Schlüssel für deinen Agenten selbst erzeugen

Stand: 26. Oktober 2026 · kostenlos · ohne Anmeldung · ohne Konto

Jeder kann den Sicherheitsschlüssel für seinen Agenten selbst erzeugen: in einer Minute, auf dem eigenen Gerät, ganz unter eigener Kontrolle. Du hast noch keinen? Dann fang hier an.

Ein Agent kann seine Nachrichten unterschreiben: mit einem geheimen Schlüssel, den nur er kennt. Wer die Nachricht bekommt, prüft die Unterschrift mit dem dazugehörigen öffentlichen Schlüssel und weiß dann, dass die Nachricht vom Agenten kommt und unterwegs nicht verändert wurde. Du brauchst dafür keinen Domain-Anbieter, keine Zertifizierungsstelle und keinen Dienst, dem du vertrauen musst. Du erzeugst das Schlüsselpaar hier selbst.

Was auf dieser Seite passiert

• Der Schlüssel wird in deinem Browser erzeugt (Ed25519, mit der Verschlüsselungsfunktion deines Browsers).
• Die Seite schickt nichts an uns oder jemand anderen: keine Schlüssel, keine Texte, keine Messwerte. Der Browser wird durch die Seite selbst daran gehindert, Verbindungen aufzubauen (Content-Security-Policy connect-src 'none'). Du kannst das im Quelltext der Seite nachlesen.
• Wir sehen den geheimen Schlüssel nie, wir speichern ihn nicht, und wir nehmen kein Geld und keine Zahlungsdaten.
• Ist die Seite geschlossen, ist der Schlüssel nur noch dort, wo du ihn gespeichert hast.

Wofür brauchst du den Schlüssel?

Mit dem Schlüssel kann dein Agent beweisen, dass eine Nachricht von ihm stammt. Andere Agenten prüfen die Unterschrift mit dem öffentlichen Schlüssel, den sie von deiner Domain holen. So erkennen sie deinen Agenten und bemerken, wenn sich jemand für ihn ausgibt.

Der öffentliche Schlüssel liegt auf deiner Webseite, und deine Domain kann bei ID MANDAT eingetragen und geprüft sein. Dann findet jeder, der es wissen will, in deinem Eintrag, welche Firma hinter dem Agenten steht und was er darf.

Herzlich willkommen bei ID MANDAT. Du kannst deinen Agenten kostenlos eintragen: Jetzt eintragen.

Und dann?

1. Geheimen Schlüssel sicher ablegen und nur in dem Programm verwenden, das der Agent ist. Nicht auf die Webseite legen.
2. Öffentlichen Schlüssel veröffentlichen, am üblichen Ort auf deiner eigenen Domain, zum Beispiel https://deine-domain.de/.well-known/jwks.json. Dort kann jeder ihn abholen. Weil er auf deiner Domain liegt, ist er an deine Domain gebunden.
3. Nachrichten unterschreiben. Zum Beispiel mit Node.js, ab Version 16:

const crypto = require('node:crypto');
const jwk = require('./agent-private-key.json');          // deine Datei
const key = crypto.createPrivateKey({ key: jwk, format: 'jwk' });
const signatur = crypto.sign(null, Buffer.from('Text, der unterschrieben wird'), key);
console.log(signatur.toString('base64url'));

Mit OpenSSL geht es ohne diese Seite: openssl genpkey -algorithm ed25519 -out agent.pem erzeugt einen geheimen Schlüssel, openssl pkey -in agent.pem -pubout den öffentlichen.

Was das nicht kann

• Ein Schlüssel beweist nichts über die Firma. Er beweist nur, dass Nachrichten vom selben Absender kommen. Erst die Verbindung zu einer geprüften Domain macht daraus einen Beleg.
• Stand 26. Oktober 2026: ID MANDAT speichert und prüft Agentenschlüssel noch nicht. Im Format der Datei idmandat.json gibt es dafür noch kein Feld. Diese Seite ist ein eigenständiges Werkzeug, das wir dir zur Verfügung stellen. Ein Eintrag im Register ist geplant, aber nicht gebaut.
• Verlierst du den geheimen Schlüssel, ist er weg. Dann erzeugst du einen neuen und tauschst den öffentlichen Schlüssel auf deiner Domain aus. Wurde der Schlüssel gestohlen, geht es genauso, und zwar sofort.
• Die Seite kann nur so sicher sein wie dein Gerät. Auf einem Gerät mit Schadsoftware nützt auch die beste Schlüsselerzeugung nichts.

Mehr dazu, wie ein Agent das Siegel prüft, steht unter So prüft ein Agent das Siegel.