Common-Criteria-Zertifizierung in Deutschland

Ordnungsmerkmale

erschienen in: <kes> 2003^#3, Seite 39

Zusammenfassung: Nachdem seit etwa fünf Jahren auf Basis der Common Criteria (CC) in Deutschland und weltweit zertifiziert wird, ist es an der Zeit, die ersten Erfahrungen auszuwerten. Eine marktdurchdringende Verbreitung von CC-Zertifikaten ist in Deutschland noch nicht zu beobachten, in anderen Industrienationen gibt es jedoch beachtliche Aktivitäten zur Anwendung der CC bei Produktzertifizierungen. Insbesondere in den USA ist in nächster Zeit mit einer signifikanten Zunahme der Zertifizierungsaktivitäten zu rechnen, in erster Linie bedingt durch nationale Anforderungen nach einem CC-Zertifikat bei öffentlichen Ausschreibungen. Dies hat auch Auswirkungen auf das deutsche Zertifizierungsschema.

Autor: Von Dr. Markus Mackenbrock, BSI

Internationale Standards sind für die Wirtschaft von großer Bedeutung, weil sie die Vereinheitlichung von Produkten in globalen Märkten unterstützen. Der Verbraucher profitiert von einer weltweiten Normung, weil die damit verbundene Transparenz von Produkteigenschaften die Vergleichbarkeit erleichtert. Internationale Standards im Bereich der Informationstechnik sind besonders nützlich, weil der IT-Markt seit jeher ein Weltmarkt ist.

Die Common Criteria (CC) sind aus verschiedenen nationalen und europäischen Kriterienwerken wie TCSEC, ITSEC, Federal Criteria und CPCPEC hervorgegangen. Die CC sind nun dabei, sich international als "der" Standard für IT-Sicherheitsanforderungen für IT-Produkte zu etablieren.

Unterstützung finden die CC bei der Mehrzahl der Mitgliedstaaten der EU, insbesondere in den Staaten, die die CC entweder selbst entwickelt haben oder sie im Rahmen der Anerkennung von Zertifikaten anwenden. Ähnliches gilt für NATO, WEU, Internationale Atomenergiebehörde, Eurosmart und so weiter.

CC-Schutzprofile werden in den USA bereits häufig im Lastenheft öffentlicher Ausschreibungen geführt.

Internationale Akzeptanz der Common Criteria

Internationalen Regelwerken zur Vergabe von Produktzertifikaten wird in den Industrieländern große Bedeutung beigemessen. Hier seien insbesondere Japan und die Niederlande genannt, die in den nächsten Monaten den Aufbau ihres nationalen Regelwerkes durch die Vergabe erster international anerkannter CC-Zertifikate abschließen werden. Auch viele andere Länder zeigen ein starkes Interesse am Aufbau eines nationalen Schemas, zum Beispiel Österreich, Schweden, Norwegen und Italien.

Der Blick in die Liste der zertifizierten Produkte zeigt unterschiedliche Trends bei der Produktzertifizierung diesseits und jenseits des Atlantiks. Insbesondere in Europa (z. B. in Deutschland und Frankreich) ist eine hohe Nachfrage nach Zertifikaten auf dem Gebiet der Smartcards festzustellen (neben Zertifikaten für verschiedene andere IT-Produkte). Ein Grund hierfür ist möglicherweise in entsprechenden Gesetzgebungen, beispielsweise auf dem Gebiet der Digitalen Signatur oder des Digitalen Tachographen, zu finden. Im Allgemeinen ist die Produktzertifizierung in Deutschland jedoch eine freiwillige Angelegenheit des Herstellers und in der Regel nicht vorgeschrieben.

In den USA hingegen werden Zertifikate für die verschiedensten IT-Produkte vergeben – aber auch im Markt verlangt. Insbesondere für den Einsatz von Produkten des Militärs sowie im Behördenbereich werden bei Ausschreibungen verstärkt Produkte mit CC-Zertifikat gefordert. Dies gilt sogar für Produkte, die man typischerweise nicht unbedingt als IT-Sicherheitsprodukte bezeichnen würde, beispielsweise digitale Fotokopierer. Darüber hinaus fördert die Erstellung von Schutzprofilen (Protection Profiles, PP) die Nachfrage nach CC-Zertifikaten. Die Schutzprofile werden in den USA als Bestandteil des Lastenheftes bei öffentlichen Ausschreibungen geführt und es werden zurzeit für die verschiedensten Produktklassen Sicherheitskonzepte auf Basis von Schutzprofilen geschrieben. Durch das große Engagement der USA bei der Erstellung von Schutzprofilen für ausgewählte Produktklassen im Behördenumfeld erhalten die amerikanischen Behörden damit eine einfache Orientierungshilfe über die entsprechende Sicherheitsleistung zu beschaffender Produkte.

Bedingt durch die Anforderung in den USA, im öffentlichen Bereich nur noch Produkte mit CC-Zertifikat zu akzeptieren, werden Hersteller von IT-Produkten weltweit gezwungen, sich einem Zertifizierungsverfahren zu unterziehen, wenn sie auf dem amerikanischen Markt in diesem Sektor mitbieten möchten. Auch viele deutsche Firmen bemühen sich in letzter Zeit verstärkt um ein CC-Zertifikat, da ansonsten in den USA mit Wettbewerbsnachteilen zu rechnen ist.

Nicht nur in den USA, sondern auch bei vielen internationalen Organisationen wie der NATO oder der ESA lässt sich der Trend beobachten, verstärkt nur noch CC zertifizierte IT-Sicherheitsprodukte einzusetzen. Es zeichnet sich zunehmend ab, dass damit die CC für die Produktzertifizierung ähnlich wie andere ISO-Standards (z. B. ISO 9001) weltweit Maßstäbe setzen und an Bedeutung gewinnen.

Internationale Akzeptanz des deutschen CC-Zertifikats

Was bedeutet dieser Trend nun für die deutsche Zertifizierungslandschaft, das heißt für die Prüfstellen, das BSI und die Hersteller? Wie bereits beschrieben, bewirkt die aktuelle Entwicklung ein deutlich zunehmendes Geschäft für die deutschen Prüfstellen. Manche Prüfstellen haben es bereits verstanden, im europäischen Ausland und insbesondere auch in den USA und Japan zu akquirieren, anschließend in Deutschland zu evaluieren und beim BSI zertifizieren zu lassen. Dies ist ein klarer Vertrauensbeweis in das deutsche Zertifizierungsschema des BSI. Auch die Anzahl der Prüfstellen in Deutschland ist ein Zeichen für ein wachsendes Geschäft auf diesem Gebiet. Das BSI hat zurzeit die meisten privatwirtschaftlichen Prüfstellen – nämlich 11 – aller am CCRA-Abkommen beteiligten Länder (siehe Kasten). Auch aus den Ländern, die kein eigenes Zertifizierungsschema besitzen, melden sich verstärkt Organisationen, die für das BSI evaluieren wollen (z. B. TNO aus den Niederlanden).

Aufgrund der internationalen Anerkennung von CC-Zertifikaten können Hersteller ihre Zertifikate in Deutschland erhalten und ihre zertifizierten Produkte auf dem amerikanischen Markt anbieten. Die Tatsache, dass deutsche CC-Zertifikate in der Praxis auch tatsächlich im Ausland anerkannt werden, wird durch Zertifizierungsanträge amerikanischer und anderer ausländischer Firmen in Deutschland untermauert (siehe hierzu die deutsche Liste zertifizierter Produkte, hier lassen sich Firmen wie IBM, Hitachi, Bull, Gemplus etc. finden; vgl.  www.bsi.bund.de/zertifiz/).

Die Bedeutung eines CC-Zertifikats ist für die deutschen Hersteller nicht immer gleich erkennbar, da es in Deutschland zu wenige Bereiche gibt, in denen ein Zertifikat verlangt wird. Zur Erlangung eines Zertifikats muss ein Hersteller zunächst, je nach Prüftiefe zum Teil erheblich, in eine Evaluierung investieren. Da jedoch die Anerkennung eines deutschen Zertifikats im Ausland gemäß dem bestehenden CCRA-Abkommen gewährleistet ist – dies zeigt die Praxis –, haben deutsche Hersteller somit die gleichen Chancen auf dem amerikanischen Markt wie US-Unternehmen. Dies wird insbesondere auch durch den international guten Ruf des deutschen Zertifizierungsschemas beim BSI unterstützt. Im Vergleich zu Herstellern aus Ländern ohne Zertifizierungsschema wie etwa Italien oder Spanien besitzen deutsche Hersteller damit sogar Wettbewerbsvorteile: Sie haben ihr nationales Zertifizierungsschema vor Ort.

Ausblick

Sowohl bei den Prüfstellen als auch beim BSI ist bereits heute ein wachsendes Zertifizierungsgeschäft zu beobachten, es ist in Zukunft noch verstärkt mit Zertifizierungsanträgen zu rechnen. Das deutsche Zertifizierungsschema ist hier gefordert, flexibel und pragmatisch auf die verstärkte Nachfrage zu reagieren, und Zeitverzögerungen aufgrund von Engpässen muss vorgebeugt werden.

Des Weiteren sollten die Entwicklungen insbesondere in den USA seitens des BSI und der deutschen Hersteller genau beobachtet werden. Eine zu große Gelassenheit kann sich nur negativ auf die wirtschaftliche Entwicklung deutscher Unternehmen auswirken. Ein sinnvolles Werkzeug ist hier das Konzept der Schutzprofile, was wie in den USA auch hierzulande bei öffentlichen Ausschreibungen Verwendung finden könnte. Dieses Instrument wird beispielsweise auch in Frankreich sehr progressiv verwendet, in Deutschland hingegen leider viel zu wenig beachtet.

Die beschriebenen Entwicklungen beziehen sich im Wesentlichen auf reine Produktzertifizierungen. In der Praxis ist es oft erforderlich, nicht nur die Sicherheitsleistung eines Produktes zu erfassen, sondern es ist nötig, die Gesamtsicherheitssituation einer Organisation zu betrachten. Der Beitrag der Produktzertifizierung ist jedoch entscheidend: Je mehr Produkte zertifiziert sind, desto mehr verlässliche Grundlagen existieren zur Beurteilung der Gesamtsituation.

Neben den funktionalen technischen Sicherheitsaspekten hat man es oft mit Sicherheitsproblemen zu tun, die nur unter Berücksichtigung von Aspekten der Einsatzumgebung (z. B. IT-Infrastruktur) abgedeckt werden können. Hier spielen beispielsweise auch personelle und organisatorische Regelungen eine Rolle.

In Zukunft gewinnen daher Kriterien zum IT-Sicherheitsmanagement (Information Security Management Systems, ISMS) immer mehr an Bedeutung. Die Konzeptionierung der Gesamtsicherheit muss durch eine sinnvolle Kombination der Anwendung von CC und von ISMS-Kriterien möglich werden. Das BSI ist in verschiedenen nationalen Gremien, bei der ISO, sowie auch in den entsprechenden CC-Arbeitsgruppen aufgefordert, sich aktiv daran zu beteiligen, entsprechende Kriterien mitzugestalten. Mit ersten Grundlagenarbeiten wurde bereits begonnen. Gelingt es, die CC mit ISMS-Kriterien auf sinnvolle Weise zu ergänzen, so wird damit der Zertifizierung eine vollständige und variable Grundlage für die Evaluierung aller Produkte und Systeme zur Verfügung gestellt sein.

Weitere Informationen zum Thema finden Sie auf der Website des BSI unter  www.bsi.bund.de/zertifiz/

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2003^#3, Seite 39