Der elektronische Personalausweis. Andreas Reisen

Transkript

1 Andreas Reisen Referatsleiter Pass- und Ausweiswesen, Identifizierungssysteme, Bundesmelderegister Bundesministerium des Innern 12. Deutscher Verwaltungskongress Effizienter Staat 2009 Berlin, 27. Mai 2009

2 ab 01. November 2010 Sichtausweis Elektronische Funktionen Immer (verpflichtend): - Digitales Lichtbild (nur für zur Identitätsfeststellung berechtigte Behörden, z.b. Polizei und Grenzkontrolle) Der neue Personalausweis vereint den herkömmlichen Ausweis und die drei neuen elektronischen Funktionen in Scheckkartenformat Auf Wunsch (in der Gebühr enthalten): - Internetausweis (Name, Anschrift, Geburtstag, etc.) - 2 Fingerabdrücke (nur für zur Identitätsfeststellung berechtigte Behörden, z.b. Polizei und Grenzkontrolle) Auf Wunsch (mit Zusatzkosten): - Qualifizierte elektronische Signatur

3 ...ist sicher - RF-Prozessorchip ist vielseitig verwendbar Kurze Reichweite Starke Transportverschlüsselung - Starke kryptografische Verfahren im Chip: Abgeschottete Chipbereiche für Biometrie und elektronischen Identitätsnachweis Kein Auslesen ohne Berechtigungszertifikat Kann nicht geklont werden - Kryptografie Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) geprüfte Verfahren Algorithmen sind updatefähig PIN kann geändert werden - Grundsatz der gegenseitigen Authentisierung

4 und dessen Gesamt-Sicherheitsinfrastruktur Ebene 3 Root-CA Komponenten der Public Key Infrastructure Document Signer DVCA (Ausweisbehörden) Vergabestelle für Berechtigungszertifikate + Sperrlistenbetreiber DVCA (E-Business, E-Government) DVCA (Kontrollbehörden) Ebene 2 Hersteller des Personalausweises Personalausweisbehörden Diensteanbieter E-Government E-Business Government Business Kontrollbehörden Ebene 1 Ebene 0 Bürgerinnen und Bürger Hinweis: aus Gründen der Übersichtlichkeit wurden zw. Ebene 1 und Root-CA die Beziehungen nicht eingezeichnet.

5 Bürger Personalausweisbehörde Beantragung + Erfassung Erfassungssystem Änderungsdienst Sperrdiensthotline Empfang der Sperrkennwörter von dem Ausweishersteller Sperrsystem Empfang & Ausgabe Verwaltungssystem Empfang der elektronischen Personalausweise von dem Ausweishersteller Änderungssystem Signatur-/ Zertifikatsanfragen EAC-Box Visualisierungsterminal inkl. Lesegerät Signatur-/ Zertifikatsanfragen Übermittlung der erfassten Daten an den Ausweishersteller Übermittlung von Sperrkennwörtern an den Sperrlistenbetreiber Zertifikatsanfragen an DVCA für Ausweisbehörden

6 auch der Diensteanbieter weist sich aus Bundesverwaltungsamt Vergabestelle für Berechtigungszertifikate Verwaltungsverfahren 5. 6.a Antrag auf Berechtigung 4. Antrag Zertifikate zu Marktpreisen Antragseingang Antragsprüfung (formell & inhaltlich) Diensteanbieter (DA) Entscheidung Gebührenstelle B Gebühr für 6.b Verwaltungsakt Bescheid (inkl. Gebühren 7. für Verwaltungsakt) B f eid-server Sperrlistenbetreiber Einfache Umrechung der Sperrkennwörter der Sperrliste für Trustcenter 9. Vorlage Berechtigung 10.a Abruf von DAspezifischen Sperrlisten 10.b Abruf von Berechtigungszertifikaten 8. Vorlage Berechtigung und Bezahlung Akkreditierungsstelle BSI Umrechnung in Diensteanbieterspezifische Sperrmerkmale Abruf von Berechtigungszertifikaten f Akkreditierung Öff. Schlüssel Root CVCA Sperrmerkmale Berechtigung DV-Zertifikat Trustcenter

7 Support am Beispiel der Bürger-Hotline First Level Support Anfragen zum elektronischen PA Servicenummer BürgerService epa Lösungsquote > 60 % Bürgerinnen und Bürger Second Level Support Weiterleitung nicht beantworteter Anfragen Bundesministerium des Innern / BSI Personalausweisbehörden/ Auslandsvertretungen Support-Hotline des Herstellers des Bürgerclients Anfragen zum elektronischen Personalausweis Support- Hotline Diensteanbieter Zertifizierungsdiensteanbieter (ZDA) Support-Hotline Vergabestelle f. Berechtigungszertifikate/ Sperrdienst Support-Hotline Kartenleser- Hersteller Support Bundesdruckerei Standardverfahren: Nicht-Standardverfahren: Über BürgerService epa Über BürgerService epa Standardverfahren: Direkt an Second Level Support Nicht-Standardverfahren: Direkt an Second Level Support

8 wird zuvor ausführlich erprobt Labor- / Funktionstests Pilotierungen Anwendungs- und Feldtest Entwicklung gegen Spezifikation - Test elektronischer Identitätsnachweis - Test Zusammenspiel der Hardware- und Software- Komponenten - Konformitätstest Spezifikation - service-bw Portal Baden- Württemberg - Campuskarte TU Darmstadt - Zentral koordinierter Anwendungstest für ausgewählte Teilnehmer, ab Oktober Offener Anwendungstest für weitere Interessenten, ab Dezember Feldtest in Personalausweisbehörden, ab 1. Quartal /2008 Spezifikationen 11/2008 Evaluierte Spezifikationen durch Funktionserprobung 06/2009 Nachweis Interoperabilität und Nutzungsgrad 10/2010 Stabiles Gesamtverfahren

9 Der Anwendungstest hat folgende Ziele - Frühzeitige Einbindung der Diensteanbieter für E- Business / E-Government bei der Erprobung der Technik - Test des elektronischen Identitätsnachweises für E- Business- und E-Government-Dienste, Automaten und Offline-Systeme - Test der Public Key Infrastructure (Berechtigungszertifikate + Sperrmanagement) - Breite Teilnahme von Diensteanbietern unterschiedlicher Branchen und viele potentielle Personalausweisinhaber als Probanden - Optimierung der erforderlichen Supportstrukturen für das Gesamtverfahren Schaffung einer validen Anzahl attraktiver Einsatzmöglichkeiten für den elektronischen Personalausweis, die ab dem verfügbar sind

10 Der Anwendungstest hat folgende Testszenarien - Altersverifikation (Zugriff auf altersbeschränkte Dienstleistungen) - Registrierung für Dienstleistungen, Portale oder Internetbenutzerkonten - Registrierung für Dienstleistungen unter Verwendung des Pseudonyms - Automatisches Ausfüllen von Web-Formularen - E-Government-Suiten im virtuellen Rathaus - Eröffnung eines Benutzerkontos und Anmeldung am sicheren D -Dienst - Zugangskontrolle (z.b. Zugang zum Firmengelände, Flughafen) - Online-Beantragung einer qualifizierten elektronischen Signatur - Internetservices für behinderte Mitmenschen

11 Der offene Anwendungstest unterstützt die Teilnehmer Alle registrierten Testteilnehmer erhalten kostenfrei: - Informationsbroschüren und Antworten zu FAQ - Informationen über bekannte Anbieter, Bezugsquellen von eid-servern, Kartenlesegeräten, Testkarten und Support - Bürger-Client als browserbasierte Anwendungssoftware - ecard-api-framework-spezifikation - Weitere technische Richtlinien - Testberechtigungszertifikate, Testsperrlisten - Betreutes Internetforum zum Erfahrungsaustausch Systemkomponenten auf eigene Kosten: - eid-server

12 Der zentral koordinierte Anwendungstest bietet zusätzliche Vorteile Zusätzliche Vorteile durch Teilnahme am zentral koordinierten Test: - Kostenlose Bereitstellung der wichtigsten Systemkomponenten - eid-server - Bürger-Client - Support durch Telefonhotline für technische Beratung für Anwendungstestteilnehmer und deren Testkunden - Mögliche Teilnahme an einem geplanten Anwendungsbeirates

13 Der Anwendungstest fordert den Diensteanbieter Eigenbeitrag zum zentralen Anwendungstest: - Mobilisierung und Betreuung der Probanden (Kunden, Mitarbeiter, ) - Testauswertung, Berichterstattung, Veröffentlichung der Ergebnisse Voraussetzungen für Teilnahme am zentralen Anwendungstest: - Bereitstellung des Dienstes ab im Wirksystem - Zusammenarbeit und aktive Unterstützung in der Einführungsphase / Marketingkampagnen - Vorstands- bzw. Leitungsunterstützung

14 IT-Sicherheitskits für Bürgerinnen und Bürger Die Bundesregierung plant über das IT-Investitionsprogramm die Ausstattung privater Haushalte mit IT-Sicherheitskits - Bestandteile - Kartenleser - Anwendersoftware (Middleware auf Basis des ecardapi- Frameworks des BSI) - Gutscheine für qualifizierte elektronische Zertifikate - ggf. Sicherheitssoftware - Einsatzmöglichkeiten - Elektronischer Personalausweis - Elektronische Gesundheitskarte - ELSTER-Stick / ELSTER-Softzertifikate - Signaturkarten aller deutschen SigG-TrustCenter - Beschaffung und Ausgabe in Konzeptionsphase - Weitere Informationen zum aktuellen Stand auf

15 kommt ab 01.November 2010 Gesetz Ende 2009 ist durch den Bundesrat gebilligt Rechtsverordnung zum elektronischen Personalausweis Anwendertest und Feldtest April 2009 Oktober 2009 Anfang 2010 Teilnehmer am zentral koordinierten Test Komponenten und Beginn Anwendertest Beginn Feldtest in PA-Behörden Rollout Mai 2010 Beantragung von Berechtigungszertifikaten 1. November 2010 Einführung des el. Personalausweises

16 Herzlichen Dank für Ihre Aufmerksamkeit! Andreas Reisen Bundesministerium des Innern

17 Anhang Komponenten des elektronischen Personalausweises

18 besteht aus einer Vielzahl an Komponenten ecard Lesegeräte Middleware (ecard-api) Berechtigungszertifikate / Sperrlisten online offline Chip-OS

19 die ecard und Lesegeräte ecard Chip-OS Lesegeräte - Kartenkörper: optische Sicherheitsmerkmale wie z.b. Hologramme - Chipauthentisierung: Chip muss Authentizität beweisen (Fälschen wird entdeckt /Klonen nicht möglich) - 2-Faktor-Authentisierung: Nachweis Besitz elektronischer Personalausweis + Kenntnis der PIN - PACE (Password Authenticated Connection Establishment): Kryptografisches Protokoll zur sicheren PIN-basierten Authentisierung - Terminal Authentication: Lesegerät muss sich authentisieren, um Zugriff auf Daten zu erhalten - Vertrauliche Kommunikation: Zwischen Chip und Lesegerät wird stets ein verschlüsselter Kanal aufgebaut - Verhinderung von Denial-of-Service Attacken: Übersendung falscher PINs sperrt den epa nicht endgültig (über Zugangsnummer reaktivierbar)

20 die Middleware und das ecard-api Framework Middleware ecard-api Framework Bürgerclient: - Software auf Seiten der Bürgerin/des Bürgers zur Nutzung der elektronischen Funktionalitäten - Ermöglicht standardisierten Zugriff auf die elektronischen Funktionalitäten - Anzeige Berechtigungszertifikat und Felder, die der Diensteanbieter auslesen möchte - Bürgerin/Bürger kann durch Auskreuzen die zu übermittelnden Daten auswählen eid-server: - Software-/Hardwarekomponente auf Seiten des Diensteanbieters - Bietet den Anwendungen eine standardisierte Schnittstelle zur einfachen Integration - Verfügt über ein Berechtigungszertifikat und ggf. eine Sperrliste

21 ist zukunftssicher Beliebige Anwendungen für elektronischen Identitätsnachweis oder Signatur Das ecard-api-framework - Standardspezifikation für Industrie und Verwaltung - EU Harmonisierung für E-Identity (Storck) Beliebige Chip-Karte Interoperabilität der Personalausweisanwendung - Elektronischer Personalausweis, elektronische Gesundheitskarte, ELSTER, Signatur-Karten u.a. - Standard-Bürgerclient für den elektronischen Personalausweis u.a. - Hardwareentwicklung (bspw. Leser, Notebooks, Handy)

22 die Berechtigungszertifikate und Sperrlisten Berechtigungszertifikate / Sperrlisten Berechtigungszertifikate: - Card Verifiable Certificates (CVC) ermöglichen eine effiziente Zugriffskontrolle auf festgelegte Felder des epa - Prüfung auf berechtigtes Interesse des Diensteanbieters durch öffentliche Vergabestelle - Zugriff auf Daten nur mittels gültigem Berechtigungszertifikat und im definierten Umfang - Kurze Laufzeit der Zertifikate als Sicherheitsschutz Sperrlisten: - Eintrag in Sperrliste bei Abhandenkommen des Ausweises - Bereitstellung von Sperrlisten ermöglicht Diensteanbieter Identifikation verlorener oder gestohlener Ausweise - Es werden Diensteanbieter-spezifische Sperrlisten erstellt, um ein Tracking des Ausweisinhabers zu verhindern