Wegwerf-Showcase (dev) · Test-Ausweise, keine echten Daten · Widerruf wird hier nicht live geprüft · Prüfung mit QR-Code läuft über einen Tunnel des Browser-Herstellers (bei Chrome: Google)

Anleitung

Selbst ausprobieren

Sechs Schritte bis zu einem „über 18: ja“ auf Ihrem eigenen Bildschirm. Sie brauchen ein Android-Telefon, zehn Minuten und die Bereitschaft, eine App außerhalb des Play Store zu installieren.

1. Die Brieftaschen-App installieren

Wir benutzen die Test-App der Open Wallet Foundation, dieselbe, mit der dieser Dienst entwickelt wurde. Sie liegt nicht im Play Store, sondern wird als APK von der Projektseite geladen:

apps.multipaz.org → Multipaz Test App → das APK für Android herunterladen.

Android wird beim Öffnen der Datei nachfragen, ob es Installationen aus dieser Quelle erlauben soll — das muss einmal bestätigt werden. Das ist der Schritt, an dem die meisten Leute zögern, und zu Recht: Sie installieren hier eine Test-Anwendung an der Prüfung des Stores vorbei. Es ist eine Wegwerf-Installation für einen Wegwerf-Showcase, und sie darf nach dem Ausprobieren wieder verschwinden.

Versionen: gemessen wurde alles auf 0.99.0. Zum Zeitpunkt dieser Anleitung ist 0.100.0 die neueste Fassung; sie ist hier nicht durchlaufen worden. Weicht Ihr Bildschirm von dieser Beschreibung ab, ist die Version der erste Verdacht.

2. Ein Test-Dokument erzeugen

Die App legt sich auf Wunsch selbst ein Test-Dokument an — in unseren Läufen „Erikas EU PID“. Ausgestellt ist es unter der Vertrauenswurzel OWF Multipaz TEST IACA, die Aussteller-Kennung lautet example-issuer.com.

Das ist ausdrücklich keine echte EU-Vertrauenskette. Kein Staat, keine Behörde, keine Bank hat hier irgendetwas signiert. Der Showcase prüft die Signatur vollständig und echt — nur eben gegen eine Testwurzel, die wir selbst kennen. Dieser Satz steht auf mehreren Seiten dieses Dienstes, weil diese hier oft die einzige ist, die jemand liest.

Was Ihr Dokument trägt, entscheidet der Aussteller am Tag der Ausstellung. Die App löscht Dokumente ohne Rückfrage und erzeugt beim nächsten Mal ein neues — und welche Altersschwellen darin liegen, kann sich dabei ändern. Zwei im Abstand von Wochen erzeugte Dokumente derselben App trugen erst zwei Schwellen, dann acht. Für Schritt 5 ist das der Grund, warum Ihr Ergebnis von unserem abweichen kann.

3. Auf demselben Telefon prüfen

1. Diese Seite auf dem Telefon öffnen und zur Startseite gehen.
2. Eine der Kacheln wählen und „Mit dem Handy prüfen“ antippen.
3. Die Brieftasche öffnet sich und zeigt, welche Felder abgefragt werden. Beim Alterscheck ist das genau eines.
4. Zustimmen. Das Ergebnis erscheint auf derselben Seite.

Auf der Ergebnisseite lohnt der Blick nach unten: dort stehen die einzelnen Prüfschritte, die akzeptierte Vertrauenswurzel, und im Wortlaut die Zeile, die gerade gespeichert wurde — samt der Nummer, die Ihre Prüfung in der Kette bekommen hat.

4. Über zwei Geräte prüfen

1. Dieselbe Seite am Rechner öffnen.
2. Eine Kachel wählen und „QR anzeigen“ antippen. Den QR-Code zeichnet Ihr Browser, nicht dieser Dienst.
3. Mit dem Telefon scannen und in der Brieftasche zustimmen.
4. Das Ergebnis erscheint auf dem Rechner.

Dabei läuft die Verbindung zwischen Rechner und Telefon über einen Tunnel-Server des Browser-Herstellers — bei Chrome also über Google. Das ist nicht abschaltbar und wird deshalb benannt statt verschwiegen; durch den Tunnel läuft nur Geheimtext.

Ein Rechner-Browser beantwortet jede solche Anfrage mit einem QR-Code — auch die aus Schritt 3. Welcher Weg zustande kommt, entscheidet Ihr Gerät, nicht die gewählte Schaltfläche.

5. Die Ablehnungen provozieren

Auf der Startseite stehen zwei Knöpfe, die absichtlich fehlschlagen. Sie sind der überzeugendste Teil, weil ein verhinderter Angriff mehr erklärt als ein gelungener Durchlauf — und weil beide durch dieselbe Prüfsequenz laufen wie der echte Weg.

• Dieselbe Präsentation noch einmal einreichen → abgelehnt mit nonce_consumed. Jede Signatur darin ist noch gültig; die Challenge ist verbraucht.
• Ein Bit in der Antwort kippen → ein einzelnes Zeichen des Geheimtextes verändert, abgelehnt mit decrypt_failed, ohne dass irgendetwas gelesen wurde.

Danach lohnt ein Blick in die Beweis-Ansicht: die Kette ist um genau eine Zeile gewachsen, nämlich um Ihre echte Prüfung. Ablehnungen bekommen keine Zeile.

Die dritte Kachel fragt zwei Altersschwellen an denselben Ausweis. Für age_over_65 bekommen Sie ein echtes Nein — ein Ergebnis, keine Ablehnung. Für age_over_53 meldet die Brieftasche von sich aus, es seien keine teilbaren Informationen vorhanden. Nicht können ist etwas anderes als verneinen, und der Unterschied ist auf Ihrem Telefon zu sehen.

Trägt Ihr Dokument andere Schwellen als unseres, kann dieser Schritt bei Ihnen anders ausgehen — siehe den Hinweis unter Schritt 2. Das ist kein Fehler, sondern genau die Aussage der Kachel.

6. Womit Sie unterwegs rechnen müssen

Der rote Warnhinweis — er kommt, und er hat recht

Vor der Zustimmung zeigt die Brieftasche in Rot sinngemäß: „diese Website ist unbekannt, stellen Sie sicher, dass Sie ihr vertrauen.“

Das ist kein Fehler und kein Konfigurationsmangel. Dieser Dienst schickt ein unsigniertes Anfrage-Objekt, also kann die Brieftasche nicht feststellen, wer da fragt — und sagt Ihnen das. Sie tut damit genau das, wofür sie gebaut wurde. Produktiv verschwindet der Hinweis erst, wenn sich der Prüfende registriert und seine Anfragen signiert.

Wir sagen ihn hier voraus, statt ihn zu erklären, wenn er auftaucht: ein unerwarteter roter Text beschädigt das Vertrauen in eine Vorführung schneller als ein angekündigter.

Weitere Stolpersteine

• Die Transaktion läuft nach 120 Sekunden ab. Das ist gewolltes Verhalten, keine Panne. Danach neu starten.
• Browser. Gemessen wurde Chrome unter Android. Ob und ab welcher Fassung ein anderer Browser die nötige Schnittstelle anbietet, haben wir nicht geprüft.
• Nach einer Prüfung an der zweiten Tür bleiben Sie angemeldet. Wer den Zustimmungs-Dialog noch einmal sehen will, muss sich erst abmelden — sonst führt der Weg daran vorbei.
• Ein zweiter Zustimmungsschritt des Browsers erscheint vor der zweiten Tür, aber nicht vor dem Alterscheck. Auch das ist kein Fehler; warum es passiert, steht auf der Erklärseite.

Und auf dem iPhone?

Diese Anleitung läuft dort heute nicht durch, und der Grund ist nicht das Telefon. Es sind zwei Gründe, und sie liegen verschieden tief.

Erstens ist die Brieftasche schwerer zu bekommen. Die Projektseite bietet zum Herunterladen ausschließlich Android-Pakete an; die iOS-Fassung der Test-App läuft über TestFlight, Apples Verteilweg für Vorabversionen. Das ist kein Klick, sondern eine Einladung. (Von der Projektseite abgelesen, Stand 27.07.2026.)

Zweitens spricht der Browser eine andere Sprache — und das ist der eigentliche Grund. Safari unterstützt die nötige Schnittstelle seit iOS 26, aber ausschließlich mit der Protokollkennung org-iso-mdoc; OpenID4VP lehnt WebKit ab. Dieser Dienst fragt mit openid4vp-v1-unsigned. Eine iPhone-Besucherin bekäme also selbst mit installierter Brieftasche keine Übereinstimmung — nicht weil ihr etwas fehlt, sondern weil die Frage in einem Dialekt gestellt ist, den ihr Browser nicht anbietet.

Was das kostet, lässt sich beziffern, und es ist weniger als es klingt. Die Anfrage-Form für diesen zweiten Weg ist nicht unbekannt: sie ist in den Vorarbeiten zu diesem Bau bereits gegen die veröffentlichte Spezifikation gebaut worden — ein CBOR-Anfrageobjekt mit eigenem Verschlüsselungsblock. Was fehlt, ist zweierlei. Sie ist nie gegen ein echtes Safari bestätigt worden, und die Feldnamen der äußeren Hülle hängen an der Fassung. Und die Antwort kommt in einem anderen Verschlüsselungsverfahren zurück als der Weg, den dieser Dienst kennt — der vorhandene Entschlüsselungspfad greift dort nicht.

Es ist also ein eigenes Vorhaben und keine Einstellung — aber eines, das auf gebauter Vorarbeit aufsetzt statt bei null anzufangen. Der Blocker ist Hardware: ein iPhone mit iOS 26, das keiner Geräteverwaltung unterliegt.

Was hier ehrlicherweise fehlt: niemand hat ein iPhone gegen diesen Dienst gehalten. Alles oben ist aus Dokumentation und aus den Vorarbeiten abgeleitet, nicht von uns gemessen, und die erste iOS-Messung kann diesen Abschnitt umwerfen — so wie eine Gerätemessung in diesem Bau schon mehrfach eine Annahme umgeworfen hat. Insbesondere die Hülle der Anfrage ist genau die Stelle, an der eine spec-gebaute Form erfahrungsgemäß abweicht.

Was der Showcase beweist und was nicht, steht vollständig auf der Erklärseite.

Und jetzt los

Die erste Tür braucht nichts als das Telefon aus den Schritten 1 und 2 — App installiert, Test-Dokument darin. Die zweite zeigt, wie dieselbe Technik aussieht, wenn ein Dienst tatsächlich einen Namen will.