NFC-Verifizierungs-API: e-Reisepass & eID-Chip

Die NFC-basierte Authentifizierung ermöglicht es Ihnen, Ausweisdokumente zu verifizieren, indem der in modernen Reisepässen und Ausweisen eingebettete sichere Chip über die NFC-Funktionen eines Mobiltelefons ausgelesen wird. Dies bietet das höchste verfügbare Sicherheitsniveau für die Ausweisverifizierung.

Wichtigste Vorteile

Vorteil	Beschreibung
Höchste Sicherheit	Verifiziert kryptografische Signaturen direkt von staatlichen Ausstellern
Einfach zu bedienen	Funktioniert automatisch mit jedem NFC-fähigen Smartphone
Manipulationssicher	Erkennt Dokumentenmanipulationen, die für das menschliche Auge unsichtbar sind
Umfassende Daten	Extrahiert zusätzliche Daten, die allein über OCR nicht verfügbar sind
Flexibler Fallback	Fällt nahtlos auf die Standardverifizierung zurück, wenn NFC nicht verfügbar ist

So aktivieren Sie die NFC-Verifizierung

Native SDK-Integration (empfohlen)

Die NFC-Verifizierung ist über unsere nativen SDKs verfügbar, die vollen Zugriff auf die NFC-Funktionen des Geräts bieten:

Plattform	NFC-Unterstützung	Dokumentation
iOS	✅ Volle Unterstützung	iOS-SDK-Dokumentation
Android	✅ Volle Unterstützung	Android-SDK-Dokumentation

Das iOS-SDK übernimmt die gesamte NFC-Konfiguration automatisch, einschließlich:

ISO7816-Anwendungs-Identifier für ePässe
Einrichtung von Entitlements und Capabilities
Auslesen des Chips in Echtzeit mit visuellem Feedback

Web-Integration

⚠️ Browser-Einschränkungen Die NFC-Verifizierung ist aufgrund von Plattformbeschränkungen in Webbrowsern nicht verfügbar:
Browser NFC-Unterstützung
Chrome (Android) Experimentelle Web NFC API – instabil, erfordert explizite Berechtigungen
Safari (iOS) Keine Unterstützung der Web NFC API
Andere Browser Keine Unterstützung
Bei Web-Integrationen wird die NFC-Verifizierung automatisch übersprungen und Benutzer fahren mit der standardmäßigen Verifizierung mit Dokument + Selfie fort.

Browser	NFC-Unterstützung
Chrome (Android)	Experimentelle Web NFC API – instabil, erfordert explizite Berechtigungen
Safari (iOS)	Keine Unterstützung der Web NFC API
Andere Browser	Keine Unterstützung

Funktionsweise

Sitzungsinitiierung

Der Benutzer startet den Verifizierungsprozess über Ihre App oder Plattform:

Natives SDK: Starten Sie den Verifizierungs-Workflow direkt in Ihrer App
Web/Mobiles Web: Der Benutzer wird angeleitet, die Didit-App für die NFC-fähige Verifizierung zu verwenden, oder setzt den Vorgang mit der Standardverifizierung fort

Aufnahme von Dokumentenfotos

Der Benutzer fotografiert sein Ausweisdokument und erfasst dabei:

MRZ (Machine Readable Zone) — dient zur Ableitung der Zugriffsschlüssel für den Chip
Vorder- und Rückseitenbilder des Dokuments — visuelle Daten und Sicherheitsmerkmale
Visuelle Sicherheitsmerkmale — Hologramme, Wasserzeichen, Mikroschrift

Erkennung der NFC-Unterstützung

Das System prüft automatisch die Geräte- und Dokumentkompatibilität:

Prüfung	Beschreibung
Dokumenttyp	Handelt es sich um einen ePass bzw. eine eID mit NFC-Chip?
Gerätekompatibilität	Unterstützt das Smartphone das Auslesen von NFC?
Berechtigungen	Wurden die erforderlichen NFC-Berechtigungen erteilt?

Falls NFC nicht verfügbar ist, wird die Verifizierung nahtlos mit der Standard-Dokumenten- und biometrischen Verifizierung fortgesetzt.

Auslesen des NFC-Chips

Bei kompatiblen Geräten und Dokumenten:

Der Benutzer wird angeleitet, sein Dokument an das NFC-Lesegerät des Smartphones zu halten
Visuelles Feedback zeigt den Lesefortschritt in Echtzeit an
Eine sichere Kommunikation mit dem Chip wird über PACE/BAC-Protokolle aufgebaut

Datenextraktion

Das System extrahiert umfassende Daten aus dem Chip gemäß den ICAO 9303-Standards:

Datengruppe	Inhalt	Beschreibung
SOD	Document Security Object	Digitale Signaturen für alle Datengruppen
DG1	Personenbezogene Daten	Name, Ausweisnummer, Geburtsdatum, Ablaufdatum
DG2	Gesichtsbild	Hochauflösendes digitales Foto des Inhabers
DG7	Signatur	Digitale Darstellung der Unterschrift des Inhabers
DG11-14	Zusätzliche Daten	Kann Fingerabdrücke, Iris-Scans enthalten (sofern gespeichert)

Kryptografische Verifizierung

Die extrahierten Daten durchlaufen eine strenge kryptografische Verifizierung:

Prüfung der digitalen Signatur

Der Hash jeder Datengruppe wird anhand der im SOD gespeicherten Signaturen überprüft, um die Datenintegrität sicherzustellen.

Validierung der Zertifikatskette

Die Vertrauenskette wird validiert: Dokumentenzertifikat → Country Signing CA → ICAO PKD Root, unter Abgleich mit CSCA-Masterlisten und dem ICAO Public Key Directory.

Zertifikatssperrprüfung

Zertifikate werden anhand von Zertifikatssperrlisten (CRLs) überprüft, um sicherzustellen, dass sie nicht widerrufen wurden und das Dokument nicht als gestohlen oder kompromittiert gemeldet ist.

Kreuzvalidierung

Per NFC extrahierte Daten werden mit den OCR-Daten aus den Dokumentenfotos, dem biometrischen Gesichtsabgleich und der MRZ-Prüfsummenvalidierung abgeglichen.

Ergebnis & Konfidenzwert

Das endgültige Verifizierungsergebnis umfasst:

Ausgabe	Beschreibung
Status der NFC-Verifizierung	Erfolgreich, fehlgeschlagen oder übersprungen
Datenkonsistenzwert	Wie gut die NFC-Daten mit den visuellen Daten übereinstimmen
Zertifikatsvalidierung	Status der vollständigen Zertifikatskettenprüfung
Konfidenzsteigerung	NFC erhöht die Konfidenz der Gesamtverifizierung erheblich

Unterstützte Dokumente

Die NFC-Verifizierung funktioniert mit ePässen und elektronischen Ausweisen, die einen NFC-Chip enthalten, was typischerweise durch dieses Symbol auf dem Dokument gekennzeichnet ist:

Die meisten nach 2006 ausgestellten Reisepässe enthalten NFC-Chips. Bei nationalen Personalausweisen variiert die Verfügbarkeit je nach Land. Prüfen Sie alle unterstützten Dokumente. Die Japan My Number Card besitzt eine andere Art von Chip, der über JPKI anstelle von ICAO 9303 ausgelesen wird. Siehe Japan My Number Card (JPKI).

Japan My Number Card (JPKI)

Die japanische My Number Card (マイナンバーカード) besitzt einen Chip, jedoch keinen Chip nach ICAO 9303. Sie enthält Zertifikate, die unter JPKI (Japans Public-Key-Infrastruktur) ausgestellt wurden, sowie private Schlüssel, die erst signieren, nachdem der Inhaber die PIN der Karte eingegeben hat. Didit liest sie im selben NFC-Schritt über JPKI statt ICAO 9303 aus, und jedes NFC-Ergebnis gibt in chip_protocol an, welches Protokoll verwendet wurde (icao oder jpki).

Noch nicht verfügbar. Das Auslesen der My Number Card über JPKI ist in der Produktion noch nicht aktiviert. Bis dahin überspringt eine in einem nativen SDK erfasste My Number Card den NFC-Schritt mit dem Abbruchgrund JPKI_UNAVAILABLE, und die Karte wird wie bisher per Dokumentenerfassung und Gesichtsabgleich verifiziert.

Anforderungen

Anforderung	Detail
Dokument	Nur die japanische My Number Card. Bei japanischen Reisepässen bleibt das Auslesen des ICAO-9303-Chips bestehen.
Integration	Ein natives SDK-Release, das My Number Cards auslesen kann (iOS, Android oder die darauf aufbauenden React Native- und Flutter-SDKs). Das SDK teilt Didit mit, dass es JPKI lesen kann; ein älteres Release überspringt den Schritt mit `JPKI_UNAVAILABLE`. Web- und WebView-Integrationen überspringen ihn mit `INTEGRATION_WITHOUT_NFC_ACCESS`.
Gerät	Ein Smartphone mit einem NFC-Lesegerät. Ohne ein solches wird der Schritt mit `DEVICE_WITHOUT_NFC` übersprungen.
iOS-Host-App	`D392F000260100000001` in den ISO7816-Select-Identifiers der App. Siehe iOS-NFC-Konfiguration.
Person	Kennt die 4-stellige PIN der Karte sowie das Signaturpasswort, wenn Ihr Workflow die Inhaberdaten anfordert.

Was die Person tut

Karte fotografieren

Die Person erfasst die My Number Card im Ausweisverifizierungsschritt wie jedes andere Dokument. Didit erkennt die Karte und startet einen JPKI-NFC-Schritt anstelle des Auslesens eines Reisepass-Chips.

Karten-PIN eingeben

Das SDK fordert zur Eingabe der 4-stelligen PIN der Karte auf (利用者証明用電子証明書の暗証番号). Wenn die Einstellung jpki_request_attributes des NFC-Knotens aktiviert ist (Standardeinstellung), fordert es zusätzlich das Signaturpasswort an, auch Signatur-PIN genannt (署名用電子証明書の暗証番号, 6 bis 16 Großbuchstaben und Zahlen).

Karte an das Smartphone halten

Das SDK liest die Zertifikate der Karte aus, und die Karte signiert eine Einmal-Challenge von Didit mit ihrem eigenen Schlüssel. Das SDK lädt die Zertifikate und Signaturen hoch. Die PINs werden ausschließlich an die Karte übermittelt, niemals an Didit.

Die Karte zählt Fehleingaben: Sie sperrt die 4-stellige PIN nach 3 Fehlversuchen in Folge und das Signaturpasswort nach 5. Ein gesperrter Wert – die 4-stellige PIN oder das Signaturpasswort – muss beim zuständigen Gemeindeamt des Inhabers zurückgesetzt werden. Nach einer Fehleingabe zeigt das SDK an, wie viele Versuche verbleiben. Es führt den letzten Versuch niemals aus: Ist nur noch ein Versuch übrig, stoppt es und informiert die Person darüber, wo das Zurücksetzen möglich ist. Bitten Sie die Personen, ihre PIN und ihr Signaturpasswort bereitzuhalten, bevor sie beginnen.

Was Didit prüft

Prüfung	Was Didit verifiziert	Warnung bei Fehlschlag (Standardaktion)
Zertifikatskette	Jedes Zertifikat lässt sich auf die JPKI-Zertifizierungsstelle seines Typs zurückführen, befindet sich innerhalb seiner Gültigkeitsdauer und ist ein My-Number-Card-Zertifikat (`jpki.chain_valid`).	`JPKI_CERTIFICATE_INVALID` (Ablehnen)
Karte und PIN	Die Signatur der Karte über die Einmal-Challenge lässt sich anhand ihres Zertifikats verifizieren (`jpki.signature_valid`). Die Karte signiert erst nach Eingabe ihrer PIN; dies beweist somit, dass die Person die Karte besitzt und die PIN kennt.	`JPKI_SIGNATURE_INVALID` (Ablehnen)
Widerruf	Kein Zertifikat wurde widerrufen (`jpki.revocation_status`).	`JPKI_CERTIFICATE_REVOKED` bei `revoked` (Ablehnen), `JPKI_REVOCATION_UNCHECKED` bei `unchecked` (Überprüfung)
Inhaberdaten	Name, Geburtsdatum, Geschlecht und Adresse im Signaturzertifikat stimmen mit den aus dem Foto derselben Karte ausgelesenen Daten überein (`jpki.attributes_match_ocr`, `jpki.mismatched_attributes`).	`JPKI_AND_OCR_DATA_NOT_SAME` (Überprüfung)

Jede Aktion ist eine Einstellung am NFC-Knoten, sodass Sie sie auf Keine Aktion, Überprüfung oder Ablehnen ändern können. Siehe NFC-Warnungen und die NFC-Funktionskonfiguration.

Was ein ungeprüfter Widerrufsstatus bedeutet

revocation_status: "unchecked" bedeutet, dass Didit die Zertifikatskette und die Signatur der Karte verifiziert hat, jedoch keine Rückmeldung darüber erhalten hat, ob ein Zertifikat widerrufen wurde. Ein Zertifikat wird beispielsweise widerrufen, wenn die Karte als verloren gemeldet wird. Da eine widerrufene Karte nicht ausgeschlossen werden kann, wird unchecked niemals als good behandelt. Es löst JPKI_REVOCATION_UNCHECKED aus, wodurch der NFC-Schritt standardmäßig in die manuelle Prüfung gesendet wird. Wählen Sie mit jpki_revocation_unchecked_action ein anderes Ergebnis. Wenn die Zertifikatskette oder die Signatur ungültig ist, fragt Didit den Widerrufsstatus gar nicht erst ab: Der Status bleibt unchecked und es wird nur die Warnung zur Kette oder Signatur ausgelöst.

Inhaberdaten und Datenschutz

Bei aktiviertem jpki_request_attributes enthält die Entscheidung Name, Geburtsdatum, Geschlecht und Adresse des Inhabers aus dem Signaturzertifikat unter jpki.attributes. Bei deaktivierter Option gibt die Person nur die 4-stellige PIN ein: Das Auslesen beweist weiterhin, dass die Person die Karte besitzt und die PIN kennt, enthält jedoch keine Inhaberdaten und wird nicht mit dem Foto der Karte verglichen.
Der NFC-Schritt liest niemals die 12-stellige Individual Number (My Number) der Karte aus dem Chip aus.
Die Entscheidung gibt an, was die Karte bewiesen hat, niemals die Zertifikate selbst, deren Seriennummern oder die Signaturen.

Das vollständige Ergebnis wird im NFC-Verifizierungsbericht beschrieben.

Integrationsbeispiele

iOS-SDK (Jetzt verfügbar)

import DiditSdk

// NFC is automatically enabled when the document supports it
let config = DiditSdk.Configuration(
    // NFC configuration is handled automatically
    // Just ensure your app has the required entitlements
)

let result = try await DiditSdk.shared.startVerification(
    with: sessionId,
    configuration: config
)

Vollständige iOS-SDK-Dokumentation →

Android-SDK (Jetzt verfügbar)

import me.didit.sdk.DiditSdk

// NFC is automatically enabled when the document supports it
DiditSdk.startVerification(
    token = "your-session-token"
) { result ->
    handleResult(result)
}

Android-SDK-Dokumentation →

Sicherheitsarchitektur

┌─────────────────────────────────────────────────────────────┐
│                    NFC Verification Flow                     │
├─────────────────────────────────────────────────────────────┤
│                                                              │
│  ┌──────────┐    ┌──────────┐    ┌──────────────────────┐  │
│  │ Document │───▶│  Phone   │───▶│   Didit Backend      │  │
│  │ NFC Chip │    │ NFC Read │    │                      │  │
│  └──────────┘    └──────────┘    │  ┌────────────────┐  │  │
│                                   │  │ ICAO PKD       │  │  │
│                                   │  │ Validation     │  │  │
│                                   │  └────────────────┘  │  │
│                                   │  ┌────────────────┐  │  │
│                                   │  │ CSCA Master    │  │  │
│                                   │  │ List Check     │  │  │
│                                   │  └────────────────┘  │  │
│                                   │  ┌────────────────┐  │  │
│                                   │  │ CRL Revocation │  │  │
│                                   │  │ Check          │  │  │
│                                   │  └────────────────┘  │  │
│                                   └──────────────────────┘  │
│                                              │               │
│                                              ▼               │
│                                   ┌──────────────────────┐  │
│                                   │  Verification Result │  │
│                                   │  + Confidence Score  │  │
│                                   └──────────────────────┘  │
└─────────────────────────────────────────────────────────────┘

Authentifizierung

Verifizierung

Überwachung

Plattform

NFC-Verifizierungs-API: e-Reisepass & eID-Chip

Wichtigste Vorteile

So aktivieren Sie die NFC-Verifizierung

Native SDK-Integration (empfohlen)

Web-Integration

Funktionsweise

Unterstützte Dokumente

Japan My Number Card (JPKI)

Anforderungen

Was die Person tut

Was Didit prüft

Was ein ungeprüfter Widerrufsstatus bedeutet

Inhaberdaten und Datenschutz

Integrationsbeispiele

iOS-SDK (Jetzt verfügbar)

Android-SDK (Jetzt verfügbar)

Sicherheitsarchitektur

FAQ

​Wichtigste Vorteile

​So aktivieren Sie die NFC-Verifizierung

​Native SDK-Integration (empfohlen)

​Web-Integration

​Funktionsweise

​Unterstützte Dokumente

​Japan My Number Card (JPKI)

​Anforderungen

​Was die Person tut

​Was Didit prüft

​Was ein ungeprüfter Widerrufsstatus bedeutet

​Inhaberdaten und Datenschutz

​Integrationsbeispiele

​iOS-SDK (Jetzt verfügbar)

​Android-SDK (Jetzt verfügbar)

​Sicherheitsarchitektur

​FAQ

Wichtigste Vorteile

So aktivieren Sie die NFC-Verifizierung

Native SDK-Integration (empfohlen)

Web-Integration

Funktionsweise

Unterstützte Dokumente

Japan My Number Card (JPKI)

Anforderungen

Was die Person tut

Was Didit prüft

Was ein ungeprüfter Widerrufsstatus bedeutet

Inhaberdaten und Datenschutz

Integrationsbeispiele

iOS-SDK (Jetzt verfügbar)

Android-SDK (Jetzt verfügbar)

Sicherheitsarchitektur

FAQ