Cybersicherheit
Vertrauensinfrastruktur über Organisationsgrenzen hinweg, ohne zentralen Broker
Innerhalb Ihrer Organisation weiss Zero Trust, wogegen es verifizieren soll: Ihr Identitätsanbieter und Ihr Geräteinventar. Über die Grenze zu einem Lieferanten, einem Dienstleister oder einer Aufsichtsbehörde hinweg weiss es das nicht. Für diese Grenze ist Vereign gebaut.
Vertrauen zwischen Organisationen besprechen
NIS2 verpflichtet Organisationen im Anwendungsbereich, ihre Lieferkette abzusichern, einschliesslich ihrer Beziehungen zu direkten Lieferanten und Dienstleistern, und die Cyberresilienz-Verordnung legt Sicherheitspflichten für Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus fest. Beide Pflichten reichen über Organisationsgrenzen hinweg, wo es keinen gemeinsamen Identitätsanbieter zum Verifizieren gibt, sofern nicht beide Parteien einer Föderation beitreten. Vereign baut Vertrauensinfrastruktur über Organisationsgrenzen hinweg, ohne zentralen Broker: Organisationen, die einander gegen ihre Key Event Logs verifizieren, prüfen Identität und Integrität selbst, und dasselbe Modell würde sich auf KI-Agenten und vernetzte Geräte erstrecken, die in ihrem Auftrag handeln. SEAL, das Zustellprodukt von Vereign, verarbeitet bereits über 1.000.000 verifizierte Zustellungen pro Monat im Schweizer Gesundheitswesen.
Regulatorische Treiber
Zero-Trust-Einführung
Eine im April 2024 veröffentlichte Gartner-Umfrage hat ergeben, dass 63 % der Organisationen eine Zero-Trust-Strategie ganz oder teilweise umgesetzt haben, die meisten davon für höchstens die Hälfte ihrer Umgebung. Für die Zusammenarbeit über Unternehmensgrenzen hinweg bietet NIST SP 800-207 Föderation an.
63 % ganz oder teilweise umgesetzt (Gartner, 2024)
Cyberresilienz-Verordnung
Hersteller von Produkten mit digitalen Elementen müssen Sicherheitsanforderungen erfüllen, Schwachstellen über den Support-Zeitraum des Produkts behandeln und aktiv ausgenutzte Schwachstellen melden. Importeure und Händler müssen prüfen, ob der Hersteller diese Pflichten erfüllt hat, sodass Nachweise über die Sicherheit eines Produkts von einer Organisation zur nächsten weitergegeben werden.
Meldepflichten gelten seit dem 11. September 2026
NIS2-Lieferkettensicherheit
Artikel 21(2)(d) verlangt Massnahmen zur Lieferkettensicherheit, einschliesslich der Sicherheit der Beziehungen zu direkten Lieferanten und Dienstleistern. CISOs müssen Vertrauen im Lieferantenökosystem herstellen, über den eigenen Perimeter hinaus.
Artikel 21(2)(d): Lieferkettensicherheit
Die Lösung im Überblick
Organisationsübergreifendes Vertrauen für die Cybersicherheit bedeutet: Was eine Grenze zwischen Organisationen überschreitet, trägt einen kryptografischen Nachweis von Herkunft, Integrität und Autorisierung, den Gegenparteien, die gegen Key Event Logs verifizieren, selbst prüfen können. Nachrichten sind der Bereich, in dem dies heute läuft, im Produktivbetrieb im Schweizer Gesundheitswesen. Strukturierter Datenaustausch, API-Aufrufe, KI-Agenten und Gerätenachweise sind Fälle, auf die sich dasselbe Modell erstrecken würde. Kommunikation ist ein Anwendungsfall; die eigentliche Fähigkeit ist Vertrauen dort, wo Organisationen aufeinandertreffen.
So funktioniert es →OSSTMM misst operative Sicherheit quantitativ als Sicherheitskontrollen, Sichtbarkeit, Vertrauen und Exponierungen. Alle anderen Testrahmenwerke halten jedoch am Perimeter der Organisation an. Vertrauen über Organisationsgrenzen hinweg ist eine Lücke, die kein Penetrationstest messen kann. Vertrauen selbst kann kein anderes Rahmenwerk messen. DKMS macht dieses Vertrauen jedoch verifizierbar und testbar: Erstmals können Sicherheitsteams Vertrauen zwischen Organisationen tatsächlich validieren.
Mögliche Erweiterung: nicht-menschliche Identität
Sicherheitsteams verwenden zunehmend den Begriff nicht-menschliche Identität (NHI) für Dienste, Workloads, KI-Agenten und Geräte. Unsere Definition: Eine nicht-menschliche Identität ist die Identität eines Software- oder Hardware-Akteurs: ein stabiler Identifikator, gebunden an die Befugnis, die der Akteur aktuell innehat, und an die Person, die für ihn verantwortlich ist. Ihre Credentials weisen diese Identität nach; sie sind nicht die Identität.
Rechenschaft von Grund auf
In DKMS würde eine nicht-menschliche Identität als delegierter Identifikator modelliert, dessen Delegator die Organisation ist, die für ihn verantwortlich ist. Seine Rotationen setzen die Verankerung durch diese Organisation voraus, und seine Befugnis wird als Credentials ausgedrückt, die auf die Organisation zurückführen. Das zugrunde liegende Protokoll unterscheidet nicht zwischen menschlichen und nicht-menschlichen Controllern.
Zwischen Organisationen
Innerhalb einer einzelnen Vertrauensdomäne funktionieren Workload-Identitätssysteme wie SPIFFE gut. Die DKMS-Eigenschaften werden wichtig, wenn eine nicht-menschliche Identität für eine Organisation handelt und eine andere Organisation sie prüfen muss: selbstzertifizierende Identifikatoren, Pre-Rotation und Delegationsketten, die eine verifizierende Stelle prüfen kann, ohne den Aussteller anzufragen.
VERIMESH Agent (Roadmap)
VERIMESH Agent, eine Roadmap-Edition, würde KI-Agenten und automatisierten Systemen auf diesem Modell eine Zero-Trust-Dienstidentität geben, sodass eine empfangende Organisation prüfen könnte, für welche Organisation ein Agent handelt und in welchem Rahmen. Sie ist noch nicht verfügbar, und es gibt heute keine öffentliche agentenseitige API.
Integrationsprojekte für nicht-menschliche Identität
Organisationen, die verifizierbare Identität für KI-Agenten, automatisierte Dienste oder Geräte benötigen, die organisationsübergreifend handeln, können dies mit Vereign als Integrationsprojekt umreissen. Das Projekt würde jeden Agenten, jeden Dienst und jedes Gerät als delegierten Identifikator (DKMS, auf Basis von KERI) modellieren, dessen Credentials die verantwortliche Organisation ausstellt und widerrufen kann. VERIMESH Agent und VERIMESH Edge sind Roadmap-Editionen und noch nicht verfügbar; eine öffentliche agentenseitige API gibt es heute nicht. Ein Projekt würde abdecken, was die Organisation braucht: delegierte Identifikatoren für ihre Agenten, Dienste oder Geräte, die Credentials, die festhalten, was jeder darf, deren Widerruf durch die Organisation als Ausstellerin und die Verifikation durch Gegenparteien in anderen Organisationen. Es würde diesen Pfad delegierter Identifikatoren für die Organisation aufbauen oder konfigurieren; er ist kein Merkmal der heutigen Produktivsysteme von Vereign. Eine Zusammenarbeit beginnt mit einem Architekturgespräch, gefolgt von der Umfangsklärung und dann vom Projekt selbst.
Technische Architekturüberprüfung anfragenPost-Quanten-Bereitschaft von Grund auf
Quantencomputing muss nicht erst eintreffen, um eine Bedrohung zu sein. Daten, die heute aus verschlüsselten Kanälen abgeschöpft werden, lassen sich entschlüsseln, sobald Quantenfähigkeit ausreift. KERI, die kryptografische Grundlage der Vertrauensinfrastruktur von Vereign, ist architektonisch auf den Übergang zur Post-Quanten-Kryptografie vorbereitet, nicht weil es bereits Post-Quanten-Algorithmen einsetzt, sondern weil sein Entwurf diesen Übergang bruchlos macht.
Jetzt abschöpfen, später entschlüsseln
Angreifende schöpfen heute verschlüsselte Daten ab, um sie später mit Quantenrechnern zu entschlüsseln. NSA, CISA und NIST warnen gemeinsam, dass lang aufbewahrte Daten wie Gesundheitsdaten, Finanztransaktionen und juristische Dokumente über Jahrzehnte hinweg exponiert bleiben. Die Bedrohung liegt nicht in der Zukunft: Die Datensammlung läuft heute.
NIST-Standards verabschiedet
FIPS 203, 204 und 205 sind im August 2024 verabschiedet worden und haben ML-KEM, ML-DSA und SLH-DSA als kryptografische Post-Quanten-Standards festgelegt. Das Migrationsfenster ist jetzt offen. Wer auf die Ankunft von Quantencomputern wartet, liegt Jahre hinter denen, die ihre kryptografische Infrastruktur heute vorbereiten.
Krypto-Agilität von KERI
Der Pre-Rotation-Mechanismus von KERI und seine Unabhängigkeit von einzelnen Algorithmen erlauben es, Schlüssel auf Post-Quanten-Algorithmen zu wechseln, ohne die Vertrauenskette zu brechen. Anders als PKI- und CA-basierte Systeme, die auf bestimmte kryptografische Annahmen festgelegt sind, ermöglicht KERI eine schrittweise Migration: Jede Organisation aktualisiert im eigenen Tempo, ohne die Infrastruktur umzubauen.
Im Produktivbetrieb bewährt
Das Gesundheitswesen ist kritische Infrastruktur. Verimesh ist im Schweizer Gesundheitswesen in Produktion: Gateway und zentrale CA bei HIN laufen im Grossteil des HIN-Netzes im vollen Produktivbetrieb, und die Migration befindet sich in der Schlussphase, ihr Abschluss wird bis Ende des ersten Quartals 2027 erwartet. Die Architektur ist nicht auf das Gesundheitswesen zugeschnitten: Dasselbe Vertrauensmodell würde für Sicherheitsnachweise gelten, die zwischen Organisationen ausgetauscht werden.
1.000.000+
verifizierte Zustellungen pro Monat, im gesamten Schweizer Gesundheitswesen
Produktivinfrastruktur im Schweizer Gesundheitswesen. Verimesh ist so ausgelegt, dass Gegenparteien, die gegen Key Event Logs verifizieren, einander ohne zentrale Vertrauensinstanz prüfen. Validiert eine Gegenpartei nur X.509, wie heute bei HIN, verbindet eine Brücken-Zertifizierungsstelle beide Seiten.
Referenzarchitektur
Zum Vergrössern klicken
Wege der Zusammenarbeit
Direkte Zusammenarbeit mit Vereign
Für Organisationen, die eine Vertrauensinfrastruktur gemeinsam mit dem Engineering- und Beratungsteam von Vereign planen und einführen wollen. Ideal für Vorreiter und für Organisationen mit eigener technischer Kapazität.
Leistungen entdecken →Zusammenarbeit über einen Partner
Für Organisationen, die lieber mit einem Beratungshaus arbeiten, das bereits auf die Vertrauensinfrastruktur von Vereign geschult ist. Partner bringen Branchenwissen und die Kompetenz für die Einführung mit.
Partnerprogramm ansehen →Vertrauensinfrastruktur für die Organisationen, mit denen Sie arbeiten, ohne zentralen Broker
Ob Sie als CISO ein Zero-Trust-Programm auf Lieferanten und Partner ausdehnen oder als Sicherheitsberatung ein neues Leistungsfeld aufbauen: Wir bestimmen gemeinsam, wie sich Vertrauen zwischen Organisationen in Ihren bestehenden Stack einfügt.