BSI-Forum

Pilotprojekt Digitaler Dienstausweis

Von Andreas Wiemers und Bernd Schweda, BSI

Wer kennt das nicht? In den Brieftaschen und Portmonees sammeln sich Kreditkarten und Ausweise aller Art und zu einigen muss sich der bedauernswerte Inhaber auch noch die passende PIN merken. Die Chipkartenanwendungen im modernen Zeitalter der Informationstechnik nehmen zu und viele dieser Applikationen sind – wir ahnen es – natürlich auch mit PINs geschützt. Die Idee der multifunktionalen Chipkarte ist nicht neu, doch bisher hat sie sich im Alltag kaum durchgesetzt. Im Pilotprojekt Digitaler Dienstausweis soll das anders werden. Hier wird der bisherige optische Dienstausweis kombiniert mit elektronischen Funktionen. Die Chipkarte bietet kryptographische Grundfunktionen zur E-Mail-Verschlüsselung und zur digitalen Signatur. Ein im Kartenkörper verborgener kontaktloser Chip ist für die Zutrittskontrolle und Zeiterfassung vorgesehen. Wahlweise kann ein Magnetstreifen aufgebracht und genutzt werden und Single Sign-On darf natürlich auch nicht fehlen.

Im Bereich der Bundesbehörden soll der bisherige Dienstausweis durch eine multifunktionale Chipkarte ersetzt werden. Auch die digitalen Dienstausweise müssen als Sicherheitsdokumente einen hohen Grad an Fälschungs- und Verfälschungssicherheit aufweisen. Die Chipkarte soll neben der herkömmlichen Ausweisfunktion im Verbund mit anderen technischen Komponenten insbesondere für folgende Zwecke genutzt werden:

• Optische Ausweisfunktion,
• Zutrittskontrolle / Zeiterfassung,
• kryptographische Grundfunktionen (digitale Signatur, Verschlüsselung, Authentifizierung),
• Zugangskontrolle zu Rechner und Server.

Ein Ziel des Piloten ist es, den Aufwand zur Einführung des digitalen Dienstausweises in der Bundesverwaltung realistisch einschätzen zu können. Zusätzlich sollen verlässliche Informationen über die Rahmenbedingungen und die Risiken einer solchen Einführung gewonnen werden. Die durch den Piloten gemachten Erfahrungen sollen interessierten Behörden und Institutionen zur Verfügung gestellt werden.

Bereits für den Pilotversuch muss die für den digitalen Dienstausweis benötigte Sicherheitsinfrastruktur bereitgestellt werden. Sie umfasst insbesondere folgende Aspekte:

• Bereitstellung der Chipkarten und weiterer technischer Komponenten,
• Druck von Dienstausweisen,
• Betrieb der Dienstausweisstellen (inkl. Regelwerk),
• Vergabe von Zertifikaten.

Nach der Erprobungsphase ist geplant, dass weitere interessierte Behörden die neuen Dienstausweise in ihrem Bereich einführen.

Technische Vorgaben

Die Anforderungen an die Funktionalität des digitalen Dienstausweises wurden auf Grundlage der Konzeptpapiere einer Arbeitsgruppe des Bundesministeriums des Innern (BMI), namentlich "Einsatz multifunktionaler Chipkarten – Sicherheitsanforderungen und Einsatzbedingungen" (Stand 21.01.99) und "Konzept für die Einführung von Dienst- und Hausausweisen in Form multifunktionaler Chipkarten im BMI" (Stand 21.01.99) entwickelt. Die Umsetzung des Piloten wurde im Jahr 2000 EU-weit ausgeschrieben. In den Ausschreibungsunterlagen wurden folgende Vorgaben definiert:

Der Kartenkörper des Digitalen Dienstausweises soll zahlreiche Sicherheitsmerkmale nach Vorgaben des Bundeskriminalamtes (BKA) enthalten, um ihn fälschungssicher zu machen.

Das Layout des neuen digitalen Dienstausweises

Ziel ist es, eine Zertifizierungsstelle innerhalb des Piloten zu nutzen, die qualifizierte Zertifikate im Sinne des neuen Signaturgesetzes (§ 7 SigG) vom 22. Mai 2001 erstellen kann. Auch die technischen Komponenten wie Chipkarte und Chipkartenleser sowie die zum Signieren und Verifizieren erforderliche Software sollen ein hohes Sicherheitsniveau aufweisen. Zielsetzung sind dabei die Anforderungen an Komponenten des neuen § 17 SigG. Für die Chipkarte bedeutet dies insbesondere eine offizielle Bestätigung als Signaturerstellungseinheit.

Neben der qualifizierten Signatur ist als zweite wichtige Anwendung die Absicherung der E-Mail-Kommunikation gefordert. Dazu sollen die Pilotarbeitsplätze in das SPHINX-Projekt eingebunden werden. Die Chipkarte soll hier insbesondere die Funktion Verschlüsselung unterstützen.

Im BMI wird ein elektronisches Zeiterfassungssystem betrieben, das mittels kontaktlosen PVC-Chipkarten bedient wird. Der für dieses System erforderliche kontaktlose Chip soll im Kartenkörper des digitalen Dienstausweises implementiert werden. Die Chipkarte enthält somit zwei Chips: einen kontaktlosen Chip für das Zeiterfassungssystem des BMI und einen kontaktbehafteten Chip. Die Pilotteilnehmer im BSI erhalten Dienstausweise mit auf den Kartenkörper aufgebrachten Magnetstreifen, um das dortige Zeiterfassungssystem zu unterstützen.

Auf Basis der erwähnten Konzepte des BMI wurde innerhalb der TeleTrusT AG 2 eine Chipkartenspezifikation (German Office Identity Card) entwickelt, die die geforderten Funktionen umsetzt. Diese Spezifikation berücksichtigt internationale Standards wie S/MIME, SSL/TLS, Kerberos. Spezifiziert wird unter anderem die Arbeitsteilung zwischen Chipkarte und Hintergrundsystem für die verschiedenen Funktionen. In der Ausschreibung wurde gefordert, dass die kryptographischen Grundfunktionen des kontaktbehafteten Chips auf Basis dieser Chipkartenspezifikation realisiert sind.

Realisierung

Der Zuschlag für die Umsetzung des Piloten ging im Frühjahr 2001 an ein Konsortium unter der Leitung der Bundesdruckerei GmbH (weitere Konsortialpartner: ORGA Kartensysteme GmbH, D-TRUST GmbH, UTIMACO Safeware AG, UNISYS GmbH). Der digitale Dienstausweis wird derzeit von etwa 70 Mitarbeitern im BMI und 30 Mitarbeitern im BSI erprobt. Der eigentliche Pilotbetrieb begann im November 2001 und dauerte bis Ende Mai 2002.

Die im Piloten eingesetzte Chipkarte, eine bestätigte Komponente nach SigG, trägt vier verschiedene Schlüsselpaare mit entsprechenden Zertifikaten für die Funktionen:

• Signieren nach SigG,
• Verschlüsseln/Entschlüsseln von E-Mails,
• Signieren von E-Mails,
• Authentifizieren nach SSL/TLS oder Kerberos (wird derzeit im Piloten noch nicht genutzt).

Zusätzlich unterstützt die Chipkarte das Anmeldeverfahren unter Microsoft Windows NT. Nach Freischaltung der Chipkarte mittels PIN ist die zusätzliche Eingabe des Windows NT-Passwortes nicht mehr erforderlich (Single-Sign-On-Funktion).

Anwendung: Digitale Signatur

Während des Pilotversuchs steht D-Trust als Zertifizierungsstelle zur Erstellung der Zertifikate gemäß SigG zur Verfügung. D-Trust ist seit Frühjahr 2002 akkreditiert . Die Komponenten wie Chipkartenleser und die Software zum Signieren und Verifizieren erfüllen die Anforderungen an Komponenten des § 17 SigG an "qualifizierte Signaturen".

Die Beantragung und Ausgabe des digitalen Dienstausweises erfolgt in zwei Dienstausweisstellen, die von speziell geschulten Mitarbeitern des BSI und BMI betrieben werden. Für die Dienstausweisstellen liegen vollständige Konzepte vor (Aufbau, Abläufe sowie Sicherheitsmaßnahmen).

Die Software wird als Plug-in für Microsoft Office angeboten. Die LDAP-Schnittstelle zum Verzeichnisdienst für die Signatur-Funktion erfüllt den Industrial Signature Interoperability Standard (kurz ISIS), erstellt von der Arbeitsgemeinschaft Trust-Center für digitale Signaturen. Die Pilotarbeitsplätze greifen auf den im Internet verfügbaren Verzeichnisdienst von D-Trust für die Signatur-Anwendung zu, um aktuelle Sperrlisten herunterzuladen.

Zusätzlich steht eine weitere Version der Verifizier-Software – allerdings ohne Zugriff auf Sperrlisten – im Internet zur Verfügung, die von jedermann kostenfrei genutzt werden kann.

Anwendung: E-Mail-Absicherung

Die Anwendung beruht auf den im SPHINX-Projekt festgelegten Standards (bzgl. Zertifikaten, Sperrlisten, Signaturformat etc.). Die Software wird als Plug-in für Microsoft Outlook angeboten. D-Trust betreibt (formal gesehen) eine weitere Zertifizierungsstelle, die von der PKI-1-Verwaltungs-Wurzelinstanz zertifiziert ist. Für die Anwendung "E-Mail-Absicherung" greifen die Pilotarbeitsplätze auf den Verzeichnisdienst des Informationsverbunds Bonn-Berlin (IVBB) zu, um Sperrlisten oder Verschlüsselungszertifikate zu laden.

Den Pilotteilnehmern steht ein Leitfaden zur Verfügung, der einen Überblick über den Piloten, die eingesetzte Technik und Verfahrensabläufe gibt. Zusätzlich wird im Laufe des Piloten ein weiterer Leitfaden zur Verschlüsselung bei E-Mail-Absicherung erarbeitet werden, der auf Fragen wie Vertreterregelung und Notfallszenarien bei Verlust der Karte eingehen soll.

Ausblick

Nach Beendigung des Piloten wird ein detaillierter Abschlussbericht erstellt, der die technische Umsetzung und die organisatorischen Erfahrungen im Pilotbetrieb beschreiben wird. Auszüge aus diesem Bericht sollen als Fortsetzung dieses Artikels in einer späteren Ausgabe der KES veröffentlicht werden.

© SecuMedia-Verlags-GmbH, D-55205 Ingelheim,
KES 2002/3, Seite 39

Zurück zum Inhalt