Das Symptom
Ein Portal will dich per Online-Ausweis identifizieren. Ausweis auflegen, Handy
vibriert, alles gut – bis nach der PIN gefragt wird. Sechs Stellen. Und dir
fällt ein, dass du nie eine gesetzt hast, oder dass da mal ein Brief war, kurz
nach der Beantragung, irgendwo zwischen Versicherungsunterlagen und alten
Kontoauszügen. Nach zwei Versuchen verlangt die Software plötzlich noch eine
zweite Zahl, die du auch nicht kennst.
Die „Layer 8“-Wahrheit
Der häufigste Irrtum an dieser Stelle kostet einen Termin: Die
Online-Ausweisfunktion muss nicht freigeschaltet werden, sie ist es längst. § 10
Absatz 1 des Personalausweisgesetzes sagt in einem Satz, was Sache ist – „Der
Personalausweis wird mit einer Funktion zum elektronischen Identitätsnachweis
nach § 18 ausgegeben.“ Ausgeschaltet wird sie nach Absatz 2 nur, wenn die
antragstellende Person bei Antragstellung noch nicht 16 Jahre alt war. Das BSI
beschreibt denselben Zustand von der praktischen Seite: standardmäßig aktiviert,
im Auslieferungszustand aber noch nicht nutzbar. Der Unterschied zwischen
aktiviert und nutzbar ist genau das, was fehlt – eine PIN, die nur du kennst.
Dafür gibt es im PIN-Brief drei Zahlen, und wer sie auseinanderhält, hat das
Problem schon halb gelöst. Die Transport-PIN ist fünfstellig und hat genau einen
Zweck: Sie wird gegen eine selbst gewählte sechsstellige PIN getauscht, und erst
dieser Tausch macht die Funktion benutzbar. Sechs Stellen sind dabei keine
Empfehlung, sondern Definition – § 2 Absatz 10 des Personalausweisgesetzes legt
fest, dass die Geheimnummer aus einer sechsstelligen Ziffernfolge besteht. Die
Entsperrnummer hebt eine Blockade nach drei Fehleingaben auf, mehr nicht. Und
das Sperrkennwort dient allein dazu, die Funktion sperren zu lassen, wenn der
Ausweis weg ist. Dazu kommt eine vierte Zahl, die nirgends verwahrt werden muss,
weil sie auf der Karte steht: die sechsstellige Zugangsnummer rechts neben dem
Gültigkeitsdatum, die der Chip vor dem dritten PIN-Versuch sehen will.
Bleibt der unangenehme Fall: PIN vergessen, Brief verschwunden. Dann hilft die
Entsperrnummer ausdrücklich nicht – sie entsperrt, sie erinnert nicht. Es
braucht eine Neusetzung, und die Personalausweisverordnung beschreibt in § 20
zwei Wege dorthin: über die Personalausweisbehörde nach Prüfung der Identität
(Absatz 1) oder elektronisch mit der Zugangsnummer über ein Formular des
Ausweisherstellers (Absatz 2), wobei die neue, zufällig erzeugte Nummer per
Brief kommt und der Zusteller die Identität prüft. Ein Detail in Absatz 2 ist es
wert, vorher gelesen zu werden: Dieser Brief geht an die im Chip gespeicherte
Anschrift. Nach einem Umzug ist das nicht automatisch die, unter der du wohnst –
der Aufkleber auf der Karte und der Eintrag im Chip sind zwei verschiedene
Dinge, und für den Chip ist nach § 19 der Verordnung die Behörde zuständig. Wer
das vorher klärt, wartet nicht drei Wochen auf einen Brief, der bei den
Vormietern liegt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst klären, was fehlt: Freischaltung oder PIN
Die Funktion selbst ist nach § 10 Absatz 1 des Personalausweisgesetzes von Haus aus vorhanden; ausgeschaltet wird sie nach Absatz 2 nur bei Antragstellung vor dem 16. Geburtstag. Wenn eine Anwendung also meldet, der Ausweis lasse sich nicht verwenden, liegt es fast nie an einer fehlenden Freischaltung, sondern an einer nie gesetzten oder vergessenen PIN. Diese Unterscheidung spart den ersten überflüssigen Behördentermin.
2.Den PIN-Brief suchen und wissen, was darin steht
Nach § 17 Absatz 1 der Personalausweisverordnung erhält die antragstellende Person „von der Personalausweisbehörde die Geheimnummer und die Entsperrnummer des Personalausweises in einem geschlossenen Kuvert“; der Erhalt ist in Textform zu bestätigen. In der Praxis heißt dieses Kuvert PIN-Brief, und das BSI beschreibt seinen Inhalt so: Er enthält insbesondere die fünfstellige Transport-PIN, dazu die Entsperrnummer und das Sperrkennwort. Drei verschiedene Zahlen für drei verschiedene Zwecke – der Brief ist damit deutlich wertvoller, als er aussieht.
3.Die fünfstellige Transport-PIN gegen eine eigene sechsstellige tauschen
Das ist der Schritt, der die Funktion überhaupt benutzbar macht. Das BSI: Im Auslieferungszustand ist die Online-Ausweisfunktion zwar aktiviert, aber noch nicht nutzbar; „Erst durch Änderung der fünfstelligen Transport-PIN in eine sechsstellige PIN wird die Online-Ausweisfunktion zur Nutzung freigeschaltet.“ Die Länge ist keine Empfehlung, sondern Definition: § 2 Absatz 10 des Personalausweisgesetzes bestimmt, dass die Geheimnummer „aus einer sechsstelligen Ziffernfolge“ besteht. Der Tausch geschieht in der Ausweis-Software mit aufgelegtem Ausweis.
4.Bei zwei Fehleingaben die Zugangsnummer bereithalten
Nach zwei falschen Eingaben verlangt der Chip vor dem dritten Versuch die Zugangsnummer. Die steht nach § 2 Absatz 11 des Personalausweisgesetzes sichtbar auf der Karte – sechsstellig, auf der Vorderseite rechts neben dem Gültigkeitsdatum. Das ist kein zusätzliches Geheimnis, sondern der Nachweis, dass die Karte gerade wirklich in deiner Hand liegt.
5.Nach drei Fehleingaben mit der Entsperrnummer entsperren
Die Entsperrnummer aus dem PIN-Brief hebt die Blockade auf – § 2 Absatz 12 des Personalausweisgesetzes beschreibt sie genau dafür. Sie ersetzt aber keine vergessene PIN. Wer die PIN noch weiß und sich nur vertippt hat, ist mit diesem Schritt fertig; wer sie nicht mehr weiß, geht weiter zur Neusetzung.
6.Die PIN neu setzen lassen – im Amt oder elektronisch
Zwei Wege stehen in der Personalausweisverordnung. § 20 Absatz 1: Die Personalausweisbehörde kann die Neusetzung einleiten, nachdem sie die Identität geprüft hat. § 20 Absatz 2: Wer eine inländische Meldeadresse hat, kann die Neusetzung auch elektronisch mit der Zugangsnummer über ein Formular des Ausweisherstellers beantragen; die neue, zufällig erzeugte Nummer kommt dann per Brief, den der Zusteller nur nach Vorlage von Personalausweis oder Reisepass übergibt. In beiden Fällen endet der Vorgang damit, dass du die zufällige Nummer gegen eine selbst gewählte tauschst.
7.Vor der Neusetzung prüfen, welche Anschrift im Chip steht
Das ist die Stolperstelle nach einem Umzug: Der Brief mit der neuen Nummer geht nach § 20 Absatz 2 der Personalausweisverordnung „an die im Chip gespeicherte Anschrift des Ausweisinhabers“ – nicht an die aktuelle Meldeadresse und nicht an eine im Formular eingetippte. Die Anschrift auf dem Chip ändert die Personalausweisbehörde nach § 19 der Verordnung. Wer den Aufkleber auf der Karte für die ganze Änderung hält, wartet sonst auf Post, die woanders ankommt.
8.PIN und Ausweis getrennt halten
§ 27 Absatz 2 des Personalausweisgesetzes ist an dieser Stelle ausdrücklich: Der Ausweisinhaber hat zumutbare Maßnahmen zu treffen, damit keine andere Person Kenntnis von der Geheimnummer erlangt; sie „darf insbesondere nicht auf dem Personalausweis vermerkt oder in anderer Weise zusammen mit diesem aufbewahrt“ werden. Für den Verlustfall gilt: Mit dem Sperrkennwort aus dem PIN-Brief lässt sich die Online-Ausweisfunktion über den Sperrdienst sperren – § 10 Absatz 6 des Personalausweisgesetzes sieht diesen Weg vor, und die Pflicht, den Verlust bei der Personalausweisbehörde anzuzeigen, bleibt davon unberührt.