1 Bedienungsanleitung esignature Basic

Transkript

1 1 Bedienungsanleitung esignature Basic esignature Basic Zertifikat sind für die Erstellung einfacher elektronischer Signatur (z.b. oder Identifikation gegenüber WebServern) geeignet. Für Widerruf bzw. Sperre mit Angabe des Widerrufspassworts - steht Mo Fr (ausgenommen Feiertag) von 8.00 bis Uhr die telefonische Hotline unter zur Verfügung. Online kann ein Zertifikat unter jederzeit widerrufen werden. 1.1 esignature Basic beantragen Im Anhang finden Sie die allgemeine Leistungsbeschreibung zu esignature Basic dem Service von Telekom Austria für einfache elektronische Signaturen. Nach Abschluss des ebilling-vertrages und Bestellung von esignature Basic erhalten Sie die Zugangsberechtigungen zur Online-Beantragung eines Zertifikats esignature Basic unter der Adresse Voraussetzung zur Nutzung ist ein unterschriebener Vertrag, ein Internetzugang und ein Web-Browser. Wenn nach Aufruf der Adresse ein Fenster im Browser mit Zertifikate erscheint, bitte Abbrechen klicken, anschließend wird die Seite zur Eingabe der Login-Daten angezeigt. Nach Login mit den getrennt übermittelten Daten (Username/Passwort) erscheint die Übersichtsseite. Abbildung 1 - Übersicht esignature Basic CertRequest Bitte die Option CertRequest auswählen und eine der beiden hier beschriebenen Varianten verwenden. 1. wenn Sie lokal in einer Client-Umgebung ein Schlüsselpaar bereits generiert und einen Zertifikatsrequest im Format PKCS#10 erzeugt haben. Dies ist meist der Fall, wenn das Zertifikat auf einem Server eingesetzt werden soll. 2. Wenn privater und öffentlicher Schlüssel am esignature Server generiert werden sollen, dann bitte die Variante PKCS#12 wählen. Diese Variante hat den Vorteil, dass in Firmennetzen Systemadministratoren für Ihre User Zertifikate beantragen können. Die Installation kann der User dann selbst vornehmen. Es kann dann das übermittelte File Telekom Austria AG, Februar

2 auch leicht extern gespeichert werden. Somit steht bei Verlust oder Beschädigung des installierten Zertifikats ein Backup zur Verfügung. Das Passwort für die Installation muss jedoch genau wie beim Antrag auch bei der Installation eingegeben werden. Abbildung 2 - Zertifikatsrequest esignature (1) Felder mit * sind Pflichtfelder und müssen ausgefüllt werden. Im Feld CN (Common Name) bitte den Namen oder ein Pseudonym jener Person auf die das Zertifikat ausgestellt wird eingeben. Diese Information scheint auch im Zertifikat auf und ist für jeden Empfänger einer signierten Nachricht ersichtlich. Adress: bitte jene -Adresse angeben mit der das Zertifikat verwendet werden soll. Bitte beachten Sie, dass für die Signatur bzw. Verschlüsselung von Mails nur die hier angegebene Mail-Adresse verwendet werden kann. An diese Andresse werden alle weiteren Informationen zum Zertifikatsantrag zugestellt. Diese Adresse ist auch im Zertifikat eingetragen und für jeden Empfänger einer signierten Nachricht ersichtlich. LDAP: bitte keine Änderung vornehmen, nur wenn das Kästchen markiert ist wird das Zertifikat im öffentlich zugängigen Verzeichnis eingetragen. Dies ist für eine Überprüfung von signierten Dateien oder s notwendig! Der Verzeichnisdienst ist weltweit gratis für die Prüfung von Zertifikaten verfügbar. Widerrufspasswort: Bitte geben Sie hier ein Widerrufspasswort ein. Dieses benötigen Sie, wenn Sie Ihr Zertifikat sperren oder widerrufen wollen. Ein Widerruf ist notwendig, wenn z.b. der Verdacht besteht, dass jemand Ihr Zertifikat unbefugt verwendet. PKCS#10 Zeichenkette: Bitte hier in dieses Feld die Zeichenkette des Zertifikatsrequests kopieren oder durch Klick auf durchsuchen einen lokal mit der Endung *.pem gespeicherten Zertifikatsrequest uploaden. PKCS#12 Passwort: Wenn privater und öffentlicher Schlüssel am esignature Server generiert werden sollen, dann bitte diese Variante wählen. Einfach ein mindestens 6- stelliges Passwort für die Installation vergeben. Dieses Passwort braucht der User für die Installation des Zertifikats. Diese Variante hat den Vorteil, dass in Firmennetzen Systemadministratoren für Ihre User Zertifikate zentral beantragen können. Die Installation kann der User dann selbst Telekom Austria AG, Februar

3 vornehmen das notwendige Passwort kann der Systemadministrator dem User gesondert übermitteln, z.b. telefonisch oder persönlich. Das übermittelte File kann vor Installation auch als Backup extern gespeichert werden. Somit steht bei Verlust oder Beschädigung des installierten Zertifikats ein Backup zur Verfügung. Das Passwort für die Installation muss jedoch genau wie beim Antrag und Erstinstallation bei jeder Neuinstallation identisch eingegeben werden. Erstellen: Durch Klick auf diesen Button wird ein Zertifikatsantrag abgesendet. Und eine Bestätigung online angezeigt. Enrollment Bitte Enrollment auswählen, wenn Sie den Zertifikatsrequest online durchführen, wobei der private und öffentliche Schlüssel lokal bei Ihnen auf Festplatte, Chipkarte, USB-Stick, etc. generiert wird (bitte beachten Sie die Hinweise zur Schlüsselgenerierung in der Leistungsbeschreibung esignature Basic im Anhang). Bis zu PKCS#10 Upload ist das Enrollment identisch mit CertRequest. Anschliessend bitte wie folgt vorgehen. Abbildung 3 - Zertifikatsrequest Enrollment CN, , LDAP und Widerrufspasswort siehe Erklärungen zu Abb. 3. Auswahl des Cryptographic Service Provider Name (CSP): Default ist Microsoft enhanced damit kann interaktiv ein Schlüsselpaar mit 1024 bit Schlüssellänge erzeugt werden. Diese Funktion ist standardmäßig in Windows-Umgebung vorhanden. Zusätzliche CSP s sind abhängig von den lokalen Installationen. Wenn Sie mit dem Default CSP einen Request erstellen, dann werden lokal auf Ihrem Arbeitsplatz-PC oder auf einem Token (z.b. USB-Stick, Chipkarte, etc.) ein Private- und Public-Key erzeugt. Der Private Key wird auf Ihrer Festplatte (oder dem Token) gespeichert und der Public Key an esignature zur Erstellung eines Zertifikats übertragen. Telekom Austria AG, Februar

4 Additional Security: Bitte beachten: Wenn Sie den privaten Schlüssel später, z.b. zu Backupzwecken oder weil Sie ihn in einer anderen Anwendung benötigen, als PKCS#12- File exportieren wollen, klicken Sie bitte die Option Additional Security nicht an. Denn wenn diese markiert wird, dann ist bei der Verwendung des Private Key die Eingabe eines PIN s erforderlich. Dies kann in automatisierten Anwendungen zu Problemen führen. Wenn Sie additonal Security des private key auswählen, werden Sie bei der Installation des Zertifikats zur Eingabe eines Sicherheitslevels gefragt: High - erfordert die Eingabe eines PIN, wenn der private Schlüssel verwendet wird Medium - fragt nach Erlaubnis, bevor der private Schlüssel verwendet wird. Es ist dann nur ok zu klicken, eine PIN-Eingabe ist jedoch nicht notwendig Erstellen: Durch Klick auf diesen Button wird ein Zertifikatsantrag abgesendet. Und eine Bestätigung online angezeigt. Ab Erstellen ist der Vorgang für beide Varianten des Zertifikatsrequests von der Beantragung bis zur Speicherung des Zertifikats wieder identisch. Abbildung 4 - Bestätigung Zertifikatsrequest esignature Nach kurzer Zeit wird an die im Zertifikatsantrag eingegebene -adresse eine Bestätigungs mit dem weiteren Vorgehen zum Zertifikatsantrag gesendet: Dies ist die Bestätigung Ihrer Zertifizierungsanfrage. Bitte folgen Sie dem unten angeführten Link um die Korrektheit Ihrer Daten zu bestätigen und Ihr Zertifikat zu installieren: rgkhsm4v8g9upw6fns%2fgvb23m7h8qr2b7rua%3d%3d Sollten Sie nicht der Urheber dieser Zertifizierungsanfrage sein, betrachten Sie diese Nachricht als Gegenstandslos oder wenden Sie sich bitte an folgende Adresse: esignature@telekom.at. Mit freundlichem Gruß, das esignature Team Mailto:esignature@telekom.at WWW: Abbildung 5 - Bestätigungsmail esignature (1) Telekom Austria AG, Februar

5 Durch Klick auf den in der Mail angeführten link kommen Sie direkt zum esignature Server zum Download Ihres esignature Basic Zertifikats. Zertifikat abholen PKCS#12 Abbildung 6 - esignature Zertifikat PKCS#12 abholen Wenn ein PKCS#12 Antrag gestellt wurde, dann klicken Sie bitte PKCS#12 Download. Vorher bitte das Feld alle Roots anklicken, wenn Sie noch nicht die Root-Zertifikate von esignature Basic installiert haben. Es empfiehlt sich diese Option immer anzuklicken um sicher zu stellen, dass alle notwendigen Zertifikate automatisch installiert werden. Telekom Austria AG, Februar

6 Abbildung 7 - Zertifikat abholen PKCS#12 Bitte das File mit der Endung *.p12 lokal speichern. Anschließend bitte den Empfang des Private Key durch Klick auf den Button Bestätigen abschließen. Damit quittieren Sie online den Empfang des Private Key. Für die Installation ist das beim Antrag angegebene Passwort notwendig. Nach der Bestätigung des Empfangs Ihres Private Key erhalten Sie eine über die Statusänderung. Der Status Ihrers Zertifikats hat sich geändert! Der neue Status Ihres Zertifikats: Bestätigt Datum: :24 Bitte folgen Sie dem unten angeführten Link um den Status Ihres Zertifikats zu prüfen: %2BK54rGKHSm4V8G9uPw6FNS%2FgVb23m7h8qKTN%2Ba0fM3qoHnk0%2FDC28dw%3D%3D Sollten Sie diese Änderung nicht gewünscht haben wenden Sie sich bitte an folgende Adresse: esignature@telekom.at. Mit freundlichem Gruß, das esignature Team Mailto:esignature@telekom.at WWW: Abbildung 8 - Statusänderung Zertifikat abholen Enrollment (private key lokal generiert) Nach Klick auf dem link kommen Sie direkt zum Download Ihres Zertifikats. Bitte zuerst durch Klick bestätigen, dass Sie das Zertifikat bestellt haben. Telekom Austria AG, Februar

7 Abbildung 9 - Zertifikat abholen Enrollment Anschliessend können Sie das Zertifikat im Format *.cer oder *.pkcs#7 lokal speichern und installieren. Abbildung 10 - Download und Speichern Zertifikat Installation PKCS#12 Zertifikat Durch Doppelklick auf die gespeicherte Datei starten Sie die Installation. Telekom Austria AG, Februar

8 Abbildung 11 - Installation Zertifikat Folgen Sie bitte den Anweisungen zur Installation. Anschliessend können Sie das Zertifikat für die -signatur in Ihrem -client einrichten. Einrichten eines digitalen Zertifikats in MS-Outlook Nach Installation des Zertifikats können Sie es zur Verwendung in MS-Outlook einrichten. Sie können dann s digitale signieren oder auch verschlüsselte s empfangen. Um anderen Personen verschlüsselte s senden zu können benötigen Sie deren Public Key. Diesen erhalten Sie in Verzeichnissen von Zertifizierungsdiensteanbietern oder wenn Sie eine signierte Mail erhalten. Für die Einrichtung klicken Sie im Outlook-Client auf Extras, Optionen und dann den Reiter Sicherheit. Telekom Austria AG, Februar

9 Abbildung 12 - Einrichtung in Outlook Durch Klick auf Einstellungen wird das Fenster für die Auswahl der digitalen Signatur geöffnet. Bitte beachten, dass nur digitale Zertifikate verwendet werden können, wenn die -adresse im Zertifikat mit der des verwendeten Kontos übereinstimmt. Abbildung 13 - Auswahl Zertifikat für Outlook Telekom Austria AG, Februar

10 Durch Klick auf Auswählen können Sie ein vorher installiertes Zertifkat für die Signatur und Verschlüsselung auswählen. Abbildung 14 - Auswahl Zertifikat Outlook Bitte jenes Zertifikat auswählen, dass verwendet werden soll. Für Verschlüsselungszertifikat ebenfalls. Durch Klick auf OK wird das Zertifikat übernommen. s digital signieren und/oder verschlüsseln mit MS-Outlook Sie haben die Möglichkeit jede ausgehende Nachricht digital zu signieren. Wenn Sie jede ausgehenden Nachricht automatisch digital signieren wollen dann aktivieren Sie bitte unter Optionen/Extra im Reiter Sicherheit das Kästchen Nachrichten digitale Signatur hinzufügen (siehe Abbildung 15). Telekom Austria AG, Februar

11 Abbildung 15 - Zertifikat einrichten in Outlook Wenn Sie diese Option nicht aktiviert haben und eine ausgehende digital signieren oder verschlüsseln wollen, dann erstellen Sie wie gewohnt eine neue und aktivieren vor dem Senden die Optionen für Signatur bzw. Verschlüsseln. Sie können dies über die Symbolleiste durch Klick auf das Symbol für Signatur ( rotes Mascherl ) oder Verschlüsseln ( blaues Schloß ) durchführen. Bitte beachten Sie, dass die Verschlüsselung nur möglich ist, wenn Sie den Public Key des Empfängers in den Kontakten gespeichert haben. Sie können auch beide Symbole anklicken, wenn Sie in einer beide Funktionen anwenden wollen. Abbildung 16 - Signatur aktivieren in Outlook Telekom Austria AG, Februar

12 Alternativ können Sie die Signatur bzw. Verschlüsselung (oder beides) auch über die Funktion Optionen in der Symbolleiste aktivieren. Anschließend durch Klick auf Sicherheitseinstellungen die Signatur bzw. Verschlüsselung für diese Nachricht aktivieren. Abbildung 17 - Signatur aktivieren in Outlook Beim Absenden wird dann die Signatur aktiviert und der angefügt es werden sowohl -text als auch alle eventuellen Attachements digital signiert. Bei Verschlüsselung werden die Daten mit dem Public Key des Empfängers verschlüsselt (e- Mail-Text und Attachements) und nur Empfänger kann die Daten lesen allerdings nur, wenn er über den Private Key verfügen kann. Dies kann z.b. bei Zugriff über einen Web- Client eventuell nicht möglich sein. Telekom Austria AG, Februar

13 ANHANG Leistungsbeschreibung esignature Basic 1. Allgemeines Die Telekom Austria stellt im Rahmen ihrer technischen und betrieblichen Möglichkeiten digitale Zertifikate der Klasse esignature basic aus. Die Ausstellung erfolgt nach den gesetzlichen Bestimmungen, insbesondere dem Bundesgesetz über elektronische Signaturen (Signaturgesetz - SigG), der Verordnung des Bundeskanzlers über elektronische Signaturen (Signaturverordnung - SigV), der Richtlinie des Europäischen Parlamentes und des Rates über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen (SigRL), den Allgemeinen Geschäftsbedingungen der Telekom Austria für Kommunikationslösungen (AGB Komm) in der jeweils geltenden Fassung, dem maßgeblichen Sicherheits- und Zertifizierungskonzept sowie den maßgeblichen Leistungsbeschreibungen in der jeweils geltenden Fassung, insoweit hier keine von diesen abweichenden oder ergänzenden Regelungen getroffen werden. Die AGB Komm sind im Internet unter jederzeit abrufbar. Das Sicherheits- und Zertifizierungskonzept ist unter jederzeit abrufbar. Die ausgestellten Zertifikate haben grundsätzlich eine Gültigkeitsdauer von 5 Jahren, falls nicht eine davon abweichende allfällige schriftliche Individualvereinbarung geschlossen wurde. Telekom Austria zertifiziert öffentliche Schlüssel gemäß dem jeweils gültigen Sicherheitsund Zertifizierungskonzept für esignature basic und stellt ein elektronisches Zertifikat aus, das im Verzeichnisdienst öffentlich abrufbar ist. esignature basic Zertifikate werden an Endbenutzer (physische Personen) ausgestellt und sind gemäß der EU-Richtlinie (SigRL) und dem österreichischen Bundesgesetz über elektronische Signaturen (SigG) für die Erstellung einfacher Signaturen geeignet. Ein esignature basic Zertifikat kann für die elektronische Signatur (z.b. von s), für Datenverschlüsselung und Authentifizierung eingesetzt werden. Gemäß dem Österreichischen Signaturgesetz (SigG) können im Rechts- und Geschäftsverkehr Signaturverfahren mit unterschiedlichen Sicherheitsstufen und unterschiedlichen Zertifikatsklassen verwendet werden. Das esignature basic Zertifikat entspricht nicht den qualifizierten Zertifikaten des Österreichischen Signaturgesetzes. Das bedeutet, dass die elektronische Signatur, basierend auf dem esignature basic Zertifikat zwar als Beweismittel verwendet werden kann, nicht aber die Rechtswirkungen der eigenhändigen Unterschrift (=Schriftlichkeit) entfaltet. Nachrichten und Dokumente, die mit einem esignature basic Zertifikat signiert sind, können rechtliche Wirksamkeit entfalten und als Beweismittel verwendet werden. Mit esignature basic signierte Nachrichten und Dokumente unterliegen im Streitfall der freien Beweiswürdigung durch ein Gericht. Beantragung und Zertifizierung Nach schriftlicher Bestellung von esignature basic durch den Kunden wird der Zugang zum esignature Portal mittels persönlicher Authentifizierung (Username/Passwort oder digitales Zertifikat) freigeschaltet. Dem vom Kunden genannten Ansprechpartner (Mandantenverwalter) wird die Zugangskennung zu diesem Portal gesichert übermittelt. Telekom Austria AG, Februar

14 Es können dann Zertifikate je nach ausgewähltem Profil - beantragt und abgeholt werden. Der Zugang zum Portal ist nur elektronisch und mittels Identifikation über das Internet möglich. Die Beantragung eines esignature basic Zertifikats erfolgt über das esignature Web- Portal direkt ohne weitere Überprüfung von zusätzlichen Dokumenten. Die dem Zertifikatsantrag zugrunde liegenden Daten werden, soweit Sie nicht ins Zertifikat aufgenommen werden, streng vertraulich behandelt. Die Erzeugung des privaten Schlüssels kann auf folgende Weise erfolgen: - beim Antragsteller es steht dem Antragsteller frei wie der private Schlüssel erzeugt wird (z.b. auf Smartcard, USB-Stick, Festplatte eines PC s, etc.) - bei Telekom Austria der private Schlüssel wird in der gesicherten Umgebung des Rechenzentrums der Telekom Austria erzeugt und gesichert und verschlüsselt an den Kunden übergeben. Die Speicherung des privaten Schlüssels obliegt dem Kunden. esignature basic Zertifikate werden als X.509 v3 Zertifikate erstellt und beinhalten mindestens einen Namen oder Pseudonym des Zertifikatsinhabers, der jedoch nicht überprüft wird und eine -adresse. Die Telekom Austria bestätigt durch die Ausgabe eines esignature basic Zertifikats die Gültigkeit einer -adresse. Die Überprüfung dieser Adresse erfolgt automatisch durch Übermittlung eines links per an die im Zertifikat verpflichtend einzutragende -adresse zur Abholung des beantragten Zertifikats. 2. Veröffentlichung und Prüfung von esignature basic Zertifikaten Von Telekom Austria ausgestellte Zertifikate werden folgendermaßen veröffentlicht: - Die Bedingungen für die Verwendung eines Zertifikats werden von Telekom Austria im Sicherheits- und Zertifizierungskonzepts esignature basic, das im Internet unter abrufbar ist, zur Kenntnis gebracht. - Neu erstellte Zertifikate werden im Verzeichnisdienst veröffentlicht, ausgenommen der Antragsteller untersagt bei der Beantragung die Veröffentlichung. - Der Verzeichnisdienst ist an sieben Tagen pro Woche jeweils 24 Stunden abrufbar. - Der Verzeichnisdienst ist öffentlich und für jedermann frei zugänglich. - Die Internetadressen des Verzeichnisdienstes sind im Zertifikat eingetragen und im Internet unter veröffentlicht. 3. Sperre und Widerruf von esignature basic Zertifikaten Telekom Austria führt eine Liste ausgestellter, gesperrter und widerrufener Zertifikate und stellt diese kostenlos und frei zugängig im Internet zur Verfügung. 3.1 Der Kunde hat jederzeit die Möglichkeit die Sperre oder den Widerruf seiner Zertifikate zu veranlassen. Dies kann telefonisch unter der Telefonnummer (Mo Fr bis Uhr), per an esignature@telekom.at, per Fax oder online im Webportal ( ) unter Angabe des Widerrufspassworts oder anderer Identifikationsdaten des Kunden beantragt werden. Beim Widerruf ist die Angabe des Widerrufsgrunds erforderlich. Die Öffnungszeiten des Widerrufsdienstes sind im Internet unter abrufbar. Telekom Austria AG, Februar

15 Die Sperre und der Widerruf wird von Telekom Austria so bald als möglich durchgeführt und mit Eintragung und Veröffentlichung im Widerrufsdienst wirksam. Die maximale Dauer für die Veröffentlichung einer Sperre oder eines Widerrufs beträgt 24 Stunden. Eine Untersagung der Veröffentlichung von Sperren oder Widerrufen durch den Kunden ist nicht möglich Eine Sperre und Widerruf des Zertifikates kann seitens Telekom Austria aus wichtigem Grund erfolgen. Ein wichtiger Grund legt insbesondere vor, wenn der Kunde seinen Zahlungsverpflichtungen nicht nachkommt oder seine sonstigen vertraglichen Pflichten verletzt sowie bei missbräuchlicher und gesetzwidriger Verwendung des Zertifikats. Ebenso kann das Zertifikat durch Telekom Austria auf Verlangen eines inländischen Gerichts oder einer Behörde gesperrt werden. Bei missbräuchlicher und gesetzwidriger Verwendung des Zertifikats erfolgt Sperre und Widderruf mit sofortiger Wirkung. In diesen Fällen erfolgt kein wie immer gearteter Ersatz der Kosten des Zertifikates oder Schadenersatz. 4. Pflichten des Kunden/Signators - Benennung eines Mandantenverwalters für die Beantragung von Zertifikaten - Der Kunde garantiert die ordnungsgemäße Verwendung der von ihm verwendeten elektronischen Authentifizierungsdaten - Der Kunde wird jede Änderung hinsichtlich des Mandantenverwalters unverzüglich der Telekom Austria bekannt geben. - Bei Änderungen der Zertifikatsdaten des Signators (wie z.b. Name, . Adresse, Firma) ist der Kunde verpflichtet Telekom Austria unverzüglich zu verständigen und das Zertifikat zu widerrufen. - Der Kunde ist verpflichtet die nationalen Ausfuhrbestimmungen sowie mögliche nationale Nutzungsbeschränkungen bei einer Verwendung im Ausland zu beachten. - Der Kunde verpflichtet sich, bei Verwendung des Zertifikates ausdrücklich auf das Sicherheits- und Zertifizierungskonzept esignature basic hinzuweisen, widrigenfalls er die Telekom im Hinblick auf gegen sie geltend gemachte Ansprüche im Zusammenhang mit dem Zertifikat schad- und klaglos halten wird. - Der Signator hat seine Signaturerstellungsdaten (private Schlüssel) ordnungsgemäß zu verwahren und vor Zugriffen unbefugter Dritter zu schützen sowie nicht an andere Personen weiterzugeben. - Der Signator ist verpflichtet sein Zertifikat zu widerrufen, wenn er die Kenntnis oder den Verdacht hat, dass der private Schlüssel durch Dritte missbräuchlich genutzt wird. Sollten seitens Dritter Ansprüche im Zusammenhang mit dem Zertifikat gestellt werden, wird der Kunde Telekom Austria schad- und klaglos halten. Telekom Austria AG, Februar