Bundesamt für Sicherheit in der Informationstechnik

BSI TR-03125 Beweiswerterhaltung kryptographisch signierter Dokumente

Schnell zum Abschnitt

Beschreibung der technischen Richtlinie

Durch die immer schneller fortschreitende "Virtualisierung" von Vorgängen und Dokumenten in die elektronische Form ergeben sich neue Herausforderungen, die in der "alten Welt" der Papierdokumente nicht – oder zumindest nur in deutlich abgeschwächter Form – bestehen:

  • Elektronische Dokumente können aus sich heraus weder wahrgenommen noch gelesen werden. Darüber hinaus liefern sie aus sich heraus keine Anhaltspunkte für ihre Integrität und Authentizität sowie für den Schutz und die Wahrung von Rechtsansprüchen des Ausstellers oder Dritter und den Nachweis der Ordnungsmäßigkeit im elektronischen Rechts- und Geschäftsverkehr. Diese Eigenschaften müssen vielmehr, insbesondere für die Zwecke der längerfristigen Aufbewahrung elektronischer Dokumente, durch zusätzliche technische und organisatorische Maßnahmen hergestellt und dauerhaft erhalten werden.
  • Über die geforderten langen Aufbewahrungszeiträume und trotz der immer kürzer werdenden informationstechnischen Innovationszyklen hinweg müssen die Lesbarkeit und Verfügbarkeit von Speichermedien und Datenformaten gewährleistet sein – unabhängig von einzelnen Produkten und Herstellern.
  • Der Zugriff auf Daten und Dokumente muss auch und gerade in der elektronischen Welt den Anforderungen des Datenschutzes und der Datensicherheit genügen, auch über lange Zeiträume und den Wechsel von Systemen hinweg.

Nicht nur die Verwaltung, auch Unternehmen stehen daher vor der Herausforderung, für immer mehr elektronisch erzeugte, verarbeitete und gespeicherte Dokumente und Daten auch in ferner Zukunft die Lesbarkeit, Verfügbarkeit sowie Integrität und Authentizität gewährleisten zu müssen.

Mit der Technischen Richtlinie BSI-TR 03125 "Beweiswerterhaltung kryptographisch signierter Dokumente" stellt das BSI einen Leitfaden zur Verfügung, der beschreibt, wie elektronisch signierte Daten und Dokumente über lange Zeiträume – bis zum Ende der Aufbewahrungsfristen – im Sinne eines rechtswirksamen Beweiswerterhalts vertrauenswürdig gespeichert werden können.

Dabei zielt die TR 03125 nicht darauf ab, bekannte und etablierte Anforderungen und Begriffsdefinitionen zu ersetzen. Vielmehr sind die Anforderungen an die ordnungsgemäße Aufbewahrung ebenfalls für elektronisch signierte Dokumente einzuhalten. Sie werden von der TR 03125 vorausgesetzt. Die Referenz-Architektur der TR 03125 versteht sich daher nicht als Ersatz für ein Archiv-System sondern als Konzept einer Middleware, das eine mögliche Umsetzung der Anforderungen zum rechtswirksamen Beweiswerterhalt kryptographisch signierter Dokumente während des gesetzlich vorgeschriebenen Aufbewahrungszeitraums beschreibt.

Die TR richtet sich vornehmlich an Bundesbehörden. Darüber hinaus besitzt die Technische Richtlinie empfehlenden Charakter, denn in nahezu allen öffentlichen und privatwirtschaftlichen Bereichen gewinnt der Bedarf an rechtswirksamer Beweiswerterhaltung kryptographisch signierter Dokumente zunehmend an Bedeutung: Elektronische Unterlagen im Gesundheitswesen oder im Bereich der Medikamentenzulassung, elektronische Rechnungen und Belege im täglichen Geschäftsverkehr, Personenstandsregister, digitale technische Unterlagen in der Musterzulassung von Luftfahrzeugen und viele Dokumente mehr verlangen nach adäquaten Lösungen im Rahmen fortschreitender Digitalisierung der Geschäftstätigkeiten. Schon diese wenigen Beispiele zeigen die hohe Relevanz der beweiswerterhaltenden elektronischen Aufbewahrung.

Das BSI hat dabei die folgenden Gestaltungskriterien zugrunde gelegt:

  • Berücksichtigung der relevanten nationalen und internationalen Standards
  • Konsequente und vollständige Plattform– und Herstellerneutralität
  • Beschreibung einer mandantenfähigen Referenzarchitektur, die sich auch für den Aufbau anwendungs- und produktübergreifender Archiv-Infrastrukturdienste eignet
  • Umsetzungsorientierung durch Einbeziehung konkreter Hilfestellungen zur Komponenten- und Schnittstellenentwicklung (insbesondere im Bereich kryptographischer Sicherungsmittel mit dem eCard-API-Framework)

Konkret beschreibt diese Technische Richtlinie einen differenzierten Katalog von verpflichtenden (Muss), von empfohlen (Soll) und auch von optionalen (Kann) Anforderungen im Hinblick auf alle Elemente und Bereiche, in denen ein Gestaltungsbedarf besteht, um für Behörden und Institutionen wirkungsvolle, zukunftssichere und wirtschaftliche technische Szenarien für eine beweiswerterhaltende Aufbewahrung elektronisch signierter Dokumente und Daten aufzubauen.

Im Wesentlichen sind dies

  • empfohlene Daten- und Dokumentenformate
  • ein empfohlenes Speicherformat für Archivdatenobjekte
  • Empfehlungen zu einer Referenzarchitektur oder alternativen Architekturen
  • Anforderungen an Komponenten (vorgelagerte Anwendungssysteme) und an Module (Krypto-Modul) sowie deren Abhängigkeiten.

Auf der Basis des vorliegenden Anforderungskatalogs können nun Anbieter und Produkthersteller zu dieser Richtlinie konforme Lösungsangebote entwickeln.

eIDAS-Verordnung

Seit dem 1. Juli 2016 wird der rechtliche Rahmen der elektronischen Signatur, des elektronischen Siegels sowie des elektronischen Zeitstempels durch die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (kurz eIDAS-VO) bestimmt. Die Verordnung sowie die hierauf basierenden Durchführungsrechtsakte dienen der Harmonisierung des Binnenmarkts für elektronische Signaturen, Siegel, Zeitstempel und der darauf basierenden Vertrauensdienste in der Europäischen Union (EU) und in der Europäischen Freihandelszone (EFTA).

Demgemäß sind ab 01.07.2016 neben elektronischen Signaturen für natürliche Personen sowie elektronischen Zeitstempeln auch elektronische Siegel für juristische Personen verfügbar. Das Siegel ist insofern eine Erweiterung zur bisherigen Rechtslage in Deutschland. Weiterhin sind gemäß der eIDAS-VO nun auch "qualifizierte Fernsignaturen" und entsprechende "qualifizierte Fernsiegel" möglich, bei denen ein Vertrauensdiensteanbieter die privaten Schlüssel in einer dafür geeigneten, auf einem Hardware-Sicherheitsmodul basierenden qualifizierten Signatur- oder Siegelerstellungseinheit aufbewahrt, so dass die Erstellung von qualifizierten elektronischen Signaturen und Siegeln mit mobilen Endgeräten ausgelöst werden kann. Darüber hinaus legt die eIDAS-VO einen Rechtsrahmen für Vertrauensdienste für die Zustellung elektronischer Einschreiben, für Zertifizierungsdienste für die Website-Authentifizierung sowie für die Bewahrung des Beweiswerts von elektronischen Signaturen und Siegeln fest.

  • Während die Europäische Richtlinie 1999/93/EG und sowie das darauf basierende Signaturgesetz (SigG) sowie die die Signaturverordnung (SigV) weitgehend technologieneutral waren, schreibt die Europäische Verordnung (EU) Nr. 910/2014 (eIDAS-VO) mit dem Ziel der europaweiten Interoperabilität in bestimmten Durchführungsrechtsakten bisweilen den Einsatz von konkreten technischen Standards vor.
    Dies umfasst beispielsweise:
  • (EU) 2015/806 – über die Form des EU-Vertrauenssiegels für qualifizierte Vertrauensdienste,
  • (EU) 2015/1505 – über technische Spezifikationen und Formate in Bezug auf Vertrauenslisten,
  • (EU) 2015/1506 – zur Festlegung von Spezifikationen für Formate fortgeschrittener elektronischer Signaturen und fortgeschrittener Siegel, die von öffentlichen Stellen für elektronische Transaktionen im Binnenmarkt anerkannt werden müssen
  • (EU) 2016/650 – zur Festlegung von Normen für die Sicherheitsbewertung qualifizierter Signatur- und Siegelerstellungseinheiten,

Das BSI bietet unter folgendem Link weiterführende Informationen zu eIDAS-VO an.

Die Technische Richtlinie TR 03125 (TR-ESOR) des BSI definiert keine eigenen Signaturformate, sondern setzt bzgl. der Signatur-Formate auf den entsprechenden ETSI-Standards auf, die sowohl in Anhang F der TR-ESOR als auch im Durchführungsrechtsakt (EU) 2015/1506 zur "Festlegung von Spezifikationen für Formate fortgeschrittener elektronischer Signaturen und fortgeschrittener Siegel" vorgeschrieben werden.

Ab dem 01.07.2016 sind im Rahmen von TR-ESOR auch eIDAS-konforme, von qualifizierten Vertrauensdiensteanbietern erzeugte qualifizierte Zeitstempeln (siehe Artikel 41 und 42 der eIDAS-VO) für den Erhalt des Beweiswerts kryptographisch signierter Dokumente einsetzbar. Auf dieser Basis können nach dem Inkrafttreten des Vertrauensdienstegesetzes auf Basis der TR-ESOR qualifizierte Bewahrungsdienste für qualifizierte elektronische Signaturen gemäß Artikel 34 bzw. 40 der eIDAS-VO für den Erhalt des Beweiswerts von elektronischen Signaturen oder elektronischen Siegeln über den Zeitraum ihrer technologischen Geltung hinaus genutzt werden. Zu beachten ist, dass weder die eIDAS-VO noch die einschlägigen ETSI-Standards, wie z.B. ETSI EN 319 411-2 (siehe hier insbesondere Abschnitt 6.3.10), präzise regeln, wie lang der Sperrstatus für ein entsprechendes Zertifikat per OCSP abrufbar ist. Deshalb sollte bei der Auswahl von Zeitstempelanbietern für TR-ESOR auf den Zeitraum geachtet werden, in dem der Sperrstatus für ein Zertifikat online verfügbar ist, so dass rechtzeitig entsprechende Statusinformationen eingeholt und beweiskräftig aufbewahrt werden können. Darüber hinaus sollte zumindest in der Übergangsphase von SigG/SigV zur eIDAS-VO der redundante Einsatz von qualifizierten elektronischen Zeitstempeln unterschiedlicher Anbieter erwogen werden, so dass die Beweiskraft der aufbewahrten Dokumente selbst dann erhalten bleiben würde, wenn sich ein vermeintlich sicherer und qualifizierter Zeitstempel später als problematisch erweisen sollte.

Vertrauensliste mit qualifizierten Vertrauensdiensteanbietern und Vertrauensdiensten

Gemäß Artikel 22 (1) eIDAS-VO müssen von jedem Mitgliedstaat so genannte Vertrauenslisten bereitgestellt werden, die Angaben zu den qualifizierten Vertrauensdiensteanbietern im jeweiligen Mitgliedsstaat sowie zu den von diesen erbrachten Vertrauensdiensten machen. Die Veröffentlichung muss auf einer gesicherten Weise in einer elektronisch unterzeichneten bzw. besiegelten Form erfolgen, die für eine automatisierte Verarbeitung geeignet ist (vgl. Artikel 22 (2) eIDAS-VO). Die Informationen über die erstellenden nationalen Stellen werden gem. Artikel 22 (3) eIDAS-VO an die Kommission übermittelt. Die Kommission dagegen publiziert eine Vertrauensliste mit der Zusammenstellung der Eingaben über die einzelnen nationalen Stellen, zumindest den Ort der Herausgabe sowie die zur Unterzeichnung oder Besiegelung verwendeten Zertifikate (vgl. Artikel 22 (4) eIDAS-VO).

Für Deutschland verantwortlicher Herausgeber ist die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (BNetzA) und die korrespondierende Vertrauensliste wird hier veröffentlicht. Die entsprechende Vertrauensliste der Europäischen Kommission, die auf die nationalen Vertrauenslisten verweist, ist unter folgender Web-Adresse zu beziehen.

Weitere Entwicklungen

(1) Bislang ist im Rahmen der rechtlichen Regulierung im Umfeld von eIDAS aber noch keine Bearbeitung von Durchführungsrechtsakten zum Thema "Bewahrungsdienst" begonnen worden. Im zuständigen Standardisierungskomitee wurde lediglich der "ETSI Special Report SR 019510, Electronic Signatures and Infrastrucutres (ESI); Scoping study and framework for standardization of long-term data preservation services, including preservation of/with digital signatures, V1.1.1 (2017-05), siehe unter https://portal.etsi.org/TBSiteMap/ESI/ESIActivities.aspx veröffentlicht, der eine Marktübersicht der in Europa eingesetzten Lösungen sowie der nationalen und internationalen Standards und u.a. auch eine Beschreibung der TR 03125 TR-ESOR enthält. Das BSI ist im entsprechenden Standardisierungskomitee (ETSI ESI) aktiv.

(2) Wie auch in entsprechenden Spezialgesetzen wurden daher in der aktuellen Technischen Richtlinien TR 03125 TR-ESOR V1.2.1 Verweise auf Signaturen und Zeitstempel nach SigG durch solche auf die eIDAS-VO ersetzt. Ebenso wurde an verschiedenen Stellen auf einen möglichen Einsatz qualifizierter elektronischer Siegel verwiesen. Abgesehen von diesen überwiegend editoriellen Änderungen waren wesentliche inhaltliche Änderungen zum Zeitpunkt der Veröffentlichung der TR 03125 TR-ESOR V1.2.1 auch nicht notwendig.

Die Dokumente der BSI TR-03125 Version 1.2.1

BSI TR-03125 Vertrauenswürdige elektronische Langzeitspeicherung Version 1.2.1 (PDF, 4MB, Datei ist barrierefrei⁄barrierearm)

Module

Schnittstellen und Formate

Bundesbehördenprofil

Testspezifikationen (englisch)

XML-Schemata

TR-ESOR Vorgängerversionen

Zu den Vorgängerversionen der TR-ESOR

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK