E-Government-Initiative für D und den neuen Personalausweis

Transkript

1 E-Government-Initiative für D und den neuen Personalausweis Sächsisches Staatsministerium der Justiz und für Europa Bürgerterminal: Fachkonzept eid Das Bundesministerium des Innern ist nicht verantwortlich für den Inhalt der Ergebnisdokumente, die im Rahmen der E-Government-Initiative für D und den neuen Personalausweis erstellt wurden. Deshalb werden die jeweils Verantwortlichen im Impressum auf der letzten Seite der Dokumente genannt. Sie stehen Ihnen für inhaltliche Fragen zur Verfügung.

2 Bürgerterminal: Fachkonzept eid Stabsstelle Staatsmodernisierung Projektgruppe V.5 Sächsisches Staatsministerium der Justiz und für Europa in Zusammenarbeit mit dem Zweckverband KISA (Kommunale Informationsverarbeitung Sachsen) Version: 0.9 Stand: Stand: Seite 1 von 31

3 Inhaltsverzeichnis 1 Einsatzszenario ZIELDEFINITION PROZESSBESCHREIBUNG Lokale Interaktion im Bürgerterminal Video-Sitzung mit dem gewählten Bürgerdienst IDENTIFIKATION DES BÜRGERS MITHILFE DER EID-FUNKTION DES NPA Technologieplanung ARCHITEKTUR BETRIEB EID-SERVER Berechtigungszertifikat TEMPORÄRES BÜRGERKONTO BEANTRAGUNGS- UND GENEHMIGUNGSPROZESS Projektplanung AUFGABENPAKETE TERMINPLANUNG Know How Aufbau SCHULUNG DER MITARBEITER TECHNISCHER SUPPORT RICHTLINIEN DES BSI VORGABEN DER VFB Komponenten TEMPORÄRES BÜRGERKONTO AUTENTAPP PIN-ÄNDERUNGSAPP Seite 2 von 31

4 6.4 KARTENLESER FACHVERFAHREN IDENTIFIZIERUNGSNACHWEIS HARDWARE-SICHERHEITSMODUL Integration Test AUFBAU TESTINFRASTRUKTUR TEST DER PROZESSE SICHERHEITSTESTS Produktivphase SYSTEMSERVICE WEITERE ROLLOUTS Seite 3 von 31

5 1 Einsatzszenario 1.1 Zieldefinition Mit dem Bürgerterminal (BT) wird ein weiterer Zugangskanal für den Bürger zur Verwaltung bereitgestellt. Zur Identifizierung des Bürgers soll neben den klassischen Verfahren des Vorzeigens oder Einscannen des Personalausweises auch die Online-Ausweisfunktion (eid) zum Einsatz kommen. Das Bürgerterminal ist hierfür mit einem Kartenleser inklusive PIN-Pad und Display ausgestattet (sog. Cat-K-Leser). Dieses Fachkonzept beschreibt die Integration der eid-funktion in das Bürgerterminal aus prozessualer Sicht. Es klärt offene Fragestellungen im Bereich der Soll-Architektur in Bezug auf die notwendigen Hardware- und Software-Komponenten für die Nutzung von eid. Des Weiteren werden die für den Einsatz von eid notwendigen Voraussetzungen (bspw. Zertifikate) und Aktivitäten (bspw. Projektplanung, Wissensaufbau, Test) beschrieben. 1.2 Prozessbeschreibung Aus der Prozesssicht heraus kann die Kommunikation zwischen Bürger und Behörde (respektive zukünftiger weiterer öffentlicher bzw. privater Instanzen) in zwei Sequenzen unterteilt werden: Seite 4 von 31

6 Abbildung 1: Teile des Kommunikationsprozesses Lokale Interaktion im Bürgerterminal Der Bürger initiiert eine Sitzung mit dem Bürgerterminal durch die Berührung des Bildschirmes. Daraufhin werden ihm die am Bürgerterminal verfügbaren Dienste zur Auswahl angeboten. In der ersten Ausbaustufe werden dies Verwaltungsverfahren der sächsischen Kommunen bzw. des zugehörigen Kreises sowie Verfahren des Landes sein. In zukünftigen Ausbauformen können hier auch Dienste anderer Institutionen, bspw. Krankenkassen oder Versicherungen, angeboten werden. Das Bürgerterminal zeigt dem Bürger Informationen über den Status der angebotenen Dienste an. Hierzu gehören zumindest die Zeiten der Verfügbarkeit des jeweiligen Fachverfahrens als statische Information. Idealerweise kann der Bürger auch den aktuellen Status einsehen, d.h. ob der jeweilige Bürgerdienst gerade besetzt ist, und wann er voraussichtlich wieder verfügbar sein wird. Nach Auswahl des entsprechenden Dienstes wird vom Bürgerterminal die entsprechende Videokonferenz-Verbindung zum Arbeitsplatz des Mitarbeiters aufgebaut und der Sachbearbeiter informiert. Diese Verbindung wird ausschließlich über das sächsische Landesnetz Seite 5 von 31

7 (SVN) hergestellt. Die Pilotkommunen sind über das kommunale Datennetz (KDN II), das Bestandteil des SVN ist, angebunden Video-Sitzung mit dem gewählten Bürgerdienst Der Mitarbeiter eröffnet nun die Videositzung. Hiermit verbunden übernimmt er die Steuerung der peripheren Geräte des Bürgerterminals. Dazu gehören die Anzeigeeinheit (Bildschirm), der DIN A4 Flachbett-Scanner, der Drucker Die für die Nutzung des neuen Personalausweises notwendigen Hardware-Komponenten des Bürgerterminals (Kartenleser mit PIN-Pad) werden durch die AutentApp (siehe hierzu Kapitel 6 gesteuert. Der Mitarbeiter startet die AutentApp mittelbar durch das Anwählen der Identifizierungsfunktion in einem Fachverfahren. Identifikation des Bürgers 1 Je nach Anliegen des Bürgers kann es notwendig sein, dass dieser seine Identität ausweisen muss. Hierzu bestehen grundsätzlich drei Möglichkeiten: Der Bürger ist dem Sachbearbeiter persönlich bekannt, und der Sachbearbeiter kann den Bürger aufgrund seiner audiovisuellen Merkmale über die Videositzung eindeutig identifizieren. Der Bürger ist im Besitz eines (klassischen) Personalausweises. Der Mitarbeiter wird den Bürger dann bitten, seinen Personalausweis unter den Scanner zu legen (nacheinander Vorder- und Rückseite). Der Mitarbeiter löst dann den Scan-Vorgang aus und lässt sich die Identität durch Vorlesen des eingescannten Ausweises vom Bürger bestätigen. Der Mitarbeiter legt das elektronische Dokument (PDF-A) nach Beendigung der Videositzung zur Akte. 2 1 Die hier dargestellten Möglichkeiten der Identifikation eines Bürgers beziehen sich auf den aktuellen Status der rechtlichen Rahmenbedingungen im Freistaat Sachsen und berücksichtigen dabei ausgewählte Anliegen, die im Rahmen der EU- Dienstleistungsrichtlinie Anwendung finden (insbesondere Aufzählungspunkt 2). Eine Übernahme der hier dargestellten Identifikationsprozesse durch andere Behörden ist daher auf die länderspezifischen Rahmenbedingungen zu prüfen. 2 Dieses Vorgehen wird auch gewählt, wenn der Bürger zwar einen neuen Personalausweis besitzt, die Online-Ausweisfunktion aber deaktiviert ist, oder er die Online- Ausweisfunktion nicht benutzen möchte. Seite 6 von 31

8 Der Bürger ist im Besitz des neuen Personalausweises und hat die Online- Ausweisfunktion (eid) eingeschaltet. Der Sachbearbeiter bittet den Bürger, seinen Personalausweis in den dafür vorgesehen Kartenleser zu stecken und durch Eingabe der sechsstelligen PIN zu bestätigen. Die ausgelesenen Daten werden zum Bearbeiterplatz übermittelt und dort angezeigt. Der letztgenannte Anwendungsfall zur Identifikation des Bürgers ist Gegenstand der näheren Betrachtung dieses Fachkonzepts (Abschnitt 1.3 ). Bearbeitung des Bürgeranliegens Für die weitere Bearbeitung des Bürgeranliegens können über das Bürgerterminals weitere Unterlagen, wie z.b. handschriftlich signierte Dokumente, eingescannt und Dokumente gedruckt werden. Erweiterte Möglichkeiten des npa, bspw. der Einsatz einer qualifizierten elektronischen Signatur (qes), werden in der ersten Ausbaustufe des Bürgerterminals nicht genutzt. Beendigung der Sitzung Bei Beendigung der Sitzung ist sicherzustellen, dass alle personenbeziehbaren Informationen am Bürgerterminal entfernt bzw. gelöscht werden. Hierzu gehören neben per eid übermittelten Daten auch im Scanner eingelegte Dokumente, über den Drucker erzeugte Dokumente, sowie der Ausweis im Kartenleser. Dies kann ggf. durch organisatorische Regelungen erfolgen. Grundsätzlich dürfen Daten aus dem npa, soweit diese im Anschluss nicht für einen fachlichen Prozess oder Nachweis notwendig sind, seitens der Verwaltung nicht weiterverwendet werden Identifikation des Bürgers mithilfe der eid-funktion des npa Zur Identifizierung wird die AutentApp (eid-client) sowie der AutentServer (eid-server) von Bremen Online Services (bos) genutzt. Der Prozess der Identifikation erfolgt entsprechend der nachfolgend dargestellten Abbildung 2. 3 Siehe hierzu auch 24 PauswG Seite 7 von 31

9 Abbildung 2: Ablauf der Identifizierung per eid Schritt 1: Der Bürger steckt seinen Ausweis in den vorgesehenen Schlitz des Kartenlesers. Daraufhin startet der Bürger den Identifikationsprozess durch Drücken einer Schaltfläche. Diese startet die AutentApp in Verbindung mit dem temporären Bürgerkonto. Schritt 2: Das temporäre Bürgerkonto leitet die Anfrage an den AutentServer weiter und erhält von diesem (nach Schritt 3) das Ergebnis Schritt 3: Im Bürgerterminal wird nun der eigentliche Bildschirmdialog zur Identifizierung mit folgenden vier Schritten durchlaufen. Diese werden nachfolgend fachlich näher beschrieben. Die Darstellung der Bildschirmdialoge erfolgt in Kapitel 6. a) Ausweisung der Behörde Zunächst werden dem Bürger die notwendigen Informationen über die anfragende Behörde angezeigt. Dabei werden auch Angaben zum Zweck der Übermittlung, zur Daten- Seite 8 von 31

10 schutzaufsicht, zur Datenschutzerklärung sowie zum Gültigkeitszeitraum des Berechtigungszertifikats der Behörde angezeigt. b) Von der Behörde angefragte Daten Danach werden dem Bürger die von der Behörde angefragten Daten angezeigt. Der Bürger kann in diesem Dialog einzelne Daten von der Übermittlung ausschließen bzw. zur Übermittlung einschließen. c) PIN-Eingabe Die Übertragung der gewählten Daten bestätigt der Bürger durch Eingabe seiner 6- stelligen PIN am Kartenleser des Bürgerterminals d) Übermittlung Im Einzelnen können die folgenden Informationen aus dem npa gelesen und dem Fachverfahren zur Verfügung gestellt werden: 1. Familienname zur Identifikation bestehender Vorgänge bzw. Neuanlage notwendig 2. Vornamen zur Identifikation bestehender Vorgänge bzw. Neuanlage notwendig 3. Tag der Geburt zur Identifikation bestehender Vorgänge bzw. Neuanlage sowie zur Feststellung der Rechts- und Geschäftsfähigkeit notwendig 4. Anschrift zur Identifikation bestehender Vorgänge bzw. Neuanlage sowie zur Feststellung der Zuständigkeit der Behörde notwendig 5. Abkürzung "D" für Bundesrepublik Deutschland Bei Verwaltungsdienstleistungen, z.b. im Rahmen der EU-DLR, muss das Land unterschieden werden. 6. Dokumentenart Unterscheidung, ob die Authentifizierung mittels npa oder eat (elektronischer Aufenthaltstitel) Bei Authentifizierung mittels eat zusätzlich: 7. Nebenbestimmungen Seite 9 von 31

11 Bei Verwaltungsdienstleistungen (z.b. im Gewerberecht) muss unterschieden werden, ob die Nebenbestimmungen Auflagen oder Beschränkungen enthalten. 8. die Abkürzung der Staatsangehörigkeit Bei Verwaltungsdienstleistungen (z.b. im Ausländerwesen) muss unterschieden werden, welche Staatsangehörigkeit(en) der Bürger besitzt. Schritt 4: Die genannten Informationen werden als PDF(A) mit Zeitstempel und eid- Transaktionsnummer an den Arbeitsplatz des Mitarbeiters übermittelt. Sie stehen dem Sachbearbeiter somit unveränderlich am Bildschirm zur Verfügung, können jedoch mittels copy+paste in andere Programme (bspw. Fachanwendungen) übertragen werdend. Seite 10 von 31

12 2 Technologieplanung 2.1 Architektur Die Komponenten zur Nutzung der eid-funktion am Bürgerterminal sind schematisch in Abbildung 3 dargestellt. Die einzelnen Komponenten sind in Kapitel 6 erläutert. Wesentlicher Bestandteil der Architektur ist das Modul Temporäres Bürgerkonto. Es kapselt die eid-funktionalität gegenüber den Fachverfahren und dem Identifizierungsnachweis über einfach zu handhabende Schnittstellen. Abbildung 3: Architekturschema der eid-komponenten des Bürgerterminals 2.2 Betrieb eid-server Zunächst ist die Nutzung eines eid-service geplant (ASP). Es soll der Service Governikus Autent der Bremen Online Services GmbH & Co KG (bos) eingesetzt werden. Sobald das SMJus über die Genehmigung für das Berechtigungszertifikat verfügt, kann bos das (technische) Berechtigungszertifikat bei einer BerCA beziehen (geplant: Deutsche Post Com GmbH). Seite 11 von 31

13 Bei häufiger Nutzung der eid-funktion in den Bürgerterminals (> Vorgänge im Jahr) kann der Betrieb eines eigenen eid-servers wirtschaftlich sein. Dies ist dann mit den gültigen Marktpreisen für den Kauf der Serversoftware zu kalkulieren. Für das Betreiben eines eid-servers sind spezielle Sicherheitsanforderungen an das Rechenzentrum zu erfüllen. Seite 12 von 31

14 3 Berechtigungszertifikat 3.1 Temporäres Bürgerkonto Nur Diensteanbieter mit einem klaren rechtlichen Auftrag haben die Erforderlichkeit, Daten aus dem Personalausweis zu erhalten. Die Vergabestelle für Berechtigungszertifikate (VfB) beim Bundesverwaltungsamt überprüft die Erforderlichkeit anhand eines Antrages. Bei positivem Prüfergebnis erteilt die VfB die Berechtigung in Form eines Berechtigungszertifikats. Prinzipiell ist für jedes Fachverfahren, das per eid übermittelte Daten aus dem Personalausweis verarbeiten soll, ein eigenes Berechtigungszertifikat zu beantragen. Für die Abwicklung von Anwendungen mit Identifikationsbedarf in der öffentlichen Verwaltung darf ein sogenanntes temporäres Bürgerkonto eingerichtet werden. Die vom Bürger freigegeben Daten werden nicht gespeichert, sondern nur temporär zur Abwicklung von Diensten verwendet. 4 Für den Betrieb des temporären Bürgerkontos im Bürgerterminal des Freistaats Sachsen ist genau ein Berechtigungszertifikat notwendig. Das Zertifikat muss die Genehmigung erteilen, folgende Felder aus dem Personalausweis zu übermitteln: Vornamen Anschrift Abkürzung "D" für Bundesrepublik Deutschland Familienname Tag der Geburt Dokumentenart Dies entspricht dem Umfang der (bereits erteilten) Berechtigungszertifikate für temporäre Bürgerkonten (bspw. des Niedersächsischen Ministeriums für Inneres und Sport). Für Fachverfahren, für die Bestimmungen des Ausländerrechts gelten, sind aus dem eat weitere Felder zu übermitteln: Nebenbestimmungen Staatsangehörigkeit(en) 4 VITAKO: Beantragung von Zertifikaten für das Auslesen von Daten aus dem neuen Personalausweis, Berlin 2011 Seite 13 von 31

15 Ein Vorschlag für die Nachweis der Erforderlichkeit nach 21 Abs. 1 S. 1 PAuswG und 78 Abs. 5 S. 3 Aufenthaltsgesetz liegt diesem Fachkonzept als Anlage bei. 3.2 Beantragungs- und Genehmigungsprozess Für die Erlangung des Berechtigungszertifikats für das temporäre Bürgerkonto sind folgende Schritte auszuführen: 1. Juristische Klärung, wer der Diensteanbieter für das temporäre Bürgerkonto im Bürgerterminal ist. 2. Klärung, ob ein IT-Sicherheitskonzept für das Bürgerterminal vorliegt, und nach welcher Methodik dieses erstellt wurde 3. Klärung, ob ein Datenschutzkonzept für das Bürgerterminal vorliegt, und nach welcher Methodik dieses erstellt wurde 4. Erstellung einer Beschreibung des Bürgerterminals/Bürgerkontos als automatisierter Verarbeitungsverfahren gemäß 10 Abs. 1 SächsDSG 5. Meldung des Verarbeitungsverfahrens an, und Abstimmung mit dem sächsischen Datenschutzbeauftragten 6. Ausfüllen der Formulare, Unterzeichnung durch einen Bevollmächtigten des SMJus, Versand an die Vergabestelle für Berechtigungszertifikate beim Bundesverwaltungsamt in Köln. 7. Nach Erhalt der Bescheides den eid-provider bos beauftragen, das (technische) Berechtigungszertifikat zu beziehen und einzuspielen. Für die verschlüsselte Kommunikation zwischen temporärem Bürgerkonto und eid-server sind ferner SSL-Zertifikate notwendig, die von jeder beliebigen BerCA bezogen werden können. Seite 14 von 31

16 4 Projektplanung Im Folgenden werden die notwendigen Aufgabenpakete dargestellt, die im direkten Zusammenhang mit der geplanten Nutzung der eid-funktion im Bürgerterminal stehen. In Bezug auf die zeitliche Planung ist die Beschränkung auf diese Aktivitäten nicht sinnvoll, da sowohl technische Abhängigkeiten zwischen eid und sonstigen Funktionen bestehen, als auch organisatorische Abhängigkeiten. Die hier vorgestellte Planung wurde im Hinblick auf den Zieltermin (Lieferung der BT an die beteiligten Pilotkommunen) aufgesetzt. 4.1 Aufgabenpakete Nachfolgend werden notwendige Aufgabenpakete dargestellt, die im Kontext der Nutzung der eid-funktion in unmittelbaren Zusammenhang stehen und für die Inbetriebnahme des BT Voraussetzungen sind: Fachkonzept Integration eid im Bürgerterminals Dies ist die Erstellung dieses Dokuments. Organisatorische und rechtliche Voraussetzungen In diesem Aufgabenpaket sind Aktivitäten zusammengefasst, welche die notwendigen organisatorischen und rechtlichen Voraussetzungen für den Pilotbetrieb des Bürgerterminals schaffen. Hierzu gehören im Einzelnen: o o o o o Vereinbarungen über die notwendigen SLAs zum Betrieb des Bürgerterminals mit dem Hersteller Beantragung und Erwerb des Berechtigungszertifikats Temporäres Bürgerkonto Vertragliche Vereinbarungen mit dem vorgesehenen eid-service-provider Vereinbarungen mit den ausgewählten Pilotkommunen (Aufstellungsort des Bürgerterminals, Anbindung an das kommunale Datennetz (KDN), Betrieb des Bearbeiter-Clients in der Kommune, Ansprechpartner vor Ort, etc.) Vereinbarungen mit dem Staatsbetrieb Sächsische Informatik Dienste als zentraler IT-Dienstleister hinsichtlich des Gesamtbetriebes Bürgerterminal Implementierung Seite 15 von 31

17 Zum Aufgabenpaket Implementierung gehören im Hinblick auf die eid-funktion unterstützende Aktivitäten im Bereich: o o o o Bürgerterminal-Client Bearbeiter-Client Integration der Autent-App / des Autent-Server Aufbau einer Testinfrastruktur Test, Schulung und Einführung In diesem Paket sind die erforderlichen Aktivitäten in Bezug auf den Test und Einführung sowie die Qualifizierung der Mitarbeiter in Bezug auf die Nutzung des Systems sowie in Bezug auf Administration und Betrieb zusammengefasst. Hierzu gehören: o o o o o Testkonzeption / Testfalldefinition Test Bürgerterminal CeBIT-Vorbereitung Erstellung, Schulungskonzept, Schulungsunterlagen Schulungsphase Betriebsübergabe Die Bereitstellung zum Pilotbetrieb bildet die letzte Aktivität vor dem Übergang in die Betriebsphase Seite 16 von 31

18 4.2 Terminplanung Für die vorgenannten Aufgabenpakete ist im Folgenden eine Meilensteinplanung dargestellt (Abbildung 4). Abbildung 4: Zeitplan für die Integration der Online-Ausweisfunktion in das Bürgerterminal Folgende Meilensteine (in rot) hierbei festgelegt: 1. Fertigstellung Fachkonzept 2. Bereitstellung zum Test 3. Systemabnahme nach Testdurchführung 4. Schulung der Mitarbeiter (Nutzer / Administratoren) durchgeführt 5. Aufnahme des Pilotbetriebes Seite 17 von 31

19 5 Know How Aufbau 5.1 Schulung der Mitarbeiter Die Mitarbeiter der Behörde, die die Kommunikation über das BT führen, müssen die Komponenten, Eigenschaften und Besonderheiten kennen, die zur Identifizierung des Bürgers per eid genutzt werden. Die Mitarbeiter vor Ort müssen in nahezu denselben Themen geschult werden Abstriche sind allenfalls bei den Kenntnissen über die Vorteile der Online- Ausweisfunktion möglich. Das Schulungskonzept für Mitarbeiter muss folgende Themen umfassen: Grundsätzlicher Ablauf bei Benutzung der Online-Ausweisfunktion Dieser Schulungsinhalt dient dem Aufbau des Grundverständnisses über die zu übermittelnden Datenfelder, dem Datenfluss und den Zusammenspielen der beteiligten Komponenten Ausweis, Kartenleser, AutentApp, eid-server, temporäres Bürgerkonto und Fachverfahren. Voraussetzungen zum Einsatz der eid-funktion am BT Der Mitarbeiter benötigt Kenntnisse über die Voraussetzungen (bspw. eid- Aktivierung, Kenntnis der PIN), um im Gespräch mit dem Bürger herausfinden zu können, ob der Bürger sich mit eid identifizieren kann, oder der Scanner benutzt werden muss. Handhabung von Ausweis, Kartenleser und AutentApp Der Mitarbeiter sollte nicht nur den Ablauf theoretisch kennen, sondern jeden Schritt der Identifizierung selbst mehrfach durchgeführt haben. Dieser Punkt der Schulung sollte auch Fehlerfälle (bspw. Eingabe einer falschen PIN) umfassen, damit der Mitarbeiter Fehlermeldungen, die dem Bürger angezeigt werden, richtig zuordnen kann. Für diesen Teil der Schulung sollte der Mitarbeiter seinen eigenen Personalausweis mit aktivierter eid-funktion nutzen, da sich wesentliche Fehlerfälle mit den Testausweisen nicht zeigen. Vorteile der Online-Ausweisfunktion und andere Einsatzmöglichkeiten Dieser Abschnitt der Mitarbeiterschulung enthält im Wesentlichen Argumente, warum Bürger die eid-funktion aktivieren und einsetzen sollten. Das beinhaltet Antworten auf die häufigsten Fragen, wie nach Anwendungsmöglichkeiten (neben dem BT) und Datensicherheit. Es genügt nicht, diese Inhalte einmalig zu schulen, sondern der Mitarbeiter sollte regelmäßig (bspw. alle drei Monate) über neue Anwendungen informiert werden. Nur dann kann er dem Bürger mit aktuellem Wissen Auskunft geben. Seite 18 von 31

20 5.2 Technischer Support Da das SMJus Herstellersupport mit eingekauft hat, und davon auszugehen ist, dass die Supportmitarbeiter des Herstellers das BT und deren eid-komponenten technisch ausreichend kennen, beschränken sich die Anforderungen zum Know-How-Aufbau zur Technik auf die Komponenten, die der Behördenmitarbeiter vor Ort kennen muss: Ausweislesegerät Der Mitarbeiter vor Ort muss erkennen können, ob das Ausweislesegerät im normalen Betriebszustand ist. Er ist zu unterrichten, welche Schritte bei fehlender Anzeige zu tun sind. Dasselbe gilt für die Anzeige einer Fehlermeldung im Display. AutentApp Bei gestörter Netzverbindung können Fehler auftreten, die zum Hängenbleiben oder Absturz der AutentApp führen. Der Mitarbeiter vor Ort muss erkennen können, wann die AutentApp nicht ordnungsgemäß funktioniert. Er ist ferner anzuleiten, mit welchen Schritten er die Funktionsfähigkeit der AutentApp wieder herstellen kann (bspw. durch Neustart des Bürgerterminals). 5.3 Richtlinien des BSI Das Wissen über die eid-richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) benötigt nahezu ausschließlich der Hersteller des Bürgerterminals. Für die Mitarbeiter von Behörden sind daher keine Schulungen zu diesem Thema vorzusehen. 5.4 Vorgaben der VfB Die Vorgaben überprüft die Vergabestelle für Berechtigungszertifikate (VfB) bei der Erteilung des Berechtigungszertifikats für das temporäre Bürgerkonto. Da das SMJus das Berechtigungszertifikat hält, trägt es die Verantwortung für die Einhaltung der Vorgaben. Für die Komponenten des Bürgerterminals, die der Freistaat Sachsen zur Verfügung stellt (bspw. Kartenleser, Temporäres Bürgerkonto), kann sie die Einhaltung der Vorgaben direkt steuern und gewährleisten. Keinen direkten Einfluss hat das SMJus auf die Verwendung der per eid übermittelten Daten. Dies obliegt dem jeweiligen Fachverfahren. Seite 19 von 31

21 6 Komponenten Dieses Kapitel beschreibt die Komponenten in Abschnitt 2.1, Abbildung 3). 6.1 Temporäres Bürgerkonto Der Begriff Temporäres Bürgerkonto ist doppelt belegt. Zum einen bezeichnet er den Verwendungszweck der aus dem Ausweis übermittelten Daten wiederzufinden im Nachweis der Erforderlichkeit (siehe Abschnitt 3.1). Zum anderen ist es der Name einer Softwarekomponente von bos, die die eid-funktionalität kapselt und von den Fachverfahren über einfach zu bedienende Schnittstellen anzusprechen ist in diesem Kapitel behandelt. Die Softwarekomponente Temporäres Bürgerkonto wurde entwickelt, um mit einem einzigen Berechtigungszertifikat verschiedene Fachverfahren zu bedienen. Sie gibt die aus dem Ausweis zu übermittelnden Daten direkt an das Fachverfahren weiter ohne Zwischenspeicherung. Die Komponente enthält logisch die AutentApp. 6.2 AutentApp Die AutentApp ist das Programm, das auf dem Bürgerterminal die Funktionen der staatlichen AusweisApp erfüllt. Die AutenApp wird aufgerufen und erscheint in einem separaten Fenster auf dem Bildschirm des Bürgerterminals, sobald das Fachverfahren die Identifikation per eid beim Temporären Bürgerkonto anfordert. In diesem Moment bittet der Verwaltungsmitarbeiter den Bürger, den Personalausweis in den Kartenleser zu stecken. Die AutentApp führt den Bürger durch die folgenden Prozessschritte: 1. Anzeige der Daten des Berechtigungszertifikats an (Abbildung 5). 2. Ab- oder Auswählen der angefragten Daten, durch mit Antippen auf dem Touchscreen (Abbildung 6). 3. Eingabe der eid-pin auf der Tastatur des Kartenlesers Bei richtiger Eingabe der PIN übermittelt die AutentApp die Daten über das Temporäre Bürgerkonto an die Fachanwendung. Am Ende des Prozesses bittet der Mitarbeiter den Bürger, den Ausweis aus dem Kartenleser zu nehmen. Seite 20 von 31

22 Abbildung 5: Anzeige des Berechtigungszertifikats (exemplarisch) Seite 21 von 31

23 Abbildung 6: Auswahl der zu übermittelnden Felder (exemplarisch) Abbildung 7: Eingabe der eid-pin (exemplarisch) 6.3 PIN-ÄnderungsApp Dem Bürger wird auf der Startseite des Bürgerterminals eine Schaltfläche mit der Beschriftung eid-pin ändern angeboten. Bei Anwahl startet die PIN-ÄnderungsApp, mit der der Bürger die eid-pin seines Ausweises ändern kann (Abbildung 8). Dies schließt auch das Seite 22 von 31

24 erstmalige Setzen der sechsstelligen PIN ein; dazu benötigt er die Kenntnis der fünfstelligen Transport-PIN. Abbildung 8: PIN-ÄnderungsApp (exemplarisch) Die PIN-ÄnderungsApp quittiert die erfolgreiche PIN-Änderung mit einer Meldung (Abbildung 9). Abbildung 9: Quittungsmeldung (exemplarisch) 6.4 Kartenleser Am Bürgerterminal wird ein Cat-K-Kartenleser (Komfortleser) montiert, der sowohl mit kontaktbehafteten (wie herkömmliche Signaturkarten) als auch mit kontaktlosen Karten kommunizieren kann. Der einzig verfügbare Cat-K-Kartenleser mit BSI-Zertifizierung ist derzeit: cyberjack RFID komfort von REINER Kartengeräte GmbH & Co. KG Seite 23 von 31

25 Da das Gerät für den Einsatz als Tischgerät vorgesehen ist, muss es in geeigneter Weise auf der Frontplatte des Bürgerterminals angebracht werden. Dabei ist darauf zu achten, dass der Schlitz für kontaktlose Karten leicht zugänglich ist. Dem Bürger muss es möglich sein, seinen Personalausweis leicht in den Leser hineinzustecken und ebenso leicht wieder herauszunehmen. Der nicht benötigte Schlitz für kontaktlose Karten ist zu verschließen. Bei der Durchführung der Änderungen am Leser (Befestigung, Schließen des Schlitzes) ist darauf zu achten, dass die BSI-Zertifizierung des Gerätes (BSI-K-TR ) bestehen bleibt. 6.5 Fachverfahren Die Fachverfahren stellen jeweils eine Software bereit, die in der Lage ist, die Schnittstellen des Temporären Bürgerkontos zu bedienen und zu lesen. 6.6 Identifizierungsnachweis In vielen Fällen ist es notwendig, den Bürger im Rahmen eines Fachprozesses zu identifizieren, jedoch ohne das Fachverfahren zu starten. Dies ist insbesondere der Fall, wenn die erfolgte Identifizierung nachzuweisen ist. Wie in Abschnitt 1.3 dargestellt startet der Mitarbeiter die Komponente Identifizierungsnachweis. Diese fordert beim Temporären Bürgerkonto die Identifizierung per eid an. Nach erfolgreicher Datenübermittlung erhält der Mitarbeiter ein PDF(A), das er zu den Akten legen kann. 6.7 Hardware-Sicherheitsmodul Ein Hardware-Sicherheitsmodul (HSM) ist ein Gerät zur sicheren Ausführung kryptografischer Operationen. Im Kontext des Einsatzes der eid-funktion wird ein HSM als Bestandteil des eid-servers benötigt. Da das SMJus derzeit keinen eigenen eid-server aufbauen wird, muss kein HSM beschafft werden. Seite 24 von 31

26 7 Integration Die Integration der eid-funktionalität in das Bürgerterminal erfolgt wie in Abbildung Abbildung 3 dargestellt: Gekapselt durch das Temporäre Bürgerkonto. Die technischen Details zur Integration finden sich in der Systemübersicht Temporaeres Bürgerkonto (siehe Anlage). Bei der Ausgestaltung der Fachverfahren ist zu beachten, dass sie dem Mitarbeiter zunächst die Information geben, dass der Bürger zuerst den Ausweis in das Kartenlesegerät stecken soll. Anschließend startet der Mitarbeiter die Anforderung der Datenübermittlung, und auf Seiten des Bürgers erscheint die AutentApp. Ist der Ausweis nicht von Beginn an eingesteckt, stellt die Software innerhalb weniger Sekunden ein Kommunikationsproblem fest, und der Identifizierungsvorgang wird abgebrochen. Seite 25 von 31

27 8 Test Die im Folgenden dargestellten Ausführungen beziehen sich hauptsächlich auf die funktionalen Tests zur Prüfung der korrekten Funktionsfähigkeit der Online-Ausweisfunktion am Bürgerterminal. Es wird davon ausgegangen, dass weitere Tests (Modultest, Integrationstests) im Vorfeld durch den Hersteller (ekiosk) erfolgreich durchgeführt werden/wurden. 8.1 Aufbau Testinfrastruktur bos stellt zur Durchführung von Tests der relevanten Komponenten AutentApp, AutentServer, npa) eine Testinfrastruktur inklusive Testausweisen zur Verfügung, welche zur Durchführung der Tests mit den Herstellerkomponenten (BT, Server, Bearbeiter-Client) zu integrieren sind. Da diese Testinfrastruktur bereits für die Durchführung von Integrationstests notwendig ist, kann diese idealerweise vom Hersteller des BT (ekiosk) übernommen bzw. adaptiert werden. 8.2 Test der Prozesse Grundlage zum Test der Prozesse ist die Definition von Testfällen. Es empfiehlt sich, für die zu erprobenden npa-spezifischen Komponenten Testfälle so zu beschreiben, dass sie in den gesamten funktionalen Testkontext integriert werden können. Abbildung 10: Einordnung des Testfalls zur Identifizierung mit Online-Ausweisfunktion Seite 26 von 31

28 Die Konzeption der Testfälle baut auf den in der Leistungsbeschreibung BT, Fachkonzept BT definierten Anforderungen auf. Jeder Testfall sollte folgend Informationen enthalten: Merkmal Ursprung der Information Beschreibung Beispiel Testfall ID Definition Eindeutige Identifikation des Testfalls TF-FUNC-nPA-0002a Testfall Beschreibung Definition Beschreibung des Testfalls in Prosa. Herausstellung der Ziele dieses Testfalls. Dieser Test prüft das Systemverhalten bei Eingabe einer falschen PIN. Testfall Ablauf Beschreibung Definition Beschreibung der Teststeps des Testfalls 1) falsche PIN eingeben 2) Senden der PIN 3) Prüfen der Rückmeldung Testphase / Testkategorie Definition Identifiziert zu welcher Testphase bzw. zu welcher Testkategorie ein Testfall gehört Funktionstest Testklasse Definition Beschreibt die Klasse des Testfalls nach ISTQB. Dynamisch-funktonaler Test Referenz Anforderung Definition Es muss eine eindeutige Verknüpfung zu einer Anforderung spezifiziert werden. Fachkonzept_BT Kap Identität klären Referenz Komponente Definition Nach Systemdesign und Systemarchitektur kann nun auch konkret eine (oder mehrere) Komponente dem Testfall zugeordnet werden. Persistencelayer Verknüpfung Definition Gibt etwaige Verknüpfungen zu anderen Testfällen an. Testrahmen Definition Es muss spezifiziert werden, welchen Werkzeuge benötigt werden. Testinfrastruktur Definition Es ist zu spezifizieren, welche Testinfrastruktur (u.a. Testumgebung) benötigt wird TF-FUNC-nPA-0001 TF-FUNC-nPA-0004 Funktionaler Testtreiber Testumgebung 01 Test-Eingabe- Daten Definition Beschreibt die konkreten zu verwendenden Test-Eingabe- Daten. PIN = Test Daten Definition Beschreibt die Datenbasis, die benötigt wird Leere Datenbank Vorbedingung Definition Jeder Testfall geht von einem Anwendung ist geladen, Da- Seite 27 von 31

29 bestimmten Zustand des Testobjekts aus. Dieser ist zu spezifizieren. Ferner können bestimmte Abhängigkeiten zu anderen Testfällen bestehen. tenbank ist verknüpft, Testfall xyz wurde erfolgreich ausgeführt Randbedingungen Definition Diverse Testfälle benötigen bestimmte Randbedingungen. Diese sind zu spezifizieren. Keine Last während des Tests. Erwartetes Ergebnis Definition In den meisten funktionalen und nicht-funktionalen Tests prüft man ein erwartetes Verhalten. Das muss spezifiziert werden. Lediglich in bestimmten Testfällen eruiert man das Verhalten des Testobjekts ohne ein bestimmt erwartetes Ergebnis. Bürger und Bearbeiter erhalten Hinweismeldung Falsche PIN eingegeben Status / Historie Testfall Ausführung Wie ist der aktuelle Status des Testfalls? Ist er implementiert? Benötigt er noch weitere Informationen? Implementiert Historie Ausführung Beschreibt den Lebenslauf des Testfalls. Wann wurde er ausgeführt? Mit welchem Status? Letzter Lauf: TR_004_111201, Status: OK 8.3 Sicherheitstests Entsprechend der Anforderungen aus dem Fachkonzept sind im Rahmen von Sicherheitstests im Wesentlichen die Anforderungen an den Datenschutz zu überprüfen. Prüfungsgrundlage bildet das IT-Sicherheitskonzept des Herstellers ekiosk. Die Durchführung eines IT-Security-Audits entlang der BSI-Standards des Bundes für das Gesamtsystem ist eine weitere im Rahmen der Sicherheitstests empfohlene Maßnahme. Seite 28 von 31

30 9 Produktivphase Die Produktivphase des BT ist zunächst als Pilotbetrieb ausgelegt. Mit insgesamt fünf Kommunen sollen in einer zwei-jährigen Pilotierungsphase die Verwendung des BT unter Kosten- und Nutzenaspekten für den Bürger und die Kommunen erprobt werden. Die Ergebnisse werden dann in einer Reviewphase einer Analyse unterzogen, an deren Ende die künftigen Rahmenbedingungen für die weitere Verbreitung des BT im Freistaat Sachsen festgelegt werden. Auch während der Pilotierung sollen sinnvolle Verbesserungen, Optimierungen am BT hinsichtlich Technik, Software und Prozess vorgenommen werden. Hierzu empfiehlt es sich, ein Anforderungsmanagement zusammen mit den beteiligten Kommunen aufzusetzen. In regelmäßigen Statusbesprechungen können dann eingehende Anforderungen gemeinsam bewertet werden. Die primäre Zielsetzung hierbei sollte sein, das BT als gemeinsamen Standard weiter zu entwickeln. Individuelle Erweiterungen sind im Einzelfall mit der Beteiligten Kommune abzustimmen und von der Standardentwicklung im Hinblick auf Kosten, Betrieb, Wartung und Pflege abzugrenzen. In der folgenden Grafik ist der zeitliche Ablauf dargestellt Abbildung 11: Zeitliche Planung der Pilotierung BT Seite 29 von 31

31 9.1 Systemservice Um einen reibungslosen Betrieb der eid-funktion im BT zu gewährleisten, ist die Mitwirkung verschiedener Gruppen notwendig: Systemlieferant des BT Der Systemservice während der Pilotierung des BT ist zunächst auf die 5 Pilotkommunen ausgelegt. Er umfasst die Pflege der Systemkonfiguration inkl. Software-Update, In Bezug auf die im BT integrierte SW zur Authentifizierung des Bürgers mittels des npa (AutentApp) sind ebenfalls entsprechende SW-Updates zu berücksichtigen. regelmäßige Systemsicherungen, Fehlerbehebung der SW-Komponenten des BT sowie ggf. Austausch von defekten Hardwarekomponenten. (Im Kontext der eid-funktion speziell der Kartenleser) Neben dem BT selbst gilt dies auch für den BT Client (Bearbeiterplatz) selbst. Zu beachten hierbei ist, dass dieser Client in der IT-Infrastruktur der jeweiligen Kommune betrieben wird, die von Fall zu Fall abweichen kann. Vor Ort Betreuung des BT durch die Kommune Folgende Aufgaben müssen vor Ort wahrgenommen werden: Befüllung des Druckers mit Papier und Toner Reinigung des Bildschirmes, des Telefonhörers, der Ablagefläche, des Scan- Vorlageglases sowie der Gehäuse des Terminals, des Druckers und des Scanners. Reinigung der Türen, des Fußbodens und bei Bedarf der Fenster. Darüber hinaus sind weitere Aufgaben (siehe hierzu Kap. 6.2), wie zum Beispiel Hochfahren/Neustart des BT ggf. wahrzunehmen. Anwenderbetreuung des BT Die Anwenderbetreuung des BT übernimmt den 1st Level-Support (telefonisch) und klärt alle fachlichen Fragestellungen, Technische Fragestellungen werden an den 2nd Level Support (Systemlieferant BT) weitergeleitet. Der 1st Level-Support beantwortet auch die Seite 30 von 31

32 Fragen hinsichtlich der Authentifizierung mittels npa. Dies umfasst die Nutzung der AutentApp (siehe hierzu Kap. Fehler! Verweisquelle konnte nicht gefunden werden. ff) eid Service Provider Für die Softwarekomponenten (AutentApp) zur Nutzung der eid Funktion ist der eid Service Provider auf der Ebene des 3rd Level Supports einzubinden. Die Zeiten für Wartung und Support, Reaktionszeiten, Wiederherstellungszeiten sowie Verfügbarkeit sind im Folgenden zusammengefasst: Betriebszeiten: 1st Level Support: 2nd Level Support: Reaktionszeit 1st Level Mo Fr 7.00 bis Uhr (ohne ges. Feiertage) Mo Fr 7.00 bis Uhr (ohne ges. Feiertage) Mo Fr 7.00 bis Uhr (ohne ges. Feiertage) max. 4 Stunden Reaktionszeit 2nd Level max. 24 Stunden Wiederherstellungszeit Wiederherstellungszeit Wartungszeiten Verfügbarkeit max. 8 Stunden (Fernwartung) bei vor Ort Service max. 5 Werktage (Richtwert) nach Abstimmung mit mindestens 7 Tagen Vorlauf 98,5 % der Betriebszeit (pro BT max. 4,32 Stunden Ausfall je Monat 9.2 Weitere Rollouts Im Rahmen der Pilotierungsphase sind zunächst keine weiteren Rollouts geplant. Es ist jedoch nicht ausgeschlossen, dass einzelne weitere Kommunen bei Bedarf aufgenommen werden. Seite 31 von 31

33 Herausgeber Bundesministerium des Innern IT-Stab, Referat IT4 Alt-Moabit 101 D, Berlin Bezugsquelle Bundesministerium des Innern Internet: und Tel.: +49(0) Fax: +49(0) Veröffentlicht Juni 2013 HINWEIS Das Bundesministerium des Innern ist nicht verantwortlich für den Inhalt der Ergebnisdokumente, die im Rahmen der E-Government-Initiative für D und den neuen Personalausweis erstellt wurden. Bitte wenden Sie sich bei inhaltlichen Fragen direkt an die hier genannten Ansprechpartner. Verantwortlich für den Inhalt dieses Ergebnisdokumentes Sächsisches Staatsministerium der Justiz und für Europa Frau Katrin Morgenstern Projektleiterin Moderne Bürgerdienste Wilhelm-Buck-Straße 4, Dresden Internet: Tel.: +49 (0) Diese Veröffentlichung ist Teil der Öffentlichkeitsarbeit der Bundesregierung. Sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt.