Wie dezentralisierte Vertrauensinfrastruktur in regulierten Sektoren funktioniert

1961 versammelten sich Diplomaten aus Dutzenden von Ländern im Haag, um ein überraschend hartnäckiges Problem zu lösen: Wie wird ein von Behörden eines Landes ausgestelltes Dokument von Behörden eines anderen Landes als authentisch anerkannt? Die Antwort, die sie produzierten — die Apostille-Konvention — besticht durch ihre Einfachheit. Ein standardisiertes Zertifikat, das dem Dokument beigefügt ist, bestätigt, dass die Unterschrift und das Siegel echt sind. Das empfangende Land überprüft das Zertifikat unabhängig. Keine Anrufe bei der ausstellenden Behörde. Keine gemeinsame Datenbank. Keine zentrale “Weltdokumentbehörde”, der alle vertrauen müssen.

Fünfundsechzig Jahre später kann die digitale Welt nicht leisten, was ein Gummistempel für Papier erreicht.

Wenn ein Spital in Zürich überprüfen muss, dass eine Überweisung von einer Klinik in Bern von jemandem versendet wurde, der tatsächlich eine gültige ärztliche Lizenz hält, gibt es keine digitale Apostille. Die Systeme greifen auf Perimeterschutz zurück — “diese Nachricht kam über einen authentifizierten Kanal, also ist sie wahrscheinlich legitim” — oder auf manuelle Überprüfungsprozesse, die langsam, teuer und nicht skalierbar sind.

Dies ist die Vertrauenslücke, der sich jeder regulierte Sektor gegenübersieht: nicht die Verwaltung des Zugriffs innerhalb einer Organisation, sondern die Überprüfung von Identität und Autorität über Organisationsgrenzen hinweg.

Die gleiche Lücke, andere Namen

Das Vokabular ändert sich. Die Struktur nicht.

Im Gesundheitswesen lautet die Frage: “Ist die Person, die diese Überweisung versendet, tatsächlich ein lizenzierter Arzt bei der Institution, die sie angibt zu vertreten?” Im Finanzwesen wird es zu: “Ist die Person, die diese Transaktion autorisiert, tatsächlich befugt, im Namen dieser juristischen Person zu handeln?” In der Pharmazie: “Wurde diese Sendung ausschliesslich von lizenzierten Distributoren mit einer ununterbrochenen Nachverfolgungskette bearbeitet?” In Regierungsdiensten: “Bestätigt diese Legitimation des Bürgers tatsächlich, was sie behauptet, und ist sie noch gültig?”

Jede dieser Fragen betrifft Vertrauen an institutionellen Grenzen. Jede erfordert von der empfangenden Partei, etwas zu überprüfen, das von einer anderen Organisation, unter einer anderen Governance-Struktur, mit anderen Systemen behauptet wurde. Und in jedem Fall muss die empfangende Partei diese Überprüfung unabhängig durchführen — ohne die ausstellende Behörde anzurufen, ohne eine Datenbank zu teilen, ohne einer zentralen Vermittlerinstanz zu vertrauen.

Wie handhaben Gesundheitswesen, Finanzwesen und Pharmazie das heute?

Grösstenteils nicht. Sie umgehen die Lücke mit bilateralen Vereinbarungen, manuellen Prozessen oder durch die Konvergenz auf Plattformanbieter, die zur faktischen zentralen Behörde werden. Die Workarounds sind teuer. Die Plattformabhängigkeit ist ein strategisches Risiko. Und die manuellen Prozesse sind genau die Art von Engpass, die Regulierung eliminieren sollte, nicht schaffen.

Warum Zertifizierungsstellen an Grenzen versagen

Die Standardantwort aus der Enterprise-IT ist: “Wir haben dafür PKI. Zertifizierungsstellen überprüfen die Identität. Problem gelöst.”

Nicht wirklich.

Zertifizierungsstellen funktionieren gut für eines: zu bestätigen, dass ein Server ist, wer er behauptet zu sein. Ihr Browser vertraut, dass vereign.com tatsächlich Vereign ist, weil eine CA dafür gebürgt hat. Aber jede CA ist eine Drittpartei, die das Vertrauen als Geisel hält — eine Entität, die kompromittiert, von Regierungen unter Druck gesetzt oder einfach ausfallen kann. Let’s Encrypt allein hält etwa 60% Marktanteil für TLS-Zertifikate. Eine einzelne US-Institution als struktureller Ausfallpunkt für die Mehrheit der Sicherheit des Internet-Verkehrs.

Für organisationsübergreifendes Vertrauen zwischen Organisationen verschärfen sich die Probleme. Wenn Spital A und Klinik B die Legitimationen des jeweils anderen überprüfen möchten, benötigen sie entweder eine gemeinsame CA — wer verwaltet sie? — bilaterale CA-Vertrauensvereinbarungen, die mit O(n²) skalieren, oder die Konvergenz auf einen Plattformanbieter. Zehntausend Institutionen bedeuten bis zu fünfzig Millionen bilaterale Verhandlungen. Dies schafft genau das Zentralisierungsproblem wieder, das vermieden werden sollte.

Das strukturelle Problem mit PKI ist nicht die Verwaltung von Zertifikaten. Es ist die Delegation von Vertrauen an Drittparteien, deren Anreize, Gerichtsbarkeit und operative Zuverlässigkeit Sie nicht kontrollieren.

Das Gesundheitswesen hat bewiesen, dass die Lösung funktioniert

Die Schweizer Health Info Net AG — HIN — führt seit dreissig Jahren sichere Infrastruktur für medizinische Nachrichtenübermittlung ein. Heute verarbeitet SEAL mehr als 800.000 verschlüsselte Interaktionen pro Monat in diesem Netzwerk und verbindet über 30.000 Hausarztpraxen mit Spitälern, Fachleuten, Apotheken und Laboren.

SEAL ist der Anfang dessen, was zu einer völlig neuen Vertrauensinfrastruktur wird. Stargate, die vollständige Plattform, die jetzt ausgerollt wird, verlagert die Certificate Authority-Funktion an die Peripherie — zu jeder teilnehmenden Institution statt zu einer zentralisierten Drittpartei. Jede Organisation unterhält ihre eigene kryptographische Identität, die an einen selbstzertifizierenden Bezeichner gebunden ist. Jede Gegenpartei überprüft das Vertrauen, indem sie das Schlüsselereignisprotokoll dieser Organisation direkt liest. Keine bilaterale Verhandlung. Keine gemeinsame CA. Keine Vermittler-Vertrauensvereinbarung.

Die laufende HIN-Transformation ist kein Pilotprojekt oder Proof of Concept. Es ist der Live-Ersatz dreier Jahrzehnte von Gateway-Infrastruktur — mit einer Architektur, die so konzipiert ist, dass das Hinzufügen des zehntausendsten Teilnehmers nicht schwieriger ist als das Hinzufügen des zehnten.

Dies ist die digitale Apostille. Eine Legitimation, die mit dem Akteur reist, kryptographischen Beweis dafür trägt, wer sie ausgestellt hat und ob sie noch gültig ist, und von jeder empfangenden Partei unabhängig überprüft werden kann.

Die Architektur ist allgemein

Die Global Legal Entity Identifier Foundation (GLEIF) erkannte das gleiche strukturelle Bedürfnis, als sie die gleiche Kategorie kryptographischer Infrastruktur als Grundlage für das verifiable Legal Entity Identifier (vLEI) Programm auswählte, das jetzt unter ISO 17442-3:2024 kodifiziert ist. Banken, die die Identität von Geschäftspartnern überprüfen. Bevollmächtigte, die ihre Befugnis nachweisen, zu handeln. Das gleiche Muster: überprüfbare Legitimationen, dezentralisierte Schlüsselverwaltung, unabhängige Überprüfung.

Pharmazeutische Lieferketten benötigen eine ununterbrochene Rückverfolgbarkeit vom Hersteller zum Patienten. Rechtliche Verfahren benötigen Nachverfolgungskette für digitale Beweise. Energiehandelplattformen benötigen Geschäftspartnererüberprüfung über Gerichtsbarkeiten hinweg. Regierungsinitiativen für digitale Identität — einschliesslich der eigenen Swiyu der Schweiz — basieren auf überprüfbaren Legitimationen, die Bürger halten und vorlegen, anstatt Identitätsdaten, die in einem zentralen Regierungsregister gesperrt sind.

Jedes dieser Probleme ist das gleiche mit anderem regulatorischem Vokabular. Und die Architektur, die es löst, ist die gleiche: dezentralisierte Schlüsselverwaltung, die Vertrauen an die Kanten verteilt, anstatt es in Vermittlern zu konzentrieren. Was zwischen Sektoren variiert, ist das Legitimationsschema, nicht die Vertrauensinfrastruktur.

Zurück ins Haag

Die Diplomaten, die die Apostille-Konvention 1961 entworfen haben, verstanden etwas, das die Enterprise-IT nur langsam internalisiert hat: organisationsübergreifendes Vertrauen funktioniert, wenn jede Partei unabhängig überprüfen kann, ohne auf eine zentrale Behörde angewiesen zu sein, der beide Parteien vertrauen müssen.

Sie lösten es für Papier. Das Gesundheitswesen beweist, dass es für digitale Infrastruktur funktioniert — im Grosseinsatz, in der Produktion, mit 800.000+ überprüfbaren Interaktionen pro Monat.

Das Vertrauensproblem ist nicht domänenspezifisch. Die Lösung auch nicht. Jeder regulierte Sektor, der Rechenschaftspflicht an institutionellen Grenzen erfordert — was praktisch alle sind — benötigt die gleiche architektonische Grundlage.

Die einzige Frage ist, wer sie als nächstes aufbaut.