und Verifier-Prozessen, der Integration in bestehende Systeme und der Umsetzung von OpenID4VC-basierten Wallet-Anwendungen.