Ihr Smartphone als Smartcard: PKI-Karten und die Windows-CA.

Eine CodeB-PKI-Karte macht ein Android-Smartphone mit CodeB Wallet zu einer kontaktlosen Smartcard für einen Windows-PC mit NFC-Leser: Die les- und beschreibbare Karte trägt ein Zertifikat aus Ihrer eigenen CA, dessen privater Schlüssel in der sicheren Hardware des Smartphones entsteht und sie nie verlässt, die nur lesbare Karte trägt das Signaturzertifikat des Mitglieds vom Server, und jede Nutzung braucht die Karten-PIN. Diese Anleitung erklärt, wie das funktioniert, wie Administratoren die Karten ausgeben und wie Sie die Windows-Zertifizierungsstelle (AD CS) einrichten, damit Zertifikate auf das Smartphone kommen.

So funktioniert es

1. Der Administrator gibt auf phone.codeb.io einem Mitglied eine PKI-Karte aus (Admin-Seite „PKI cards on phones“). Das Mitglied erhält einen Einladungslink oder QR-Code.
2. Das Mitglied fügt die Karte zu CodeB Wallet hinzu. Das Smartphone weist nach, dass sein Schlüssel in sicherer Hardware liegt (Key Attestation); die Geheimnisse der Karte erreichen nur dieses Smartphone, einmal und verschlüsselt.
3. Das Mitglied wählt eine Karten-PIN auf dem Smartphone. Die nur lesbare Karte zeigt außerdem einmal ihren Entsperrcode (PUK).
4. Das Zertifikat kommt auf das Smartphone, von Ihrer eigenen Windows-CA: Bei der les- und beschreibbaren Karte erzeugt Windows den Schlüssel und schreibt das Zertifikat selbst; die nur lesbare Karte erhält direkt nach dem Abholen das Signaturzertifikat des Mitglieds vom Server.
5. Nutzung am PC: Das Mitglied öffnet die Karte in CodeB Wallet, tippt „Am PC verwenden“, hält das entsperrte Smartphone an den NFC-Leser, und Windows zeigt eine Smartcard. Die Karten-PIN gibt den Schlüssel frei.

Bei der les- und beschreibbaren Karte kommt das Zertifikat aus Ihrer PKI: phone.codeb.io gibt die Karte und ihre Verwaltungsschlüssel aus, sieht nie den privaten Schlüssel dieser Karte und stellt nie das Anmeldezertifikat aus. Die nur lesbare Karte ist nie leer: Sie trägt das Signaturzertifikat des Mitglieds von phone.codeb.io, denselben Schlüssel, mit dem das Mitglied aus der Ferne signiert; dieser Schlüssel liegt also auch auf dem Server.

Die zwei PKI-Karten

Was Sie brauchen

• phone.codeb.io-Mandant mit einem Administratorkonto; PKI-Karten für die Website eingeschaltet (Admin-Seite „PKI cards on phones“).
• Windows-PKI: eine Unternehmens-Zertifizierungsstelle der Active Directory-Zertifikatdienste (AD CS) in der Domäne, wie für Plastik-Smartcards. Domänencontroller brauchen ein Zertifikat für die Kerberos-Authentifizierung.
• PCs: Windows 10 oder 11 mit einem kontaktlosen PC/SC-(CCID-)NFC-Leser.
• Smartphones: Android 10 oder neuer mit NFC-Kartenemulation (fast alle Android-Smartphones mit NFC) und CodeB Wallet (geschlossene Testphase). Das Smartphone muss entsperrt sein, solange es als Karte dient. Die nur lesbare Karte braucht außerdem einen NFC-Chip, der nach Anwendungskennung (AID) weiterleiten kann; die App prüft das und sagt es dem Mitglied, wenn das Smartphone es nicht kann.
• Nur für die nur lesbare Karte: Das Signaturzertifikat kommt ohne Einrichtung Ihrerseits vom Server; ein Windows-Anmeldezertifikat auf dieser Karte braucht die CodeB-Software Ihrer Organisation, die später kommt; fragen Sie CodeB.

PKI-Karte ausgeben (phone.codeb.io)

1. Melden Sie sich als Administrator an und öffnen Sie Admin → PKI cards on phones.
2. Schalten Sie PKI-Karten für diese Website ein. Solange sie ausgeschaltet sind, kann keine Karte ausgegeben werden und die PC-Software keine Kartenschlüssel abrufen; Karten auf Smartphones funktionieren weiter, bis sie enden oder gesperrt werden.
3. Wählen Sie unter Issue a PKI card das Mitglied, die Karte (Read/write PKI card oder Read-only PKI card), wie viele Tage sie gilt (bis 1096, Standard 365) und wie lange die Einladung offen bleibt. Mit „E-mail the invitation to the member“ wird sie verschickt.
4. Das Mitglied öffnet den Link auf dem Smartphone (oder scannt den QR-Code) und fügt die Karte zu CodeB Wallet hinzu. Eine Karte kann nur einmal abgeholt werden, nur mit einem Schlüssel in sicherer Hardware.
5. Die Liste zeigt den Stand jeder Karte: Einladung offen, aktiv, beendet oder nicht abgeholt, gesperrt. Sobald das Smartphone sie meldet, zeigt die Spalte Certificate Seriennummer und Aussteller des Zertifikats auf der Karte.

Alles auf dieser Seite steht auch als JSON-API für Ihre eigenen Werkzeuge bereit (siehe openapi.json, Tag pki-cards).

Windows-CA einrichten (AD CS)

Für Windows verhält sich das Smartphone wie eine Smartcard, daher ist die Einrichtung der CA dieselbe wie für Plastik-Smartcards. Sie ist einmal pro Domäne nötig. Die Namen unten sind die der englischen Windows-Konsolen.

1. Domänencontroller prüfenJeder Domänencontroller braucht ein Zertifikat für die Kerberos-Authentifizierung (Vorlage Kerberos Authentication oder Domain Controller Authentication, meist automatisch registriert). Eine Unternehmens-CA wird automatisch in den NTAuth-Speicher eingetragen. Nur wenn Ihre ausstellende CA keine AD-CS-Unternehmens-CA ist, veröffentlichen Sie sie mit certutil -dspublish -f ca.cer NTAuthCA.
2. Vorlage „Smartcard Logon“ duplizierenÖffnen Sie certtmpl.msc, klicken Sie mit der rechten Maustaste auf Smartcard Logon und wählen Sie Duplicate Template. Vergeben Sie einen klaren Namen, zum Beispiel „CodeB Phone PKI Card“.
3. Registerkarte CompatibilityCertification Authority: Windows Server 2016. Certificate recipient: Windows 10 / Windows Server 2016. Damit stehen die Einstellungen unter Cryptography zur Verfügung.
4. Registerkarte General: GültigkeitWählen Sie die Gültigkeit nicht länger als die Gültigkeit der PKI-Karte im Admin-Bereich, damit das Zertifikat die Karte nicht überdauert.
5. Registerkarte Cryptography: Schlüssel auf dem SmartphoneProvider category: Key Storage Provider. Algorithm: RSA, minimale Schlüssellänge 2048. Wählen Sie „Requests must use one of the following providers“ und nur Microsoft Smart Card Key Storage Provider. So erzeugt Windows den Schlüssel auf der Karte (dem Smartphone), nicht auf dem PC.
6. Registerkarte Request Handling: kein Export„Allow private key to be exported“ bleibt aus. Der Schlüssel entsteht in der sicheren Hardware des Smartphones und lässt sich ohnehin nicht exportieren.
7. Registerkarte Subject Name: starke Zuordnung„Build from this Active Directory information“, mit dem User principal name (UPN) im alternativen Antragstellernamen. Wählen Sie nicht „Supply in the request“. Domänencontroller verlangen eine starke Zertifikatzuordnung (Microsoft KB5014754): Eine aktuelle Unternehmens-CA fügt Zertifikaten, die aus Active Directory gebildet werden, die SID des Kontos automatisch hinzu. Halten Sie CA und Domänencontroller aktuell; andernfalls legen Sie eine explizite Zuordnung an (altSecurityIdentities).
8. Registerkarte Extensions: AnwendungsrichtlinienDie Anwendungsrichtlinien müssen Smart Card Logon und Client Authentication enthalten (in der Vorlage Smartcard Logon bereits vorhanden).
9. Registerkarte Security: wer registrieren darfGeben Sie den Benutzern (oder einer Gruppe wie „Smartphone-PKI-Karten“) Read und Enroll. Vergeben Sie kein Autoenroll (siehe Hinweise zu Gruppenrichtlinien).
10. Vorlage ausstellenÖffnen Sie certsrv.msc, klicken Sie mit der rechten Maustaste auf Certificate Templates → New → Certificate Template to Issue und wählen Sie die neue Vorlage.
11. SperrdatenDomänencontroller prüfen das Zertifikat des Benutzers und die PCs das Zertifikat des Domänencontrollers; beide müssen die Sperrliste (CRL) oder den OCSP-Dienst der CA erreichen, sonst schlägt die Smartcard-Anmeldung fehl. Sperrlisten werden bis zu ihrem Ablauf zwischengespeichert, wählen Sie daher kurze CRL- und Delta-CRL-Zeiträume.

Zertifikat auf das Smartphone bringen

Les- und beschreibbare PKI-Karte: Windows registriert das Zertifikat auf dem Smartphone

1. Melden Sie sich am PC als das Mitglied an (das Zertifikat wird für den angemeldeten Benutzer beantragt).
2. Öffnen Sie in CodeB Wallet die les- und beschreibbare PKI-Karte, tippen Sie Am PC verwenden und halten Sie das entsperrte Smartphone an den NFC-Leser. Lassen Sie es während der nächsten Schritte dort.
3. Öffnen Sie certmgr.msc → Personal → All Tasks → Request New Certificate, wählen Sie Active Directory Enrollment Policy, aktivieren Sie das Kontrollkästchen der Vorlage „CodeB Phone PKI Card“ und klicken Sie Enroll.
4. Windows fragt nach der Karten-PIN, erzeugt den Schlüssel auf dem Smartphone und schreibt das Zertifikat darauf.
5. Prüfen Sie das Ergebnis mit certutil -scinfo -silent, solange die Karte aktiv ist. Der Admin-Bereich zeigt Seriennummer und Aussteller des Zertifikats, sobald das Smartphone sie meldet.

Dasselbe auf der Kommandozeile (die Vorlage legt Schlüssel und Provider fest):

Verwenden Sie den Namen der Vorlage (standardmäßig der Anzeigename ohne Leerzeichen, siehe Registerkarte General). Fügen Sie kein -q hinzu: Windows muss nach der Karten-PIN fragen können.

Nur lesbare PKI-Karte: das Signaturzertifikat des Mitglieds vom Server

1. Geben Sie die nur lesbare Karte wie oben aus. Wenn das Mitglied sie abholt, holt CodeB Wallet Signaturzertifikat und Schlüssel des Mitglieds vom Server (erzeugt, falls das Mitglied noch keine hat) und legt sie in den Signatur-Slot der Karte; danach wählt das Mitglied die Karten-PIN.
2. Am PC liest Windows die Karte mit seinem eingebauten Treiber und bietet das Zertifikat zum Signieren an, etwa in Office oder einem PDF-Reader. Jede Signatur braucht die Karten-PIN.

Im Test: CodeB Wallet holt das Signaturzertifikat direkt nach dem Abholen der Karte ab; das wird in geschlossenen Gruppen getestet. Der Schlüssel wird pro Karte einmal geliefert, verschlüsselt für einen Schlüssel in der sicheren Hardware des Smartphones, den das Smartphone per Key Attestation nachweist; er bleibt auch auf dem Server, weil das Mitglied mit demselben Schlüssel aus der Ferne signiert. Heute ist das Zertifikat pro Mitglied selbstsigniert, daher zeigen Empfänger einen unbekannten Unterzeichner, solange sie ihm nicht vertrauen; es ist keine qualifizierte oder fortgeschrittene elektronische Signatur. Der Anmelde-Slot der Karte bleibt frei für ein Windows-Anmeldezertifikat aus Ihrer CA, eingerichtet von der CodeB-Software Ihrer Organisation, die später kommt; fragen Sie CodeB.

Sie haben bereits ein Zertifikat im CodeB Key Storage Provider auf dem PC? Die Admin-Seite „Copy a Windows certificate to a phone“ beschreibt, wie ein vorhandenes Zertifikat stattdessen an das Smartphone übergeben werden kann (in geschlossenen Gruppen getestet).

Mit dem Smartphone anmelden

1. Wählen Sie auf dem Windows-Anmeldebildschirm Anmeldeoptionen → Smartcard (oder drücken Sie Strg+Alt+Entf, wenn die Karte erkannt wird).
2. Öffnen Sie in CodeB Wallet die PKI-Karte und tippen Sie Am PC verwenden; halten Sie das entsperrte Smartphone an den Leser.
3. Windows zeigt die Smartcard mit dem Zertifikat des Mitglieds. Geben Sie die Karten-PIN ein.
4. Das funktioniert auch für andere Zertifikatsnutzungen am PC (zum Beispiel Signieren oder eine Web-Anmeldung mit Client-Zertifikat), solange die Karte aktiv ist. Dafür muss der Windows-Dienst Certificate Propagation (Zertifikatverteilung) laufen, damit das Zertifikat der Karte im Benutzerspeicher erscheint.

In einem Test in geschlossenen Gruppen bestätigt: die Windows-Anmeldung an einem Domänenkonto (Kerberos-Smartcard-Anmeldung) mit einer les- und beschreibbaren PKI-Karte und ihrer Karten-PIN. Die zwischengespeicherte Anmeldung und weitere Umgebungen werden getestet. Die nur lesbare PKI-Karte hat kein Anmeldezertifikat. Nur die gewählte Karte antwortet, nur solange ihr Kartenbildschirm offen und das Smartphone entsperrt ist. Türzugang, Bezahl-Apps und andere Karten auf dem Smartphone sind nicht betroffen.

Hinweise zu Gruppenrichtlinien

• Verhalten beim Entfernen der Smartcard (Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options → Interactive logon: Smart card removal behavior): Windows sieht ein Entfernen der Karte, wenn das Smartphone vom Leser genommen oder der Kartenbildschirm geschlossen wird. Mit „Lock Workstation“ würde sich der PC jedes Mal sperren, wenn das Smartphone weggenommen wird. Empfohlen: „No Action“ auf PCs, an denen Smartphones als PKI-Karten dienen. (Die Richtlinie wirkt nur, solange der Dienst Smart Card Removal Policy läuft.)
• Smartcard erzwingen (Interactive logon: Require Windows Hello for Business or smart card): erst einschalten, wenn die Smartphonekarten bei allen betroffenen Benutzern funktionieren, und einen Notfallweg behalten.
• Automatische Registrierung (User Configuration → Policies → Windows Settings → Security Settings → Public Key Policies → Certificate Services Client – Auto-Enrollment): Das Smartphone ist nur während „Am PC verwenden“ eine Karte; eine manuelle Anforderung (oben) ist daher der verlässliche Weg.

Verlorenes Smartphone und Sperrung

1. Sperren Sie im Admin-Bereich die PKI-Karte. Die Karte antwortet nicht mehr, sobald das Smartphone die Sperrung erhalten hat (über die Statusliste).
2. Sperren Sie das Zertifikat bei Ihrer CA (certsrv.msc → Issued Certificates → Revoke Certificate) und veröffentlichen Sie eine neue Sperrliste. Bis die zwischengespeicherten Sperrlisten auf den Domänencontrollern ablaufen, kann das Zertifikat noch anmelden; halten Sie die Zeiträume daher kurz. Der Admin-Bereich zeigt die Seriennummer, wenn das Smartphone sie gemeldet hat.
3. Nur lesbare Karte: Ihre Sperrung stoppt nur die Karte. Fernsignatur-Schlüssel und -Zertifikat des Mitglieds bleiben bestehen, bis sie gesondert gesperrt werden.
4. Geben Sie eine neue PKI-Karte an das neue Smartphone des Mitglieds aus und registrieren Sie ein neues Zertifikat.

Sicherheit

• Der private Schlüssel wird in der sicheren Hardware des Smartphones erzeugt und aufbewahrt (StrongBox, sonst TEE). Er lässt sich nicht exportieren, und jede Nutzung braucht die Karten-PIN.
• Eine Karte wird nur einmal abgeholt, nur von einem Smartphone mit gültiger Key Attestation. Ihren Verwaltungsschlüssel (und die PUK der nur lesbaren Karte) erzeugt der Server und liefert sie einmal verschlüsselt an den Schlüssel, der die Karte abgeholt hat; die App zeigt sie nie an.
• Der Server sieht nie den privaten Schlüssel der Karte oder die Karten-PIN. Er speichert nur, was der Administrator braucht: die Karte, ihren Stand und, falls gemeldet, Seriennummer und Aussteller des Zertifikats.
• Falsche PINs sperren die Karte (die les- und beschreibbare nach 5, die nur lesbare nach 3). Nur die gewählte Karte antwortet, solange ihr Kartenbildschirm offen und das Smartphone entsperrt ist; ein gesperrtes Smartphone lehnt ab. Sie endet, wenn das Smartphone vom Leser genommen oder der Kartenbildschirm geschlossen wird.
• Keine Datenbank: Jeder Datensatz ist eine Datei auf Ihrem eigenen Server, verschlüsselt, wo er ein Geheimnis enthält.

Fehlerbehebung

• Windows meldet, dass die Karte einen Treiber braucht, oder am Smartphone kommt nichts an: Manche Android-Smartphones haben eine NFC-Einstellung, die Kartenbefehle an ein eingebautes Secure Element statt an Apps schickt. Öffnen Sie Einstellungen → Verbindung und Freigabe → NFC und stellen Sie Position des Sicherheitselements auf HCE Wallet (die Bezeichnungen unterscheiden sich je nach Smartphone). Halten Sie das Smartphone dann mit offenem Kartenbildschirm erneut an den Leser.
• Die Registrierung scheitert mit CERTSRV_E_SUBJECT_EMAIL_REQUIRED: Die Vorlage schreibt die E-Mail-Adresse ins Zertifikat, aber das Active-Directory-Konto des Benutzers hat keine. Geben Sie dem Benutzer eine E-Mail-Adresse in Active Directory oder entfernen Sie die E-Mail-Optionen auf der Registerkarte Subject Name der Vorlage.
• Die Zertifikatanforderung ist mit SHA-1 signiert: Vorlagen in der älteren CSP-Anbieterkategorie verwenden standardmäßig SHA-1. Wählen Sie auf der Registerkarte Cryptography die Anbieterkategorie Key Storage Provider und den Anforderungshash SHA256.
• Die Karte bricht mitten in der Registrierung ab: Das Erzeugen des Schlüssels kann einige Sekunden dauern. Lassen Sie das Smartphone mit offenem Kartenbildschirm am Leser, bis Windows das Ergebnis meldet.

Fragen

Zuletzt aktualisiert: 2026-10-19

Weiterführend