Seminar vLEI – QVI, Issuance, Revocation und Audit

Ein Qualified vLEI Issuer betreibt keinen gewöhnlichen Credential-Service. Er verbindet geregelte Organisationsprüfung, autorisierte Anweisungen, kryptographische Ausgabe, laufende Statuspflege und nachweisbare Kontrollen unter einem qualifizierten Betriebsmodell.

Inhaltsübersicht

• Seminarprofil
• Zielgruppe
• Lernziele
• Seminarinhalte
• Praxisanteile
• Voraussetzungen

Seminarprofil

Der Kurs bildet den vollständigen operativen Prozess ab. Teilnehmer entwickeln Kontrollpunkte, Evidenzanforderungen, Zustandsmodelle, Ausnahmeverfahren und Auditunterlagen für Onboarding, Issuance, Revocation und Regelbetrieb.

Zielgruppe

QVI-Kandidaten, Operations-, Compliance-, Risk-, Audit- und Security-Teams, Identity Verification Specialists, Service Manager und technische QVI-Architekten.

Lernziele

• QVI-Rollen, Pflichten und Kontrollgrenzen in Prozesse übersetzen
• Legal-Entity- und Rollen-Onboarding prüfbar gestalten
• Issuance und Revocation mit Autorisierung und Vier-Augen-Kontrolle absichern
• Audit-Evidenzen und Assurance-Kontrollen aufbauen
• Incidents, Ausfälle und Governance-Verstöße beherrschbar behandeln

Seminarinhalte

Schritt 1: QVI-Betriebsmodell und Scope festlegen

Services, Credential-Typen, Zielmärkte, Jurisdiktionen, Subdienstleister, Systeme und operative Standorte werden abgegrenzt. Verantwortlichkeiten zwischen Governance, Compliance, Technik und Operations werden eindeutig zugeordnet.

• Servicekatalog und Kontrollgrenzen definieren
• Outsourcing-Risiken erfassen
• RACI und Eskalation erstellen

Schritt 2: Legal-Entity-Onboarding entwerfen

Antrag, LEI-Prüfung, Vertretungsberechtigung, Kontaktdaten, Vertragsabschluss, Risikoindikatoren und Evidenzen werden in einen zustandsbasierten Prozess überführt.

• Datenquellen und Freshness festlegen
• Dubletten und bestehende Beziehungen prüfen
• Ablehnung und Nachforderung dokumentieren

Schritt 3: Identity Verification durchführen

Identität und Befugnis der handelnden Personen werden mit angemessenen Kontrollen geprüft. Automatisierte Ergebnisse, manuelle Entscheidungen und Ausnahmen müssen zusammen einen nachvollziehbaren Prüfpfad ergeben.

• Evidence Chain dokumentieren
• Vier-Augen-Fälle bestimmen
• Fraud- und Spoofing-Signale behandeln

Schritt 4: Autorisierte Anweisungen prüfen

Anweisungen zur Ausgabe und Revocation von Rollen-Credentials werden auf Absender, AUTH-Nachweis, Umfang, Zielperson, Rolle und Kontext geprüft.

• Anweisung kryptographisch und fachlich binden
• Berechtigungsumfang nicht überschreiten
• wiederholte und widersprüchliche Anweisungen erkennen

Schritt 5: Issuance-Prozess steuern

Credential-Daten, Schema, Issuer- und Holder-AIDs, Registry-Ereignis, Signatur beziehungsweise Seal und Übergabe werden als atomarer, idempotenter Prozess betrachtet.

• Vorbedingungen als Gate prüfen
• Doppelvergabe verhindern
• Ergebnis und Übergabe nachweisen

Schritt 6: Revocation und Statusänderungen behandeln

Trigger reichen von Rollenende und fehlerhafter Ausgabe bis zu Schlüsselkompromittierung oder QVI-Statusänderung. Priorität, Frist, Benachrichtigung und Folgeprüfung werden risikobasiert festgelegt.

• Sofort- und Standardwiderruf unterscheiden
• abhängige Credentials identifizieren
• SLA und Eskalation messen

Schritt 7: Kontroll- und Evidence-Modell aufbauen

Jede normative Anforderung erhält Kontrollziel, Frequenz, Owner, Evidenzquelle und Testverfahren. Technische Logs werden mit Prozessbelegen und Berechtigungsnachweisen verbunden.

• präventive und detektive Kontrollen trennen
• Evidenzintegrität sichern
• Stichproben und Vollkontrollen festlegen

Schritt 8: Audit und Re-Qualifikation vorbereiten

Dokumentation, Kontrollnachweise, Findings, Remediation, Change Records und Servicekennzahlen werden prüfbar organisiert. Das Team simuliert einen Audit-Pfad von einer Credential-Ausgabe zurück zu allen Vorbedingungen.

• Audit-Trail rückwärts prüfen
• Findings priorisieren
• nachhaltige Remediation nachweisen

Schritt 9: Incident und Business Continuity planen

Schlüsselkompromittierung, Falschausgabe, Registry-Ausfall, Datenverlust und Provider-Ausfall erhalten technische und organisatorische Runbooks. Kritische Prozesse werden regelmäßig getestet.

• Containment und Revocation koordinieren
• Wiederanlauf und Datenkonsistenz prüfen
• Stakeholder-Kommunikation vorbereiten

Praxisanteile

• QVI-Prozess- und Kontrolllandkarte erstellen
• Onboarding-Fall mit Evidenzen und Ausnahmen bearbeiten
• Issuance- und Revocation-Zustandsmodell entwickeln
• Audit-Trail und Incident-Runbook testen

Voraussetzungen

Gute Kenntnisse in KYC/KYB, Organisationsidentifikation, Compliance- und Kontrollprozessen. vLEI-Grundlagen sind erforderlich; KERI-Details werden nur soweit betrieblich nötig behandelt.