Vergleich
Widerruf vs. Token-Ablauf
Token-basierte Systeme beenden Befugnis durch Ablauf: Bis dahin gilt das Token, egal was passiert. Mandate beenden Befugnis durch Widerruf: Der Status wird bei jeder Verifikation live geprüft, ein Widerruf wirkt global in unter einer Sekunde — auch mitten in der Token-Laufzeit.
| Dimension | Aktiver Widerruf (Mandat) | Passiver Token-Ablauf |
|---|---|---|
| Wirkung eines Entzugs | Sofort (< 1 s), nächstes Verify → MD-201 | Erst beim Ablauf oder nach Invalidierungs-Latenz |
| Kompromittierter Agent | Kill Switch stoppt ihn sofort | Schaden bis Ablauf/Rotation möglich |
| Offline-Vertrauen | Verboten — Status-Endpoint mit no-store | Üblich — Token gilt bis exp |
| Preis dafür | Online-Pflicht beim Prüfen | Funktioniert offline |
Fazit
Bei Vollmachten ist der Trade-off eindeutig: Die Online-Pflicht ist der Preis dafür, dass ein Widerruf wirklich wirkt. Fail-closed ist bei Befugnissen die einzige vertretbare Richtung — lieber eine Verifikation verweigern als eine widerrufene Vollmacht akzeptieren.