Traditionelle Identitätssysteme enden an Organisationsgrenzen. Hier ist, was sie überwindet.
Standard-Identitätswerkzeuge sind für einzelne Organisationen gebaut. Organisationsübergreifendes Vertrauen in grossem Massstab erfordert eine andere Grundlage — die Wahl des Schweizer Gesundheitswesens.
Diese Architektur für Ihre Organisation besprechen — unverbindlichVier strukturelle Einschränkungen herkömmlicher Identitätswerkzeuge
OAuth (Open Authorization) und Public Key Infrastructure (PKI) sind hervorragende Werkzeuge — innerhalb der Grenzen einer einzelnen Organisation. Das sind keine Fehler. Es sind architektonische Einschränkungen, die sichtbar werden, wenn Vertrauen organisationsübergreifend sein muss.
Token-Vertrauen
OAuth / PKI Einschränkung
OAuth-Token werden innerhalb der Grenzen ihres Ausstellers vertraut. Über Organisationen hinweg bricht diese Grenze — die empfangende Organisation hat keine Möglichkeit, die Autorität der ausstellenden Organisation zu verifizieren.
DKMS / Verimesh Lösung
DKMS etabliert kryptografische Identität, die selbstzertifizierend ist — die Identität jeder Organisation ist von jeder anderen Organisation ohne Abhängigkeit von einer gemeinsamen Zertifizierungsstelle überprüfbar.
Zugangsgranularität
OAuth / PKI Einschränkung
OAuth-Scopes sind grob — für Berechtigungen auf Anwendungsebene konzipiert. Ressourcengenaue Einwilligung über Organisationsgrenzen hinweg erfordert ein anderes Modell.
DKMS / Verimesh Lösung
Die Policy-Engine von Verimesh (Open Policy Agent, OPA) ermöglicht programmierbares, granulares Zugangskontrolle, das über organisatorische Vertrauensgrenzen hinweg operiert.
Prüfbarkeit
OAuth / PKI Einschränkung
OAuth-Protokolle sind organisationsspezifisch. Organisationsübergreifende Prüfpfade — wer auf was zugegriffen hat, wann, von wem autorisiert — erfordern kryptografische Verknüpfung, die OAuth nicht bietet.
DKMS / Verimesh Lösung
KERI (Key Event Receipt Infrastructure) stellt manipulationssichere Prüfpfade bereit. Jedes Identitätsereignis ist kryptografisch verknüpft und unabhängig verifizierbar, wodurch organisationsübergreifende Prüfbarkeit geschaffen wird.
Architektur des Vertrauens
OAuth / PKI Einschränkung
OAuth setzt eine zentrale Autorität voraus — einen Identitätsanbieter, dem alle vertrauen. Verteiltes institutionelles Vertrauen zwischen souveränen Organisationen kann nicht von einer einzigen Autorität abhängen.
DKMS / Verimesh Lösung
DKMS ermöglicht souveränes Identitätsmanagement — jede Organisation kontrolliert ihre eigenen kryptografischen Wurzeln. Vertrauen wird bilateral hergestellt, nicht an einen zentralen Koordinator delegiert.
OAuth für lokale Token, DKMS für skalierbares institutionelles Vertrauen
Dies ist eine Weiterentwicklung, kein Ersatz. OAuth (Open Authorization) ist das richtige Werkzeug für die lokale Authentifizierung innerhalb der Grenzen einer einzelnen Organisation. DKMS (Decentralized Key Management System) ist das richtige Werkzeug für institutionelles Vertrauen in grossem Massstab — über souveräne Organisationen hinweg, die keinen gemeinsamen Identitätsanbieter haben. Verimesh kombiniert beides und setzt jedes dort ein, wo es das richtige Werkzeug ist.
Komplementär zu nationalen eID-Programmen
Swiyu ist das nationale Programm der Schweiz für elektronische Identität. Heute läuft ein in allen Kantonen geführter Pilot, der elektronische Lernfahrausweis, während die Vertrauensinfrastruktur für die e-ID selbst im ersten Halbjahr 2027 betriebsbereit werden soll. Die Einführung der e-ID wurde verschoben, ohne dass ein neues Datum angekündigt wurde; die nationale Wallet ist also noch nicht im produktiven Betrieb. Swiyu-Credentials werden im Format SD-JWT VC ausgestellt, wobei Identifikatoren und Vertrauensaussagen in Bundesregistern veröffentlicht werden. Bei der e-ID selbst ist der Staat der Aussteller, aufgrund des Mandats nach dem E-ID-Gesetz von 2025, und das Credential liegt auf dem Gerät der Bürgerinnen und Bürger. Weitere Credentials auf derselben Infrastruktur werden von Kantonen, Hochschulen und Arbeitgebern ausgestellt.
Vereign ist von Anfang an am Schweizer e-ID-Prozess beteiligt, über Partizipationsmeetings und bilaterale Austausche, und Georg Greve war Mitglied des von fedpol einberufenen Technical Advisory Circle, der die Technologieentscheidung von 2024 vorbereitete.
Die Europäische Union führt das parallele Programm. Der EUDI-Architektur- und Referenzrahmen sieht eine Bürger-Wallet in jedem Mitgliedstaat vor, und bei der grundlegenden Credential für Personen ist der Aussteller ebenfalls der Staat. Er beantwortet dieselbe Frage, wie eine Person einer Institution gegenüber nachweist, wer sie ist, und stösst an dieselbe Grenze: Er überbrückt nicht zwei Institutionen in verschiedenen Rechtsräumen. Verimesh ist darauf ausgelegt, beides zu ergänzen, statt damit zu konkurrieren.
Für Organisationen, die Verimesh einsetzen, ergänzen sich die beiden, statt zu konkurrieren. Eine nationale Wallet beantwortet, wie eine Person einer Institution gegenüber nachweist, wer sie ist. Sie beantwortet nicht, wie zwei Institutionen in verschiedenen Rechtsräumen einander verifizieren, oder was mit einer Einwilligungsentscheidung geschieht, nachdem Daten bereits weitergegeben wurden. Verimesh behält seine eigene Vertrauensschicht und ist darauf ausgelegt, die Protokolle der Wallets am Rand zu sprechen, sodass ein Verimesh-Kunde eine staatliche e-ID beim Onboarding akzeptieren und eigene Credentials in dieselbe Wallet ausgeben kann, sobald diese Systeme im produktiven Betrieb sind.
Verimesh liefert diese Architektur
Verimesh (ehemals Stargate-Projekt) ist die produktive Implementierung der oben beschriebenen DKMS-basierten Vertrauensarchitektur. Es kombiniert OAuth für lokale Authentifizierung mit KERI-verankertem DKMS für organisationsübergreifendes Vertrauen, einer programmierbaren OPA-basierten Policy-Engine, semantischer Interoperabilität über Overlays Capture Architecture (OCA) und verifizierbarer Kommunikation über SEAL.
SEAL, die verifizierbare Kommunikationskomponente von Verimesh, verarbeitet bereits über 800'000 verifizierte Nachrichten pro Monat im Schweizer Gesundheitswesen. Der vollständige Verimesh-Rollout erfolgt im Verlauf von 2026, gewählt vom Schweizer Gesundheitswesen als zukünftige Vertrauensinfrastruktur.
Verimesh entdeckenEine Wurzel, von der Anwendung bis hinunter zur Leitung
Das Verimesh-Mesh läuft über WireGuard, und der Tunnel-Schlüssel teilt dieselbe Wurzel wie die Anwendungsidentität. Die Curve25519-Tunnel-Schlüssel jeder Organisation werden aus ihrem eigenen Decentralised Key Management System (DKMS) abgeleitet — keine zentrale Autorität stellt sie aus, und es gibt keine Lücke zwischen der Identität auf Netzwerkebene und jener auf Anwendungsebene. Die Schlüsselrotation wird mit DKMS koordiniert (Pre-Rotation, aufbauend auf KERI), und jeder Tunnelaufbau ist gegenüber dem Key Event Log überprüfbar. Kein Vermittler besitzt den Datenfluss.
Lautlos by design
Nicht authentifizierte Pakete erhalten keine Antwort. Das Mesh ist für einen Port-Scan unsichtbar — es gibt keine öffentliche Angriffsfläche zum Abtasten.
Rund 4.000 Zeilen, die Sie lesen können
WireGuard umfasst rund 4.000 Zeilen Code, gegenüber etwa 100.000 für OpenVPN und 400.000 für IPsec. Überprüfbarkeit ist selbst eine Sicherheitseigenschaft.
Keine Aushandlung, kein Downgrade
Feste moderne Primitive — Curve25519, ChaCha20-Poly1305, BLAKE2s, der Noise_IKpsk2-Handshake. Perfect Forward Secrecy mit rund zweiminütiger Neuverschlüsselung und Identitätsverschleierung sind eingebaut, nicht konfiguriert.
Souverän bis zur Leitung
Open Source von Ende zu Ende, selbst gehostet, ohne SaaS-Steuerungsebene im Pfad. Souveränität reicht von der Anwendung bis hinunter zum Transport selbst.
Unspektakuläre, bewährte Infrastruktur
Im Mainline-Linux-Kernel seit 2020 — dasselbe Protokoll, das Sicherheitsanbieter wie Palo Alto Networks empfehlen. Es trägt heute den Verimesh-Rollout mit HIN.
Bereit für die Quanten-Migration
Die Pre-Shared-Key-Schicht von WireGuard sichert den heutigen Verkehr bereits gegen Store-now-decrypt-later-Angriffe ab. Und weil die Tunnel-Schlüssel aus DKMS abgeleitet werden, ist der Umstieg auf Post-Quantum-Algorithmen eine routinemässige Schlüsselrotation im bestehenden Key Event Log — keine einmalige Neuausgabe sämtlicher Schlüssel auf einen Schlag.
Einwilligungsdurchsetzung ist der Kernzweck von DKMS
EHDS Artikel 71(8) schafft eine strukturelle Anforderung, die keine zentrale Autorität erfüllen kann: Wenn eine Person der Sekundärnutzung widerspricht, muss dieser Widerruf jede Institution erreichen, die entsprechende Daten hält oder daraus abgeleitet hat. Keine Zertifizierungsstelle kann den Widerspruch mitunterzeichnen; kein Identitätsanbieter kann den Widerruf kaskadieren. Diese Anforderung ist architektonisch unvereinbar mit zentralisierter Identität.
DKMS erfüllt fünf Invarianten, die EHDS Artikel 71 erfordert: personenbezogene Kennungen, die eine erneute Registrierung überdauern; verifizierbare, zeitgestempelte Widerrufsdatensätze, die im Key Event Log verankert sind; Umkehrbarkeit ohne erneute Identifizierung; kontrolleurübergreifende Verbreitung ohne bilaterale Vereinbarungen zwischen jedem Institutionenpaar; und Unverknüpfbarkeit zwischen dem Einwilligungsdatensatz und den abgedeckten Daten.
Nachdem Daten offengelegt wurden — in einem Krankenhausnetzwerk, einem Forschungskonsortium oder einer Zahlerkette geteilt —, muss ein anschliessender Widerspruch dennoch jeden nachgelagerten Verantwortlichen erreichen. DKMS Key Event Logs verbreiten den Widerruf kryptographisch: Der KEL jedes Verantwortlichen ist unveränderlich und bezeugt, sodass ein am persönlichen Edge angehängter Widerruf bei jeder Institution verifizierbar wird, die einen abgeleiteten Datensatz hält.
Einwilligungsarchitektur-These lesenBewährt im Schweizer Gesundheitswesen — gewählt für den nationalen Einsatz
HIN — Health Info Net — ist das Gesundheitsinformationsnetzwerk der Schweiz, das Spitäler, Hausarztpraxen und Fachärzte über Kantonsgrenzen hinweg verbindet. SEAL, die auf dieser Vertrauensarchitektur aufgebaute verifizierbare Kommunikationskomponente, verarbeitet bereits über 800'000 verifizierte Nachrichten pro Monat. Der vollständige Verimesh-Rollout mit strukturiertem Datenaustausch erfolgt im Verlauf von 2026.
800.000+
verifizierte Nachrichten pro Monat
850+
Gateways im Schweizer Gesundheitswesen
30.000+
Arztpraxen und Gesundheitsinstitutionen
Trust-Architektur — häufig gestellte Fragen
Was ist DKMS?
Wie unterscheidet sich DKMS von PKI?
Ersetzt DKMS OAuth?
Ist DKMS post-quantum-fähig?
Wer pflegt DKMS?
Benötigt DKMS eine Blockchain?
Kann Vereign mir bei der Integration mit dem swiyu- oder EUDI-Wallet helfen?
Ist Vereign ein Konkurrent nationaler Wallets?
Ist die Verimesh-Brücke zu swiyu oder EUDI in Produktion?
Buchen Sie eine Architekturprüfung — wir kartieren Ihre Vertrauensgrenzen.
Diese Architektur ist im Schweizer Gesundheitswesen auf nationaler Ebene im Einsatz. Ob Sie Alternativen zu zentralisierter Identität evaluieren oder organisationsübergreifenden Datenaustausch planen — wir kartieren es in einem 30-minütigen Gespräch.