Mit der immer stärkeren Marktdurchdringung mobiler Geräte, und deren Nutzung für E-Government und E-Business, wird es auch immer wichtiger, sicherheitskritische Prozesse über diese Geräte abwickeln zu können. Dies umfasst insbesondere auch die sichere Identifizierung und Authentisierung der Nutzer gegenüber Online-Dienstleistungen, und darüber hinaus auch Transaktionsauthentisierung, Bezahlvorgänge usw.

Die Europäische Union etabliert mit der eIDAS-Verordnung technologieneutrale Rahmenbedingungen für gegenseitiges Vertrauen in Identifizierungsprozesse. Dazu definiert die Verordnung drei Vertrauensniveaus "niedrig", "substantiell" und "hoch". Diese Vertrauensniveaus bilden den Rahmen für die grenzüberschreitende gegenseitige Anerkennung von Identifizierungssystemen. Details der Vertrauensniveaus werden im Durchführungsrechtsakt der Kommission zu den Vertrauensniveau sowie einer zugehörigen durch die Mitgliedstaaten erstellten "Guidance" definiert. Für den deutschen Markt wird in der Technischen Richtlinie TR-03107 das Konzept der Vertrauensniveaus weiter ausgeführt und Prozesse über die Identifizierung hinaus, etwa Authentisierung, Transaktionen usw., erweitert.

Der hier vorliegende erste Entwurf der Technischen Richtlinie TR-03159 "Mobile Identities" umfasst zwei Teile:

1. Der erste Teil präzisiert die Anforderungen der eIDAS-Verordnung bzw. des zugehörigen Durchführungsrechtsaktes für die Anforderungen an Vertrauensniveau für den Bereich der mobilen Identifizierung auf Vertrauensniveau "substantiell". Dabei bleiben die Anforderungen implementierungsunabhängig.
2. Der zweite Teil beschreibt eine konkrete Implementierung basierend auf den Anforderungen des ersten Teils für das deutsche eID-System. Darüber hinaus enthält der zweite Teil Compliance-Anforderungen für einzelne Komponenten des mobilen eID-Systems. Zusätzlich enthält das Amendment zu Teil 2 detaillierte Beschreibungen der Komponenten und Prozesse, welche für die Provisionierung und Personalisierung eines eID-Applets notwendig sind.

Es handelt sich hier um einen Entwurf (Draft) der Technischen Richtlinie als Vorschlag zur weiteren Diskussion. Die Inhalte können sich in der weiteren Bearbeitung noch ändern.

Downloads

BSI TR-03159 Mobile Identities Part 1: Security Requirements for eIDAS LoA “substantial”

BSI TR-03159 Mobile Identities Part 2: EAC and FIDO based mobile identities

Technical Guideline TR-03159-2, Amendment A – Provisionierung und Personalisierung, Version 1.0.0 Draft