Sicherheit und Datenschutz

Vertrauen, das man nachprüfen kann.

valid.at ist nur so viel wert wie das Vertrauen in die Prüfseite. Hier steht, was wir bestätigen, wie wir das absichern und welche Daten wir dafür brauchen.

Was valid.at bestätigt

Registriert und nicht widerrufen.

Eine Prüfung auf valid.at bestätigt, dass der genannte Aussteller diesen Nachweis mit diesem Inhalt registriert hat und dass er nicht widerrufen ist.

Für den Inhalt haftet der Aussteller: ob die Schulung stattgefunden hat, ob die Prüfung bestanden wurde. So steht es auf jeder Prüfseite und in unseren AGB.

Geprüfte Aussteller

Bevor ein Aussteller Nachweise ausstellen kann, gleichen wir Firmenwortlaut, Registernummer und Adresse mit dem Firmenbuch oder Handelsregister ab. Sonst könnten Betrüger unter fremdem Namen „echte“ Nachweise erzeugen.

Widerruf statt Löschung

Nachweise verschwinden nie still. Ein Widerruf bleibt mit Datum und Grund sichtbar, jede Änderung steht im Protokoll des Ausstellers.

Technik

Signiert, gehasht, begrenzt.

Digitale Signatur

Jeder Eintrag wird bei der Registrierung mit dem Schlüssel von valid.at signiert (Ed25519). Die öffentlichen Schlüssel stehen unter /.well-known/valid-at-keys.json. Damit lässt sich unabhängig von uns nachweisen, dass ein Eintrag nicht verändert wurde.

Schlüsselwechsel ohne Bruch

Wechselt valid.at den Schlüssel, bleiben frühere Schlüssel veröffentlicht und ältere Signaturen gültig. Ein gesperrter Schlüssel, etwa nach einem Verlust, gilt sofort nicht mehr; die Einträge damit signiert valid.at mit dem aktuellen Schlüssel neu.

Prüfwert für PDFs

Für jedes PDF hinterlegen wir einen SHA-256-Prüfwert. Wer eine Datei auf der Prüfseite abgleicht, sendet nur diesen Wert; die Datei selbst verlässt das Gerät nicht.

Nicht erratbare Kurzcodes

Acht zufällige Zeichen aus einem Alphabet ohne verwechselbare Zeichen (31 Zeichen, ohne 0, O, 1, I und L). Eine Abfragebegrenzung verhindert systematisches Durchprobieren.

Geschützte Konten

Jede Anmeldung braucht einen zweiten Faktor: einen Code per E-Mail, der zehn Minuten und nur für diese Anmeldung gilt, oder freiwillig eine Authenticator-App. Wer ohne App sein Passwort zurücksetzt, kann sich erst nach drei Tagen wieder anmelden; so kommt niemand allein mit einem übernommenen E-Mail-Postfach ins Konto. Passwörter speichern wir nur als scrypt-Hash, Anmeldungen und Fehlversuche werden protokolliert.

Eindeutige Adresse

Prüfseiten gibt es nur unter https://valid.at, abgesichert mit HSTS. Fremde Seiten dürfen die Prüfseite nicht einbetten. So fallen gefälschte „Prüfseiten“ unter ähnlichen Adressen auf.

Keine Blockchain nötig

Bewährte Web-Technik und etablierte Kryptografie genügen. Das hält den Dienst schnell, günstig und verständlich.

Signatur selbst prüfen

Jeder Nachweis ist als JSON abrufbar, zum Beispiel https://valid.at/api/v1/nachweise/CODE. Die Antwort enthält den signierten Eintrag und die Signatur. Signiert wird die kanonische JSON-Darstellung des Eintrags mit sortierten Schlüsseln und ohne Leerzeichen. Hat der Inhaber die Namensanzeige eingeschränkt, geben wir den signierten Eintrag nicht heraus, weil er den vollen Namen enthält.

Maßgeblich ist der Schlüssel, dessen Kennung (kid) bei der Signatur steht. Die Liste nennt zu jedem Schlüssel, ob er aktuell, abgelöst oder gesperrt ist; Signaturen mit einem gesperrten Schlüssel gelten nicht.

Ob ein Nachweis noch gilt, steht nicht im Eintrag, denn ein Widerruf kommt später. Dafür enthält die Antwort eine signierte Statusauskunft mit Status, Widerruf und Zeitpunkt der Abfrage. Ihr Feld eintragPruefwert ist der SHA-256 des aktuellen Eintrags: Stimmt er mit einem vorgelegten Eintrag nicht überein, ist dieser nicht die aktuelle Fassung.

Datenschutz

Nur, was für die Prüfung nötig ist.

Der Nachweis bleibt beim Aussteller und beim Inhaber. valid.at speichert, was die Prüfseite braucht, und das PDF, damit Aussteller und Inhaber es erneut herunterladen können.

Auf der Prüfseite: Name, Art des Nachweises, Aussteller, Daten und Status. Keine Geburtsdaten, keine Noten.
Datenschutzmodus: Inhaber entscheiden, ob ihr voller Name oder nur eine Kurzform erscheint.
Prüfseiten sind für Suchmaschinen gesperrt.
Das Prüfprotokoll speichert Zeitpunkt und Weg der Prüfung, aber keine IP-Adressen.
Keine Werbe- oder Analyse-Cookies. Für angemeldete Aussteller setzen wir nur ein Sitzungscookie.
Hosting in Deutschland, Daten ausschließlich in der EU.
Aussteller sind Verantwortliche, valid.at verarbeitet in ihrem Auftrag nach Art. 28 DSGVO.

Details in der Datenschutzerklärung.