CodeB Walletvon Aloaha Limited
Android-Beta beitreten
EN DE FR MT

Fakten, Standards und Sicherheit

Alles über CodeB Wallet in Kürze – die Fakten, die Standards, denen sie folgt, und wie sie Ihre Daten schützt.

Zertifizierung

Noch nicht. CodeB Wallet ist keine offizielle staatliche Wallet und wurde nicht zertifiziert. Aloaha Limited baut sie nach dem Architecture and Reference Framework der EUDI-Wallet (ARF 3.0); sie arbeitet mit dessen Protokollen und Formaten: OpenID4VCI, OpenID4VP, SD-JWT VC, mdoc und ISO 18013-5. Die Zertifizierung liegt noch vor uns. Stand November 2026 ist das EU-Zertifizierungsschema für diese Wallets noch ein Entwurf, und noch keine Wallet hat es abgeschlossen. Wir bezeichnen CodeB Wallet erst dann als zertifiziert, wenn eine Zertifizierung tatsächlich abgeschlossen ist.

Gegen die Standards getestet

Was heißt das? Der CodeB-Aussteller ist der Dienst, der Karten in Ihre Wallet legt – Ihren digitalen Ausweis, Mitglieds- und Anmeldekarten. Der Prüfer ist der Dienst, der diese Karten prüft, wenn Sie sich damit anmelden. Damit sich Aussteller, Wallets und Dienste in ganz Europa verstehen, müssen alle nach demselben Regelwerk arbeiten – wie Stecker und Steckdose: Ist eine Seite anders gebaut, passt nichts.

Genau das prüft das offizielle Testlabor. Es spielt eine Wallet und führt über 250 Tests gegen unseren echten Dienst aus – ob jeder Schritt dem Regelwerk folgt und ob gefälschte, manipulierte oder wiederholte Anfragen abgewiesen werden. Im November 2026 hat unser Aussteller alle vier Testpläne für das Ausstellen von Karten bestanden und unser Prüfer beide Testpläne für das Prüfen – ohne fehlgeschlagenen Test.

Darauf sind wir stolz. Es zeigt, was über 20 Jahre Entwicklung in PDF, Smartcards und digitaler Identität – und das konsequente Bauen nach den Standards – wert sind: Wer sich von der ersten Zeile an an das Regelwerk hält, bekommt es von den Tests bestätigt.

Für Sie heißt das: Ihre Karten sprechen dieselbe Sprache wie jede Wallet und jeder Dienst, der dem europäischen Regelwerk folgt, statt an eine App gebunden zu sein, und ihr Schutz ist getestet, nicht nur versprochen. Welche Karten eine Wallet oder ein Dienst annimmt, entscheiden weiterhin Zertifikate und Vertrauenslisten.

Technisch: OpenID4VCI 1.0 und OpenID4VP 1.0 mit dem Profil HAIP 1.0 – die Standards, auf denen die EUDI Wallets aufbauen. Die Testpläne sind dieselben unabhängigen Testsuiten, die für die offizielle Zertifizierung dieser Protokolle verwendet werden. Das sind Tests unserer Server auf phone.codeb.io, keine Zertifizierung der CodeB Wallet selbst. Jedes Ergebnis lässt sich über seinen Link schreibgeschützt ansehen.

Bestandene Konformitätstestpläne (November 2026)
TestplanFormatErgebnis
Aussteller: OpenID4VCI 1.0 + HAIP 1.0, von der Wallet gestartetSD-JWT VCBestanden · 63 Tests, kein Fehlschlag · Ergebnisse ansehen
Aussteller: OpenID4VCI 1.0 + HAIP 1.0, von der Wallet gestartetmdocBestanden · 63 Tests, kein Fehlschlag · Ergebnisse ansehen
Aussteller: OpenID4VCI 1.0 + HAIP 1.0, vom Aussteller gestartet (Credential Offer)SD-JWT VCBestanden · 63 Tests, kein Fehlschlag · Ergebnisse ansehen
Aussteller: OpenID4VCI 1.0 + HAIP 1.0, vom Aussteller gestartet (Credential Offer)mdocBestanden · 63 Tests, kein Fehlschlag · Ergebnisse ansehen
Prüfer: OpenID4VP 1.0 + HAIP 1.0, direct_post.jwtSD-JWT VCBestanden · 14 Tests, kein Fehlschlag · Ergebnisse ansehen
Prüfer: OpenID4VP 1.0 + HAIP 1.0, direct_post.jwtmdocBestanden · 7 Tests, kein Fehlschlag · Ergebnisse ansehen

Kurz gesagt

  • Was: CodeB Wallet ist eine Android-Wallet-App für die Europäische Digitale Identität (EUDI) – eIDAS 2.0, Verordnung (EU) 2024/1183.
  • Wer: entwickelt von Aloaha Limited, Malta – seit 2003 in PKI, PDF-Entwicklung und digitalen Signaturen aktiv, Hersteller der CodeB-Produktfamilie.
  • Marke: CodeB ist eine Marke der Aloaha Limited, Malta. CodeB Wallet wird von der Aloaha Limited entwickelt und angeboten.
  • Made in Malta: in Malta von der Aloaha Limited konzipiert und entwickelt.
  • Kleiner Download: rund 17 MB – die universelle APK von CodeB Wallet 2026.11.10 hat 17,3 MB; die öffentliche Demo-APK der EU-Referenz-Wallet (Version 2026.09.42) hat 363 MB (Stand 19.10.2026). Klein, weil das meiste unser eigener Code ist – gebaut auf über 20 Jahren PDF-, Smartcard- und Identity-Provider-Entwicklung, mit wenigen Fremdbibliotheken.
  • Dokumente: Personenidentifizierungsdaten (PID, Testnachweise) einschließlich der deutschen PID, mobiler Führerschein (Testnachweis; SD-JWT VC und ISO/IEC-18013-5-mdoc) und die CodeB-Mitgliedskarte – ausgestellt vom CodeB-Aussteller (phone.codeb.io) über OpenID4VCI. Außerdem: eine Photo ID aus Ihrem Reisepass oder Ausweis, auf Wunsch mit dem Digital Travel Credential (ICAO DTC Typ 1).
  • Ausweise und Reisepässe: liest den Chip elektronischer Reisepässe und Personalausweise (eMRTD, ICAO Doc 9303) und prüft ihn anhand der Zertifikate des ausstellenden Staates. Nach unserer Schätzung sind das weltweit deutlich mehr als eine Milliarde Dokumente: Die ICAO zählt über eine Milliarde elektronische Reisepässe von mehr als 140 ausstellenden Staaten und Organisationen, hinzu kommen in Europa nach unserer Schätzung deutlich über 200 Millionen Personalausweise mit Chip. Mit dem Chip können Sie sich auch beim CodeB PID Provider für Ihre PID registrieren – direkt nach der Installation der App. Wenn der CodeB PID Provider den Chip liest, bauen Chip und Server einen eigenen, Ende-zu-Ende verschlüsselten und authentisierten Kanal auf (PACE, Chip Authentication, Secure Messaging): Ihr Telefon leitet nur Nachrichten weiter, die niemand dazwischen lesen oder unbemerkt verändern kann.
  • Teilen: online über OpenID4VP; vor Ort per QR-Code oder NFC-Antippen, die Daten gehen per Bluetooth Low Energy (ISO/IEC 18013-5) – auch offline. Selektive Offenlegung, zum Beispiel nur „über 18“.
  • Wallet und Prüfgerät in einem: Dieselbe App, die Ihren Ausweis enthält, prüft als ISO/IEC-18013-5-Lesegerät auch Ausweis oder Alter einer anderen Person – inklusive Widerrufsprüfung, ohne separate Prüf-App.
  • PDF-Signatur: fortgeschrittene elektronische Signaturen (AdES) im PAdES-Format mit vertrauenswürdigem Zeitstempel über den CodeB-Signaturdienst, mit Aloahas eigener PDF-Signaturtechnologie. Das Dokument bleibt auf Ihrem Telefon. Signaturen des Signaturdienstes sind keine qualifizierten elektronischen Signaturen (QES). Außerdem: Signieren mit Ihrer eigenen Signaturkarte über NFC – maltesische eID oder Aufenthaltskarte, D-Trust Card 5, Heilberufsausweis (HBA) oder elektronische Gesundheitskarte (eGK). Der Schlüssel bleibt auf der Karte, und die App zeigt, ob das Zertifikat der Karte eine qualifizierte elektronische Signatur ausweist. CodeB Wallet selbst ist nicht zertifiziert.
  • Datenschutz: Dokumente und Verlauf bleiben auf Ihrem Telefon; Schlüssel in sicherer Hardware; keine Werbung, kein Tracking, keine Analyse.
  • Sprachen: Die Website gibt es auf Englisch, Deutsch, Französisch und Maltesisch, die App auf Englisch, Deutsch, Französisch, Maltesisch, Spanisch und Finnisch. Die App folgt der Sprache Ihres Telefons; Sie können sie auch unter Einstellungen → Sprache wählen.
  • Gegen die Standards getestet: Im November 2026 haben der CodeB-Aussteller und -Prüfer auf phone.codeb.io die offiziellen Konformitätstestpläne für OpenID4VCI 1.0 und OpenID4VP 1.0 mit dem Profil HAIP 1.0 bestanden – alle vier Ausstellerpläne und beide Prüferpläne, ohne fehlgeschlagenen Test. Das sind Tests unserer Server, keine Zertifizierung der App. Details und Ergebnislinks: Fakten und Standards.
  • Keine offizielle staatliche Wallet und nicht zertifiziert – gebaut nach dem Architecture and Reference Framework der EUDI-Wallet (ARF 3.0) unter eIDAS 2.0; die Zertifizierung liegt noch vor uns. Stand November 2026 ist das EU-Zertifizierungsschema für diese Wallets noch ein Entwurf, und keine Wallet hat es abgeschlossen.

Standards

Auf offenen europäischen und internationalen Standards aufgebaut

CodeB Wallet folgt dem EU Architecture and Reference Framework (ARF) und ist darauf ausgelegt, eIDAS 2.0 einzuhalten. Die Wallet ist nicht zertifiziert und keine offizielle staatliche Wallet.

Standardprofil

ARF
  • Architecture and Reference Framework (ARF)EU-Rahmenwerk
  • eIDAS 2.0 – Verordnung (EU) 2024/1183Verordnung
  • OpenID for Verifiable Credential Issuance (OpenID4VCI)Ausstellung
  • OpenID for Verifiable Presentations (OpenID4VP)Online
  • ISO/IEC 18013-5 – QR-Code, NFC, Bluetooth Low Energy (beide Rollen)Vor Ort
  • SD-JWT VC (Selective Disclosure JWT Verifiable Credentials)Format
  • ISO mdoc (mobiles Dokument)Format
  • PAdES Baseline B-T (ETSI EN 319 142) – PDF-Signaturen mit vertrauenswürdigem ZeitstempelSignatur
  • ETSI Trusted Lists (Vertrauenslisten)Aussteller-Vertrauen
  • ICAO Doc 9303 – elektronische Reisepässe und Ausweise (eMRTD): PACE, BAC, Chip- und Active Authentication, Passive AuthenticationChip auslesen
  • ISO/IEC TS 23220-4 Photo ID mit ICAO Digital Travel Credential (DTC Typ 1)Photo ID
  • ETSI TS 119 461 v2.1.1 – Identitätsprüfung: das Auslesen für den PID Provider ist darauf ausgelegt (extended LoIP); nicht zertifiziertIdentitätsprüfung
  • Signaturkarten über NFC – ISO/IEC 7816-4/-8, PACE (BSI TR-03110), CAdES/PAdES (ETSI EN 319 122 / 319 142), qcStatements (ETSI EN 319 412-5)NFC
  • OpenID4VC High Assurance Interoperability Profile (HAIP) – befolgtAusstellung und Online-Vorlage
  • OAuth 2.0 DPoP (RFC 9449), Pushed Authorization Requests (RFC 9126), PKCE (RFC 7636)Sichere Ausstellung
  • OAuth 2.0 attestierungsbasierte Client-Authentifizierung – Wallet-Instance-AttestierungWallet-Provider
  • Android Key AttestationEchte App auf geprüftem Telefon
  • IETF Token Status List (JWT und CWT), W3C Bitstring Status ListSperrung
  • ISO/IEC 18013-7 – Online-Vorlage von mdocOnline
  • W3C Digital Credentials API – über den Credential Manager von Android, Android 14+Online
  • OpenID Federation 1.0Vertrauens-Discovery
  • ETSI TS 119 475 – RegistrierungszertifikateRegistrierung vertrauender Parteien
  • ETSI TS 119 411-8 – ZugangszertifikateVertrauende Parteien
  • EU-PID-RulebookPID
  • Cloud Signature Consortium API v2Fernsignatur
  • W3C WebAuthn – Passkeys und PseudonymePseudonyme

Sicherheit & Datenschutz

Sicherheit und Datenschutz by Design

Sicherheit ist das Kerngeschäft von Aloaha: Wir arbeiten seit 2003 an PKI, PDF und digitalen Signaturen. Was auf Ihrem Telefon bleibt: Ihre Dokumente, deren Schlüssel und das Vorzeigen vor Ort. Was über phone.codeb.io läuft: das Lesen des Chips von Reisepass oder Ausweis für ein Konto, das Ausstellen von Dokumenten und das Signieren mit dem CodeB-Signaturdienst – der nur einen Fingerabdruck (Hash) Ihres PDFs erhält.

Schlüssel in sicherer Hardware

Kryptografische Schlüssel liegen in der sicheren Hardware Ihres Telefons.

Schützt sich selbst, während sie läuft

CodeB Wallet prüft sich bei jedem Öffnen selbst: Wurde die App verändert oder untersucht ein anderes Programm sie (ein Debugger oder ein Hooking-Werkzeug), hält sie an und verwendet Ihre Schlüssel und Dokumente nicht, bis das vorbei ist. Diese Prüfungen sind unser eigener Code, ohne Bibliotheken Dritter, und es wird nichts davon irgendwohin gesendet. Aus demselben Grund läuft CodeB Wallet nicht auf gerooteten Telefonen und benötigt ein Telefon mit dem Google Play Store.

Echtheit nachgewiesen durch den Sicherheitschip Ihres Telefons

Wenn Sie eine Karte vom CodeB-Aussteller hinzufügen, weist CodeB Wallet unserem eigenen Wallet-Provider nach, dass die echte App auf einem Telefon mit gesperrtem, verifiziertem System läuft: Der Sicherheitschip des Telefons bestätigt für jede Anfrage einen neuen Schlüssel (Android Key Attestation). Googles Prüfung Play Integrity wird zusätzlich genutzt, aber das Ausstellen kann weiter funktionieren, wenn Googles Dienst nicht erreichbar ist. Gesendet werden nur Schlüsselzertifikate – nie Ihre Dokumente.

PIN und Biometrie

Die Wallet ist mit einer PIN und auf Wunsch mit Biometrie gesichert. Jedes Teilen und jede Signatur braucht Ihre Bestätigung.

Ende-zu-Ende geschütztes Chip-Lesen

Wenn der Server des PID-Anbieters Ihren Ausweis oder Reisepass liest, bauen Chip und Server einen eigenen verschlüsselten und authentisierten Kanal auf (PACE, Chip Authentication, Secure Messaging). Ihr Telefon leitet die Nachrichten nur weiter: Weder das Telefon noch jemand dazwischen kann sie lesen oder unbemerkt verändern – höchstens kann das Lesen unterbrochen werden. Zusätzlich prüft der Server die Signatur des ausstellenden Staates über die Daten (Passive Authentication).

Ihre Signaturkarte behält die Kontrolle

Wenn Sie mit Ihrer eigenen Karte signieren, verlässt der Schlüssel die Karte nie, und jede Signatur braucht Ihre PIN.

Vertrauenswürdige Aussteller

Das Vertrauen in Aussteller wird anhand der EU-Vertrauenslisten (ETSI) und Ihrer Liste vertrauenswürdiger Aussteller-Zertifikate geprüft.

Statusprüfung

Der Status der Dokumente wird automatisch geprüft, sodass widerrufene Dokumente erkannt werden. Sofern der Aussteller es unterstützt, können Dokumente vor dem Ablauf automatisch erneuert werden.

Auf Ihrem Gerät

Ihre Dokumente und Ihr Verlauf werden auf Ihrem Smartphone gespeichert, nicht in einer CodeB-Cloud.

Keine Werbung, kein Tracking

Die App zeigt keine Werbung und enthält kein Tracking und keine Analyse-Tools.

Auch unsere Server schützen sich selbst

Jeder Server-Endpunkt überwacht sich im Betrieb: Anomalie-Erkennung, Ratenbegrenzung und Ablehnung im Zweifel.

Dateien statt Datenbank

Der Serverzustand liegt in verschlüsselten, zugriffsbeschränkten Dateien pro Kunde und lässt sich aus einer einzigen Sicherung vollständig wiederherstellen – eine Entscheidung für einfachen Betrieb und eine kleine Angriffsfläche, keine Zertifizierung. Alle CodeB-Serversoftware läuft unter Windows Server mit Microsoft IIS.

Auch auf unseren Servern kein Tracking

Keine Analyse durch Dritte und kein Tracking auf der Serverseite.

Diese Website verfolgt Sie nicht

Keine Analyse-Tools, keine Cookies, keine externen Anfragen. Schriften und Bilder werden direkt von dieser Website ausgeliefert.