§ DOCUMENTATION

Genehmigungs-Workflows 2.0

Risikobewertete, stufengeleitete Human-in-the-Loop-Genehmigungen mit SLA-Eskalation und einem kontinuierlichen Autorisierungszertifikat-Verifikationskreislauf — der aus einem einmaligen Gate einen fortlaufenden Nachweispfad macht.

§ 01

Warum kontinuierliche Nachweise — die Lücke einmaliger Genehmigungen

Ein klassisches Human-in-the-Loop-Gate beantwortet eine einzige Frage: „Soll diese Agentenaktion jetzt durchgeführt werden?" Sobald der Mensch auf „Genehmigen" klickt, veraltet der Datensatz. Die Umstände ändern sich — ein Datensatz wird neu klassifiziert, eine Richtlinie verschärft, die Befugnis eines Genehmigers erlischt — doch die ursprüngliche Entscheidung hat keinen Mechanismus, um das widerzuspiegeln.

Genehmigungs-Workflows 2.0 ergänzt einen kontinuierlichen Autorisierungs-Nachweiskreislauf. Jede Genehmigung stellt ein Autorisierungszertifikat aus. Execlave verifiziert dieses Zertifikat fortlaufend: Es prüft den Widerrufsstatus und den Ablauf und setzt certificate_verified_at bei jedem Durchlauf. In Verbindung mit Risikobewertung, Stufenweiterleitung und SLA-Eskalation wird jeder Genehmigungsdatensatz zu einem lebendigen Compliance-Artefakt — nicht nur zu einem statischen Zeitstempel.

§ 02

Risikobewertung & Weiterleitung

Wenn eine Richtlinienentscheidung auf require_approval auflöst, berechnet Execlave einen Risiko-Score (0–100) aus dem Trace-Kontext: Werkzeug-Sensitivität, Datenumfang, Richtlinientyp und Regelgewichtungen. Der Score wird einem Risikoniveau zugeordnet und bestimmt, welche Genehmiger-Stufe die Anfrage erhält.

Risikoniveau	Score-Bereich	Genehmiger-Stufe
low	0–24	standard
medium	25–49	group
high	50–74	named_approver
critical	75–100	named_approver

Das Feld routed_to im Genehmigungsdatensatz hält fest, an welche Stufe die Anfrage gesendet wurde. Das Dashboard zeigt das Risikoniveau-Badge und die Weiterleitungsstufe neben jedem ausstehenden Element an.

§ 03

SLA-Eskalation

Ausstehende Genehmigungen, die innerhalb ihres SLA-Zeitfensters nicht bearbeitet werden, werden automatisch eskaliert. Bei der Eskalation wird escalation_level erhöht und escalated_at gesetzt. Das Dashboard zeigt einen Eskalationsindikator in der betroffenen Zeile an, damit übergeordnete Prüfer sie priorisieren können.

Das Agenten-SDK fragt während der Eskalation weiterhin ab. Die Anfrage bleibt ausstehend, bis ein Mensch entscheidet oder der aufrufende Prozess auf seiner Seite das Timeout erreicht — Execlave genehmigt oder lehnt bei einer Eskalation nicht automatisch ab.

§ 04

Autorisierungszertifikate & der Verifikationskreislauf

Die Erteilung einer Genehmigung stellt ein Autorisierungszertifikat aus, das an diesen Entscheidungsdatensatz gebunden ist. Das Zertifikat erfasst die Genehmiger-Identität, den Entscheidungszeitstempel und die Genehmigungs-ID. Execlave verifiziert das Zertifikat fortlaufend — es prüft, ob der Datensatz widerrufen wurde und ob das Zertifikat noch gültig ist — und aktualisiert certificate_verified_at bei jedem erfolgreichen Durchlauf.

Dies erzeugt eine kontinuierliche Kette von Verifikationsereignissen statt eines einzigen Zeitpunktstempels. Für Compliance-Audits ist jede Nachverifikation im Audit-Log neben dem ursprünglichen Genehmigungsdatensatz sichtbar.

DB-Spalte	Typ	Gesetzt bei
risk_score	integer	Genehmigungsanfrage erstellt
risk_level	text	Genehmigungsanfrage erstellt
routed_to	text	Genehmigungsanfrage erstellt
escalation_level	integer	SLA-Frist überschritten
escalated_at	timestamptz	Erste Eskalation
certificate_verified_at	timestamptz	Jede Zertifikats-Nachverifikation

§ 05

Genehmigungs-Workflows verwenden

Erstellen Sie eine Richtlinie mit enforcementMode: "require_approval". Das SDK unterbricht die Ausführung und fragt ab, während ein Mensch prüft. Verwenden Sie den Endpunkt für ausstehende Genehmigungen, um offene Anfragen aufzulisten, und POST /api/v1/approvals/:id/decide zum Genehmigen oder Ablehnen.

curl -X POST https://api.execlave.com/api/v1/policies \  -H "Authorization: Bearer $EXECLAVE_API_KEY" \  -H "Content-Type: application/json" \  -d '{    "name": "Require approval for file writes",    "policyType": "tool_call",    "enforcementMode": "require_approval",    "ruleDefinition": {      "tools": ["write_file", "delete_file"],      "risk_threshold": "medium"    }  }'

Ausstehende Genehmigungen auflisten — die Antwort enthält riskScore, riskLevel, routedTo und Eskalationsfelder:

curl https://api.execlave.com/api/v1/approvals/pending \  -H "Authorization: Bearer $EXECLAVE_API_KEY" # Antwort{  "data": [    {      "id": "apr_01j...",      "agentId": "agt_01j...",      "riskScore": 72,      "riskLevel": "high",      "routedTo": "named_approver",      "escalationLevel": 0,      "escalatedAt": null,      "certificateVerifiedAt": null,      "createdAt": "2026-06-02T10:14:00Z"    }  ]}

§ 06

Häufig gestellte Fragen

Was passiert, wenn kein Genehmiger vor Ablauf der SLA-Frist handelt?

Execlave eskaliert die Anfrage automatisch: Der Zähler escalation_level wird erhöht und ein escalated_at-Zeitstempel auf dem Genehmigungsdatensatz gesetzt. Das Dashboard zeigt den Eskalationsindikator an, sodass übergeordnete Prüfer erkennen, dass das Element überfällig ist. Das Agenten-SDK fragt weiterhin ab; die Anfrage bleibt ausstehend, bis ein Mensch entscheidet oder der aufrufende Prozess auf seiner Seite das Timeout erreicht.

Wie wird der Risiko-Score berechnet?

Der Risiko-Score wird aus der Richtlinienregel-Definition und dem Trace-Kontext zum Zeitpunkt der Erstellung der Genehmigungsanfrage abgeleitet — Faktoren wie Werkzeug-Sensitivität, Datenumfang und Richtlinientyp fließen ein. Der Score wird einem Risikoniveau (low, medium, high, critical) zugeordnet, das bestimmt, an welche Genehmiger-Stufe die Anfrage weitergeleitet wird. Die genauen Gewichtungen sind in der Richtlinienregel-Definition konfigurierbar.

Was enthält das Autorisierungszertifikat und wie wird es verifiziert?

Wenn eine Genehmigung erteilt wird, stellt Execlave ein Autorisierungszertifikat aus, das an diese Entscheidung gebunden ist. Das Zertifikat erfasst die Identität des Genehmigers, den Entscheidungszeitstempel und die ID des Genehmigungsdatensatzes. Execlave verifiziert die Zertifikatsgültigkeit fortlaufend — es prüft, ob der zugrundeliegende Genehmigungsdatensatz widerrufen wurde und ob das Zertifikat abgelaufen ist — und setzt certificate_verified_at bei jeder erfolgreichen Prüfung. So entsteht ein laufender Nachweispfad statt einer einmaligen Momentaufnahme.

Verursachen ältere Genehmigungsanfragen Fehler, wenn ihnen die 2.0-Felder fehlen?

Nein. Die 2.0-Spalten (risk_score, risk_level, routed_to, escalation_level, escalated_at, certificate_verified_at) sind nullable. Genehmigungsdatensätze, die vor der Migration erstellt wurden, haben für diese Felder schlicht null-Werte. Dashboard und API behandeln null korrekt — kein Badge wird angezeigt, wenn das Feld fehlt.