[Version 6, Scan ergänzt: 06.05.2020, Jürgen Brauckmann
Version 5, Video-Identifizierung: 23.04.2020, Jürgen Brauckmann
Version 4: 26.03.2020, Jürgen Brauckmann
Version 3: 25.03.2020, Reimer Karlsen-Masur
Version 2: 18.03.2020, Jürgen Brauckmann
Version 1: 17.03.2020, Jürgen Brauckmann]

Wir möchten Ihnen an dieser Stelle Informationen zum Betrieb der DFN-PKI in der aktuellen Corona-Krise geben.

DFN-PCA-Betrieb

Für die DFN-PCA in Hamburg stellen wir die Erreichbarkeit über die Telefonnummer 040 80 80 77 580 sicher, sind aber für eine primäre Kontaktaufnahme per E-Mail (mailto:dfnpca@dfn-cert.de) dankbar.

Die Bearbeitung von per Post eingehenden Anträgen für Teilnehmerservice-Zertifikate ist sichergestellt.

Neubeantragung von Nutzerzertifikaten

Bei der Neuausstellung von Nutzerzertifikaten (auch von Pseudonym-Zertifikaten) ist in der DFN-PKI eine persönliche Identifizierung erforderlich. Diese findet im Rahmen eines persönlichen Treffens statt, bei der der Teilnehmerservice die Identität anhand eines amtlichen Ausweisdokumentes mit Lichtbild überprüft.

Wenn der direkte Kontakt zwischen Teilnehmerservice und Antragsteller vermieden werden muss, gibt es die folgenden Alternativen.

Eine persönliche Identifizierung ist selbstverständlich auch in einer klassischen Schaltersituation hinter einer Trennscheibe möglich.

Video-Identifizierungen durch den Teilnehmerservice

Seit Ende April 2020 steht ein Verfahren zur Identifizierung über Video-Chat zur Verfügung, dass jeder Teilnehmerservice selbst durchführen kann. Voraussetzung hierfür ist eine gründliche Durchsicht der Richtlinie zur Video-Identifizierung und eine einmalige Dokumentation der Selbstschulung. Als Zusatz zum normalen Antragsformular muss eine separate Checkliste Video-Identifizierung verwendet werden, um einen korrekten Ablauf sicherzustellen.

Alle Dokumente und die Checkliste, die zu dem Verfahren gehören, finden Sie unter:
https://www.pki.dfn.de/policies/videoident/

Identifizierungen durch Dienstleister

Der Einsatz eines Dienstleisters für Identifizierungen, der eine Zertifizierung für Zwecke des TKG oder Geldwäschegesetz hat, ist möglich. Der DFN-Verein kann aber leider nicht als Vermittler auftreten. Es ist ein Vertrag zwischen Ihrer Einrichtung und dem Anbieter erforderlich.

Gruppenzertifikate

Für geeignete Anwendungsfälle können auch Gruppenzertifikate („GRP:“ und „GRP – „) ausgestellt werden. Diese können ohne persönliche Identifizierung ausgestellt werden. So kann der individuelle Anwendungsfall im Subject des Zertifikats angegeben werden, bspw. „GRP: Max Mustermann VPN-Login“. Bitte beachten Sie hierbei aber, dass keine „gerichtsfeste“ Verbindung von Aktionen, die mit diesem Zertifikat durchgeführt werden zu genau einer natürlichen Person möglich ist. Gruppenzertifikate eignen sich somit mehr für interne Anwendungsfälle in der Einrichtung und weniger für die Signatur von E-Mails etc. die die Einrichtung verlassen – es sei denn, es handelt sich um Role-Accounts (bspw. „GRP: HS Musterstadt User Support“).

Hinweis: Dies ist streng zu unterscheiden von Pseudonym-Zertifikaten („PN:“ bzw. „PN – „). Diese werden in praktisch jeder Hinsicht wie Nutzerzertifikate behandelt.

Verlängerung von Nutzerzertifikaten

Post / Fax / Scan: Wenn der Nutzer innerhalb der letzten 39 Monate identifiziert wurde, und Sie das alte Antragsformular vorliegen haben, können Sie sich das neue handschriftlich unterschriebene Antragsformular per Post, Fax oder als Scan schicken lassen. Voraussetzung:

• Sie müssen das alte Antragsformular physikalisch vorliegen haben (Also z.B. aus einem Archiv hervor suchen).
• Prüfung der Unterschrift:
  • Sie müssen die Unterschrift des Antragsstellers eindeutig der Unterschrift auf dem alten Antragsformular zuordnen können.
• Prüfung der letzten Identifizierung:
  • Wurde auf dem alten Antragsformular eine Identifizierung vorgenommen und ist diese nicht älter als 39 Monate? (Block „Identitätsprüfung“ vollständig ausgefüllt. Nicht „Identität bereits früher geprüft“ mit Datum älter 39 Monate.)
• Prüfung des Namens:
  • Der Name des Antragsstellers darf sich nicht geändert haben. Der Name im beantragten Zertifikat muss mit dem Namen auf dem alten Antragsformular übereinstimmen.

Wenn der Name des Nutzers sich nicht geändert hat, Sie die Unterschriften erfolgreich vergleichen konnten und die letzte Identifizierung nachweislich nicht länger als 39 Monate alt ist, können Sie das Zertifikat ausstellen ohne den Nutzer persönlich gesehen oder erneut identifiziert zu haben.

Signierte E-Mail: Alternativ kann auch ein Antragsformular ohne handschriftliche Unterschrift per signierter E-Mail eingeschickt werden. Auch hier muss der alte archivierte Antragsformular vorliegen, um Prüfungen vornehmen zu können. Es sind folgende Vorgaben zur Prüfung der E-Mail-Signatur und zur sicheren Archivierung zu erfüllen.

• Eingang des PDF-Antrags mit signierter E-Mail
• Ausdruck des PDF-Antrags
• Prüfung der Signatur der E-Mail:
  • Gültige Signatur und gültiges Zertifikat exakt des Antragsstellers?
  • Name des Antragsstellers im Zertifikat identisch mit beantragtem Namen?
  • Zertifikat nicht abgelaufen?
  • Zertifikat nicht gesperrt?
• Prüfung der letzten Identifizierung:
  • Wurde auf dem alten Antragsformular eine Identifizierung vorgenommen und ist diese nicht älter als 39 Monate? (Block „Identitätsprüfung“ vollständig ausgefüllt. Nicht „Identität bereits früher geprüft“ mit Datum älter 39 Monate.)
• Prüfung des Namens:
  • Der Name des Antragsstellers darf sich nicht geändert haben. Der Name im beantragten Zertifikat muss mit dem Namen auf dem alten Antragsformular übereinstimmen.
• Dokumentation auf dem ausgedruckten Antrag, Ausfüllen der Felder des Teilnehmerservice
• Geeignete Archivierung der signierten E-Mail, z.B. Abspeichern als Datei in einem geeignetem Verzeichnis oder Kopieren in einen dedizierten IMAP-Ordner. Achtung: Für dieses Archiv gilt die Aufbewahrungsfrist aus Kapitel 5.5.2 der Erklärung zum Zertifizierungsbetrieb: 7 Jahre nach Ablauf des Zertifikats!
• Wenn Sie Ihr Archiv später konsolidieren wollen, um etwa nicht zwei unterschiedliche PKI-Archive pflegen zu müssen, können Sie die handschriftlichen Unterschriften der Antragssteller später nachholen und Ihr elektronisches Archiv wieder auflösen. Die Dokumentation der Prüfschritte muss aber stets vor Ausstellung des Zertifikats geschehen.

Wir raten Ihnen dringend, die unterschriebenen Papieranträge im Original einzufordern, da dort die Datenschutzeinwilligung enthalten ist.

Serverzertifikate

Bei Serverzertifikaten ist keine persönliche Identifizierung des Antragsstellers erforderlich. Sie müssen lediglich garantieren, dass die Berechtigung gegeben ist.

Übermittlung der Anträge von Serverzertifikaten

Post / Fax / Scan: Wenn Sie in der Lage sind, aus der handschriftlichen Unterschrift des Antragsstellers eine Zuordnung und eine Berechtigungsprüfung abzuleiten, können Sie per Post, Fax oder als Scan eingehende Anträge bearbeiten. Das Verfahren der Zuordnung / Berechtigungsprüfung ist von der DFN-PKI nicht zentral vorgegeben, da die Gegebenheiten in den Einrichtungen zu unterschiedlich sind. Das Verfahren darf nicht angewandt werden, wenn Sie keine Möglichkeit zur Prüfung von Unterschriften oder anderen Authentifizierungsmerkmalen haben. Andernfalls können Sie nicht verhindern, dass Ihnen ein Unbefugter einen Antrag unterschiebt.
Signierte E-Mail: Prinzipiell können Anträge für Serverzertifikate papierlos per signierter E-Mail zum Teilnehmerservice gelangen. Allerdings müssen zusätzliche Prüfschritte durchlaufen und dokumentiert werden. Hierzu müssen Sie folgendermaßen vorgehen:

• Eingang des PDF-Antrags mit signierter E-Mail
• Ausdruck des PDF-Antrags
• Prüfung der Signatur der E-Mail:
  • Gültige Signatur und gültiges Zertifikat eines Berechtigten?
  • Zertifikat nicht abgelaufen?
  • Zertifikat nicht gesperrt?
• Dokumentation auf dem ausgedruckten Antrag, Ausfüllen der Felder des Teilnehmerservice
• Geeignete Archivierung der signierten E-Mail, z.B. Abspeichern als Datei in einem geeignetem Verzeichnis oder Kopieren in einen dedizierten IMAP-Ordner. Achtung: Für dieses Archiv gilt die Aufbewahrungsfrist aus Kapitel 5.5.2 der Erklärung zum Zertifizierungsbetrieb: 7 Jahre nach Ablauf des Zertifikats!
• Wenn Sie Ihr Archiv später konsolidieren wollen, um etwa nicht zwei unterschiedliche PKI-Archive pflegen zu müssen, können Sie die handschriftlichen Unterschriften der Antragssteller später nachholen und Ihr elektronisches Archiv wieder auflösen. Die Dokumentation der Prüfschritte muss aber stets vor Ausstellung des Zertifikats geschehen.

Das Verfahren darf nicht angewandt werden, wenn Sie keine Möglichkeit zur authentifizierten Übermittlung der Anträge (eben durch signierte E-Mails) haben. Andernfalls können Sie nicht verhindern, dass Ihnen ein Unbefugter einen Antrag unterschiebt.

Erzeugung von Serverzertifikaten durch den Teilnehmerservice-Mitarbeiter

Bei Serverzertifikaten tritt die Einrichtung (juristische Person) als Antragsteller auf und nicht der individuelle Mitarbeiter (natürliche Person). Es ist daher aus PKI-Sicht grundsätzlich nichts dagegen einzuwenden, dass der Teilnehmerservice-Mitarbeiter Serverzertifikate selber beantragt und ausstellt.

Es gibt hierfür bereits ein Werkzeug: In der Java RA-Oberfläche finden Sie im Menü „Assistenten“ den Punkt „Serverzertifikat erstellen“, der die Erzeugung von privatem Schlüssel und Antrag und dessen Genehmigung automatisiert.

Eine Voraussetzung hierfür ist die Beachtung der folgenden Bedingung zur Nutzung von Serverzertifikaten (festgeschrieben zum einen im Antragsformular, zum anderen in „Informationen für Zertifikatinhaber“:

Der private Schlüssel darf nur Administratoren der im Zertifikat genannten Server zugänglich sein.

Sollte Ihr Teilnehmerservice also die Definition eines Administrators erfüllen (z.B. weil dieser direkt im Rechenzentrum angesiedelt ist), können Sie das Verfahren sofort umsetzen.

Voraussetzung: Sie müssen sichere Kommunikationskanäle haben, um die vom Teilnehmerservice erzeugten privaten Schlüssel übertragen zu können. Sie dürfen das Verfahren nicht anwenden, wenn Sie keine Möglichkeit haben, die Schlüssel sicher auf die Server zu übertragen.

Newsticker für weitere Dienste im DFN

Auf dem COVID-19-Newsticker vom DFN finden Sie Status-Updates für weitere DFN-Dienste.