Mandact — The Trust Layer of the Agent Economy

OMP/1 — Open Mandate Protocol · v0.5.2

Das Profil, das die Agent-Standards juristisch bindet

Die Agent Economy hat 2026 ihre Standards gefunden: AP2 regelt Zahlungs-Mandate unter FIDO-Governance, XAA regelt Agenten-Identität über App-Grenzen, EUDI-Wallet und Schweizer E-ID liefern die staatliche Identitäts-Wurzel. Was keiner davon beantwortet: Was darf dieser Agent im Namen welcher Rechtsperson tun — und wer beweist es vor Gericht? Genau dafür existiert OMP.

Profil, nicht Konkurrenz

Die grossen Standards sind besetzt und neutral regiert: AP2 bei der FIDO Alliance, MCP bei der Linux Foundation, XAA als offenes Okta-Protokoll. OMP tritt nicht gegen sie an — es definiert, wie Vollmachten mit Rechtswirkung darauf aufsetzen: AP2-Payment-Mandate werden als payment.*-Subtyp gekapselt, XAA-Identitäten tragen OMP-Mandate nach aussen, EUDI- und E-ID-Wallets liefern die Identitäts-Wurzel.

Juristisch zuerst

Jedes Mandat referenziert einen geprüften, versionierten Rechtstext (OR 32 ff., BGB 164 ff.), per SHA-256 untrennbar gebunden. contract.sign ist bewusst ausgeschlossen — die Abschluss-Signatur gehört dem Menschen (QES). Kein anderer Standard der Agent-Economy trägt diese Schicht.

Beweis als Pflicht

Verifier müssen den Mandats-Status live prüfen (Cache-Control: no-store); jeder Entscheid trägt genau einen Primärcode aus 19 stabilen MD-Codes und einen signierten Beleg. Die Evidence-Kette ist append-only und hash-verkettet — auf Datenbank-Ebene erzwungen.

Offen und übertragbar

Schema, Taxonomie (27 Aktionen, 9 Domänen), Fehlercodes und Statussemantik sind öffentlich dokumentiert. Die Governance ist auf Übergabe an ein neutrales Gremium ausgelegt — nach dem Vorbild von AP2 und MCP.

Andock-Punkte (implementiert, nicht angekündigt)

  • MCP: Mandate als Tools für jeden MCP-fähigen Agenten — fünf Tools, kompletter Lebenszyklus über Stdio verifiziert.
  • OAuth/RAR (RFC 9396): Preview — deaktiviert. Die Route /v1/oauth/token antwortet mit 410 Gone. Der Token-Store lag im Prozessspeicher und war nicht mehrinstanzfähig; der Verifier wurde nicht an die Anfrage gebunden. Nutzen Sie /v1/verify.
  • AP2: Payment-Mandate reisen als payment.*-Subtyp durch die Verify-Engine — eine Prüfung, ein Beleg, beide Welten.
  • AgentryGov: Anomalie-Signale suspendieren Mandate automatisch — Beobachten und Befugen als ein System.

Mandact Authority Token (MAT 1.0)

Jede Prüfung erzeugt einen signierten, selbstbeschreibenden Beleg. Wer ihn erhält, kann ihn verifizieren, ohne Mandacts Innenleben zu kennen — die Claims werden in fester Reihenfolge kanonisiert, damit dieselben Angaben immer dieselben Bytes ergeben.

{
  "typ": "MAT-1.0",
  "alg": "HS256",
  "jti": "rcpt_01H…",
  "iss": "mandact",
  "decision": "deny",
  "reasons": ["MD-302"],
  "action": "purchase.goods",
  "amount": { "value": 4200, "currency": "CHF" },
  "mandate_id": "mnd_01H…",
  "issued_at": "2026-07-18T09:14:22Z",
  "signature": "…"
}

Ein MAT ist kein Zugriffstoken — er berechtigt zu nichts. Er bezeugt eine Entscheidung zu einem Zeitpunkt. Und er ersetzt keine qualifizierte Signatur: Die Rechtswirkung kommt von einem Vertrauensdiensteanbieter, nicht von Mandact.

Ablehnungsgründe — fünf Klassen

Jede Ablehnung trägt einen maschinenlesbaren Code. Die Klassen trennen, woran es lag:

  • 1xx — Format und Signatur (MD-101 invalid_signature)
  • 2xx — Mandatsstatus (MD-201 revoked)
  • 3xx — Befugnisgrenzen (MD-302 amount_exceeds_limit)
  • 4xx — Eskalation (MD-401 escalation_required, MD-404 human_signature_required)
  • 5xx — Verifier-Policy (MD-503 verification_level_insufficient)

Die 5xx-Klasse macht das Modell zweiseitig: Nicht nur der Vollmachtgeber setzt Grenzen, sondern auch die Akzeptanzstelle. Sie kann eine Mindest-Identitätsstufe verlangen oder eine Attestierung fordern.

Zwei Codes folgen weder aus dem Mandat noch aus der Policy, sondern aus dem Recht: MD-404 verlangt eine menschliche Unterschrift, wo eine Formvorschrift die elektronische Form nur mit qualifizierter Signatur zulässt — und die steht ausschliesslich natürlichen Personen zu. MD-405 lehnt ab, wo öffentliche Beurkundung nötig ist; dort hilft auch keine Freigabe. Beide lassen sich durch kein Mandat abbedingen.

MD-504 bewertet, was sich seit der Ausstellung geändert hat — ein kompromittierter Schlüssel, eine ausgeschiedene Person. Es ist kein Widerruf: Angehalten wird die einzelne Anfrage, das Mandat bleibt gültig. Ein Widerruf gehört der mandatsgebenden Person, nicht einem Schwellwert.

Spezifikation & PlaygroundFeature-MatrixE-ID-Readiness