DigiLocker-API: So verifizieren Unternehmen Dokumente in Indien

Zuletzt geprüft: 5. Oktober 2026 · Keine Rechtsberatung

DigiLocker ist die Dokumenten-Wallet der indischen Regierung: ein Cloud-Konto, in dem ein Bürger Dokumente aufbewahrt, die Ministerien, Bundesstaaten und Behörden in digitaler Form ausstellen, und aus dem er sie mit seiner Einwilligung teilt.^[1] Für ein Unternehmen liefert eine einzige Weiterleitung einen Namen, ein Geburtsdatum und digital signierte Dokumente wie einen PAN-Datensatz oder einen Führerschein.

Was die DigiLocker API ist

DigiLocker beschreibt sich selbst als sichere Cloud-Plattform zum Speichern, Teilen und Verifizieren von Dokumenten und als Leitinitiative des Ministry of Electronics and IT (MeitY).^[1] Drei Rollen treffen dort aufeinander: Aussteller übermitteln Dokumente an ein Konto, der Nutzer (in den Regeln der „Subscriber“) verwahrt sie, und anfragende Stellen beantragen den Zugriff.^[4][9]

Die Schnittstelle für anfragende Stellen ist die Requester Meri Pehchaan API Specification, Version 2.4 vom September 2026. Meri Pehchaan ist das nationale Single Sign-on von DigiLocker.^[7] Es handelt sich nicht um eine elektronische ID (eID) im europäischen Sinne, sondern um einen einwilligungsbasierten Dokumentenaustausch hinter einer Anmeldung.

Wie viele Menschen DigiLocker nutzen

Die DigiLocker-Startseite zählt 70+ Crore registrierte Nutzer und 900+ Crore ausgestellte Dokumente. Ein Crore entspricht zehn Millionen: also mehr als 700 Millionen Konten und 9 Milliarden Dokumente.^[1]

Die von uns gelesenen Seiten nennen weder einen Anteil an der erwachsenen Bevölkerung noch eine Zahl von Transaktionen anfragender Stellen. Einem registrierten Konto kann zudem das benötigte Dokument fehlen: Ein Dokument lässt sich nicht abrufen, wenn die Datenbank des Ausstellers keinen Eintrag dazu enthält.^[3]

Was der Nutzer sieht

Der erste Schritt ist kein API-Aufruf. Es ist eine DigiLocker-Webseite, auf der sich der Nutzer anmeldet und Ihre Anwendung autorisiert. Danach kehrt er zu Ihrer Weiterleitungsadresse zurück.^[7] Das OTP und die PIN sehen Sie nie.

Nutzer erteilen die Einwilligung pro Dokument oder Scope und können sie jederzeit widerrufen.^[5] Die Spezifikation dokumentiert einen einzigen Ablauf, eine Browser-Weiterleitung. Die Device-Code-Aufrufe für Geräte mit eingeschränkter Eingabe wurden in Version 2.0 (15. September 2022) entfernt. Daher ist keine QR-Übergabe zwischen Geräten dokumentiert.^[7]

Autorisierungscode mit PKCE, danach Dokumentenabrufe.^[7]

Was ein Unternehmen erhält

Was zurückkommt, hängt von den Scopes ab, die der Nutzer freigegeben hat. Die Token-Antwort listet sie auf.^[7]

Felder aus der Spezifikation für anfragende Stellen, Version 2.4.^[7]

Die stabile Kennung ist die DigiLocker ID, keine nationale Nummer. Die Nutzerdaten können ein Bild enthalten. Die Spezifikation listet die Felder des e-Aadhaar-XML nicht auf. Zum Vergleich: Das Offline-XML, das die Unique Identification Authority of India (UIDAI) direkt ausstellt, enthält Name, Geburtsdatum, Geschlecht, Adresse und ein Foto unter der Signatur der UIDAI.^[13]

Die Rechtsgrundlage von DigiLocker

DigiLocker beruht auf den Digital Locker Rules, 2016, erlassen auf Grundlage der Sections 6A, 67C und 87 des Information Technology Act, 2000.^[9] Sie definieren eine anfragende Stelle als jedes Ministerium oder jede Behörde eines Bundesstaates oder der Zentralregierung „oder Körperschaft“, die Zugriff auf die Unterlagen eines Teilnehmers anfordert. Das ist die Tür für private Unternehmen.

Regel 9A(1)Digital Locker Rules, 2016, in der am 8. Februar 2017 geänderten Fassung

„Aussteller können damit beginnen, digital (oder elektronisch) signierte Bescheinigungen oder Dokumente auszustellen, und anfragende Stellen können damit beginnen, solche aus den Digital-Locker-Konten der Nutzer geteilten Bescheinigungen oder Dokumente anzunehmen, gleichrangig mit den physischen Dokumenten und nach Maßgabe der Bestimmungen des Gesetzes und der dazu erlassenen Regeln.“

Quelle: Digital Locker Rules and Amendment, G.S.R. 711(E) und G.S.R. 111(E)^[9]

Die Regel erlaubt anfragenden Stellen die Annahme. Sie verpflichtet sie nicht dazu.^[9]

Erfüllt DigiLocker die AML-Sorgfaltspflichten gegenüber Kunden

Für meldepflichtige Stellen nach dem Prevention of Money-laundering Act steht die Antwort in den Maintenance of Records Rules, 2005 (den PML Rules). Diese nennen den Digital Locker in einer Begriffsbestimmung.

Regel 2(1)(cb)Prevention of Money-laundering (Maintenance of Records) Rules, 2005

„‚gleichwertiges E-Dokument‘ bezeichnet ein elektronisches Äquivalent eines Dokuments, das von der ausstellenden Behörde dieses Dokuments mit ihrer gültigen digitalen Signatur ausgestellt wurde, einschließlich Dokumenten, die gemäß Regel 9 der Information Technology (Preservation and Retention of Information by Intermediaries Providing Digital Locker Facilities) Rules, 2016 an das Digital-Locker-Konto des Kunden ausgestellt wurden;“

Quelle: PML (Maintenance of Records) Rules, 2005, Financial Intelligence Unit India^[10]

Nach Regel 9(4) kann ein Kunde, der eine natürliche Person ist, ein amtlich gültiges Dokument „oder das gleichwertige E-Dokument davon“ vorlegen. Derselbe Wortlaut gilt für die Permanent Account Number (PAN). Regel 9(15)(c) legt die Bedingung fest: Die meldepflichtige Stelle „muss die digitale Signatur überprüfen“ und „ein Live-Foto aufnehmen“, wie in Anlage 1 festgelegt.^[10] Ein DigiLocker-Dokument ist also ein anerkanntes Identitätsdokument, aber keine vollständige Akte zur Erfüllung der Sorgfaltspflichten.

Die Reserve Bank of India (RBI) führt DigiLocker in ihren Know Your Customer (KYC) FAQ vom 9. Juni 2025 unter den digitalen Kanälen für das Onboarding ohne persönliche Anwesenheit auf.^[11]

Wie ein Unternehmen sich an die DigiLocker-API anbindet

Es gibt keine Lizenzklasse wie bei der Aadhaar-Authentifizierung, die unser Leitfaden zu Aadhaar eKYC behandelt. Ein Unternehmen registriert sich als anfragende Stelle, und NeGD entscheidet.

Aus dem Partner-Onboarding-Verfahren vom 5. Juni 2024.^[6]

Die Zugangsdaten stammen aus dem staatlichen Partnerportal API Setu.^[5][8] Drei Dinge sind in den von uns gelesenen Dokumenten nicht veröffentlicht: eine Gebührenordnung, eine Bearbeitungsdauer für das Onboarding und eine Sandbox. Der Ausschuss tagt wöchentlich, „keine Anfragen auf vorübergehenden Zugang zu Testzwecken“ werden berücksichtigt, und laut Partner-FAQ gibt es keine separate Testumgebung.^[6][8]

Die DigiLocker-Prüfung eines Anbieters ist der zweite Weg. Wir haben keine öffentliche Regel zur Unterlizenzierung des Zugangs für anfragende Stellen gefunden. Fragen Sie daher jeden Anbieter schriftlich, wie sein Zugang für Ihren Anwendungsfall genehmigt ist. Siehe auch was eID-Verifizierung ist und die eID-Systeme nach Land.

Anwendungsfälle und Branchenregeln

DigiLocker nennt Banken, Behörden und Bildungseinrichtungen als typische anfragende Stellen.^[5]

• KYC- und AML-Onboarding: Ein ausgestelltes Dokument ist ein gleichwertiges E-Dokument im Sinne der PML Rules.^[10]
• Führerscheinprüfungen: Das Ministerium für Straßenverkehr hat DigiLocker am 8. August 2018 für digitale Führerscheine und Zulassungsbescheinigungen anerkannt.^[3]
• Altersprüfungen: Die Nutzerdaten enthalten ein Geburtsdatum.^[7] Laut dpdpa.com erlaubt Rule 10 der Digital Personal Data Protection Rules 2025 für die elterliche Einwilligung ein virtuelles Token, das Altersangaben zugeordnet ist, zum Beispiel über DigiLocker.
• Signieren: Hochgeladene Dokumente können mit der eSign-Funktion digital signiert werden.^[7]

In diesen Quellen haben wir keine DigiLocker-spezifische Regel für Glücksspiel oder Telekommunikation gefunden. Der Aadhaar and Other Laws (Amendment) Act, 2019 erlaubt die freiwillige Nutzung von Aadhaar für SIM-Karten und das KYC bei Banken. Das betrifft aber Aadhaar, nicht DigiLocker.^[14]

Grenzen und Ausweichlösungen

DigiLocker ist weit verbreitet, aber nicht universell.

• Nicht Ansässige und Ausländer. Für die Anmeldung ist eine Mobilnummer oder eine Aadhaar-Nummer nötig, und die Registrierung akzeptiert nur eine indische Mobilnummer. Ein nicht ansässiger Inder mit einer ausländischen Nummer kann sich daher nicht anmelden.^[3]
• Minderjährige. Ein Mindestalter ist nicht angegeben. Schülerkonten wurden aus Mobilnummern erstellt, die die Schulbehörde übermittelt hat. Gehen Sie daher nicht davon aus, dass der Inhaber volljährig ist.^[3]
• Fehlende Dokumente. Ist der Datensatz nicht in der Datenbank des Ausstellers vorhanden, kann das Dokument nicht abgerufen werden.^[3]
• Ausfälle. Die FAQ räumt verzögerte OTPs und den Fehler „UID service temporarily unavailable“ ein.^[3]
• Datenschutz. Das Aadhaar-PDF wird aufgrund von Datenschutzvorschriften zurückgehalten, und es gelten Ratenbegrenzungen ohne veröffentlichte Werte.^[3][8]

Zur Sicherheit nennt DigiLocker Verschlüsselung bei der Übertragung, Mehr-Faktor-Anmeldung, nach ISO 27001 zertifiziertes Hosting und Audits durch von CERT-In zugelassene Stellen.^[3] Die Alternative für alle anderen ist der Dokumentenweg: Erfassung eines Reisepasses oder nationalen Ausweises, Auslesen des Near-Field-Communication-Chips (NFC), sofern das Dokument einen hat, eine Lebenderkennung und ein Gesichtsabgleich.

Zuerst DigiLocker, für alle anderen ein Dokument.

Checkliste für die DigiLocker-Integration

• Stellen Sie sicher, dass Ihr Unternehmen in Indien registriert ist und auf einem Server in Indien hosten kann.^[6][8]
• Beschreiben Sie den Anwendungsfall genau so, wie Sie ihn umsetzen werden; „Abweichungen sind nicht zulässig“.
• Beschaffen Sie eine digitale Signatur für die Organisation.^[6]
• Registrieren Sie sich im Partnerportal von API Setu und hinterlegen Sie die exakte Weiterleitungsadresse.^[5][8]
• Erzeugen Sie für jede Autorisierungsanfrage einen neuen PKCE Code Verifier.^[7][8]
• Fordern Sie nur die Dokumenttypen an, die Sie benötigen.^[7]
• Vergleichen Sie den HMAC jeder heruntergeladenen Datei mit dem Wert im Header.
• Speichern Sie höchstens die DigiLocker-ID und die letzten vier Ziffern der Aadhaar-Nummer, niemals die vollständige Nummer.^[8][14]
• Bauen Sie den Dokument-Fallback vor dem Start.

Wie Didit bei der Verifizierung mit DigiLocker und eID hilft

Didit ergänzt DigiLocker auf Anfrage. In Indien setzt Didit heute auf den Dokumentenweg: Ausweisprüfung indischer und ausländischer Dokumente, Auslesen des NFC-Chips, wenn das Dokument einen Chip hat, Lebenderkennung und Gesichtsabgleich, dazu AML-Screening. Ein vollständiger KYC-Check kostet $0.33, AML-Screening $0.20 und NFC-Verifizierung $0.15.

Dieser Weg deckt auch Nichtansässige und Ausländer ab. Für die eIDs, die Didit in Europa betreibt, zeigt die Dokumentation, welche Daten in der Sitzung ankommen.^[15] Unser Beitrag zur Aadhaar-Datenbankvalidierung behandelt die Prüfung der Nummer.

Häufig gestellte Fragen

Quellen

1. DigiLocker-Startseite, National e-Governance Division, Nutzer- und Dokumentenzähler abgerufen im Oktober 2026.
2. Über DigiLocker, National e-Governance Division.
3. Häufig gestellte Fragen zu DigiLocker, National e-Governance Division.
4. DigiLocker Partner Integration, Einführung, National e-Governance Division.
5. DigiLocker Partner Integration, Requester, National e-Governance Division.
6. Partner Organisation Onboarding Standard Operating Procedure for DigiLocker, NeGD, 5. Juni 2024.
7. Requester Meri Pehchaan API Specification, Version 2.4, NeGD, September 2026.
8. FAQs during video conference with entities, partners and organisations, DigiLocker, Stand: 24. März 2025.
9. Digital Locker Rules, 2016 (G.S.R. 711(E)) und Amendment Rules, 2017 (G.S.R. 111(E)), Gazette of India.
10. Prevention of Money-laundering (Maintenance of Records) Rules, 2005, Financial Intelligence Unit India.
11. FAQ zur Master Direction on KYC, Reserve Bank of India, 9. Juni 2025.
12. Digital Wallet Interoperability Framework with Global Sovereign Nations, Konzeptpapier, veröffentlicht auf digilocker.gov.in, 29. Juli 2026.
13. Aadhaar Paperless Offline e-KYC, Unique Identification Authority of India.
14. Aadhaar and Other Laws (Amendment) Act, 2019, Gazette of India.
15. Digitale ID-Wallets, Didit-Dokumentation.

Vergleichen Sie DigiLocker mit anderen nationalen Systemen auf der Seite zur eID-Verifizierung.