Neue APIs für das eIDAS-Ökosystem

Detlef Hühnlein, Ulrike Korte, Andreas Kühne, Andrea Röck


OASIS und ETSI schaffen Programmierschnittstellen für die Erstellung, Validierung und langfristige Bewahrung von Signaturen, Siegeln, Zeitstempeln und Beweisdaten und bilden somit die Grundlage für die Entwicklung einer umfassenden „eIDAS-API“.

Mit der seit Juli 2016 vollständig anwendbaren „eIDAS-Verordnung“ haben sich zahlreiche neue Möglichkeiten zur vertrauenswürdigen Digitalisierung von Geschäftsprozessen in Wirtschaft und Verwaltung eröffnet. Damit diese Chancen auch praktisch genutzt werden können, haben die Standardisierungskomitees OASIS DSS-X und ETSI ESI kürzlich entsprechende Standards für die Erstellung, Validierung und langfristige Bewahrung von Signaturen, Siegeln, Zeitstempeln und Beweisdaten entwickelt. Der vorliegende Beitrag liefert einen kompakten Überblick über die neu geschaffenen Programmierschnittstellen (Application Programming Interface, API) und liefert einen Ausblick auf zukünftige Entwicklungen.

Einleitung

Die „Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG“, die gemeinhin als „eIDAS-Verordnung” bekannt ist, verspricht das Vertrauen und die Effizienz von elektronischen Transaktionen in Europa zu steigern. Mit ihr wurde das bisherige Europäische Rahmenwerk für elektronische Signaturen und Zeitstempel um zahlreiche neue Vertrauensdienste und Aspekte der elektronischen Identifizierung erweitert. Neben der im Erwägungsgrund (52) erwähnten Fernsignatur, wurden in den Artikeln 33, 34 und 40 insbesondere auch Dienste zur Validierung und langfristigen Bewahrung von Signaturen und Siegeln eingeführt. Um die praktische Nutzung dieser neuen Vertrauensdienste in einer interoperablen Weise zu ermöglichen und somit ein solides Fundament für ein prosperierendes und langfristig tragfähiges „eIDAS-Ökosystem“ zu schaffen, haben die für elektronische Signaturtechnologien zuständigen Standardisierungskomitees bei OASIS (Digital Signature Services eXtended, DSS-X) und ETSI (Electronic Signatures and Infrastructures, ESI) nun entsprechende Standards für Programmierschnittstellen (Application Programming Interface, API) zur Erstellung, Validierung und langfristige Bewahrung von Signaturen, Siegeln, Zeitstempeln und Beweisdaten vorgelegt. Der vorliegende Artikel vermittelt einen groben Überblick über die neu geschaffenen Programmierschnittstellen und und geht darüber hinaus kurz auf mögliche zukünftige Entwicklungen ein.

Die neuen API-Standards

Überblick

Wie in Abbildung 1 angedeutet, stellen die neuen API-Standards Programmierschnittstellen für die wichtigen Dienste im eIDAS-Ökosystem bereit. Hierbei können über den Signatur- und Siegelerstellungsdienst (SigS) entsprechende Signaturen und Siegel erstellt, über den Validierungsdienst (ValS) geprüft und schließlich mit dem Bewahrungsdienst (PresS) langfristig beweiskräftig aufbewahrt werden. Dazu nutzen die Anwendungssysteme die bei ETSI ESI und OASIS DSS-X entwickelten Webservice-basierten Programmierschnittstellen. Während die Schnittstellen für die Erstellung (ETSI TS 119 432) und Validierung von elektronischen Signaturen und Siegeln (ETSI TS 119 442) auf der neuen Version 2.0 des OASIS DSS-X Core aufsetzen und diesen profilieren bzw. für JSON und die Erstellung auch auf den Vorarbeiten des von Adobe geführten „Cloud Signature Consortium“, werden für die Schnittstelle zum Bewahrungsdienst (ETSI TS 119 512) nur die grundlegenden Schemadateien von OASIS („Base“) importiert und es wird eine entsprechende Erweiterung vorgenommen. Neben den im Folgenden näher betrachteten technischen Schnittstellenspezifikationen wurden mit ETSI TS 119 431 (Teil 1 und Teil 2), ETSI TS 119 441 und ETSI TS 119 511 entsprechende Sicherheitsanforderungen spezifiziert, die die Grundlage für die Konformitätsprüfung von (qualifizierten) Vertrauensdiensten gemäß der eIDAS-Verordnung bilden.

 

Ein Bild, das Screenshot enthält.

Automatisch generierte Beschreibung

Abbildung 1: Die neuen Signatur-APIs im Überblick

 

OASIS DSS-X Core 2.0

Im Rahmen eines auf Signaturdienste spezialisierten „Technical Committee“ (TC) wurde bei der internationalen Standardisierungsorganisation OASIS bereits im Jahre 2007 eine Kernspezifikation („Core“) standardisiert, die die Basisfunktionalität für die Erstellung (SignRequest / -Response) und Validierung (VerifyRequest / -Response) von CMS- und XMLDSig-konformen Signaturen festlegt. Aufgrund der großen Bandbreite von Anforderungen aus den verschiedenen Einsatzbereichen von Signaturen und Zeitstempeln wurde die Kernspezifikation um eine Reihe von sog. Profilen („Profile“) erweitert, z.B. für den Einsatz für Code Signing, Entity Seals oder für die Verarbeitung von XAdES- und CAdES-konformen Artefakten. In den Folgejahren wurden weitere Profile entwickelt, z.B. für detaillierte Signaturprüfberichte und zur Signaturerstellung mit nicht in der Serverinstanz lokalisierten Signaturerstellungseinheiten.

Aufbauend auf diesen Vorarbeiten wurden im OASIS Digital Signature Services eXtended (DSS-X) TC mit der Version 2.0 des Core die Herausforderungen einer neuen API-Landschaft adressiert und die Semantik der Schnittstelle von der konkreten Umsetzung in eine bestimmte Syntax separiert. Neben der von Version 1 geerbten XML-Syntax wird nun auch das in modernen Webanwendungen oftmals eingesetzte JSON unterstützt und weitere Syntaxen könnten bei Bedarf zusätzlich definiert werden. Denkbar wäre hier beispielsweise eine ASN.1-Syntax, um mit den „Packed Encoding Rules“ (PER) ein besonders kompaktes Format für mobile und eingebettete Anwendungen im „Internet der Dinge“ zu ermöglichen. Um eine möglichst große Sichtbarkeit und gute Akzeptanz des Standards sicherzustellen, hat das DSS-X TC in Zusammenarbeit mit dem OASIS-Infrastruktur-Team begonnen, die Schnittstelle auf der Kollaborationsplattform „SwaggerHub“ bereitzustellen. Dazu wird das JSON-Schema um eine Reihe von Meta-Informationen erweitert, um der OpenAPI-Spezifikation zu entsprechen.

Durch die jüngst bei ETSI und aktuell bei OASIS entstehenden Profile können die spezifischen Eigenschaften der AdES-Signaturformate in Verbindung mit lokalen und entfernten eIDAS-konformen Signaturerstellungseinheiten über die DSS-X-Schnittstelle genutzt werden. Durch die zusätzlichen Attribute der Signaturen (z.B. die eingebetteten Zertifikatstatusinformationen, Zeitstempel oder Evidence Records) wird eine breite Anwendbarkeit dieser Formatfamilie ermöglicht. Seit der initialen Standardisierung werden die zugehörigen Schnittstellenerweiterungen für die Formate XAdES und CAdES durch das AdES-Profil definiert. Im Rahmen der Version 2.0 wird aktuell das AdES-Profil dahingehend erweitert, dass die zwischenzeitlichen Weiterentwicklungen der AdES-Formate berücksichtigt werden. Insbesondere wird auch das auf der PDF-Spezifikation basierende PAdES-Format gemäß ETSI EN 319 142-1 unterstützt, mit dem mehrfache Signaturen in einem Workflow und die visuelle Repräsentation einer elektronischen Signatur in einem PDF-Dokument realisiert werden können.

Für den Einsatz im eIDAS-Umfeld erweist sich die Unterstützung von sog. „Policies“ durch die DSS-X-Spezifikation als wertvoll. Damit kann der Aufrufer eine für die gewünschte Aktion erforderliche „Policy“ an den Dienst übermitteln. Die angesprochene Serverinstanz entscheidet, ob sie dem geforderten Qualitätsniveau gerecht werden kann oder ob die Anfrage abgewiesen werden muss. Wird die Anforderung bearbeitet, so kann in der Antwortstruktur die angewandte „Policy“ an den Aufrufer übertragen werden. So wird sichergestellt, dass ein Konsens über das mindestens anzuwendende Qualitätsniveau erreicht wurde.

ETSI TS 119 432

ETSI TS 119 432 basiert auf Version 2.0 des OASIS DSS-X Core bzw. für JSON auch auf den Vorarbeiten des von Adobe geführten „Cloud Signature Consortium“ und spezifiziert Schnittstellen für die mit der eIDAS-Verordnung ermöglichten Fernsignatur. Hierbei wird im Einklang mit dem bei CEN erarbeiteten Standard CEN EN 419 241 (Teil 1 und Teil 2) zwischen der „Serversignaturanwendung“ („Server Signing Application“, SSA) und der „Signaturerstellungsanwendung“ („Signature Creation Application“, SCA) unterschieden, die jeweils entsprechende Webservice-Schnittstellen anbieten. Während die SSA ein HSM-basiertes „Unterschriftsaktivierungsmodul“ („Signature Activation Module“, SAM) enthält, das nach einer starken Authentisierung des Unterzeichners im „Signaturaktivierungsprotokoll“ („Signature Activation Protocol“, SAP) unter Verwendung der „Unterzeichner-Interaktionskomponente“ („Signer Interaction Component“) die Erstellung der rohen digitalen Signatur in einem „Low-Level-Format“ (z.B. RSA gemäß PKCS#1 oder ECDSA) auslöst, sorgt die SCA für die Bildung des erweiterten AdES-Signaturformats gemäß ETSI EN 319 122 (CAdES), ETSI EN 319 132 (XAdES) oder ETSI EN 319 142 (PAdES).

 

Abbildung 2: Fernsignatursystem gemäß ETSI TS 119 432

 

ETSI TS 119 442

ETSI TS 119 442 definiert drei verschiedene Programmierschnittstellen, jeweils eine für Dienste, die Signaturvalidierung („Validation“ per VerifyRequest / VerifyResponse), Signaturerweiterung („Augmentation“ per AugmentRequest / AugmentResponse), oder beides kombiniert anbieten. Die erste Version dieses Dokuments behandelt die Validierung und Erweiterung von AdES-Signaturen, welche den aktuellen ETSI-Standards, wie z. B. ETSI EN 319 122 (CAdES), ETSI EN 319 132 (XAdES) und ETSI EN 319 142 (PAdES) bzw. den vorausgegangenen AdES-Spezifikationen entsprechen. Bezüglich der AdES-Spezifikationen sind hier insbesondere die im Durchführungsbeschluss (EU) 2015/1506 erwähnten „Baseline Profiles“ ETSI TS 103 171, ETSI TS 103 172 und ETSI TS 103 173 bzw. die diesen Dokumenten zu Grunde liegenden AdES-Spezifikationen ETSI TS 101 733, ETSI TS 102 778 und ETSI TS 101 903 relevant.

Zukünftige Versionen dieses Dokuments könnten zum Beispiel auch die Validierung von Zeitstempeln, Evidence Records oder von Signaturen in ASiC-Containern behandeln.

ETSI TS 119 442 basiert so weit wie möglich auf Version 2.0 des OASIS DSS-X Core. Zum Zeitpunkt der Finalisierung von ETSI TS 119 442 war die endgültige Version des neuen OASIS DSS-X Core noch nicht veröffentlicht, so dass bei der Entwicklung des ETSI TS 119 442 letztlich auf eine Entwurfsversion des OASIS-Dokumentes aufgebaut werden musste. In Fällen, in denen der Funktionsumfang des OASIS-Drafts nicht ausreichend schien, um die gewünschte Funktionalität der Programmierschnittstelle zu bieten, wurden neue Elemente definiert.

Ähnlich wie in Version 2.0 des OASIS DSS-X Core wird jedes Element der Programmierschnittstelle zuerst allgemein beschrieben, bevor entsprechende Syntaxen für XML und JSON beschrieben werden.

Die definierte Validierungsschnittstelle erlaubt es, zusätzlich zur Signatur, statt dem signierten Dokument nur den Hash des entsprechen Dokumentes zu senden. Diese Funktionalität kann sehr nützlich sein, falls das signierte Dokument entweder sehr groß ist oder falls es aus Datenschutz- oder Geheimhaltungsgründen vermieden werden soll, dass es vollständig zum Validierungsdienst gesendet wird. Da im Fall einer Signaturerweiterung möglicherweise ein neuer Hash des signierten Dokuments berechnet werden muss, ist diese Option bei der Signaturerweiterung nicht vorgesehen.

Falls mehr als eine Signatur in einem Dokument enthalten ist, erlaubt es die Programmierschnittstellen nur einen Teil dieser Signaturen für die Validierung und/oder Erweiterung auszuwählen. Außerdem kann bei einem Aufruf spezifiziert werden, wie viele Details in der Antwort zurückgeliefert werden sollen. Dies kann von einer sehr einfachen Antwort bis zu einem umfassenden und signierten Signaturprüfbericht gemäß ETSI TS 119 102-2 reichen, wie er zur Erfüllung der Anforderungen aus Artikel 33 Absatz 1 (b) der eIDAS-Verordnung benötigt wird.

ETSI TS 119 512

Als Grundlage für die Entwicklung der technischen Spezifikationen im Bereich der Bewahrungsdienste wurde in ETSI ESI zunächst in einer Vorstudie ein Spezialbericht (“Special Report”) ETSI SR 019 510 erarbeitet. Auf dieser Basis erfolgte sodann die Entwicklung des eigentlichen Protokollstandards ETSI TS 119 512  und der zugehörigen Sicherheitsanforderungen („Policy and Security Requirements “) ETSI TS 119 511.

Wie in Abbildung 3 dargestellt, stellt ein Bewahrungsdienst gemäß ETSI TS 119 512 eine „Preservation-API“ bereit, die z.B. dazu genutzt wird, die zur langfristigen Aufbewahrung vorgesehenen Datenobjekte („Preservation Objects“) an einen Bewahrungsdienst zu senden. Ein Bewahrungsdienst kann wiederum externe Zeitstempeldienste („Time-Stamping Authority“) gemäß ETSI EN 319 422, Signatur- und Siegel-Erstellungsdienste (SigS) oder Validierungsdienste (ValS) nutzen, um Sperrinformationen abzurufen und um digitale Signaturen prüfen zu lassen. Alternativ kann der Bewahrungsdienst selbst die notwendigen Zertifikate zusammentragen und Zertifikatsstatusinformationen beim zuständigen Zertifikatsstatusdienst („Certificate Status Authority“) einholen.

Dabei gibt es drei Hauptvarianten für Bewahrungsdienste, abhängig von der Frage, ob sie (a) mit einem Langzeitspeicher („with long-term storage“, WST), (b) mit einem temporären Speicher („with a temporary storage“, WTS) oder (c) ohne Speicher („without storage“, WOS) betrieben werden. Im WST-Fall kann der Bewahrungsdienst einen internen Speicher oder einen externen Speicher unter seiner Kontrolle für die Bewahrung nutzen. Ein solcher Bewahrungsdienst mit Speicher funktioniert insgesamt sehr ähnlich, wie eine „TR-ESOR-Middleware“ gemäß der BSI-Richtlinie TR-03125, in der aktuell auch die „Preservation-API“ gemäß ETSI TS 119 512 integriert wird.

 

Abbildung 3: System mit Bewahrungsdienst

 

Die bei ETSI entwickelten Bewahrungsstandards ETSI TS 119 511 und ETSI TS 119 512 erlauben es, unterschiedliche Strategien für die Bewahrung („Preservation Schemes“) zu definieren und mit so genannten Bewahrungsprofilen („Preservation Profiles“) umzusetzen.

Die Bewahrungsprofile können wiederum die folgenden Bewahrungsziele verfolgen:

  • PDS („Preservation of digital signatures”) – zum Beweis der Existenz und zur Bewahrung des Status digitaler Signaturen,
  • PGD („Preservation of general data”) – zum Beweis der Existenz beliebiger Daten, die entweder signiert oder nicht signiert sein können, und
  • AUG („Augmentation“) – für die Erweiterung von Beweisdaten, die von einem anderen Bewahrungsdienst erzeugt wurden, um eine langfristig beweiskräftige Bewahrung zu ermöglichen.

Die in ETSI TS 119 512 spezifizierten Bewahrungsstrategien nutzen entweder Evidence Records gemäß RFC 4998 bzw. RFC 6283, die für CAdES und XAdES vorgesehenen Archivzeitstempel oder die für PAdES vorgesehenen Dokumentenzeitstempel.

Abhängig vom Speichermodell (WST, WTS, WOS) müssen (M) bzw. können (K) die verschiedenen Operationen, wie in der folgenden Tabelle dargestellt, von einem Bewahrungsdienst gemäß ETSI TS 119 512 umgesetzt werden:

 

Operation

Speichermodell

Beschreibung der Funktion

 

WST

WTS

WOS

 

Retrieve
Info

M

M

M

Liefert Informationen über die vom Bewahrungsdienst unterstützten Profile

PreservePO

M

M

M

Übergabe von Datenobjekten (“Preservation Object”, PO)

RetrievePO

M

M

/

Abruf von Datenobjekten (Nutz- und Beweisdaten)

DeletePO

M

/

/

Löschen von Datenobjekten

UpdatePOC

K[1]

/

/

Erweiterung eines Aufbewahrungscontainers um eine neue Version

Retrieve
Trace

K

K

K

Abruf von Protokolldaten

Validate
Evidence

K

K

K

Validierung von Beweisdaten

Search

K

K

/

Suche nach einem bestimmten
Datenobjekt

Tabelle 1: Operationen der Preservation-API



Ähnlich wie bei den anderen API-Spezifikationen wurde auch in ETSI TS 119 512 zunächst die Semantik einer Operation definiert, bevor die konkrete Syntax für XML und JSON spezifiziert wurde.

Auf dem Weg zur „eIDAS-API“ und zur Interoperabilität für das eIDAS-Ökosystem

Ausgehend von den bislang von OASIS und ETSI vorgelegten Programmierschnittstellen ist es nur noch ein vergleichsweise kleiner Schritt hin zu einer umfassenden „eIDAS-API“, über die alle Dienste des eIDAS-Ökosystems über gängige, Webservice-basierte Mechanismen auf Basis von XML/SOAP oder JSON/REST angesprochen werden können.

Hierfür muss lediglich ein für die jeweiligen Technologieausprägungen geeigneter Authentisierungs- und Autorisierungsmechanismus ergänzt werden. Während bei SOAP der Einsatz von Web Service Security Mechanismen naheliegend ist, bietet sich bei REST der Einsatz von OAuth gemäß RFC 6749 bzw. allgemeiner der Einsatz von HTTP/1.1 basierten Authentisierungsmechanismen gemäß RFC 7235 an.

Eine solche „eIDAS-API“ wird sinnvoller Weise nicht nur die hier beschriebenen Funktionen zur Erstellung, Validierung  und Bewahrung von Signaturen, Siegeln und Zeitstempeln  umfassen, sondern auch die anderen Dienste des eIDAS-Ökosystems in geeigneter Weise integrieren. Dies umfasst nicht nur die elektronische Identifizierung und die auf dieser Basis sehr effizient mögliche Ausstellung von (qualifizierten) Zertifikaten, sondern beispielsweise auch die vertrauenswürdige Übermittlung und Zustellung elektronischer Dokumente und Einschreiben. Um die nahtlose und gleichzeitige Nutzung von Chipkarten- und HSM-basierten Signaturerstellungseinheiten zu ermöglichen, empfiehlt sich der Einsatz des kürzlich vorgeschlagenen und aktuell in OASIS DSS-X standardisierten „Local and Remote Signature Profile“, bei dem lokale und entfernte Signaturerstellungseinheiten über weitgehend identische Schnittstellen angesprochen werden können. Erste Schritte zur praktischen Umsetzung der geplanten „eIDAS-API“ wurden kürzlich mit dem Start des FutureTrust-Pilotportals und der Einsetzung der go.eIDAS-Arbeitsgruppe „API-Interoperabilität“ unternommen. Schließen Sie sich uns dort an, um den Traum von einem interoperablen eIDAS-Ökosystem Wirklichkeit werden zu lassen!


[1] Die Funktion setzt voraus, dass das verwendete Containerformat die Versionierung grundsätzlich unterstützt.

Besichtigung des „eIDAS-Ökosystems”

Die „Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG”, die gemeinhin als „eIDAS-Verordnung” bekannt ist, verspricht das Vertrauen und die Effizienz von elektronischen Transaktionen in Europa zu steigern. In diesem Blogeintrag wollen wir ins Gedächtnis zurückrufen, worum es in der eIDAS-Verordnung geht, und wir möchten Sie herzlich einladen, mit uns zu einem „virtuellen Aussichtspunkt” hinaufzusteigen, von dem aus die wesentlichen Teile und Dienste des „eIDAS-Ökosystems“ und ihr Zusammenspiel erkennbar werden, so dass Sie die existierenden Vertrauensdienste in einer interaktiven eIDAS-Landkarte erkunden und das generelle Potential  und Ihre individuellen Vorteile  durch diese EU-Verordnung erkennen können.

Das „eIDAS-Ökosystem” auf einem Blick

Wie in der Abbildung gezeigt, umfasst das „eIDAS-Ökosystem” insbesondere den „Benutzer”, der einen „eIDAS-basierten Transaktionsdienst” nutzt. Dieser Transaktionsdienst greift wiederum auf eine Reihe von weiteren „eIDAS-Diensten” zu, deren Vertrauenswürdigkeit durch das „eIDAS Vertrauenssystem” sichergestellt wird.

Das „eIDAS Vertrauenssystem”, welches auf Grund der ausgefeilten, darin zusammenwirkenden Mechanismen eine gesonderte Behandlung in einem zukünftigen Blogeintrag verdient, stellt die vertrauenswürdige Basis für das „eIDAS-Ökosystem” bereit, die durch eine sorgfältig ausgewählte Kombination von Maßnahmen wie Akkreditierung, Konformitätsbewertung, Überwachung und Vorfallsbehandlung erreicht wird.

Während auch das Reich der „eIDAS-basierten Transaktionsdienste” facettenreich genug ist, um besser in zukünftigen Blogeinträgen behandelt zu werden, sollen die „eIDAS-Dienste“ im Folgenden kurz vorgestellt und näher erläutert werden, da sie das funktionale Herz des „eIDAS-Ökosystems“ bilden.

Die „eIDAS-Dienste” umfassen den „Identifizierungsdienst” (eID-Service) gemäß Kapitel II der eIDAS-Verordung und verschiedene „Vertrauensdienste“ (Trust Services) gemäß Artikel 3 (16) und Kapitel III der eIDAS-Verordnung. Diese umfasst insbesondere

Identifizierungsdienst (eID-Service)

Der „Identifizierungsdienst“ (eID-Service) ermöglicht die sichere Identifizierung und Authentifizierung von Benutzern und juristischen Personen. Hierbei können die gemäß
Artikel 9 notifizierten Identifizierungssysteme sowie weitere geeignete Mittel zur Identifizierung und Authentifizierung genutzt werden. Für die Bewertung des Sicherheitsniveaus eines Identifizierungssystems bzw. Identifizierungsmittels sind in Artikel 8 der eIDAS-Verordnung die Stufen „niedrig“, „substanziell“ und „hoch“ definiert und detaillierte Anforderungen finden sich im zugehörigen Durchführungsrechtsakt DVO (EU) 2015/1502. Notifizierte Identifizierungssysteme, die zumindest die Stufe „substanziell“ erreichen, werden gemäß Artikel 6 der eIDAS-Verordnung von den EU-Mitgliedsstaaten bei grenzüberschreitenden Transaktionen gegenseitig anerkannt.

Zertifizierungsdienst (Certification Authority, CA)

Ein „Zertifizierungsdienst” (Certification Authority, CA) erzeugt elektronische Zertifikate und stellt diese für Benutzer und andere Entitäten (Zertifikatsinhaber, Subject) aus. Dies kann entweder direkt oder vermittelt über einen entsprechenden Dienst, wie z.B. dem „eIDAS-basierten Transaktionsdienst“ oder dem „Signatur- und Siegelerstellungsdienst“ (SigS) erfolgen. In diesem Fall interagiert der Dienst mit dem CA-System und bestimmt zusammen mit dem „Identifizierungsdienst” die Identität des Zertifikatsinhabers, indem die entsprechenden Identitätsattribute geprüft und bestätigt werden, die schließlich mit dem öffentlichen Schlüssel des Zertifikatsinhabers kombiniert und zur Erstellung des Zertifikates vom „Zertifizierungsdienst“ signiert werden.

Zeitstempeldienst (Time Stamping Authority, TSA)

Die Möglichkeit die Existenz bestimmter Daten zu einem bestimmten Zeitpunkt beweisen zu können, ist eine Anforderung, die bei vielen elektronischen Transaktionen (z.B. für elektronische Signaturen, bei der Verwaltung elektronischer Rechte, bei elektronischen Verträgen oder für beweiskräftige Aufzeichnungen) benötigt wird. Zu diesem Zweck erhält ein „Zeitstempeldienst“ (Time Stamping Authority, TSA) die mit einem Zeitstempel zu versehenden Daten, oder einen Hashwert davon, und liefert einen Zeitstempel zurück, der neben dem Hashwert der Daten eine zuverlässige Zeitangabe umfasst und mit einer Signatur des Zeitstempeldienstes versehenen ist.

Signatur- und Siegelerstellungsdienst (Signature Generation & Sealing Service SigS)

Der „Signatur- und Siegelerstellungsdienst” (Signature Generation & Sealing Service, SigS) ermöglicht die Erzeugung von (qualifizierten) elektronischen Signaturen gemäß Abschnitt 4 und (qualifizierten) elektronischen Siegeln gemäß Abschnitt 5 der eIDAS-Verordnung in technischen Formaten, wie z.B. CAdES, XAdES und PAdES.

Validierungsdienst (Validation Service, ValS)

Die (qualifizierten) elektronischen Signaturen und Siegel, die mit dem oben erläuterten SigS erzeugt werden, können mit dem „Validierungsdienst“ (Validation Service, ValS) geprüft werden. Hierzu nutzt der ValS die in den Vertrauenslisten gemäß Artikel 22, bzw. dem Durchführungsbeschluss DFB (EU) 2015/1506 und ETSI TS 119 162(v2.1.1), enthaltenen Zertifikate als Vertrauensanker und führt eine Signaturprüfung gemäß EN 319 102-1 in Verbindung mit einer geeigneten Signaturprüfungspolitik (Signature Validation Policy) durch.

Bewahrungsdienst (Preservation Service, PresS)

Die langfristige Aufbewahrung signierter Dokumente macht eine Form der Aufbewahrung notwendig, die die Lesbarkeit und den Erhalt der Beweiskraft der Dokumente und Signaturen unabhängig vom Speichermedium sicherstellt. Um die rechtliche Gültigkeit und die Beweiskraft elektronischer Signaturen und Siegel langfristig zu erhalten, müssen geeignete Bewahrungstechniken eingesetzt werden, wie sie in ETSI SR 019 510 beschrieben sind. Die Aufbewahrungstechniken, die von einem „Bewahrungsdienst“ (Preservation Service, PresS) gemäß Artikel 34 der eIDAS-Verordnung umgesetzt werden müssen, können sich auf Evidence Records gemäß RFC 4998 oder RFC 6283 oder die kontinuierliche Konservierung von Signaturen mit Archivzeitstempeln gemäß CAdES oder XAdES stützen.

Zustelldienst (Electronic Delivery Service, EDS)

In der papierbasierten Welt kann durch den Versand eines Briefs als Einschreiben sicher erkannt werden, dass ein Brief wirklich den Empfänger erreicht hat. Diese Dienstleistung wird durch die Postdienstleister angeboten. In diesem Fall schreibt der Absender seine Nachricht auf ein Stück Papier und steckt dieses in einen abgeschlossenen Umschlag, auf dem die Adresse des Empfängers vermerkt ist und verschickt diesen schließlich mit der Post. Die Zurechenbarkeit, die Vertraulichkeit und die Unversehrtheit des Briefs wird weitgehend durch den Absender sichergestellt, während der Postdienstleister vor allem die Gewähr für die Verfügbarkeit und die korrekte Zustellung der Sendung übernimmt.

Gemäß Artikel 44 der eIDAS-Verordnung müssen „qualifizierte Dienste für die Zustellung elektronischer Einschreiben […] folgende Anforderungen erfüllen:

  1. Sie werden von einem oder mehreren qualifizierten Vertrauensdiensteanbietern erbracht.
  2. Sie stellen die Identifizierung des Absenders mit einem hohen Maß an Vertrauenswürdigkeit sicher.
  3. Sie stellen die Identifizierung des Empfängers vor der Zustellung der Daten sicher.
  4. Das Absenden und Empfangen der Daten ist durch eine fortgeschrittene elektronische Signatur oder ein fortgeschrittenes elektronisches Siegel eines qualifizierten Vertrauensdiensteanbieters auf eine Weise gesichert, die die Möglichkeit einer unbemerkten Veränderung der Daten ausschließt.
  5. Jede Veränderung der Daten, die zum Absenden oder Empfangen der Daten nötig ist, wird dem Absender und dem Empfänger der Daten deutlich angezeigt.
  6. Das Datum und die Zeit des Absendens, Empfangens oder einer Änderung der Daten werden durch einen qualifizierten elektronischen Zeitstempel

Vor dem Hintergrund dieser Anforderungen ist es offensichtlich, dass ein „Zustelldienst“ (Electronic Delivery Service, EDS) eine Vielzahl weiterer eIDAS-Dienste umfasst bzw. nutzen muss. Dies umfasst z.B. den „Identifizierungsdienst“, den „Signatur- und Siegelerstellungsdienst“ (SigS), den „Validierungsdienst“ (ValS), den „Zeitstempeldienst“ (TSA) und muss die vom „Zertifizierungsdienst“ (CA) bereitgestellten Zertifikatstatusinformationen auswerten.

Entdecken Sie das Potenzial von eIDAS mit der interaktiven eIDAS-Landkarte

Der EDS ist ein schönes Beispiel dafür, dass verschiedene grundlegende „eIDAS-Dienste“ zu einem umfassenderen „eIDAS-Dienst“ bzw. einem „eIDAS-basierten Transaktionsdienst“ für anwendungsspezifische Anforderungen zusammengefasst werden können. Ein zentraler Aspekt der eIDAS-Verordnung ist, dass durch sie die regulatorischen Anforderungen für elektronische Identifizierungsdienste und Vertrauensdienste europaweit harmonisiert werden und auch der rechtliche Effekt von notifizierten Identifizierungssystemen (siehe Artikel 6), elektronischen Signaturen (siehe Artikel 25), elektronischen Siegeln (siehe Artikel 35), Zeitstempeln (siehe Artikel 41), elektronischen Zustelldiensten (siehe Artikel 43) und nicht zuletzt elektronischen Dokumenten (siehe Artikel 46) nun europaweit einheitlich geregelt ist.

Deshalb können Anbieter und Nutzer von Vertrauens- und Transaktionsdiensten aus der großen Anzahl qualifizierter Vertrauensdiensteanbieter, die derzeit im Europäischen Markt aktiv sind, auswählen und diese über die heute bereitgestellte interaktive eIDAS-Landkarte leicht erkunden. Diese Landkarte bietet jeweils einen tagesaktuellen Überblick über die am Europäischen Markt agierenden Vertrauensdiensteanbieter und ihre derzeit angebotenen Vertrauensdienste.

Der individuelle Nutzen der eIDAS-Verordnung – Was bringt mir eIDAS?

Welche spezifischen Vorteile und welchen Nutzen die eIDAS-Verordnung für Sie genau bereithält, hängt von Ihrer spezifischen Rolle im „eIDAS-Ökosystem“ ab. Der Vorteil für Anbieter von „eIDAS-Diensten“ ist, dass diese nun ihre Dienste in ganz Europa anbieten und verkaufen können, was neue und sehr interessante Vermarktungsmöglichkeiten beinhaltet. Der Vorteil für Benutzer ist, dass diese nun aus einer Vielzahl von angebotenen Vertrauensdiensten mit wohldefinierter Vertrauenswürdigkeit wählen können und die mit der Nutzung dieser Dienste verbundenen Rechtsfolgen klar definiert sind. Der möglicherweise größte mit der eIDAS-Verordnung einhergehende Vorteil existiert jedoch für „eIDAS-basierte Transaktionsdienste“, die Gegenstand eines zukünftig erscheinenden Blogeintrags sein werden.

Danksagung

Wir erkennen dankbar an, dass dieser Blogeintrag auf Inhalten aufbaut, die im FutureTrust-Projekt erarbeitet wurden, das unter dem Förderkennzeichen No. 700542 Fördermittel aus dem Forschungs- und Innovationsprogramm „Horizont 2020“ der Europäischen Union erhalten hat.

Innovationspreis Bayern 2016 für SkIDentity als Auftakt für Digitalisierungsoffensive „BayernID“

Nach verschiedenen internationalen Auszeichnungen im letzten Jahr und dem erfolgreichen Abschluss einschlägiger Zertifizierungsverfahren wurde die oberfränkische ecsec GmbH gestern Abend für „SkIDentity–Mobile eID as a Service“ mit dem renommierten Innovationspreis Bayern 2016 ausgezeichnet. Die von der bayerischen Wirtschaftsministerin Ilse Aigner, dem Präsidenten des Bayerischen Industrie- und Handelskammertags, Dr. Eberhard Sasse, und dem Präsidenten der Arbeitsgemeinschaft der bayerischen Handwerkskammern, Georg Schlagbauer, verliehene Auszeichnung bildet den Auftakt für die „BayernID“-Initiative – die auf vertrauenswürdige Identitäten gestützte Digitalisierungsoffensive der bayerischen Wirtschaft.

Innovationspreis Bayern 2016 für „SkIDentity – Mobile eID as a Service“

Bayerns Wirtschaftsministerin Ilse Aigner hat gestern in feierlichem Rahmen im Ehrensaal des Deutschen Museums in München zusammen mit dem Präsidenten des Bayerischen Industrie- und Handelskammertags, Dr. Eberhard Sasse, und dem Präsidenten der Arbeitsgemeinschaft der bayerischen Handwerkskammern, Georg Schlagbauer, den Innovationspreis Bayern 2016 verliehen. Unter insgesamt 187 nominierten Unternehmen wurde die oberfränkische ecsec GmbH für „SkIDentity – Mobile eID as a Service“ ausgezeichnet. „Ich gratuliere dem Unternehmen ecsec GmbH zum Gewinn des Innovationspreises 2016. Mit der Verwandlung elektronischer Identitätsdokumente (eID) in sichere und mobil nutzbare „Cloud Identitäten“, die leicht in beliebigen Cloud- und Webanwendungen für die datenschutzfreundliche Authentifizierung genutzt werden können, hat ecsec einen wichtigen Beitrag für eine sichere und benutzerfreundliche vernetzte Welt geleistet. Es ist außerdem eine wesentliche Voraussetzung für eine erfolgreiche Digitalisierung der Wirtschaft und Gesellschaft“, so Bayerns Wirtschaftsministerin Ilse Aigner.

Sichere elektronische Identitäten für eine erfolgreiche Digitalisierung der Wirtschaft

Die kürzlich vom Bundesminister des Innern vorgelegte „Cyber-Sicherheitsstrategie für Deutschland 2016“ sieht die Bereitstellung und Nutzung sicherer elektronischer Identitäten als wichtige Grundlage für eine nachhaltig erfolgreiche Digitalisierung der Wirtschaft vor: „Einen Kernpunkt stellen die Ausweisdokumente mit Online-Ausweisfunktion dar, mit dem die Bundesregierung bereits eine hochsichere und datensparsame Identifikationsmöglichkeit im Netz bereitstellt. Ziel ist es, die Onlineausweisfunktion – und davon abgeleitete sichere Identitäten – als Standard-Identifizierungsmittel für sensible Dienste zu etablieren, fortzuentwickeln und vergleichbar sichere Lösungen auch in der Wirtschaft zu fördern.“

Durch den ausgezeichneten SkIDentity-Dienst kann unter anderem der elektronische Personalausweis, die österreichische Sozialversicherungskarte (e-card), die estnische Identitätskarte und „e-Residency ID“ sowie diverse Signatur- und Bankkarten für die sichere Umsetzung elektronischer Geschäftsprozesse genutzt werden. Durch das von der Zertifizierungsstelle der TÜV Informationstechnik GmbH (TÜViT) ausgestellte Zertifikat für den SkIDentity-Dienst gemäß dem „Trusted Cloud Datenschutz-Profil für Cloud-Dienste“ (TCDP) mit der höchsten Schutzklasse III und die Zertifizierung der „Secure Cloud Infrastructure (SkIDentity)“ gemäß ISO 27001 auf Basis von IT-Grundschutz durch das Bundesamt für Sicherheit in der Informationstechnik (BSI-IGZ-250) wurde der Nachweis erbracht, dass im SkIDentity-Dienst selbst höchste Ansprüche an Datenschutz und Datensicherheit erfüllt sind.

„BayernID“ – die integrierte Digitalisierungsoffensive für die bayerische Wirtschaft

Der elektronische Personalausweis wird in Bayern bereits seit längerer Zeit erfolgreich für die Digitalisierung von Verwaltungsprozessen genutzt und seit dem 01.07.2016 ist auch die eIDAS-Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Europäischen Binnenmarkt vollständig anwendbar. Darüber hinaus fördert der Freistaat Bayern mit dem „Digitalbonus.Bayern“ die sichere Digitalisierung von Geschäftsprozessen in kleinen und mittleren bayerischen Unternehmen.

Vor diesem Hintergrund haben sich führende bayerische Technologieanbieter, Beratungsunternehmen und Digitalisierungsexperten ausgewählter Industrie- und Handelskammern zusammengeschlossen und mit dem „BayernID“-Paket (http://BayernID.de) ein integriertes Dienstleistungspaket für die intelligente Digitalisierung der Geschäftsprozesse in bayerischen Unternehmen geschnürt. Dieses Paket umfasst die kompetente und unverbindliche Beratung zu generellen Digitalisierungsmaßnahmen und Aspekten der IT-Sicherheit, zeigt die mit der eIDAS-Verordnung verbundenen Chancen auf und stellt bei Bedarf vertrauenswürdige Identitäten, sowie weitere Cloud- und Vertrauensdienste zu Vorzugskonditionen bereit. Neben der mit dem Innovationspreis Bayern 2016 ausgezeichneten ecsec GmbH wird die „BayernID“-Initiative vom international führenden Technologiekonzern Giesecke & Devrient GmbH, dem Fraunhofer-Institut für Arbeitswirtschaft und Organisation (IAO), der SiXFORM GmbH, der Urospace GmbH, dem insbesondere in Bayern aktiven Verein zur Förderung der Nutzung der Online-Ausweisfunktion buergerservice.org e.V., dem IT-Cluster Oberfranken e.V., dem Institut für Informationssysteme der Hochschule Hof (iisys), dem in München ansässigen Anbieter des iDGARD-Dienstes Unsicon GmbH sowie den Industrie- und Handelskammern für Mainfranken Würzburg-Schweinfurt und für Oberfranken Bayreuth unterstützt und ist offen für weitere Partner, die konstruktiv an der Digitalisierung der bayerischen Wirtschaft mitwirken möchten.

Bestandteil der „BayernID“ ist insbesondere auch der neuartige „Video Ident Service“ von Giesecke & Devrient, mit dem der Personalausweis zur Eröffnung eines Bankkontos, zur Aktivierung einer Prepaid SIM-Karte oder zur Identifizierung eines Versicherten im Gesundheitswesen ohne Kartenlesegerät genutzt werden kann. Analog kann damit auch der beim Carsharing regelmäßig notwendige Check des Führerscheins nunmehr online erfolgen. „Wir freuen uns, mit unseren benutzerfreundlichen Sicherheitstechnologien in der BayernID-Initiative einen Beitrag zur erfolgreichen Digitalisierung der bayerischen Wirtschaft leisten zu können“, kommentiert Frank Nordmann, verantwortlich für den Bereich Public Sector bei Giesecke & Devrient. „Die Überprüfung der Identität und des damit verbundenen Dokumentes geschieht wahlweise im Browser oder auch mobil in einer Smartphone App, wobei stets eine elektronische Prüfung der vielfältigen in das Ausweisdokument integrierten Sicherheitsmerkmale und ein Abgleich der Benutzerinformationen stattfindet.“

Der in München ansässige gemeinnützige Verein buergerservice.org e.V. unterstützt die „BayernID“-Initiative mit der vom Verein entwickelten SID-Box (Secure Identity-Box). Mit Hilfe der SID-Box kann mit geringstem Aufwand ein Terminal für die direkte Verwendung der Online-Ausweisfunktion des Personalausweises, ein digital Service Point, hergestellt werden. Unternehmen, Institutionen und Behörden sind damit in der Lage, allen Personen in ihrem Umfeld (Mitarbeitern, Kunden, Mitgliedern usw.), den Zugang zur „BayernID“ auf sehr einfache Art und Weise zu ermöglichen. Die ersten digital Service Points werden derzeit in Kooperationen von Kommune, IHK und buergerservice.org in der Stadt Ansbach und im Landkreis Würzburg eingerichtet.

SkIDentity vom BSI gemäß ISO 27001 und von TÜViT gemäß Trusted Cloud Datenschutz-Profil zertifiziert

Heute wurde im Bundesministerium für Wirtschaft und Energie (BMWi) das von der Zertifizierungsstelle der TÜV Informationstechnik GmbH (TÜViT) ausgestellte Zertifikat für den SkIDentity-Dienst gemäß dem „Trusted Cloud Datenschutz-Profil für Cloud-Dienste“ (TCDP) mit der höchsten Schutzklasse III an die ecsec GmbH übergeben. Außerdem hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die „Secure Cloud Infrastructure (SkIDentity)“ gemäß ISO 27001 auf Basis von IT-Grundschutz zertifiziert (BSI-IGZ-250).

Datenschutz und Datensicherheit das Fundament für erfolgreiche Digitalisierung

Im Rahmen der heutigen Abschlussveranstaltung des Pilotprojekts „Datenschutz-Zertifizierung für Cloud-Dienste“ wurden nicht nur die bemerkenswerten Projektergebnisse samt des auf Basis von ISO/IEC 27002 und ISO/IEC 27018 erarbeiteten Kriterienkatalogs vorgestellt, sondern auch das von der Zertifizierungsstelle der TÜV Informationstechnik GmbH (TÜViT) für den SkIDentity-Dienst ausgestellte Zertifikat gemäß des „Trusted Cloud Datenschutz-Profil für Cloud-Dienste“ übergeben. Wie im Zuge des Prüf- und Zertifizierungsverfahrens nachgewiesen wurde, erfüllt der SkIDentity-Dienst die anspruchsvollen Anforderungen der höchsten Schutzklasse III, so dass mit SkIDentity auch besonders sensible Daten in rechtskonformer Weise verarbeitet werden können.

SkIDentity-Technologie ist nun nicht nur ausgezeichnet, sondern auch zertifiziert

Der bereits mehrfach ausgezeichnete¹ SkIDentity-Dienst (https://skidentity.de) wurde im Rahmen der „Trusted Cloud“ Initiative mit Unterstützung des BMWi entwickelt. Durch ihn können elektronische Identitätsdokumente (eID), wie z.B. der elektronische Personalausweis, sehr leicht in Cloud- und Webanwendungen genutzt werden. Hierbei können aus den elektronischen Ausweisdokumenten kryptographisch geschützte „Cloud Identitäten“ abgeleitet, auf beliebige Smartphones übertragen und dort für die starke pseudonyme Authentisierung oder einen selbstbestimmten Identitätsnachweis in der Cloud genutzt werden. Durch SkIDentity müssen in den angeschlossenen Cloud- und Webanwendungen keine Passworte mehr gespeichert werden, die gestohlen und missbraucht werden könnten.

Wie dem vom BSI ausgestellten Zertifikat (BSI-IGZ-250) entnommen werden kann, war nicht nur der Identitätsmanagement-Dienst von SkIDentity Gegenstand des Zertifizierungsverfahrens gemäß ISO 27001 auf Basis von IT-Grundschutz, sondern die komplette „Secure Cloud Infrastructure (SkIDentity)“, die für den hochsicheren Betrieb von weiteren Cloud- und Webanwendungen genutzt werden kann. „Die Verarbeitung von sensitiven Daten innerhalb von Cloud-Diensten erfordert hohe Sicherheitsstandards. Ein transparenter Nachweis über die korrekte Umsetzung eines angemessenen Sicherheitskonzeptes kann nur über ein neutrales Zertifizierungsverfahren erbracht werden,“ ergänzt Bernd Kowalski, Abteilungspräsident im Bundesamt für Sicherheit in der Informationstechnik. „Bei der Zertifizierung von SkIDentity wurde gezeigt, dass auch die besonders hohen Anforderungen, die mit der Nutzung des Personalausweises in Cloud-Diensten einhergehen, über eine ISO 27001 Zertifizierung auf Basis von IT-Grundschutz nachgewiesen werden können.“

¹ Siehe https://www.skidentity.de/auszeichnungen/ .