Langzeitgültigkeit
Ein Beweis von 2027. Geprüft im Jahr 2037.
Auch dann, wenn Mandact nicht mehr existiert, der ursprüngliche Schlüssel abgelaufen ist — oder das Hashverfahren gebrochen wurde. Das ist die Anforderung. Sie entscheidet, ob eine Beweiskette ein Archiv ist oder nur ein Log mit Prüfsummen.
Jeder Eintrag trägt sein Verfahren
Nicht «die Kette benutzt SHA-256», sondern: dieser Eintrag wurde mit diesem Verfahren gebildet. Der Unterschied fällt erst auf, wenn ein Verfahren fällt — und dann ist es zu spät, ihn nachzurüsten. Prüfung und Guard rechnen jeden Eintrag mit seinem eigenen Verfahren nach.
Ein Wechsel ist Konfiguration, kein Deployment
Die zulässigen Verfahren stehen in einer Registry mit Gültigkeitszeitraum. Fällt eines, übernimmt das nächste — ohne dass jemand Code anfasst. Ist keines zulässig, bricht der Schreibvorgang ab. Er fällt nicht stillschweigend zurück: lieber ein Fehler, der auffällt, als ein Beweis, der lügt.
Alte Einträge werden nicht umgerechnet
Das wäre der naheliegende, aber falsche Weg — ein nachträglich neu gehashter Eintrag ist nicht mehr derselbe Beweis. Stattdessen kommt eine zweite Verankerung unter dem stärkeren Verfahren hinzu. Re-Anchoring ersetzt nichts; es legt eine Decke darüber.
Ein Anker nach dem Bruch rettet nichts
Das ist die Unterscheidung, an der Langzeitgültigkeit hängt. Ein Zeitstempel, der nach dem Bruch eines Verfahrens gesetzt wurde, bezeugt einen Hash, der zu diesem Zeitpunkt bereits fälschbar war. Nur ein Anker aus der Zeit davor trägt. Wer das nicht unterscheidet, gibt einen wertlosen Anker als Rettung aus.
Die Statusauskunft
«Trägt dieser Beweis noch?» wird je Verfahrens-Epoche beantwortet, nicht pauschal. Eine Organisation kann Einträge aus mehreren Epochen haben — eine einzige Antwort wäre irreführend.
- Verfahren giltDer Beweis trägt. Keine weitere Bedingung.
- Gebrochen, aber vorher verankertDer Beweis trägt — der Anker bezeugt den Zustand vor dem Bruch.
- Gebrochen, kein früher AnkerDer Beweis trägt NICHT mehr. Das sagt die Auskunft ausdrücklich, statt es zu verschweigen.
Wo der Vertrauensdienst ansetzt
Der Anker ist die Stelle, an der eine unabhängige Zeitquelle gebraucht wird. Der Adapter dafür ist gebaut — RFC 3161, OASIS DSS über mTLS, es wird ausschliesslich der Hash übertragen, nie die Daten. Er ist nicht in Betrieb: Die Anbindung an einen akkreditierten Dienst steht aus.
Ohne konfigurierten Anbieter bleibt die Anker-Tabelle leer. Ein simulierter Zeitstempel wäre schlimmer als gar keiner.
Der Vertrauensanker im Detail →Was noch offen ist
Re-Signieren abgelaufener Signaturen, archivfähige Beweispakete und WORM-Ablage sind vorgesehen, aber nicht gebaut. Sie stehen hier, weil eine Roadmap, die nur Fertiges zeigt, keine ist.