Vergleich
Agenten-Vollmacht vs. OAuth-Scope
OAuth-Scopes regeln technischen API-Zugriff; Agenten-Vollmachten regeln rechtliche Handlungsbefugnis. Ein Scope sagt, welche Endpunkte ein Token erreichen darf — ein Mandat sagt, was ein Agent im Namen welcher Person bis zu welchem Betrag tun darf, juristisch lesbar und beweisbar.
| Dimension | Agenten-Vollmacht (Mandat) | OAuth-Scope |
|---|---|---|
| Beantwortet | Was darf der Agent rechtlich, im Auftrag wessen? | Welche API-Ressourcen darf das Token erreichen? |
| Identitäts-Bindung | Staatliche Wurzel (EUDI/E-ID, Org-Register) | Account beim jeweiligen Dienst |
| Betrags-/Frequenzlimits | Nativ, atomar reserviert | Nicht vorgesehen |
| Juristische Fassung | Untrennbar verbunden (Hash) | Existiert nicht |
| Widerruf | Global < 1 s, Status live geprüft | Token läuft ab oder wird invalidiert (Latenz je nach Dienst) |
| Beweis im Streitfall | Beidseitige, gezeitstempelte Evidenzkette | Server-Logs des Anbieters |
| Verhältnis | Läuft neben OAuth: das Mandat wird als SD-JWT VC präsentiert (OID4VP) oder über /v1/verify geprüft | Bleibt der Transport für den technischen Zugriff |
Fazit
Kein Entweder-oder: OAuth regelt den technischen Zugriff, das Mandat die rechtliche Befugnis. Die Prüfstelle prüft das Mandat zusätzlich — per OID4VP oder /v1/verify — und erhält Rechtssicherheit, ohne ihren OAuth-Zugriff umzubauen. Eine frühere Brücke, die Mandate in OAuth-Tokens einbettete (RFC 9396), ist zurückgezogen (410 Gone): Tokens im Prozessspeicher und eine fehlende Mandantenbindung hätten die Zusage nicht getragen.