BehördenIdent. Handbuch. Qualifizierte Zertifikate

Transkript

1 Handbuch Qualifizierte Zertifikate

2 Impressum Herausgeber T-Systems Enterprise Services GmbH ICT Operations Dateiname Dokumentennummer Dokumentenbezeichnung DOI121 Handbuch Qualifizierte Zertifikate V doc DOI121 Handbuch für die Nutzung qualifizierter Zertifikate Version Stand Status Entwurf Autor Inhaltlich geprüft von Freigegeben von Schulte, Susanne Kirch, Stefan Kirch, Stefan Netphen, Netphen, Netphen, Ansprechpartner Telefon / Fax TeleSec-Supportline / telesec_support@t-systems.com Kurzinfo Handbuch Qualifizierte Zertifikate Copyright 2009 by T-Systems Enterprise Services GmbH Alle Rechte, auch die des auszugsweisen Nachdrucks, der fotomechanischen Wiedergabe (einschließlich Mikrokopie) sowie der Auswertung durch Datenbanken oder ähnliche Einrichtungen, vorbehalten. Handbuch Qualifizierte Zertifikate V11.docx Version Seite ii

3 Inhaltsverzeichnis BehördenIdent Handbuch 1 1 Qualifizierte Zertifikate 1 Impressum... ii Inhaltsverzeichnis... iii 1 Einleitung Ziel des Dokuments Aufbau des Dokuments Beantragung und Auslieferung des qualifizierten Zertifikats Beantragen des qualifizierten Zertifikats Auftragserfassung Startseite Angaben zur Person Ausweistyp: Ausweisdaten Erreichbarkeit Zertifikatslaufzeit und Telepasswort Aufnahme in das Verzeichnis der abrufbaren Zertifikate: Sperrberechtigung: Selbstbeschränkung: Übergabe der Karte: Rechnungslanschrift: Übersicht der Auftragsdaten: AGB und Auftragsversand: Registrieren zur Ausstellung des qualifizierten Zertifikats Erstellen und Versand des qualifizierten Zertifikats Prüfung und Freischaltung des qualifizierten Zertifikats Setzen der globalen Pin und der SigG-Pin Freischalten des qualifizierten Zertifikats Sperrung des qualifizierten Zertifikats Sperren des qualifizierten Zertifikats durch den Inhaber Sperren von qualifizierten Zertifikaten durch sperrberechtigte Dritte DOI121 V Seite iii von 29

4 1 Einleitung 1.1 Ziel des Dokuments Für die Erstellung rechtsverbindlicher, elektronischer Signaturen ist der Einsatz signaturgesetzkonformer, qualifizierter Zertifikate erforderlich. Dieses Handbuch gibt Ihnen detaillierte Informationen zum Zertifikatsmanagement, d.h. es wird beschrieben, wie Sie eine Signaturkarte mit qualifiziertem Zertifikat beantragen und erhalten, es freischalten und bei Missbrauch, Verlust etc. sperren. 1.2 Aufbau des Dokuments Das Handbuch für qualifizierte Zertifikate ist in folgende Themenschwerpunkte unterteilt: Kapitel 2 beschreibt den Ablauf der Beantragung und Auslieferung eines qualifizierten Zertifikats. Kapitel 3 beschreibt die Prüfung des qualifizierten Zertifikats und die Freischaltung des Zertifikats. Kapitel 4 beschreibt beispielhaft aus welchem Grund ein qualifiziertes Zertifikat gesperrt werden muss und wie solche Sperrungen beauftragt werden können. DOI121 V Seite 4 von 29

5 2 Beantragung und Auslieferung des qualifizierten Zertifikats 2.1 Beantragen des qualifizierten Zertifikats Bei Bedarf an einem qualifizierten Zertifikat, z.b. aufgrund der von Ihnen verwendeten Fachanwendung, greifen Sie über den folgenden Link auf den Zertifizierungsdiensteanbieter Deutsche Telekom AG (ZDA-DTAG) auf den Auftrag zur Teilnahme am Public Key Service zu. Nachdem Sie alle Auftragsseiten wie in Kap. 2.2 beschrieben ausgefüllt haben, werden für Sie individuell vorbereitete Auftragsformblätter in Form einer PDF-Datei erstellt. Diese Datei drucken Sie bitte aus. Anschließend gehen Sie mit dem Auftragsunterlagen zu der in ihrer Behörde benannten Siegelführenden Stelle, die sie wie im Kap. 2.3 beschrieben, identifiziert. DOI121 V Seite 5 von 29

6 2.2 Auftragserfassung Startseite Zur Auftragserfassung rufen Sie zunächst die Internetseite für den PKS-Auftrag auf. Benutzen Sie dazu folgende Adresse: Angaben zur Person Auf den PKS-Auftragsseiten füllen Sie zunächst die Felder mit den erforderlichen Angaben zu Ihrer Person aus. Achten Sie bitte darauf, dass alle mit einem Sternchen versehenen Felder sogenannte Pflichtfelder sind und ausgefüllt werden müssen. Bei einigen Teilnehmern werden Sie aufgefordert einen Voucher (Gutscheincode) einzugeben. Dieser Voucher berechtigt Sie in diesem Fall zur Beauftragung eines qualifizierten Zertifikates mit Abrechnung über eine zentrale Stelle. Hinweis: DOI121 V Seite 6 von 29

7 Bei diesem PKS Auftrag und dem damit beauftragen qualifizierten Signaturzertifikat handelt es sich um ein Zertifikat, das nur an eine natürliche Person ausgegeben werden darf. Dies bedeutet, dass das PKS Zertifikat Ihrer Person zugeordnet ist und nicht den Ländern. Aus diesem Grund müssen Sie bei dem Ausfüllen der Beauftragung Ihre persönlichen Daten angeben, wie beispielsweise Ihren aktuellen Wohnort. Bitte achten Sie darauf, dass die von Ihnen gemachten persönlichen Angaben (z.b. aktueller Wohnort) mit den Angaben ihres Ausweisdokuments (Deutscher Personalausweis oder internationaler Reisepass) übereinstimmen Ausweistyp: Anschließend wählen Sie den Ausweistyp, mit dem Sie sich später identifizieren möchten. In der Regel ist das der deutsche Personalausweis. Alternativ kann aber auch ein internationaler Reisepass zur Identifizierung verwendet werden. DOI121 V Seite 7 von 29

8 2.2.4 Ausweisdaten Im Anschluss an die Auswahl des Ausweistyps, werden Sie aufgefordert, die für die Identifizierung relevanten Ausweisdaten einzugeben. DOI121 V Seite 8 von 29

9 2.2.5 Erreichbarkeit Nach Eingabe der Ausweisdaten füllen Sie bitte die Felder zu Ihrer Erreichbarkeit aus. Hier müssen Sie zumindest den -Kontakt eintragen. DOI121 V Seite 9 von 29

10 2.2.6 Zertifikatslaufzeit und Telepasswort Bitte wählen Sie für die Laufzeit des Zertifikats einen Zeitraum von 3 Jahre aus. Des Weiteren geben Sie bitte Ihr persönliches Telepasswort als alphanumerische Zeichenfolge von mind. 8 und max. 16 Zeichen ein. Bitte halten Sie Ihr Telepasswort geheim und zeigen oder nennen es keinem Dritten. Sie benötigen Ihr Telepasswort später im Fall einer telefonischen Sperrung. DOI121 V Seite 10 von 29

11 2.2.7 Aufnahme in das Verzeichnis der abrufbaren Zertifikate: Kreuzen Sie bitte Nein an, wenn anhand der Zertifikatsnummer lediglich abgefragt werden soll, ob Ihr Zertifikat gültig ist oder nicht, ohne dass Details zum Inhalt des Zertifikats eingesehen werden können. Soll Ihr Zertifikat jedoch über eine Internetanbindung für jedermann öffentlich abrufbar vorgehalten werden, müssen Sie hier Ja ankreuzen. DOI121 V Seite 11 von 29

12 2.2.8 Sperrberechtigung: Bitte tragen Sie hier Ihre Organisation ein. Der Eintrag der Organisationseinheit ist optional möglich. DOI121 V Seite 12 von 29

13 2.2.9 Selbstbeschränkung: Es gibt die Möglichkeit den Einsatzzweck Ihres Zertifikats auf einen bestimmten Bereich zu beschränken. Eine Einschränkung kann als Attribut in Hauptzertifikat oder als qualifiziertes Attributszertifikat erfolgen. Klicken Sie auf Nein wenn Sie keine Selbstbeschränkung wünschen DOI121 V Seite 13 von 29

14 Wenn Sie eine Selbstbeschränkung wünschen, wählen Sie Ja und anschließend Bearbeiten, um den Text zur Beschränkung so einzugeben, wie er nachher im Zertifikat erscheinen soll. DOI121 V Seite 14 von 29

15 Übergabe der Karte: Bitte geben Sie nun die Lieferanschrift für die Signaturkarte ein. Gegebenenfalls ist schon eine zentrale Lieferanschrift voreingestellt. DOI121 V Seite 15 von 29

16 Rechnungsanschrift: Sollten Sie einen Auftrag mit Voucher ausgefüllt haben, so erscheint diese Seite nicht. Bei Aufträgen ohne Voucher müssen Sie hier die Rechnungsanschrift angeben. DOI121 V Seite 16 von 29

17 Übersicht der Auftragsdaten: Abschließend werden Ihnen Ihre eingegebenen Auftragsdaten noch einmal in einer Übersicht angezeigt. Über die Schaltfläche Weiter gelangen Sie zur Seite AGBs und Auftragsversand DOI121 V Seite 17 von 29

18 AGB und Auftragsversand: Bevor Sie auf dieser Seite die Auftragserfassung mit Hilfe der Schaltfläche Auftrag absenden abschließen, müssen Sie sich über einen Klick auf den roten Pfeil vor Allgemeine Geschäftsbedingungen Public Key Service über die AGBs informieren und die Anerkennung durch das entsprechend zu setzende Häkchen anzeigen. Abschließend klicken Sie bitte auf Auftrag absenden. Das System stellt Ihnen daraufhin ein Auftragsdokument und ein Formular BehördenIdent im pdf-format bereit. Drucken Sie diese Dokumente aus und unterschreiben Sie sie. Mit diesen Unterlagen können Sie den Registrierungsprozess per BehördenIdent-Verfahren starten. DOI121 V Seite 18 von 29

19 2.3 Registrieren zur Ausstellung des qualifizierten Zertifikats Um den Anforderungen aus dem Signaturgesetz genüge zu tragen, muss für die Ausgabe eines qualifizierten Zertifikats Ihre Identität im Rahmen eines annerkannten Registrationsverfahrens eindeutig festgestellt werden. Zur Registration und damit zu Ihrer eindeutigen Identifizierung wird das BehördenIdent-Verfahren eingesetzt. Sie führen den Prozess gemäß folgendem Ablauf durch: 1. Drucken Sie Ihren Auftrag aus und prüfen Sie alle Angaben nochmals auf Korrektheit. Handschriftliche Änderungen sind nicht zulässig. Bitte unterschreiben Sie den Auftrag zu diesem Zeitpunkt noch nicht. 2. Erstellen Sie eine Kopie Ihres Ausweisdokumentes, mit dem Sie die Beauftragung durchgeführt haben (Vor- und Rückseite). 3. Das BehördenIdent-Formular (siehe nächste Seite), den Auftrag sowie Ihr gültiges Ausweisdokument mit der vorher erstellten Kopie nehmen Sie bitte mit zur Identifikation. 4. Das BehördenIdent-Formular muss an entsprechender Stelle noch durch den Mitarbeiter der mit der Identitätsfeststellung beauftragten Stelle um das Ablaufdatum des Ausweises ergänzt werden. 5. Den Auftrag unterschreiben Sie bitte an den gekennzeichneten Stellen in Gegenwart eines Mitarbeiters der mit der Identitätsfeststellung beauftragten Stelle. 6. Danach fertigen Sie oder die Identifizierende Stelle bitte eine Kopie des kompletten und unterschriebenen Auftrages für Ihre Unterlagen an. 7. Nach der Identitätsfeststellung werden die Unterlagen durch den Mitarbeiter der mit der Identitätsfeststellung beauftragten Stelle an das Trust Center der Deutschen Telekom AG versendet. Verwenden Sie dazu bitte folgende Anschrift: Deutsche Telekom AG c/o T-Systems International GmbH Trust Center PKS / A Postfach Netphen 8. Zur weiteren Bearbeitung benötigt das TrustCenter der Deutschen Telekom AG folgende Unterlagen: - Den vollständigen unterschriebenen Auftrag mit der zugehörigen Kopie des Ausweisdokumentes. - Das ausgefüllte, unterschriebene und gesiegelte BehördenIdent-Formular 2.4 Erstellen und Versand des qualifizierten Zertifikats Der Zertifizierungsdiensteanbieter Deutsche Telekom AG (ZDA-DTAG) prüft die eingehenden Unterlagen inklusive der Dokumentation des BehördenIdent-Verfahrens. Sollten noch Informationen fehlen oder wurden im DOI121 V Seite 19 von 29

20 Antragsverfahren prozessuale Fehler gemacht, setzt sich ein Mitarbeiter des ZDA-DTAG mit Ihnen in Verbindung. Im Gutfall werden die Daten direkt verarbeitet und Ihr qualifiziertes Zertifikat erstellt. Dieses Zertifikat wird von der ZDA-DTAG mit Ihre Signaturkarte an die von Ihnen angegebene Adresse gesendet. DOI121 V Seite 20 von 29

21 3 Prüfung und Freischaltung des qualifizierten Zertifikats 3.1 Setzen der globalen Pin und der SigG-Pin Nach Aufruf des Programms erscheint folgender Eröffnungsdialog: Über die Schaltfläche Karte lesen werden zunächst die Karteninhalte, also Ihre persönlichen Zertifikate, ausgelesen und angezeigt. Hinweis: Im Feld Kartenleser wird der jeweils an Ihrem PC installierte Kartenlesertyp angezeigt. Im Beispiel ist das ein SCM Mikcrosystems Inc. SCR24x PCMCIA Smart Card Reader 0. DOI121 V Seite 21 von 29

22 Sollten Sie keinen Kartenlesegerät der Firma Kobil mit Tastatur nutzen beachten Sie bitte unbedingt folgenden Schritt: Unter dem Menüpunkt Extras gehen Sie auf Option, dort klicken Sie sichere PinEingabe an um den Haken zu entfernen und bestätigen den nun folgenden Hinweis mit OK. Prüfen Sie bitte zunächst, ob sich Ihre Karte im Auslieferungszustand befindet. Sollte dies nicht der Fall sein, können Sie die Karte nicht mehr für qualifizierte Signaturen verwenden und müssen eine neue Signaturkarte beantragen. Befindet sich die SigG Pin 1 Ihrer Signaturkarte, wie erwartet, im Auslieferungszustand (siehe Abbildung) so können Sie jetzt die Globale Pin und die SigG-Pin setzen.. DOI121 V Seite 22 von 29

23 In dem Kartenmanagementtool mytrustcardmanager müssen Sie im nächsten Schritt die Globale PIN setzen. Über den Menüpunkt Datei und anschließend Globale Pin 1 ändern können Sie die Globale Pin 1 ändern. Hierzu geben Sie bitte in der folgenden Maske zweimal die von Ihnen gewählte Globale Pin ein. Die Eingabe wird mit OK bestätigt und es erscheint die Bestätigung der erfolgreichen Pin-Vergabe. In dem Kartenmanagementtool mytrustcardmanager müssen Sie im nächsten Schritt die SigG PIN setzen. Über den Menüpunkt Datei und anschließend SigG Pin 1 ändern können Sie die SigG Pin 1 ändern. Hierzu geben Sie bitte in der folgenden Maske zweimal die von Ihnen gewählte SigG Pin ein. Diese muss mindestens sechsstellig sein. DOI121 V Seite 23 von 29

24 Die Eingabe wird mit OK bestätigt und es erscheint die Bestätigung der erfolgreichen Pin-Vergabe. Nach erfolgreicher Änderung der SigG Pin 1 müssen Sie die aktualisierte Konfiguration der Signaturkarte über den Menüpunkt Datei Karte lesen zunächst neu einlesen. Über die Menüpunkte Datei und anschließend SigG Pin 2 (PUK) zurücksetzen können Sie die SigG Pin 2 (PUK) vergeben. Dazu müssen Sie zunächst die SigG Pin 1, welche Sie zuvor vergeben haben, eingeben und dann zweimal eine individuell gewählte, identische, mindestens 8-stellige Zahl eingeben. DOI121 V Seite 24 von 29

25 Die Eingabe wird mit OK bestätigt und es erscheint die Bestätigung der erfolgreichen Pin-Vergabe. 3.2 Freischalten des qualifizierten Zertifikats Nachdem Sie das qualifizierte Zertifikat geprüft haben und die SIG Pin(s) Ihrer Signaturkarte gesetzt haben müssen Sie Ihr Zertifikat noch freischalten. Erst nach der Freischaltung Ihres qualifizierten Zertifikats können Sie mit Ihrer Signaturkarte rechtsverbindliche qualifizierte elektronische Signaturen (Unterschriften) leisten. DOI121 V Seite 25 von 29

26 Benutzen Sie für die Freischaltung bitte das mit der Signaturkarte übersendete Formular. Die Daten werden von dem ZDA-DTAG geprüft und im Gutfall wird das Zertifikat spätestens 24 Stunden nach Erhalt dsr Freischalteauftrags in der PKS-CA freigegeben und gemäß den Angaben aus dem Antrag veröffentlicht. Sie können Ihre Signaturkarte dann zur Erzeugung qualifizierter Signaturen einsetzen. Über die erfolgreiche Freischaltung werden Sie per informiert oder Sie erhalten bei Falscheingaben eine Aufforderung zur Wiederholung des Freischalteauftrags mit Hinweis auf die falsch eingegebenen Daten. DOI121 V Seite 26 von 29

27 4 Sperrung des qualifizierten Zertifikats 4.1 Sperren des qualifizierten Zertifikats durch den Inhaber Sie haben die Möglichkeit Ihr qualifiziertes Zertifikat jederzeit telefonisch zu sperren. Sie benötigen für diesen Vorgang nur die offizielle Rufnummer der PKS-Sperrhotline und Ihr bei der Zertifikatsbeantragung festgelegtes Telepasswort. Die Rufnummer der Sperrhotline ist: / (14 Ct/Minute aus dem Festnetz der Deutschen Telekom AG). Die aktuelle Rufnummer und Adresse des Sperrservice sind im Internet unter der URL bekanntgegeben. Die Sperrung Ihres Zertifikats müssen Sie immer bei dem Eintreten eines der folgenden Ereignisse beauftragen: DOI121 V Seite 27 von 29

28 Verlust des Schlüsselmaterials (in diesem Fall der Signaturkarte), Verdacht oder Erkenntnis über eine unberechtigte Nutzung des verwendeten Schlüsselmaterials, Verdacht oder Erkenntnis über einen erfolgreichen Angriff auf das verwendete Schlüsselmaterial und / oder die Erkenntnis über falsche Zertifikatsdaten. Das wahrscheinlichste Ereignis, dass eine Sperrung erfordert, ist der Verlust der Signaturkarte. Die beiden nächsten Ereignisse sind bei der Einhaltung von Sicherheitsanweisungen wie z.b.: kein Notieren der Pin (weder Pin 1 noch SigG Pin 1) keine Verwendung einer Trivial-Pin wie PIN der Signaturapplikation (SigG Pin1) ist nicht gleich der Pin der Netkey-Applikation (Pin 1) für die fortgeschrittene Signatur unwahrscheinlicher. Die Zertifikatsdaten werden von Ihnen schon bei der Übernahme des Zertifikats geprüft, so dass im Fall von falschen Zertifikatsinhalten das Zertifikat erst gar nicht freigeschaltet wird. Haben Sie einen der oberen oder einen anderen für Sie ausreichend kritischen Grund identifiziert Ihr Zertifikat sperren zu wollen, so müssen Sie gemäß folgender Vorgehensweise den Sperrprozess durchführen: 1. Anrufen der allgemeinen PKS-Sperrhotline (01805 / ) 2. Identifikation über Ihren Namen und Ihr bei der Beantragung des Zertifikats festgelegtes Telepasswort durch die PKS-Hotline 3. Verbale Bestätigung des Sperrwunsches Nach dieser Bestätigung erfolgt eine sofortige Sperrung des qualifizierten Zertifikats durch die Mitarbeiter der PKS-Sperrhotline und die Veröffentlichung in den unterschiedlichen Sperrlisten und Diensten. Alternativ zu der Sperrung über die Telefonschnittstelle, haben Sie noch die Möglichkeit das Zertifikat mit einem formlosen Anschreiben an den Zertifizierungsdiensteanbieter Deutsche Telekom AG zu sperren. Aus diesem Schreiben müssen das zu sperrende Zertifikat, d.h. Angabe der Kartennummer, der Karteninhaber und der explizite Sperrwunsch erkennbar sein. Dieser Auftrag muss von Ihnen persönlich unterschrieben werden, da auf dieser Basis die Identifikation des Teilnehmers erfolgt. Dieser Prozess ist als Backup zu sehen, für den Fall, dass Sie Ihr Telepasswort vergessen haben. DOI121 V Seite 28 von 29

29 4.2 Sperren von qualifizierten Zertifikaten durch sperrberechtigte Dritte Dem im Zertifikat aufgeführten Behörde steht die Möglichkeit zur Verfügung, das Zertifikat mit einem formlosen Anschreiben an den Zertifizierungsdiensteanbieter Deutsche Telekom AG zu sperren. Aus diesem Schreiben müssen das zu sperrende Zertifikat (z.b. identifizierbar über die bekannten Zertifikatsdaten), die sperrende Institution und der explizite Sperrwunsch erkennbar sein. Dieser Auftrag muss dann von einem vertretungsberechtigten Mitarbeiter persönlich unterschrieben und mit einem Dienstsiegel bestätigt werden. DOI121 V Seite 29 von 29