Zusammenfassung

  • Die neue Charter der Web Authentication Working Group gilt vom 11. September 2026 bis zum 11. September 2028. Ihre Genehmigung bedeutet jedoch weder, dass jede neue Funktion standardisiert ist, noch dass Level 4 bereits eine Recommendation darstellt.
  • Der 45-tägige Grace Period nach dem Call for Participation schafft einen zeitlich begrenzten Übergangsraum für bestehende Beteiligung. Teilnahme während dieser Phase ist kein Beweis für einen abgeschlossenen Rejoin-Prozess und ein fehlender Rejoin ist kein Beweis für Ablehnung der Charter.
  • Ein belastbarer Governance-Nachweis benötigt eine datensparsame Rejoin-and-Commitment-Quittung, die Charterstatus, Teilnahmezustand, Patent-Policy-Verpflichtung und relevante Zeitpunkte verbindet, ohne private Personaldaten oder nicht öffentliche Patentinformationen offenzulegen.

Der 11. September 2026 als Governance-Übergang, nicht als Produktfreigabe

Die Veröffentlichung der neuen Charter durch W3C am 11. September 2026 markiert den Beginn einer neuen Arbeitsperiode der Web Authentication Working Group. Die genehmigte Charter definiert den Rahmen für die Arbeit bis zum 11. September 2028 und erweitert den Umfang der Gruppe. Die zentrale operative Frage lautet deshalb nicht nur, welche technischen Themen künftig behandelt werden, sondern wer unter welchen Bedingungen weiter mitarbeiten darf.

W3C beschreibt den Übergang über einen Call for Participation. Organisationen sollen das Join/Rejoin-Formular verwenden und Teilnehmer benennen. Der Grund für diesen erneuten Prozess liegt in der erweiterten Charter: Bestehende Mitglieder müssen erneut beitreten und ihre Verpflichtung zur Charter sowie zur W3C Patent Policy erneuern. Der Call for Participation startet gleichzeitig eine 45-tägige Grace Period. Quelle: W3C Call for Participation

Diese Abfolge erzeugt eine wichtige institutionelle Trennung. Die Charter kann bereits wirksam sein, während einzelne Beteiligte ihren Rejoin-Prozess noch nicht abgeschlossen haben. Eine Person kann während der Übergangsphase weiterhin an Sitzungen teilnehmen, ohne dass daraus automatisch ein vollständiger neuer Teilnahmestatus folgt. Ebenso bedeutet ein noch nicht abgeschlossener Rejoin nicht, dass eine Organisation die Charter ablehnt.

Die technische Arbeit und die institutionelle Berechtigung zur Arbeit bewegen sich damit nicht synchron. Genau diese Differenz ist der Kern des Übergangs.

Vier Zustände, die nicht miteinander verwechselt werden dürfen

Der häufigste Fehler bei Recharter-Prozessen besteht darin, mehrere administrative Ereignisse als ein einziges Ereignis zu behandeln. Für die Web Authentication Working Group müssen mindestens vier Zustände getrennt betrachtet werden.

Der erste Zustand ist die genehmigte und wirksame neue Charter. Sie legt Ziele, Umfang und Arbeitsrahmen fest. Sie ist eine institutionelle Grundlage, aber kein Nachweis darüber, dass jede Organisation bereits erneut eingetreten ist.

Der zweite Zustand ist die fortgesetzte Beteiligung während der Grace Period. Teilnehmer können weiterhin Meetings besuchen, diskutieren oder an der Arbeit teilnehmen, obwohl der formale Rejoin noch nicht abgeschlossen sein kann. Diese Übergangsregel verhindert eine abrupte Unterbrechung der laufenden Arbeit.

Der dritte Zustand ist der abgeschlossene Rejoin beziehungsweise die erneute Benennung unter der neuen Charter. Erst dieser Zustand zeigt, dass die Organisation oder der Invited Expert den neuen Teilnahmeprozess abgeschlossen hat.

Der vierte Zustand ist die erneuerte Patent Policy-Verpflichtung für den erweiterten Arbeitsumfang. Diese Verpflichtung ist nicht automatisch aus früherer Teilnahme abzuleiten. Die neue Charter erweitert den Umfang der Gruppe, weshalb ein neuer Beteiligungs- und Lizenzierungsübergang erforderlich ist.

Diese Zustände können zeitlich nahe beieinanderliegen, bleiben aber rechtlich und organisatorisch verschieden. Ein öffentlich belastbarer Nachweis muss deshalb nicht nur den Endzustand zeigen, sondern die Übergänge zwischen den Zuständen.

Erweiterter Umfang bedeutet neue Verantwortung, nicht automatische technische Reife

Die neue Charter nennt Level 4 als normatives Arbeitsergebnis. Zum Zeitpunkt der Genehmigung besitzt Level 4 jedoch keinen First Public Working Draft; der erwartete Abschluss liegt im vierten Quartal 2028. Gleichzeitig wurde Level 3 bereits am 25. August 2026 Recommendation.

Diese Unterschiede sind wesentlich. Eine Chartergenehmigung ist kein technisches Gütesiegel für alle genannten Arbeitsbereiche. Sie bestätigt den Arbeitsauftrag der Gruppe, nicht den Abschluss einer Spezifikation.

Zu den erweiterten Themen gehören unter anderem WebAuthn-vermitteltes Signieren zusätzlicher Daten mit einem getrennten Signaturschlüssel, zusätzliche Vertrauenssignale zwischen Credential-Managern und Authenticatoren unter Datenschutz- und Verknüpfbarkeitsanforderungen sowie Verbesserungen der Vertraulichkeit für Erweiterungen.

Gerade beim Thema Signieren zusätzlicher Daten muss die institutionelle Ebene von der technischen Reife getrennt bleiben. Die Aufnahme eines Themas in die Charter bedeutet nicht, dass eine konkrete Signierfunktion standardisiert, implementiert oder als Recommendation bestätigt wurde. Der Governance-Prozess schafft den Raum für die Arbeit; er ersetzt nicht die technische Spezifikation und deren spätere Prüfung.

Die erneute Teilnahme- und Lizenzierungsanforderung entsteht daher aus dem erweiterten Mandat der Gruppe, nicht aus einer bereits abgeschlossenen technischen Entscheidung.

Die Patent Policy als Verpflichtungsgrenze

Die W3C Patent Policy bildet den Rahmen dafür, welche Lizenzverpflichtungen aus der Teilnahme an einer Working Group entstehen. Entscheidend ist dabei, dass der Beitritt zu einer Working Group die bestätigende Handlung ist, die eine Royalty-Free-Lizenzverpflichtung für relevante Essential Claims dieser Gruppe auslöst. Eine reine W3C-Mitgliedschaft allein erzeugt diese Verpflichtung nicht.

Die Verpflichtung bezieht sich nicht auf jedes Patent, das ein Unternehmen besitzt. Sie betrifft Essential Claims, die mit der Arbeit dieser bestimmten Gruppe verbunden sind und die Voraussetzungen der Patent Policy erfüllen. Ein Essential Claim ist vereinfacht gesagt ein Anspruch, dessen Verletzung bei Umsetzung normativer Architektur- oder Interoperabilitätsanforderungen unvermeidbar wäre, wenn keine nicht verletzende Alternative existiert. Nicht jede unterstützende Technologie fällt darunter.

Auch bei Invited Experts gelten besondere Grenzen. Sie nehmen in individueller Eigenschaft teil und sind nur für Ansprüche verpflichtet, die sie kontrollieren.

Die zeitliche Wirkung einer Specification Licensing Commitment ist ebenfalls präzise begrenzt. Sie entsteht nicht einfach durch öffentliche Diskussion oder durch die bloße Existenz einer Charter. Sie hängt unter anderem von den relevanten Patent Review Drafts oder Recommendation-Veröffentlichungen sowie den vorgesehenen Ausschlussverfahren ab.

Die Chartererneuerung verändert daher nicht automatisch die Vergangenheit. Bestehende Verpflichtungen verschwinden nicht durch eine neue Charter. Umgekehrt kann eine frühere Verpflichtung nicht ohne Weiteres auf einen erweiterten Arbeitsumfang übertragen werden.

Quelle: W3C Patent Policy und W3C Patent Policy FAQ

Warum eine datensparsame Rejoin-and-Commitment-Quittung notwendig ist

Die öffentlichen W3C-Seiten zeigen bereits wichtige Informationen, aber sie beantworten nicht jede Übergangsfrage. Die Teilnehmerseite berichtet zum Stichtag von 125 Teilnehmern, darunter acht Invited Experts, die 37 Organisationen vertreten. Die IPR-Seite listet separat Organisationen und Personen, die unter Lizenzverpflichtungen angezeigt werden.

Diese beiden öffentlichen Flächen erfüllen unterschiedliche Zwecke. Sie sind kein vollständiges Audit jedes einzelnen Rejoin-Schrittes. Aus einem Unterschied zwischen Teilnehmerdarstellung und IPR-Darstellung folgt daher nicht automatisch eine fehlende Verpflichtung oder ein Verstoß.

Genau hier liegt der Nutzen einer datensparsamen Rejoin-and-Commitment-Quittung. Sie sollte keine privaten Personalinformationen oder nicht öffentliche Patentdaten veröffentlichen, sondern die für Governance relevante Kette dokumentieren:

  • alte und neue Charterkennung;
  • Datum des Wirksamwerdens;
  • konkrete Erweiterungen des Arbeitsumfangs;
  • Zeitpunkt des Call for Participation;
  • verbindliche Regel für Beginn und Ende der Grace Period einschließlich maßgeblicher Zeitzone;
  • Status des Rejoin oder der erneuten Benennung;
  • Gültigkeitszeitpunkt der Teilnahme;
  • Version der Patent Policy;
  • Abgrenzung der relevanten Specification- und Essential-Claims-Bereiche;
  • Ausschlüsse und zugehörige Fristen;
  • Übergangsrechte während der Grace Period;
  • Änderungen nach Ablauf der Grace Period;
  • öffentliche Aggregatwerte und Korrekturverfahren.

Ein solcher Nachweis wäre kein Ersatz für W3C-Prozesse. Er würde vielmehr eine verständliche Verbindung zwischen öffentlich sichtbarer Governance und tatsächlichem Übergang herstellen.

Die Grace Period als kontrollierter Übergangsraum

Die 45-tägige Grace Period ist kein rechtlicher Reset. Sie löscht keine Patentrechte, hebt keine früheren Verpflichtungen auf und ist kein automatischer Ausschlussmechanismus.

Nach der W3C Patent Policy FAQ dürfen Teilnehmer nach Ablauf der Grace Period weiterhin teilnehmen, einschließlich Meeting-Teilnahme und Abstimmungen, wenn sie erneut beigetreten sind. Der Zweck dieser Übergangszeit besteht darin, Kontinuität während eines organisatorischen Wechsels zu ermöglichen.

Die genaue operative Frist ist jedoch nicht in allen Details öffentlich festgelegt. Die verfügbaren Quellen nennen keine verbindliche Regel für inklusive oder exklusive Zählweise, keine kontrollierende Zeitzone und keinen exakten Endzeitpunkt. Eine einfache Berechnung aus Datum plus 45 Tagen führt zum 26. Oktober 2026, stellt aber keine von W3C veröffentlichte maßgebliche Deadline dar. Der kontrollierende Zeitpunkt muss aus dem W3C-Join-System oder einer ausdrücklichen W3C-Mitteilung stammen.

Diese Unsicherheit ist kein Fehler im Verfahren, sondern ein Hinweis darauf, welche Informationen eine gute Quittung sichtbar machen sollte.

Quelle: W3C Process – Call for Participation

Was die öffentlichen Daten zeigen – und was sie nicht beweisen

Die Web Authentication Working Group stellt öffentliche Informationen zu Teilnehmern und geistigem Eigentum bereit. Zum Stichtag nennt die Teilnehmerseite 125 Teilnehmer, acht Invited Experts und 37 Organisationen. Die IPR-Seite weist unter anderem sieben Mitgliedsorganisationen, einen Invited Expert und ein W3C-Teammitglied unter Lizenzverpflichtungen aus.

Diese Angaben sind wertvoll, müssen aber mit der richtigen Interpretation gelesen werden. Eine öffentliche Teilnehmerliste beweist nicht automatisch, dass jede aufgeführte Person den Rejoin abgeschlossen hat. Eine IPR-Liste beweist nicht automatisch, dass W3C jede einzelne erneuerte Verpflichtung öffentlich oder vollständig verifiziert hat.

Die richtige Schlussfolgerung aus solchen Daten ist daher nicht eine Vermutung über einzelne Teilnehmer. Die richtige Schlussfolgerung ist die Notwendigkeit eines klaren, datenschutzfreundlichen Statusmodells.

Governance braucht Nachvollziehbarkeit, aber Nachvollziehbarkeit bedeutet nicht maximale Veröffentlichung. Ein gutes System zeigt den Status, die Regeln und die Korrekturmöglichkeiten, ohne unnötige personenbezogene oder geschäftlich sensible Informationen offenzulegen.