Teil V — Mobile Nutzung mit GPG-Tools auf Smartphones und Devices
Status: Arbeitsgebiet (Aufriss, nicht ausgearbeitet). Dieser Teil sammelt die früheren Erkenntnisse aus alten Chats (Mobile Device Encryption & Backup Strategy 250828, GPG Key Signing & Verification Flow 250829, GitCover® Identity Verification Procedures 250831) als Community- Arbeitsgebiet: Hier sind Lösungen zu entwickeln, bei der die Community mitarbeiten kann — der Unternehmer/KMU braucht mobile Signatur- und Nachweis-Fähigkeit, aber die Werkzeuglandschaft ist fragmentiert.
Warum Mobile ein eigenes Arbeitsgebiet ist
Die Teile I–IV beschreiben die Verfahren auf Desktop/Repo-Ebene. Die Praxis des Unternehmers ist aber mobil: Verträge werden unterwegs gezeichnet (Facsimile auf dem Tablet), Nachweise werden am Kundenrechner geprüft, eID-Beglaubigung läuft über NFC-Smartphone + AusweisApp. Die Werkzeugkette (GnuPG, Kleopatra, git commit -S) ist Desktop-first — die Mobile-Lücke ist real.
Werkzeuglandschaft (Stand der Erkenntnisse)
| Tool/Plattform | Plattform | Rolle | Reife/Anmerkung |
|---|---|---|---|
| OpenKeychain | Android | GPG-Schlüsselverwaltung, Signatur/Entschlüsselung | etabliert; Integration in Mail-Apps; kein git commit -S |
| Kleopatra (GnuPG) | Windows/macOS/Linux | Desktop-Referenz | kein natives Mobile-Pendant |
| AusweisApp des Bundes | Android/iOS/Windows/macOS/Linux | eID-Authentisierung (Governikus-Fluss, Teil IV DS21) | BSI-zertifiziert; NFC nötig |
| PassKey/FIDO2 | plattformübergreifend | Identitätsanker (WebAuthn) | Teil der Mobile-Strategie (Chat 250828) |
| YubiKey/Nitrokey | USB/NFC | Hardware-Schlüssel | Mobile nur mit Adapter/NFC-Variante |
| Facsimile-SVG/PNG | überall | positionierte Signatur-Grafik (Teil II DS07) | plattformneutral — Stärke des GitCover-Ansatzes |
Erkenntnisse aus den alten Chats
1. Mobile PassKey/GPG-Umgebung (Chat 250828)
Die Ausgangsfrage: "Mit einem mobilen Device eine PassKey- und GPG-Key- Umgebung einrichten, mit der Backups auf removable Devices mindestens mit SHA-256-Qualität verschlüsselt werden können; der Besitz des PassKey soll zum Entschlüsseln genügen."
Erkenntnisse:
- BSI/AO/GoBD: Die Absicherung ist ausreichend, mit Ergänzungen — SHA-256 ist nur ein Hash; die eigentliche Verschlüsselung braucht AES-256-GCM; die Kombination PassKey + GPG + GitCover erfüllt die regulatorischen Anforderungen; Verfahrensdokumentation nach GoBD nötig.
- Krypto-Stack: AES-256-GCM (Verschlüsselung), Ed25519 (GPG-Signierung), FIDO2/WebAuthn (PassKey).
- 3-Stufen-Backup: (1) verschlüsselt auf Removable Device, (2) im GitCover-Repository, (3) tertiär.
- Device-Verlust: Rekonstruktion möglich, wenn der Master-GPG-Key sicher im GitCover-System hinterlegt ist, Recovery-Codes existieren und die Recovery-Prozedur dokumentiert und getestet wurde.
2. GPG Key Signing & Verification Flow (Chat 250829)
Der Flow (Canvas-Artefakt mit Mermaid) dokumentiert Signieren und
Verifizieren als Basis für die Beweiskette — plus die Aufbewahrungs-
Erkenntnisse (ELSTER-Dokumente, Bundesanzeiger-Hinterlegung), die in die
Retention-Ebene des GCPN-Containers einfließen (retention.retention_until).
3. eID-Beglaubigung mobil (Chat 250831)
Der Governikus-Fluss (Teil IV DS21) ist von Natur aus mobil: NFC-Smartphone + AusweisApp + PIN. Das ist die mobile Stärke des Verfahrens — die amtliche Beglaubigung funktioniert auf dem Gerät, das jeder Unternehmer in der Tasche hat.
UX-Herausforderungen (Community-Fragen)
| Frage | Herausforderung |
|---|---|
| Git commit -S mobil? | GnuPG läuft nicht nativ auf Android/iOS; git-Signatur über Terminal-Apps (Termux) ist Expertenterrain — UX-Lösung fehlt |
| Facsimile mobil zeichnen? | Touch-Zeichnung der Signatur-Grafik auf dem Gerät (statt vorbereiteter SVG) — Authentizitäts-Frage (Zeichnung = Faktor der Kontrolle?) |
| Container prüfen mobil? | sha256sum/jq-Routine (DS04) auf dem Smartphone — gibt es eine Prüf-App für .gcpn.zip? |
| PassKey ↔ GPG-Bindung? | PassKey als Gatekeeper für den GPG-Key (Chat 250828) — wie verankert man das in der Identity-Registry (Teil IV DS15)? |
| Offline/Online-Übergang? | Stufe-1-Paket (DS11) mobil lesen und verifizieren — Datei-Manager-Integration |
Community-Arbeitsgebiete (Aufriss)
- Mobile-Prüf-App: Ein leichgewichtiges Tool (PWA oder App), das
.gcpn.zip-Pakete öffnet und die DS04-Routine (SHA-256-Kette, Flags-Ergebnis) ohne Fachwissen ausführt. - Facsimile auf Touch-Geräten: Zeichnung → SVG/PNG → SHA-256 → Signatur-Doc — mit der Kennzeichnungs-Regel („digital signiert") aus der Vorlage.
- OpenKeychain-Integration: Vorgangs-Repos klonen, Commits signieren — auf Android (Termux/OpenKeychain-Brücke) mit UX-Guardrails.
- PassKey-Gatekeeper: PassKey/FIDO2 als Kontrolle über den GPG-Key — Verankerung in der Identity-Registry (Teil IV).
- AusweisApp-Fluss als mobile Referenz: Der Governikus-Fluss zeigt, wie amtliche Mobile-Signatur-Erlebnis aussieht — UX-Muster für die Community-Werkzeuge.
Offenheit
Dieser Teil ist bewusst oberflächlich gehalten: Er sammelt die Erkenntnisse und benennt die Arbeitsgebiete — die Ausarbeitung ist Community-Arbeit. Beiträge (Prüf-App, OpenKeychain-Integration, Touch-Facsimile) sind als GCBoK-Beiträge willkommen und werden über die normativen Achsen (Techniken/Vorgehensweisen) rückgebunden.
Querverweise
- Teil II DS11 — Externe Partner anbinden (Stufen-Modell, Mobile als Endpunkt)
- Teil IV DS21 — gpg.governikus.de (eID-Fluss, mobil via NFC)
- Chat 250828 — Mobile Device Encryption & Backup Strategy
(
AIChats/…/250828_032614_Mobile_Device_Encryption_and_Backup_Strategy/) - Chat 250829 — GPG Key Signing & Verification Flow
- Chat 250831 — GitCover® Identity Verification Procedures
Erstellt: 260913 | Teil V (Arbeitsgebiet, Aufriss) der Serie digital-signage