Leitfaden. für die Inanspruchnahme des zentralen eid-basisdienstes des Landes Berlin. Version 1.0.2

Transkript

1 Senatsverwaltung für Inneres und Sport - Projekt Umsetzung eid-basisdienst - Senatsverwaltung für Inneres, Klosterstraße 47, Berlin Leitfaden für die Inanspruchnahme des zentralen eid- des Landes Berlin Version Hinweis: Wenn in diesem Leitfaden der Einfachheit halber nur die männliche Form, wie beispielsweise Nutzer, verwendet wird, ist dies geschlechterneutral zu verstehen und schließt die weibliche Form immer mit ein. Dieses Dokument entstand nach Abstimmung und unter Mitwirkung des IT-Dienstleistungszentrums Berlin _ZSC2MC_Leitfaden_zur_Nutzung_eID-Basisdienst_v1.0.1.doc

2 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 2 Inhaltsverzeichnis 1 EINLEITUNG AUSGANGSSITUATION ZIELSETZUNG ZWECK UND INHALT DES DOKUMENTES GENERELLER ABLAUF DES IDENTITÄTSNACHWEISES EID-BASISDIENST DES LANDES BERLIN BESCHREIBUNG DES EID-BASISDIENSTES VORTEILE DES EID-BASISDIENSTES BERECHTIGUNGSZERTIFIKATE DES EID-BASISDIENSTES ABLAUF DES EID-BASISDIENSTES VORGEHEN FÜR DIE NUTZUNG DES EID-BASISDIENSTES KONZIPIEREN EINES DIENSTES BEANTRAGEN EINER BERECHTIGUNG BESCHAFFEN DES EID-BASISDIENSTES ANBINDEN DES EID-BASISDIENSTES BETREIBEN DER WEB-ANWENDUNG MIT EID-FUNKTION VORAUSSETZUNGEN UND VERPFLICHTUNGEN ZUR NUTZUNG KOSTEN ANHANG ABKÜRZUNGSVERZEICHNIS TABELLENVERZEICHNIS ABBILDUNGSVERZEICHNIS... 23

3 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 3 1 Einleitung 1.1 Ausgangssituation In den Richtlinien der Regierungspolitik wird das Internet als ein beständig wachsendes Instrument der Kommunikation mit der Öffentlichkeit gesehen, welches neue Möglichkeiten bietet, den Zugang zur Berliner Verwaltung für Bürgerinnen und Bürger sowie für die Wirtschaft zu erleichtern und die medienbruchfreie Abwicklung von Verwaltungsvorgängen zu erhöhen. Der Ausbau des Berliner Service-Portals soll als zentraler und einheitlicher Internetauftritt für Online- Angebote der Berliner Verwaltung vorangetrieben werden. Mit der Verabschiedung des landesweiten Modernisierungsprogramms ServiceStadt Berlin 2016 (Senatsbeschluss vom ) und dem Umsetzungskonzept One- Stop-City 2016 (Senatsbeschluss vom ) wird weiterhin die Initiierung von technischen und organisatorischen Maßnahmen zur Einführung von elektronischen Vertrauensdiensten gefördert, deren Umsetzung Behörden befähigt, Verwaltungsleistungen zunehmend elektronisch anzubieten. Zusätzlich konnten sich Bund, Länder und kommunale Spitzenverbände mit dem IT- Planungsrat-Beschluss 2013/27 vom auf eine gemeinsame Strategie für eid und andere Vertrauensdienste im E-Government (eid-strategie) verständigen. Ziel dieser Strategie ist es, ein flächendeckendes Angebot von sicheren elektronischen Verfahren zur Gewährleistung von Identität, Authentizität, Integrität, Vertraulichkeit und Nachweisbarkeit in elektronischen Transaktionen für Bürgerinnen, Bürger und Organisationen zu erreichen. Dafür wurden zehn Maßnahmen definiert. Eine der Maßnahmen beinhaltet den Ausbau von temporären und permanenten Bürgerkonten, die u.a. auch durch den Einsatz der eid-funktion des neuen Personalausweises ( npa ) oder des elektronischen Aufenthaltstitels (im Folgenden wird der Einfachheit halber nur noch von der eid-funktion des Personalausweises gesprochen) unterstützt werden. Für das Land Berlin wurde darauf aufbauend durch Fraunhofer FOKUS die Studie Programm 100+ eid-strategie und Aufbau von Transaktionsdiensten für das Land Berlin ( ) erarbeitet. Danach bildet die nationale eid-strategie zugleich die eid-strategie des Landes Berlin und flankiert somit das Modernisierungsprogramm ServiceStadt Berlin Alle diese Beschlüsse haben die Erhöhung des Angebots von Online-Leistungen für Bürgerinnen und Bürger unter Verwendung von Vertrauensdiensten zum Inhalt. 1.2 Zielsetzung Ziel ist es, bedeutend mehr Leistungen der Berliner Verwaltung sicher im Internet anzubieten. Bisher scheiterten E-Government-Anwendungen häufig an den Hürden des Schriftformerfordernisses. Das E-Government-Gesetz des Bundes errichtete den rechtlichen Rahmen, den elektronischen Identitätsnachweis ( eid ) des Personalausweises als eine Alternative zur Schriftform oder zum persönlichen Erscheinen im Amt einzusetzen. Daten des Personalausweises dürfen mit der Online-Ausweisfunktion aus dem Personalausweis übermittelt werden, wenn für den Zweck ein entsprechendes Berechtigungszertifikat für den Diensteanbieter ausgestellt wurde.

4 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 4 Bislang wurde für jedes einzelne Verfahren im Land Berlin, das die Online- Ausweisfunktion nutzen wollte, ein separates Berechtigungszertifikat beim Bundesverwaltungsamt ( BVA ) beantragt und die Erforderlichkeit der Datenabfrage nachgewiesen. Dies ist ineffizient und entspricht nicht der E-Government-Strategie des Landes. Jede E-Government-Komponente, insbesondere an den Schnittstellen zum Bürger und zur Wirtschaft, soll zur besseren Wiedererkennbarkeit, zur Auffindbarkeit sowie zur einfacheren Handhabbarkeit durch den Nutzer unter service.berlin.de zentral bereit gestellt werden. Außerdem soll die Wirtschaftlichkeit verbessert werden, da das Berechtigungszertifikat nur einmalig beschafft und gehostet werden muss. Insellösungen sind zu vermeiden. Daher wurde ein eid-service als zentraler Landesdienst entwickelt. Er wird allen Berliner Verwaltungen zur Nutzung bereitgestellt. 1.3 Zweck und Inhalt des Dokumentes Das vorliegende Dokument stellt ein Informationsleitfaden über das zentrale eid- Basisdienst-Angebot für sämtliche Verwaltungen des Landes Berlin dar. Sein Fokus liegt auf dem eid-basisdienst und darauf, wie Berliner Verwaltungen diesen Dienst nutzen können. Es liefert neben allgemeinen Informationen zum Ablauf des elektronischen Identitätsnachweises (vgl. Kapitel 2) vor allem spezifische Angaben über den eid-basisdienst. Zum einen wird der eid-basisdienst detailliert beschrieben (vgl. Kapitel 3). Zum anderen wird Schritt für Schritt erläutert, wie dieser eid-basisdienst in Anspruch genommen werden kann (vgl. Kapitel 4). Dieses Konzept richtet sich daher an alle Verwaltungen des Landes Berlin, die Interesse oder die Absicht haben, Dienstleistungen sicher für Bürgerinnen und Bürger im Internet anzubieten. Aber auch Berliner Verwaltungen sind angesprochen, die bereits Online- Dienstleistungen für Bürgerinnen und Bürger im Internet anbieten, aber die Online- Ausweisfunktion noch nicht für eine sichere Identifizierung einsetzen.

5 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 5 2 Genereller Ablauf des Identitätsnachweises Die eid-funktion des Personalausweises ermöglicht Bürgerinnen und Bürger in Deutschland nicht nur ihre Identität im Internet und an Automaten sicher und eindeutig zu belegen, sondern auch die Identität ihres Gegenübers zuverlässig in Erfahrung zu bringen. Diensteanbieter Ausweisinhaber 4 PIN eingeben Identität bestätigt Anzeige Daten 5 8 Dienst/Web- Anwendung 1 2 Aufruf der Web-Seite Weiterleitung zum eid-service Chip- und Terminalauthentisierung Datenübermittlung Datenübermittlung Abbildung 1: Ablauf der Online-Ausweisfunktion des Personalausweises eid-service-anbieter Die Abbildung 1 zeigt den chronologischen Ablauf des elektronischen Nachweises der Identität mittels eid-funktion in acht Schritten. (1) Der Ausweisinhaber (z.b. ein Bürger der Stadt Berlin) wählt mit Hilfe eines Web-Browsers beispielsweise durch Eingabe der Internetadresse den gewünschten Service (Web-Anwendung für die Online-Beantragung einer Feinstaubplakette) an, der eine Online-Anmeldung mit der Internetfunktion des Ausweises bietet. (2) Die Web-Anwendung leitet die Anfrage zur Anmeldung ( Authentisierungsanfrage ) an den eid-service Service-Anbieters (z.b. ITDZ Berlin) weiter. (3) Der eid-service legt die Identität des Diensteanbieters (z.b. LABO Berlin) gegenüber dem Ausweisinhaber offen. Er sendet Informationen wie die Datenschutzerklärung und gewünschte Leserechte an den Ausweisinhaber. (4) Die zur Anmeldung vom Diensteanbieter nachgefragten Daten werden dem Ausweisinhaber am Bildschirm angezeigt. Sie sind vom Ausweisinhaber zu bestätigen. Für diese Datenanfrage benötigt der Diensteanbieter ein vom Bundesverwaltungsamt ausgestelltes Berechtigungszertifikat. Im Rahmen des Antrags- und Vergabeverfahrens prüft die Vergabestelle für Berechtigungszertifikate ( VfB ) im BVA die Identität des Diensteanbieters und stellt fest, ob er und sein Geschäftszweck bzw. Dienst die gesetzlichen Voraussetzungen in Sachen Datenschutz und -sicherheit erfüllen. Dazu wird speziell der Zweck, die Dienstbeschreibung und die Notwendigkeit bzw. Erforderlichkeit der Datenerhebung begutachtet.

6 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 6 (5) Zur Freigabe der Ausweisdaten gibt der Ausweisinhaber seine sechsstellige PIN als Passwort ein. (6) Nach der Prüfung der eingegebenen PIN wird eine sichere Verbindung zum kontaktlosen Ausweischip aufgebaut. Zwischen eid-server und Ausweis wird eine sichere, verschlüsselte Verbindung etabliert. Der Ausweis prüft zunächst das Berechtigungszertifikat und die Authentisierungsdaten des Diensteanbieters (Terminalauthentisierung). Danach prüft der eid-server, ob es sich um einen echten Ausweis handelt, ob dieser noch gültig und nicht gesperrt ist (Chipauthentisierung). Wenn dies der Fall ist, werden die vom Ausweisinhaber freigegebenen Daten an den eid-service übermittelt. (7) Die Ausweisdaten werden dann vom eid-service an den Diensteanbieter weitergeleitet. Der Ausweisinhaber weist sich damit online gegenüber dem Diensteanbieter aus. (8) Bei Erfolg kann der Ausweisinhaber die Web-Anwendung mit seiner bestätigten Identität nutzen. Sowohl Ausweisinhaber als auch Diensteanbieter können nun sicher sein, dass ihr Gegenüber derjenige ist, für den er sich ausgegeben hat. Für den elektronischen Identitätsnachweis wird eine eid-infrastruktur bestehend aus einer Web-Anwendung/ einem Automat (z.b. Bürger-Terminal), einem eid-service und den clientseitigen eid-komponenten (z.b. PC mit Browser und Kartenlesegerät) des Ausweisinhabers benötigt. Die Web-Anwendung wird vom Diensteanbieter bereitgestellt und besitzt eine Schnittstelle zum eid-service. Der Diensteanbieter kann entweder einen eigenen eid- Service betreiben oder diesen von einem externen Anbieter, wie in Abbildung 2 dargestellt, nutzen. Ausweisinhaber Diensteanbieter Browser Dienst / Web-Anwendung Client-Software (AusweisApp) Sichere Verbindung eid-service eid-service-anbieter Abbildung 2: Nutzung eines eid-service Bei der Nutzung eines (externen) eid-service-anbieters handelt es sich um Datenverarbeitung im Auftrag gemäß 11 BDSG. Diese Nutzungsmöglichkeit ist insbesondere für kleine und mittlere Organisationen und Behörden empfehlenswert. Alle wesentlichen Maßnahmen zur Durchführung der Online-Authentisierung werden vom eid-

7 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 7 Service-Anbieter erbracht. Der Diensteanbieter benötigt weder die eid-technik noch detailliertes technisches Know-how über den eid-service. Durch das Einer für Alle - Prinzip ist es grundsätzlich auch wirtschaftlicher als der Aufbau und der Betrieb eines eigenen eid-service. Umso mehr Diensteanbieter den eid-service eines Anbieters nutzen, umso günstiger wird dieser Service für den Einzelnen, da die Kosten geteilt werden können. In Berlin kommt der eid-service des ITDZ Berlin als zentrale Infrastrukturkomponente zum Einsatz. Wesentliche Komponenten Services sind: der eid-server, ein Berechtigungszertifikat von der VfB, technische Berechtigungszertifikate vom Berechtigungszertifikate-Anbieter ( BerCA ) und eine Sperrliste 1, die die BerCA bereitstellt. Der Ausweisinhaber benötigt neben einem PC bzw. mobilen Gerät mit Internetanschluss einen Ausweis mit aktivierter eid-funktion 2, einen Internetbrowser, eine AusweisApp und ein Kartenlesegerät. Für die Nutzung mancher eid-services ist die vorherige Installation einer AusweisApp beim Ausweisinhaber nicht erforderlich. 1 Liste aller gesperrter Personalausweise 2 auch Online-Ausweisfunktion genannt

8 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 8 3 eid-basisdienst des Landes Berlin In enger Kooperation zwischen dem LABO Berlin, der BerlinOnline GmbH & Co. KG und dem ITDZ Berlin wurden im Jahr 2013 zwei eid-lösungen, Online-Beantragung einer Feinstaubplakette und Halterauskunft, erfolgreich realisiert. Das ITDZ Berlin ( IT- Dienstleistungszentrum Berlin ) hat auf Basis dieser beiden eid-lösungen eine eid- Infrastruktur entwickelt und stellt diese allen Verwaltungen des Landes Berlin gemäß den Vorgaben der landesweiten IT-Steuerung der Senatsverwaltung für Inneres und Sport als zentralen eid-basisdienst in seinem sicheren und hochverfügbaren Rechenzentrum ( HSDC ) zur Nutzung bereit. Unter einem eid-basisdienst wird hier der eid-service mit dem Geschäftszweck des temporären oder permanenten Bürgerkontos (gemäß VITAKO-Konzept 3 ) mit Anschluss an eine Web-Anwendung, Fachanwendung oder einen anderen Dienst verstanden. Die Berliner Verwaltungen können mit Hilfe dieses eid- den Aufwand für Aufbau und Betrieb eines eigenen eid-service für die sichere Nutzung ihrer Verwaltungsverfahren und Leistungen im Internet vermeiden. 3.1 Beschreibung Der zentrale eid-basisdienst des Landes Berlin basiert auf dem Produkt Governikus Autent. Dieses Produkt wird auf der Sicherheits-Middleware Governikus im ITDZ Berlin betrieben, welche auch das elektronische Behördenpostfach bereitstellt. Governikus Autent wird entsprechend den rechtlichen und technischen Anforderungen weiterentwickelt und regelmäßig vom Bundesamt für Sicherheit in der Informationstechnik ( BSI ) auf Gesetzeskonformität evaluiert. Durch die zentrale Bereitstellung eines eid- erhält jede Berliner Behörde die Möglichkeit, diesen Dienst in die eigene Anwendungsarchitektur zu integrieren und kostengünstig zu verwenden. Der eid-basisdienst entspricht den BSI-Richtlinien für den Einsatz eines elektronischen Identifikationssystems und läuft dementsprechend in zwei Systemumgebungen: einer Referenz- und einer Wirksystemumgebung. Jede neue Anwendung wird vor dem Echtbetrieb an das Referenzsystem (auch Testsystem genannt) angeschlossen. Dort werden die Tests zur betrieblichen Abnahme durchgeführt. Für die Tests können nur Testausweise eingesetzt werden, welche vom ITDZ Berlin zur Verfügung gestellt werden. Beide Umgebungen sind an die Berechtigungs-Certificate Authority ( BerCA ) eines Zertifizierungsanbieters angeschlossen, über welche die notwendigen technischen Berechtigungszertifikate abgerufen und Sperrlisten verwendet werden. Nach erfolgreichem Test wird die Anwendung nach Anforderung der jeweiligen Behörde mit dem Wirksystem verbunden. Im Einzelnen besteht der eid-basisdienst des ITDZ Berlin aus den folgenden Service- Komponenten: 3 Link:

9 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 9 Server-Software Governikus Autent Client-Software 4 Mandantenfähiger eid-server Governikus Autent Berechtigungszertifikate für temporäres und permanentes Bürgerkonto sowie ggf. weitere Landesberechtigungszertifikate der VfB für das Auslesen der Ausweisdaten Verwaltung der technischen Berechtigungszertifikate und Sicherung dieser durch redundante Sicherheitsmodule im HSDC 5 des ITDZ Berlin Sperrlistenmanagement PKI 6 -Schnittstelle, SSL-Zertifikate (SSL = Secure Sockets Layer) Standardschnittstellen zur einfachen Integration in Web-Anwendungen (Standard SAML, BSI TR eid-server, Interoperabilität durch ecard-api-framework) Service Tabelle 1: Imperia-Modul von BerlinOnline Java-basiertes Applet Governikus AutentApp In der Regel keine vorherige Installation einer Ausweis-Anwendung auf Seiten des Ausweisinhabers (Nutzer) notwendig, er kann aber auch seine eigene benutzen Sicherheit Betrieb und Support des zentralen eid- Sicherheitskonzept für zentralen eid- Basisdienst des Landes Berlin Betrieb Servers im ISO zertifizierten Rechenzentrum des ITDZ Berlin (Zertifizierung wird derzeit vorbereitet) Bereitstellung der eid-testinfrastruktur und von Testausweisen Technische Berechtigungszertifikate durch Kooperation mit einer BerCA Beratungsunterstützung u.a. für die Integration in die Web-Anwendung, in eine Fachanwendung oder in einen anderen Dienst Leistungskomponenten des ITDZ Berlin Leistungen, die die Integration in eine Web-Anwendung, in eine Fachanwendung oder einen anderen Dienst sowie in das Service-Portal Berlin ( oder in eine andere Web-Umgebung betreffen, gehören nicht zum Leistungsumfang des eid- und sind getrennt zu organisieren. 3.2 Vorteile Der zentrale eid-basisdienst bietet der Berliner Verwaltung u.a. die folgenden Vorteile: Wirtschaftlichkeit, da der eid-basisdienst komplett aus einer Hand kommt: eid- Service, technische Berechtigungszertifikate für eid-anfragen und SSL- Zertifikate 4 Die Art der Client-Software hängt von der Umsetzung der Web-Anwendung ab. 5 High Security Data Center 6 Public Key Infrastructure

10 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 10 Sicherheit, da die Unterbringung Servers im High-Secure-Data-Center des ITDZ Berlin erfolgt, wobei höchste Sicherheits- und Datenschutzanforderungen erfüllt werden Minimierung des organisatorischen Aufwandes für Verwaltung und Beantragung eines Berechtigungszertifikates bei der VfB, da voraussichtlich die beiden vorhandenen Berechtigungszertifikate: temporäres und permanentes Bürgerkonto, in den meisten Fällen genutzt werden können Einfache Umsetzung, da nur eine Schnittstelle bei der Berliner Verwaltung erforderlich ist, die leicht zu integrieren ist Identifikation ohne Medienbruch, da andere Identifikationsverfahren wie z.b. PostIdent nicht mehr benötigt werden Bürgerfreundlichkeit, da die Bürgerinnen und Bürger über den eid-service des Landes Berlin, wenn gewünscht, auch die notwendige Authentifikationssoftware zum Auslesen des Ausweises aufrufen kann. Ansonsten kann auch die vom Bund bereitgestellte AusweisApp genutzt werden ( 3.3 Berechtigungszertifikate Die für die landesweite IT-Steuerung zuständige Senatsverwaltung für Inneres und Sport Berlin hat gemäß Autorisierung durch den Staatssekretärsausschuss zur Verwaltungsmodernisierung vom für ein temporäres und ein permanentes Bürgerkonto jeweils zentrale Berechtigungszertifikate bei der VfB beantragt und bewilligt bekommen. Diese Berechtigungszertifikate sind Bestandteil Basisangebotes. Die zentralen Berechtigungszertifikate der VfB für das Land Berlin beinhalten derzeit folgende zwei Geschäftszwecke: Temporäres Bürgerkonto Das temporäre Bürgerkonto wird auf Basis des vorliegenden Berechtigungszertifikates des BVA für die Nutzung des aktuellen Verwaltungskontextes den Berliner Verwaltungen angeboten. Beim sogenannten temporären Bürgerkonto nach dem VITAKO- Konzept handelt es sich um kein festes Benutzerkonto. Die Identitätsdaten werden nicht an zentraler Stelle gespeichert, sondern für den jeweiligen Anwendungsfall im Zuge des elektronischen Identitätsnachweises einmalig direkt an das Fachverfahren übertragen. Verschiedene Fachverfahren können dabei zur elektronischen Identifikation dasselbe Zertifikat für das temporäre Bürgerkonto nutzen. Das temporäre Bürgerkonto ermöglicht Berliner Verwaltungen, Anträge elektronisch und rechtssicher entgegenzunehmen. Ab ist dies gemäß 3a Abs. 2 Satz 4 Nr. 1 und Satz 5 VwVfG als Schriftformersatz zugelassen, wenn bei elektronischen Formularen in öffentlich zugänglichen Netzen ein sicherer Identitätsnachweis (z.b. mit dem temporären Bürgerkonto) erfolgt. Der Bescheid des BVA vom zum temporären Bürgerkonto erteilt die Berechtigung zur Übermittlung der folgenden Datenfelder des Ausweises: Familienname, Vornamen, Tag der Geburt und Anschrift mit Postleitzahl sowie

11 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 11 Dokumentenart und Abkürzung D für Bundesrepublik Deutschland. Bei Nutzung dieses Zertifikates wird dem Verwaltungskunden gegenüber angezeigt, für wenn die Berechtigung zum Auslesen der Daten ausgestellt wurde. Gemäß der Autorisierung durch den Staatssekretärsausschuss zur Verwaltungsmodernisierung vom wird ausgewiesen: Land Berlin, vertreten durch die Senatsverwaltung für Inneres und Sport Klosterstr. 47, Berlin, poststelle@seninnsport.berlin.de. Permanentes Bürgerkonto Das permanente Bürgerkonto wird auf Basis des vorliegenden Berechtigungszertifikates des BVA für die Nutzung des Verwaltungskontextes den Berliner Verwaltungen angeboten. Beim sogenannten permanenten Bürgerkonto nach dem VITAKO-Konzept werden die Identitätsdaten des Ausweisinhabers (Nutzers) im Servicekonto Berlin 7 langfristig gespeichert. Der Nutzer kann sich jederzeit erneut anmelden und die im Bürgerkonto gespeicherten Identitätsdaten zur Identifizierung für ein angeschlossenes Fachverfahren freigeben. Neben dem Authentisierungsverfahren mittels eid-funktion erlaubt dieses Konzept, auch weitere Authentisierungsverfahren (z.b. Softwarezertifikate) anzubieten. Zusätzlich eröffnet es die Möglichkeit, weitere Daten im Bürgerkonto zu speichern, die nach Freigabe durch den Nutzer an das vom Nutzer aufgerufene Fachverfahren weiter gegeben werden können. Der Bescheid des BVA vom zum permanenten Bürgerkonto erteilt die Berechtigung für die folgenden Datenfelder des Ausweises: Familienname, Vornamen, Tag der Geburt und Anschrift mit Postleitzahl sowie Dokumentenart, Dienste- und kartenspezifisches Kennzeichen und Abkürzung D für Bundesrepublik Deutschland. Bei Nutzung dieses Zertifikates wird dem Verwaltungskunden gegenüber angezeigt, für wenn die Berechtigung zum Auslesen der Daten ausgestellt wurde. Gemäß der Autorisierung durch den Staatssekretärsausschuss zur Verwaltungsmodernisierung vom wird ausgewiesen: Land Berlin, vertreten durch die Senatsverwaltung für Inneres und Sport Klosterstr. 47, Berlin, poststelle@seninnsport.berlin.de Temporäres und permanentes Bürgerkonto Beide Bürgerkonten erleichtern die Anwendung der eid-funktion des npa sowie vereinfachen Identifizierungsprozesse für Verwaltungen, Bürgerinnen und Bürger. Sie 7 Ein Konzept wird derzeit erstellt und soll noch 2014 durch den StS-A beschlossen werden.

12 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 12 werden auf Grund der zur Abfrage berechtigten Ausweisdatenfelder den überwiegenden Bedarf der Berliner Fachverfahren abdecken. Für alle E-Government-Anwendungen (Web-Anwendungen) des Landes Berlin, die genau die Berechtigungen eines temporären oder permanenten Bürokontos für den elektronischen Identitätsnachweis zwingend benötigen, können die bereits vorliegenden Berechtigungen genutzt werden. Das heißt, die Verwaltungen des Landes Berlin brauchen in diesem Fall keine neuen Berechtigungszertifikate bei der VfB beantragen. Weitere Berechtigungszertifikate Weitere Berechtigungszertifikate gehören derzeit nicht zum Basisdienst eid und müssen bei Bedarf erst zentral für das Land Berlin bei der VfB beantragt werden (vgl. Abschnitt 4.2). Dies ist nur notwendig. falls die E-Government-Anwendungen weniger oder weitere Datenfelder des npa für den jeweiligen Geschäftszweck erfordern. Dann muss von der für die E-Government-Anwendung verfahrensverantwortliche Behörde bei Bedarf über die landesweite IT-Steuerung der Senatsverwaltung für Inneres und Sport Berlin (ZS C) ein entsprechendes Berechtigungszertifikat bei der VfB beantragt werden. Weitere Informationen zur Beantragung von Berechtigungszertifikaten bei der VfB werden im Abschnitt 4.2 gegeben. Neue Berechtigungszertifikate sollen nach Erteilung in den eid-basisdienst aufgenommen werden, um je Anfragefall nur genau einmal im eid-basisdienst vorgehalten zu werden. Es ist in jedem Fall sicher zu stellen, das die weiteren Berechtigungszertifikate für alle Verwaltungsverfahren mit gleichartigen Datenfeldnutzungen in Berlin genutzt werden können. 3.4 Ablauf Die folgende Abbildung 3 zeigt den Ablauf des zentralen eid- des Landes Berlin: Dieser Ablauf entspricht dem generellen Ablauf des Identitätsnachweises (vgl. Abbildung 1 im Abschnitt 2), beinhaltet jedoch zusätzlich die spezifischen Parteien, die im Land Berlin involviert sind: Verfahrensverantwortlicher (Verwaltung des Landes Berlin), der in Verbindung mit dem Verfahrensentwickler und betreiber das Fachverfahren anpasst und bereitstellt, Service-Portal Berlin, welches von BerlinOnline Stadtportal GmbH & Co. KG betrieben wird und über erreichbar ist, ITDZ Berlin, welches den zentralen eid-basisdienst betreibt und bereitstellt, sowie Ausweisinhaber (Bürgerinnen und Bürger der Stadt Berlin), die die Services des Landes Berlin sicher mittels Online-Ausweisfunktion nutzen möchten.

13 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 13 Ausweis mit Internetfunktion Ausweisinhaber Fachverfahren Verfahrensverantwortlicher 7. Daten eid-infrastruktur Web-Frontend Service.berlin.de 4. Übermitteln der eid-daten 1. Aufruf Web-Browser Kartenleser Ausweisinhaber 2. Anfrage 6. Lieferung der eid-daten 3. Abfrage der eid-daten 5. Lieferung der eid-daten eid-basisdienst ITDZ-Berlin Abbildung 3: Ablauf des zentralen eid- des Landes Berlin

14 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 14 4 Vorgehen für die Nutzung Um eine Web-Anwendung, eine Fachanwendung oder einen anderen Dienst mit eid- Funktion im Land Berlin einzuführen, sind im Allgemeinen verschiedene Schritte erforderlich: (1) Planen und umsetzen einer Web-Anwendung, Fachanwendung oder eines anderen Dienstes, (2) A: Prüfen der Verwendbarkeit der vorhandenen zentralen Berechtigungszertifikate für den eigenen Geschäftszweck oder B: Beantragen einer Berechtigung bei der VfB, (3) A: Entscheidung zur Nutzung der vorhandenen technischen Berechtigungszertifikate, oder B: Übergeben der Bescheide für Berechtigungszertifikate zum Erwerben zusätzlicher technischer Berechtigungszertifikate bei einer BerCA an das ITDZ Berlin und Einspielen der zusätzlichen Berechtigungszertifikate in den zentralen eid-service beim ITDZ, (4) Anbinden der Web-Anwendung, Fachanwendung oder eines anderen Dienstes an den eid-service und (5) Betreiben der Web-Anwendung, Fachanwendung oder eines anderen Dienstes in Verbindung mit dem eid-service. Der Prozess zur Nutzung des Landes Berlin umfasst somit fünf Schritte: Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid-funktion Abbildung 4: Prozess zur Nutzung des zentralen eid- Der zentrale eid-basisdienst ermöglicht es den Berliner Verwaltungen, dass mit seiner Beschaffung auch für die Bereitstellung technischer Berechtigungszertifikate sowie für Betrieb und Wartung Service durch das ITDZ Berlin gesorgt ist. Zudem entfällt die Beantragung einer Berechtigung bei der VfB immer dann, wenn die Web-Anwendung auf einer Portallösung unter Verwendung des temporären oder permanenten Bürgerkontos basieren soll oder wenn bereits eine andere Berliner Verwaltung das benötigte Berechtigungszertifikat für die Nutzung derselben Datenfelder beantragt und bewilligt bekommen hat. In den nachfolgenden Abschnitten wird der Prozess zur Nutzung des zentralen eid- schrittweise beschrieben.

15 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite Konzipieren eines Dienstes Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid-funktion Im ersten Schritt ist eine geeignete Leistung der Berliner Verwaltung zu identifizieren, die elektronisch angeboten werden soll und sich zugleich für die Authentisierung mittels eid-funktion eignet. Dabei ist zu berücksichtigen, dass der elektronische Identitätsnachweis als Ersatz für die persönliche Sichtkontrolle in der elektronischen Welt zu verstehen ist. Auch wenn ein Schriftformerfordernis besteht, ist eine Leistung nicht gleich auszuschließen, sondern zu prüfen, ob die eid-funktion ggf. als Schriftformersatz verwendet werden kann. Dies gilt auch für das persönliche Erscheinen im Amt mit Identitätsprüfung durch Vorlage eines Ausweises. Verschiedene Stellen haben zur Auswahl geeigneter Leistungen Untersuchungen durchgeführt und Empfehlungen abgegeben, die zur Orientierung dienen können. In den folgenden Dokumenten und Quellen sind Anregungen für solche Leistungen zu finden: Studie Programm eid-strategie und Aufbau von Transaktionsdiensten für das Land Berlin ( ), welche von Fraunhofer FOKUS im Auftrag der Senatsverwaltung für Inneres und Sport Berlin im November 2013 erstellt wurde (siehe Service-Portal Berlin unter über welches sämtliche in der zentralen Dienstleistungsdatenbank beschriebenen und verzeichneten Leistungen öffentlich zugänglich sind, Anwendungsbeispiele mit vielen nützlichen Informationen und Werkzeugen im Personalausweisportal (siehe und Positivliste elektronische Prozesse Umsetzungsmöglichkeiten von E- Governmentprozessen der VITAKO von Juni 2012 (siehe Nach der Auswahl einer geeigneten Leistung, ist zu bestimmen, welche Datenfelder zwingend aus dem Ausweis für den elektronischen Identitätsnachweis benötigt werden. Eine Liste aller möglichen Daten sind u.a. im Personalausweisgesetz im 18 Abs. 3 zu finden: Familienname, Vornamen, Doktorgrad, Tag der Geburt, Ort der Geburt, Anschrift mit Postleitzahl, Dokumentenart,

16 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 16 Dienste- und kartenspezifisches Kennzeichen, Abkürzung D für Bundesrepublik Deutschland, Angabe, ob ein bestimmtes Alter über- oder unterschritten wird, Angabe, ob ein Wohnort dem abgefragten Wohnort entspricht, und Ordens- oder Künstlername. Für jedes Datenfeld muss der Nachweis der Erforderlichkeit begründbar und nachvollziehbar sein. Dieser Punkt ist bei der Beantragung einer Berechtigung bei der VfB zu beachten, falls noch keine entsprechende Berechtigung für das Land Berlin vorliegt (vgl. Abschnitt 4.2). 4.2 Beantragen einer Berechtigung Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid-funktion Die Berechtigung für die Anfrage von Daten aus dem Personalausweis ist bei der Vergabestelle für Berechtigungszertifikate ( VfB ) gemäß 28 Personalausweisverordnung zu beantragen. Dabei wird empfohlen, dass die Verwaltungen des Landes Berlin in den folgenden Schritten vorgehen: (1) (Telefonische) Kontaktaufnahme mit ZS C 2 MC der Senatsverwaltung für Inneres und Sport Berlin, Die genannte Stelle der Senatsverwaltung ist für die zentrale Verwaltung sämtlicher eid-berechtigungszertifikate des Landes Berlin zuständig. Sie prüft daher, ob bereits ein Berechtigungszertifikat (z.b. temporäres oder permanentes Bürgerkonto) für den gewünschten Geschäftszweck mit den zwingend notwendigen Datenfeldern des Personalausweises vorliegt und von der anfragenden Behörde genutzt werden kann. Dadurch werden Mehrfachbeantragungen vermieden. Weiterhin können im Rahmen dieser Kontaktaufnahme eventuelle Fragen zum Prozess, Antragsformular oder eid-basisdienst im Vorfeld geklärt werden. Die Kontaktdaten sind: Adresse: Senatsverwaltung für Inneres und Sport, Klosterstraße 47, Berlin, Referat ZS C MC Telefon: +49 (0) Fax: +49 (0) dirk.meyer-claassen@seninnsport.berlin.de (2) Beschaffen des entsprechenden Formulars (siehe

17 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 17 (3) Ausfüllen des Antragsformulars für den Geschäftszweck des Verwaltungsverfahren zwingend mit der Angabe für den Diensteanbieter Land Berlin, vertreten durch [i.d.r. SenInnSport] 8 und (4) Versenden des ausgefüllten Formulars an ZS C 2 MC der Senatsverwaltung für Inneres und Sport Berlin. (5) Die Senatsverwaltung für Inneres und Sport Berlin leitet den Antrag an die VfB des BVA zur Bearbeitung und Freigabe weiter. Wird im Schritt (1) festgestellt, dass ein entsprechendes Berechtigungszertifikat bereits vorliegt, entfallen die Schritte (2) bis (5). 4.3 Beschaffen Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid-funktion Nach Vorlage des notwendigen Berechtigungszertifikates der VfB, kann der eid- Basisdienst beim ITDZ Berlin beschafft werden. Dazu nimmt die Berliner Verwaltung Kontakt mit dem ITDZ Berlin auf. Die Kontaktdaten und Informationen über den zentralen eid-basisdienst des Landes Berlin sind im Produktkatalog des ITDZ Berlin unter zu finden: Adresse: ITDZ Berlin, Berliner Straße , Berlin Telefon: Fax: vertrieb@itdz-berlin.de. Für die Bereitstellung wird eine zumindest grobe zeitliche Planung der Einführung der E-Government-Anwendung mit eid-funktion von der Behörde benötigt. Anhand dieser zeitlichen Planung können die einzelnen Aktivitäten bis zur Bereitstellung individuell zwischen ITDZ Berlin und der betreffenden Behörde vereinbart werden. Dafür ist dem ITDZ Berlin ein organisatorischer und technischer Ansprechpartner der Behörde zu benennen, der die Koordination auf Seiten der Verwaltung übernimmt. 4.4 Anbinden Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid-funktion 8 Link für Erstantrag: Dienstleister/Formular_Erstantrag_Datenschutz_Erforderlichkeit_DA.pdf? blob=publicationfile

18 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 18 Voraussetzung für die Anbindung ist das Vorliegen eines Berechtigungszertifikats von der VfB des BVA (siehe Abschnitt 4.2 Beantragen einer Berechtigung ). Grundsätzlich sind für die Anbindung an die Web-Anwendung der betreffenden Behörde die folgenden groben Schritte durchzuführen: Nr. Schritte Verantwortlich 1. Beantragung von technischen Berechtigungszertifikaten bei BerCA, falls für das von der VfB erhaltene Berechtigungszertifikat noch keine technischen Berechtigungszertifikate beim ITDZ Berlin vorliegen 2. Anschluss der Web-Anwendung der Behörde an das eid-testsystem des ITDZ Berlin Initiierung: Berliner Verwaltung Beschaffung: ITDZ Berlin Anschluss: Berliner Verwaltung Beratung: ITDZ Berlin 3. Bereitstellung einer Testumgebung und von Testkarten 4. Durchführung von Tests unter Nutzung der Web-Anwendung und entsprechender Testclients sowie dem Testsystem des ITDZ Berlin 5. Anschluss der Web-Anwendung an das Wirksystem nach erfolgreichem Test und zeitlicher Anforderung der Behörde ITDZ Berlin Test: Berliner Verwaltung Betriebliche Freigabe: ITDZ Berlin Zeitpunkt: Berliner Verwaltung Anschluss: ITDZ Berlin Tabelle 2: Bereitstellung für eine Web-Anwendung 4.5 Betreiben der Web-Anwendung mit eid-funktion Konzipieren eines Dienstes Ggf. beantragen einer Berechtigung Beschaffen des ITDZ Berlin Anbinden Betreiben des Dienstes mit eid- Funktion Der Betrieb und Support der Web-Anwendung liegt in der Verantwortung der Behörde. Dazu gehört auch die Behandlung von sämtlichen Störungsmeldungen der Nutzer der Web-Anwendung. Der Betrieb und Support wird vom ITDZ Berlin durchgeführt. Für den eid-basisdienst gelten die folgenden Standard-Service-Level: Standard-Service-Level Verfügbarkeit Der eid-basisdienst kann an 24 Stunden kalendertäglich genutzt werden. Ein überwachter Betrieb wird an Werktagen (außer Samstag) in der Zeit von 7:00 bis 17:00 Uhr gewähr-

19 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 19 leistet. Standard-Service-Level Störungsannahme Störungsmeldung Servicezeit Reaktionszeit Wiederinbetriebnahmezeit Das ITDZ Berlin nimmt an Werktagen (außer Samstag) von 06:30 Uhr bis 19:30 Uhr Störungsmeldungen durch den U- ser Help Desk ( UHD ) entgegen. Ist ein vom ITDZ Berlin betriebener Dienst betroffen, so meldet die Behörde (Diensteanbieter) dem User Help Desk ( UHD ) des ITDZ Berlin die Störung. Das ITDZ Berlin übernimmt daraufhin die Störungsbeseitigung. Störungsmeldungen von Nutzern (Ausweisinhabern) sind von Behörden, die Web-Dienste anbieten, oder ihren Servicepartnern entgegenzunehmen. Die Servicezeit ist die Zeit, innerhalb derer die Behörde Anspruch auf Leistungen durch das ITDZ Berlin hat. Die Servicezeit wird an Werktagen (außer Samstag) von 07:00 bis 17:00 Uhr erbracht. Die Reaktionszeit ist die Zeit, in der auf eine gemeldete Störungsmeldung reagiert wird. Sie beginnt mit dem Zeitpunkt des Störungsmeldungseingangs beim UHD des ITDZ Berlin und beträgt maximal vier Stunden innerhalb der Servicezeit. Die Wiederinbetriebnahmezeit ist die Zeit, in der die Störung behoben wird. Sie beginnt mit dem Zeitpunkt des Störungsmeldungseinganges beim UHD des ITDZ Berlin. Sie beträgt maximal zwölf Stunden innerhalb der Servicezeit. Wartungsfenster Tabelle 3: Erhöhter Service-Level Das ITDZ Berlin ist bestrebt, Wartungsarbeiten an den Systemen des ITDZ Berlin, die für den Erhalt und die Sicherheit des laufenden Betriebs bzw. der Durchführung von Updates oder Upgrades notwendig sind, außerhalb der Hauptanwendungszeiten vorzunehmen. Geplante Systemwartungen werden den Behörden vorher bekanntgegeben. Eventuelle Beeinträchtigungen der Verfügbarkeit durch solche Arbeiten sind nicht als Ausfallzeiten zu werten und gelten als erbrachte Servicezeit. Weiterführende Informationen zu geplanten Wartungsfenstern erhalten die Kunden über das UHD des ITDZ Berlin. Standard-Service-Level für eid-basisdienst Sollten temporär höhere Service-Level notwendig sein, muss die entsprechende Beauftragung spätestens sechs Wochen vor dem gewünschten Termin vorliegen. Die folgende Tabelle beinhaltet die Standardregelungen zu Laufzeit und Kündigung :

20 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 20 Standardregelungen über Laufzeit und Kündigung Laufzeit Die Laufzeit eines Vertrages ist unbefristet. Sie beginnt mit dem Tag der Leistungsbereitstellung und endet mit der Leistungsabschaltung zum bestätigten Kündigungstermin. Die Mindestvertragslaufzeit beträgt zwölf Monate. Kündigung Tabelle 4: Nach Ablauf der Mindestvertragslaufzeit ist der Vertrag für beide Parteien mit einer Frist von drei Monaten zum Ende des Monats ordentlich kündbar. Die Kündigung bedarf der Schriftform. Regelungen zu Laufzeit und Kündigung 4.6 Voraussetzungen und Verpflichtungen zur Nutzung Datenschutz und IT-Sicherheit Voraussetzung für die Nutzung des zentralen eid- ist es, dass die Fachverfahren, die die eid-funktion nutzen möchten, in den verfahrensbezogenen Datenschutz- und Sicherheitskonzepten die Erforderlichkeit der Datenabfrage nachweisen. Dies ist durch die jeweiligen Datenschutzbeauftragten zu überprüfen. Einbindung in das Service-Portal des Landes Berlin Voraussetzung für die Nutzung der zentral bereitgestellten Berechtigungszertifikate für das Land Berlin ist die Beschreibung der jeweiligen Verwaltungsleistung in der zentralen Dienstleistungsdatenbank, die Verknüpfung der jeweiligen Verwaltungsleistung mit den jeweils dafür zuständigen Behörden bzw. Verwaltungstandorten und entsprechende Eintragung im Service-Portal Berlin unter Vor Inbetriebnahme der verfahrensbezogenen Integration hat der Verfahrensverantwortliche die für die Eintragung der Online-Verwaltungsleistung im Service-Portal Berlin erforderlichen Informationen der Landesredaktion berlin.de zur Verfügung zu stellen. 4.7 Kosten Das Einführungsprojekt zur Bereitstellung eines zentralen eid- wird aus dem Modernisierungsprogramm ServiceStadt Berlin 2016 finanziert. Damit sind auch die Kosten für die Beschaffung der technischen Berechtigungszertifikate für den Geschäftszweck des temporären und permanenten Bürgerkontos von einer BerCA sowie der Betrieb bis Ende 2015 abgedeckt. Die Kosten für die technischen Berechtigungszertifikate und Betriebskosten eines eid- Service, der nicht das temporäre oder permanente Bürgerkonto betrifft, sind von der verfahrensverantwortlichen Behörde zu tragen. Nutzen mehrere Behörden das gleiche Berechtigungszertifikat, werden die Kosten auf die einzelnen Behörden aufgeteilt. Die Beantragung von Berechtigungszertifikaten bei der VfB ist für Verwaltungen kostenfrei. Die Details zu den monatlichen Betriebskosten einschließlich der Bereitstellung von technischen Berechtigungszertifikaten durch die BerCA sind beim ITDZ Berlin zu erfragen.

21 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite 21 5 Anhang 5.1 Abkürzungsverzeichnis API BDSG BerCA BSI BVA eid eid-funktion HSDC Imperia IT ITDZ Berlin LABO npa PC PIN PKI SAML SSL StS-A UHD VfB VITAKO VwVfG Application Programming Interface Bundesdatenschutzgesetz Berechtigungs-Certificate Authority oder Berechtigungszertifikate- Anbieter Bundesamt für Sicherheit in der Informationstechnik Bundesverwaltungsamt Elektronische Identität hier auch: elektronischer Identitätsnachweis Elektronischer Identitätsnachweis des neuen Personalausweises und des elektronischen Aufenthaltstitel der Einfachheit halber wird nur von der eid-funktion des Personalausweises gesprochen High Security Data Center - Hochsicherheitsrechenzentrum Content Management System von Berlin-Online Informationstechnik IT-Dienstleistungszentrum Berlin Landesamt für Bürger- und Ordnungsangelegenheiten Neuer Personalausweis (veraltete Abkürzung) Personalcomputer Personal Identification Number persönliche Geheimnummer Public Key Infrastructure Security Assertion Markup Language Secure Sockets Layer Staatssekretärausschuss User Help Desk Vergabestelle für Berechtigungszertifikate des Bundesverwaltungsamtes Bundes-Arbeitsgemeinschaft der kommunalen IT-Dienstleister e.v. Verwaltungsverfahrensgesetz

22 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite Tabellenverzeichnis Tabelle 1: Leistungskomponenten des ITDZ Berlin... 9 Tabelle 2: Bereitstellung für eine Web-Anwendung Tabelle 3: Standard-Service-Level für eid-basisdienst Tabelle 4: Regelungen zu Laufzeit und Kündigung... 20

23 Leitfaden für eid-basisdienst-nutzung im Land Berlin Seite Abbildungsverzeichnis Abbildung 1: Ablauf des elektronischen Identitätsnachweises... 5 Abbildung 2: Nutzung eines eid-service... 6 Abbildung 3: Ablauf des zentralen eid- des Landes Berlin Abbildung 4: Prozess zur Nutzung des zentralen eid