Im CodeB Credential Provider V2 kann eine NFC-Karte ein gültig ab und/oder gültig bis erhalten — für Besucher, Dienstleister oder Aushilfen. Außerhalb dieses Zeitraums wird die Karte bei Anmeldung und Entsperren abgelehnt, und Windows schreibt Ereignis 1102 („temporary card refused“, mit Grund) in das Ereignisprotokoll CodeB Credential Provider V2. Es funktioniert für Karten im Active Directory und für Karten-Token-Dateien, auch an Air-Gap-PCs.
Was ist eine befristete Karte?
Eine befristete Karte ist eine normale CodeB-NFC-Karte mit einem Gültigkeitszeitraum. Der CodeB Credential Provider V2 prüft den Zeitraum bei jeder Anmeldung und jedem Entsperren. Eine Karte kann nur einen Beginn, nur ein Ende oder beides haben.
- Typischer Einsatz: Besucher- und Dienstleisterkarten, Aushilfen, eine Karte, die zum Vertragsende aufhören muss.
- Wo es funktioniert: im Active Directory verknüpfte NFC-Karten und Karten-Token-Dateien auf dem PC (auch Air-Gap).
- Ablehnung wird protokolliert: Ereignis-ID
1102in CodeB Credential Provider V2. - Gilt für: CodeB-SmartLogin-Beta vom 10. November 2026 und neuer, auf jedem PC, der die Karte prüft.
Wie geben Sie einer Karte in der Admin Console ein Ablaufdatum?
- Öffnen Sie die CodeB Admin Console (
CodeBAdminConsole.exe, als Administrator ausführen). - Für eine neue Karte: Registerkarte Active Directory cards → Add card… → Konto, Kartennummer und Aktion beim Entfernen eingeben und den optionalen Gültigkeitszeitraum ausfüllen.
- Für eine vorhandene Karte: Zeile wählen → Change validity…. Karten-Token-Dateien auf diesem PC ändern Sie auf der Registerkarte Cards on this PC genauso.
- Die Spalten valid from, valid until und status zeigen das Ergebnis.
Wie legen Sie eine befristete Karte per Kommandozeile an?
Nutzen Sie /validfrom und /validuntil mit CodeBAdminCLI.exe /add2fa, /add2ad oder /add2fs:
CodeBAdminCLI.exe /add2fa /user jdoe /cardserial 04A1B2C3 /validuntil 2026-12-31
CodeBAdminCLI.exe /add2fs /user jdoe /password ******** /cardserial 04A1B2C3 /validfrom "2026-11-01 08:00" /validuntil "2026-11-30 18:00"Exit-Codes: 1030 = ungültiges Datum, 1031 = „gültig bis“ liegt vor „gültig ab“. Vollständige Liste in der Admin-CLI-Referenz.
Wie werden die Daten gelesen?
| Eingabe | Bedeutung |
|---|---|
/validfrom 2026-11-01 | Gültig ab Beginn des 1. November 2026 (00:00), Ortszeit. |
/validuntil 2026-12-31 | Gültig bis Ende des 31. Dezember 2026, Ortszeit. |
/validfrom "2026-11-01 08:00" | Gültig ab genau 08:00 Ortszeit. |
| Beim Eintragen kein Datum | Eine unbefristete Karte. Erneutes Eintragen einer vorhandenen Karte ohne Daten macht sie wieder unbefristet. |
Im Active Directory ist der Zeitraum Teil des CodeB-Werts im Attribut altSecurityIdentities des Benutzers; die Admin Console zeigt den Rohwert.
Was passiert, wenn eine befristete Karte außerhalb ihres Zeitraums genutzt wird?
Die Karte wird am Anmelde- und Entsperrbildschirm abgelehnt, und Windows schreibt Ereignis 1102 („temporary card refused“, mit Grund) in das Ereignisprotokoll CodeB Credential Provider V2. Weder PIN noch Passwort werden geschrieben. Das Ereignis erscheint auf der Registerkarte Logon log der Admin Console und lässt sich wie die anderen CodeB-Audit-Ereignisse an ein SIEM weiterleiten.
Ehrliche Grenzen
- Der Zeitraum gilt für im Active Directory verknüpfte NFC-Karten und für Karten-Token-Dateien. Er gilt nicht für Kerberos/KSP-Smartcard-Zertifikatscontainer und nicht für 2FA-Verknüpfungen.
- Ältere CodeB-Versionen ignorieren den Zeitraum. Aktualisieren Sie alle PCs, bevor Sie sich darauf verlassen.
- Wird dieselbe Karte ohne Daten erneut eingetragen (NFC-Dialog,
/add2faoder/add2fsohne/validfrom//validuntil), ist sie wieder unbefristet — so gewollt. Tragen Sie die Daten beim erneuten Eintragen einer Besucherkarte wieder ein.
Fehlerbehebung
Eine Karte wird abgelehnt und Ereignis 1102 wird protokolliert
Die Karte liegt außerhalb ihres Gültigkeitszeitraums. Prüfen Sie valid from und valid until in der Admin Console sowie Uhrzeit und Zeitzone des PCs; ändern Sie den Zeitraum mit Change validity….
Die Karte funktioniert nach ihrem Enddatum noch
Der PC läuft mit einer älteren CodeB-Version, die den Zeitraum ignoriert, oder die Karte wurde ohne Daten erneut eingetragen. Aktualisieren Sie den PC und prüfen Sie die Daten der Karte.
Häufige Fragen
Kann ich einem Besucher eine Karte geben, die abläuft?
Ja. Geben Sie der Karte in der CodeB Admin Console oder mit CodeBAdminCLI /validuntil ein „gültig bis“. Danach wird die Karte bei Anmeldung und Entsperren abgelehnt und Ereignis 1102 protokolliert.
Kann eine Karte erst ab einem späteren Datum funktionieren?
Ja. Setzen Sie „gültig ab“, z. B. /validfrom "2026-11-01 08:00". Vor diesem Zeitpunkt wird die Karte abgelehnt.
Funktioniert eine befristete Karte an einem Offline- oder Air-Gap-PC?
Ja. Der Zeitraum wird auch für auf dem PC gespeicherte Karten-Token-Dateien geprüft, es ist kein Domänencontroller und kein Netzwerk nötig.
Gilt der Gültigkeitszeitraum für Smartcard-Zertifikate?
Nein. Er gilt für NFC-Karten im Active Directory und für Karten-Token-Dateien, nicht für Kerberos/KSP-Zertifikatscontainer oder 2FA-Verknüpfungen.