Teil 1: Die Antwort von ID MANDAT gibt es jetzt auch als signiertes Token

Aktuell · 20. Oktober 2026 · Teil 1 · Mit Quellen

Kurz gesagt

Wer bei ID MANDAT nachfragt, wer hinter einer Domain steht und welche KI-Agenten für sie handeln, bekommt die Antwort wie bisher als JSON-Text mit digitaler Signatur. Seit dem 20. Oktober 2026 gibt es dieselbe Antwort auch als signiertes Token im Format JWT. Das ist ein verbreitetes Format, das sich mit fertigen Bibliotheken prüfen lässt. Neue Prüfungen oder neue Angaben kommen dadurch nicht hinzu. Es ist dieselbe Antwort in einem Format, das viele Systeme schon verstehen.

Wer damit etwas anfangen kann

Normale Besucher dieser Seite merken nichts davon. Gedacht ist es für Systeme: den Shop, die Plattform oder die Firma, bei der ein KI-Agent anklopft. Deren Entwickler fragen bei ID MANDAT an: „Wer steht hinter dieser Domain, und was darf der Agent dieser Firma?“ Mit dem Token müssen sie die Unterschrift nicht selbst nachrechnen. Eine gängige Bibliothek prüft sie in wenigen Zeilen.

So sieht es aus

Die Abfrage bekommt den Zusatz format=jwt:

curl -s "https://idmandat.com/api/v1/verify?domain=idmandat.com&format=jwt"

Zurück kommt eine lange Zeichenkette in drei Teilen. Der erste Teil nennt das Verfahren (EdDSA, also Ed25519) und die Kennung des Schlüssels. Der zweite enthält die Antwort: Domain, Stufe der Prüfung, Unternehmen, Agenten mit dem, was sie dürfen und nicht dürfen, dazu Aussteller, Ausstellungszeit und Ablaufzeit. Der dritte ist die Unterschrift. Die öffentlichen Schlüssel gibt es im Standardformat JWK unter https://idmandat.com/api/v1/verify?format=jwks. Ein fertiges Python-Beispiel steht in der API-Referenz.

Was das Token nicht ist

Es ist kein Nachweis nach x401 und kein „Verifiable Credential“. Es ist dieselbe ID-MANDAT-Antwort in einem anderen Format.
„Darf“ und „darf nicht“ sind Erklärungen des Unternehmens. ID MANDAT prüft sie nicht und erzwingt sie nicht.
ID MANDAT bestätigt Identität und Befugnis, nicht Bonität, Seriosität oder Qualität.
Das Token gilt 15 Minuten. Danach muss neu abgefragt werden.
Fehlermeldungen und Antworten ohne Signatur kommen weiterhin als JSON und sind kein Nachweis.
Die Schnittstelle ist in der Betaphase (Version 0.3.0-beta).

Warum wir das gebaut haben

Proof hat mit x401 ein offenes Protokoll vorgestellt, mit dem ein Server von einem Agenten einen Identitätsnachweis verlangen kann. Nach dem aktuellen Entwurf (Version 0.2.0) legt dabei jeder Prüfer selbst fest, wem er als Aussteller vertraut, und die Art der Agenten-Kennung bleibt offen. Welche Agenten ein Unternehmen eingesetzt hat und was sie dürfen, ist damit eine eigene Frage. Unsere Abfrage beantwortet genau diese Frage öffentlich und ohne Anmeldung. Das Token macht es Entwicklern einfacher, diese Antwort in ihre Systeme einzubauen.

Selbst ausprobieren

Token: https://idmandat.com/api/v1/verify?domain=idmandat.com&format=jwt. Ihr Browser lädt es womöglich als Datei herunter, das ist normal.
Schlüssel: idmandat.com/api/v1/verify?format=jwks
Alle Felder und das Python-Beispiel: API-Referenz

Quellen

Weiterlesen: Teil 2: Was weiß Ihre KI über Ihr Unternehmen? · Teil 3: Ist ID MANDAT sicher?
Mehr dazu: Wer ist der Agent? Zwei Antworten in einer Woche, und eine Lücke