Seminar Supply-Chain Credentials Engineering mit W3C Verifiable Credentials und OpenID4VC

Das Seminar richtet sich auf implementierbare Credential-Flows in Unternehmens- und Lieferkettenprozessen. Neben Datenmodell und Protokollen stehen Trust, Schlüsselbetrieb, Statusprüfung, Datenschutz und reproduzierbare Interoperabilitätstests im Mittelpunkt.

Inhaltsübersicht

1. Kapitel 1: Use Case, Trust Model und Credential Contract
2. Kapitel 2: W3C-Verifiable-Credentials-Datenmodell
3. Kapitel 3: Issuer- und Wallet-Architektur
4. Kapitel 4: OpenID4VCI Issuance Flow
5. Kapitel 5: OpenID4VP Presentation Flow
6. Kapitel 6: Signaturen, Identitäten und Schlüsselbetrieb
7. Kapitel 7: Status, Privacy und Lifecycle
8. Kapitel 8: Trust Registry und Policy Enforcement
9. Kapitel 9: Interoperabilität, Tests und Betrieb

Zielsetzung

Die Lernziele verbinden fachliche Einordnung, strukturierte Modellierung und schrittweise Umsetzung. Nach Abschluss stehen dokumentierte Arbeitsartefakte für Projekt, Architektur, Datenmanagement oder Betrieb zur Verfügung.

• Credential-Schemas und Vertrauensrollen implementierungsnah spezifizieren
• OpenID4VCI- und OpenID4VP-Flows sicher entwerfen
• Wallet-, Issuer-, Verifier- und Statusdienste integrieren
• Signaturen, Schlüssel, Status und Privacy operationalisieren
• Interoperabilitäts-, Security- und End-to-End-Tests automatisierbar definieren

Zielgruppe

• Identity- und Credential-Engineering
• Backend-, Wallet- und API-Entwicklung
• Security- und PKI-Architektur
• DPP- und Supply-Chain-Plattformteams
• Testautomatisierung und technische Produktleitung

Voraussetzungen

Sichere Kenntnisse zu HTTP, OAuth-basierten Abläufen, JSON und API-Entwicklung sind empfohlen. Kryptografiegrundlagen sind hilfreich.

Didaktische Einordnung

Vier Tage sind notwendig, weil Credential-Modell, Issuance, Presentation, Kryptografie, Status, Privacy, Trust und End-to-End-Test als Engineering-Aufgabe behandelt werden. Drei Tage würden die Protokoll- oder Security-Übungen unvertretbar verdichten; fünf Tage bleiben dem vollständigen Intensivprogramm vorbehalten. Vorgesehen sind 4 Seminartage mit Fachimpulsen, moderierter Modellierung, Demonstrationen, Fallstudien, Prüfschritten und dokumentierten Praxisarbeiten.

Kapitel 1: Use Case, Trust Model und Credential Contract

Inhaltsverzeichnis des Kapitels: Aussage, Entscheidung und Beweislast; Issuer, Holder, Verifier und Subject; Credential-Schema, Claim und Evidenz; Policy, Gültigkeit und Assurance

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Aussage, Entscheidung und Beweislast fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Issuer, Holder, Verifier und Subject als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Credential-Schema, Claim und Evidenz in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Policy, Gültigkeit und Assurance anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Credential Contract für Lieferantenkonformität wird mit Rollen, Claims, Nachweisen und Prüfschritten erstellt.

Kapitel 2: W3C-Verifiable-Credentials-Datenmodell

Inhaltsverzeichnis des Kapitels: Credential-Metadaten und Typen; Kontexte, Schemas und semantische Identifikatoren; Credential Subject und mehrteilige Objekte; Proof, Status, Terms und Evidence

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Credential-Metadaten und Typen fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Kontexte, Schemas und semantische Identifikatoren als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Credential Subject und mehrteilige Objekte in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Proof, Status, Terms und Evidence anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Das Credential wird als maschinenlesbares Beispiel mit Schema- und semantischen Validierungen modelliert.

Kapitel 3: Issuer- und Wallet-Architektur

Inhaltsverzeichnis des Kapitels: Credential Offer und Authorization Server; Wallet Binding und Proof of Possession; Credential Endpoint und Nonce; Schutz von Wallet-Daten und Schlüsseln

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Credential Offer und Authorization Server fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Wallet Binding und Proof of Possession als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Credential Endpoint und Nonce in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Schutz von Wallet-Daten und Schlüsseln anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Komponenten, Datenflüsse und Sicherheitsgrenzen von Issuer und Wallet werden als Sequenzdiagramm spezifiziert.

Kapitel 4: OpenID4VCI Issuance Flow

Inhaltsverzeichnis des Kapitels: Authorization Code Flow; Pre-Authorized Code Flow; Credential Configuration und Formate; Fehler, Replay, Rate Limit und Audit

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Authorization Code Flow fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Pre-Authorized Code Flow als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Credential Configuration und Formate in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Fehler, Replay, Rate Limit und Audit anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein vollständiger Issuance-Ablauf wird mit Requests, Responses, erwarteten Fehlern und Security-Tests dokumentiert.

Kapitel 5: OpenID4VP Presentation Flow

Inhaltsverzeichnis des Kapitels: Authorization Request und Client-Metadaten; Presentation Definition und DCQL-Anforderungen; Response Mode und direct_post; Nonce, Audience, State und Verifierprüfung

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Authorization Request und Client-Metadaten fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Presentation Definition und DCQL-Anforderungen als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Response Mode und direct_post in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Nonce, Audience, State und Verifierprüfung anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Presentation-Flow für einen geschützten DPP-Nachweis wird mit minimaler Offenlegung implementierungsnah beschrieben.

Kapitel 6: Signaturen, Identitäten und Schlüsselbetrieb

Inhaltsverzeichnis des Kapitels: Data Integrity sowie JOSE-/COSE-basierte Formate; Issuer-Identität und Vertrauensanker; HSM, Wallet Key und Rotation; Kompromittierung, Recovery und Audit

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Data Integrity sowie JOSE-/COSE-basierte Formate fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Issuer-Identität und Vertrauensanker als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: HSM, Wallet Key und Rotation in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Kompromittierung, Recovery und Audit anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein kryptografisches Betriebsmodell mit Algorithmenprofil, Schlüsselrollen, Rotation und Notfallablauf wird erstellt.

Kapitel 7: Status, Privacy und Lifecycle

Inhaltsverzeichnis des Kapitels: Status List und Statusprüfung; Suspendierung, Widerruf und Ablauf; selektive Offenlegung und Korrelationsschutz; Erneuerung, Update und Datenlöschung

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Status List und Statusprüfung fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Suspendierung, Widerruf und Ablauf als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: selektive Offenlegung und Korrelationsschutz in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Erneuerung, Update und Datenlöschung anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Lifecycle- und Privacy-Tests prüfen Statusänderungen, Cache, minimale Claims und Verhalten bei abgelaufenen Nachweisen.

Kapitel 8: Trust Registry und Policy Enforcement

Inhaltsverzeichnis des Kapitels: Teilnehmer- und Rollenverzeichnis; Akkreditierung und Scope; Policy-Entscheidung und Delegation; Versionierung, Audit und Streitfall

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Teilnehmer- und Rollenverzeichnis fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Akkreditierung und Scope als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Policy-Entscheidung und Delegation in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Versionierung, Audit und Streitfall anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Verifier-Entscheidungsablauf wird aus Trust-Registry-Daten, Credential-Claims und lokalen Policies aufgebaut.

Kapitel 9: Interoperabilität, Tests und Betrieb

Inhaltsverzeichnis des Kapitels: Conformance-Testdaten; positive und negative Protokolltests; Observability, Fehlerdiagnose und Support; DPP-, EPCIS- und Partnerintegration

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Conformance-Testdaten fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: positive und negative Protokolltests als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Observability, Fehlerdiagnose und Support in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: DPP-, EPCIS- und Partnerintegration anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein End-to-End-Testpaket deckt Issuance, Wallet, Presentation, Status, Trust und DPP-Verwendung ab.

Arbeitsunterlagen

Enthalten sind strukturierte Checklisten, Rollen- und Datenmatrizen, Modellierungsvorlagen, Testfallmuster, Entscheidungstabellen und ein auf das Seminarthema zugeschnittenes Arbeitsbeispiel. Die Unterlagen unterstützen die unmittelbare Übertragung in Projekt- und Betriebsdokumentationen.