Zertifikat auf Echtheit prüfen: So funktioniert der QR-Code

Der QR-Code auf einem Zertifikat ist nichts anderes als ein Link in maschinenlesbarer Form. Er führt auf eine Seite des Ausstellers und enthält einen Prüfcode, der diesen einen Nachweis kennzeichnet. Die Prüfseite liest den Code, sucht den Nachweis in den Daten des Ausstellers und zeigt das Ergebnis: gültig, abgelaufen, widerrufen oder unbekannt.

Damit das sicher ist, muss der Prüfcode zufällig und lang genug sein, dass niemand ihn erraten kann. Fortlaufende Nummern wie „Zertifikat 1234“ sind ungeeignet, weil man durch Hochzählen fremde Nachweise abrufen könnte. Gute Prüfseiten zeigen zudem nur die Angaben, die zur Prüfung nötig sind — Name, Titel, Datum, Aussteller, Gültigkeit —, nicht die ganze Akte.

Für Personalabteilungen und andere Prüfer genügt meist ein Smartphone. Die folgenden Schritte schützen vor den häufigsten Täuschungen.

Die meisten Fälschungen sind einfach: ein verändertes PDF, ein ausgetauschter Name, eine geänderte Note. Gegen sie hilft der Abgleich mit der Prüfseite zuverlässig, weil die Daten dort beim Aussteller liegen und nicht im Dokument. Raffinierter sind Fälschungen, bei denen der QR-Code auf eine nachgebaute Prüfseite führt. Deshalb ist der Blick auf die Adresse so wichtig.

Ein QR-Code ist nur so gut wie die Prüfseite dahinter. Aussteller sollten die Prüfseite unter ihrer eigenen, bekannten Domain betreiben, nicht erratbare Codes verwenden und klare Ergebnisse anzeigen — auch für unbekannte und widerrufene Codes, ohne technische Fehlermeldung. Die Prüfseite muss dauerhaft erreichbar sein; ein Nachweis, der in fünf Jahren nicht mehr prüfbar ist, verliert seinen Wert.

Besser noch ist die Kombination mit einem signierten digitalen Nachweis nach W3C Verifiable Credentials. Dann hängt die Echtheit nicht allein an der Prüfseite: Der Nachweis lässt sich auch kryptografisch prüfen. Und ein Widerruf über eine Statusliste ist sichtbar, ohne dass der Aussteller erfährt, wer gerade prüft.

Eine öffentliche Prüfseite gibt personenbezogene Daten heraus — an jeden, der den Code kennt. Das ist gewollt, denn der Inhaber gibt den Code selbst weiter. Trotzdem gilt Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO: Die Seite sollte nur zeigen, was für die Prüfung erforderlich ist. Noten, Geburtsdaten oder Adressen gehören nur dann dazu, wenn sie Teil des Nachweises sind und der Inhaber über die Veröffentlichung informiert ist.

Aussteller sollten außerdem festlegen, wie lange Prüfseiten bestehen bleiben, und Inhabern ermöglichen, die öffentliche Prüfbarkeit zu beenden, wenn dem keine berechtigten Gründe entgegenstehen.

Die QR-Prüfung beweist, dass der Aussteller einen Nachweis mit diesen Angaben kennt. Sie beweist nicht, dass die Person, die das Dokument vorlegt, auch die Person ist, für die es ausgestellt wurde. Bei wichtigen Entscheidungen — etwa einer Einstellung in einen regulierten Beruf — gehört deshalb ein Abgleich mit dem Ausweis dazu.

Auch der Inhalt eines Nachweises sagt nur so viel, wie der Aussteller prüft. Ein echtes Zertifikat eines unseriösen Anbieters bleibt ein schwacher Beleg. Wer Nachweise bewertet, sollte deshalb neben der Echtheit auch den Aussteller, die Art der Prüfung und die beschriebenen Lernergebnisse betrachten.