D-TRUST Telematik-Infrastruktur Certification Policy. Version 1.0

Transkript

1 D-TRUST Telematik-Infrastruktur Certification Policy Version 1.0 Erscheinungsdatum Datum des Inkrafttretens

2 Vermerk zum Copyright D-TRUST Telematik-Infrastructure Certification Policy 2015 D-TRUST GMBH, alle Rechte vorbehalten. Ohne Einschränkung der vorstehenden vorbehaltenen Rechte und über den im Folgenden gestatteten Rahmen hinaus darf kein Teil dieser Veröffentlichung auf irgend eine Weise oder mittels irgend eines Verfahrens (elektronisch, mechanisch, durch Fotokopie, Aufzeichnung oder auf sonstige Weise) ohne vorherige schriftliche Zustimmung der D-TRUST GMBH reproduziert, gespeichert oder in ein Speichersystem geladen oder übertragen werden. Unbeschadet des Voranstehenden ist es gestattet, diese Zertifikatsrichtlinie auf nichtexklusiver, gebührenfreier Basis zu reproduzieren und zu verteilen, sofern (i) der vorstehende Copyright-Vermerk und die einleitenden Absätze an deutlicher Stelle zu Beginn jeder Kopie erscheinen und (ii) dieses Dokument wortgetreu und vollständig wiedergegeben wird, beginnend mit der Nennung der D-TRUST GMBH als Verfasser des Dokuments. Anträge auf jede sonstige Genehmigung zur Reproduktion oder anderweitige Verwendung dieser Zertifikatsrichtlinie der D-TRUST GMBH sind zu richten an: D-TRUST GMBH Kommandantenstr Berlin, Germany Tel: +49 (0) info@d-trust.net

3 Dokumentenhistorie Version Datum Beschreibung Initialversion Seite 2 von 44

4 Inhaltsverzeichnis 1. Einleitung Überblick Name und Kennzeichnung des Dokuments Teilnehmer der Zertifizierungsinfrastruktur Verwendung von Zertifikaten Pflege der CP/des CPS Begriffe und Abkürzungen Verantwortlichkeit für Verzeichnisse und Veröffentlichungen Verzeichnisse Veröffentlichung von Informationen zu Zertifikaten Häufigkeit von Veröffentlichungen Zugriffskontrollen auf Verzeichnisse Identifizierung und Authentifizierung Namensregeln Initiale Überprüfung der Identität Identifizierung und Authentifizierung von Anträgen auf Schlüsselerneuerung Identifizierung und Authentifizierung von Sperranträgen Betriebsanforderungen Zertifikatsantrag und Registrierung Verarbeitung des Zertifikatsantrags Ausstellung von Zertifikaten Zertifikatsübergabe Verwendung des Schlüsselpaars und des Zertifikats Zertifikatserneuerung (certificate renewal) Zertifikatserneuerung mit Schlüsselerneuerung Zertifikatsänderung Sperrung und Suspendierung von Zertifikaten Statusabfragedienst für Zertifikate Austritt aus dem Zertifizierungsdienst Schlüsselhinterlegung und wiederherstellung Nicht-technische Sicherheitsmaßnahmen Technische Sicherheitsmaßnahmen Profile von Zertifikaten, Sperrlisten und OCSP Zertifikatsprofile Sperrlistenprofile Profile des Statusabfragedienstes (OCSP) Überprüfungen und andere Bewertungen Sonstige finanzielle und rechtliche Regelungen Preise Finanzielle Zuständigkeiten Vertraulichkeit von Geschäftsdaten Datenschutz von Personendaten Gewerbliche Schutz- und Urheberrechte Zusicherungen und Garantien Seite 3 von 44

5 9.7 Haftungsausschlüsse Haftungsbeschränkungen Schadensersatz Gültigkeitsdauer der CP und Beendigung der Gültigkeit Individuelle Mitteilungen und Absprachen mit PKI-Teilnehmern Nachträge Bestimmungen zur Schlichtung von Streitfällen Gerichtsstand Einhaltung geltenden Rechts Sonstige Bestimmungen Andere Bestimmungen Seite 4 von 44

6 1. Einleitung 1.1 Überblick Dieses Dokument beschreibt die Zertifikatsrichtlinie (engl. Certificate Policy, kurz CP) des von der D-TRUST GMBH betriebenen TSP-X.509QES und TSP- X.509nonQES der Telematikinfrastrukur für Zertifikate des HBA und der SMC-B Vertrauensdiensteanbieter Der Vertrauensdiensteanbieter (kurz TSP) ist auch im juristischen Sinne die D-TRUST GMBH Kommandantenstr Berlin. Der TSP kann Teilaufgaben an Partner oder externe Anbieter auslagern, mit denen der TSP ordnungsgemäß dokumentierte Vereinbarung und ein etabliertes vertragliches Verhältnis bei Bereitstellung der Dienste unterhält. Für die Einhaltung dieses Dokuments sind die Leiter des TSP bzw. die Geschäftsführung der D-TRUST GMBH verantwortlich Über dieses Dokument Diese CP beschreibt die Vorgaben und Anforderungen an den von der D-TRUST GMBH betriebenen TSP-X.509QES und TSP-X.509nonQES und regelt den Zertifizierungsprozess für Zertifikate des HBA und der SMB-C während ihrer gesamten Lebensdauer sowie die Rechte und Pflichten der Teilnehmer 1 der entsprechenden Zertifizierungsinfrastruktur in der Telematik Infrastruktur (TI). Diese Policy beschreibt auch die Mindest-Anforderungen an das qualifizierte Zertifikat eines HBA. Aufgrund von SigG und SigVo sind durch den Zertifizierungsdiensteanbieter umfangreiche weitere Anforderungen hinsichtlich des Betriebes, der Identifizierung, der Validierung und Archivierung umzusetzen. Die gesetzeskonforme Umsetzung dieser Vorgaben wird in einem Sicherheitskonzept der D-TRUST GmbH beschrieben und im Rahmen des Akkreditierungsverfahrens durch anerkannte Prüf- und Bestätigungstellen geprüft. Das Sicherheitskonzept ist nicht öffentlich zugänglich. Spezifische Anfrage dazu können über die Kontaktadresse (s. Abschnitt 1.1.1) gestellt werden. 1 Im Interesse einer leichteren Lesbarkeit wird in diesem Dokument auf die weibliche Form der PKI-Teilnehmer und sonstigen genannten Personengruppen verzichtet. Es wird gebeten, die weibliche Form jeweils als eingeschlossen anzusehen. Seite 5 von 44

7 Die für die Zertifikatsnutzer relevanten Informationen werden in der Unterrichtung nach 6 SigG und auf den Webseiten der Herausgeber des HBA (Bundesärztekammer) bereitgestellt. Die gesamte CP ist rechtsverbindlich, soweit dies im Rahmen der deutschen Gesetzgebung zulässig ist. Soweit nicht ausdrücklich genannt, erfolgen auf Basis dieser CP keine Zusicherungen oder Garantien im Rechtssinne. Die Struktur dieses Dokumentes ist eng an den Internet-Standard RFC 3647 Internet X.509 Public Key Infrastructure: Certificate Policy and Certification Practices Framework angelehnt, um eine einfache Lesbarkeit und Vergleichbarkeit mit anderen CPs zu erreichen Eigenschaften der Zertifizierungsinfrastruktur und Notation Die Hierarchie der Zertifizierungsinfrastruktur der Telematikinfrastruktur ist mehrstufig (vgl. [gemkpt_arch_tip]). Nachstehende Abbildungen zeigen vereinfacht die Einordnung der vom TSP-X.509QES und TSP-X.509nonQES betriebenen HBA-CA und SMCB-CA in der Zertifizierungsinfrastruktur der Telematikinfrastruktur. Werden Anforderungen an den TSP-X.509QES und TSP-X.509nonQES bzw. an TSP-X.509QES-Zertifikate und TSP-X.509nonQES-Zertifikate gleichermaßen gestellt, wird in diesem Dokument nur vom TSP bzw. von Zertifikaten gesprochen. gematik gematik ROOT CA GEM.RCA TSP X.509nonQES D TRUST HBA CA (nonqes) D TRUST SMCB CA (nonqes) Anwendung X.509 nonqes Zertifikate des HBA X.509 nonqes Zertifikate der SMC B Abbildung 1: Einordnung der vom TSP-X.509nonQES betriebenen HBA-CA und SMCB-CA Seite 6 von 44

8 Anwendung TSP X.509QES gematik BNetzA BNetzA ROOT CA (QES) HBA CA (QES) QES Zertifikate des HBA Abbildung 2: Einordnung der vom TSP-X.509QES betriebenen HBA-CA 1.2 Name und Kennzeichnung des Dokuments Dokumentname: Kennzeichnung (OID): D-TRUST Telematik-Infrastructure Certification Policy Dieses Dokument erhält die Policy-OID: Version Teilnehmer der Zertifizierungsinfrastruktur Die Definition und Abgrenzung der Teilnehmer in der Zertifizierungsinfrastruktur der Telematik-Infrastructure erfolgt im Rahmen von [gemkpt_pki_tip#2.7.1], [gemspec_pki#8.1]. Im vorliegenden Dokument erfolgt eine kurze Darstellung der in dieser Policy relevanten Teilnehmer Trust Service Provider (TSP-X.509 QES bzw. TSP-X.509 nonqes) Der Trust Service Provider Zertifikate für berechtigte Personen und Organisationen aus und ermöglicht die Abfrage des Sperrstatus von durch ihn ausgestellten Zertifikaten (s. [gemkpt_arch_tip]). Die entsprechende Zertifizierungsstellen (HBA-CA bzw. SMC-B-CA) sind in den ausgestellten Zertifikaten und CRLs namentlich im Feld issuer benannt. Seite 7 von 44

9 1.3.2 Kartenherausgeber Kartenherausgeber sind die Ärztekammern für den HBA und die Kassenärztlichen Vereinigungen für die SMC-B. Der Kartenherausgeber ist die verantwortliche Stelle im Sinne des BDSG und damit Ansprechpartner im datenschutzrechtlichen Bezug für alle Antragsteller bzw. Karteninhaber Registrierungsstellen (RA) Die Registrierungsstellen sind dem TSP zuzuordnen. Registrierungsstellen führen die Registrierungen von Zertifikatsnehmern durch, d. h. sie prüfen die eingereichten Zertifikatsanträge, erfassen deren Daten zur Zertifikatser-stellung, archivieren die Anträge über definierte Zeiträume. Weiterhin nehmen die Registrierungsstellen auch Sperranträge entgegen, veranlassen die operative Sperrung von Zertifikaten und betreiben eine Hotline für die von ihnen bereitgestellten Dienste. Registrierungsstellen bilden die Kundenschnittstelle der Zertifizierungsinfrastruktur zu den Zertifikatsnehmern Antragsteller Antragsteller der SMC-B und somit der enthaltenen X.509-nonQES-Zertifikate ist immer eine natürliche Person, die für die medizinische Institution vertretungsund zeichnungsberechtigt ist [s. [gemrl_smc-b_ors1]). Antragsteller des HBA und somit der enthaltenen X.509-QES- und X.509-nonQES- Zertifikate ist immer eine natürliche Person, die einen HBA bei einem für ihn zuständigen Kartenherausgeber beantragt (s. [CP-HPC]) Zertifikatnehmer (Anwender, Subscribers) Der Zertifikatsnehmer der X.509-nonQES-Zertifikate einer SMC-B im Sinne dieser Policy ist die medizinische Institution, die über dieses X.509-nonQES-Zertifikat der SMC-B repräsentiert wird. Der Zertifikatsnehmer eines X.509-QES- und X.509-nonQES-Zertifikats eines HBA im Sinne dieser Policy ist die natürliche Person, auf die diese X.509-QES- und X.509-nonQES-Zertifikate des HBA gemäß dieser Policy ausgestellt wurde und die in der alleinigen Kontrolle über den diesem Zertifikat zugeordneten privaten Schlüssel ist Zertifikatsnutzer (Zertifikatsprüfer, Überprüfer, Relying Parties) Zertifikatsnutzer oder (englisch relying parties) im Sinne dieser Policy sind natürliche oder juristische Personen, die die X.509-QES- und X.509-nonQES-Zertifikate des HBA oder der SMC-B prüfen und deren Inhalte verwenden. Hierfür stellt der Seite 8 von 44

10 TSP die Statusauskünfte zu diesen Zertifikaten in der Telematik-Infrastructure und im Internet bereit Karteninhaber (Inhaber) Die Begriffe Karteninhaber und Zertifikatsnehmer sind in diesem Dokument gleichgesetzt Sperrberechtigter Ein Sperrberechtigter ist eine natürliche oder juristische Person, die zur Sperrung eines Zertifikats berechtigt ist. 1.4 Verwendung von Zertifikaten Erlaubte Verwendungen von Zertifikaten Ein vom TSP ausgestelltes Zertifikat eines HBA oder einer SMC-B darf ausschließlich für die Anwendungen benutzt werden, die in Übereinstimmung mit den im Zertifikat angegebenen Nutzungsarten (keyusage) stehen. Zertifikatsnutzer handeln auf eigene Verantwortung. Es liegt in der Verantwortung des Zertifikatsnutzers, einzuschätzen, ob diese CP den Anforderungen einer Anwendung entspricht und ob die Benutzung des betreffenden Zertifikats zu einem bestimmten Zweck geeignet ist Verbotene Verwendungen von Zertifikaten Andere Verwendungsarten als die im Zertifikat festgelegten sind nicht zulässig. 1.5 Pflege der CP/des CPS Zuständigkeit für das Dokument Diese CP wird durch die D-TRUST GMBH gepflegt. Der Leiter des TSP übernimmt die Abnahme des Dokuments Ansprechpartner/Kontaktperson/Sekretariat Eine Kontaktaufnahme kann über folgende Adressen erfolgen: D-TRUST GMBH Redaktion CP und CPS Kommandantenstr Berlin, Germany Seite 9 von 44

11 Tel: +49 (0) info@d-trust.net Verträglichkeit von weiteren Policies mit dieser CP In dieser CP werden Mindestanforderungen beschrieben, die von allen Teilnehmern der Zertifizierungsinfrastruktur erfüllt werden müssen. In den vom TSP ausgestellten Zertifikaten können weitere Policies über Policy- OIDs referenziert werden, die dieser CP nicht widersprechen. Die Referenz einer Policy-OID in den Zertifikatserweiterungen bestätigt seitens des TSP die Kompatibilität der Zertfizierungspraktiken mit der referenzierten Policy. Die hierin getroffenen Regelungen bilden widerspruchsfrei zu den folgend aufgezählten, übergreifenden Regelungen als Präzisierung diejenigen Sachverhalte ab, die für den von der von D TRUST GMBH betriebenen TSP relevant sind. Certificate Policy Gemeinsame Zertifizierungsrichtlinie für Teilnehmer der gematik-tsl (s. [gemrl_tsl_tsp_cp]), Certificate Policy Gemeinsame Zertifizierungsrichtlinie für Teilnehmer der gematik-tsl - Sektorspezifische Präzisierung für SMC-B-Zertifikate in Erprobungsphase ORS1 (s. [gemrl_smc-b_ors1]), Gemeinsame Policy für die Ausgabe der HPC Zertifikatsrichtlinie HPC (s. [CP-HPC]), ZOD Certificate Policy (s. [ZODPol]) und CPME European eid-policy for Physicians" Version (s. [CPME]) 1.6 Begriffe und Abkürzungen Weitere Begriffe und Namen Betroffene Dritte CA-Zertifikat EE-Zertifikat / Endanwender-Zertifikat Enthält ein Zertifikat Angaben über die Vertretungsmacht des Zertifikatnehmers für dritte Personen, so werden diese Stellen als Betroffene Dritte bezeichnet. das für eine Zertifizierungsinstanz ausgestellte Zertifikat zum Signaturschlüssel der CA Siehe End-Entity-Zertifikat. Seite 10 von 44

12 Endanwender End-Entity-Zertifikat Postident Basic Signaturkarte Sperrantragsteller_AS Sperrantragsteller_KHG Statusabfragedienst Subject, die Identität des Endanwenders ist mit dem Zertfikat und dem zugehörigen Schlüsselpaar verknüpft, siehe auch Abschnitt Zertifikat, das nicht zum Zertifizieren anderer Zertifikate oder CRLs verwendet werden darf. Verfahren zur Identifizierung, angeboten von der Deutschen Post AG. Prozessorchipkarte, die für die Erzeugung elektronischer Signaturen und für andere PKI-Anwendungen benutzt werden kann. (Hier HBA oder SMC-B) Zur Sperrung von Zertifikaten berechtigter Zertifikatnehmer, welcher über einen HBA oder eine SMC- B verfügt. Zur Sperrung von Zertifikate berechtigte Stellen, z.b. Vertreter des Kartenherausgeber PKI-Dienstleistung zur Online-Abfrage über den Status eines Zertifikats (OCSP) Verzeichnisdienst PKI-Dienstleistung zum Online-Abrufen von Informationen, wie Zertifikaten und Sperrlisten, erfolgt i. d. R. über das LDAP-Protokoll. Zertifikatnehmer Subscriber, natürliche oder juristische Personen, die EE-Zertifikat beantragen und inne haben, siehe Abschnitt Zertifikatsnutzer Relying Party, natürliche oder juristische Personen, die Zertifikate nutzen, siehe Abschnitt Zertifikatsrichtlinie Certificate Policy (CP), siehe Abschnitt Englische Begriffe Certificate Policy (CP) Certification Authority (CA) Certification Practice Statement (CPS) Zertifikatsrichtlinie. Zertifizierungsstelle des Trust Service Providers Umsetzungserklärung der CA Seite 11 von 44

13 Distinguished Name Trustcenter Trust Service Provider Ein aus mehreren Namensbestandteilen bestehender technischer Name, der in Zertifikaten die ausstellende CA und/oder den Zertifikatnehmer innerhalb der Zertifizierungsinfrastruktur des TSP-X.509 nonqes eindeutig beschreibt. Der Distinguished Name ist im Standard [X.501] definiert. Der Sicherheitsbereich in den Räumen der D-TRUST GMBH. Vertrauensdiensteanbieter (ehem. Zertifizierungsdiensteanbieter) Abkürzungen BRG CA CN CP CPS CRL DN FIPS FQDN HBA HSM ISO LDAP LEO NetSec-CAB OCSP OID PIN PKI PSE PUK Baseline Requirements Guidelines Certification Authority Common Name Certificate Policy Certification Practice Statement Certificate Revocation List Distinguished Name Federal Information Processing Standard Fully qualified domain name Heiberufeausweis Hardware Security Module International Organization for Standardization Lightweight Directory Access Protocol Leistungserbringer-Organisation Network Security Requirements- CA/Browser Forum Online Certificate Status Protocol Object Identifier Personal Identification Number Public Key Infrastructure Personal Security Environment Personal Unblocking Key Seite 12 von 44

14 RA RFC SMC-B SSCD SUD TSP URL UTF8 TSP-X.509 nonqes TSP-X.509 QES Registration Authority Request for Comment Sicherheitsmodul vom Typ B <medizinische Institution> Secure Signature Creation Device Secure User Device Trust Service Provider Uniform Resource Locator Unicode Transformation Format-8 Vertrauensdiensteanbieter für nicht-qualifizierte Zertifikate Vertrauensdiensteanbieter für qualifizierte Zertifikate Referenzen [AGB] [BRG] [CP] Allgemeine Geschäftsbedingungen der Bundesdruckerei GmbH für den Verkauf von Zertifizierungsdiensten der D-TRUST, aktuelle Version Baseline Requirements des CA/Browser Form, CA/Browser Forum, Version 1.2.3, Die hier vorliegende Zertifizierungsrichtlinie: D-TRUST Telematik-Infrastruktur Certificate Policy Version 1.0 [CPS] D-TRUST Telematik-Infrastruktur Certification Practice Statement Version 1.0 [Co-PKI] Common PKI Specification, Version 2.0 vom 20. Januar 2009 [ETSI-ALG] ETSI, Algorithms and Parameters for Secure Electronic Signatures, TS V2.1.1, Jul [ETSI-F] ETSI, Technical Specification Electronic Signatures and Infrastructures (ESI); Policy requirements for certification authorities issuing public key certificates, ETSI TS V2.4.1, Feb [GL-BRO] Guidelines for Extended Validation Certificates, CA/Browser Forum, Version 1.5.2, 16. Oktober 2014 [ISO 3166] ISO :1997: Codes for the representation of names of countries and their subdivisions - Part 1: Country codes Seite 13 von 44

15 [NetSec-CAB] [RFC 2247] [RFC 2560] [RFC 3647] [RFC 5280] [SigG] [SigV] [SiKo-DTR] CA / Browser Forum Network and Certificate System Security Requirements, Version 1.0, Using Domains in LDAP/X.500 Distinguished Names, January 1998 X.509 Internet Public Key Infrastructure Online Certificate Status Protocol OCSP, June 1999 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework, November 2003 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile, Mai 2008 Signaturgesetz (Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz SigG) vom 16. Mai 2001 (BGBl. I S. 876), zuletzt geändert durch Artikel 4 des Gesetzes vom 17. Juli 2009 (BGBl. I S. 2091) Verordnung zur elektronischen Signatur vom 16. November 2001 (BGBl. I., S. 3074), zuletzt geändert durch die Verordnung vom 5. November 2010 (BGBl. I S. 1542)) Sicherheitskonzept des signaturgesetzkonformen Zertifizierungsdiensteanbieters D-TRUST GMBH [Siko_Sperr_ Sperrkonzept für HBA, D-Trust GmbH, 2014 HBA] [X.501] ITU-T RECOMMENDATION X.501, Information technology Open Systems Interconnection The Directory: Models, Version August 2005 [X.509] ITU-T Recommendation X.509 (1997 E): Information Technology Open Systems Interconnection The Directory: Authentication Framework, June 1997 [gemspec_pki] Übergreifende Spezifikation - Spezifikation PKI, Version: [gemrl_tsl_ TSP_CP] [gemrl_smc- B_ORS1] [CP-HPC]), [ZODPol] Certificate Policy Gemeinsame Zertifizierungsrichtlinie für Teilnehmer der gematik-tsl Certificate Policy Gemeinsame Zertifizierungsrichtlinie für Teilnehmer der gematik-tsl - Sektorspezifische Präzisierung für SMC-B-Zertifikate in Erprobungsphase ORS1 Gemeinsame Policy für die Ausgabe der HPC Zertifikatsrichtlinie HPC Version ZOD Certificate Policy Seite 14 von 44

16 [Common-PKI] T7 & TeleTrust ( ): Common PKI Spezifikation, Version 2.0 [CPME] CPME European eid-policy for Physicians" Version Seite 15 von 44

17 2. Verantwortlichkeit für Verzeichnisse und Veröffentlichungen 2.1 Verzeichnisse Der TSP veröffentlicht CRLs und Zertifikate im LDAP-Verzeichnis unter: ldap://directory.d-trust.net Der vollständige zertifikatsspezifische Link ist dem Zertifikat selbst zu entnehmen. Zusätzlich werden CA-Zertifikate auf den Webseiten der D TRUST GmbH veröffentlicht und können über den folgenden Link abgefragt werden: Der TSP stellt einen Online-Dienst (OCSP) zur Abfrage des Sperrstatus der von ihm ausgestellten Zertifikate zur Verfügung. Der Link ist dem Zertifikat zu entnehmen. Der Status der entsprechenden Zertifikate kann dort bei X.509-nonQES- Zertifikate bis mindestens fünf Jahren nach Ablauf der Gültigkeit der Zertifikate abgerufen werden, bei X.509-QES-Zertifikate bis mindestens 30 Jahren nach Ablauf der Gültigkeit der Zertifikate. Diese CP, das entsprechende Certification Practice Statement (CPS) und die Unterrichtungsunterlagen können im PDF-Format von den Antragsseiten des TSP ( herunter geladen werden. Kundenspezifisch können abweichende Verfahren für die Übermittlung der Unterrichtungsunterlagen vereinbart werden. 2.2 Veröffentlichung von Informationen zu Zertifikaten Diese Regelungen sind im CPS festgehalten. 2.3 Häufigkeit von Veröffentlichungen Diese Regelungen sind im CPS festgehalten. 2.4 Zugriffskontrollen auf Verzeichnisse Zertifikate, Sperrlisten, CPS und CPs können öffentlich und unentgeltlich abgerufen werden. Es gibt keine Zugriffsbeschränkungen für lesenden Zugriff. Änderun- Seite 16 von 44

18 gen der Verzeichnis- und Webinhalte werden ausschließlich vom TSP vorgenommen. Weitere, nicht öffentliche Dokumente, können bei begründetem Interesse auf Nachfrage in den relevanten Teilen ausgegeben werden. Seite 17 von 44

19 3. Identifizierung und Authentifizierung 3.1 Namensregeln Arten von Namen Siehe [gemrl_tsl_sp_cp#4.1.2], [gemspec_pki#4] Notwendigkeit für aussagefähige Namen Siehe [gemrl_tsl_sp_cp#4.1.3], [gemspec_pki#4] Anonymität oder Pseudonyme von Zertifikatnehmern Pseudonyme werden ausschließlich für Zertifikate im HBA für natürliche Personen benutzt. Generell werden Pseudonyme vom TSP vergeben. Der Kartenherausgeber stellt die Eindeutigkeit der pseudonymen Zertifikate sicher (s. [gemrl_tsl_sp_cp#4.1.5]). Die Freiwählbarkeit von Pseudonymen kann vereinbart werden, siehe Abschnitt Der TSP behält sich vor, die Vergabe eines Pseudonyms abzulehnen. Die Ablehnung bedarf keiner Begründung. Nur falls der vollständige Name in ein Zertifikat im HBA nicht aufgenommen werden kann (z. B. weil er zu lang ist), muss der commonname als Pseudonym gekennzeichnet werden Regeln für die Interpretation verschiedener Namensformen Das Verfahren für die Interpretation der Namen der Zertifikatsnehmer ist im CPS definiert. Die Seriennummer für X.509-nonQES-Zertifikate im HBA muss dabei mit der Seriennummer des X.509-QES-Zertifikats des HBA übereinstimmen Eindeutigkeit von Namen Der TSP stellt die Eindeutigkeit von DistinguishedNames in den Zertifikaten sicher Anerkennung, Authentifizierung und die Rolle von Markennamen Der Zertifikatnehmer haftet für die Einhaltung geistiger Eigentumsrechte in den Antrags- und Zertifikatsdaten (siehe Abschnitt 9.5). Seite 18 von 44

20 3.2 Initiale Überprüfung der Identität Nachweis für den Besitz des privaten Schlüssels Siehe [gemrl_smc-b_ors1#3.2.1], [CP-HPC# 3.3.4]. Der Zertifikatsnehmer (Karteninhaber) muss den Erhalt von HBA bzw. SMC-B dem TSP revisionssicher bestätigen. Das Vorgehen ist im CPS beschrieben Identifizierung und Authentifizierung von Organisationen Organisationen und Institutionen, die im Zertifikat genannt werden, müssen sich eindeutig authentisieren. Die Identifizierung und Prüfung findet im Rahmen der Zertifikats-Beantragung statt. Wird der Antrag im Auftrag einer juristischen Person gestellt, muss der Vertreter seine diesbezügliche Berechtigung nachweisen und sich authentifizieren. Nachweise in nicht lateinischer Schrift werden nicht akzeptiert Identifizierung und Authentifizierung natürlicher Personen Natürliche Personen, die Zertifikate für sich selbst oder Dritte beantragen, die im Zertifikat benannt werden, müssen sich eindeutig authentisieren und ihre Berechtigung zur Antragstellung durch die Organisation nachweisen. Es gelten die Anforderungen aus Abschnitt Ungeprüfte Angaben zum Zertifikatnehmer Die Angaben des Zertifikatnehmers werden entsprechend den Abschnitten 3.2.2, und geprüft bzw. nicht geprüft. Bei alternativen Namen werden generell nur die -Adressen geprüft. Andere Alternative Namen wie Adressen von Internetseiten und LDAP-Verzeichnisse etc. sowie eventuelle Zertifikats- Extensions (AdditionalInformation, monetarylimit, etc.) werden nicht auf Korrektheit geprüft (siehe hierzu auch Abschnitt 4.9.1) Prüfung der Berechtigung zur Antragstellung Siehe [gemrl_smc-b_ors1#3.2.5], [CP-HPC# ]. Die Verfahren sind im CPS definiert Kriterien für die Interoperabilität Siehe Abschnitt Seite 19 von 44

21 3.3 Identifizierung und Authentifizierung von Anträgen auf Schlüsselerneuerung Eine Schlüsselerneuerung ist gleichbedeutend mit der erneuten Produktion von Zertifikaten und Schlüsseln sowie einer entsprechenden Karte (HBA oder SMC-B) für denselben Karteninhaber. Bei Anträgen zur Schlüsselerneuerung eines HBA kann auf eine erneute Identifizierung des Antragstellers verzichtet werden, sofern die vorherige Identifizierung noch gemäß [SigG] und [SigV] verwendbar ist. Die Attributsbestätigungen sind jedoch zu erneuern. Eine Prüfung der Berechtigung zur Antragsstellung auf Schlüsselerneuerung eines HBA wird jedoch vorgenommen (siehe [CP-HPS]). Im Fall einer SMC-B ist für die Erprobungsphase ORS1 kein individuelles Verfahren vorgesehen (siehe [gemrl_smc-b_ors1#3.3). Ersatzweise wird wie bei einer Erstbeantragung vorgegangen Routinemäßige Anträge zur Schlüsselerneuerung/Folgeantrag Für die Zeit nach Ablauf der Gültigkeit von Zertifikaten oder auf Wunsch des Zertifikatnehmers werden auf Anforderung neue Zertifikate und damit neue Karten ausgegeben. Bei Anträgen zur Schlüsselerneuerung ist keine erneute Identifizierung erforderlich. Der Antrag zur Schlüsselerneuerung muss signiert werden: elektronisch qualifiziert oder handschriftlich. Abweichende Verfahren können kundenindividuell vereinbart werden. Die Bedingungen des Abschnitts 4.7 müssen erfüllt werden Schlüsselerneuerung nach Sperrungen Nicht relevant. Schlüsselerneuerung auf Basis eines gesperrten Zertifikats wird nicht angeboten. 3.4 Identifizierung und Authentifizierung von Sperranträgen Der TSP prüft vor der Sperrung eines Zertifikats die Berechtigung des Sperrantragstellers zur Antragstellung. Die Verfahren sind im CPS definiert. Andere Verfahren zur Authentifizierung von Sperranträgen können mit dem Zertifikatnehmer vereinbart werden. Sperrverfahren werden in Abschnitt 4.9 definiert. Seite 20 von 44

22 4. Betriebsanforderungen 4.1 Zertifikatsantrag und Registrierung Berechtigung zur Antragstellung Anträge auf Ausstellung eines Zertifikats (für einen HBA oder eine SMC-B) bzw. auf Herausgabe eines HBA oder einer SMC-B dürfen von natürlichen Personen und juristischen Personen (deren autorisierten Vertretern) gestellt werden. Antragsberechtigt für X.509-nonQES-Zertifikate der SMC-B sind Institutionen (juristische Personen) des Gesundheitswesens, vertreten durch nachgewiesen vertretungs- / zeichnungsberechtigte natürliche Personen. Siehe [gemrl_smc-b_ors1#4.1.1], [CP-HPC# ]. Eine Liste der möglichen Antragsteller für Zertifikate der HBA (z.b. Apotheker, Ärzte, Psychotherapeuten und Zahnärzte) wird durch den jeweiligen HBA- Kartenherausgeber veröffentlicht. Siehe [CP-HPC#1.3]. Der TSP berechtigt, Anträge abzulehnen (siehe Abschnitt 4.2.2) Registrierungsprozess und Zuständigkeiten Dem Zertifikatsnehmer stehen bereits zu Beginn des Registrierungsprozesses CP, CPS und Unterrichtungsunterlagen sowie weitere Dokumente zur Verfügung, um ihm zu ermöglichen, sich über die Bedingungen für die Verwendung des gewählten Zertifikats zu informieren. Dies erfolgt im Rahmen des Antragprozesses auf Herausgabe eines HBA oder einer SMC-B. Siehe [gemrl_smc-b_ors1#4.1.1], [CP-HPC# ]. Die Einhaltung des Registrierungsprozesses gewährleistet der TSP. Teilaufgaben können von Partnern oder externen Anbietern übernommen werden, die die Maßgaben der vorliegenden CP erfüllen. 4.2 Verarbeitung des Zertifikatsantrags Durchführung der Identifizierung und Authentifizierung Der Identifizierungs- und Registrierungsprozess muss vollständig durchlaufen und alle nötigen Nachweise dabei erbracht und geprüft werden. Seite 21 von 44

23 Siehe [gemrl_smc-b_ors1#4.1], [gemrl_smc-b_ors1#4.1], [CP-HPC# ]. Die Identifizierung findet gemäß Abschnitt und Abschnitt statt. Die anwendbaren Prüfverfahren sind in diesem Abschnitt des CPS definiert Annahme oder Ablehnung von Zertifikatsanträgen Die Annahme eines Antrags auf Ausstellung eines Zertifikats (für einen HBA oder eine SMC-B) bzw. auf Herausgabe eines HBA oder einer SMC-B erfolgt nur für identifizierte Antragsteller mit berechtigtem Antrag (s. [gemrl_tsl_sp_cp#5.2.2]. In allen anderen Fällen wird der Antrag abgelehnt. Treten bei der Prüfung der Identität oder der Prüfung auf Korrektheit der Daten im Zertifikatsantrag oder den Ausweis- und Nachweisdokumenten Unstimmigkeiten auf, die nicht restlos ausgeräumt werden können, wird der Antrag abgelehnt. Weitere Gründe für die Antragsablehnung können sein: Verdacht auf die Verletzung der Namensrechte Dritter, Nichteinhalten von Fristen für den Nachweis der Daten, Zahlungsrückstände des Antragstellers gegenüber dem TSP oder Umstände, die den Verdacht begründen, dass eine Zertifikatsausstellung den Betreiber der CA in Misskredit bringt. Der TSP ist berechtigt, Zertifikatsanträge auch ohne die Angabe von Gründen abzulehnen. Erst nachdem der TSP den Zertifikatsantrag positiv überprüft hat und das beantragte Zertifikat und ggf. Schlüsselmaterial übergeben wurde (vgl. Abschnitt 4.4), gilt der Antrag als vorbehaltlos angenommen Fristen für die Bearbeitung von Zertifikatsanträgen Nicht relevant. 4.3 Ausstellung von Zertifikaten Vorgehen des TSP bei der Ausstellung von Zertifikaten Nach der positiven Prüfung des Antrags werden im Hochsicherheitsbereich des TSP die entsprechenden Zertifikate ausgefertigt. Dabei wird sichergestellt, dass bei der Zertifikatserstellung die korrekte Zeit verwendet wird. Seite 22 von 44

24 Die Antragsunterlagen, Nachweise und ausgestellte Zertifikate werden revisionssicher archiviert Benachrichtigung des Zertifikatnehmers über die Ausstellung des Zertifikats Nicht relevant. Es erfolgt keine gesonderte Benachrichtigung des Zertifikatnehmers nach der Fertigstellung des Zertifikats. 4.4 Zertifikatsübergabe Verhalten bei der Zertifikatsübergabe Karten (HBA oder SMC-B) werden (analog zu Verfahren, die bei qualifizierten Signaturkarten eingesetzt werden) an die angegebene Adresse per Briefdienstleister oder Kurier (PostIdent-Verfahren oder vergleichbares Verfahren) versendet oder persönlich durch die RA oder einen autorisierten Mitarbeiter oder Funktionsträger an den Zertifikatnehmer ausgehändigt. Der Antragsteller hat den Erhalt des HBA gegenüber dem TSP bzw. der SMC-B gegenüber dem Herausgeber zu bestätigten ([gemrl_smc-b_ors1#4.4.1], [CP- HPC# 3.3.4]). Entdeckt der Zertifikatnehmer Fehler in seinen Zertifikaten oder bei der Funktion der Schlüssel und Karte (HBA oder SMC-B), so hat er dies dem TSP mitzuteilen. Alle zur Karte gehörenden Zertifikate werden gesperrt. Nach erfolgter Sperrung kann der TSP verlangen, dass die Karte vom Zertifikatnehmer an den TSP zurückgesendet wird. Fehlerhafte Angaben in den Zertifikaten gelten nur insoweit als vertraglicher Mangel im Sinne des Gesetzes, soweit der TSP nach dieser CP eine Überprüfung der von dem Fehler betroffenen Angaben vornimmt. Im Übrigen gelten im Falle von Fehlern und deren Bestehen die entsprechenden Nacherfüllungsregeln der jeweils gültigen [AGB]. Eine Abnahme durch den Zertifikatsnehmer erfolgt nicht, es handelt sich um eine Dienstleistung, nicht um eine Werkleistung Veröffentlichung des Zertifikats durch den TSP Der Status eines Zertifikats eines HBA oder einer SMC-B wird durch den TSP in einem Verzeichnis geführt. Der Status des Zertifikats ist nach Ausgabe des Zertifikats in Abhängigkeit vom Herausgeber der Karte über CRLs oder OCSP abrufbar (siehe Abschnitt 2.1), (s. ([gemrl_smc-b_ors1#4.4.2], [CP-HPC# 3.3.5]). Seite 23 von 44

25 4.4.3 Benachrichtigung anderer Teilnehmer der Zertifizierungsinfrastruktur über die Ausgabe des Zertifikats Sperrberechtigte Dritte nach Abschnitt werden schriftlich benachrichtigt und erhalten das Sperrpasswort, sofern nichts anderes mit der Organisation oder dem Sperrberechtigten Dritten vereinbart wurde. Der TSP informiert den Herausgeber einer SMC-B ((s. ([gemrl_smc- B_ORS1#4.4.3]) bzw. eines HBA (s. [CP-HPC# ) über Auftragsstatus Eingang / Bearbeitung des SMC-B-Antrags Auslieferung Zertifikatsstatus Freischaltung der Zertifikate Statusänderung der Zertifikate Im Fall einer SMC-B erfolgt die Benachrichtigung entweder direkt an den Herausgeber oder über das Praxisregister. 4.5 Verwendung des Schlüsselpaars und des Zertifikats Verwendung des privaten Schlüssels und des Zertifikats durch den Zertifikatnehmer Zertifikatnehmer dürfen ihre privaten Schlüssel ausschließlich für die Anwendungen nutzen, die in Übereinstimmung mit den im Zertifikat angegebenen Nutzungsarten stehen. Nach Ablauf des Gültigkeitszeitraums oder nach Sperrung der Karte (HBA oder SMC-B) dürfen die zugehörigen privaten Schlüssel nicht mehr genutzt werden. Der Karteninhaber muss auch nach Ablauf des Gültigkeitszeitraums dafür sorgen, dass die privaten Schlüssel nicht missbräuchlich verwendet werden können. Bei Entsorgung muss die Karte sicher vernichtet bzw. unbrauchbar gemacht werden (beispielsweise durch physische Zerstörung der Karte) Verwendung des öffentlichen Schlüssels und des Zertifikats durch Zertifikatsnutzer Die Zertifikate des TSP können von allen Zertifikatsnutzern verwendet werden. Es kann jedoch nur dann darauf vertraut werden, wenn Seite 24 von 44

26 die Zertifikate entsprechend den dort vermerkten Nutzungsarten (Schlüsselverwendung, erweiterte Schlüsselverwendung, ggf. einschränkende Extentions) benutzt werden, die Verifikation der Zertifikatskette bis zu einem vertrauenswürdigen Root-Zertifikat erfolgreich durchgeführt werden kann2, der Status der Zertifikate positiv geprüft wurde und alle weiteren in Vereinbarungen oder an anderer Stelle angegebenen Vorsichtsmaßnahmen getroffen wurden, eventuelle Einschränkungen im Zertifikat und jegliche anwendungsspezifische Vorkehrungen seitens des Zertifikatsnutzers berücksichtigt und als kompatibel erkannt wurden. 4.6 Zertifikatserneuerung (certificate renewal) Nicht relevant. Eine Zertifikatserneuerung ist die erneute Ausstellung eines Zertifikats, das auf den Inhaltsdaten und Schlüsseln des ursprünglichen Zertifikats beruht und dessen Gültigkeitszeitraum verändert wird. Eine Zertifikatserneuerung ist nicht möglich. 4.7 Zertifikatserneuerung mit Schlüsselerneuerung Eine Schlüsselerneuerung ist die erneute Ausstellung eines Zertifikats, das auf den Inhaltsdaten des ursprünglichen Zertifikats beruht, für das aber neue Schlüssel verwendet werden und dessen Gültigkeitszeitraum verändert wird. Dies erfordert die Herausgabe einer neuen Karte (HBA oder SMC-B) bzw. einer Ersatzkarte und wird vom TSP wie die Erstbeantragung eines Zertifikats behandelt. Die weiteren Zertifikate, die zur Karte gehören (auch qualifizierte Zertifikate), werden dann ebenfalls mit Schlüsselerneuerung erneuert werden. Bei einem Antrag auf Schlüsselerneuerung können grundsätzlich alle Felder verändert werden. Nachweise sind entsprechend beizufügen. Eine Ausnahme bilden Personenzertifikate ohne Pseudonym, bei denen das Feld CN des Distinguished Names unverändert bleiben muss, siehe Abschnitt Für die erneuerten Zertifikate gilt die zum Zeitpunkt der Erneuerung aktuelle CP Bedingungen für Zertifikate mit Schlüsselerneuerung Das zu erneuernde Zertifikat muss zum Zeitpunkt der elektronischen Antragstellung auf Schlüsselerneuerung noch gültig sein. Bei schriftlicher Antragstellung kann der Antrag auch nach Ablauf der Gültigkeit des Zertifikats gestellt werden. 2 Die Verifikation der Zertifikatskette soll entsprechend dem PKIX-Modell (auch Schalenmodell genannt) gemäß [RFC 5280], Abschnitt 6, erfolgen. Eine formale Beschreibung des Algorithmus zur Verifikation der Zertifikatskette ist zu finden in [Co-PKI], Part 5. Seite 25 von 44

27 Zertifikatnehmer müssen ggf. entsprechend der Vorgaben aus Abschnitt nachweisen, dass sie im Besitz des privaten Schlüssels sind. Werden Zertifikatsinhalte verändert, müssen diese klassenspezifisch entsprechend den Abschnitten und nachgewiesen werden. Die Zertifikatnehmer müssen bestätigen, dass sich andere Zertifikatsinhalte als die angegeben nicht verändert haben.wurde die Bestätigung der Organisationszugehörigkeit im Erstantrag bzw. einem vorangegangenen Folgeantrag nur einfach und nicht widerruflich bestätigt, muss die Organisationszugehörigkeit erneut nachgewiesen werden. Dies geschieht analog zu den Verfahren in Abschnitt Wurde die Organisationszugehörigkeit widerrufen, muss sie ggf. erneut nachgewiesen werden, andernfalls wird die Organisation nicht wieder ins Zertifikat auf genommen. Haben sich grundsätzliche Änderungen an den Nutzungsbedingungen ergeben, wird der Zertifikatnehmer darüber informiert. Der Zertifikatnehmer muss die neuen Bedingungen bestätigen Berechtigung zur Schlüsselerneuerung Jeder Zertifikatnehmer, der (nach Abschnitt 4.1.1) berechtigt ist, einen Zertifikatsantrag zu stellen, kann eine Schlüsselerneuerung für seine beantragten Zertifikate beantragen, wenn für diese Zertifikate die Bedingungen nach Abschnitt erfüllt sind Bearbeitung von Zertifikatsanträgen für Schlüsselerneuerungen Zertifikatnehmer, die berechtigt sind, Anträge auf Schlüsselerneuerungen zu stellen, nutzen eine produktspezifisch bereitgestellten Möglichkeiten des TSP zur Antragstellung Benachrichtigung des Zertifikatnehmers über die Ausgabe eines Nachfolgezertifikats Es gelten die in Abschnitt festgelegten Regelungen Verhalten für die Ausgabe von Zertifikaten nach Schlüsselerneuerungen Es gelten die in Abschnitt festgelegten Regelungen Veröffentlichung von Zertifikaten nach Schlüsselerneuerungen durch den TSP Es gelten die in Abschnitt festgelegten Regelungen. Der Zertifikatnehmer kann seine Entscheidung zur Veröffentlichung ändern. Seite 26 von 44

28 4.7.7 Benachrichtigung anderer PKI-Teilnehmer über die Ausgabe eines Nachfolgezertifikats Es gelten die in Abschnitt festgelegten Regelungen. 4.8 Zertifikatsänderung Nicht relevant. Zertifikatsänderungen werden nicht angeboten. 4.9 Sperrung und Suspendierung von Zertifikaten Bedingungen für eine Sperrung Die Sperrung eines Zertifikats gehört zu den vom TSP vertraglich geschuldeten Obliegenheiten gegenüber dem Zertifikatnehmer bzw. Betroffenen Dritten, auf deren Anforderung hin. Die Sperrung eines Zertifikats führt unmittelbar zur Sperrung der entsprechenden Karte (HBA oder SMC-B) und aller zur Karte gehörenden weiteren Zertifikate (auch der qualifizierten). Eine Sperrung der Karte bzw. der darauf befindlichen Zertifikate muss unverzüglich erfolgen, wenn eine Kompromittierung eines auf der Karte gespeicherten Schlüssels vorliegt, die eindeutige Zuordnung des Zertifikatsnehmers zu seinem Zertifikat nicht mehr gegeben ist, das Zertifikat Angaben enthält, die nicht oder nicht mehr gültig sind, die eindeutige Verbindung zwischen Zertifikat und Schlüssel nicht mehr gegeben ist, der Karteninhaber seinen Vertrag kündigt Sperrungen enthalten eine Angabe des Zeitpunkts der Sperrung und werden nicht rückwirkend erstellt. Sperrberechtigte müssen sich gemäß Abschnitt 3.4 authentifizieren Berechtigung zur Sperrung Der TSP ist sperrberechtigt. Er führt Sperrungen im Rahmen eines definierten Incident-Prozesses mit den zuständigen und betroffenen Parteien aus. Seite 27 von 44

29 Der Zertifikatnehmer hat stets ohne Angabe von Gründen die Berechtigung zur Sperrung seiner Zertifikate (s. [gemrl_smc-b_ors1#4.4.3]). Ein solcher, welcher über eine Karte (HBA oder SMC-B) verfügt und hierfür einen Sperrantrag stellt, wird im Folgenden Sperrantragsteller_AS genannt. Die weiteren zur Sperrung von Zertifikate (bzw. von HBA und SMC-B) berechtigten Stellen (z.b. Vertreter des Kartenherausgebers und der Attribute bestätigenden Stellen), ergeben sich aus [gemrl_tsl_sp_cp#5.9.1] und [gemrl_smc-b_ors1#4.9.2] und werden im Folgenden Sperrantragsteller_KHG genannt. Sperrantragsteller_KHG können somit sein: Benutzer des Freigabeportals mit entsprechender Berechtigung, Leiter oder als sperrberechtigt gemeldete Mitarbeiter einer Identifizierungsstelle des KHG, Leiter oder als sperrberechtigt gemeldete Mitarbeiter einer attributbestätigenden Stelle des KHG Verfahren für einen Sperrantrag Ein Sperrantrag für die Sperrung einer Karte (HBA oder SMC-B) führt zur Sperrung aller sperrfähigen Zertifikate der betroffenen Karte. Ein Sperrantrag für ein Zertifikat ist umgekehrt automatisch ein Sperrantrag für die entsprechende Karte. Der TSP-X.509 nonqes sperrt auch in diesem Fall alle anderen, sperrfähigen Zertifikate. Für die Sperrung einer Karte werden den Sperrantragstellern verschiedene Wege der Kartensperrung bereitgestellt. In der folgenden Tabelle sind den Sperrantragstellern die durch sie verwendbaren Sperrwege zugeordnet. Tabelle 1: Übersicht Sperrwege der Sperrantragsteller Sperrung durch: Sperrweg für HBA Sperrweg für SMC-B E Sperrantragsteller_AS Telefon Telefon i Papierantrag Papierantrag n Sperrantragsteller_KHG Freigabeportal Papierantrag e SOAP-Schnittstelle S p Papierantrag Freigabeportal SOAP-Schnittstelle Praxisregister 3 3 Die Sperrung über das Praxisregister ist nur für solche SMC-B möglich, die im Praxisregister verwaltet werden. Seite 28 von 44

30 Eine Sperrung des HBAs kann telefonisch unter folgender Sperrnummer erfolgen: Sperrnummer: +49 (0)30 / Eine Sperrung der SMC-B kann telefonisch unter folgender Sperrnummer erfolgen: Sperrnummer: +49 (0)30 / Eine Sperrung per Papierantrag ist an folgende Anschrift zu richten: Anschrift für Sperranträge: D-TRUST GMBH Kommandantenstr Berlin Eine Sperrung per ist an folgende -Adresse zu richten: -Adresse: sperren@d-trust.net Technische Angaben zu Freigabeportal, SOAP-Schnittstelle sowie zum Praxisregister werden dem Sperrantragsteller_KHG bei seiner Erfassung mitgeteilt. Ein schriflticher Antrag zur Sperrung eines Zertifikats muss eindeutig das zu sperrende Zertifikat bzw. die entsprechende Karte (HBA oder SMC-B) beschreiben und muss daher folgende Angaben enthalten: Name des Sperrantragstellers, Geburtsdatums des Zertifikatnehmers (bei HBA) zur genaueren Identifizierung, falls der Antragssteller nicht eindeutig durch das Sperrpasswort identifizierbar ist. Sperrpasswort Zertifikat-ID oder Signaturkarten-ID Bei Papierantrag: zusätzlich eigenhändige Unterschrift des Sperrberechtigten. Sperrungen finden im Verantwortungsbereich des TSP statt. Ungeachtet dessen kann der TSP Teilaufgaben an vertraglich gebundene Dritte weiter geben. Die Sperrdienstleistung kann von Dritten übernommen werden, die nach den Maßgaben des TSP handeln. Die vom Sperrantragsteller angegebenen Sperrgründe werden dokumentiert. Nach erfolgter Sperrung wird der Zertifikatnehmer, der Kartenherausgeber sowie Seite 29 von 44

31 ggf. die Attributbestätigende Stelle über die Sperrung informiert (s. [gemrl_tsl_sp_cp#5.9.3] und [CP-HPC#3.3.7]. Die Authentifizierung der Sperrberechtigten erfolgt gemäß Abschnitt Fristen für einen Sperrantrag Der Zertifikatnehmer oder ein sperrberechtigter Dritter muss in eigener Verantwortung dafür sorgen, dass er oder eine für ihn sperrberechtigte Person unverzüglich die Sperrung beantragt, sobald Gründe zur Sperrung bekannt werden Zeitspanne für die Bearbeitung des Sperrantrags durch den TSP Sperranträge werden vom TSP an bundeseinheitlichen Arbeitstagen in der Zeit von 9-17 Uhr bearbeitet. Telefonisch eintreffende Sperranträge werden unmittelbar ausgeführt. Per und per Briefpost eintreffende Sperranträge werden spätestens am folgenden Arbeitstag bearbeitet. Anträge per Freigabeportal, SOAP-Schnittstelle oder Praxisregister werden spätestens am folgenden Arbeitstag bearbeitet Verfügbare Methoden zum Prüfen von Sperrinformationen Aktuelle Sperrinformationen sind in Sperrlisten vorgehalten, die über das Protokoll LDAP oder über den in Abschnitt 2.1 angegebenen Link abgerufen werden können. Zusätzlich steht ein OCSP-Dienst zur Verfügung. Die Erreichbarkeit dieser Dienste wird in Form von URLs in den Zertifikaten angegeben. Ferner können Sperrinformationen über die Webseite des TSP (siehe Abschnitt 2.1) bezogen werden. Delta-CRLs werden nicht genutzt. Integrität und Authentizität der Sperrinformationen wird durch eine Signatur der CRL bzw. der OCSP-Antwort gewährleistet. Sperreinträge in Sperrlisten verbleiben mindestens bis zum Ablauf der Zertifikatsgültigkeit enthalten Häufigkeit der Veröffentlichung von Sperrlisten Siehe Abschnitt Maximale Latenzzeit für Sperrlisten Sperrlisten werden unmittelbar nach ihrer Erzeugung veröffentlicht. Seite 30 von 44

32 4.9.9 Online-Verfügbarkeit von Sperrinformationen Zur Onlineprüfung steht ein OSCP-Dienst zur Verfügung. Die Erreichbarkeit dieses Dienstes wird in Form eines URL in den Zertifikaten angegeben Notwendigkeit zur Online-Prüfung von Sperrinformationen Es gibt keine Pflicht zur Online-Prüfung von Sperrinformationen, es gilt jedoch Abschnitt Andere Formen zur Anzeige von Sperrinformationen Keine Spezielle Anforderungen bei Kompromittierung des privaten Schlüssels Keine Bedingungen für eine Suspendierung Suspendierungen von Zertifikaten werden nicht angeboten Statusabfragedienst für Zertifikate Funktionsweise des Statusabfragedienstes Der Statusabfragedienst ist über das Protokoll OCSP verfügbar. Die Erreichbarkeit des Dienstes wird als URL in den Zertifikaten angegeben Verfügbarkeit des Statusabfragedienstes Der Statusabfragedienst ist permanent (24 Stunden an 7 Tagen der Woche) verfügbar Optionale Leistungen Nicht relevant Austritt aus dem Zertifizierungsdienst Diese Regelungen sind im CPS festgehalten Schlüsselhinterlegung und wiederherstellung Nicht relevant. Seite 31 von 44

33 Bedingungen und Verfahren für die Hinterlegung und Wiederherstellung privater Schlüssel Nicht relevant Bedingungen und Verfahren für die Hinterlegung und Wiederherstellung von Sitzungsschlüsseln Nicht relevant. Seite 32 von 44

34 5. Nicht-technische Sicherheitsmaßnahmen Der TSP etabliert nicht-technische Sicherheitsmaßnahmen, die die Anforderungen der Telematik-Infrastruktur erfüllen. Die Verfahren sind im CPS definiert. Seite 33 von 44

35 6. Technische Sicherheitsmaßnahmen Der TSP etabliert technische Sicherheitsmaßnahmen, die die Anforderungen der Telematik-Infrastruktur erfüllen. Aktuelle Angaben zu verwendeten Signatur- und Verschlüsselungsalgorithmen sind dem CPS Abschnitt zu entnehmen. Zertifikatnehmer und Zertifikatsnutzer müssen vertrauenswürdige Computer und Software verwenden. Die Verfahren sind im CPS definiert. Seite 34 von 44

36 7. Profile von Zertifikaten, Sperrlisten und OCSP 7.1 Zertifikatsprofile Die Profile sind im CPS definiert. 7.2 Sperrlistenprofile Die Profile sind im CPS definiert. 7.3 Profile des Statusabfragedienstes (OCSP) Die Profile sind im CPS definiert. Seite 35 von 44

37 8. Überprüfungen und andere Bewertungen Die HBA-CA und SMCB-CA werden vom TSP in Räumen betrieben die dem Betrieb einer CA der D-TRUST GMBH zur Ausstellung qualifizierter Zertifikate mit Anbieterakkreditierung nach deutschem Signaturgesetz genügen. Revisionen, Revisionsgegenstände und Prozesse sind detailliert im Sicherheitskonzept des signaturgesetzkonformen Zertifizierungsdiensteanbieters D-TRUST GMBH [SiKo-DTR] beschrieben. Der Teil Rollenkonzept desselben Sicherheitskonzepts [SiKo-DTR] dokumentiert die Qualifikation und die Stellung des Revisors. Das Sicherheitskonzept wurde durch eine anerkante Prüf- und Bestätigungsstelle geprüft. Bei begründetem Interesse können diese Dokumente in den relevanten Teilen eingesehen werden. Des Weiteren finden im Zuge des Genehmigungsverfahrens zur freiwilligen Akkreditierung gemäß 15 SigG und 11 SigV regelmäßig alle drei Jahre Kontrollen durch externe Prüfer einer anerkannten Prüf- und Bestätigungsstelle statt. Bereiche, die aufgrund gesetzlicher oder technischer Unterschiede nicht analog zum qualifizierten Betrieb mit Anbieterakkreditierung abgebildet werden, werden regelmäßig mindestens einmal im Jahr durch die interne Revision überprüft. Darüber hinaus finden regelmäßig interne Audits statt. Seite 36 von 44

38 9. Sonstige finanzielle und rechtliche Regelungen 9.1 Preise Preise für Zertifikate Die Entgeltung der Zertifizierung wird in der Preisliste bzw. in der jeweiligen Vereinbarung festgelegt Preise für den Zugriff auf Zertifikate Die Abfrage von Zertifikaten im Verzeichnisdienst ist kostenlos Preise für Sperrungen oder Statusinformationen Sperrungen und das Abrufen von Statusinformationen sind kostenlos Preise für andere Dienstleistungen Soweit angeboten, siehe Preisliste bzw. in der jeweiligen Vereinbarung Regeln für Kostenrückerstattungen Es gelten die jeweiligen Vereinbarungen mit dem Kunden bzw. [AGB]. 9.2 Finanzielle Zuständigkeiten Versicherungsdeckung Die D-TRUST GMBH verfügt über eine Versicherungsdeckung gemäß 12 SigG: Der Zertifizierungsdiensteanbieter ist verpflichtet, eine geeignete Deckungsvorsorge zu treffen, damit er seinen gesetzlichen Verpflichtungen zum Ersatz von Schäden nachkommen kann, die dadurch entstehen, dass er die Anforderungen dieses Gesetzes oder der Rechtsverordnung nach 24 verletzt oder seine Produkte für qualifizierte elektronische Signaturen oder sonstige technische Sicherungseinrichtungen versagen. [ ] Der TSP erfüllt die Anforderungen von [GL-BRO]. Die Mindestversicherungshöhe für Vermögenschäden ( professional liabilities ) in Höhe von fünf Millionen US Dollars wird gewährleistet Andere Ressourcen für Betriebserhaltung und Schadensdeckung Keine Angaben. Seite 37 von 44