Mit CodeB SmartLogin meldet sich ein Mitarbeiter an einem domänengebundenen Windows-PC ohne Passwort und ohne Software auf dem PC an. Die CodeB-Wallet-App auf einem Android-Telefon enthält eine virtuelle PKI-Smartcard; Windows stellt ein Zertifikat aus Ihrer eigenen Zertifizierungsstelle (AD CS) darauf aus, und der Benutzer meldet sich an, indem er das entsperrte Telefon auf einen NFC-Leser hält — über die Smartcard-Anmeldung von Windows selbst.
Was ist die passwortlose Anmeldung mit dem Telefon als PKI-Smartcard?
Die passwortlose Anmeldung mit dem Telefon als PKI-Smartcard macht aus einem Android-Telefon mit der CodeB Wallet (myEUID) eine kontaktlose Windows-Anmeldekarte. Das Telefon enthält eine virtuelle Read/Write-PKI-Karte mit einem X.509-Zertifikat aus der Windows-Zertifizierungsstelle Ihres Unternehmens. Am Anmeldebildschirm hält der Benutzer das entsperrte Telefon auf einen normalen NFC-Leser und meldet sich mit der Karten-PIN an. Windows behandelt das Telefon genau wie eine PKI-Smartcard aus Kunststoff.
Das Entscheidende für die meisten Standorte: Dieser Weg braucht keine CodeB-Software und keinen Kartenleser-Treiber auf dem PC. Er nutzt die Smartcard-Anmeldung, die bereits in Windows eingebaut ist (der GIDS-Minitreiber) — auf den Arbeitsplätzen ist nichts zu installieren.
Wie funktioniert es?
Das Telefon meldet sich bei Windows als normale kontaktlose PKI-Smartcard über die in Microsoft eingebaute GIDS-Smartcard-Unterstützung. Da Windows den Minitreiber für GIDS-Karten bereits mitbringt, sind weder ein Treiber noch eine CodeB-Komponente auf dem Arbeitsplatz nötig.
- Die Windows-Zertifizierungsstelle (AD CS) Ihres Unternehmens stellt ein Smartcard-Anmeldezertifikat aus. Dieses Zertifikat wird auf die virtuelle PKI-Karte in der CodeB Wallet ausgestellt.
- Der private Schlüssel wird in der sicheren Hardware des Telefons erzeugt und gespeichert. Er verlässt das Telefon nie; auf der Karte liegt nur der öffentliche Teil.
- Bei der Anmeldung läuft die normale Zertifikats-(Smartcard-)Anmeldung von Windows: Es liest das Zertifikat über NFC, lässt das Telefon eine Challenge signieren, prüft die Kette und stellt das Kerberos-Ticket aus. Das ist derselbe PKINIT-Ablauf wie bei jeder PKI-Smartcard.
Da es sich um die gewöhnliche Windows-Smartcard-Anmeldung handelt, funktioniert sie für lokale Konten, Active-Directory-Domänenkonten und hybride (Entra ID) Konten, überall dort, wo die Zertifikatsanmeldung erlaubt ist, und lässt sich mit der Smartcard-Umleitung im Remotedesktop kombinieren.
Was brauchen Sie?
| Voraussetzung | Detail |
|---|---|
| Windows-PC | Windows 10, Windows 11 oder Windows Server 2016–2025, für die AD-Anmeldung in die Domäne eingebunden. |
| Zertifizierungsstelle | Eine Windows-Enterprise-CA (Active Directory-Zertifikatdienste) mit einer Vorlage für Smartcard-Anmeldezertifikate. |
| NFC-Leser | Jeder PC/SC-Kontaktlos-Leser — dieselben Leser wie für NFC-Karten aus Kunststoff. |
| Telefon | Ein Android-Telefon mit NFC und der CodeB-Wallet-App (myEUID, myeuid.app). |
| Auf dem PC | Nichts. Für diesen Weg sind weder eine CodeB-SmartLogin-Installation noch ein Leser-Treiber erforderlich. |
Wie richten Sie es ein?
- Stellen Sie in den Active Directory-Zertifikatdiensten sicher, dass eine Enterprise-CA eine Vorlage für Smartcard-Anmeldezertifikate (oder eine ähnliche Clientauthentifizierung) veröffentlicht — genau wie für jede PKI-Smartcard aus Kunststoff.
- Fügen Sie in der CodeB-Wallet-App auf dem Android-Telefon eine Read/Write-PKI-Karte hinzu.
- Stellen Sie ein Zertifikat aus Ihrer Windows-CA auf diese Karte aus. Das Telefon trägt dann ein Anmeldezertifikat, dessen Kette Ihre Domäne bereits vertraut.
- Halten Sie am Windows-Anmeldebildschirm das entsperrte Telefon auf den NFC-Leser und geben Sie die Karten-PIN ein. Windows führt seine normale Smartcard-Anmeldung aus — passwortlos, ohne CodeB-Software auf dem PC.
Die schrittweise Ausstellung in der App ist im CodeB-Wallet-Handbuch unter myeuid.app/en/manual.html#pki-cards beschrieben. Die Windows-Seite ist die normale zertifikatsbasierte Smartcard-Anmeldung, sodass Ihre vorhandenen AD CS-Vorlagen und Gruppenrichtlinien unverändert gelten.
Telefon als PKI-Smartcard vs Telefon als CodeB-NFC-Karte
CodeB bietet zwei Wege, sich mit dem Telefon anzumelden. Sie sind unabhängig — wählen Sie danach, ob Sie null Software auf dem PC oder die reichhaltigeren CodeB-Audit- und Gemeinschaftskonto-Funktionen möchten.
| Telefon als PKI-Smartcard (diese Seite) | Telefon als CodeB-NFC-Karte (CAP1) | |
|---|---|---|
| Software auf dem PC | Keine (Windows-Smartcard-Anmeldung) | CodeB-SmartLogin-Anmeldeinformationsanbieter |
| Anmeldeverfahren | Windows-Zertifikatsanmeldung (Kerberos PKINIT) | CodeB-Kachel entsperrt die Windows-Anmeldedaten |
| Braucht eine Zertifizierungsstelle | Ja (AD CS) | Nein |
| Audit-Eintrag | Windows-Sicherheitsprotokoll | CodeB-Ereignisprotokoll, IDs 1100 / 1101 |
| Gemeinsame Konten, mehrere Telefone | Normale Windows-Smartcard-Regeln | CodeB-Gemeinschaftskonto-Nachvollziehbarkeit |
Offline-Nutzung und ehrliche Grenzen
- Nur Android. Die CodeB Wallet ist heute für Android-Telefone mit NFC verfügbar.
- Das Telefon muss entsperrt sein und auf den Leser gehalten werden, damit das Auflegen funktioniert.
- Offline: Ein Benutzer, der sich schon einmal angemeldet hat, kann sich bei nicht erreichbarem Domänencontroller mit zwischengespeicherten Anmeldedaten anmelden — wie bei jeder Windows-Anmeldung. Eine erstmalige Zertifikatsanmeldung benötigt einen erreichbaren Domänencontroller.
- Diese Anmeldungen werden im Sicherheitsprotokoll von Windows erfasst. Sie erscheinen nicht in den CodeB-Audit-Ereignissen 1100/1101, da auf diesem Weg keine CodeB-Komponente auf dem PC läuft.
Fehlerbehebung
Das Telefon wird nicht als Smartcard angeboten
Prüfen Sie, ob der NFC-Leser ein funktionierender PC/SC-Leser ist und der Windows-Dienst Smartcard läuft. Halten Sie das entsperrte Telefon flach auf den Leser; in der CodeB Wallet muss die Read/Write-PKI-Karte geöffnet sein.
Eine PIN wird abgefragt, aber die Anmeldung schlägt fehl
Die Kette des Anmeldezertifikats muss von der Domäne als vertrauenswürdig eingestuft und für die Smartcard-Anmeldung gültig sein. Vergewissern Sie sich, dass das CA-Zertifikat im NTAuth-Speicher veröffentlicht ist und das Zertifikat nicht abgelaufen oder gesperrt wurde.
Online funktioniert es, offline nicht
Die Offline-Anmeldung nutzt zwischengespeicherte Anmeldedaten und funktioniert daher nur für einen Benutzer, der sich an diesem PC mindestens einmal bei erreichbarer Domäne angemeldet hat.
Häufige Fragen
Muss ich auf jedem PC etwas installieren?
Nein. Dieser Weg nutzt die in Windows eingebaute Smartcard-Anmeldung (den GIDS-Minitreiber), daher sind weder eine CodeB-SmartLogin-Installation noch ein Kartenleser-Treiber auf dem Arbeitsplatz nötig. Sie brauchen nur eine Zertifizierungsstelle und einen NFC-Leser.
Ist der private Schlüssel auf dem Telefon sicher?
Ja. Der private Schlüssel wird in der sicheren Hardware des Telefons erzeugt und gespeichert und verlässt sie nie. Über NFC wird nur das Zertifikat (der öffentliche Teil) gelesen, und jede Anmeldung ist eine frisch signierte Challenge.
An welchen Windows-Konten kann man sich anmelden?
Lokale Konten, Active-Directory-Domänenkonten und hybride Entra-ID-Konten, überall dort, wo die Windows-Zertifikats-(Smartcard-)Anmeldung erlaubt ist. Es funktioniert auch über Remotedesktop mit Smartcard-Umleitung.
Worin unterscheidet sich das von der CodeB-Kartenanmeldung?
Der PKI-Weg nutzt die eigene Zertifikatsanmeldung von Windows und hinterlässt keine CodeB-Komponente auf dem PC; seine Anmeldungen erscheinen im Windows-Sicherheitsprotokoll. Der CodeB-NFC-Karten-Weg nutzt die CodeB-Kachel und erfasst Anmeldungen in den CodeB-Audit-Ereignissen 1100/1101, mit Gemeinschaftskonto-Nachvollziehbarkeit.