Online-KYC mit dem Ausweis-Chip: was CodeB heute für die Kundenidentifizierung leistet
Banken, Zahlungs- und Kryptodienstleister, Telekommunikations- und Glücksspielanbieter müssen wissen, wer ihre Kunden sind – online, schnell und revisionssicher. Die Schwachstelle vieler Prozesse ist die Dokumentenprüfung: Fotos und Videostreams lassen sich bearbeiten, wiederholen oder erzeugen. Jeder Reisepass und jeder seit August 2021 in der EU ausgegebene Personalausweis trägt einen Chip, dessen Daten vom Ausstellerstaat signiert sind. Dieser Artikel zeigt, was CodeB heute mit diesem Chip macht, wie EU-Wallets und qualifizierte Signaturen dazupassen – und ebenso klar, was CodeB nicht macht.
Warum der Chip und nicht ein Foto des Ausweises
Ein Foto eines Ausweises zeigt, was die Kamera gesehen hat – oder was man ihr eingespielt hat. Bearbeitete Bilder, ausgedruckte Kopien, Deepfakes und Injection-Angriffe machen optische Prüfungen jedes Jahr schwerer. Der Chip ist anders: Name, Geburtsdatum, Dokumentnummer und Lichtbild sind dort gespeichert und vom Ausstellerstaat digital signiert (ICAO Doc 9303). Wird ein Buchstabe geändert, bricht die Signatur. Ein kopierter Chip besteht den Schlüsseltest des Originals nicht.
Chips sind überall: Reisepässe tragen sie seit Jahren, und jeder seit dem 2. August 2021 in der EU ausgegebene Personalausweis muss einen haben (Verordnung (EU) 2019/1157). Die meisten Ihrer Kunden haben ein Chipdokument bereits in der Tasche.
Was CodeB heute leistet: die Chip-Prüfung über das Handy der Kunden
Ihr Server liest, das Handy reicht nur weiter. Sie schicken dem Kunden einen Link oder QR-Code. CodeB Wallet zeigt, wer fragt und was gelesen wird; der Kunde stimmt zu, gibt die Zugangsnummer (CAN) ein oder scannt die maschinenlesbare Zone und hält das Dokument an die Rückseite des Android-Handys. Der Server von phone.codeb.io ist das Lesegerät: Er spricht Ende-zu-Ende über einen verschlüsselten, authentisierten Kanal mit dem Chip (PACE, Chip-Authentisierung, Secure Messaging). Eine manipulierte App kann das Lesen abbrechen, aber kein Ergebnis erfinden.
Was geprüft wird. Passive Authentisierung: Die Chipdaten müssen vom Document Signer des Ausstellerstaats signiert sein, mit Kette zu dessen Länderzertifikat aus der Masterliste des BSI (115 Staaten sowie EU und UN), samt Sperrlisten. Chip- oder Active Authentication: Der Chip beweist mit seinem eigenen Schlüssel, dass er das Original ist und keine Kopie. Echte App auf echtem Gerät: Android Key Attestation und Google Play Integrity.
Was Sie erhalten. Das Ergebnis (echt oder nicht, mit Begründung), die Daten des Dokuments – Name, Geburtsdatum, Staatsangehörigkeit, Geschlecht, Dokumentart und -nummer, Ausstellerstaat, Ablaufdatum – und das Chip-Lichtbild. Fingerabdrücke werden nie gelesen; sie sind Grenzbehörden vorbehalten.
Nachweis. Jede Prüfung wird als hashverkettetes Prüfprotokoll gespeichert: Verfahren, Algorithmen, Zertifikate, Sperrstatus und Ergebnis – für Ihre Revision.
Weitere Bausteine, die heute funktionieren
EU-Wallets (EUDI-Wallets). Mit dem CodeB EUDI Gateway akzeptiert Ihre Website die Personenidentifizierungsdaten (PID) aus EU-Wallets über eine einzige OpenID-Connect-Anbindung – OpenID4VP, SD-JWT VC und ISO mdoc, Vertrauens- und Sperrprüfung, Prüfprotokolle. Getestet ist es mit der EU-Referenz-Wallet; nationale Wallets werden getestet, sobald sie verfügbar sind. Die staatliche deutsche Wallet startet am 2. Januar 2027.
Qualifizierte elektronische Signaturen. Kunden mit Signaturkarte – etwa maltesische eID, D-Trust-Karte oder elektronischer Heilberufsausweis – unterschreiben Ihren Vertrag in CodeB Wallet qualifiziert per NFC. § 12 GwG nennt die qualifizierte Signatur als einen Weg der Identitätsprüfung, zusammen mit einer Validierung der Signatur und einer Zahlung vom eigenen Konto des Kunden. Die Validierung übernehmen Sie – zum Beispiel mit dem DSS-Validierungstool der EU.
Aktualisierung. Läuft ein Dokument ab oder verlangen Ihre Risikoregeln eine Aktualisierung, senden Sie einen neuen Einladungslink – der Kunde wiederholt die Chip-Prüfung in einer Minute.
Nur das Alter. Wo Sie nur „über 18?“ wissen müssen, fragen Sie nichts anderes – Altersnachweis.
Was CodeB nicht leistet – bitte lesen
Eine Chip-Prüfung beweist, dass ein echtes Dokument vorlag – nicht, wer es in der Hand hält. CodeB vergleicht das Gesicht des Kunden nicht mit dem Chip-Lichtbild und führt keine Lebenderkennung durch. Braucht Ihr Prozess diese Verbindung zwischen Person und Dokument, ergänzen Sie sie – etwa mit Ihrem eigenen Gesichtsabgleich gegen das hochwertige Chip-Lichtbild, das Sie erhalten.
Nicht zertifiziert, kein Vertrauensniveau. CodeB orientiert sich an eIDAS 2.0 und dem EU Architecture and Reference Framework. Es ist nicht als Identifizierungsdienst zertifiziert, und eine Chip-Prüfung über CodeB ist kein eIDAS-Vertrauensniveau („substanziell“ oder „hoch“).
Ihr Recht, Ihre Aufsicht. Ob ein Prozess mit diesen Bausteinen Ihre Sorgfaltspflichten erfüllt, hängt von Ihrer Branche, Ihrem Land und Ihrer Aufsicht ab. Die Chip-Prüfung braucht ein Android-Handy mit NFC; planen Sie für Kunden ohne ein solches einen weiteren Kanal.
Der rechtliche Rahmen in Kürze
Deutschland heute: § 12 Abs. 1 GwG nennt die Wege, die Identität natürlicher Personen zu überprüfen: amtlicher Lichtbildausweis, Online-Ausweisfunktion, qualifizierte elektronische Signatur (mit Validierung und Zahlung vom eigenen Konto des Kunden), notifiziertes eIDAS-Identifizierungssystem sowie Dokumente nach der Zahlungskonto-Identitätsprüfungsverordnung.
EU ab 10. Juli 2027: Die Geldwäscheverordnung (EU) 2024/1624 (AMLR) gilt unmittelbar. Ihr Artikel 22 Abs. 6 nennt Ausweis, Reisepass oder gleichwertiges Dokument sowie elektronische Identifizierungsmittel auf Vertrauensniveau substanziell oder hoch zusammen mit einschlägigen qualifizierten Vertrauensdiensten.
EU-Wallets: Nach eIDAS 2.0 (Art. 5f) müssen private Vertrauensparteien, die gesetzlich eine starke Nutzerauthentifizierung verwenden müssen – etwa Banken –, die EUDI-Wallets bis Dezember 2027 akzeptieren.
Anwendungsfall: Kontoeröffnung bei einem Zahlungsinstitut
Beispielszenario. Ein Zahlungsinstitut eröffnet Konten online. In der Registrierung tippt die Kundin auf „Ausweis per Chip prüfen“. CodeB Wallet öffnet sich und zeigt den Namen des Instituts und was gelesen wird. Die Kundin gibt die Zugangsnummer ihres Personalausweises ein und hält die Karte an ihr Handy.
Sekunden später sieht das Backoffice: Dokument echt, Chip vom Ausstellerstaat signiert, keine Kopie – mit den Daten, dem Chip-Lichtbild und einem Prüfprotokoll. Das Institut führt seinen eigenen Gesichtsabgleich gegen das Chip-Lichtbild und sein Sanktionslisten-Screening durch. Der Kontovertrag wird anschließend in derselben App unterschrieben.
So starten Sie
- Selbst ausprobieren: den eigenen Ausweis-Chip im Playground auslesen.
- Details zur Ausweisprüfung per Chip und zum CodeB EUDI Gateway lesen.
- Integrationsdemo anfragen: info@aloaha.com.
Quellen
§ 12 GwG · AMLR (EU) 2024/1624 · eIDAS 2.0 (EU) 2024/1183 · Regulation (EU) 2019/1157 (ID cards) · ICAO Doc 9303 · BMI: EUDI wallet guidance · EU DSS validation tool
Fragen zu Online-KYC mit dem Chip
Was beweist die Chip-Prüfung?
Dass ein echter Reisepass oder Ausweis vorlag: Die Daten sind vom Ausstellerstaat signiert, unverändert, und der Chip ist keine Kopie. Sie beweist nicht, wer das Dokument in der Hand hält.
Macht CodeB Gesichtsabgleich oder Lebenderkennung?
Nein. Sie erhalten das Chip-Lichtbild und können Ihren eigenen Gesichtsabgleich dagegen durchführen. CodeB macht keinen Gesichtsabgleich und keine Lebenderkennung.
Warum kann eine manipulierte App das Ergebnis nicht fälschen?
Weil der Server von phone.codeb.io den Chip selbst über einen Ende-zu-Ende verschlüsselten Kanal liest. Das Handy reicht die Nachrichten nur weiter und kann sie weder lesen noch ändern.
Welche Dokumente werden unterstützt?
Reisepässe, Personalausweise und viele Aufenthaltstitel mit Chip nach ICAO Doc 9303. Als echt bestätigt werden können Dokumente, deren Länderzertifikat in der BSI-Masterliste steht – im Oktober 2026 115 Staaten sowie EU und UN.
Reicht eine Chip-Prüfung für die Geldwäschevorschriften?
Das hängt von Ihrer Branche, Ihrem Land und Ihrer Aufsicht ab. In Deutschland nennt § 12 GwG die zulässigen Wege der Identitätsprüfung; ab 10. Juli 2027 gilt die EU-Geldwäscheverordnung. Klären Sie Ihren Prozess mit Ihrer Compliance.
Ist CodeB zertifiziert?
Nein. CodeB orientiert sich an eIDAS 2.0 und dem EU Architecture and Reference Framework, ist aber nicht zertifiziert, und eine Chip-Prüfung über CodeB ist kein eIDAS-Vertrauensniveau.
Was braucht der Kunde?
Den Reisepass oder Ausweis mit Chip, dessen Zugangsnummer (CAN) oder maschinenlesbare Zone sowie ein Android-Handy mit NFC und CodeB Wallet.