Management und Wissen

Digitale Signatur

ISIS–MTT: Interoperable Spezifikation und Testsysteme

Von Arno Fiedler, Berlin

Zwei deutsche Spezifikationen zur digitalen Signatur wachsen zusammen: ISIS und Mailtrust (MTT) werden schon bald eins sein und sollen künftig auch im europäischen Umfeld Impulse zur Standardisierung geben.

Im Umfeld des E-Government will Deutschland im Rahmen des Projekts "Bund Online 2005" durch die Einführung des rechtsverbindlichen und vertrauenswürdigen Geschäftsverkehrs zwischen Verwaltung, Wirtschaft und Bürgern eine Spitzenposition einnehmen. Die Realisierung der erforderlichen Verfahren (Signatur, Verschlüsselung und Authentifizierung) in konkreten Anwendungen befindet sich in der Umsetzungsphase, zum Beispiel in den Projekten Media@Komm, SPHINX und E-Vergabe. Ein "Beschluss der Bundesregierung zur Einführung der elektronischen Signatur" mit einem praxisorientierten Konzept zum Einsatz anwendungsbezogener Signaturen unter Berücksichtigung verschiedener Qualitätsstufen von Signaturzertifikaten stand zum Redaktionsschluss kurz vor der Veröffentlichung.

Bemerkenswert ist dabei die Erkenntnis, dass es nicht nur ein einziges durch Signaturgesetz und -verordnung vorgeschriebenes PKI-Instrumentarium geben kann, sondern dass der Markt eine Vielfalt von Anwendungsalternativen fordert und der individuelle Nutzer jeweils nur bedarfsgerechte Produkte kauft und verwendet. Auch die Vielzahl der verschiedenartigen Informations-, Kommunikations- und Transaktionsbeziehungen zwischen heterogenen Nutzergruppen, am Beispiel der Behörden durch die Ebenen EU-, Bund-, Land,- Kreis- und Kommunalverwaltung verdeutlicht, lässt die Hoffnung auf ein einheitliches, von wenigen Anbietern geprägtes Produktspektrum unrealistisch erscheinen.

Andererseits benötigt man zur Umsetzung vertrauenswürdiger elektronischer Kommunikationsprozesse eine Mindestteilnehmerzahl von Signaturnutzern, um die Anwendungen medienbruchfrei über eine gesamte Wertschöpfungskette zu gestalten. Dieses Henne/Ei-Problem beklagt die "Signatur-Szene" seit Jahren, da sich ohne durchgängige Anwendungen nicht genügend zahlende Nutzer finden lassen, um die zum Teil immensen Investionen für gesetzeskonforme Zertifizierungsdienste zu amortisieren.

Mittlerweile hat sich bei den marktbestimmenden Anbietern und Nutzergruppen die Erkenntnis durchgesetzt, dass der flächendeckende Einsatz elektronischer Signaturen nur durch Kooperation und die Bereitstellung interoperabler Produkte mit pragmatischem Anwendungsnutzen zu ermöglichen ist. Der TeleTrusT e. V. als Kompetenzverbund von über 100 Organisationen und Wirtschaftunternehmen hat sich dieses einzigartige Vorhaben zum strategischen Ziel gesetzt und strebt in enger Kooperation mit der Arbeitsgemeinschaft der Trustcenter T7 e. V. i. G. eine erfolgs- und praxisorientierte Umsetzung an. Voraussetzung hierfür ist die Förderung der Entwicklung, eine Anwendungsspezifikation und deren marktkonforme Durchsetzung in enger Partnerschaft aller Beteiligten.

Zwei Herzen ...

Für elektronische Signaturen, Vertraulichkeit und PKI-Anwendungen liegen zurzeit zwei Standards vor: MailTrusT von TeleTrusT sowie ISIS von T7. Beide Standards überlappen stark und definieren nur in einem sehr kleinen Bereich gleiche Dinge unterschiedlich. Diese Situation, welche die Akzeptanz elektronischer Signaturen behindert, haben die T7 und TeleTrusT veranlasst, aus beiden Ansätzen einen gemeinsamen Standard ISIS-MTT zu entwickeln, der durch folgende Punkte gekennzeichnet ist:

Es entsteht eine gemeinsame Spezifikation, deren Kapitel jeweils von ISIS oder MailTrusT oder von beiden gemeinsam gestaltet werden. Hierbei hat man sich auf solche Festlegungen beschränkt, die in internationalen Standards fehlen oder nicht eindeutig geregelt sind.
Die gemeinsame Spezifikation berücksichtigt die verschiedenartigen Anwendungsfelder der PKI-Verfahren (Mail-, Datei- und Zeit-Signatur, Verschlüsselung und Authentifizierung).
Sie behandelt jeweils alle im Markt relevanten Sicherheitslevel.
Sie berücksichtigt, dass die bisherige ISIS-Spezifikation vorrangig die CA-Seite (Trustcenter) und die bisherige MailTrusT-Spezifikation primär das Client-Umfeld abdecken.
Abwärtskompatibilität der Zertifikatsformate gewährleistet Investitionssicherheit.

Eine "stabile" Fassung dieser Spezifikation soll ab Anfang Oktober auf [externer Link] www.t7-isis.de und www.teletrust.de vorliegen . Das Projekt wird bis zum Jahresende mit der Erstellung eines Testkonzepts, einer Testspezifikation und der Abstimmung mit der internationalen Standardisierung fortgeführt.

Testparcours

Aufbauend auf ihren Ergebnissen sehen die Projektpartner die Notwendigkeit zur Schaffung von Interoperabilitätstests, um Softwareentwicklern die Möglichkeit zu geben, die Interoperabilität ihrer Programme unter Beweis zu stellen und den Einsatz ISIS-MTT-konformer Produkte zu stimulieren. Daher sind für das Jahr 2002 folgende Projektschritte geplant:

Festlegungen für ein Interoperabilitätszertifikat als Gütesiegel,
Entwicklung und Bereitstellung von Tools und Vorbereitung eines Testbeds und
Pilotanwendung des Testbeds.

Der Erfolg des Vorhabens dürfte sich durch folgende Nutzenmerkmale belegen lassen:

verbesserte Verfügbarkeit interoperabler Signaturprodukte,
höhere Akzeptanz elektronischer Signaturen und geringere Kosten bei den Endanwendern aufgrund höherer Stückzahlen, insbesondere im Umfeld der kommunalen Media@Komm-Beteiligten,
Investitionsschutz für die Anwender durch die Austauschbarkeit von Teilkomponenten,
Verbesserung der Akzeptanz von Signaturkarten im Umfeld der Banken und Sparkassen durch Multifunktionalität der herausgegebenen Kartensysteme,
harmonisierte Darstellung der deutschen Position im Umfeld der Gremien der Europäischen Union.

Um diese anspruchsvollen Ziele innerhalb des engen Zeitrahmens realisieren zu können, hat sich ein kompetentes und engagiertes Projekteam zusammengefunden, welches durch ein paritätisch besetztes Board koordiniert wird. Besondere Bedeutung erlangt das Projekt durch die Förderung des Bundesministeriums für Wirtschaft und Technologie (BMWi) über den Projektträger DLR.

Der Staatssekretär im BMWi, Dr. Alfred Tacke, hat das Vorhaben Anfang September wie folgt bewertet: "Die uneingeschränkte Interoperabilität zwischen Signaturanwendungen auch unterschiedlicher Sicherheitsanforderungen bildet die Grundlage, die bisherigen Insellösungen zu einer Gesamtlösung zusammenzuführen. Mit dem Projekt zur Interoperabilität elektronischer Signaturen wird eine technologische Lücke geschlossen, die bislang die Verbreitung elektronischer Signaturen sehr gehemmt hat. Ich gehe davon aus, dass sich der entstehende Standard bald auch auf europäischer Ebene durchsetzt."

Somit ist es bei konsequenter Umsetzung der "vereinheitlichten ISIS-MTT-Spezifikation für Interoperabilität und Testsysteme" sehr wahrscheinlich, dass aufgrund der pragmatischen Zusammenarbeit zwischen Regierung, Wirtschaft und gemeinnützigen Organisationen den Bürgern kurzfristig interoperable Produkte und Dienstleistungen zur vertrauenswürdigen Nutzung offener Netze mit hohem Anwendungsnutzen bereitzustellen sind.

Arno Fiedler (arnofiedler@t-online.de) ist Inhaber von Nimbus Network, Berlin, und Projektmanager für ISIS-MTT.