Smart-ID API: Entwicklerleitfaden zur RP API v3

Zuletzt geprüft: 5. Oktober 2026 · Keine Rechtsberatung

Dies ist der codeorientierte Leitfaden zur Smart-ID API: Endpunkte, Sessions, Prüfung der Antworten, Tests in der Demo-Umgebung und rechtliche Stellung. Verträge und AML-Vorschriften nach Land finden Sie in unserem Leitfaden zur Smart-ID-Integration.

Smart-ID im Überblick

Smart-ID ist eine mobile App von SK ID Solutions AS. Über die Relying Party API von SK nutzt ein Dienst sie, um einen Nutzer anzumelden oder eine Signatur einzuholen.^[13] Ein Teil jedes Schlüssels liegt auf dem Server von SK. Die estnische Behörde für Informationssysteme (RIA) nennt dies den „Smart-ID-Serverdienst für die Schlüsselverwaltung“.^[4]

Verbreitung: Nutzer und Transaktionen

Litauen ist mit 1,857,471 Nutzern der größte Smart-ID-Markt, gefolgt von Lettland mit 1,198,463 und Estland mit 797,395, laut dem Live-Zähler auf smart-id.com vom 5. Oktober 2026.^[1] SK meldet „fast 100 Millionen Transaktionen pro Monat“.^[2]

In Estland hat Smart-ID laut ERR News „einen Marktanteil von fast 60 Prozent“ bei den Authentifizierungen. Der Zähler nennt nur Gesamtzahlen. Keine Primärquelle gibt den Anteil von Smart-ID an den Erwachsenen der einzelnen Länder an (5. Oktober 2026).

Was der Nutzer sieht

Die RP API v3 erreicht die App auf drei Wegen: über einen dynamischen QR-Code geräteübergreifend, über einen Web2App- oder App2App-Link auf demselben Telefon oder über eine Push-Benachrichtigung.^[12] SK vermarktet das QR- und App-to-App-Erlebnis als Smart-ID+, das „nicht mehr auf die Eingabe Ihres persönlichen ID-Codes auf einer Website angewiesen ist“.^[8]

So funktioniert die Smart-ID API v3

Die API ist REST über HTTPS mit JSON in UTF-8.^[19] Vier POST-Endpunktfamilien eröffnen eine Sitzung und geben eine sessionID zurück; ein GET liefert das Ergebnis.^[13]

Die Endpunktfamilien der RP API v3, laut der Übersicht von SK.^[13]

Vereinfachte geräteübergreifende Anmeldung mit einem Gerätelink.^[12][18]

Fallstricke:

• Jede initiale v3-Anfrage enthält eine zufällige rpChallenge, die Sie erzeugen; sie hat die v2-nonce zum Schutz vor Replay-Angriffen ersetzt.^[20]
• Das sessionSecret darf nie Ihr Frontend erreichen, und ein Ablauf erhält genau eine Sitzungsanfrage, auch wenn Sie QR-Code und Link gleichzeitig anzeigen.^[18]
• Bei Benachrichtigungsabläufen berechnen Sie den vierstelligen Code aus dem SHA-256-Hash von rpChallenge.^[17]
• SK authentifiziert Sie anhand der Quell-IP-Adresse und der relyingPartyUUID und verlangt HTTPS-Key-Pinning.^[19]
• Laut der Dokumentation von SK erhält ein Nutzer ohne Konto HTTP 404, und SK bittet Sie, zum Schutz vor Enumeration für alle Fehlerfälle dieselbe Meldung anzuzeigen.^[19]

Was ein Unternehmen von der Smart-ID API erhält

Eine abgeschlossene Sitzung liefert state, result.endResult, das Zertifikat des Nutzers in cert und ein signature-Objekt. Das Feld serialNumber des Subjects enthält den Identitätscode, zum Beispiel PNOEE-30001010004; das Präfix gibt das Land an.^[15]

Die Antwortprüfung von SK verlangt von Ihnen:^[15]

• Prüfen Sie, dass state den Wert COMPLETE hat, endResult den Wert OK und das Protokoll ACSP_V2 (Login) oder RAW_DIGEST_SIGNATURE ist.
• Validieren Sie die Kette ausschließlich gegen die CAs von SK, mit OCSP oder CRL.
• Verlangen Sie jede Smart-ID-Policy-Kennung, damit andere SK-Zertifikate die Prüfung nicht bestehen.
• Vergleichen Sie certificateLevel mit der von Ihnen geforderten Stufe.
• Bauen Sie die signierte Nutzlast neu auf und prüfen Sie die Signatur.
• Prüfen Sie in Same-Device-Abläufen die Werte der Callback-URL.

Vertrauensniveau und rechtliche Stellung

Smart-ID steht nicht auf der EU-Liste der notifizierten eID-Systeme; das notifizierte System Estlands (hoch, 7. November 2018) umfasst den Personalausweis und Mobile-ID.^[6]

Vorbehalt: E-Residents „sind von Einwohnern nicht unterscheidbar“.^[5]

Estnische Sorgfaltspflichten gegenüber Kunden nach Geldwäscherecht

Das estnische Gesetz über die Verhinderung von Geldwäsche und Terrorismusfinanzierung (RahaPTS) regelt die Fernwege in § 31(3).^[23]

§ 31(3)RahaPTS (Estland)

"1) e-identimise süsteemi, millest on teatatud ... (EL) nr 910/2014 ... artikli 9 kohaselt ja mis vastab ... artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemele" oder "2) kvalifitseeritud usaldusteenust"

Quelle: Riigi Teataja, RahaPTS^[23]

Auf Deutsch: ein notifiziertes eID-System auf dem Vertrauensniveau substanziell oder hoch oder ein qualifizierter Vertrauensdienst. Weg 1 passt nicht. Ob die qualifizierten Zertifikate von Smart-ID unter Weg 2 fallen, ist mit Stand 5. Oktober 2026 nicht offiziell geklärt. Fragen Sie daher die Finantsinspektsioon oder Ihre Rechtsberatung. Das litauische Geldwäschegesetz (Art. 11) und die lettische Kabinettsverordnung Nr. 392 (Ziff. 7.1) nennen eine qualifizierte oder sichere elektronische Signatur als einen von mehreren Fernwegen.^[28][29]

Ab 2027: AMLR Artikel 22(6)

Die Geldwäscheverordnung (AMLR) gilt ab dem 10. Juli 2027. Artikel 22(6)(b) akzeptiert „elektronische Identifizierungsmittel, die die Anforderungen der Verordnung (EU) Nr. 910/2014 in Bezug auf die Vertrauensniveaus ‚substanziell‘ oder ‚hoch‘ erfüllen, sowie einschlägige qualifizierte Vertrauensdienste“.^[30] Die finalen Entwürfe technischer Standards der Behörde zur Bekämpfung der Geldwäsche (AMLA) vom 30. September 2026, noch nicht geltendes Recht, akzeptieren eID auf dem Vertrauensniveau substanziell oder hoch, „unabhängig davon, ob sie nach Artikel 9 notifiziert sind“.^[31] Unsere Seite zur EUDI-Wallet behandelt den Zeitplan von eIDAS 2.

So bindet sich ein Unternehmen an: direkter RP-Vertrag oder Broker

Der Ablauf bei SK: kostenlos und ohne Vereinbarung testen, Sicherheitsmaßnahmen wählen, IP-Adressen und Dienstnamen übermitteln, unterzeichnen, RP UUID erhalten, live gehen „innerhalb weniger Tage nach Ihrer ersten Anfrage“.^[21] Zertifizierte Broker vertreiben Smart-ID ebenfalls weiter, und estnische öffentliche Stellen können das TARA-Gateway der RIA nutzen.^[5]

Drei Wege zu Smart-ID.^[21][5]

Die Preisliste von SK (ab 1. Juni 2026) rechnet jede „Smart-ID-Authentifizierungs- oder Signaturanfrage“ ab: €0.109 bei einem monatlichen Mindestbetrag von €60, bis hinunter zu €0.0106 im 3-Millionen-Tarif, und eine individuelle Vereinbarung ab über 5 Millionen.^[11] SK erklärt, dass Smart-ID+ für bestehende vertrauende Beteiligte „keine zusätzlichen Kosten“ verursacht.^[7]

Tests in der Demo-Umgebung

Demo: https://sid.demo.sk.ee/smart-id-rp/v3/, relyingPartyUUID 00000000-0000-4000-8000-000000000000, Name DEMO. Live: https://rp-api.smart-id.com/v3/.^[14] Testkonten nach Ergebnis:^[16]

Anwendungsfälle und Branchenregeln

• KYC- und AML-Onboarding. Signierter Name und Personenkennziffer; die Eignung für AML ist je nach Land unterschiedlich.^[23][28][29]
• Glücksspiel und Alter. Das estnische Glücksspielgesetz schließt Personen unter 21 Jahren von Glücksspielen aus (§ 34(2)) und verpflichtet Online-Anbieter, jeden Spieler zu verifizieren und die Personenkennziffer zu registrieren (§ 53(1)).^[24] In der API fanden wir keine reine Altersangabe.
• Signieren. Qualifizierte Konten signieren über v3/signature; „4 von 10 Litauern nutzten 2025 eine qualifizierte elektronische Signatur“.^[13][33]
• Telekommunikation. Keine baltische Vorschrift nennt Smart-ID für die SIM-Registrierung (5. Oktober 2026).

Grenzen und Fallbacks

„In Estland und Lettland ist Smart-ID derzeit auf Personen mit estnischer oder lettischer nationaler Identifikationsnummer beschränkt“; Nichtansässige in Litauen können Smart-ID Basic bei zwei Banken erhalten.^[22] Smart-ID hat keine Altersgrenze, die Registrierungswege aber schon (lettischer Personalausweis ab 14). Konten von Personen unter 18 Jahren brauchen die Zustimmung der Eltern.^[32]

Mit Stand 5. Oktober 2026 fanden wir keinen dokumentierten Ausfall; das Risiko ist Phishing. Laut ERR News wurden 2025 durch PIN-Betrug fast 23 Millionen € von estnischen Bankkonten gestohlen. Seit dem 29. April 2026 liest die estnische Registrierung den Personalausweis per NFC statt über ein Kartenlesegerät.^[34]

Zuerst eID, Dokument als Fallback; dokumentieren Sie, warum jeder Fallback nötig war.^[31]

Checkliste für die Implementierung der Smart-ID API

Entwickeln Sie zuerst auf der kostenlosen Demo von SK. So kann der Vertrag warten, bis Ihr Code funktioniert.^[21] Die Verifizierung der Antworten ist der Kern der Arbeit.^[15]

• Entwickeln Sie gegen die Demo-URL und die veröffentlichten Testkonten.^[14][16]
• Bevorzugen Sie Device-Link-Abläufe; erlauben Sie Benachrichtigungen nur auf bekannten Geräten.^[13]
• Erzeugen Sie für jede Anmeldung eine neue zufällige rpChallenge.^[20]
• Pinnen Sie den HTTPS-Schlüssel von SK und behalten Sie sessionSecret auf dem Server.^[19][18]
• Führen Sie jeden Schritt der Antwortverifizierung von SK aus.^[15]
• Senden Sie SK Ihre IP-Adressen und den Dienstnamen, dann unterschreiben Sie.^[21]
• Halten Sie für jedes Land Ihre Rechtsgrundlage für die AML-Nutzung schriftlich fest.^[23]
• Bieten Sie Nutzern ohne Smart-ID einen Dokumentenweg an.

Wie Didit bei Smart-ID hilft

Smart-ID ist bei Didit für die eID-Verifizierung in Estland, Lettland, Litauen und Belgien live. Didit hält die Anbindung an SK. Sie brauchen also keinen RP-Vertrag, keine IP-Allowlist und keinen Zertifikatscode.

Gehen Sie in der Konsole zu Workflows, zum Schritt ID Verification und zu Countries, wählen Sie das Land und setzen Sie unter "Wallets accepted" den Haken bei Smart-ID. Per API setzen Sie methods.EST.wallet, erstellen eine Sitzung und lesen GET /v3/session/{id}/decision/ oder den Webhook: verification_method ist "wallet" mit einem Objekt wallet_verification, laut der Dokumentation zu digitalen ID-Wallets.^[35] Der Nutzer bestätigt in der Smart-ID-App einen Vergleichscode. Didit fragt nie nach der PIN.

Sie erhalten den vollständigen Namen, das Geburtsdatum, die baltische Personenkennziffer, das Vertrauensniveau (als „High“ ausgewiesen) und eine Signaturprüfung, aber keine Adresse und kein Porträtfoto. Nutzer ohne Smart-ID weichen auf die Dokumentenprüfung mit NFC-Chip-Auslesung ($0.15), Liveness-Prüfung und Gesichtsabgleich aus. Das vollständige KYC kostet $0.33, das AML-Screening $0.20. Abgerechnet werden nur abgeschlossene eID-Anmeldungen. Eine abgeschlossene Smart-ID-Verifizierung kostet $0.20 (Preisseite), alle eIDs finden Sie auf der Seite zu digitalen ID-Wallets.

Häufig gestellte Fragen

Quellen

1. Smart-ID-Startseite, Live-Nutzerzähler, SK ID Solutions, abgerufen am 5. Oktober 2026.
2. 2025: Digitales Vertrauen über Grenzen hinweg voranbringen, SK ID Solutions, 19. Januar 2026.
3. Vertrauen und Wettbewerb bei digitaler Identität in Europa, e-Estonia, 2026.
4. Elektronische Identität (eID), Behörde für Informationssysteme (RIA).
5. Technische Spezifikation von TARA, RIA.
6. Übersicht der vorab notifizierten und notifizierten eID-Systeme nach eIDAS, Europäische Kommission, abgerufen am 5. Oktober 2026.
7. Smart-ID+, SK ID Solutions.
8. Wie schützt mich das neue Smart-ID vor Betrug, Smart-ID FAQ.
9. Estlands Regierung führt Smart-ID+ zur Stärkung der Sicherheit ein, SK ID Solutions, 28. Januar 2026.
10. Warum sehe ich manchmal einen Bestätigungscode und manchmal drei, Smart-ID FAQ.
11. Preisliste, SK ID Solutions, gültig ab 1. Juni 2026.
12. Relying Party API: Einführung, SK ID Solutions, Version 3.2.3.
13. Relying Party API: Übersicht der API-Endpunkte, SK ID Solutions.
14. Technische Parameter der Umgebungen, SK ID Solutions.
15. Relying Party API: Prüfung der Antwort, SK ID Solutions.
16. Testkonten für automatisierte Tests, SK ID Solutions.
17. Relying Party API: benachrichtigungsbasierte Abläufe, SK ID Solutions.
18. Relying Party API: Device-Link-Abläufe, SK ID Solutions.
19. Relying Party API: technische Beschreibung der API, SK ID Solutions.
20. Relying Party API: Änderungsprotokoll, SK ID Solutions.
21. Integrationsprozess für Anbieter elektronischer Dienste, Smart-ID.
22. Können Ausländer und Gebietsfremde Smart-ID nutzen, Smart-ID FAQ.
23. Rahapesu ja terrorismi rahastamise tõkestamise seadus (RahaPTS), § 31, Riigi Teataja.
24. Hasartmänguseadus (Glücksspielgesetz), Riigi Teataja.
25. Elektroniskā identifikācija, Verteidigungsministerium Lettlands.
26. Smart-ID hat in Lettland den lokalen qualifizierten Status für die Authentifizierung erhalten, SK ID Solutions, 29. Mai 2023.
27. Smart-ID und Mobile-ID in Litauen als staatlich zugelassene Instrumente anerkannt, SK ID Solutions, 19. Dezember 2024.
28. Gesetz über die Verhinderung von Geldwäsche und Terrorismusfinanzierung, Art. 11, Litauen, konsolidierte Fassung INFOLEX.
29. Kabinettsverordnung Nr. 392, Lettland, likumi.lv.
30. Verordnung (EU) 2024/1624 (AMLR), EUR-Lex, Amtsblatt vom 19. Juni 2024.
31. Abschlussbericht, Entwurf der RTS gemäß Artikel 28(1) AMLR, AMLA, 30. September 2026.
32. Altersbeschränkungen für die Nutzung von Smart-ID, Smart-ID FAQ.
33. SK ID Solutions hat 2025 in Litauen fast drei Millionen Zertifikate ausgestellt, SK ID Solutions, 7. Mai 2026.
34. Smart-ID-Registrierung mit dem estnischen Personalausweis jetzt über NFC verfügbar, Smart-ID, 29. April 2026.
35. Digitale ID-Wallets, Didit-Dokumentation.
36. Relying Party API: Interaktionen, SK ID Solutions.

Smart-ID ist eine von fünf eIDs, die in Didits eID-Verifizierung live sind. Siehe auch was eID-Verifizierung ist und den Leitfaden zur BankID Sweden API.