Was ein SOVP-Nachweis belegt und was nicht
SOVP ist das Protokoll hinter CERTavia. Ein Nachweis dokumentiert, welche öffentlich sichtbaren Infrastruktur- und Governance-Deklarationen eine Domain zu einem bestimmten Zeitpunkt hatte, signiert mit Ed25519. Er kann als technischer Beleg in die Art.-50-Dokumentation eingehen. Er ist keine Rechtsbewertung und keine Konformitätsbewertung. 0 von 567 Benchmark-Messungen erreichten CERTIFIED.
SOVP im Glossar →Das Web braucht keine besseren Crawler. Es braucht ein Fundament, auf dem Agenten wissen, wo sie stehen. Wir bauen dieses Fundament als Protokoll.
SOVP – Sovereign Validation Protocol
SOVP steht für Sovereign Validation Protocol — das Infrastruktur-Validierungs-Framework mit deterministischen Prüfregeln hinter CERTavia. Kein KI-Modell bewertet, jede Regel ist festgelegt. Das Ergebnis ist binär: SOVP-CERTIFIED oder SOVP-FAILED.
Der mathematische Kern
SOVP prüft KI-Infrastruktur anhand von 180+ Parametern mit festen Prüfregeln, gruppiert in 20 thematische Cluster. Jeder Cluster bewertet einen spezifischen Infrastrukturaspekt: von DNS-Konfiguration über TLS-Integrität bis zur maschinenlesbaren KI-Governance-Deklaration.
Das Ergebnis ist binär: CES ≥ 75 und Cluster F ≥ 40 → CERTIFIED. Sonst → FAILED, auch bei hohem Gesamtwert. Einzelne Cluster müssen dafür nicht 100 erreichen: certavia.org ist mit Cluster B 86 CERTIFIED (CES 96,5, Re-Scan 09.09.2026).
Aflow = Ψcore · (C / Ev)
Aflow = Audit-Flow-Score | Ψcore = Core-Compliance-Matrix | C = Cluster-Erfüllungsgrad | Ev = Evidenz-Vollständigkeit
Was SOVP prüft
DNS & kryptografische Grundintegrität
DNSSEC, CAA-Records, TLS-Zertifikatskette, HTTP-Sicherheitsheader (HSTS, CSP, DMARC), SPF und DKIM.
Datenschutz & Consent
Crawler-Direktiven in robots.txt, Konsistenz der Opt-In/Opt-Out-Deklarationen für KI-Crawler, WAF-Response-Konsistenz.
Maschinenlesbare Identität
Strukturierte Daten nach Schema.org, AI-Discovery-Layer (ai.txt, ai.json, llms.txt), agent-card.json.
AI Governance Hard Gate
AI Policy URL, Deepfake-Disclaimer, AI-Training-Opt-Out-Status, Kontaktstelle für KI-Anfragen: extern verifizierbare Governance-Signale.
Was SOVP nicht ist
Kryptografie und DNS-Anker
Jedes SOVP-Zertifikat wird mit Ed25519 signiert (RFC 8032), und zwar über das nach RFC 8785 kanonisierte JSON des Ergebnisses. Der öffentliche Schlüssel steht als DNS-TXT-Record unter _sovp.certavia.org, sodass jede dritte Partei die Echtheit des Zertifikats selbstständig verifizieren kann.
Wo SOVP regulatorisch steht: Der EU AI Act schreibt kein Tool und kein Format für Nachweise vor. Art. 50 regelt Transparenzpflichten gegenüber Personen; welche Pflicht aus welchem Absatz folgt, steht im Glossar unter Art. 50 Abs. 1–4. SOVP prüft die öffentlich sichtbaren Deklarationen dazu (Cluster F: ai-disclosure.json, AI Policy, robots-AI-Direktiven, Deepfake-Disclaimer, Training-Opt-out, AI-Kontaktstelle). TLS, DNSSEC und Header sind Sicherheitskontext (NIS2, DORA), keine Art.-50-Pflicht.
IETF Internet-Draft
draft-litzki-sovp-04, als Individual Submission im IETF Datatracker veröffentlicht, Status Experimental. Ein Internet-Draft ist ein Arbeitsdokument, kein IETF-Standard. Der Draft spezifiziert ein signiertes Identitätsdokument (sovp-identity.json) unter einer Well-Known-Adresse, dessen Kanonisierung und Ed25519-Signaturprüfung gegen einen per DNS-TXT-Record veröffentlichten Schlüssel, die Regeln für Abruf und Schlüsselauflösung, Aktualitätsprüfungen und eine optionale Bindung an eine Deployment-Instanz. Die Prüfparameter und Cluster des CERTavia-Scans legt er nicht fest, und er belegt weder rechtliche Identität noch inhaltliche Richtigkeit oder die Konfiguration des ausliefernden Systems.
USPTO Provisional Patent
Application Number #64/005,737. Provisorische Patentanmeldung beim United States Patent and Trademark Office (Patent pending, kein erteiltes Patent).
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.
Fragen zu SOVP und dem Infrastruktur-Nachweis
Ist das eine offizielle Zertifizierung?
Nein. CERTavia stellt kein behördlich anerkanntes Zertifikat aus. SOVP liefert einen technischen Infrastruktur-Nachweis, regelbasiert erzeugt und signiert. Eine Konformitätsbewertung nach Art. 43 EU AI Act betrifft Hochrisiko-Systeme und wird durch diesen Nachweis nicht ersetzt. Mehr dazu im Glossar →
Was ist der Unterschied zu einem Pentest oder ISO 27001?
Pentest: Aktive, manuelle Schwachstellensuche durch Experten. SOVP prüft passiv und regelbasiert die öffentlich sichtbare Infrastrukturkonfiguration gegen einen definierten Anforderungskatalog. ISO 27001: Umfassendes Managementsystem. Der SOVP-Nachweis ergänzt beide, ersetzt keinen von beiden.
Wer erkennt diesen Nachweis an?
Eine formale Anerkennung gibt es nicht; der EU AI Act schreibt kein Nachweis-Format vor. Art. 50 regelt Transparenzpflichten gegenüber Personen (Zuordnung je Absatz: Glossar). Der SOVP-Nachweis belegt die öffentlich sichtbaren Governance-Deklarationen einer Domain zu einem signierten Zeitpunkt, mit Aufschlüsselung je Parameter. Compliance-Teams und Auditoren können Echtheit, Zeitpunkt und Inhalt selbst prüfen, ohne CERTavia einzubeziehen. Beispiel: Vault-Eintrag cv_c84d757f0ee2b50e für certavia.org.
Muss der Auditor SOVP kennen?
Nein. Der SOVP-Nachweis ist ein strukturiertes, maschinenlesbares Dokument, das einen definierten Infrastrukturzustand zu einem kryptografisch bestätigten Zeitpunkt dokumentiert. Ein Auditor muss SOVP nicht kennen — genauso wenig wie er die interne Software kennen muss, mit der ein Unternehmen seinen ISO-27001-Scope dokumentiert. Er prüft, ob die geforderten Infrastruktur-Parameter nachweislich erfüllt waren. CERTavia liefert genau diese Dokumentation.
SOVP-Validierung für Ihre Infrastruktur
Der kostenlose Scan liefert in Sekunden Urteil, CES und alle sechs Cluster mit Einzelparametern und Handlungsempfehlungen.