🇮🇹🇩🇪🇫🇷🇪🇸🇵🇹🇳🇱🇵🇱🇸🇪🇩🇰🇫🇮🇨🇿🇷🇴🇭🇺🇬🇷🇧🇬🇭🇷🇸🇰🇸🇮🇪🇪🇱🇹🇱🇻🇮🇪🇲🇹🇸🇦🇨🇳🇯🇵🇰🇷🇮🇳🇹🇷🇻🇳🇮🇩
Am 16. April 2026 wurde ein digitaler Produktpass für ein echtes Textilprodukt von einer mobilen Geldbörse erhalten, kryptografisch verifiziert und als verifizierbares Zertifikat gespeichert. Der Herausgeber war ia.reeco.eco. Das Portemonnaie erkannte es als ✅ Verified.
Ich werde erklären, was das technisch gesehen bedeutet, warum der Rest des Marktes das nicht gemacht hat und warum es für den Durchsetzungszeitraum wichtig ist, den alle ignorieren.
Danke fürs Lesen! Abonniere kostenlos, um neue Beiträge zu erhalten und meine Arbeit zu unterstützen.
Das Trägerproblem ist immer noch das Problem
Ich schrieb im April 2026, dass die Investition der Branche in QR-Codes als Beweis für die "DPP-Bereitschaft" ein Kategoriefehler sei. Der Träger ist notwendig, aber nicht ausreichend.
Das Lieferproblem ist die Fortsetzung. Ein QR-Code, der eine Webseite öffnet, ist keine verifizierbare Qualifikation. Es ist eine URL. Es gibt keinen kryptographischen Ursprungsnachweis. Es darf nicht selektiv offengelegt werden. Sie kann nicht in einer Wallet gespeichert werden. Es kann einem Verifizierer – einer Zollbehörde, einem Recycler, einem Marktplatz – nicht automatisiert, standardkonform und unabhängig von der Verfügbarkeit des Anbieters präsentiert werden.
Ich habe sieben DPP-Anbieter gebeten, mir ihren Endpunkt für die Austeilung der Zugangsdaten zu zeigen. Die Frage erzeugt eine von zwei Reaktionen: eine verwirrte Stille oder eine Demonstration eines QR-Codes, der ein Dashboard öffnet.
Ein Dashboard ist keine Zugangsberechtigung. Ein Dashboard ist eine Webseite mit einem Login.
What OID4VCI actually requires
Die EU Digital Identity Wallet-Infrastruktur – die die obligatorische Zugangsschicht für DPP im EUDIW-Rahmen sein wird – basiert auf OID4VCI 1.0, das im September 2025 finalisiert wurde. Dies ist das Protokoll, das regelt, wie eine Verifiable Credential an eine Wallet ausgestellt wird.
Sie verlangt mindestens:
Ein Metadaten-Endpunkt des Credential-Herausgebers bei /.well-known/openid-credential-issuer. Ein Token-Endpunkt, der den vorautorisierten Codefluss implementiert. Ein Anmeldedaten-Endpunkt, der die Zugangsdaten in einem signierten, selektiven Offenlegungsformat ausgibt. Ein JWKS-Endpunkt, der die öffentlichen Schlüssel des Herausgebenden veröffentlicht.
Nichts davon ist eine Webseite. Nichts davon ist ein Dashboard. Es handelt sich um eine kryptografische Infrastruktur, die eine Produktbehauptung nimmt, sie mit dem privaten Schlüssel des Anbieters signiert und sie in einem Format an eine Wallet liefert, das jeder Verifizierer unabhängig verifizieren kann – ohne den Anbieter anzurufen, ohne eine kommerzielle Beziehung zur Plattform zu haben oder auf dessen SLA angewiesen zu sein.
Die 10-jährige Aufbewahrungspflicht in Artikel 9 von ESPR ist nicht von einem Anbieter-SLA adressierbar. Sie ist adressierbar durch eine Zugangsberechtigung, die unabhängig mit einem veröffentlichten öffentlichen Schlüssel überprüft werden kann. Das sind verschiedene Architekturen. Nur einer von ihnen ist im Hinblick auf die Durchsetzung ESPR-konform.
Was wir aufgebaut haben und was es bewiesen hat
Reeco’s OID4VCI issuer runs at https://ia.reeco.eco/dpp-issuer/ und stellt die vollständige Endpunktmenge offen, die OID4VCI 1.0 Final benötigt. Das Credential-Format ist SD-JWT VC (dc+sd-jwt), unterschrieben mit ES256 (P-256) und EdDSA (Ed25519).
Das Design der selektiven Offenlegung ist bewusst und operativ motiviert. Die folgenden Behauptungen sind selektiv offenbarbar – der Inhaber entscheidet, was er pro Kontext offenlegt:
Fiber composition with mass balance coverage. Certifications with validity dates. Country of manufacture. Traceability events. Sustainability indices (Durability Index V1.02, Repairability Index V3.1, Waste Index V1.0 — Zenodo DOI 10.5281/zenodo.19206500). Brand name and supplier name.
Always visible, never redactable: product ID, GTIN, product name, product category.
Das bedeutet, dass eine Marke, die den DPP dem Zoll vorlegt, die gesamte Zusammensetzung und Zertifizierungskette offenlegen kann. Die gleiche Marke, die dem Verbraucher über einen Einzelhandelskanal präsentiert, gibt Zusammensetzungs- und Nachhaltigkeitsindizes, aber nicht den Lieferantennamen offen. Gleiche Qualifikation. Gleiche kryptografische Signatur. Andere Offenlegung. Der Prüfer kann nicht feststellen, was zurückgehalten wurde – nur, dass das, was offengelegt wurde, authentisch ist.
Dies ist selektive Offenlegung, wie sie in RFC 9901 vorgesehen ist. Es ist keine Privatsphäre-Option. Es ist eine strukturelle Voraussetzung für jedes DPP-System, das gleichzeitig Zolldurchsetzung und Verbrauchertransparenz dient, ohne kommerziell sensible Lieferkettendaten preiszugeben.
Die automatisierte Testsuite führt 8 End-to-End-Prüfungen und Berichte durch OID4VCI flow COMPLIANT in 0,09 Sekunden. Die Curl-basierte Credential-Ausstellung erzeugt eine gültige dc+sd-jwt beginning with eyJ0eXAiOiJkYytzZC1qd3Qi — von jedem bei jwt.io überprüfbar.
Am 16. April 2026 um 19:03 Uhr MEZT erhielt Sphereon Wallet auf einem Android-Gerät eine DPP für Bestellung unter 001 und zeigte an: https://ia.reeco.eco — ISSUER — ✅ Verified. Die Rohberechtigung zeigt sich issuanceDate: 2026-04-16T16:57:21Z, credentialSubject mit Produktansprüchen und einem kryptographischen Beweis mit 5 Schlüsseln.
Was noch nicht funktioniert – und warum das ein normatives Problem ist, kein technisches
Die Umsetzung der EU Digital Identity Wallet Referenzimplementierung verlangt, dass Emittenten in einer von der Europäischen Kommission geführten Trusted Issuer List registriert sind. Diese Liste umfasst derzeit PID – persönliche Identitätsdokumente, die von EU-Mitgliedstaaten ausgestellt werden.
Es gilt nicht für Nicht-PID-Attestierungen. In der Liste der vertrauenswürdigen Emittenten gibt es keinen Eintrag für Textil-DPP, da die Liste für Nicht-PID-Attestierungen noch nicht existiert. Der ARF (Architecture Reference Framework) Anhang 2 befindet sich im Prozess der Definition des Mechanismus. Der CIRPASS-2-Stakeholder-Prozess – an dem ich als Expertenmitglied von EWG1, EWG3 und EWG5 teilnehme – ist einer der Kanäle, durch die diese Architektur gestaltet wird.
Wenn die Referenz-EUDIW-Wallet ein Reeco DPP-Angebot scannt, holt sie die Metadaten korrekt, überprüft das Zugangsdaten und bricht dann stillschweigend ab, weil sie den Emittenten in ihrer Treuhandliste nicht finden kann. Das ist kein Fehler in unserem Herausgeber. Es ist eine Lücke in der normativen Infrastruktur.
Sphereon Wallet, das für nichtstaatliche Zugangsdaten in einem eher permissiven Modus arbeitet, vervollständigt den Ablauf und markiert den Emittenten als verifiziert. Die Zugangsdaten befinden sich in der Wallet, die Daten sind vorhanden, der kryptografische Beweis ist gültig.
Die Frage, wann das EC Trusted Issuer Registry für nicht-PID-Attestationen eröffnet wird, ist eine regulatorische Frage, keine technische. Meine Position zu CIRPASS-2 ist, dass Textil-DPP-Emittenten für die Registrierung nach demselben Trust-Rahmen in Anspruch kommen sollten, der auch für jeden anderen qualifizierten Attestationsanbieter gilt – nicht als Sonderfall, nicht nach einem separaten Gesetzgebungszyklus, sondern als Teil der initialen Umsetzung der nicht-PID-Attestationsschicht.
Warum das vor der Existenz des Registers wichtig ist
Die Marken, die 2026 DPP-Infrastruktur bauen, treffen eine architektonische Entscheidung, die sie 2027 erneut kosten wird, falls sie sich irren.
Ein DPP, das als statische Webseite implementiert wird, erfordert einen vollständigen Neuaufbau, wenn die Wallet-basierte Lieferung verpflichtend wird. Der Wiederaufbau ist keine Migration. Das Datenmodell ist anders, die Signing-Infrastruktur ist anders, das Lieferprotokoll ist anders. Die Kosten sind nicht gering.
Ein heute als OID4VCI Verifiable Credential implementiertes DPP – was Reeco herausgibt – ist bereits im korrekten Format. Wenn das Trusted Issuer Registry eröffnet wird, fügst du eine Registrierung hinzu. Man baut nicht wieder auf.
Ich habe keine andere Textil-DPP-Plattform gefunden, die derzeit SD-JWT VC-Zugangsdaten über OID4VCI 1.0 ausgibt. Falls es eine gibt und ich sie übersehen habe, lasse ich mich gerne korrigieren.
The UNTP alignment
Reeco ist im UNTP Software Register (MR !732, UNICC GitLab, genehmigt im April 2026) als konforme Implementierung des UNTP DigitalProductPassport-Schemas registriert. Die UNTP-Spezifikation definiert, was ein DPP enthalten soll. Es definiert nicht, wie es vermittelt werden soll.
OID4VCI ist die Lieferschicht, die UNTP derzeit fehlt. Ein Beitrag zu uncefact/spec-untp der Vorschlag OID4VCI als Standard-Liefermechanismus für UNTP DPP – mit Reeco als Referenzimplementierung – ist in Vorbereitung.
For the market
Der Aussteller ist aktiv. Das Format des Zertifikatsangebots ist Standard-OID4VCI und der JWKS ist öffentlich bei https://ia.reeco.eco/dpp-issuer/jwks. Jede Marke, jeder Verifizierer oder jeder Wallet-Anbieter kann sich dagegen testen, ohne um Erlaubnis zu fragen.
Wenn du ein DPP-Anbieter bist und dein nicht nachweisen kannst /.well-known/openid-credential-issuer Endpoint, Ihre Plattform ist nicht wallet-bereit. Es könnte für andere Zwecke nützlich sein. Sie ist nicht bereit für die Durchsetzungsinfrastruktur, die ESPR benötigt.
Das ist eine widerlegbare Behauptung. Der Endpunkt existiert entweder oder nicht.
Stefano Cipriani ist Gründer von Reeco® und dem Stefano Cipriani Studio (Prato, Italien). Expertenmitglied CIRPASS-2 EWG1, EWG3, EWG5. JRC-registrierter Anteilseigner, Einheit B5 Sevilla. ORCID: 0009-0001-3423-9402. Wikidata: Q138773743. Patent
Danke fürs Lesen! Abonniere kostenlos, um neue Beiträge zu erhalten und meine Arbeit zu unterstützen.