Bundesamt für Sicherheit in der Informationstechnik

BSI TR-03125 Beweiswerterhaltung kryptographisch signierter Dokumente

Schnell zum Abschnitt

Beschreibung der technischen Richtlinie

Durch die immer schneller fortschreitende "Virtualisierung" von Vorgängen und Dokumenten in die elektronische Form ergeben sich neue Herausforderungen, die in der "alten Welt" der Papierdokumente nicht – oder zumindest nur in deutlich abgeschwächter Form – bestehen:

  • Elektronische Dokumente können aus sich heraus weder wahrgenommen noch gelesen werden. Darüber hinaus liefern sie aus sich heraus keine Anhaltspunkte für ihre Integrität und Authentizität sowie für den Schutz und die Wahrung von Rechtsansprüchen des Ausstellers oder Dritter und den Nachweis der Ordnungsmäßigkeit im elektronischen Rechts- und Geschäftsverkehr. Diese Eigenschaften müssen vielmehr, insbesondere für die Zwecke der längerfristigen Aufbewahrung elektronischer Dokumente, durch zusätzliche technische und organisatorische Maßnahmen hergestellt und dauerhaft erhalten werden.
  • Über die geforderten langen Aufbewahrungszeiträume und trotz der immer kürzer werdenden informationstechnischen Innovationszyklen hinweg müssen die Lesbarkeit und Verfügbarkeit von Speichermedien und Datenformaten gewährleistet sein – unabhängig von einzelnen Produkten und Herstellern.
  • Der Zugriff auf Daten und Dokumente muss auch und gerade in der elektronischen Welt den Anforderungen des Datenschutzes und der Datensicherheit genügen, auch über lange Zeiträume und den Wechsel von Systemen hinweg.

Nicht nur die Verwaltung, auch Unternehmen stehen daher vor der Herausforderung, für immer mehr elektronisch erzeugte, verarbeitete und gespeicherte Dokumente und Daten auch in ferner Zukunft die Lesbarkeit, Verfügbarkeit sowie Integrität und Authentizität gewährleisten zu müssen.

Mit der Technischen Richtlinie BSI-TR 03125 „Beweiswerterhaltung kryptographisch signierter Dokumente “ stellt das BSI einen Leitfaden zur Verfügung, der beschreibt, wie elektronisch signierte Daten und Dokumente über lange Zeiträume – bis zum Ende der Aufbewahrungsfristen – im Sinne eines rechtswirksamen Beweiswerterhalts vertrauenswürdig gespeichert werden können.

Dabei zielt die TR 03125 nicht darauf ab, bekannte und etablierte Anforderungen und Begriffsdefinitionen zu ersetzen. Vielmehr sind die Anforderungen an die ordnungsgemäße Aufbewahrung ebenfalls für elektronisch signierte Dokumente einzuhalten. Sie werden von der TR 03125 vorausgesetzt. Die Referenz-Architektur der TR 03125 versteht sich daher nicht als Ersatz für ein Archiv-System sondern als Konzept einer Middleware, das eine mögliche Umsetzung der Anforderungen zum rechtswirksamen Beweiswerterhalt kryptographisch signierter Dokumente während des gesetzlich vorgeschriebenen Aufbewahrungszeitraums beschreibt.

Die TR richtet sich vornehmlich an Bundesbehörden. Darüber hinaus besitzt die Technische Richtlinie empfehlenden Charakter, denn in nahezu allen öffentlichen und privatwirtschaftlichen Bereichen gewinnt der Bedarf an rechtswirksamer Beweiswerterhaltung kryptographisch signierter Dokumente zunehmend an Bedeutung: Elektronische Unterlagen im Gesundheitswesen oder im Bereich der Medikamentenzulassung, elektronische Rechnungen und Belege im täglichen Geschäftsverkehr, Personenstandsregister, digitale technische Unterlagen in der Musterzulassung von Luftfahrzeugen und viele Dokumente mehr verlangen nach adäquaten Lösungen im Rahmen fortschreitender Digitalisierung der Geschäftstätigkeiten. Schon diese wenigen Beispiele zeigen die hohe Relevanz der beweiswerterhaltenden elektronischen Aufbewahrung.

Das BSI hat dabei die folgenden Gestaltungskriterien zugrunde gelegt:

  • Berücksichtigung der relevanten nationalen und internationalen Standards
  • Konsequente und vollständige Plattform– und Herstellerneutralität
  • Beschreibung einer mandantenfähigen Referenzarchitektur, die sich auch für den Aufbau anwendungs- und produktübergreifender Archiv-Infrastrukturdienste eignet
  • Umsetzungsorientierung durch Einbeziehung konkreter Hilfestellungen zur Komponenten- und Schnittstellenentwicklung (insbesondere im Bereich kryptographischer Sicherungsmittel mit dem eCard-API-Framework)

Konkret beschreibt diese Technische Richtlinie einen differenzierten Katalog von verpflichtenden (Muss), von empfohlen (Soll) und auch von optionalen (Kann) Anforderungen im Hinblick auf alle Elemente und Bereiche, in denen ein Gestaltungsbedarf besteht, um für Behörden und Institutionen wirkungsvolle, zukunftssichere und wirtschaftliche technische Szenarien für eine beweiswerterhaltende Aufbewahrung elektronisch signierter Dokumente und Daten aufzubauen.

Im Wesentlichen sind dies

  • empfohlene Daten- und Dokumentenformate
  • ein empfohlenes Speicherformat für Archivdatenobjekte
  • Empfehlungen zu einer Referenzarchitektur oder alternativen Architekturen
  • Anforderungen an Komponenten (vorgelagerte Anwendungssysteme) und an Module (Krypto-Modul) sowie deren Abhängigkeiten.

Auf der Basis des vorliegenden Anforderungskatalogs können nun Anbieter und Produkthersteller zu dieser Richtlinie konforme Lösungsangebote entwickeln.

eIDAS-Verordnung

Ab 1. Juli 2016 wird der rechtliche Rahmen der elektronischen Signatur, des elektronischen Siegels sowie des elektronischen Zeitstempels durch die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (kurz eIDAS-VO) bestimmt. Die Verordnung sowie die hierauf basierenden Durchführungsrechtsakte dienen der Harmonisierung des Binnenmarkts für Signatur/Siegel/Zeitstempel in der Europäischen Union (EU) und in der Europäischen Freihandelszone (EFTA).

Demgemäß sind ab 01.07.2016 neben elektronischen Signaturen für natürliche Personen sowie elektronischen Zeitstempeln auch elektronische Siegel, also Signaturen für juristische Personen verfügbar. Das Siegel ist insofern eine Erweiterung zur bisherigen Rechtslage in Deutschland. Weiterhin sind gem. eIDAS-Vo mobile qualifizierte Signaturen/Siegel sowie qualifizierte Fernsignaturen/-siegel möglich. Darüber hinaus legt eIDAS einen Rechtsrahmen für Vertrauensdienste für die Zustellung elektronischer Einschreiben, für Zertifizierungsdienste für die Website-Authentifizierung sowie für die Bewahrung des Beweiswerts von elektronischen Signaturen und Siegeln fest.

  • Während die Europäische Richtlinie 1999/93/EG sowie das Signaturgesetz SigG und die Signaturverordnung SigV weitgehend technologieneutral waren, schreibt die Europäische Verordnung (EU) Nr. 910/2014 – eIDAS-Vo – bislang die folgenden teilweise sehr konkreten Durchführungsrechtsakte vor:
  • (EU) 2015/806 – über über die Form des EU-Vertrauenssiegels für qualifizierte Vertrauensdienste,
  • (EU) 2015/1505 – über technische Spezifikationen und Formate in Bezug auf Vertrauenslisten,
  • (EU) 2015/1506 – zur Festlegung von Spezifikationen für Formate fortgeschrittener elektronischer Signaturen und fortgeschrittener Siegel, die von öffentlichen Stellen für elektronische Transaktionen im Binnenmarkt anerkannt werde
  • (EU) 2016/650 – zur Festlegung von Normen für die Sicherheitsbewertung qualifizierter Signatur- und Siegelerstellungseinheiten,

die den technischen Rahmen stärker präzisieren.

Das BSI bietet unter folgendem Link weiterführende Informationen zu eIDAS-VO an.

Die Technische Richtlinie TR 03125 TR-ESOR des BSI definiert keine eigenen Signaturformate sondern setzt bzgl. der Signatur-Formate auf den entsprechenden ETSI-Standards auf, die sowohl im TR-ESOR-Anhang TR-ESOR-F als auch im Durchführungsrechtsakt (EU) 2015/1506 zur "Festlegung von Spezifikationen für Formate fortgeschrittener elektronischer Signaturen und fortgeschrittener Siegel“ vorgeschrieben werden.

Ab dem 01.07.2016 sind im Rahmen von TR-ESOR auch eIDAS-konforme, von qualifizierten Vertrauensdiensteanbietern erzeugte qualifizierte Zeitstempeln (siehe Artikel 41 und 42 der eIDAS-VO) für den Erhalt des Beweiswerts kryptographisch signierter Dokumente einsetzbar. Auf dieser Basis können nach dem Inkrafttreten des Vertrauensdienstegesetzes auf Basis der TR-ESOR qualifizierte Bewahrungsdienste für qualifizierte elektronische Signaturen gemäß Artikel 34 bzw. 40 der eIDAS Vo für den Erhalt des Beweiswerts von elektronischen Signaturen oder elektronischen Siegeln über den Zeitraum ihrer technologischen Geltung hinaus genutzt werden. Zu beachten ist, dass weder die eIDAS-Vo als auch die einschlägigen ETSI-Standards, wie z.B. ETSI EN 319 411-2 (siehe hier insbesondere Abschnitt 6.3.10), präzise regeln, wie lang der Sperrstatus für ein entsprechendes Zertifikat per OCSP abrufbar ist. Deshalb sollte bei der Auswahl von Zeitstempelanbietern für TR-ESOR auf den Zeitraum geachtet werden, in dem der Sperrstatus für ein Zertifikat online verfügbar ist, so dass rechtzeitig entsprechende Statusinformationen eingeholt und beweiskräftig aufbewahrt werden können. Darüber hinaus sollte zumindest in der Übergangsphase von SigG/SigV zur eIDAS der redundante Einsatz von qualifizierten elektronischen Zeitstempeln unterschiedlicher Anbieter erwogen werden, so dass die Beweiskraft der aufbewahrten Dokumente selbst dann erhalten bleiben würde, wenn sich ein vermeintlich qualifizierter Zeitstempel später als problematisch erweisen sollte.

Vertrauensliste mit qualifizierten Vertrauensdiensteanbietern und Vertrauensdiensten

Gemäß Artikel 22 (1) eIDAS-Vo müssen von jedem Mitgliedstaat sog. Vertrauenslisten, die Angaben zu den qualifizierten Vertrauensdiensteanbietern im jeweiligen Mitgliedsstaat sowie zu den von diesen erbrachten Vertrauensdiensten, aufstellen, führen und veröffentlichen. Die Veröffentlichung muss auf einer gesicherten Weise in einer elektronisch unterzeichneten bzw. besiegelten Form erfolgen, die für eine automatisierte Verarbeitung geeignet ist (vgl. Artikel 22 (2) eIDAS-Vo). Die Informationen über die erstellenden nationalen Stellen werden gem. Artikel 22 (3) eIDAS-Vo an die Kommission übermittelt. Die Kommission dagegen publiziert eine Vertrauensliste mit der Zusammenstellung der Eingaben über die einzelnen nationalen Stellen, zumindest den Ort der Herausgabe sowie die zur Unterzeichnung oder Besiegelung verwendeten Zertifikate (vgl. Artikel 22 (4) eIDAS-Vo).

Für Deutschland verantwortlicher Herausgeber ist die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (BNetzA) und die korrespondierende Vertrauensliste wird hier veröffentlicht. Die entsprechende Vertrauensliste der Europäischen Kommission, die auf die nationalen Vertrauenslisten verweist, ist unter folgender Web-Adresse zu beziehen.

Weitere Entwicklungen

(1) Bislang ist im Rahmen der rechtlichen Regulierung im Umfeld von eIDAS aber noch keine Bearbeitung von Durchführungsrechtsakten zum Thema "Bewahrungsdienst" begonnen worden. Im zuständigen Standardisierungskomitee wurde lediglich eine erste Vorstudie zu diesem Thema erstellt, die eine Marktübersicht der in Europa eingesetzten Lösungen sowie der nationalen und internationalen Standards enthält. Das BSI ist im entsprechenden Standardisierungskomitee (ETSI ESI) aktiv.

(2) Wie auch in entsprechenden Spezialgesetzen werden daher in den Technischen Richtlinien Verweise auf Signaturen und Zeitstempel nach SigG durch solche auf die eIDAS-VO ersetzt werden; ebenso wird an verschiedenen Stellen der Einsatz qualifizierter elektronischer Siegel sinnvoll sein. Wesentliche inhaltliche Änderungen sind dadurch nicht zu erwarten und zu diesem Zeitpunkt auch nicht notwendig.

Die Dokumente der BSI TR-03125 Version 1.2

BSI TR-03125 Vertrauenswürdige elektronische Langzeitspeicherung Version 1.2 (PDF, 2MB, Datei ist barrierefrei⁄barrierearm)

Module

Schnittstellen und Formate

Bundesbehördenprofil

Testspezifikationen (englisch)

Common Criteria Protection Profile BSI-CC-PP-0049-2014

XML-Schemata

TR-ESOR Vorgängerversionen

Zu den Vorgängerversionen der TR-ESOR

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK