E-Government-Initiative für D und den neuen Personalausweis

Transkript

1 E-Government-Initiative für D und den neuen Personalausweis Arbeitsgruppe "IT-Standards in der Justiz" der Bund-Länder- Kommission für Informationstechnik in der Justiz, vertreten durch: Justizministerium Baden-Württemberg zur Anbindung der eid-funktion an SAFE, den Standard für das föderale eid-management in der Justiz und Verwaltung Das Bundesministerium des Innern ist nicht verantwortlich für den Inhalt der Ergebnisdokumente, die im Rahmen der E-Government-Initiative für D und den Personalausweis erstellt wurden. Deshalb werden die jeweils Verantwortlichen im Impressum auf der letzten Seite der Dokumente genannt. Sie stehen Ihnen für inhaltliche Fragen zur Verfügung.

2 Anbindung des Personalausweises mit Onlinefunktion an SAFE FACHKONZEPT ERSTELLT IM RAHMEN DER E-GOVERNMENT- INITIATIVE DES BMI Thema: Secure Access to Federated E-Justice/E-Government, Anbindung der Online-Ausweisfunktion, generischer Registrierungsclient für SAFE Verantwortlich: Bund-Länder-Kommission für Informationstechnik in der Justiz (BLK), BLK-AG IT-Standards Version: 1.02 Erstellt am: Zuletzt geändert am: Zustand: Freigegeben durch AG IT-Standards Autoren: Alphabethisch: Jürgen Ehrmann (Justizministerium Baden-Württemberg) Alexander Elsholz (Westernacher) Daniela Freiheit (Koordinatorin BLK-AG IT-Standards) Torsten Rienaß (procilon) Dateiname: _Anbindung_eID_des_PA_an_SAFE_V1.0 Zusammenfassung: Mit dem wird die Anbindung der eid- Infrastruktur des Personalausweises an das System SAFE aus fachlicher Sicht beschrieben. Anfragen/Hinweise: BLK-AG IT-Standards in der Justiz Jürgen Ehrmann (Justizministerium Baden-Württemberg) Daniela Freiheit (Koordinatorin BLK-AG IT-Standards) Status: freigegeben durch die BLK-AG IT-Standards am

3 mit Onlinefunktion an SAFE Inhalt A. Zielsetzung... 1 B. Rahmenbedingungen... 3 C. Architektur... 6 C.1 Fachliche Architektur... 6 C.1.1 SAFE Das Konzept... 6 C.1.2 SAFE Die Rollen und Rechte... 7 C.1.3 SAFE Die Attribute... 8 C.1.4 Die Registrierung von Identitäten im SAFE-System C.2 Technische Architektur D. Anwendungsfälle D.1 Mit der eid-funktion an der SAFE-Instanz authentisieren D.2 Registrierung in einer SAFE-Instanz D.3 Deregistrierung am SAFE-System D.4 Änderung der Nutzerdaten E. Gestaltung der Benutzerschnittstelle (Benutzerführung) F. Abkürzungsverzeichnis... 28

4 A. Zielsetzung Ein umfassendes elektronisches Identitätsmanagement, das sich zusammensetzt aus dem elektronischen Identitätsnachweis und Nachweisen zu den Rollen und Rechten einer Person, nimmt für ejustice und egovernment im wahrsten Sinne des Wortes eine Schlüsselrolle ein. Für die fachlichen Anforderungen (z.b. den Nachweis eines Berufes oder einer bestimmten Rolle innerhalb einer Behörde), die erfüllt sein müssen, wurde im Auftrag der Justizministerkonferenz das eid-konzept SAFE als Koordinierungsprojekt des IT- Planungsrates entwickelt. SAFE-konforme eid-systeme haben sich im Echtbetrieb bereits bewährt. Nach dem SAFE-Motto Einmal registriert immer akzeptiert profitieren nicht nur die derzeit Anwender von dem föderalen Dienst. Auch die Betreiber von IT- Anwendungen schätzen den Vorteil, dank der Föderation auf der Grundlage von Vertrauen, keine eigene Benutzerverwaltung vorhalten zu müssen. Mit dem Personalausweis mit eid-funktion kann ein wesentlicher Teil dieser Anforderungen nämlich die Authentifizierung einfach und sicher abgedeckt werden. Es liegt somit auf der Hand: eid: Personalausweise mit Online-Ausweisfunktion + SAFE: Das Ganze ist mehr als die Summe seiner Teile. Für die Behörde entfällt die Prüfung der Identität eines Nutzers, der sich bei SAFE registriert hat, wenn dies per eid-funktion des Personalausweises erfolgte. Die Geschäftsprozesse können somit verschlankt werden. Auch der Nutzer profitiert, da er im Freischaltprozess auf den Nachweis seiner Identität verzichten kann. Ein wesentlich größerer Vorteil ist jedoch darin zu sehen, dass der Nutzer für die Anmeldung über ein sicheres Authentifizierungsmittel verfügt. Wie Signaturkarten bietet die Online-Ausweisfunktion des Personalausweises eine Zwei-Faktor-Authentifizierung (Besitz und Wissen). Zudem erübrigt sich die oft kostenintensive Beschaffung von Soft- oder Hardwarezertifikaten oder der Rückgriff auf Benutzername und Kennwort. 1

5 Im vorliegenden wird die Integration der eid-funktion des Personalausweises in das SAFE-System beschrieben. Diese Integration umfasst zwei wesentliche Komponenten: - Ergänzung des eid-provider-dienstes um die Authentifizierungsmöglichkeit per eid-funktion des Personalausweises - Bereitstellung eines neuen (generischen) Registrierungsclients, der die Registrierung per PA für alle Anwendungen ermöglicht. Die BLK-AG IT-Standards in der Justiz, die die Weiterentwicklung des SAFE- Systems im Auftrag aller Länder und des Bundes verantwortet, wird vom BMI bei der Erstellung des es für die Anbindung des PA im Rahmen der E- Government-Initiative unterstützt. 2

6 B. Rahmenbedingungen Bei der Konzeption der Anbindung des Personalausweises mit Online- Ausweisfunktion an das SAFE-System wird von folgenden Rahmenbedingungen ausgegangen: 1. Im Rahmen der Anbindung der eid-funktion des Personalausweises mit Onlinefunktion soll die Registrierung von Identitäten im SAFE-System in einem einzigen Registrierungsclient gebündelt werden. 2. Das vorliegende beschreibt das Prinzip zur Anbindung des Personalausweises als Authentifizierungsmittel und beispielhaft die konkrete Anbindung des Online-Ausweisfunktion an das SAFE-System, das von der BLK-AG IT-Standards im Auftrag aller Länder und des BMJ entwickelt und bei IT.NRW betrieben und gepflegt bzw. weiterentwickelt wird. 3. Das vorliegende beschreibt darüber hinaus die fachlichen Anforderungen an den Registrierungsclient für die Registrierung im SAFE- System, das von der BLK-AG IT-Standards im Auftrag aller Länder und des BMJ entwickelt und gepflegt wird. Es ist bezüglich der Anforderungen an diesen Registrierungsclient nicht allgemeingültig für alle SAFE-konformen-Systeme, da die Registrierung im Ermessen und im Verantwortungsbereich jedes SAFE- Instanz-Betreibers liegt. 4. Der Registrierungsclient ermöglicht nur die Registrierung in einer einzigen SAFE-Instanz, nämlich jener, an die er angebunden ist. Es gilt der Grundsatz: Jede SAFE-Instanz betreibt einen eigenständiger Registrierungsclient. Der Nutzer hat somit nicht die Möglichkeit bei der Registrierung eine SAFE- Instanz, bei der er sich registrieren möchte, auszuwählen. 5. Die Authentisierung per PA soll nur für Browseranwendungen umgesetzt werden, nicht jedoch für die mittelfristig auslaufende Client-Anwendung (EGVP). 6. Derzeit werden die Pflichtattribute für jeden Rollenwert festgelegt. So ist beispielsweise für den Rollentyp "BNotK-ZTR" der Namen einer Identität kein Pflichtfeld. Für die Anbindung des PA und für die Pflegbarkeit des Systems ist es jedoch erforderlich, eine Mindestmenge an Pflichtattributen für jede Identität 3

7 verbindlich festzulegen. Es werden deshalb der Name und der Vorname einer Identität als Pflichtfeld festgelegt. 7. Als Authentisierungsmittel sollen über den Registrierungsclient in der SAFE- Instanz hinterlegt werden können: Benutzername/Kennwort, Softwarezertifikat, Personalausweis. Ob künftig zusätzlich auch Hardwarezertifikate hinterlegt werden können, bleibt der Diskussion im Rahmen der Erstellung des Feinkonzeptes vorbehalten. 8. Ob der Registrierungsclient die Erzeugung von Softwarezertifikaten anbieten soll, bleibt der Diskussion im Rahmen der Erstellung des Feinkonzeptes vorbehalten. 9. Um den Austausch des Personalausweises sicher zu ermöglichen, soll für jede Identität, die sich per Personalausweis registriert, ein Hashwert aus den übermittelten Daten gebildet werden. Dazu gehören: Familienname Vornamen Tag der Geburt Ort der Geburt Anschrift. Der Hashwert wird in SAFE gespeichert und regelmäßig erneuert. Einzelheiten werden im Feinkonzept spezifiziert. Die Daten selbst werden nicht gespeichert. Bei Ablauf oder Verlust des Ausweises wird dieser Hashwert mit den Angaben des folgenden Personalausweises verglichen. Bei Übereinstimmung kann der folgende Personalausweis hinterlegt werden. 10. Es hängt von den Anwendungen (und somit von den Rollentypen, für die sich ein Nutzer registriert) ab, ob die Registrierung per PA (bzw. die Hinterlegung des PA als Authentifizierungsmittel) optional oder verpflichtend für den Nutzer ist. 11. Der generische Registrierungsclient wird als Webanwendung implementiert. 12. Der generische Registrierungsclient muss leicht zu warten sein. So müssen beispielsweise neue Rollentypen/Rollenwerte ohne Entwicklungsaufwand per Konfiguration hinzugefügt werden können. 13. Der generische Registrierungsclient ist barrierefrei. 4

8 14. Der Registrierungsclient muss den gängigen Angriffsmustern bei Webanwendungen ( standhalten. 15. Daten, die aus dem PA ausgelesen wurden, können nur durch erneute Auslesung aus dem PA, nicht jedoch durch händische Überschreibung geändert werden. 16. Implementierung, Weiterentwicklung, Pflege und Betrieb des generischen Registrierungsclients fallen künftig in den Aufgaben- und Verantwortungsbereich der BLK-AG IT-Standards. Die Bereitstellung von Möglichkeiten zur Registrierung von Nutzern obliegt sodann nicht mehr den jeweiligen Anwendungen. Vielmehr sind die derzeit bereitgestellten Registrierungsclients (ZTR, Vollstreckungsportal) abzukündigen. 5

9 C. Architektur C.1 Fachliche Architektur C.1.1 SAFE Das Konzept Das System SAFE ist als universelles föderiertes Identitätsmanagementsystem konzipiert, das von sämtlichen Anwendungen der Justiz und der öffentlichen Verwaltungen als (Basis-)Dienst für die Authentisierung von Nutzern verwendet werden kann. Diese Anwendungen können auf Basis der von SAFE bestätigten Identität oder Rolle jeweils eine Autorisierung nach den fachlich erforderlichen Regeln vornehmen. Eine Vielzahl von Anwendungen nutzt somit denselben Identity Provider (IdP). SAFE ermöglicht das föderierte Zusammenspiel sogenannter Trust Domains mit jeweils eigener Identitätsdatenbank, so dass: für dieselben Identitäten (Personen/Organisationseinheiten o. ä.) nur eine einzige Registrierung in genau einer SAFE-Instanz erforderlich ist, d. h. die heute übliche separate Registrierung für jede einzelne Anwendung entfällt, beliebig viele eigene SAFE-Instanzen über vertragliche Vertrauens- Vereinbarungen und die im Konzept festgelegten technischen Schnittstellen so föderiert werden können, dass eine Bestätigung einer Identität oder Rolle durch die SAFE-Instanz A zur Autorisierung in einer Anwendung der anderen SAFE- Instanz B führen kann. 1 Eine SAFE- Instanz besteht aus einem Identity Provider mit Identity Store sowie den darauf aufbauenden Diensten: Provisioning Service zur Registrierung der Identitäten mit ihren Attributen Attributeservice zur Suche nach Identitäten sowie zur Abfrage von Attributen 1 Zur Abgrenzung sei darauf hingewiesen, dass SAFE kein Autorisierungssystem ist, d. h. keine Rechte der Identitäten in verschiedenen Anwendungen speichert. 6

10 Authentication Service zur Authentisierung einer digitalen Identität und Bestätigung einer Rolle bzw. von Attributen (im Standard WS-Trust auch Secure Token Service genannt) Dabei können die beiden ersten Dienste ihrerseits den Authentication Service ansprechen. Mit SAFE wird das Ziel verfolgt, für möglichst viele Anwendungen die Authentisierung von Nutzern über ein und demselben Dienst vorzunehmen. Der ökonomische Nutzen von SAFE steigt mit jeder Anwendung, die auf ein eigenes spezifisches Identitätsmanagement verzichtet und dafür die Dienste von SAFE nutzt. C.1.2 SAFE Die Rollen und Rechte Jede in SAFE registrierte Identität muss mindestens eine SAFE-Rolle besitzen. Eine SAFE-Rolle setzt sich zusammen aus einem Rollentyp und einem Rollenwert. Der Rollentyp bezeichnet ein Anwendungsumfeld. Ein Rollentyp kann z.b. die Anwendung(-sgruppe) bezeichnen (beispielsweise EGVP, ZTR, ZVR, Vollstreckungsportal), die mit SAFE interagiert. Für jeden Rollentyp können mehrere Rollenwerte definiert werden. Die Rollenwerte dienen den angebundenen Anwendungen zur Zuordnung von Rechten. Jede Identität kann zu jedem Rollentyp einen oder mehrere Rollenwerte besitzen. Es ist möglich, dass ein Rollentyp für mehrere Anwendungen genutzt wird. 7

11 ABBILDUNG 1: ROLLENTYPEN UND ROLLENWERTE IN SAFE Das SAFE-Rollenmodell wird von BLK-AG IT-Standards zentral dokumentiert und einheitlich verantwortlich fortgeschrieben. Die jeweils aktuellen SAFE-Schnittstellen und die von der BLK-AG IT-Standards freigegebenen Rollen sind zu beachten. Die Schnittstellenbeschreibung ist im jeweils aktuellen SAFE- unter veröffentlicht. Es ist Aufgabe der Fachabteilungen bzw. der einschlägigen Entwicklerverbünde, fachlich einheitliche und verbindliche Rollen festzulegen und an die BLK-AG IT- Standards zu übergeben. C.1.3 SAFE Die Attribute Für jede Identität werden bestimmte Attribute gespeichert. Dabei wird unterschieden zwischen: Pflichtattributen, bestätigungspflichtigen Attributen und optionalen Attributen. Welche der Attribute für eine Identität Pflichtattribute und bestätigungspflichtige Attribute sind, ist abhängig von den Rollentypen, die diese Identität innehat. Eine interagierende Anwendung, die von der SAFE-Instanz bestätigungspflichtige Attribute nach der Authentifizierung eines Nutzers zur Verfügung gestellt bekommt, 8

12 darf davon ausgehen, dass die Werte bereits durch einen sogenannten Identitätsadministrator bestätigt wurden. Der Identitätsadministrator muss deshalb die Korrektheit der Werte bei der Freischaltung von Nutzern prüfen. Die zentrale, einheitliche und verbindliche Festlegung der Attribute erfolgt durch die BLK-AG IT Standards. 9

13 Die folgenden Attribute werden derzeit verwaltet: Rollentyp ZenVG und JP-VP Rollentyp EGVP Rollentyp BNOTK- ZTR Bemerkungen Authentifizierungsmittel Benutzername + Kennwort Softwarezertifikat Benutzername + Kennwort Vorgaben zu den Attributen Attribute: Benutzername Pflicht optional Pflicht Kennwort Pflicht optional Pflicht SAFE-User-ID Pflicht Pflicht Pflicht Benutzernamen können pro SAFE-Instanz nur einmal vergeben werden. 8-stellig, enthält mindestens drei der vier Kategorien Großbuchstabe, Kleinbuchstabe, Zahl, Zeichen. Eindeutige ID des Nutzers, wird von SAFE bei der Registrierung des Nutzers automatisiert hinterlegt. Anrede optional optional optional Titel optional optional optional Vorname optional optional Pflicht Name Pflicht, bestätigungspflichtig Pflicht Pflicht Bei natürlichen Personen: <Nachname>. Bei juristischen Personen: <Behördenbezeichnung> (z.b. Finanzamt Kiel). Behördenbezeichnung optional optional optional z.b. <Finanzamt Kiel> Organisationseinheit optional optional optional Straße optional Pflicht optional 10

14 Hausnummer optional Pflicht optional PLZ optional Pflicht optional Ort optional Pflicht optional Bundesland Pflicht, bestätigungspflichtig optional Pflicht Namenskonvention: alle Bundesländer als Wort (z.b. Berlin, Sachsen) Für Bundeseinrichtungen "Bundeseinrichtung". Land optional optional optional <Deutschland> Telefon optional optional optional Mobiltelefon optional optional optional Fax optional optional optional Pflicht optional Pflicht Die Adresse wird für die Information über den Ablauf von Kennwörtern benötigt. D optional optional optional Kennziffer Kennziffer-Präfix Pflicht, bestätigungspflichtig optional optional Externe ID Nur für EGVP XJustizID Gruppe Pflicht, bestätigungspflichtig OSCI- Verschlüsselungszertifikat Nur für EGVP Pflicht URL des OSCI-Managers Nur für EGVP optional Verschlüsselungszertifikat des OSCI-Managers Nur für EGVP optional Pflicht, bestätigun gspflichtig optional Nur für EGVP Nur für EGVP Nur für EGVP Nur für EGVP Eindeutige ID der Behörde (z.b. bei Gerichten die XJustiz-ID der Behörde). Inhalte: - Justiz, - Finanzen, - Kommunen und - Zoll 11

15 C.1.4 Die Registrierung von Identitäten im SAFE-System Ist-Zustand: Registrierung im Verantwortungsbereich der Anwendungen In den SAFE-Instanzen, die bereits jetzt im Echtbetrieb genutzt werden, sind insgesamt mehr als Nutzer registriert. Derzeit wird der SAFE-Dienst von den folgenden Anwendungen genutzt: Elektronisches Gerichts- und Verwaltungspostfach Zentrales Testamentsregister der Bundesnotarkammer Vollstreckungsportal des Bundes und der Länder und zentrale Zwangsvollstreckungsgerichte Um Nutzer mit deren Rollen und Rechten anzulegen und zu pflegen (und dabei z.b. anwendungsspezifische Plausibilitäten und Auswahllisten anzubieten), sind in den Anwendungen, die den SAFE-Dienst nutzen wollen, derzeit noch Funktionalitäten zur Anlage und Pflege der Identitäten (Registrierungsmodul) vorzusehen. Für die Registrierung im SAFE System steht die Schnittstelle Provisioning - Service bereit, die von den interagierenden Anwendungen angesprochen wird. Derzeit stehen folgende Registrierungsclients zur Verfügung: EGVP-Client zur Anlage eines Postfaches für die OSCI-Kommunikation Registrierungsclient ZTR für die Registrierung zur Nutzung des Zentralen Testamentsregister der Bundesnotarkammer Registrierungsclient Zentrales Vollstreckungsportal für die Registrierung zur Nutzung des Zentralen Vollstreckungsportals. 12

16 Soll-Zustand: generischer Registrierungsclient für alle Anwendungen Im Rahmen der Anbindung der eid-funktion des Personalausweises mit Onlinefunktion soll die Registrierung in einem einzigen Registrierungsclient gebündelt werden. Ein generischer Registrierungsclient verspricht folgende Vorteile: Mehrfachkosten, die entstünden, wenn alle vorhandenen Registrierungsclients die eid-funktion des Personalausweises anbinden, werden vermieden. Für die interagierenden Anwendungen entfällt künftig die Notwendigkeit der Bereitstellung, Pflege und Weiterentwicklung von Registrierungsmodulen. Die Einheitlichkeit der Attributs-Bezeichnung über alle Anwendungen hinweg wird sichergestellt. Das Risiko, dass eine Person die eigenen Daten mit den jeweils verschiedenen Registrierungsmodulen überschreibt, kann mit dem einheitlichen Registrierungsclient ausgeschlossen werden. Ein einheitlicher Registrierungsclient erlaubt eine Rückmeldung an den Nutzer zu allen seinen Rollen und ermöglicht somit eine rollenübergreifende Verwaltung. So kann beispielsweise darauf hingewiesen werden, dass aufgrund der Änderung eines bestätigungspflichtigen Attributes die erneute Freischaltung einer bestimmten Rolle veranlasst werden muss. Die derzeit bereitgestellten Registrierungsclients geben dagegen lediglich Rückmeldungen zu den eigenen Rollen, nicht jedoch zu den Rollen anderer Anwendungen. Der Nutzer muss nicht die Bedienung mehrerer Registrierungsclients beherrschen. Die Hürden und der Aufwand für die Anbindung neuer Anwendungen ist geringer, da die Registrierung der Nutzer über den Registrierungsclient erfolgen kann und dieser Implementierungsaufwand für die Anwendungen somit künftig entfällt. Der generische Registrierungsclient kann zu kürzeren Projektlaufzeiten bei der Anbindung neuer Anwendungen führen, denn es muss nicht zwangsläufig ein neuer Registrierungsclient entwickelt werden. Die Trennung zwischen den verschiedenen Verantwortlichen entfällt. So können beispielsweise negative Rückschlüsse, die entstehen, weil fehlerhafte 13

17 Registrierungsclients auch dem SAFE - System zugeschrieben werden, vermieden werden. Die Supportstrukturen sind weniger komplex, da Fehlermeldungen, die auf fehlerhafte Registrierungsclients zurückzuführen sind, nicht mehr nachverfolgt werden müssen. Der Abstimmungsaufwand bei der Weiterentwicklung ist deutlich geringer, wenn nur ein Client die Provisioning-Schnittstelle anspricht. Dies gilt auch für die Durchführung von Tests neuer Versionen. Die Verantwortung zur Weiterentwicklung und Pflege liegt bei der BLK-AG IT- Standards. Da die BK-AG IT-Standards auch die Weiterentwicklung und Pflege des SAFE-Systems verantwortet, kann sichergestellt werden, dass weder fachlich noch technisch oder organisatorisch (z.b. Release-Planung) Diskrepanzen zwischen SAFE-System und SAFE-Registrierung entstehen. 14

18 C.2 Technische Architektur Der Registrierungsclient wird, wie nachfolgend dargestellt, in das modulare SAFE- System integriert. Er ersetzt die bisherigen Registrierungsmodule für das ZTR und das Vollstreckungsportal. ABBILDUNG 2: INTEGRATION DES REGISTRIERUNGSCLIENTS IN SAFE 15

19 Nachfolgend ist der prinzipielle Ablauf der Übermittlung von Daten aus dem Personalausweis mit Onlinefunktion dargestellt. Weitere Einzelheiten können unter nachgelesen werden. ABBILDUNG 3: PRINZIPIELLER ABLAUF DER DATENÜBERMITTLUNG 16

20 D. Anwendungsfälle Die nachfolgenden Anwendungsfälle für den Registrierungsclient beschreiben den Zugriff auf die verschiedenen Web-Service-Schnittstellen des SAFE-Systems. Mögliche Akteure sind: Benutzer (mit Personalausweis oder elektronischem Aufenthaltstitel eat) Registrierungsclient (ist selbst eine den SAFE-Dienst nutzende Anwendung) eid-infrastruktur des PA Identitätsadministrator SAFE-Instanz Den SAFE-Dienst nutzende Anwendung. D.1 Mit der eid-funktion an der SAFE-Instanz authentisieren Erweiterung des SAFE-Services Akteur/Initiator Beteiligte Akteure Beschreibung Vorbedingungen Basisablauf Fehler Nachbedingungen Ergebnis Offene Fragen Benutzer eid-server, SAFE-Instanz, den SAFE-Dienst nutzende Anwendung Ein in der SAFE-Instanz registrierter Benutzer meldet sich mit der eid-funktion seines Personalausweises an der SAFE-Instanz an und kann dann entsprechend seiner Rolle die jeweilige(n) Anwendung(en) nutzen. Der Benutzer hat sich mit der eid-funktion des Personalausweises an SAFE registriert. Der Benutzer meldet sich an SAFE an, indem er zunächst seinen Ausweis auf den Kartenleser legt und dann auf einen Link oder einen Schaltfläche Anmelden mit Personalausweis klickt. Nach erfolgreicher Authentisierung an der eid-infrastruktur des PA erfolgt anhand des dienste- und kartenspezifischen Kennzeichens (DKK) die Authentisierung am SAFE- System. Bei der Authentifizierung tritt ein Fehler auf (bspw. technischer Fehler oder falsche PIN eingegeben): Die Fachanwendung gibt eine aussagekräftige Meldung aus und verzweigt zur Startseite, so dass der Benutzer die Authentisierung erneut starten kann. Der Berechtigungsnachweis kann nur genutzt werden, solange die Browser-Session besteht. Der Benutzer ist authentisiert für die gewünschte Fachanwendung. 17

21 Start Ausweis auf Kartenleser legen Auf den Button Anmelden klicken Authentisierung an eid-infrastruktur des PA Authentisierung erfolgreich? Fehlermeldung anzeigen An SAFE-Instanz anmelden mit DKK Ende ABBILDUNG 4: MIT DER EID-FUNKTION AN DER SAFE-INSTANZ AUTHENTISIEREN D.2 Registrierung in einer SAFE-Instanz Akteur/Initiator Beteiligte Akteure Beschreibung Benutzer Registrierungsclient, eid-infrastruktur des PA, SAFE- Instanz Ein Benutzer weist sich mit der eid-funktion seines Personalausweises oder elektronischen Aufenthaltstitels gegenüber dem Registrierungsclient aus. Der Benutzer wird anschließend bei der SAFE-Instanz mit allen für die angegebenen Rollen erforderlichen Attributen, 18

22 Vorbedingungen Basisablauf Alternative Abläufe einschließlich Authentifizierungsmittel, registriert. Der Benutzer hat einen Personalausweis oder einen elektronischen Aufenthaltstitel mit freigeschalteter Online-Ausweisfunktion. Sein Endgerät (Computer, Smartphone oder Terminal) erfüllt die auf dem Personalausweisportal genannten Voraussetzungen. Er hat insbesondere Internetzugang. Der Benutzer startet die Anwendung des Registrierungsclients, indem er die URL der Startseite in die Adresszeile seinen Webbrowsers eingibt oder auf einen Link einer vorgeschalteten Webseite klickt. Zunächst wählt er einen oder mehrere Rollentyp(en) und Rollenwert(e) aus. Er kann nun angeben, ob er sich mit dem Personalausweis registrieren möchte. Der Benutzer legt dann seinen Ausweis auf den Kartenleser und klickt die Schaltfläche Registrierung mit Online-Ausweisfunktion an. Nach erfolgreicher Authentifizierung zeigt der Registrierungsclient dem Benutzer eine Eingabemaske an. Die vom Ausweis übermittelten Daten (Pflichtfelder) sind in dieser Maske ausgefüllt und können nicht geändert werden. Der Registrierungsclient kennzeichnet die weiteren Pflichtfelder, die sich aus den ausgewählten Rollentyp(en)/Rollenwert(en) ergeben. Darunter können auch bestätigungspflichtige Felder sein. Sofern es für einen ausgewählten Rollentyp erforderlich ist, wird die Eingabe eines Benutzernamens und eines persönlichen Kennwortes oder die Hinterlegung eines vorhandenen Softwarezertifikates, die er jeweils zur Authentisierung auf einem niedrigen Niveau nutzen kann, verlangt. Der Registrierungsclient sendet die Registrierungsdaten an die Provisioning-Webservice-Schnittstelle der SAFE- Instanz. Der Registrierungsclient meldet an den Benutzer das Ergebnis der Datenübergabe an die SAFE-Instanz zurück und löscht dann unverzüglich die aus dem Ausweis übermittelten Daten aus dem eigenen Speicher. Falls die Rolle des Benutzers keine Bestätigung durch einen Identitätsadministrator erfordert, zeigt der Registrierungsclient dem Benutzer die erfolgreiche Registrierung an. Andernfalls wird darauf hingewiesen, dass die Freischaltung durch einen Identitätsadministrator erforderlich ist. Der Benutzer registriert sich ohne Einsatz der Online- Ausweisfunktion: Der Benutzer wählt einen oder mehrere Rollentyp(en) und Rollen(werte) aus. Dann gibt er seine persönlichen Daten ein (weiteres Vorgehen wie 19

23 oben). Der Benutzer kann sich zukünftig jedoch nur mit dem in der SAFE-Instanz im Verlauf der Registrierung hinterlegten Authentifizierungsmittel anmelden. Die nachträgliche Hinterlegung des Personalausweises als Authentifizierungsmittel ist jedoch möglich (siehe Anwendungsfall C.3.4). Fehlerfälle Bei der Authentifizierung tritt ein Fehler auf (bspw. technischer Fehler oder falsche PIN eingegeben): Der Registrierungsclient gibt eine aussagekräftige Meldung aus und verzweigt zur Startseite, so dass der Benutzer die Registrierung erneut starten kann. Der Registrierungsvorgang bricht ab (bspw. technisches Problem oder Abbruch durch den Benutzer): Der Registrierungsclient bestätigt den Abbruch und löscht die bislang gespeicherten Daten. Die Übergabe der Registrierungsdaten und des Zertifikats an die Webservice-Schnittstelle der SAFE- Instanz schlägt fehl: Der Registrierungsclient zeigt eine Fehlermeldung und löscht die bislang gespeicherten Daten. Ergebnis Nachbedingungen Offene Fragen Der Benutzer ist in der SAFE-Instanz registriert. Sofern für einen vom Benutzer ausgewählten Rollentyp eine gesicherte Registrierung vorgegeben ist, muss die Bestätigung durch einen zuständigen Identitätsadministrator erfolgen. 20

24 Start Startseite anzeigen Rollentyp auswählen Registrierung mit PA? ja Ausweis auf Kartenleser legen nein Persönliche Daten eingeben Auf den Button Registrieren mit Online- Ausweisfunktion klicken Authentisierung an eid-infrastruktur des PA Authentisierung erfolgreich? ja Daten anzeigen nein Fehlermeldung anzeigen Weitere Daten eingeben Erfordert Rollentyp Benutzername & KW? nein ja Benutzername und Kennwort eingeben Erfordert Rollentyp Softwarezertifikat? nein Daten an SAFE-Instanz senden und Ergebnis anzeigen ja Softwarezertifikat hinterlegen Erfordert Rollentyp eine Bestätigung durch ID- Admin? ja Hinweis anzeigen nein PA-Daten löschen versenden Ende ABBILDUNG 5: REGISTRIERUNG IN EINER SAFE-INSTANZ 21

25 D.3 Deregistrierung am SAFE-System Akteur/Initiator Beteiligte Akteure Beschreibung Vorbedingungen Basisablauf Fehlerfälle Nachbedingungen Ergebnis Offene Fragen Benutzer Registrierungsclient, SAFE-Instanz Ein registrierter Benutzer löscht seine elektronische Identität in der SAFE-Instanz. Der Benutzer ist in der SAFE-Instanz registriert (mit oder ohne Online-Ausweisfunktion). Der Benutzer startet den Registrierungsclient und authentisiert sich mit der Online-Ausweisfunktion oder Benutzername und Kennwort oder Softwarezertifikat. Er wählt die Funktion Deregistrieren an. Der Registrierungsclient sendet eine Anfrage zur SAFE- Deregistrierung an die SAFE-Instanz. Dabei wird überprüft, ob die Identität noch Rollenwerte besitzt, die nicht vom Registrierungsclient verwaltet werden (z.b. EGVP-Rollen). Ist dies nicht der Fall, wird die gesamte Identität gelöscht. Die SAFE-Instanz bestätigt die Löschung der Identität bzw. die Löschung sämtlicher Rollen und weist darauf hin, dass eine vollständige Löschung nicht erfolgt ist, da noch eine andere Rolle (z.b. EGVP-Postfach) vorhanden ist. Der Registrierungsclient gibt diese Informationen auf dem Bildschirm an den Benutzer weiter. Bei der Authentisierung tritt ein Fehler auf (bspw. technischer Fehler oder falsche PIN eingegeben): Der Registrierungsclient gibt eine aussagekräftige Meldung aus. Es ermöglicht dem Benutzer eine erneute Authentisierung. Für den Fall, dass ein EGVP-Postfach vorhanden ist, muss dies über die entsprechenden EGVP-Prozesse gelöscht werden, wenn die vollständige Löschung der Identität auch in diesem Szenario erwünscht ist. Der Benutzer und seine Authentifizierungsmittel sind aus der Identitätsdatenbank gelöscht. 22

26 Start An der SAFE- Instanz authentisieren Funktion Deregistrieren anwählen Deregistrierungsanfrage an SAFE-Instanz senden Besitzt die Identität Rollenwerte, die nicht vom Registrierungsclient verwaltet werden? ja Vom Registrierungsclient verwaltete Rollenwerte in SAFE löschen lassen nein Gesamte Identität in SAFE löschen Weiterhin bestehende Rolle(n) anzeigen Löschung/Teillöschung bestätigen Ende ABBILDUNG 6: DEREGISTRIERUNG AM SAFE-SYSTEM 23

27 D.4 Änderung der Nutzerdaten Akteur/Initiator Beteiligte Akteure Beschreibung Vorbedingungen Basisablauf Benutzer Registrierungsclient, SAFE-Instanz Ein in der SAFE-Instanz registrierter Benutzer ändert seine persönlichen Daten und/oder seine Rollen und/oder seine Authentifizierungsmittel. Der Benutzer ist in der SAFE-Instanz registriert. Der Benutzer startet den Registrierungsclient und authentisiert sich (z.b. mit der Online-Ausweisfunktion, siehe C.1) Der Registrierungsclient zeigt dem Benutzer alle Attribute (wobei bestätigungspflichtige Attribute und Pflichtattribute gesondert ausgewiesen sind), alle Rollentypen/Rollenwerte und alle Authentifizierungsmittel an. Falls gewünscht, ändert der Benutzer im ersten Schritt Rollentypen und Rollenwerte. Sofern Rollen hinzukommen, die weitere Pflicht- und/oder bestätigungspflichte Attribute erfordern, wird dies dem Nutzer angezeigt. Im zweiten Schritt ändert der Benutzer das Authentifizierungsmittel PA (falls gewünscht). Zum Ändern oder Hinzufügen des PA legt er seinen Ausweis auf den Kartenleser und startet die Authentisierung an der eid-infrastruktur des PA mit einem Klick auf den Button Authentifizieren mit Online-Ausweisfunktion. War diese Authentisierung erfolgreich, so werden die aus dem Ausweis übermittelten Attribute angezeigt. Anschließend kann er weitere Attribute editieren. War diese Authentisierung nicht erfolgreich, zeigt der Registrierungsclient eine Fehlermeldung an, und der Benutzer kann den Vorgang wiederholen. War die Authentisierung mit dem PA erfolgreich, so werden die aus dem Ausweis übermittelten Attribute angezeigt. Diese kann er nicht verändern. Anschließend kann er weitere Attribute editieren. Falls der Benutzer das Authentifizierungsmittel PA nicht ändern will, kann er alle Attribute manuell editieren. Im dritten Schritt kann der Benutzer Benutzernamen und Kennwort bestimmen oder ändern. Dazu wählt er die Option Kennwort ändern, so fragt der Registrierungsclient das Kennwort zweimal ab. Sind beide Eingaben identisch, sendet der 24

28 Registrierungsclient die Änderungsanfrage an die SAFE- Instanz und zeigt die Rückmeldung dem Benutzer an. Die Funktion Kennwort ändern auf der SAFE-Startseite verlinkt künftig zum Registrierungsclient, um eine doppelte Verortung der Funktion zu vermeiden. Mit der Schaltfläche Änderungen übernehmen sendet der Registrierungsclient die Änderungswünsche an die SAFE-Instanz und zeigt dem Benutzer die Rückmeldung an. Im Falle der Änderung eines bestätigungspflichtigen Attributes weist der Registrierungsclient den Benutzer darauf hin, dass die Rolle entzogen ist und erneut freigeschaltet werden muss. Sofern es für einen ausgewählten Rollentyp erforderlich ist, wird die Hinterlegung eines vorhandenen Softwarezertifikates, die er jeweils zur Authentisierung auf einem niedrigen Niveau nutzen kann, verlangt. Der Registrierungsclient löscht dann unverzüglich die aus dem Ausweis übermittelten Daten aus dem eigenen Speicher. Falls die neue Rolle des Benutzers keine Bestätigung durch einen Identitätsadministrator erfordert, zeigt der Registrierungsclient dem Benutzer die erfolgreiche Änderung an. Andernfalls wird darauf hingewiesen, dass eine Bestätigung durch einen Identitätsadministrator erforderlich ist. Fehlerfälle Bei der Authentisierung tritt ein Fehler auf (bspw. technischer Fehler oder falsche PIN eingegeben): Der Registrierungsclient gibt eine aussagekräftige Meldung aus. Es ermöglicht dem Benutzer eine erneute Authentisierung. Die Prüfung der Änderung schlägt fehl: Der Registrierungsclient gibt eine aussagekräftige Fehlermeldung aus. Nachbedingungen Bestätigungspflichtige Attribute sind durch einen Identitätsadministrator zu bestätigen. Sofern für einen vom Benutzer ausgewählten Rollentyp eine gesicherte Registrierung vorgegeben ist, muss die Bestätigung durch einen zuständigen Identitätsadministrator erfolgen. Ergebnis Die Änderungen sind in der SAFE-Instanz gespeichert. Offene Fragen 25

29 Start An der SAFE- Instanz authentisieren Attribute, Rollentypen/- werte, Authentifizierungsmittel anzeigen Rollentypen und/oder Rollenwerte ändern Fehlermeldung anzeigen Soll das Authentifizierungsmittel PA geändert oder hinzugefügt werden? nein ja Ausweis auf den Kartenleser legen Auf den Button Authentifizieren mit Online- Ausweisfunktion klicken Authentisierung an eid-infrastruktur des PA nein Beliebiges Attribut direkt ändern Authentisierung erfolgreich? ja Weitere Attribute ändern Erfordert Rollentyp Benutzername & KW oder sollen diese geändert werden? ja Benutzername und/oder Kennwort eingeben nein Erfordert neuer Rollentyp Softwarezertifikat? nein Daten an SAFE-Instanz senden und Ergebnis anzeigen ja Softwarezertifikat hinterlegen Erfordert neuer Rollentyp Bestätigung durch den ID- Admin? nein ggf. PA-Daten löschen ja Hinweis anzeigen Ende ABBILDUNG 7: ÄNDERUNG DER NUTZERDATEN 26

30 E. Gestaltung der Benutzerschnittstelle (Benutzerführung) Bevor der Benutzer die Authentifizierung mit der Online-Ausweisfunktion des Personalausweises startet, muss der Registrierungsclient die Voraussetzungen anzeigen: Der Benutzer hat einen Personalausweis (ausgestellt nach dem ) Auf dem Personalausweis ist die Online-Ausweisfunktion aktiviert Das Kartenlesegerät ist am Computer angeschlossen und betriebsbereit Anschließend zeigt die eid-infrastruktur des Personalausweises dem Benutzer die Datenfelder an, die aus dem Ausweis übermittelt werden sollen, ergänzt durch Erläuterungen der Bedeutung und Notwendigkeit. Dadurch soll gewährleistet werden, dass der Benutzer die Datenübermittlung in der eid-infrastruktur des Personalausweises zügig bestätigt, um Zeitüberschreitungen zu vermeiden (gerade bei Internet-Zugängen mit niedriger Bandbreite). Nach Abschluss zeigt der Registrierungsclient dem Benutzer das Ergebnis des Authentifizierungsvorgangs an. Wenn die Authentifizierung erfolgreich war, teilt der Registrierungsclient dem Benutzer das direkt mit: Registrierung war erfolgreich. War die Authentifizierung nicht erfolgreich, werden dem Benutzer die Ursachen so genau wie möglich mitgeteilt. Verbreitete Fehler sind: Die Netzwerkverbindung ist abgebrochen. Sie haben den Ausweis nicht auf den Kartenleser gelegt. Es ist eine Zeitüberschreitung aufgetreten. Sie haben die Ausführung der eid-infrastruktur des PA abgebrochen. Die Online-Ausweisfunktion ist gesperrt. Sie haben eine falsche PIN eingegeben. 27

31 F. Abkürzungsverzeichnis ASP Application Service Providing (bspw. eine Datenverarbeitung als Webservice) BerCA Berechtigungszertifikateanbieter (Berechtigungs-Certificate Authorities) BLK-AG Arbeitsgruppe der Bund-Länder-Kommission BMI Bundesministerium des Innern BSI Bundesamt für Sicherheit in der Informationstechnik BZ Berechtigungszertifikat (Genehmigung zur Übermittlung definierter Daten aus dem PA) CD Corporate Design DKK Dienste- und kartenspezifisches Kennzeichen (auch Pseudonym genannt), Merkmal zu Wiedererkennung eines Ausweises durch eine bestimmte Anwendung eat Elektronischer Aufenthaltstitel eid Elektronischer Identitätsnachweis oder Online-Ausweisfunktion npa Neuer Personalausweis (d.h. ausgegeben ab dem ), seit 2014 durch das BMI vorgegebener Begriff: Personalausweis mit Onlinefunktion (kurz: PA) PA Personalausweis mit eid-funktion VfB Vergabestelle für Berechtigungszertifikate beim Bundesverwaltungsamt 28

32 Herausgeber Bundesministerium des Innern IT-Stab, Referat ITI4 Alt-Moabit 101 D, Berlin Bezugsquelle Bundesministerium des Innern Internet: und Tel.: +49(0) Fax: +49(0) Veröffentlicht Oktober 2014 HINWEIS Das Bundesministerium des Innern ist nicht verantwortlich für den Inhalt der Ergebnisdokumente, die im Rahmen der E-Government-Initiative für D und den Personalausweis erstellt wurden. Bitte wenden Sie sich bei inhaltlichen Fragen direkt an die hier genannten Ansprechpartner. Verantwortlich für den Inhalt dieses Ergebnisdokumentes AG "IT-Standards in der Justiz" der Bund-Länder-Kommission für Informationstechnik in der Justiz Herr Jürgen Ehrmann Schillerplatz 4, Stuttgart Tel.: ehrmann@jum.bwl.de Internet: Diese Veröffentlichung ist Teil der Öffentlichkeitsarbeit der Bundesregierung. Sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt.