Ein Transparenz-Log für signierte Aufenthaltsangebote: manipulationserkennbare Vertrauenshistorie
Die Vertrauenshistorie eines Gastgebers sollte sich nicht stillschweigend umschreiben lassen – ohne dass dafür ein Zertifizierungsunternehmen die Schlüssel bekommt. Das Log lässt sich nur ergänzen. Bestätigte Buchungen können erfasst werden. Aufenthaltsangebote werden auf der Domain des Gastgebers signiert und über die Signatur verifiziert, nicht über dieses Log.
KI-Buchung braucht Vertrauen, und die Vertrauenshistorie eines Gastgebers ist Teil dieses Vertrauens. Doch eine Vertrauenshistorie ist nur etwas wert, wenn sie nicht nachträglich stillschweigend umgeschrieben werden kann – und sie ehrlich zu halten, ruft meist einen Gatekeeper auf den Plan: ein zentrales Zertifizierungsunternehmen, das die Aufzeichnungen verwahrt, entscheidet, wer einen guten Ruf hat, und genau zu dem Zwischenhändler wird, den unabhängige Gastgeber vermeiden wollten.
Es geht auch anders. HemmaBo hat das VRP Transparency Log ausgeliefert: ein nur ergänzbares (append-only), öffentlich prüfbares Verzeichnis von Artefakten des Vacation Rental Protocol, das niemand – nicht einmal HemmaBo – unbemerkt umschreiben kann und das jeder verifizieren kann, ohne dem Betreiber vertrauen zu müssen.
Was das Transparenz-Log ist
Das Log basiert auf einem Merkle-Baum nach RFC 6962 – derselben Konstruktion, die Certificate Transparency absichert, das öffentliche System, das die TLS-Zertifikate des Webs ehrlich hält. Jeder Eintrag ist der Hash eines signierten VRP-Artefakts: eines signierten Aufenthaltsangebots, eines übertragbaren Nachweises oder eines Statusereignisses. Kein Klartext und keine Gästedaten – nur ein Fingerabdruck und die Reihenfolge, in der er erfasst wurde.
Aus diesen Einträgen veröffentlicht das Log einen signierten Tree Head: eine kurze, signierte Zusammenfassung der gesamten Historie zu einem bestimmten Zeitpunkt.
Was es belegt
- Aufnahme. Jeder kann vom Log einen Nachweis anfordern, dass ein bestimmtes Artefakt erfasst ist, und das Ergebnis dann selbst nachrechnen, um es zu bestätigen – ohne sich auf das Wort von HemmaBo verlassen zu müssen.
- Nur ergänzbare Historie. Jeder kann einen Konsistenznachweis zwischen zwei Zeitpunkten anfordern und verifizieren, dass das Log immer nur Einträge hinzugefügt und frühere nie umgeschrieben oder entfernt hat.
- Unabhängigkeit. Beide Nachweise werden mit öffentlichen Schlüsseln gegen den signierten Tree Head geprüft. Der Verifizierer muss dem Server, der sie erzeugt hat, nicht vertrauen. Versuchte ein Betreiber, die Historie abzuspalten oder umzuschreiben, würden die Nachweise fehlschlagen.
Der ganze Sinn von HemmaBo und dem Vacation Rental Protocol ist, dass die Domain des Gastgebers die maßgebliche Quelle ist, keine zentrale Autorität. Das Transparenz-Log ist so gebaut, dass es dieses Versprechen hält:
- Es ist optional. Ein VRP-signiertes Aufenthaltsangebot oder ein übertragbarer Nachweis lässt sich weiterhin eigenständig über die eigene Domain des Gastgebers verifizieren – Signatur und Schlüssel der Domain genügen. Die Aufnahme in ein Log ist nie eine Bedingung dafür, dass ein Aufenthalt echt oder buchbar ist.
- Es ist ergänzend. Ein Eintrag im Log belegt nur die Erfassung und die nur ergänzbare Historie. Er ist nie eine Genehmigung, eine Zertifizierung, ein Ranking oder eine Bewertung. Das Log sagt „das hat existiert und wurde nicht umgeschrieben“ – mehr nicht.
- Es ist bewusst auf viele Betreiber ausgelegt. HemmaBo betreibt ein Referenz-Log, doch das Design rechnet mit vielen Betreibern. Kein einzelnes Log ist das offizielle, und kein Betreiber wird zum Hüter der Wahrheit.
Was HemmaBo bewusst nicht wird
Das ist dieselbe Linie, die wir von Anfang an halten. Ein Transparenz-Log darf sich nicht stillschweigend in den Gatekeeper verwandeln, den es ersetzt. HemmaBo ist kein Register vertrauenswürdiger Aussteller, kein Zertifizierungsunternehmen, keine Bewertungsinstanz, keine Akkreditierungsstelle, keine OTA, kein Marktplatz, kein Merchant of Record und kein Buchungsvermittler.
Ein unabhängiger Gastgeber sollte nie die Erlaubnis eines zentralen Registers brauchen, bevor seine eigene Domain ein verifizierbares Direktbuchungsangebot präsentieren – und jetzt auch dauerhaft belegen – kann.
Was live ist
Der kryptografische Kern ist implementiert und getestet: den Baum aufbauen, Aufnahme- und Konsistenznachweise erzeugen und jeden gefälschten oder umgeschriebenen Eintrag zurückweisen. Das Referenz-Log läuft auf der Plattform von HemmaBo, und die signierten Angebote, die ein Live-Gastgeber-Knoten wie villaakerlyckan.se ausliefert, sind genau die Art von Artefakt, die es erfasst. Jeder kann einen Artefakt-Hash anfügen, den Nachweis abrufen und Signatur und Merkle-Berechnung selbst verifizieren.
Das Design ist bewusst zurückhaltend: belegen, dass die Historie nur ergänzt werden kann und unabhängig prüfbar ist, ohne HemmaBo zum Eigentümer dieser Historie zu machen.
Das Transparenz-Log stützt die Direktbuchung im Besitz des Gastgebers: Der Gastgeber behält die Domain, die Gästebeziehung und die Buchung; das Vacation Rental Protocol signiert das Angebot; und das Log macht jede Manipulation an der Vertrauenshistorie erkennbar – ohne ein Zertifizierungsunternehmen in der Mitte. Der Standard ist VRP Transparency Log v0.1, veröffentlicht zusammen mit dem Vacation Rental Protocol.
Was ist eine VRP-Ferienunterkunft?
Eine VRP-Ferienunterkunft ist eine Ferienunterkunft, deren Gastgeber eine eigene Buchungsseite auf der eigenen Domain betreibt und Aufenthaltsangebote veröffentlicht, die von dieser Domain nach dem Vacation Rental Protocol (VRP) signiert sind. Jeder Gast und jeder KI-Agent kann über einfaches HTTPS prüfen, dass Preis, Daten und Bedingungen vom Gastgeber stammen – ohne Inseratsseite, Katalog oder Connector dazwischen.
HemmaBo ist eine Software, die die Unterkunft eines Gastgebers zu einer VRP-Ferienunterkunft macht: die Buchungsseite auf der eigenen Domain des Gastgebers, die signierten Angebote und die Zahlung direkt an den Gastgeber.