NFC-Identitätsprüfung liest den Chip eines elektronischen Ausweises oder Reisepasses mit dem Smartphone aus, prüft dessen Echtheit kryptografisch nach ICAO 9303 und gleicht das Chipfoto per Lebenderkennung mit dem Gesicht der Person ab. So entsteht eine Fernidentifizierung, die deutlich schwerer zu fälschen ist als ein Foto des Ausweises. 360 Soft Marketing Yazılım ve Danışmanlık integriert NFC-Lesen, Chipvalidierung, Lebenderkennung und Compliance-Panel in Ihre App und Ihre Backend-Systeme – als Teil einer KYC/AML-Software oder als eigenständiges Modul. Hier finden Sie Ablauf, Technik, regulatorischen Rahmen, Module, Lieferformen, Einführungsschritte, KPIs, Aufwandsfaktoren und häufige Fragen.
So funktioniert der Ablauf
- 1. MRZ erfassen: Die Kamera liest die maschinenlesbare Zone; daraus wird der Zugangsschlüssel für den Chip abgeleitet.
- 2. Chip auslesen: Das Smartphone baut per NFC eine verschlüsselte Verbindung auf (BAC bzw. PACE) und liest Personendaten und Chipfoto.
- 3. Chip validieren: Passive Authentifizierung prüft die Signatur des Ausstellerstaats; Chip- oder Active Authentication erkennt geklonte Chips.
- 4. Lebenderkennung und Gesichtsabgleich: Ein Selfie-Video wird gegen Präsentationsangriffe geprüft und mit dem Chipfoto verglichen.
- 5. Risikoprüfung: Gerätesignale, Sanktions- und PEP-Screening sowie Risikoscoring laufen im Hintergrund.
- 6. Entscheidung: Automatische Freigabe, manuelle Prüfung oder Übergabe an ein Video-Ident-Gespräch – mit vollständigem Prüfpfad.
Technische Basis: ICAO 9303 und Chipsicherheit
ICAO 9303 ist der internationale Standard für maschinenlesbare Reisedokumente. Er legt fest, wie Daten auf dem Chip gespeichert, geschützt und signiert werden. Entscheidend für die Sicherheit ist die serverseitige Validierung: Die Signaturkette wird gegen die Zertifikate der Ausstellerstaaten (CSCA, über Masterlisten) geprüft – nicht nur in der App. Erst diese Prüfung belegt, dass die Daten unverändert vom Staat stammen.
Einsatzbereiche
- Kontoeröffnung bei Banken, Zahlungs- und E-Geld-Instituten
- Onboarding bei Kryptoplattformen und Wertpapierfirmen
- Vertragsabschluss bei Versicherungen, Telekommunikation und Mobilität
- Altersverifikation und Zugang zu regulierten Diensten
- Identitätsprüfung von Mitarbeitenden und Partnern
Regulatorischer Rahmen der Fernidentifizierung
In der Türkei regeln verschiedene Aufsichten die Fernidentifizierung je nach Sektor: für Banken die BDDK-Verordnung zur Fernidentifizierung und zum elektronischen Vertragsabschluss (u. a. Video-Gespräch, Prüfung der Sicherheitsmerkmale, NFC-Validierung des Chips), für Zahlungs- und E-Geld-Institute die Zentralbank TCMB, für Kapitalmarkt- und Kryptodienstleister die SPK; die Geldwäschepflichten nach Gesetz Nr. 5549 und MASAK gelten übergreifend. Im DACH-Raum gelten die lokalen Vorgaben, etwa GwG und BaFin-Rundschreiben zu Video- und Auto-Ident, das österreichische FM-GwG mit der Online-Identifikationsverordnung oder FINMA-Rundschreiben in der Schweiz; im EU-Kontext zusätzlich eIDAS. Welche Kombination aus NFC, Lebenderkennung und Video-Ident zulässig ist, legt Ihre Compliance-Funktion fest – die Software bildet die jeweiligen Schritte konfigurierbar ab.
Module und Leistungsumfang
| Modul | Inhalt |
|---|---|
| Mobile SDK | MRZ-Erkennung, NFC-Lesen, Lebenderkennung, Gesichtsabgleich für iOS und Android, als native Komponente oder in Flutter/React Native |
| Serverseitige Validierung | Passive und aktive Authentifizierung, Prüfung gegen CSCA-Masterlisten, Plausibilitätsregeln |
| Compliance-Panel | Fallübersicht, manuelle Prüfung, Vier-Augen-Freigabe, Prüfpfad, Export |
| Video-Ident-Anbindung | Übergabe an Agenten mit Sitzungsdaten, Aufzeichnung und Checklisten |
| Integrationen | Kernbanken, CRM, AML-Screening, Signaturdienste, Webhooks |
| Reporting | Abschlussquoten, Fehlerursachen, Gerätestatistik, Betrugsversuche |
Technische Merkmale
- Unterstützung von Personalausweisen und Reisepässen mit ICAO-konformem Chip
- BAC und PACE, Chip Authentication und Active Authentication
- Erkennung von Emulatoren, Root/Jailbreak und manipulierten Kameras
- Verschlüsselte Übertragung, kurze Speicherfristen für biometrische Rohdaten
- Konfigurierbare Schwellenwerte für Gesichtsabgleich und Lebenderkennung
Nutzererlebnis: Was die Abschlussquote bestimmt
Die meisten Abbrüche entstehen nicht durch Technik, sondern durch Unsicherheit. Hilfreich sind eine Animation, wo die NFC-Antenne des jeweiligen Telefons sitzt, klare Hinweise zur Ausweisposition, automatische Wiederholung bei Verbindungsabbruch, verständliche Fehlermeldungen und ein Ausweichweg (Video-Ident oder Filiale) für Geräte ohne NFC. Jeder Schritt wird gemessen, damit Engpässe sichtbar werden.
Lieferformen
| Modell | Inhalt | Geeignet für |
|---|---|---|
| Projekt (Werkvertrag) | Integration von SDK, Backend-Validierung und Panel mit definiertem Ergebnis | Institute mit klarem Umfang und Termin |
| Individuelle Entwicklung | Eigene Komponenten ohne Lizenzbindung an Drittanbieter | Anbieter mit hohem Volumen oder besonderen Anforderungen |
| Managed Service (Dienstvertrag) | Pflege der Zertifikatslisten, Anpassung von Modellen und Regeln, Monitoring und Support | Teams, die den Betrieb auslagern wollen |
| Teamverstärkung | Mobile-, Backend- oder Security-Spezialisten für Ihr Team | Teams mit Kapazitätsengpass |
Einführungsschritte und typische Dauer
| Schritt | Inhalt | Typische Dauer |
|---|---|---|
| 1. Anforderungs- und Regelanalyse | Lizenztyp, Pflichtschritte, Limits, Aufbewahrungsfristen | 1–3 Wochen |
| 2. Flow-Design | Screens, Fehlerfälle, Übergänge zu manueller Prüfung und Video-Ident | 1–2 Wochen |
| 3. Mobile Integration | MRZ, NFC, Lebenderkennung, Gesichtsabgleich | 3–6 Wochen |
| 4. Backend-Validierung und Panel | Chipvalidierung, Risikoscoring, Compliance-Panel, Prüfpfad | 3–6 Wochen |
| 5. Integrationen | Kernbanken, CRM, AML- und Identitätsdienste | 2–6 Wochen |
| 6. Test | Gerätematrix, gefälschte Dokumente, Präsentationsangriffe, Penetrationstest | 2–4 Wochen |
| 7. Stufenweiser Rollout | Start mit begrenzter Nutzergruppe, Messung, Optimierung | 2–4 Wochen |
SLA- und KPI-Beispiele
| Kennzahl | Bedeutung |
|---|---|
| Abschlussquote | Anteil der begonnenen Identifizierungen, die erfolgreich enden |
| NFC-Leseerfolg | Anteil erfolgreicher Chiplesungen beim ersten Versuch |
| Durchlaufzeit | Dauer vom Start bis zur Entscheidung |
| Anteil manueller Prüfungen | Fälle, die nicht automatisch entschieden werden |
| Erkannte Angriffe | Abgewehrte Präsentations- und Manipulationsversuche |
| Verfügbarkeit | Erreichbarkeit der Backend-Dienste gemäß SLA |
Zielwerte werden projektbezogen gemeinsam festgelegt; sie hängen stark von Zielgruppe und Gerätelandschaft ab.
Faktoren, die den Aufwand bestimmen
- Unterstützte Dokumenttypen und Länder
- Eigenentwicklung oder Lizenz-SDK eines Drittanbieters (Kosten pro Prüfung)
- Zahl der Integrationen in Kern- und Drittsysteme
- Video-Ident-Anteil und Betrieb eines Agententeams
- Hosting: On-Premises, Private Cloud oder Managed Service
- Anforderungen an Penetrationstests und Zertifizierungen Ihrer Aufsicht
Eigenes Team, Freelancer oder Outsourcing
| Kriterium | Eigenes Team | Freelancer | 360 Soft |
|---|---|---|---|
| Startzeit | Monate für Recruiting | Schnell, aber einzeln | Typisch 1–2 Wochen |
| Kontinuität | Hoch, wenn Personal bleibt | Risiko bei Ausfall | Geregelter Ersatzprozess |
| Skalierung | Langsam | Begrenzt | Teams von 1 bis 200+ |
| Know-how NFC/ICAO | Muss aufgebaut werden | Unterschiedlich | Im Team vorhanden |
Risiken und Gegenmaßnahmen
- Geräte ohne NFC oder mit schwacher Antenne: Ausweichweg über Video-Ident, Gerätematrix-Tests.
- Deepfakes und Injektionsangriffe: Lebenderkennung mit Angriffserkennung, Prüfung der Kamera-Integrität, Chipfoto als Referenz.
- Veraltete Zertifikatslisten: Automatische Aktualisierung der CSCA-Masterlisten.
- Datenschutzverstöße: Minimale Speicherung biometrischer Daten, Verschlüsselung, Löschfristen.
Sicherheit, DSGVO, KVKK, NDA und geistiges Eigentum
Biometrische Daten sind besondere Kategorien personenbezogener Daten. Für Daten aus dem EWR schließen wir einen AVV nach Art. 28 DSGVO mit EU-Standardvertragsklauseln (SCC); in der Türkei gilt zusätzlich das KVKK. NDA und die Übertragung der Rechte am entwickelten Code sind Standard. Wir arbeiten auf Basis eines Dienst- oder Werkvertrags – keine Arbeitnehmerüberlassung. Fragen zu AÜG und Scheinselbständigkeit hängen von der konkreten Durchführung ab; eine rechtliche Prüfung durch Ihre Berater empfehlen wir.
Checkliste für die Auswahl
- Erfolgt die Chipvalidierung serverseitig gegen CSCA-Masterlisten?
- Werden aktive bzw. Chip-Authentifizierung unterstützt?
- Ist die Lebenderkennung gegen Präsentations- und Injektionsangriffe getestet?
- Gibt es einen Ausweichweg für Geräte ohne NFC?
- Wo werden biometrische Daten gespeichert und wann gelöscht?
- Sind die Rechte am Code und die Unabhängigkeit von Drittanbieter-Lizenzen geregelt?
Beispielszenario (illustrativ): Fern-Onboarding in einer Mobile App
Beispielszenario (illustrativ) – kein realer Kunde, keine erzielten Ergebnisse. Ein E-Geld-Institut möchte Neukunden vollständig in der App aufnehmen; bisher lädt der Kunde Ausweisfotos hoch, die manuell geprüft werden. Geplant sind MRZ- und NFC-Lesen, serverseitige Chipvalidierung, Lebenderkennung, automatisches Screening und ein Panel für Grenzfälle. Gemessen würden Abschlussquote, NFC-Leseerfolg, Durchlaufzeit und Anteil manueller Prüfungen.
Verwandte Seiten
- KYC/AML-Software – Übersicht
- KYC/AML-Betrieb auslagern
- Fraud-Monitoring-Outsourcing
- App-Entwicklung in der Türkei
- Türkçe
Häufig gestellte Fragen
Wie ist die Fernidentifizierung für Banken geregelt?
In der Türkei durch die BDDK-Verordnung zur Fernidentifizierung, die u. a. Video-Gespräch und NFC-Chipprüfung vorsieht. Im DACH-Raum gelten die Vorgaben der jeweiligen Aufsicht wie BaFin, FMA oder FINMA.
Welche Smartphones werden unterstützt?
Android-Geräte mit NFC und iPhones ab iPhone 7 mit aktuellem iOS. Für Geräte ohne NFC wird ein Ausweichweg wie Video-Ident angeboten.
Lässt sich die Lösung in unsere App integrieren?
Ja, als natives SDK für iOS und Android oder über Flutter und React Native, kombiniert mit unserer serverseitigen Validierung.
Können auch Reisepässe gelesen werden?
Ja, alle Reisepässe und Ausweise mit ICAO-9303-konformem Chip.
Was ist ICAO 9303?
Der internationale Standard der Zivilluftfahrtorganisation für maschinenlesbare Reisedokumente, der Datenstruktur, Zugriffsschutz und Signaturen des Chips festlegt.
Was unterscheidet passive und aktive Authentifizierung?
Die passive Authentifizierung belegt, dass die Daten unverändert vom Ausstellerstaat stammen. Die aktive bzw. Chip-Authentifizierung belegt, dass der Chip selbst echt und nicht geklont ist.
Warum scheitert das NFC-Lesen manchmal?
Meist wegen falscher Position der Antenne, Schutzhüllen, Bewegung oder einer falsch erfassten MRZ. Gute Anleitungen und automatische Wiederholung lösen die meisten Fälle.
Ist ein Video-Gespräch noch erforderlich?
Das hängt von Sektor und Aufsicht ab. Manche Regelwerke verlangen es zusätzlich, andere erlauben automatisierte Verfahren; die Software unterstützt beide Wege.
Wo werden biometrische Daten gespeichert?
In der von Ihnen gewählten Umgebung, verschlüsselt und nur so lange wie nötig, mit dokumentierten Löschfristen.
Wie lange dauert die Einführung?
Je nach Integrationen meist zwei bis vier Monate bis zum stufenweisen Rollout; das Team kann typischerweise innerhalb von 1–2 Wochen starten.
NFC-Identitätsprüfung für Ihr Onboarding planen
Sprechen Sie mit uns über Ihr Vorhaben: Telefon +90 850 335 10 87, E-Mail info@360-soft.com oder per WhatsApp. Alternativ nutzen Sie unser Kontaktformular – wir melden uns mit einem Vorschlag für die nächsten Schritte. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.
