NFC-Passprüfung: Wie Chip-Lesen Dokumentenbetrug vereitelt (DE)

Die NFC-Passprüfung (Near-Field Communication) liest den kryptografisch signierten Chip, der in der Hülle eines modernen Passes eingebettet ist – denselben Chip, den auch E-Gates an Flughäfen verwenden – direkt vom Smartphone eines Benutzers aus. Da der Chip biografische Daten speichert, die mit dem privaten Schlüssel der ausstellenden Regierung signiert sind, kann ein physisch verändertes oder digital geklontes Dokument keine gültige Signatur erzeugen, wodurch es praktisch unmöglich ist, eine NFC-Lesung zu bestehen.

Kamerabasierte Dokumentenprüfungen erkennen viele Betrugsfälle. Chipbasierte Verifizierung erkennt, was Kameras übersehen: hochwertige Fälschungen und manipulierte Originaldokumente, die optisch korrekt aussehen, aber Daten enthalten, die dem vom Chip bestätigten widersprechen.

Wichtigste Erkenntnisse

• Moderne Pässe aus fast jedem Land enthalten einen eMRTD-Chip (electronic Machine-Readable Travel Document), der nach dem ICAO (International Civil Aviation Organization) 9303 Standard definiert ist.
• Der Chip speichert die biografischen Daten und das Foto des Inhabers, signiert mit dem privaten Schlüssel der ausstellenden Regierung – Daten, die nicht verändert werden können, ohne die kryptografische Signatur ungültig zu machen.
• NFC (Near-Field Communication) ermöglicht das Auslesen dieses Chips mit einem modernen Smartphone, ohne spezielle Hardware.
• Passive Authentifizierung – die Überprüfung der digitalen Signatur des Chips mit dem öffentlichen Schlüssel des Ausstellers – ist die zentrale Fälschungsschutzprüfung. Aktive Authentifizierung fügt eine Challenge-Response hinzu, um zu beweisen, dass der Chip original und kein Klon ist.
• Didit NFC-Lesevorgänge kosten 0,15 $ pro Lesevorgang, decken über 14.000 Dokumententypen in über 220 Ländern und Gebieten ab und laufen in derselben Sitzung wie OCR- und biometrische Prüfungen ab.

Was ein eMRTD-Chip enthält

ICAO 9303 definiert die Datenstruktur, der jeder eMRTD-Chip folgen muss. Der primäre Speicher des Chips ist in Logical Data Groups (LDGs) organisiert. Die wichtigsten für die Verifizierung sind:

• LDG 1 – Daten der maschinenlesbaren Zone (MRZ): die gleichen zwei oder drei Zeilen von Zeichen, die am unteren Rand der Biodatenseite gedruckt sind – Name, Dokumentennummer, Nationalität, Geburtsdatum, Ablaufdatum und Prüfziffern.
• LDG 2 – Codiertes Gesichtsbild: das Foto des Inhabers in einem standardisierten JPEG 2000-Format.
• LDG 7 – Angezeigtes Porträt (in einigen Dokumenten verwendet): eine zweite Darstellung des Porträts.
• LDG 15 – Öffentlicher Schlüssel zur aktiven Authentifizierung: wird im Challenge-Response-Schritt verwendet, der beweist, dass der Chip nicht geklont wurde.

Alle diese Gruppen sind digital durch das Document Signer Certificate (DSC) signiert, das selbst von der Country Signing Certificate Authority (CSCA) des ausstellenden Landes signiert ist – einer Vertrauensanker, der pro Land gepflegt und im ICAO Public Key Directory veröffentlicht wird.

Passive Authentifizierung und Aktive Authentifizierung

Passive Authentifizierung ist die grundlegende Prüfung. Der Leser extrahiert die signierten Datengruppen vom Chip, rekonstruiert den Hash und überprüft die digitale Signatur mit dem öffentlichen Schlüssel des ausstellenden Landes. Wenn die Signatur gültig ist, sind die Daten authentisch. Wenn etwas in den Chipdaten geändert wurde – selbst ein einzelnes Zeichen des Namens – schlägt die Signaturprüfung fehl.

Dies ist die Prüfung, die die häufigsten physischen und digitalen Fälschungen vereitelt. Ein Angreifer kann die gedruckte Biodatenseite ändern; er kann die Chipdaten jedoch nicht ohne einen gültigen Signierschlüssel ändern, den nur die ausstellende Regierung besitzt.

Aktive Authentifizierung geht einen Schritt weiter. Der Leser sendet eine zufällige Challenge an den Chip; der Chip antwortet unter Verwendung eines privaten Schlüssels, der in der Hardware gespeichert ist und den Chip niemals verlässt. Dies beweist, dass der Chip original ist – kein Klon, der von einer kompromittierten Lesung kopiert wurde. Die aktive Authentifizierung schützt vor Szenarien, in denen die Chipdaten gelesen und auf eine leere NFC-fähige Karte repliziert wurden.

BAC/PACE (Zugangskontrolle): Vor jeder Datenlesung benötigt der Chip einen Schlüssel, der aus den MRZ-Daten abgeleitet wird – Dokumentennummer, Geburtsdatum und Ablaufdatum –, um entsperrt zu werden. Dies verhindert ein stilles Auslesen; das physische Dokument muss in der Hand sein (oder die MRZ muss bekannt sein), um eine Lesung einzuleiten.

Warum NFC bei hochsicheren Prüfungen besser ist als reine Kameraverifizierung

Kamerabasierte OCR liest die gedruckte Seite. Eine hochwertige Fälschung, die die richtigen Schriftarten, das Layout und das Erscheinungsbild des Hologramms reproduziert, kann eine visuelle Prüfung bestehen. Der Chip ist anders: Er speichert Daten, die durch asymmetrische Kryptografie geschützt sind, die an einen Regierungsschlüssel gebunden ist, auf den kein Fälscher zugreifen kann.

Die Lücke wird bei KI-generiertem Dokumentenbetrug am deutlichsten. Tools, die fotorealistische gefälschte Ausweise generieren, können Dokumente erstellen, die Musterabgleich und visuelle Inspektion überwinden. Sie können jedoch keinen Chip mit einer gültigen, von der Regierung signierten Nutzlast erzeugen, da sie nicht über den Signierschlüssel verfügen.

Für regulierte Branchen – Finanzdienstleistungen, Glücksspiel, Telekommunikation – ist das Sicherheitsniveau entscheidend. Viele Frameworks (z. B. eIDAS 2.0 in Europa) behandeln chipverifizierte Identitäten auf einem deutlich höheren Sicherheitsniveau als eine reine visuelle Inspektion.

OCR-Fallback und Dokumentenabdeckung

Nicht jedes Dokument verfügt über einen NFC-Chip. Führerscheine, ältere Pässe und viele nationale Personalausweise in Schwellenländern enthalten keine eMRTD-Chips. Didits Dokumentenprüfung deckt über 14.000 Dokumententypen in über 220 Ländern und Gebieten ab: Chip-fähige Dokumente erhalten eine NFC-Lesung; alle anderen Dokumente werden durch OCR und Bildintegritätsanalyse verarbeitet.

In der Praxis laufen NFC-Verifizierung und OCR als komplementäre Signale in derselben Sitzung ab. Bei einem Pass mit Chip liest Didit den Chip aus und kreuzvalidiert die Chipdaten mit der gedruckten MRZ – eine Diskrepanz zwischen Chipdaten und gedruckten Daten ist selbst ein starkes Betrugssignal.

Wie Didit hilft

Didit NFC Reading ist ein Modul, das innerhalb einer Verifizierungssitzung aktiviert wird. Es ist keine spezielle Hardware erforderlich: Moderne Android- und iOS-Smartphones verfügen über NFC-Lesegeräte, und das Didit gehostete SDK übernimmt die Interaktion mit dem Chip transparent.

Der Ablauf für einen Benutzer ist einfach: MRZ scannen (Kamera), dann das Telefon an die Passhülle halten (NFC). Didit übernimmt BAC/PACE, liest die Datengruppen aus, führt die passive Authentifizierung durch und optional die aktive Authentifizierung. Das Ergebnis des Chip-Auslesens – einschließlich des extrahierten Namens, Fotos, der Dokumentennummer und des Authentifizierungsergebnisses – fließt in dieselbe Sitzungsentscheidung ein wie die biometrische Lebendigkeitsprüfung.

# Eine Sitzung mit aktiviertem NFC über Ihren konfigurierten Workflow erstellen
curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "your-nfc-workflow-id",
    "vendor_data": "user-4521",
    "callback": "https://your-backend.com/webhook"
  }'

Preis: 0,15 $ pro NFC-Lesevorgang. Kombinieren Sie dies mit ID-Verifizierung (0,15 $) und passiver Lebendigkeitsprüfung (0,10 $) für einen chipverifizierten KYC-Flow für 0,40 $, mit 500 kostenlosen Prüfungen pro Monat und ohne Mindestmengen.

Anwendungsfälle

Hochsichere Finanz-Onboarding – Investmentplattformen, Broker und Private Banking Onboarding, die eine Identitätssicherung über die Standard-KYC hinaus erfordert, profitieren von der Chip-Verifizierung, die die höchsten Sicherheitsstufen unter eIDAS und vergleichbaren Frameworks erfüllt.

Fintech und Neobank KYC in Europa – Die EU-AML-Vorschriften erkennen chipverifizierte Identitäten zunehmend als die stärkste Form der Fernverifizierung an, gleichwertig mit persönlichen Prüfungen.

Compliance von Krypto-Börsen – Börsen, die große Transaktionen abwickeln oder in Hochrisikogebieten tätig sind, nutzen NFC-Lesevorgänge, um das Fälschungsrisiko zu eliminieren, das bei einer reinen Kameraverifizierung bestehen bleibt.

Reise- und Hotel-Vorab-Check – Hotelketten und Fluggesellschaften, die digitale Check-in-Abläufe betreiben, nutzen NFC-Lesevorgänge, um den vom Gast bei der Buchung angegebenen Pass mit dem physischen Dokument beim Check-in abzugleichen, ohne Warteschlangen am Schalter.

Häufig gestellte Fragen

Wie viel kostet NFC Reading?

0,15 $ pro Lesevorgang, mit 500 kostenlosen Prüfungen pro Monat und ohne Mindestmengen.

Welche Pässe und Dokumente unterstützen NFC-Lesung?

Alle ICAO 9303-konformen eMRTD-Dokumente – dazu gehören praktisch alle Pässe, die nach 2006 von den 193 ICAO-Mitgliedstaaten ausgestellt wurden, sowie viele moderne nationale Personalausweise. Didit deckt über 14.000 Dokumententypen ab; ältere Dokumente ohne Chips fallen automatisch auf OCR zurück.

Ersetzt NFC-Lesung OCR?

Nein – sie ergänzen sich gegenseitig. OCR liest die gedruckte Seite; NFC liest den Chip. Eine Diskrepanz zwischen beiden ist selbst ein Betrugssignal. Didit führt beide in derselben Sitzung aus.

Benötigt der Benutzer spezielle Hardware?

Nein. Jedes moderne Smartphone mit NFC-Fähigkeit (Android 4.4+ oder iPhone 7+) kann einen eMRTD-Chip lesen. Das Didit SDK übernimmt die Interaktion im gehosteten Verifizierungsablauf.

Was passiert, wenn das Auslesen des Chips fehlschlägt?

Fehlgeschlagene oder fehlende Chip-Lesungen fallen für den Dokumentschritt auf eine reine OCR-Verarbeitung zurück. Sie können im Workflow Builder konfigurieren, ob ein fehlgeschlagener NFC-Lesevorgang ein Soft-Signal (Sitzung wird fortgesetzt, zur Überprüfung markiert) oder ein Hard-Block ist, je nach Ihren Sicherheitsanforderungen.

Bereit zum Start?

NFC Reading ist ein Modul in Didits zusammensetzbarer Identitätsinfrastruktur – kombinieren Sie es mit passiver Lebendigkeitsprüfung, Face Match 1:1, AML-Screening und mehr in einem einzigen Workflow.

• Dokumentation lesen → docs.didit.me
• In der Plattform ansehen → Produktseite Benutzerverifizierung
• Preis prüfen → Preise – NFC Reading für 0,15 $, 500 kostenlose Prüfungen/Monat
• Kostenlos starten → business.didit.me