beA-Login via beastie schlägt mit „0950 – CRAM authentication failed“ fehl

Moin,

nach Migration von Windows Server auf Ubuntu (nativ) schlägt der beA-Login aus j-lawyer heraus konstant fehl, während der Login in der beA-Weboberfläche mit demselben Softwarezertifikat und derselben PIN einwandfrei funktioniert.

Setup: j-lawyer-Server 3.5.0.17 (nativer Linux-Installer, Ubuntu), Client 3.5.0.3, beastie jlawyerorg/beastie:latest (v1.9.0-SNAPSHOT, Image vom 15.06.2026) in Docker auf demselben Host, URL im Client korrekt hinterlegt.

Bereits geprüft/ausgeschlossen: Zertifikat gültig bis 2031 (openssl-verifiziert), PIN korrekt (openssl + Web-Login), Zertifikat ist im beA-Portal als aktiver Sicherheitstoken mit übereinstimmender Seriennummer registriert, Serverzeit NTP-synchron (Europe/Berlin), Firewall inaktiv, beastie erreicht bea-brak.de, Keystore wurde erfolgreich geladen („Keystore written … 3422 bytes“).

beastie-Log beim Versuch:

Starting CRAM using software token
Found alias: 1
Calling Signature.getInstance with algorithm SHA256withRSAandMGF1
Signature creation is finished
ERROR org.jlawyer.bea.BeaWrapper – Unable to login to beA – software certificate expired? 0950 – CRAM authentication failed

Fragen: Was bedeutet 0950 in dieser Konstellation konkret? Kann es sich um eine API-seitige Sperre nach mehreren Fehlversuchen handeln (Web-Login parallel funktionsfähig)? Gibt es aktuell bekannte Probleme der KSW-Schnittstelle?

Vielen Dank und viele Grüße