ANLEITUNG QUALIFIZIERTE SIGNATURKARTEN

Transkript

1 ANLEITUNG QUALIFIZIERTE SIGNATURKARTEN Anleitung zur Beantragung von Telesec Signaturkarten über die Citkomm Erstellt durch: KDVZ Citkomm Sonnenblumenallee Hemer

2 IHR KONTAKT Hotline: Kundendienst: Fax: Status: freigegeben Datum: Seite 1

3 INHALTSVERZEICHNIS INHALTSVERZEICHNIS... 2 DOKUMENTENHISTORIE VORBEMERKUNG Einsatzmöglichkeiten ANTRAGSTELLUNG Einzelsignatur PKS-Auftrag KDVZ-Citkomm Antragstellung mit dem alten oder dem neuen Personalausweis Der alte Personalausweis Der neue Personalausweis Freigabe des Zertifikates VORBEREITUNG FÜR DAS BEHÖRDENIDENTVERFAHREN DER TELESEC Antragstellung Beschränken des Einsatzzweckes der Signaturkarte Selbstbeschränkung Berufsrechtliche Zulassung Lieferadresse BEHÖRDENIDENTVERFAHREN DER TELESEC Anleitung und Auftragsformulare des Behördenident-Verfahren Blatt 1: Schritt für Schritt Anleitung Blatt 2: Formular Behördenident Blatt 3: Titelblatt Blatt 4: Antragsdaten Blatt 5: Rechnungsangaben KARTENLESEGERÄT LIEFERUNG (NICHT MEHR ÜBER DIE CITKOMM) Modellempfehlung Status: freigegeben Datum: Seite 2

4 6.2. Installationshinweise FREISCHALTUNG (EMPFANG) / PIN PIN Verwaltung Übersicht Installation Sign Live Toolbox Download von Sign Live Installation Sign Live Toolbox: Schritt-für-Schritt Anleitung SIGN LIVE! TOOLBOX Starten der Anwendung Setzen der Signaturkartenpins SIGNATUR PIN Vorgehensweise SIGNATUR PIN Vorgehensweise GLOBALE PIN Vorgehensweise GLOBALE PIN Vorgehensweise SIGNATUR PIN /GLOBALE PIN ZURÜCKSETZEN (NACH FEHLVERSUCHEN) SIGNATURKARTEN EMPFANGSBESTÄTIGUNG SPERRUNG FÜR QUALIFIZIERTE ZERTIFIKATE VERZEICHNISDIENST ANHANG: MERKBLATT SICHERE KOMMUNIKATION IM NETZ Die elektronische Signatur Der Zertifizierungsdienstanbieter UMGANG MIT DER ELEKTRONISCHEN SIGNATUR Status: freigegeben Datum: Seite 3

5 Wie geht man mit der Chipkarte um? Was ist beim Signieren und Prüfen zu beachten? Status: freigegeben Datum: Seite 4

6 DOKUMENTENHISTORIE Datum Version Änderungen Autor Entwurf & Pflege Johannes Höhmann Überarbeitet Thomas Metz Überarbeitet Marco Dahlke Lieferadresse & neuer Personalausweis Marco Dahlke ergänzt & div. Fehler korrigiert Link zum Telesec Aktivierungsportal angepasst Marco Dahlke Status: freigegeben Datum: Seite 5

7 1. VORBEMERKUNG Der Signaturkarten-Service der Citkomm beinhaltet Signaturkarten für die Erstellung qualifizierter, elektronischer Signaturen und weiterer dazugehöriger Leistungen nach dem deutschen Signaturgesetz. Die Citkomm bietet diesen Service in Zusammenarbeit mit der Deutschen Telekom an. Anträge können über das Webportal für PKI-Zertifikate gestellt werden Einsatzmöglichkeiten Eingesetzt wird die digitale Signaturkarte zum Beispiel für: den elektronischen Personenstandsnachweis (Zugriff der Standesämter auf den epr Server) den elektronischen Abfallnachweis eanv den einheitlichen Ansprechpartner eap Status: freigegeben Datum: Seite 6

8 2. ANTRAGSTELLUNG Die Signaturkarten werden über das Webportal aufgerufen (ohne www) Bitte beachten Sie, dass der Aufruf nur über den Internet Explorer oder über Firefox erfolgen kann. Alle anderen Browser sind nicht zugelassen. Hinweis: Ab Internet Explorer Version 11 kann es zu dem obigen Fehlerhinweis bezgl. der Kompatibilitätsansicht kommen. Dieser Fehler wird wie folgt behoben: Extras im Internetexplorer oben rechts aufrufen: Einstellungen der Kompatibilitätsansicht wählen citkomm.de eintragen und anschließend hinzufügen Status: freigegeben Datum: Seite 7

9 Hinweis: Die Webseite muss ggf. von Ihrer IT-Abteilung freigeschaltet werden. Außerdem wird mindestens Java7 (x86)* auf dem Rechner benötigt. Wir empfehlen allerdings die Verwendung von Java 8 (x86)*. Wählen Sie im nächsten Schritt den Menüpunkt: Beantragen Benutzerzertifikat Hinweis: Bitte beachten Sie, dass Sie im Besitz eines gültigen Ausweises sein müssen, um den Vorgang fortzusetzen! *x86 = 32Bit Variante Status: freigegeben Datum: Seite 8

10 Die Identitätsprüfung erfolgt in der Regel durch das Behördenident- Verfahren der TeleSec vor Ort. Nochmal der Hinweis: Sie müssen im Besitz eines gültigen Ausweises sein, ansonsten ist der Vorgang abzubrechen. In unserem Portal sind nun folgende Einstellungen von Ihnen vorzunehmen: Feld Eingabe Räumliche Ordnung Citkomm Organisationseinheit 1 Name Ihrer Kommune, hier als Beispiel Stadt Iserlohn (Sollte Ihre Kommune hier nicht hinterlegt sein, melden Sie sich bitte bei der o.g. Hotline) Organisationseinheit 2 Ihre Amtsbezeichnung z.b. Standesamt Status: freigegeben Datum: Seite 9

11 2.1. Einzelsignatur Im folgenden Formular sind alle Felder auszufüllen, die mit einem * gekennzeichnet sind: Hinweis: Die Kennung bleibt auf Benutzer stehen! Status: freigegeben Datum: Seite 10

12 a) Der Name und der Vorname müssen genau der Schreibweise in Ihrem Ausweisdokument entsprechen, d.h.: Name und Vorname müssen immer mit einem Großbuchstaben beginnen alle Vornamen sind einzugeben keinen Geburtsnamen angeben! (Diese Eingabe erfolgt später) Änderungen von Name und Vorname sind später nicht mehr möglich Eine falsche oder fehlerhafte Eingabe kann nur hier korrigiert werden b) Ihre -Adresse in der Kommune ist hier zu verwenden c) Wichtig: Qualifizierte Signaturkarte auf ja, Einzelsignatur setzen! d) Sicherheitsrichtlinien akzeptieren (Häkchen setzen) e) Beantragen Bitte bestätigen Sie Ihre getroffenen Angaben: Status: freigegeben Datum: Seite 11

13 2.2. PKS-Auftrag KDVZ-Citkomm Sie befinden sich nun im Public Key Services (PKS) der KDVZ Citkomm. Die Webseite muss ggf. von Ihrer IT-Abteilung freigeschaltet werden. Die Daten Anrede, Name und Vorname werden aus der vorherigen Antragsseite übernommen und können hier nicht mehr verändert werden. Sollte Ihnen jetzt ein Fehler auffallen, drücken Sie die Taste Abbruch und beginnen die Antragstellung von vorne!!! In diesem Formular sind nun ggf. Ihr Geburtsname und Ihr Titel einzutragen Straße, Hausnummer und Wohnort entnehmen Sie bitte Ihrem Ausweisdokument. Bitte beachten Sie die getrennte Eingabe der Hausnummer Postleitzahl und Land sind ebenfalls Pflichteingaben In diesem Format werden Sie nach Ihrem Ausweistyp gefragt. Dies ist in der Regel der deutsche Personalausweis (voreingestellt). Für den neuen Personalausweis (ab Nov. 2010) gilt als Ausweistyp Sonstiges Identitätspapier (siehe unten). Status: freigegeben Datum: Seite 12

14 2.3. Antragstellung mit dem alten oder dem neuen Personalausweis Hinweis: Sie müssen im Besitz eines gültigen Ausweises sein, ansonsten ist der Vorgang abzubrechen Der alte Personalausweis Um den Antrag mit einem alten Personalausweis vorzunehmen, wählen Sie bitte bei der Auswahl des Ausweistypen den deutschen Personalausweis: Bitte geben Sie hier die nachfolgenden Daten von der unteren Zeile Ihres Personalausweises oder Reisepasses ein: Hinweis: Alle Angaben für die Ausweisnummer, das Geburtsdatum, das Ablaufdatum und die Prüfziffer sind original aus der Zeile zu übertragen. In diesen Feldern dürfen keine Punkte eingegeben werden. Orientieren Sie sich bitte an den Musterangaben Die 10 Stellige Ausweisnummer (ohne das D) Das Geburtsdatum in der ungewöhnlichen Form JJMMTTp (Jahr, Monat, Tag und Prüfziffer) Das Ablaufdatum Ihres Ausweises in der Form JJMMTTp Die Prüfziffer für den gesamten Ausweis in der Form p (1 Ziffer) Die Angaben zum Ausstellungsdatum in der Form TT.MM.JJJJ (Tag, Monat und 4- stelliges Jahr) Die Ausstellungsbehörde finden Sie auf der Rückseite des Ausweises/Reisepasses Ihren Geburtsort Hinweis: Die Angabe zur Staatsangehörigkeit wird aus der Länderangabe abgeleitet. Sie kann hier nicht geändert werden. Die Darstellung wird in Kürze auf die richtige Angabe z.b. deutsch korrigiert. Status: freigegeben Datum: Seite 13

15 Der neue Personalausweis Um den Antrag mit einem neuen Personalausweis vorzunehmen, wählen Sie bitte bei der Auswahl des Ausweistypen das sonstige Identitätspapier: Bitte geben Sie hier die nachfolgenden Daten von der Rückseite Ihres Personalausweises oder Reisepasses ein: Die 10 Stellige Ausweisnummer Das Geburtsdatum ist wie folgt zu lesen und einzutragen: Das Ablaufdatum ist wie folgt zu lesen und einzutragen: Das Ausstellungsdatum ist wie folgt einzutragen: Die Ausweisbehörde Ihren Geburtsort Hinweis: Die Angabe zur Staatsangehörigkeit wird aus der Länderangabe abgeleitet. Sie kann hier nicht geändert werden. Die Darstellung wird in Kürze auf die richtige Angabe z.b. deutsch korrigiert. Hinweis: Bei fehlerhaften Angaben in diesem Formular (Bildschirm-Eingaben werden nach Ihrer Bestätigung in rot dargestellt) klicken Sie auf Zurücksetzen und nehmen dann Ihre Eingaben erneut vor. Klicken Sie nicht auf Abbruch Status: freigegeben Datum: Seite 14

16 Geben Sie Ihre Telefonnummer an Die Faxnummer ist optional Der Kontakt bleibt Die Laufzeit Ihrer Signaturkarte ist standardmäßig auf drei Jahre festgesetzt. Verkürzen Sie die Laufzeit nur bei besonderen Gründen (z.b. Sie gehen in absehbarer Zeit in Rente) Status: freigegeben Datum: Seite 15

17 2.4. Freigabe des Zertifikates Im nächsten Schritt ist es möglich, Ihr Zertifikat zur Aufnahme in den Verzeichnisdienst der Telesec freizugeben. Wir empfehlen, Ihr Zertifikat auf diesem Weg freizugeben. Hinweis: Dieser Vorgang ist optional und Sie können ihn auch überspringen, indem Sie die Checkbox Nein, ich will mein qualifiziertes Zertifikat nicht zum Abruf freigeben auswählen. Nun besteht die Möglichkeit, Ihre Karte zu personalisieren. Dazu müssen Sie Ihre E- Mail Adresse eingeben. Diese Adresse wird in Ihr Zertifikat eingetragen. Bevor Ihre Adresse in Ihr Zertifikat eingetragen werden darf, ist eine Überprüfung der Adresse erforderlich. Dazu wird Ihnen von der Telesec eine mit einer Prüfnummer an die hier angegebene Adresse zugeschickt. Diese Prüfnummer müssen Sie handschriftlich in den ausgedruckten PKS-Auftrag übernehmen. Für Aufträge ohne Prüfnummer werden normale Signaturkarten ohne Eintragung der Adresse produziert. Hinweis: Eine nachträgliche Eintragung der Adresse in die Chipkarte ist nicht möglich. Status: freigegeben Datum: Seite 16

18 3. VORBEREITUNG FÜR DAS BEHÖRDENIDENTVERFAHREN DER TELESEC Bisher mussten Mitarbeiterinnen und Mitarbeiter zur Beantragung einer Signaturkarte entweder persönlich bei den Filialen der Deutschen Post AG vorstellig werden (POSTIDENT- Verfahren), oder bei einem Notar vorstellig werden (NOTARIDENT-Verfahren) um eine zuverlässige Identifikation durchzuführen. Diese Vorgehensweise ist sowohl zeitaufwändig als auch kostenintensiv. Um diesen Vorgang zu erleichtern und den Beantragungsprozess zu beschleunigen, sieht dieses Konzept den Weg über eine Identitätsfeststellung in dafür für zuständig erklärten Stellen innerhalb der Behörde, mittels Herstellung einer öffentlichen Urkunde vor Antragstellung Im Folgenden Formular müssen Sie einige Angaben zu Ihrem Arbeitgeber (Organisation) machen: Angaben zu Ihrer Behörde unter Organisation Das Feld Organisationseinheit ist wahlfrei (Sie könnten Ihre Abteilung hinterlegen) Die Angaben werden dann automatisch auf das Formular BehördenIdent übertragen. Dort muss dann der siegelführende Beamte die Daten des Antragstellers bestätigen. Hinweis: Weitere Einzelheiten entnehmen Sie bitte der Schritt für Schritt Anleitung zum BehördenIdent. Status: freigegeben Datum: Seite 17

19 3.2. Beschränken des Einsatzzweckes der Signaturkarte Wenn Sie den Einsatzzweck auf Belange Ihrer Verwaltung beschränken möchten, können Sie dies durch die Eingabe eines Attributes über Ja, ich will die Nutzung des Signaturschlüssels beschränken erreichen. Hinweis: Denken Sie bitte daran: Ihre Signaturkarte stellt Ihre persönliche Unterschrift dar. Sollte diese z.b. gestohlen werden, kann damit theoretisch ein Kaufvertrag für ein Haus o.ä. abgeschlossen werden. Eine Einschränkung der Karte kann Sie in so einem Fall schützen!!! Diese Beschränkung(en) ist(sind) mit zusätzlichen Kosten gemäß der Preisliste verbunden. Wenn Sie keine Einschränkung vornehmen möchten klicken Sie einfach nur auf weiter Selbstbeschränkung Mit diesem Attribut können Sie den Einsatzzweck Ihres Zertifikates auf einen bestimmten Bereich, zum Beispiel eine maximale monetäre Belastung, o.ä. beschränken. Wir können Ihnen diese Eigenschaft entweder als Attribut im Hauptzertifikat oder als qualifiziertes Attributzertifikat eintragen. Auf Grund der Beschränkung der maximalen Größe Ihres Zertifikates durch die Chipkarte ist pro Auftrag nur ein Attribut im Hauptzertifikat möglich. Aus dem gleichen Grund haben Sie für die Eintragung Ihres Textes im Hauptzertifikat nur 100 Zeichen zur Verfügung während Sie in ein qualifiziertes Attributzertifikat bis zu 1000 Zeichen Text aufnehmen können. Ein qualifiziertes Attributzertifikat wird Ihnen separat von der Chipkarte per zugestellt. Hinweis: Falls erforderlich können Sie auch mehrere Einschränkungen vorgeben. Wenn Sie sich für eine Beschränkung entschieden haben, klicken Sie bitte auf Bearbeiten und geben Sie anschließend einen beschreibenden Text für das Attribut ein. Status: freigegeben Datum: Seite 18

20 Beispieltexte: Das Zertifikat gilt nur für Belange der Stadtverwaltung XXX im Bereich Standesamt Das Zertifikat gilt nur für den Kreis XYZ im Bereich ASYS (elektr. Abfallnachweis) Speichern Sie abschließend Ihre Eingaben Berufsrechtliche Zulassung Mit diesem Attribut können Sie eine berufsrechtliche Zulassung (z.b. Rechtsanwalt, Arzt, o.ä.) ins Zertifikat aufnehmen. Zur Aufnahme dieses Attributes muss ein entsprechendes Bestätigungsschreiben Ihrer Kammer beigefügt sein, aus dem hervorgeht das Sie diese berufsrechtliche Zulassung führen dürfen. Wir können Ihnen diese Eigenschaft entweder als Attribut im Hauptzertifikat oder als qualifiziertes Attributzertifikat eintragen. Auf Grund der Beschränkung der maximalen Größe Ihres Zertifikates durch die Chipkarte ist pro Auftrag nur ein Attribut im Hauptzertifikat möglich. Bitte Informieren Sie sich bei Ihrer Berufskammer oder Ihrer Signaturanwendung über den erforderlichen Inhalt und Form der berufsrechtlichen Zulassung. Ein qualifiziertes Attributzertifikat wird Ihnen separat von der Chipkarte per zugestellt. Status: freigegeben Datum: Seite 19

21 Lieferadresse Seit dem werden die Signaturkarten nicht mehr an die Citkomm sondern direkt an Sie versandt. Geben Sie daher die Adresse Ihrer Arbeitsstätte an. Nachdem Sie die Beschränkungsdialoge abgeschlossen und die Lieferanschrift festgelegt haben, werden Ihnen Ihre Antragsdaten noch einmal zusammengefasst angezeigt: Hinweis: Das Telepasswort wird zugeteilt und dient für den Fall, dass Sie die Karte sperren lassen. Sie werden am Telefon nach diesem Kennwort gefragt. Das Kennwort (Ziffernfolge) wird in der Zusammenfassung am Ende der Antragstellung im PKS Auftrag ausgedruckt. Für die weitere Abwicklung ist es notwendig, dass Sie den Geschäftsbedingungen zum PKS zustimmen. Nachdem Sie auf Auftrag absenden geklickt haben, erhalten Sie die Unterlagen per als PDF-Datei, beginnend mit der Schritt für Schritt Anleitung für das Behördenident-Verfahren. Status: freigegeben Datum: Seite 20

22 4. BEHÖRDENIDENTVERFAHREN DER TELESEC Nach dem Absenden erhalten Sie 4 Seiten im PDF-Format. Speichern Sie diese Datei auf Ihrem PC zur Sicherheit ab oder drucken Sie diese in 2-facher Kopie aus. Ein Ausdruck wird immer benötigt!!! Seite 1: Schritt für Schritt Anleitung zum BEHÖRDENIDENT Seite 2: Titelblatt Seite 3 und Seite 4: Ihre Antragsdaten Erstellen Sie bitte eine Kopie Ihres Ausweises (Vor- und Rückseite) und unterschreiben Sie beide. Hinweis: Änderungen sind nicht möglich, handschriftliche Korrekturen sind nicht erlaubt. Bei fehlerhaften Angaben ist die Antragstellung zu wiederholen. Bitte unterschreiben Sie den Antrag zu diesem Zeitpunkt noch nicht, sondern erst in Anwesenheit des siegelführenden Beamten. Halten Sie dazu Ihren Ausweis bereit und vereinbaren Sie falls erforderlich einen Termin mit dem Beamten aus Ihrem Hause. Nach der Identitätsfeststellung durch den siegelführenden Beamten werden folgende Unterlagen an das TrustCenter (TeleSec) der Deutschen Telekom AG verschickt: Vollständiger Antrag mit Unterschrift des Antragstellers Kopie des Ausweises Formular BEHÖRDENIDENT mit Unterschrift und Dienstsiegel Anschrift: Deutsche Telekom AG c/o T-Systems international GmbH Trust Center PKS/A Postfach Netphen Hinweis: Die Registrierung durch Citkomm-Mitarbeiter oder das POSTIDENTVERFAHREN gibt es nicht mehr. Status: freigegeben Datum: Seite 21

23 4.1. Anleitung und Auftragsformulare des Behördenident-Verfahren 4.2. Blatt 1: Schritt für Schritt Anleitung Die erste Seite beinhaltet die Anleitung für das Behördenident-Verfahren. Lesen Sie sich diese Anleitung bitte sorgfältig durch.. Status: freigegeben Datum: Seite 22

24 4.3. Blatt 2: Formular Behördenident Auf der zweiten Seite ist das Gültigkeitsdatum des Ausweises handschriftlich einzutragen. Antragsteller und Siegelführer müssen unterschreiben. Status: freigegeben Datum: Seite 23

25 4.4. Blatt 3: Titelblatt Das Titelblatt für das PKS (Public Key Service) Verfahren der Deutschen Telekom AG. Status: freigegeben Datum: Seite 24

26 4.5. Blatt 4: Antragsdaten Auf dieser Seite erfolgt Ihre Unterschrift im Beisein des siegenführenden Beamten. Bitte unterschreiben Sie zusammen den Antrag. Hinweis: Die Ausweis-Nummer im oberen Feld wird bei einigen Anträgen ohne Prüfziffer, bei anderen mit Prüfziffer gedruckt. Status: freigegeben Datum: Seite 25

27 4.6. Blatt 5: Rechnungsangaben Hier sind die Rechnungsangabe für die Citkomm und die Prüfnummer der Mailadresse zu sehen. Hinweis: Die Unterschrift der Citkomm als Rechnungsempfänger entfällt in Absprache mit der Telesec! Sie müssen also nichts machen. Status: freigegeben Datum: Seite 26

28 5. KARTENLESEGERÄT Modell e-com Es gibt unterschiedliche Modelle des Reiner SCTs, die bei dem Setzen der PIN s oft einem anderen Schema folgen: Bei dem Modell e-com plus muss erst die OK Taste gedrückt werden, damit die PIN Eingabe erfolgen kann. Dies trifft auf andere Modelle nicht zu. Status: freigegeben Datum: Seite 27

29 6. LIEFERUNG (NICHT MEHR ÜBER DIE CITKOMM) Hinweis: Die Beschaffung notwendiger Lesegeräte der Klasse 3, USB erfolgt nicht mehr über die Citkomm Modellempfehlung Die Citkomm empfiehlt die Verwendung des Modells: Reiner SCT cyberjack e-com Die Geräte müssen von Ihrer IT-Abteilung beschafft, an Ihrem Arbeitsplatz installiert und konfiguriert werden. Bei der Installation ist zu beachten, dass nur die Basiskomponente cyber Jack zu installieren ist. Es darf keinesfalls die mate Suite installiert werden, da dies Konflikte mit den benötigten Anwendungen verursachen kann Installationshinweise Bevor die Installation startet, wird die Frage gestellt, ob eine neue Version der Betriebssoftware aus dem Internet heruntergeladen werden soll. Bitte mit NEIN beantworten. Anschließend die richtige USB Schnittstelle auswählen. Das Lesegerät wird erst nach dem Neustart des Rechners über USB angeschlossen. Status: freigegeben Datum: Seite 28

30 7. FREISCHALTUNG (EMPFANG) / PIN 7.1. PIN Verwaltung Die Auslieferung der qualifizierten Signaturkarte erfolgt im sogenannten Null-Pin-Verfahren der TeleSec. Es wird keine PIN mitgeliefert. Die Karte wird ohne einen Signatur-Pin ausgeliefert. Sie müssen nach Erhalt die notwendigen PINs setzen, um mit der Karte signieren zu können. Ohne Signatur PIN 1 kann mit der Karte nicht gearbeitet werden. Diese PIN wird immer benötigt, wenn die qualifizierte Signatur gebraucht wird, z.b. beim Beurkunden im Standesamt für den Zugriff auf den epr-server, für den Einheitlichen Ansprechpartner EAP oder beim elektronischen Abfallnachweis (eanv). Nachfolgend ist die Eingabe über Sign Live Toolbox beschrieben. Hinweis: Das bisher genutzte Programm mytrustcardmanager wird seitens der TeleSec nicht mehr empfohlen und kann für die neuen Signaturkarten (ECC-Karten mit neuer Verschlüsselungstechnik) nicht mehr benutzt werden. Mit Sign Live können alte und neue Karten benutzt werden. Die Eingaben aller Pins erfolgt bei Sign Live ausschließlich über das Kartenlesegerät. Nach der Freischaltung der Karte und dem Setzen aller PINs erfolgt die Eingabe der Signatur PIN 1 für die tägliche Arbeit ausschließlich über das Kartenlesegerät Übersicht Bitte beachten Sie die Hinweise, damit die Karte ordnungsgemäß freigeschaltet werden kann. Alle Eingaben erfolgen über Sign Live Toolbox. Alle Eingaben für das Setzen der PINs erfolgen am Kartenlesegerät. Die nachfolgende Reihenfolge ist unbedingt einzuhalten. Es ist wie folgt vorzugehen: 1. Installation Sign Live a. Installation mit Adminrechten erforderlich b. PIN Management anklicken 2. Signatur PIN 1 a. Karte im Lesegerät - 30 Sekunden Zeitfenster beachten b. SigG PIN1 initialisieren c. Beachten Sie den Hinweistext, evtl. Transport PIN eingeben d. Fertig stellen (Zeit läuft) e. Alle Eingaben am Lesegerät 3. Signatur PIN 2 (Reparatur-PIN) a. Karte im Lesegerät - 30 Sekunden Zeitfenster beachten b. SigG PIN2 zurücksetzen c. Beachten Sie den Hinweistext d. Fertig stellen (Zeit läuft) e. Alle Eingaben am Lesegerät Status: freigegeben Datum: Seite 29

31 4. Globale PIN 1 a. Karte im Lesegerät - 30 Sekunden Zeitfenster beachten b. Globale PIN1 initialisieren c. Beachten Sie den Hinweistext, evtl. Transport PIN eingeben d. Fertig stellen (Zeit läuft) e. Alle Eingaben am Lesegerät 5. Globale PIN 2 (Reparatur-PIN) a. Karte im Lesegerät - 30 Sekunden Zeitfenster beachten b. Globale PIN2 zurücksetzen c. Beachten Sie den Hinweistext d. Fertig stellen (Zeit läuft) e. Alle Eingaben am Lesegerät 6. Empfangsbestätigung a. Webportal b. Eintrag vom Antragsteller u.a. mit der TelePin c. Empfangsbestätigung online absenden Die einzelnen Schritte sind auf den folgenden Seiten erläutert. Mit der Taste Cancel wird der Vorgang am Lesegerät abgebrochen. Durch Betätigen der Taste Fertig stellen läuft die Zeit wieder von vorn. Hinweis: Faustregel: PIN1 (6 Stellen) ist für die tägliche Arbeit, PIN2 ( PUK mit 8 Stellen) ist für den Notfall und gehört in den Tresor. Status: freigegeben Datum: Seite 30

32 7.3. Installation Sign Live Toolbox Für das Setzen der verschiedenen PIN s empfehlen wir das Programm Sign Live. Diese Software ist lokal zu installieren. Hierfür sind Administrationsrechte erforderlich. Da diese Software ausschließlich für die Änderungen der verschiedenen PIN s erforderlich ist, besteht auch die Möglichkeit der Nutzung eines zentralen Arbeitsplatzes, so dass die Software nur einmal zu installieren ist. Dies liegt im Ermessen der örtlichen IT-Abteilung Download von Sign Live Sign Live können Sie auf der folgenden Webseite herunterladen: Live -toolboxwindows Bitte Sign Live Toolbox Windows für den Download wählen Status: freigegeben Datum: Seite 31

33 Installation Sign Live Toolbox: Schritt-für-Schritt Anleitung Hinweis: Abhängig von den definierten Benutzerrechten ist für die Installation dieser Software die Unterstützung eines IT-Administrators erforderlich. Außerdem ist ein Kartenlesegerät erforderlich. Datei speichern setup exe anklicken mit OK bestätigen Status: freigegeben Datum: Seite 32

34 Status: freigegeben Datum: Seite 33

35 8. SIGN LIVE! TOOLBOX 8.1. Starten der Anwendung Ein Aufruf der Software Sign Live! ist über das Desktopsymbol oder über Startmenü Programme Sign Live Toolbox T-Systems möglich. Starten Sie bitte die Anwendung. Nachdem Sie den Willkommensbildschirm zu sehen bekommen haben, stecken Sie Ihre Signaturkarte in das Kartenlesegerät Setzen der Signaturkartenpins Hinweis: Wählen Sie auf keinen Fall Karte in Betrieb nehmen, da es sonst im Lauf der Konfiguration zu Problemen kommen kann. Um die PINs für Ihre Signaturkarte zu setzen, wählen Sie bitte PIN Management. Aus Sicherheitsgründen haben Sie bei Eingaben am Kartenlesegerät ein 30 Sekunden Zeitfenster. Erfolgt keine Eingabe, wird die Eingabe abgebrochen und Sie müssen wieder von vorn beginnen. Deshalb ist es sehr empfehlenswert, sich im Vorfeld über die neuen PIN s im Klaren zu sein. Vor Beginn der Eingabe sollte die zu setzende PIN ausgewählt sein. Bitte beachten Sie die angezeigte Vorgehensweise für das Setzen der Pins. Status: freigegeben Datum: Seite 34

36 9. SIGNATUR PIN 1 Die Signatur PIN 1 werden Sie für Ihr Tagesgeschäft benötigen. Jedes Mal, wenn Sie etwas mit Ihrer Signaturkarte Signieren müssen, ist die Eingabe der Signatur PIN 1 erforderlich. Initialisieren anklicken um die Signatur PIN 1 zu setzen ACHTUNG: Bevor Sie starten, müssen Sie wissen, wie Ihre 6-stellige PIN heißt, sonst schaffen Sie es nicht das Zeitfenster einzuhalten. Überlegen Sie sich also vorher, wie Ihre PIN1 lauten soll. Status: freigegeben Datum: Seite 35

37 9.1. Vorgehensweise Erst bei der Ausgabe PIN AEND oder PIN RESET drücken Sie die OK Taste des Kartenlesegerätes Jetzt warten Sie bitte auf die Freigabe (dauert ein paar Sekunden!) nun müssen Sie die Transport-PIN eingeben Wenn Sie die Taste Fertig stellen betätigen, haben Sie ein 30 Sekunden Zeitfenster, um Ihre PIN1 zu setzen. Alle PIN-Eingaben erfolgen über die Tastatur des Lesegerätes. Bitte warten Sie auf die Eingabeaufforderung am Lesegerät. Das weitere Vorgehen ist geräteabhängig. Sobald alles richtig eingegeben wurde, erscheint folgende Meldung: Stimmen Wiederholungseingabe und Ersteingabe nicht überein, wird Ihnen dies im PIN Management am Monitor des PCs angezeigt. Sie müssen dann wieder von vorne anfangen. Status: freigegeben Datum: Seite 36

38 10. SIGNATUR PIN 2 Wir empfehlen eine Signatur PIN 2 zu setzen, um die Karte bei Fehleingaben Ihrer Signatur PIN 1 entsperren zu können (Sie können die PIN 2 mit einem SIM-Karten PUK vergleichen). zurücksetzen anklicken, um die Signatur PIN2 zu setzen ACHTUNG: Bevor Sie starten, müssen Sie wissen, wie Ihre 8-stellige PIN2 (PUK) heißt, sonst schaffen Sie es nicht das Zeitfenster einzuhalten. Überlegen Sie sich also vorher, wie Ihre PIN2 lauten soll. Status: freigegeben Datum: Seite 37

39 10.1. Vorgehensweise Erst bei der Ausgabe PIN AEND oder PIN RESET drücken Sie die OK Taste des Kartenlesegerätes Jetzt warten Sie bitte auf die Freigabe (dauert ein paar Sekunden!) nun müssen Sie die Transport-PIN eingeben Wenn Sie die Taste Fertig stellen betätigen, haben Sie ein 30 Sekunden Zeitfenster, um Ihre PIN2 zu setzen. Alle PIN-Eingaben erfolgen über die Tastatur des Lesegerätes. Bitte warten Sie auf die Eingabeaufforderung am Lesegerät. Sobald alles richtig eingegeben wurde, erscheint folgende Meldung: 11. GLOBALE PIN 1 HINWEIS für AUTISTA-Kunden: Für den ersten Zugriff beim Signieren in AutiSta wird ein Verschlüsselungs-PIN verlangt. Dabei ist die Globale PIN1 zu setzen. Verwenden Sie für diesen Vorgang die Sign Live Toolbox (Siehe Kapitel 8). Für die Globale PIN 1 bitte die Taste Initialisieren anklicken. Status: freigegeben Datum: Seite 38

40 ACHTUNG: Bevor Sie starten, müssen Sie wissen, wie Ihre 6-stellige PIN heißt, sonst schaffen Sie es nicht, das Zeitfenster einzuhalten. Überlegen Sie sich also vorher, wie Ihre Globale PIN1 lauten soll Vorgehensweise Erst bei der Ausgabe PIN AEND oder PIN RESET drücken Sie die OK Taste des Kartenlesegerätes Jetzt warten Sie bitte auf die Freigabe (dauert ein paar Sekunden!) nun müssen Sie die Transport-PIN eingeben Bei den anderen Geräten können Sie ohne OK Taste die PIN eingeben Wenn Sie die Taste Fertig stellen betätigen, haben Sie ein 30 Sekunden Zeitfenster, um Ihre Globale PIN1 zu setzen. Alle PIN-Eingaben erfolgen über die Tastatur des Lesegerätes. Bitte warten Sie auf die Eingabeaufforderung am Lesegerät. Das weitere Vorgehen ist geräteabhängig. Status: freigegeben Datum: Seite 39

41 Sobald alles richtig eingegeben wurde, erscheint folgende Meldung: 12. GLOBALE PIN 2 Wir empfehlen eine Globale PIN 2 zu setzen, um die Karte bei Fehleingaben Ihrer Globalen PIN 1 entsperren zu können (Sie können die Globale PIN 2 mit einem SIM-Karten PUK vergleichen). Verwenden Sie für diesen Vorgang die Sign Live Toolbox (Siehe Kapitel 8). zurücksetzen anklicken, um die Globale PIN2 zu setzen Status: freigegeben Datum: Seite 40

42 ACHTUNG: Bevor Sie starten, müssen Sie wissen, wie Ihre 8-stellige Globale PIN2 (PUK) heißt, sonst schaffen Sie es nicht, das Zeitfenster einzuhalten. Überlegen Sie sich also vorher, wie Ihre Globale PIN2 lauten soll Vorgehensweise Erst bei der Ausgabe PIN AEND oder PIN RESET drücken Sie die OK Taste des Kartenlesegerätes Jetzt warten Sie bitte auf die Freigabe (dauert ein paar Sekunden!) nun müssen Sie die Transport-PIN eingeben Bei den anderen Geräten können Sie ohne OK Taste die PIN eingeben Status: freigegeben Datum: Seite 41

43 Wenn Sie die Taste Fertig stellen betätigen, haben Sie ein 30 Sekunden Zeitfenster, um Ihre PIN1 zu setzen. Alle PIN-Eingaben erfolgen über die Tastatur des Lesegerätes. Bitte warten Sie auf die Eingabeaufforderung am Lesegerät. Sobald alles richtig eingegeben wurde, erscheint folgende Meldung: Bitte beachten Sie, dass die Empfangsbestätigung (Freischalten) nicht in Sign Live erfolgt!!!! Bitte hier abbrechen. Der Empfang wird ausschließlich auf der Telesec-Seite bestätigt. Status: freigegeben Datum: Seite 42

44 13. SIGNATUR PIN /GLOBALE PIN ZURÜCKSETZEN (NACH FEHLVERSUCHEN) Nach drei Fehleingaben der PIN wird diese gesperrt. Sie können daher mit Hilfe des jeweiligen Gegenstücks eine neue PIN setzen. Signatur PIN 1 Signatur PIN 2 Globale PIN 1 Globale PIN 2 Verwenden Sie für diesen Vorgang die Sign Live Toolbox (Siehe Kapitel 8) zurücksetzen anklicken, um die Signatur PIN1 zurückzusetzen Für das Zurücksetzen wird in diesem Beispiel die Signatur PIN 2 benötigt ACHTUNG: Bevor Sie starten, müssen Sie wissen, wie Ihre 8-stellige Globale PIN2 (PUK) heißt, sonst schaffen Sie es nicht das Zeitfenster einzuhalten. Suchen Sie sich bitte vorher Ihre Signatur PIN2 heraus. Status: freigegeben Datum: Seite 43

45 Wenn Sie die Taste Fertig stellen betätigen, haben Sie ein 30 Sekunden Zeitfenster, um Ihre PIN2 einzugeben. Alle PIN-Eingaben erfolgen über die Tastatur des Lesegerätes. Bitte warten Sie auf die Eingabeaufforderung am Lesegerät. Wenn alles richtig eingegeben wurde, erscheint diese Meldung Nach dem Zurücksetzen schauen Sie bitte in das entsprechende Kapitel dieser Dokumentation, um die zurück gesetzte PIN neu zu setzen. 14. SIGNATURKARTEN EMPFANGSBESTÄTIGUNG Die Signaturkarte wird Ihnen nach Fertigstellung an Ihre Verwaltungsanschrift geschickt ggf. über Ihre IT-Abteilung. Der Empfang der Karte muss von Ihnen bestätigt werden, sonst ist eine Verwendung nicht möglich. Sie können die Empfangsbestätigung online über den Link ausführen. Dieser Weg dient zur Vereinfachung der Prozesse. Status: freigegeben Datum: Seite 44

46 Bitte geben Sie hier Ihre Karten-Nr. und die TelePIN aus Ihrem Antrag (1. Seite Mitte) ein. Danach bestätigen Sie bitte den Captsha und aktivieren die folgenden 3 Checkboxen. Anschließend ist die Empfangsbestätigung abzusenden. Die Karte wird dann sofort freigegeben und kann nach dem Setzen der PINs verwendet werden. 15. SPERRUNG FÜR QUALIFIZIERTE ZERTIFIKATE Sie haben rund um die Uhr die Möglichkeit, bei Verlust o.ä. Ihre Karte sperren zu lassen. Sie können die Sperrung telefonisch durchgeben, dann benötigt der ZDA zur Bearbeitung Ihr Telepasswort. Telefon-Nr (T-Systems). Sie können auch online über das Portal eine Karte sperren: Status: freigegeben Datum: Seite 45

47 16. VERZEICHNISDIENST Jeder Zertifikatsinhaber kann prüfen, ob sein Zertifikat freigegeben worden ist. Dazu muss er den Verzeichnisdienst der Telesec aufrufen. URL: Signaturkarte (PKS) aufrufen, danach Verzeichnisdienst anklicken: Danach PKD-Verzeichnis aufrufen Status: freigegeben Datum: Seite 46

48 Bitte Commonname eingeben, und zwar in der Form *Name*. Das Feld Nachname, Vorname bleibt leer. Beispiel: Anschließend auf Benutzerzertifikat suchen klicken. Anschließend auf Download klicken. Status: freigegeben Datum: Seite 47

49 17. ANHANG: MERKBLATT SICHERE KOMMUNIKATION IM NETZ Die elektronische Signatur Was ist eine elektronische Signatur? Die handschriftliche Unterschrift verbindet ein Papierdokument mit dem Unterzeichner. Dabei dient sie der Funktion der Authentisierung (das Dokument ist vom Unterzeichner gesehen worden) und der Bekräftigung einer Willenserklärung. Der Unterzeichner schließt z.b. einen Vertrag durch Unterzeichnung mit seiner eigenhändigen Unterschrift. Ebenso verbindet die elektronische Signatur einen Unterzeichner mit elektronischen Daten z.b. einem Textdokument so, dass man diese Zuordnung sicher nachprüfen kann. Im Gegensatz zur handschriftlichen Unterschrift, für die der Unterzeichner Papier und Stift benötigt, nutzt er bei der elektronischen Signatur mathematische Verfahren auf einer Signaturkarte. Public-Key-Verfahren bilden in der Regel die Grundlage für die elektronische Signatur. Für das Verfahren benötigt man ein spezielles Schlüsselpaar. Daten, die mit dem einen Schlüssel verschlüsselt werden, können nur mit dem dazugehörigen anderen Schlüssel entschlüsselt werden. Diese Eigenschaft nutzt man für die Erstellung einer elektronischen Signatur und deren Überprüfung. Welche Rechtswirkung hat die elektronische Signatur? Die qualifizierte elektronische Signatur wird im Signaturgesetz ausführlich beschrieben und ist der handschriftlichen Unterschrift im BGB und Verwaltungsverfahrensgesetz weitgehend gleichgestellt. Das bedeutet, dass in vielen Rechtsgeschäften der Einsatz der qualifizierten elektronischen Signatur (nur auf Chipkarte) neben der handschriftlichen Unterschrift möglich ist. Informieren Sie sich vorher, ob dies in dem jeweiligen Rechtsgeschäft zugelassen ist. Beispiele in der Praxis sind: Verträge im Privatrecht, Vergabeverfahren, Vorsteuerabzug usw. Durch die Nutzung Ihres Signaturschlüssels wird Ihnen die qualifizierte elektronische Signatur zugerechnet. D.h. Sie zeichnen verantwortlich wie bei einer handschriftlichen Unterschrift Der Zertifizierungsdienstanbieter Welche Aufgaben übernimmt ein Zertifizierungsdienstanbieter? Der Zertifizierungsdienstanbieter (auch Trust Center oder kurz ZDA genannt) stellt die benötigten Komponenten und Dienstleistungen für die elektronische Signatur zur Verfügung. Dies sind im Einzelnen: Identifizierung des Kunden Der ZDA prüft bei der Antragsstellung Ihre Identität anhand von Personalausweis oder Reisepass. Beschlüsselung der Chipkarte Der ZDA erzeugt Ihre beiden Schlüssel in einer besonders gesicherten Umgebung. Der Signaturschlüssel wird beim ZDA nicht gespeichert oder archiviert. Er wird auf die Chipkarte unauslesbar gespeichert. Die Chipkarte wird mit einer elektronischen Transportsicherung versehen. Erzeugung der qualifizierten Zertifikate Status: freigegeben Datum: Seite 48

50 Der ZDA fügt die Identifikationsdaten und den Signaturschlüssel zusammen und bestätigt durch eine elektronische Signatur diese Verbindung. Wünschen Sie die Einrichtung von Attributen, so erzeugt der ZDA die zugehörigen Attributzertifikate. Auslieferung Sie erhalten nun entweder die Chipkarte mit dem Zertifikat, oder falls Sie die Chipkarte schon besitzen, die notwendigen Zertifikate gesichert zugesandt. Bereitstellung in einem Verzeichnisdienst Sie überprüfen die Transportsicherung und geben dem ZDA eine Rückmeldung. Ist Ihre Rückmeldung positiv, stellt der ZDA das qualifizierte Zertifikat im Verzeichnisdienst zur Verfügung. Das qualifizierte Zertifikat kann dann im Verzeichnisdienst über das Internet auf Gültigkeit und Vorhandensein geprüft werden. Falls Sie dem Abruf aus dem Verzeichnis zugestimmt haben, kann man nun Ihr qualifiziertes Zertifikat aus dem Verzeichnisdienst laden. Sperrung der qualifizierten Zertifikate Die Sperrung der qualifizierten Zertifikate kann im Festnetz über die allgemeine deutsche Sperrhotline beauftragt werden. Zur Bearbeitung werden Ihre Kartennummer und das Telepasswort benötigt Sie können auch online über das Portal eine Karte sperren. Status: freigegeben Datum: Seite 49

51 18. UMGANG MIT DER ELEKTRONISCHEN SIGNATUR Wie geht man mit der Chipkarte um? Die Signaturen, die mit Ihrer Chipkarte erzeugt werden, werden Ihnen unmittelbar zugerechnet, daher halten Sie bitte die nachfolgenden Hinweise unbedingt ein: Halten Sie die Chipkarte immer in Ihrem persönlichen Gewahrsam. Tragen Sie sie möglichst diebstahlsicher am Körper. Haben Sie Ihre Chipkarte verloren, lassen Sie das Zertifikat sofort sperren. Ist Ihre Chipkarte beschädigt, kann dies auf einen Manipulationsversuch hinweisen. Wenn Sie Beschädigungen nicht zuordnen können, lassen Sie sicherheitshalber das zugehörige Zertifikat sperren. Verwenden Sie die Chipkarte niemals bei Anwendungen, Maschinen, Terminals, deren Funktionen Ihnen unbekannt, verdächtig oder unzuverlässig erscheinen. Sollten Sie den Verdacht auf eine missbräuchliche Verwendung Ihrer Karte haben, empfehlen wir Ihnen die Sperrung des Zertifikates. Wir empfehlen, die Chipkarte nur in Applikationen zu benutzen, die gemäß Signaturgesetz bestätigt sind. Beachten Sie auf jeden Fall die Benutzung und Sicherheitshinweise aller Anwendungsbereiche, in denen Sie die Chipkarte benutzen wollen. Wenn Sie Ihre Chipkarte nicht mehr nutzen wollen, zerstören Sie den Chip mit einem handelsüblichen Locher. Sperren Sie in diesem Fall das zugehörige Zertifikat. Halten Sie Ihre PIN und Ihr Telepasswort, wie bei Ihrer EC-Karte geheim. Wechseln Sie in gewissen Zeitabständen Ihre PIN und vermeiden Sie es, sich die PIN zu notieren. Bei dem Verdacht, dass jemand von Ihrer PIN Kenntnis erlangt hat, ändern Sie die PIN sofort Was ist beim Signieren und Prüfen zu beachten? Das Signaturgesetz schreibt Ihnen nicht vor, welche Signaturanwendungskomponente Sie mit Ihrer Chipkarte zum Signieren oder Prüfen benutzen dürfen. Das liegt allein in Ihrem Ermessen. Folgende Empfehlungen sollten Sie jedoch berücksichtigen: Verwenden Sie einen Kartenleser mit PIN-Pad, Ihre PIN ist dadurch besser vor Missbrauch geschützt. Halten Sie Ihren Computer immer auf dem neuesten Sicherheitsstand. Wenn Sicherheitslücken auftreten, dann stellt der Hersteller Ihres Betriebssystem (z. B. Windows) meist einen Patch als Download zur Verfügung. Nutzen Sie Antiviren- und Firewallsoftware für Ihren Computer und laden und installieren Sie jeweils regelmäßig die neuesten Versionen. Sichern Sie Ihren Computer durch Passwörter für BIOS, Bildschirmschoner usw. oder mittels Chipkarte vor unberechtigtem Zugriff. Beachten Sie die Hinweise im Handbuch Ihrer Signatursoftware. Signieren Sie grundsätzlich nur Informationen, deren Inhalt Sie vorher geprüft haben. Haben Sie Zweifel an der Erstellung Ihrer elektronischen Signatur, dann überprüfen Sie die Signatur und den Inhalt vor dem Versand selbst noch einmal nach. Status: freigegeben Datum: Seite 50

52 Falls Sie Ihr qualifiziertes Zertifikat in der Nutzung beschränkt haben, fügen Sie das zugehörige Attributzertifikat dem entsprechenden Vorgang bei. Nutzen Sie die Möglichkeit, das qualifizierte Zertifikat im Verzeichnisdienst online zu überprüfen. Citkomm Hotline: Mailadresse: Status: freigegeben Datum: Seite 51