Nachschlagewerk
Trust-Layer-Begriffe von A bis Z.
Wir erklären Trust Level, Challenge, Handover und alle weiteren Fachbegriffe in zwei Sätzen, mit Beispiel und Cross-Link.
Warum ein Glossar?
Warum ein Glossar?
SigID nutzt eine präzise Sprache, weil Verifikation präzise sein muss. In diesem Glossar finden Sie jedes zentrale Konzept in einer einheitlichen Form: zwei Sätze Definition, ein konkretes Beispiel und Querverweise zu verwandten Themen. Wenn Sie zum ersten Mal mit SigID arbeiten, ist dies der schnellste Weg zum Verständnis.
A
Audit-Event
Ein Audit-Event ist die unveränderbare Aufzeichnung einer geschäftsrelevanten Handlung in SigID. Jedes Event enthält Zeitstempel, Akteur, Aktionstyp, Risk Level und einen Hash, der das Event mit dem vorherigen verkettet.
Beispiel · Example
Wenn Frau Schulze die IBAN eines Lieferanten ändert, entsteht ein Audit-Event mit Aktionstyp iban.update, Risk Level high und der Audit-ID eines vorausgegangenen Challenges.
Cross-Links
Audit-Hash-Chain
Die Audit-Hash-Chain verkettet alle Audit-Events kryptografisch, sodass jede nachträgliche Änderung eines Events die folgenden Hashes ungültig macht. Dadurch entsteht ein nicht abstreitbarer Nachweis über die Reihenfolge und Integrität aller Vorgänge.
Beispiel · Example
Beim Quartals-Export für die Wirtschaftsprüfung wird die Hash-Chain mit einem öffentlichen Anker (Merkle-Root) verglichen. Stimmen die Werte überein, sind die Audit-Events nicht manipuliert worden.
Cross-Links
Audit-ID
Die Audit-ID ist die eindeutige, öffentlich referenzierbare Kennung eines Audit-Events. Über sie lässt sich der Vorgang in Drittsystemen (ERP, DMS, WP-Tool) wiederfinden, ohne dass interne IDs offengelegt werden.
Beispiel · Example
Eine Rechnung im DATEV-Export trägt die Audit-ID aud_2026Q2_8h3kf2. Der Wirtschaftsprüfer kann sie über die SigID-Audit-Suche jederzeit re-verifizieren.
Cross-Links
C
Challenge
Ein Challenge ist die kryptografische Aufforderung an die Trust-App, eine kritische Aktion zu bestätigen. Er enthält Kontextdaten (z. B. neue IBAN), wird Dynamic-Linking-konform gebunden und kann nicht stillschweigend wiederverwendet werden.
Beispiel · Example
Vor dem Speichern einer neuen Lieferanten-IBAN sendet das Backend einen Challenge an die Trust-App der Nutzerin. Erst nach Bestätigung mit Passkey wird die IBAN final gespeichert.
Cross-Links
D
Document Proof
Ein Document Proof ist der kryptografische Fingerprint eines Dokuments, der in SigID gespeichert wird, ohne dass das Dokument selbst dauerhaft abgelegt werden muss. Damit lässt sich später nachweisen, dass eine konkrete Datei an einem konkreten Zeitpunkt vorlag.
Beispiel · Example
Nach KI-Extraktion einer Rechnung speichert SigID nur den SHA-256-Fingerprint. Die PDF kann gelöscht werden, ein späterer Beleg ist trotzdem prüfbar.
Cross-Links
Dynamic Linking
Dynamic Linking bindet die kryptografische Signatur einer kritischen Aktion an die konkreten Transaktionsdaten (Betrag, Empfänger, IBAN). Eine Signatur ist damit nur für genau diesen Vorgang gültig.
Beispiel · Example
Wer eine Zahlung über 12.450 EUR an die IBAN DE.. freigibt, signiert nicht ein abstraktes Token, sondern genau diese Werte. Ändert sich auch nur eine Stelle, ist die Signatur ungültig.
F
FIDO2
FIDO2 ist der offene Authentifizierungs-Standard hinter Passkeys und Hardware-Token. Er ersetzt Passwörter durch kryptografische Schlüsselpaare, deren privater Teil das Gerät nie verlässt.
Beispiel · Example
Die Trust-App nutzt FIDO2, um eine Challenge mit dem Secure Enclave des Smartphones zu signieren. Phishing-Replay ist konstruktionsbedingt unmöglich.
Cross-Links
Fingerprint
Ein Fingerprint ist ein kryptografischer Hash, der eindeutig auf den Inhalt eines Dokuments, einer IBAN oder eines Produkts verweist. Aus dem Fingerprint lässt sich der Ursprung nicht rekonstruieren, ein Vergleich ist jedoch jederzeit möglich.
Beispiel · Example
Eine Lieferanten-IBAN wird als HMAC-Hash gespeichert. Bei jeder Zahlung gleicht SigID den neuen Wert gegen den gespeicherten Fingerprint ab und schlägt bei Abweichung Alarm.
Cross-Links
H
Handover
Ein Handover ist die strukturierte Übergabe einer Zuständigkeit zwischen zwei Identitäten in SigID, zum Beispiel bei Urlaubsvertretung oder Funktions-Wechsel. Jeder Handover ist zeitlich begrenzt, auditiert und jederzeit widerrufbar.
Beispiel · Example
Der Einkaufsleiter geht in Elternzeit und übergibt seine Rolle für vier Monate an die Stellvertreterin. Nach Ablauf endet der Handover automatisch.
Cross-Links
I
IBAN-Fingerprint
Der IBAN-Fingerprint ist ein gesalzener Hash über die International Bank Account Number, der in SigID statt der Klartext-IBAN gespeichert wird. Er erlaubt den Soll-Ist-Vergleich, ohne die IBAN dauerhaft offen vorzuhalten.
Beispiel · Example
Bei der ersten Verifikation eines Lieferanten wird der IBAN-Fingerprint hinterlegt. Versucht jemand später eine andere IBAN zu hinterlegen, weicht der Fingerprint ab und der Vorgang erfordert eine Challenge.
Cross-Links
Idempotency-Key
Ein Idempotency-Key ist ein eindeutiger Wert, den API-Clients pro Schreiboperation mitsenden. Wiederholungen mit demselben Schlüssel liefern dasselbe Ergebnis, ohne den Vorgang doppelt auszuführen.
Beispiel · Example
Nach einem Netzwerk-Timeout sendet das ERP denselben POST /v1/verifications-Aufruf erneut mit Idempotency-Key inv-2026-04-117. SigID erkennt den Schlüssel und gibt das ursprüngliche Ergebnis zurück.
K
KYB
KYB steht für Know Your Business, also die Verifikation einer Geschäftspartner-Organisation gegen Handelsregister, Adress- und Vertretungs-Daten. Im SigID-Modell ergibt eine erfolgreiche KYB-Prüfung mindestens Trust Level T2.
Beispiel · Example
Beim Onboarding eines neuen Lieferanten gleicht SigID Handelsregisterauszug, Adresse und Vertretungsberechtigung in einem Schritt ab. Die Lieferantin erreicht Trust Level T2.
Cross-Links
M
Membership
Ein Membership beschreibt die Zugehörigkeit einer Identität zu einer Organisation oder einem Team innerhalb von SigID. Das Membership bestimmt Rollen, Scopes und Sichtbarkeiten.
Beispiel · Example
Frau Köhler ist Membership-Inhaberin der Rolle Buchhaltung in der Organisation Müller GmbH und sieht ausschließlich Vorgänge dieser Organisation.
Cross-Links
P
Passkey
Ein Passkey ist ein FIDO2/WebAuthn-basiertes Schlüsselpaar, das Passwörter ablöst. Der private Schlüssel bleibt auf dem Gerät, der öffentliche wird im SigID-Backend gespeichert.
Beispiel · Example
Statt eines Passworts meldet sich die Nutzerin per Face-ID und Passkey an. Der Login funktioniert phishing-resistent, weil die Domain Teil der Signatur ist.
Product Check
Ein Product Check ist die Echtheits- und Herkunfts-Prüfung einer Charge oder eines Einzelprodukts in SigID. Er verbindet Seriencode, Audit-Event und Mehrfach-Scan-Erkennung zu einem Trust-Statement.
Beispiel · Example
Ein Apotheker scannt den Seriencode einer Medikamentenpackung. SigID gibt Hersteller, Chargennummer und Scan-Historie aus und meldet, dass die Packung zum dritten Mal geprüft wird.
Cross-Links
R
Risk Level
Das Risk Level einer Aktion bestimmt, ob eine Trust-App-Signatur erforderlich ist. Aktionen wie IBAN-Änderung, neue Admin-Rolle oder API-Key-Erstellung haben Risk Level high und erfordern immer Dynamic Linking.
Beispiel · Example
Ein Lese-Zugriff auf einen Lieferantenstamm hat Risk Level low. Eine IBAN-Änderung an demselben Lieferanten hat Risk Level high und erfordert eine bestätigte Challenge.
Cross-Links
T
TAN
Eine TAN (Transaktionsnummer) ist ein klassischer One-Time-Code, oft per SMS oder Generator zugestellt. SigID nutzt TANs nur als Fallback in niedriger Sicherheitsstufe, weil SMS-TAN gegen SIM-Swap und Phishing nicht ausreichend gehärtet ist.
Beispiel · Example
Wenn das Smartphone gewechselt wird und die Trust-App noch nicht eingerichtet ist, kann eine TAN den Login-Übergang stützen. Für kritische Aktionen reicht eine TAN aber nicht aus.
Trust App
Die Trust App ist die mobile Begleit-App von SigID, die kritische Aktionen via Passkey und Dynamic Linking bestätigt. Sie hält die Schlüssel im Secure Enclave und ist die einzige Stelle, an der Challenges final signiert werden.
Beispiel · Example
Beim Ändern einer IBAN erhält die Nutzerin eine Push-Benachrichtigung in der Trust App. Sie sieht Empfänger und IBAN im Klartext und bestätigt per Face-ID.
Cross-Links
Trust Level (T0-T5)
Trust Level beschreibt den Grad der Verifikation einer Identität, IBAN oder Organisation in SigID. Die Skala reicht von T0 (unverifiziert) über T2 (KYB) bis T5 (mehrfach signierte Vertretung mit Audit-Hash).
Beispiel · Example
Ein neuer Lieferant startet bei T0, erreicht durch Handelsregister-Abgleich T2 und nach erster signierter Zahlungsbeziehung T3.
Cross-Links
V
Verification
Verification ist der Sammelbegriff für jeden in SigID auditierten Prüfvorgang gegen Drittquellen oder kryptografische Belege. Jede Verification erzeugt mindestens ein Audit-Event und kann das Trust Level eines Subjekts erhöhen.
Beispiel · Example
Eine IBAN-Verification gleicht Lieferant, Register-Inhaber und IBAN-Fingerprint in einem Schritt ab. Das Ergebnis aktualisiert das Trust Level der Lieferantin.
Cross-Links
Vier-Augen-Prinzip
Das Vier-Augen-Prinzip verlangt, dass kritische Aktionen von zwei Personen bestätigt werden. In SigID wird das Prinzip durch zwei aufeinanderfolgende Trust-App-Signaturen abgebildet.
Beispiel · Example
Eine Zahlung über 100.000 EUR erfordert sowohl die Signatur der Buchhalterin als auch die der Geschäftsführerin. Erst dann entsteht das finale Audit-Event.
Cross-Links
W
WebAuthn
WebAuthn ist die W3C-Browser-API für FIDO2-Authentifizierung. Sie erlaubt es Web-Apps, Passkeys plattformübergreifend zu erstellen, zu speichern und zu nutzen.
Beispiel · Example
Die SigID-Marketing-Site erlaubt Registrierung per WebAuthn. Browser und Betriebssystem führen die Nutzerin durch Face-ID oder Hardware-Key.
Webhook
Ein Webhook ist ein eingehender HTTP-Callback an einen vom Kunden konfigurierten Endpunkt, sobald in SigID ein Event eintritt (z. B. verification.completed). Jeder Webhook ist signiert und idempotent zustellbar.
Beispiel · Example
Sobald eine Lieferanten-Verification abgeschlossen ist, ruft SigID den ERP-Endpunkt mit dem Audit-Event auf. Das ERP verifiziert die Signatur und aktualisiert seinen Status.
Cross-Links
Begriff fehlt?
Wir nehmen Vorschläge gern auf — schreiben Sie uns kurz.