Dienst registrieren
Wir registrieren Ihre Redirect-URI(s) und senden Ihnen Client-ID und Secret. Die Angaben zu Ihrer Relying Party – Name, Zweck, Datenschutzerklärung, Kontakt – stehen im Registrierungszertifikat, das Wallets anzeigen.
Produkt · EU Digital Identity Wallet · Relying Party
CodeB Relying Party Gateway: die EU-Wallet auf Ihrer Website
Ihre Kundinnen und Kunden melden sich mit ihrer EU Digital Identity Wallet an, eröffnen ein Konto oder weisen ihr Alter nach – und Ihre Anwendung sieht nur eine normale OpenID-Connect-Anmeldung. Wallet-Protokolle, Kryptographie, Vertrauenslisten und Widerruf erledigt das Gateway.
In einem Satz: Das CodeB Relying Party Gateway ist ein Relying-Party-Dienst für die EU Digital Identity Wallet: Ihre Website leitet mit
acr_values=urn:codeb:acr:eudi-wallet zu ihm weiter, es fragt die Wallet per OpenID4VP ab, prüft die Vorlage und gibt Ihrer Anwendung ein signiertes OpenID-Connect-id_token mit den freigegebenen Angaben zurück.OpenID Connect · OpenID4VP 1.0 + DCQL · HAIP 1.0 · SD-JWT VC · ISO mdoc · ETSI TS 119 475 · ARF 3.0
Geschlossene Beta, im Test. Nicht zertifiziert.
Kurz gefasst
- Was
- Ein Relying-Party-Dienst: Er nimmt im Auftrag Ihrer Website Nachweise aus der EU Digital Identity Wallet entgegen und prüft sie.
- Für wen
- Banken, Zahlungsdienste, Telekommunikation, Versicherungen, Gesundheit, Mobilität, Behörden, Plattformen – jeder Dienst, der Personen sicher erkennen oder ihr Alter prüfen muss.
- Integration
- Standard-OpenID-Connect (Authorization Code + PKCE). Ein zusätzlicher Parameter, eine zusätzliche Prüfung. Beispiele für Node.js, Python, PHP, ASP.NET Core, Java und Go.
- Was Sie erhalten
- Ein signiertes id_token mit
acr(wie sich die Person angemeldet hat) und den Angaben, die Sie anfordern und die Person freigibt. - Vertrauen
- Signierte Anfragen mit Zugangszertifikat, Registrierungszertifikat mit Online-Status, EU-Vertrauenslisten, Widerrufsprüfung, verschlüsselte Antworten.
- Datenschutz
- Selektive Offenlegung, keine Drittanbieter-Tracker, Löschanträge über einen eigenen Endpunkt.
So funktioniert es
Vier Schritte, davon zwei einmalig.
Einen Parameter ergänzen
Ihre bestehende OpenID-Connect-Anmeldung schickt die Person mit acr_values=urn:codeb:acr:eudi-wallet zum Gateway.
Die Person legt vor
Auf dem Telefon öffnet sich die Wallet direkt; am Computer scannt die Person einen QR-Code. Die Wallet zeigt, wer fragt und wozu; die Person bestätigt.
Das Gateway prüft
Aussteller-Signatur und Vertrauenskette, Holder-Bindung, Widerrufsstatus, Nonce und Empfänger – dann erhält Ihre Anwendung ein signiertes id_token mit acr und den freigegebenen Angaben.
Was das Gateway für Sie erledigt
Wallet-Protokolle
OpenID for Verifiable Presentations 1.0 mit DCQL-Anfragen, Same-Device (Wallet öffnet sich direkt) und Cross-Device (QR-Code), Antworten verschlüsselt per direct_post.jwt.
Nachweisformate
SD-JWT VC und ISO mdoc – die EU-PID in beiden Formaten, der EU-Altersnachweis und weitere Nachweise, mit Holder-Bindung und selektiver Offenlegung.
Vertrauen und Widerruf
Aussteller-Signaturen und Vertrauensketten gegen die EU-Vertrauenslisten, Widerrufsstatus über Token Status Lists, Nonce, Empfänger und Lebensdauer jeder Vorlage.
Ihre Identität in der Wallet
Signierte Anfragen (x509_hash nach HAIP 1.0) und ein Registrierungszertifikat nach ETSI TS 119 475 mit Name, Zweck, Datenschutzerklärung und Statusliste – die Wallet zeigt der Person, wer fragt.
Standard-Anmeldung für Ihre App
Authorization Code + PKCE, id_token mit acr und amr, UserInfo, Abmeldung – wie jeder OpenID-Connect-Anbieter. Jede Bibliothek funktioniert.
Nationaler eID-Ausweis
Dieselbe Integration mit acr_values=urn:codeb:acr:eidcard: Anmeldung mit dem Authentisierungsschlüssel des Ausweises, gelesen per NFC von der CodeB-Wallet-App.
Wofür Relying Parties es nutzen
Anmeldung ohne Passwort
Kundinnen und Kunden melden sich mit der Wallet an – phishing-resistent, ohne Passwort-Reset und ohne SMS-Codes.
Konto eröffnen
Name, Geburtsdatum und weitere PID-Angaben kommen geprüft aus der Wallet statt aus einem Formular; der Pass- oder Ausweis-Chip lässt sich zusätzlich prüfen.
Altersnachweis
Nur „über 18“ abfragen, ohne Namen und Geburtsdatum – mit dem EU-Altersnachweis.
Starke Authentifizierung
Ein Faktor, den Sie nicht selbst betreiben müssen: Schlüssel in der sicheren Hardware des Telefons, entsperrt mit Biometrie oder PIN.
Sicherheit, Datenschutz, Konformität
Ausgelegt auf ARF 3.0
Folgt dem EU Architecture and Reference Framework 3.0, OpenID4VP 1.0 und HAIP 1.0; geprüft mit Konformitätstestplänen und einem öffentlichen Interoperabilitätstest. Nicht zertifiziert.
Rechte der Betroffenen
Löschanträge (ARF Technische Spezifikation 7) über einen öffentlichen Endpunkt, Berichte an die Datenschutzaufsicht (Spezifikation 8) und Kontaktangaben im Registrierungszertifikat.
Keine Tracker
Keine Drittanbieter-Analytik, keine Werbenetzwerke. Die Anmeldung läuft zwischen Wallet, Gateway und Ihrer Anwendung.
Zugangszertifikate
Mit einem Zugangszertifikat eines offiziellen Registrars oder – für Test- und private Ökosysteme – aus der CodeB-Zugangszertifikats-CA mit eigenem Relying-Party-Register.
Häufige Fragen
Was ist eine Relying Party?
Im europäischen Rahmen für digitale Identität ist eine Relying Party jeder Dienst, der eine Person bittet, Daten aus ihrer EU Digital Identity Wallet vorzulegen – zur Anmeldung, zur Kontoeröffnung, als Altersnachweis oder als Qualifikationsnachweis. Das CodeB Relying Party Gateway übernimmt diese Arbeit für Ihre Website oder App.
Müssen wir die EU Digital Identity Wallet akzeptieren?
Nach der überarbeiteten eIDAS-Verordnung (EU) 2024/1183 müssen private Dienste, die gesetzlich eine starke Nutzerauthentifizierung verwenden müssen – etwa in Banken, Zahlungsverkehr, Telekommunikation, Verkehr, Energie, Gesundheit und Bildung – sowie sehr große Online-Plattformen die Wallet akzeptieren, wenn der Nutzer sie wählt. Die Pflicht gilt innerhalb von 36 Monaten nach Inkrafttreten der Durchführungsrechtsakte zur Wallet, also etwa ab Ende 2027. Klären Sie die Einzelheiten für Ihre Branche mit Ihrer Rechtsberatung; dies ist keine Rechtsberatung.
Wie lange dauert die Integration?
Wenn Ihre Seite bereits OpenID Connect nutzt, meist einen Nachmittag: Sie lassen Ihre Redirect-URI bei uns registrieren, fügen einen Parameter hinzu (acr_values=urn:codeb:acr:eudi-wallet) und prüfen einen Claim (acr) im id_token. Der Entwickler-Schnellstart enthält vollständige Beispiele.
Müssen wir OpenID4VP, SD-JWT VC oder ISO mdoc selbst implementieren?
Nein. Das Gateway spricht die Wallet-Protokolle (OpenID for Verifiable Presentations 1.0 mit DCQL, SD-JWT VC und ISO mdoc) und prüft Signaturen, Vertrauensketten, Holder-Bindung und Widerruf. Ihre Anwendung sieht nur eine normale OpenID-Connect-Anmeldung.
Welche personenbezogenen Daten erhalten wir?
Nur, was Sie anfordern und der Betreiber für Ihren Client freigibt: etwa Vorname, Familienname, Geburtsdatum oder E-Mail aus dem vorgelegten Nachweis. Datenminimierung ist eingebaut – die Wallet gibt nur die angefragten Angaben preis (selektive Offenlegung), und die Person sieht und bestätigt die Anfrage.
Wer wird der Person in der Wallet angezeigt?
Jede Anfrage ist mit einem Zugangszertifikat signiert und enthält ein Registrierungszertifikat (ETSI TS 119 475) mit Name der Relying Party, Zweck, Datenschutzerklärung und dem Weg zur Löschung. Wallets zeigen das der Person, bevor etwas geteilt wird, und können seinen Status online prüfen.
Welche Wallets und Dokumente funktionieren?
Wallets, die OpenID for Verifiable Presentations 1.0 und das HAIP-1.0-Profil umsetzen, etwa die CodeB Wallet und die EU-Referenz-Wallet. Dokumente: die EU-Personenidentifizierungsdaten (PID) als SD-JWT VC oder ISO mdoc sowie Nachweise wie der EU-Altersnachweis. Nationale eID-Ausweise lassen sich über die CodeB-Wallet-App zur Anmeldung nutzen.
Ist das zertifiziert?
Nein. Das Gateway folgt dem EU Architecture and Reference Framework (ARF) 3.0, OpenID4VP 1.0 und HAIP 1.0 und wird mit Konformitätstestplänen geprüft; es ist nicht zertifiziert und beansprucht kein eIDAS-Vertrauensniveau.
Können wir ein eigenes Zugangszertifikat verwenden?
Ja. Anfragen können mit einem Zugangszertifikat eines offiziellen Registrars signiert werden oder – für Test- und private Ökosysteme – mit einem der CodeB-Zugangszertifikats-CA und ihrem eigenen Register der Relying Parties.
Weiterlesen
Entwickler-Schnellstart →
Code für Node.js, Python, PHP und ASP.NET Core.
Getestete Beispiel-Apps →
Vollständige Apps für sechs Umgebungen, auf Englisch.
Verifier-API-Referenz →
OpenID4VP-Endpunkte, Registrierungszertifikat, Löschanträge.
Nationaler eID-Ausweis →
Anmeldung und PDF-Signatur mit dem Ausweis in der CodeB Wallet.
Die EU-Wallet auf Ihrer Website?
Schreiben Sie uns: Wir registrieren Ihren Dienst, richten Ihren Client ein und helfen bei der ersten Anmeldung.