Bundesdruckerei GmbH: Trustcenter sorgen für Sicherung der Identität in der digitalen Welt. Wer regelmäßig bei „Tante Emma“ im kleinen Laden um die Ecke einkauft, der kennt das Gefühl: Man kennt sich schon lange, hat Vertrauen zueinander, kann manchmal sogar anschreiben lassen. Immer öfter allerdings findet der Einkauf nicht im Laden an der Ecke statt, sondern im Internet. Doch auch bei Online-Geschäften muss der Kunde wie der Verkäufer darauf vertrauen können, dass der Geschäftspartner tatsächlich der ist, der er vorgibt zu sein. Diese Anforderungen sind im Internet-Zeitalter wichtiger denn je, denn der virtuelle Raum macht Verschleierungstaktiken besonders einfach. Für Geschäfte und den Austausch vertraulicher Informationen im Internet braucht man also eine zentrale Beglaubigungsinstanz, ein sog. Trustcenter. Die Bundesdruckerei in Berlin betreibt ein eigenes Trustcenter, die D-Trust.

Trustcenter erstellen und verwalten elektronische Personenzertifikate, mit denen sich die Anwender gegenseitig identifizieren können und erteilen auf Anfrage Auskunft zur Gültigkeit dieser Zertifikate. Neben dem Namen des Zertifikatsinhabers ist jedem Zertifikat ein individuelles Schlüsselpaar zugeordnet, das aus einem privaten Schlüssel (Private Key) und einem öffentlichen Schlüssel (Public Key) besteht.

Das Gesamtmodell bezeichnet man als Public Key Infrastructure (PKI). Für die Verwendung und Überprüfung elektronischer Signaturen benutzt man dann dieses Schlüsselpaar. Für die Signaturerzeugung wird der private Schlüssel benötigt, den der Unterschreibende unter seiner alleinigen Kontrolle hält. Die Überprüfung der Signatur nimmt der Empfänger der Nachricht anhand des öffentlichen Schlüssels und per Abfrage beim Trustcenter vor.

Rechtlich anerkannt

Nicht nur technisch ist die Sicherheit der elektronischen Signatur anerkannt, sondern auch rechtlich. In Deutschland und in der EU sind sog. „qualifizierte elektronische Signaturen“ der handschriftlichen Unterschrift bis auf wenige Ausnahmen rechtlich gleichgestellt. Die entsprechende Grundlage dafür hat die EU-Signaturrichtlinie aus dem Jahr 1999 gelegt. Die nationalen Signaturgesetzgebungen weichen im Einzelnen allerdings voneinander ab.

Die deutsche Umsetzung ist von einem stark sicherheitsorientierten Denken geprägt und macht den Trustcentern als Herausgebern von Signaturprodukten entsprechend strenge Vorschriften. Signaturgesetzkonforme deutsche Trustcenter wie D-Trust zählen damit im internationalen Vergleich zu den sichersten.

Die Arbeit eines akkreditierten Trustcenters ist durch klare Strukturen und strenge gesetzliche Anforderungen gekennzeichnet. Um als allgemein anerkannte und zuverlässige Beglaubigungsinstanz agieren zu können, müssen vier wesentliche Prozessschritte sichergestellt und beständigen Kontrollen unterzogen werden.

Vier Schritte für zuverlässige Sicherheit

Als Registrierungsinstanz (Registration Authority – RA) und zentrale Schnittstelle zwischen Anwender und PKI prüft ein Trustcenter auf der Grundlage gültiger ID-Dokumente die Authentizität der Identitätsdaten eines Antragstellers. In seiner Funktion als Schlüsselgenerator erstellt das Trustcenter unverwechselbare Schlüsselpaare, die mittels asymmetrischer Kryptoalgorithmen eine eindeutige Zuordnung zwischen dem elektronisch gesicherten Personenzertifikat und seinem Eigentümer garantieren.

Zur Zertifizierungsinstanz (Certification Authority – CA) wird ein Trustcenter über die Zusammenführung der Dienste „Registrierung“ und „Schlüsselgenerierung“. Dabei müssen die zum Schutz der ausgegebenen Personenzertifikate eingesetzten Schlüsselpaare regelmäßig an aktuelle nationale Sicherheitsanforderungen angepasst werden.

Nachhaltig sichere Zertifizierungsdienste beruhen auf zuverlässigen Kontrollmechanismen. Über Sperrlisten (Certificate Revokation List) und hochverfügbare Verzeichnisdienste wird sichergestellt, dass der aktuelle Status eines Zertifikats jederzeit ermittelt werden kann. Für den Fall, dass bestimmte Fristen eingehalten werden müssen, bieten leistungsfähige Trustcenter mit den Funktionen eines elektronischen Zeitstempels zusätzlich rechtskräftige Datumsnachweise für gesicherte Daten an.

Verlässliche Prozesse

In ausführlichen Sicherheitskonzepten dokumentieren die Trustcenter, mit welchen baulichen, technischen, organisatorischen und personellen Maßnahmen sie für verlässliche Prozesse garantieren. Sie müssen ferner Datenschutzbestimmungen einhalten und Haftungsvorsorge treffen. Trotz der hohen Anforderungen an die Trustcenter muss auch der Signaturanwender seinen Teil zur Sicherheit beitragen, indem er seine Signaturerstellungseinheit immer unter persönlicher Kontrolle hält und sie nur in einer sicheren Systemumgebung einsetzt.

In der Praxis können elektronische Signaturen entweder einzeln oder in beschleunigten Verfahren (Komfort-, Stapel-, Serversignatur) angebracht werden. Gerade automatisierte Mehrfachsignaturverfahren ermöglichen schlanke Arbeitsprozesse, die Unternehmen zu großen Einsparungen verhelfen können. In den letzten Jahren hat sich eine Vielzahl von konkreten Einsatzszenarien für die elektronische Signatur in den Bereichen E-Government, E-Invoicing, E-Banking und E-Health ergeben, die immer größere Akzeptanz finden. Viele Unternehmen setzen auch eigene Signaturprojekte nach ihren individuellen Anforderungen um.

Einheitliche Standards

Die Erfahrungen mit der elektronischen Signatur haben gezeigt, dass es zu ihrer erfolgreichen Verbreitung bestimmter Flankierungsmaßnahmen bedarf: Zum einen braucht es die politische Forcierung konkreter Signaturprojekte. Zum anderen werden einheitliche technische Standards benötigt, um die Interoperabilität verschiedener Signaturprodukte zu gewährleisten. Innerhalb Deutschlands ist diese Standardisierung auf einem guten Wege, wobei D-Trust mit seinen Produkten eine Vorreiterrolle einnimmt. Auf europäischer Ebene gibt es Standards von ETSI und EESSI, die allerdings Spielräume offen lassen; auf internationaler Ebene ist der X.09- Standard als Zertifikatsformat anerkannt.

Viele Menschen besitzen bereits ein Dokument, das mit einer elektronischen Signatur und einer PKI ausgestattet ist: der elektronische Reisepass. Um die personenbezogenen Daten im ePass vor Missbrauch zu schützen, müssen entsprechende Maßnahmen zu ihrer Absicherung getroffen werden. So werden diese Daten verbindlich signiert und der Zugriff darauf mit Hilfe von PKI-Mechanismen gesichert. Immer mehr ID-Dokumente werden auch mit Personenzertifikaten versehen bzw. darauf vorbereitet, so dass die Inhaber damit selbst elektronisch signieren können.

Erfahren und vielseitig

Unter den wenigen deutschen akkreditierten Zertifizierungsdiensteanbietern zählt die D-Trust zu den erfahrensten und vielseitigsten. Das Spektrum der Dienstleistungen reicht von der Erstellung eines einzelnen Personenzertifikats bis zur Bereitstellung einer kompletten PKI für eine Behörde oder ein Unternehmen. Das Trustcenter tut sich besonders hervor durch kundenfreundliche Lösungen (Plattformen zur elektronischen Rechnung, PUK für Signaturkarten), eine Vorreiterrolle bei der Umsetzung technischer Neuerungen (frühzeitige Einführung der 2048bit-Signaturschlüssel) und sein praktisches Engagement für Standardisierungen (ISIS-MTT, European Bridge CA).

In puncto Unternehmenssicherheit ist D-Trust auch wegen der entsprechend hohen Maßstäbe des Mutterunternehmens vorbildlich. Dass D-Trust sowohl qualifizierte Zertifikate als auch qualifizierte Zertifikate mit Anbieterakkreditierung herausgeben kann, ist ein wichtiges Alleinstellungsmerkmal auf dem deutschen Markt und erlaubt es dem Unternehmen, besonders flexibel auf Kundenwünsche einzugehen. Inzwischen ist das Unternehmen einer der führenden Anbieter rechtssicherer, flexibler und interoperabler Lösungen in allen Bereichen der elektronischen Kommunikation.

Kontakt:

Bundesdruckerei GmbH,
Berlin
Tel.: 030/2598-0
Fax: 030/2598-2205
info@bundesdruckerei.de
www.bundesdruckerei.de