Signaturanfrage öffnen
Jemand schickt Ihnen ein PDF zum Signieren, oder Sie legen selbst eine Anfrage auf der Signaturseite an. Scannen Sie den QR-Code (oder öffnen Sie den Link aus der E-Mail) mit CodeB Wallet.
CodeB Wallet · NFC · eID-Karte
Ihre nationale eID-Karte: PDFs signieren und anmelden
Eine staatliche eID-Karte enthält zwei Schlüssel: einen für Signaturen und einen für die Authentisierung. CodeB Wallet liest die Karte per NFC – so signieren Sie PDFs damit und melden sich bei Websites an, mit der PIN und den eigenen Zertifikaten der Karte.
Kurz gesagt: Zum Signieren eines PDFs scannen Sie die Signaturanfrage mit CodeB Wallet, halten die eID-Karte ans Telefon und geben die PIN ein; der Server vollendet eine PAdES-Signatur mit Zeitstempel und Prüfdaten. Zum Anmelden wählen Sie auf der Anmeldeseite die eID-Karte, scannen den QR-Code, halten die Karte und geben ihre PIN ein. Qualifiziert ist die Signatur nur, wenn das Zertifikat der Karte ein qualifiziertes Zertifikat ist.
PAdES (ETSI EN 319 142) · B-T · B-LT · B-LTA · RFC-3161-Zeitstempel · OCSP / CRL · OpenID Connect · NFC
Geschlossene Beta, im Test. Nicht zertifiziert.
Kurz gesagt
- Was
- Zwei Anwendungen einer staatlichen eID-Karte in CodeB Wallet: PDFs mit dem Signaturschlüssel der Karte signieren und sich mit ihrem Authentisierungsschlüssel bei Websites anmelden.
- Sie brauchen
- Ein Android-Telefon mit NFC und CodeB Wallet, die eID-Karte, ihre Zugangsnummer (CAN, auf der Karte aufgedruckt) und ihre PINs.
- PDF-Signatur
- PAdES. Der Server baut die Signatur um die Signatur der Karte herum und ergänzt, soweit verfügbar, Zeitstempel und Prüfdaten (bis B-LTA). Das PDF bleibt auf dem Server.
- Qualifiziert?
- Nur wenn das Signaturzertifikat der Karte ein qualifiziertes Zertifikat ist. Die Software fügt keine eigene Qualifizierung hinzu.
- Anmeldung
- OpenID-Connect-Anmeldung mit acr
urn:codeb:acr:eidcard. Das Kartenzertifikat muss zu einer auf diesem Server installierten Aussteller-CA führen und darf nicht gesperrt sein. - Bei der Anmeldung geteilt
- Ihr Vor- und Nachname aus dem Kartenzertifikat. Die nationale Ausweisnummer wird nicht an Websites weitergegeben; keine PIN, kein Schlüssel.
Ein PDF mit Ihrer eID-Karte signieren
Die Karte signiert, der Server baut die PDF-Signatur.
Karte ans Telefon halten
CodeB Wallet öffnet die Karte mit ihrer Zugangsnummer (CAN) und liest das Signaturzertifikat. Der Server bereitet die PDF-Signatur vor und schickt dem Telefon nur einen 32-Byte-Hashwert.
Karten-PIN eingeben
Die Karte signiert den Hashwert mit ihrem Signaturschlüssel im Chip. PIN und Schlüssel verlassen die Karte nie.
Der Server vollendet und prüft
Der Server bettet die Signatur ein und ergänzt, soweit verfügbar, einen Zeitstempel, die Prüfdaten des Zertifikats und einen Dokumentzeitstempel (PAdES B-T, B-LT, B-LTA). Er prüft das signierte PDF, bevor die nächste Person an der Reihe ist.
Mit Ihrer eID-Karte bei einer Website anmelden
Eine Challenge, eine Signatur, angemeldet.
eID-Karte auf der Anmeldeseite wählen
Wählen Sie auf der Anmeldeseite dieser Seite (oder einer Website, die sich darüber anmeldet) die eID-Karte. Die Seite zeigt einen QR-Code; auf dem Telefon selbst öffnet eine Schaltfläche die App.
Mit CodeB Wallet scannen
Die App holt eine einmalige Aufgabe (Challenge) für genau diese Anmeldung.
Karte halten und PIN eingeben
Der Authentisierungsschlüssel der Karte signiert die Challenge zusammen mit der Website-Adresse, der Sitzung und der Zeit – die Signatur taugt nirgendwo sonst.
Sie sind angemeldet
Der Server prüft die Signatur, dass das Kartenzertifikat zu den auf diesem Server installierten Aussteller-CA-Zertifikaten führt und dass es nicht gesperrt ist (OCSP oder CRL). Der Browser ist danach angemeldet.
Erste Anmeldung
- Die erste Anmeldung mit einer nicht verknüpften Karte eröffnet ein Gastkonto für diese Karte.
- Vor- und Nachname stammen aus dem Kartenzertifikat.
Karte mit Ihrem Konto verknüpfen
- Melden Sie sich bei Ihrem eigenen Konto an und öffnen Sie innerhalb von 10 Minuten die eID-Kartenseite zum Verknüpfen; lesen Sie die Karte.
- Bestätigen Sie im Browser, dass der angezeigte Name aus der Karte Ihrer ist; danach meldet die Karte Sie bei Ihrem eigenen Konto an.
- Eine Karte gehört nur zu einem Konto.
Sicherheit und Datenschutz
Das PDF bleibt auf dem Server
Nur ein 32-Byte-Hashwert geht zum Telefon, nur die Signatur der Karte kommt zurück. Das Dokument wird für die Kartensignatur nie an das Telefon geschickt.
PIN und Schlüssel bleiben auf der Karte
Die Karte signiert in ihrem Chip, nachdem Sie die PIN eingegeben haben. Weder die PIN noch ein Schlüssel erreichen diese Seite oder den Speicher der App.
Gebundene Sitzungen
Eine Kartensignatur-Sitzung gilt 5 Minuten und gehört zu Ihrem Konto und zum Schlüssel der App. Eine Anmelde-Challenge gilt 2 Minuten und nennt Website, Sitzung und Zeit.
Geprüft, im Zweifel abgelehnt
Die Anmeldung prüft die Kette zu den installierten Aussteller-CAs und den Sperrstatus; sind OCSP und CRL nicht erreichbar, wird die Anmeldung abgelehnt statt zugelassen.
Signiertes Ergebnis geprüft
Jedes signierte PDF wird geprüft, bevor die Anfrage weitergeht: eine gültige Signatur über genau das Dokument, keine versteckten Änderungen.
Kein Tracking
Keine Skripte Dritter, keine Analyse. Protokolliert werden nur Kennungen und Ergebnisse, nie Dokumentinhalte.
Häufige Fragen
Ist ein mit meiner eID-Karte signiertes PDF eine qualifizierte elektronische Signatur?
Nur wenn das Signaturzertifikat auf Ihrer Karte ein qualifiziertes Zertifikat ist (die meisten nationalen eID-Karten mit Signaturfunktion haben eines). Der Server prüft das Zertifikat; verlangt eine Anfrage eine qualifizierte Signatur, wird ein Kartenzertifikat ohne diese Angabe abgelehnt. CodeB selbst ist kein qualifizierter Vertrauensdiensteanbieter und fügt keine Qualifizierung hinzu.
Warum vollendet der Server die Signatur?
Eine eID-Karte kann einen Hashwert signieren, aber keine PDF-Signatur bauen. Der Server bereitet die PDF-Signatur vor, die Karte signiert nur deren Hashwert, und der Server bettet die Signatur der Karte ein. Das PDF bleibt auf dem Server.
Welche PAdES-Stufe erhalte ich?
So hoch, wie Zeitstempel- und Prüfdienste es erlauben: B-T mit Signaturzeitstempel, B-LT mit OCSP-Antworten oder CRLs, B-LTA mit Dokumentzeitstempel. Das Ergebnis nennt die erreichte Stufe und warum keine höhere erreicht wurde.
Welche eID-Karten funktionieren?
Staatliche eID-Karten, die CodeB Wallet per NFC lesen kann und deren Zertifikate zu den auf diesem Server installierten Aussteller-CA-Zertifikaten führen; diese Seite ist für die maltesische eID-Karte eingerichtet. Das Kartenzertifikat muss außerdem die Sperrprüfung (OCSP oder CRL) bestehen.
Was erfährt eine Website, wenn ich mich mit der Karte anmelde?
Ihren Vor- und Nachnamen aus dem Kartenzertifikat und eine pseudonyme Kontokennung. Die nationale Ausweisnummer kommt nicht in ID-Tokens oder userinfo, die PIN verlässt die Karte nie, und die Seite beansprucht für diese Anmeldung kein Vertrauensniveau.
Kann ich die eID-Karte statt eines Passworts für mein Konto nutzen?
Ja. Verknüpfen Sie die Karte einmal mit Ihrem Konto: anmelden, innerhalb von 10 Minuten die eID-Kartenseite mit link=1 öffnen, die Karte lesen und im Browser bestätigen, dass der Name aus der Karte Ihrer ist. Danach meldet die Karte Sie bei diesem Konto an.
Können mehrere Personen dasselbe PDF signieren?
Ja. Eine Signaturanfrage kann Personen per E-Mail einladen, nacheinander zu signieren; jede Person kann eine eID-Karte, eine andere Signaturkarte oder den Signaturdienst nutzen.
Ist das zertifiziert?
Nein. Die PDF-Signaturen folgen PAdES (ETSI EN 319 142), die Anmeldung nutzt OpenID Connect, aber die Software ist nicht zertifiziert.
Verwandte Seiten
PDFs mit der CodeB Wallet signieren →
Signaturanfragen per QR-Code, mehrere Unterzeichner, E-Mail-Einladungen.
Mit der eID-Karte anmelden →
Die Anmeldeseite mit dem QR-Code (Englisch).
API card-prepare / card-finish →
Wie der Server die PAdES-Signatur vollendet, für Entwickler (Englisch).
API zur eID-Kartenanmeldung →
eidcard-start, -challenge, -response und -poll (Englisch).
eID-Kartensignatur oder -Anmeldung für Ihren Dienst?
Schreiben Sie uns zu Signaturen mit eID-Karten, Anmeldung mit eID-Karten und Signaturanfragen. Testerinnen und Tester für CodeB Wallet sind willkommen.