Number Verification und KYC Match, die die Person prüfen – nicht die SIM

Die Kurzfassung

Was

Zwei CAMARA-kompatible REST-APIs: number-verification (gehört diese Nummer der Person?) und kyc-match (stimmen Name, Geburtsdatum, Adresse?).

Beantwortet aus

Der PID in der Wallet der Person und der Telefonnummer, die der Betreiber für das Konto bestätigt hat – nicht aus dem Mobilfunknetz.

Beweist

Dass die richtige Person gerade eben mit einer nach dem EUDI-ARF entwickelten Wallet bestätigt hat – nicht nur, dass eine SIM-Karte vorhanden ist.

Ihr Dienst erhält

true, false oder not_available je Feld. Die Personendaten bleiben auf dem Server.

Wo

In jedem EU-Land, mit jeder nach dem EUDI-ARF entwickelten Wallet, ohne Verträge mit Netzbetreibern.

SIM-Prüfung oder Personenprüfung?

Beide nutzen dieselben API-Formen. Was sie beweisen, ist verschieden.

So funktioniert es

Dreibeinig wie bei CAMARA: Die Person stimmt zu, Ihr Backend ruft die API mit dem Zugriffstoken auf.

Die APIs

Beispiel

# 1. Person zur Wallet-Anmeldung schicken (Ihr OIDC-Client auf dem Mandanten)
GET <authorization_endpoint from https://<tenant>/.well-known/openid-configuration>?response_type=code&client_id=<your-client>
    &redirect_uri=<your-callback>&scope=openid%20number-verification:verify%20kyc-match:match
    &acr_values=urn:codeb:acr:eudi-wallet&state=<state>&code_challenge=<S256>&code_challenge_method=S256

# 2. Nach dem Code-Tausch: Gehört +35699123456 dieser Person?
curl -X POST https://<tenant>/camara.ashx/number-verification/v0/verify \
  -H "Authorization: Bearer $ACCESS_TOKEN" -H "Content-Type: application/json" \
  -d '{"phoneNumber":"+35699123456"}'
{"devicePhoneNumberVerified":true}

# 3. Stimmen Name und Geburtsdatum mit dem Ausweis in der Wallet überein?
curl -X POST https://<tenant>/camara.ashx/kyc-match/v0.3/match \
  -H "Authorization: Bearer $ACCESS_TOKEN" -H "Content-Type: application/json" \
  -d '{"givenName":"Maria","familyName":"Keller","birthdate":"1985-04-12"}'
{"givenNameMatch":"true","familyNameMatch":"true","birthdateMatch":"true"}

OpenAPI (Identitäts-APIs) · OpenAPI (Plattform)

Woher die Telefonnummer kommt

• Der Betreiber der Website prüft die Nummer einer Person und markiert sie im Konto. Der Server speichert, wer sie wann und für welche Nummer bestätigt hat.
• Ändert die Person die Nummer, wird die Bestätigung automatisch entfernt.
• Die Person kann die Nummer als Karte „Verifizierte Telefonnummer“ in die Wallet aufnehmen (SD-JWT und ISO mdoc, ein Jahr gültig). Die Karte wird automatisch widerrufen, wenn sich die Nummer ändert oder die Bestätigung entfernt wird.

Auch für Menschen am Telefon: Anrufer bestätigen

Dieselbe Prüfung funktioniert ohne Integration. Wer angerufen wird, öffnet Anrufer bestätigen, liest einen 6-stelligen Code vor, und der Anrufer bestätigt mit der Wallet. Die angerufene Person sieht dann den bestätigten Namen – und die bestätigte Nummer, wenn der Anrufer zustimmt. Jedes Netz, jedes Telefon, auch Videoanrufe. Eine geklonte Stimme oder eine gefälschte Rufnummer kommt nicht durch, weil die Prüfung die Wallet der echten Person braucht.

Datenschutz von Anfang an

• KYC Match antwortet nur mit true, false oder not_available; die Werte aus der PID werden nie gesendet. Adressen werden als Ganzes verglichen, eine Anfrage kann also nicht viele Varianten auf einmal testen.
• Eine Bestätigung mit der Wallet erlaubt höchstens 5 Aufrufe je API innerhalb von 15 Minuten; danach muss die Person erneut bestätigen. Nur bei der Website registrierte Anmelde-Clients können sie aufrufen; der Administrator kann jede API auf gewählte Clients beschränken oder abschalten.
• Keine Verträge mit Netzbetreibern und keine Netzdaten: Die Prüfung hängt nicht von SIM, Roaming oder Standort ab.
• Jede Antwort wird im Audit-Log des Mandanten mit Client und Anzahl der Ergebnisse protokolliert, nicht mit den Werten.
• Läuft auf Ihrem eigenen CodeB-Mandanten in der EU.

Ehrliche Grenzen

• Die Telefonnummer ist so gut wie ihre Prüfung durch den Betreiber. Heute bestätigt sie der Betreiber der Website, nicht ein Mobilfunknetz.
• KYC Match braucht eine Wallet, die eine PID vorlegt. Felder, die die PID nicht enthält, werden mit not_available beantwortet.
• Die API-Formen folgen CAMARA; es ist keine Mobilfunknetz-API und kein CAMARA-zertifizierter Dienst. Wenn Sie zusätzlich wissen müssen, dass eine bestimmte SIM im Gerät steckt, kombinieren Sie es mit einer Netzprüfung.

Häufige Fragen