Verordnung zur digitalen Signatur
Veröffentlicht: 22. Oktober 1997

Verordnung zur digitalen Signatur § 1 Eine Genehmigung für den Betrieb einer Zertifizierungsstelle nach § 4 Abs. 1 des Signaturgesetzes ist schriftlich bei der zuständigen Behörde zu beantragen. § 2 Für folgende öffentliche Leistungen werden Kosten (Gebühren und Auslagen) erhoben: die Erteilung einer Genehmigung für den Betrieb einer Zertifizierungsstelle, die Ablehnung eines Antrags auf Erteilung einer Genehmigung, die Rücknahme oder den Widerruf einer Genehmigung, die vollständige oder teilweise Zurückweisung eines Widerspruchs, die Ausstellung von Zertifikaten, die Überprüfung von Prüfberichten und Bestätigungen nach § 15 Abs. 1, die Kontrollen nach § 15 Abs. 2, wenn im Rahmen der Kontrolle ein nicht nur unerheblicher Verstoß gegen das Signaturgesetz oder gegen diese Verordnung festgestellt wird, die Übernahme einer Dokumentation nach § 11 Abs. 2 des Signaturgesetzes. Kosten werden auch dann erhoben, wenn ein Antrag auf Erteilung einer Genehmigung oder ein Widerspruch nach Beginn der sachlichen Bearbeitung, aber vor deren Beendigung zurückgenommen wird. § 3 Die Zertifizierungsstelle hat die Identifikation des Antragstellers gemäß § 5 Abs. 1 Satz 1 des Signaturgesetzes anhand des Bundespersonalausweises oder Reisepasses oder auf andere geeignete Weise vorzunehmen. Der Antrag auf ein Zertifikat muß eigenhändig unterschrieben sein. Soweit ein Antrag auf ein Zertifikat mit einer digitalen Signatur des Antragstellers versehen ist, kann die Zertifizierungsstelle von einer erneuten Identifikation und eigenhändigen Unterschrift absehen. § 4 Die Zertifizierungsstelle hat einen Antragsteller im Rahmen des § 6 Satz 1 und 3 des Signaturgesetzes insbesondere über folgende erforderliche Maßnahmen zur Gewährleistung der Sicherheit der digitalen Signatur zu unterrichten: Der Datenträger mit dem privaten Signaturschlüssel ist in persönlichem Gewahrsam zu halten. Bei dessen Verlust ist unverzüglich die Sperrung des Signaturschlüssel-Zertifikates zu veranlassen. Wird der Datenträger mit dem privaten Signaturschlüssel nicht mehr benötigt, ist er unbrauchbar zu machen und die Sperrung des Signaturschlüssel-Zertifikates zu veranlassen, falls es nicht abgelaufen ist. Persönliche Identifikationsnummern oder andere Daten zur Identifikation gegenüber dem Datenträger mit dem privaten Signaturschlüssel sind geheim zu halten. Bei Preisgabe oder Verdacht der Preisgabe dieser Identifikationsdaten ist unverzüglich deren Änderung vorzunehmen. Für die Erzeugung und Prüfung digitaler Signaturen sowie die Darstellung von zu signierenden oder zu prüfenden signierten Daten sind technische Komponenten einzusetzen, die den Anforderungen des Signaturgesetzes und dieser Verordnung entsprechen und deren Sicherheit nach dem Signaturgesetz und dieser Verordnung bestätigt wurde. Sie sind vor unbefugtem Zugriff zu schützen. Soweit ein Zertifikat Beschränkungen nach § 7 Abs. 1 Nr. 7 des Signaturgesetzes oder Angaben nach § 7 Abs. 2 des Signaturgesetzes enthält und dies für die Aussage von signierten Daten von Bedeutung ist, ist das Zertifikat den Daten beizufügen und in die digitale Signatur einzuschließen. Soweit für die Verwendung signierter Daten ein Zeitpunkt von erheblicher Bedeutung sein kann, ist ein Zeitstempel anzubringen. Werden Daten über längere Zeit in signierter Form benötigt, ist gemäß § 18 erneut eine digitale Signatur anzubringen. Bei der Prüfung digitaler Signaturen ist festzustellen, ob das Signaturschlüssel-Zertifikat und Attribut-Zertifikate zum Zeitpunkt der Signaturerzeugung gültig waren, das Signaturschlüssel-Zertifikat gemäß § 7 Abs. 1 Nr. 7 des Signaturgesetzes Beschränkungen enthält und gegebenenfalls die Nummern 4 und 5 beachtet wurden. § 5 Werden Signaturschlüssel durch den Signaturschlüssel-Inhaber erzeugt, so hat sich die Zertifizierungsstelle zu überzeugen, daß er hierfür sowie für die Speicherung und Anwendung des privaten Signaturschlüssels geeignete technische Komponenten nach dem Signaturgesetz und dieser Verordnung einsetzt. § 6 Soweit die Zertifizierungsstelle Signaturschlüssel oder Identifikationsdaten nach § 5 Abs. 2 bereitstellt, hat sie den privaten Signaturschlüssel sowie die Identifikationsdaten dem Signaturschlüssel-Inhaber persönlich zu übergeben und die Übergabe von diesem schriftlich bestätigen zu lassen, es sei denn, dieser verlangt schriftlich eine andere Übergabe. Mit Übergabe des privaten Signaturschlüssels oder Signaturschlüssel-Zertifikates hat sie auch den öffentlichen Signaturschlüssel der zuständigen Behörde zu übergeben. § 7 Die Gültigkeitsdauer eines Zertifikates darf höchstens fünf Jahre betragen und den Zeitraum der Eignung der eingesetzten Algorithmen und zugehörigen Parameter nach § 17 Abs. 2 nicht überschreiten. Die Gültigkeit eines Attribut-Zertifikates endet spätestens mit der Gültigkeit des Signaturschlüssel-Zertifikates, auf das es Bezug nimmt. § 8 Die Zertifizierungsstelle hat die von ihr ausgestellten Zertifikate mindestens solange in einem Verzeichnis gemäß den Vorgaben nach § 5 Abs. 1 Satz 2 des Signaturgesetzes zu führen, wie der im Zertifikat aufgeführte Algorithmus mit den dazugehörigen Parametern nach § 17 Abs. 2 als geeignet beurteilt wird. § 9 Die Zertifizierungsstelle hat den Signaturschlüssel-Inhabern und dritten Personen, von denen Angaben zur Vertretungsmacht in ein Zertifikat aufgenommen wurden, sowie der zuständigen Behörde eine Rufnummer bekanntzugeben, unter der diese jederzeit eine unverzügliche Sperrung der Zertifikate veranlassen können und dafür ein Authentisierungsverfahren anzubieten. § 10 Die Zertifizierungsstelle hat sich von der Zuverlässigkeit von Personen, die am Zertifizierungsverfahren oder an der Ausstellung von Zeitstempeln mitwirken, zu überzeugen. Sie kann hierzu insbesondere die Vorlage eines Führungszeugnisses nach § 30 Abs. 1 des Bundeszentralregistergesetzes verlangen. Unzuverlässige Personen sind vom Zertifizierungsverfahren und der Ausstellung von Zeitstempeln auszuschließen. § 11 Die Zertifizierungsstelle hat Vorkehrungen zu treffen, um private Signaturschlüssel und die zum Erstellen der Zertifikate und Zeitstempel sowie zum Nachprüfbarhalten der Zertifikate eingesetzten technischen Komponenten vor unbefugtem Zugriff zu schützen. § 12 Das Sicherheitskonzept nach § 4 Abs. 3 Satz 3 des Signaturgesetzes hat alle Sicherheitsmaßnahmen sowie insbesondere eine Übersicht über die eingesetzten technischen Komponenten und eine Darstellung der Ablauforganisation der Zertifizierungstätigkeit zu enthalten. Im Falle sicherheitserheblicher Veränderungen ist das Konzept unverzüglich anzupassen. § 13 Die Dokumentation nach § 10 des Signaturgesetzes hat sich auf das Sicherheitskonzept einschließlich der Änderungen, die Prüfberichte und Bestätigungen nach § 15 Abs. 1, die vertraglichen Vereinbarungen mit den Antragstellern und die von der zuständigen Behörde erhaltenen Zertifikate zu erstrecken. Zu den eingegangenen Anträgen auf Zertifikate und Vereinbarungen mit den Antragstellern sind eine Ablichtung des vorgelegten Ausweises oder eines anderen Identitätsnachweises, die für die Aufnahme von Angaben dritter Personen erforderlichen Unterlagen, die Vergabe eines Pseudonyms, der Nachweis über die vorgeschriebene Unterrichtung des Antragstellers und dritter Personen, die erteilten Zertifikate mit dem jeweiligen Zeitpunkt der Ausstellung und der Übergabe, die Sperrung von Zertifikaten und Auskünfte nach § 12 Abs. 2 des Signaturgesetzes zu dokumentieren. Soweit die Zertifizierungsstelle Signaturschlüssel oder Identifikationsdaten nach § 5 Abs. 2 bereitstellt, sind der Zeitpunkt der Übergabe und die Übergabebestätigung zu dokumentieren. In digitaler Form geführte Aufzeichnungen müssen digital signiert sein. § 14 Die Zertifizierungsstelle hat, wenn sie ihre Tätigkeit nach § 11 Abs. 1 des Signaturgesetzes einstellen will, dies spätestens vier Monate vorher der zuständigen Behörde mitzuteilen. § 15 Die Zertifizierungsstelle hat vor Betriebsaufnahme, nach sicherheitserheblichen Veränderungen sowie regelmäßig im Abstand von zwei Jahren eine Prüfung nach § 4 Abs. 3 Satz 3 des Signaturgesetzes zu veranlassen und der zuständigen Behörde einen Prüfbericht und eine Bestätigung darüber vorzulegen, daß sie die Vorgaben aus dem Signaturgesetz und dieser Verordnung erfüllt. § 16 Die zur Erzeugung von Signaturschlüsseln erforderlichen technischen Komponenten müssen so beschaffen sein, daß ein Schlüssel mit an Sicherheit grenzender Wahrscheinlichkeit nur einmal vorkommt und aus dem öffentlichen Schlüssel nicht der private Schlüssel errechnet werden kann. Die Geheimhaltung des privaten Schlüssels muß gewährleistet sein und er darf nicht dupliziert werden können. Sicherheitstechnische Veränderungen an den technischen Komponenten müssen für den Nutzer erkennbar werden. § 17 Die Prüfung der technischen Komponenten nach § 14 Abs. 4 des Signaturgesetzes hat nach den "Kriterien für die Bewertung der Sicherheit von Systemen der Informationstechnik" (GMBl. 1992, S. 545) oder nach den Gemeinsamen Kriterien für die Prüfung und Bewertung der Sicherheit von Informationstechnik (Common Criteria for Information Technology Security Evaluation (BAnz. 1999 S. 1945) - ISO/IEC 15408) in der jeweils geltenden Fassung zu erfolgen. Die Prüfung muß bei technischen Komponenten zum Erzeugen von Signaturschlüsseln oder zum Speichern oder Anwenden privater Signaturschlüssel und bei technischen Komponenten, die geschäftsmäßig Dritten zur Nutzung angeboten werden, mindestens die Prüfstufe "E 4" und im übrigen mindestens die Prüfstufe "E 2" umfassen, bei Anwendung der Gemeinsamen Kriterien mindestens die Prüfstufe "EAL 5" und im Übrigen mindestens die Prüfstufe "EAL 3". Die Stärke der Sicherheitsmechanismen muß mit "hoch" und die Algorithmen und zugehörigen Parameter müssen nach Absatz 2 als geeignet bewertet sein. § 18 Werden Daten über längere Zeit in signierter Form benötigt, als die für ihre Erzeugung und Prüfung eingesetzten Algorithmen und zugehörigen Parameter nach § 17 Abs. 2 als geeignet beurteilt sind, so sind die Daten vor Ablauf des Zeitpunktes der Eignung der Algorithmen und zugehörigen Parameter mit einer neuen digitalen Signatur zu versehen. Diese muß mit neuen Algorithmen oder zugehörigen Parametern erfolgen, frühere digitale Signaturen einschließen und einen Zeitstempel tragen. § 19 Diese Verordnung tritt am 1. November 1997 in Kraft.