abl-02
Dieses Dokument ist Teil der Anfrage „Amtsblätter bis 2018“
A
Amtsblatt der Bundesnetzagentur
254
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur –
|
2 2007
TimeCert-Applet Version 1.0 HE-Nr. 2006-BW-TimeCert-Applet 2.2
5. Begleitende Dokumente
Für diese Herstellererklärung gelten folgende Begleitdokumente:
1. Sicherheitstechnische Produktvorgaben TimeCert-Applet® (EVG) Version 1.0, Version
1.0, Stand 24.11.2006.
2. Spezifikation der Test- und Entwicklungsumgebung für TimeCert-Applet® (EVG) Version
1.0, Version 1.0, Stand 24.11.2006.
5. Gültigkeit der Herstellererklärung
Diese Herstellererklärung ist bis zum Widerruf durch Mentana-Claimsoft AG (Veröffentlichung
auf www.mentana.de) bzw. bis zum Ablauf der Vertrauenswürdigkeit des Hashalgorithmus
SHA-1 angezeigt durch die Bundesnetzagentur (www.bundesnatzagentur.de ) gültig.
Dieses Dokument umfasst 9 Seiten
Mentana-Claimsoft AG, im Dezember 2006
Seite 9
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
|
2 2007
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur – 255
Mitteilung Nr. 85/2007
Veröffentlichung von Herstellererklärungen für Produkte für
qualifizierte elektronische Signaturen nach § 17 Abs. 4 SigG, die
bei der Bundesnetzagentur hinterlegt wurden
Veröffentlichungshinweis
Die Bundesnetzagentur ist aufgrund des § 17 Abs. 4 des Signa-
turgesetzes (SigG) vom 16. Mai 2001 (BGBl. I S. 876), zuletzt
geändert durch Artikel 3 Abs. 9 des Gesetzes vom 7. Juli 2005
(BGBl. I S. 1970), i.V.m. §§ 1 und 2 des Gesetzes über die Bun-
desnetzagentur für Elektrizität, Gas, Telekommunikation, Post
und Eisenbahnen vom 7. Juli 2005 (BGBl. I S. 1970) verpflichtet,
Erklärungen durch Hersteller von Produkten für qualifizierte
elektronische Signaturen (Herstellererklärungen) im Amtsblatt
der Bundesnetzagentur zu veröffentlichen. Das Amtsblatt dient
insoweit nur als Veröffentlichungsmedium. Der Veröffent-
lichung ist weder eine materielle Prüfung der Herstellerer-
klärungen noch eine Prüfung der in ihnen bezuggenommenen
Produkte durch die Bundesnetzagentur vorausgegangen. Für
den Inhalt der Herstellererklärungen und für die Produkte sind
allein die Hersteller verantwortlich.
Hersteller:
Mentana-Claimsoft AG
Spreenhagener Str. 16
D-15528 Spreenhagen
Produkt:
TimeCert® Version 1.3
Bezeichnung der Herstellererklärung:
Herstellererklärung TimeCert® Version 1.3, Dokumentennummer
HE-Nr. 2006-BW-TimeCert 2.1, Stand 10.12.2006
Als weitere Unterlagen wurden eingereicht:
1. Sicherheitstechnische Produktvorgaben TimeCert (EVG) Version
1.3, Dokumentennummer ST.MCAG-2006-4, Version 1.0, Stand
24.11.2006, 19 Seiten
2. Spezifikation der Test- und Entwicklungsumgebung für Time-
Cert (EVG) Version 1.3, Dokumentennummer TE.MCAG-2006-4,
Version 1.0, Stand 24.11.2006, 10 Seiten
Es folgt der Text der Herstellererklärung:
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
256
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur –
|
2 2007
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
Deckblatt Herstellererklärung
Der Hersteller
Mentana-Claimsoft AG
Spreenhagener Str. 16
D-15528 Spreenhagen
erklärt hiermit gemäß § 17 Abs. 4 Satz 2 SigG1,
in Verbindung mit § 15 Abs. 5 SigV 2,
dass sein Produkt
TimeCert® Version 1.3
eine „Teil-Signaturanwendungskomponente“ (Software) im Sinne von § 2 Nr. 11 SigG ist, die
es ermöglicht,
x qualifizierte Zeitstempel für Lokal gespeicherte Dateien von einem
Zertifizierungsdienstanbieter anzufordern
und die den Anforderungen des Signaturgesetzes und der Signaturverordnung genügt.
Unbeschadet der Veröffentlichung im Amtblatt der Bundesnetzagentur (vormals
Regulierungsbehörde für Post und Telekommunikation) gemäß §17 Abs. 4 Satz 3 SigG wird
ein Widerruf oder eine Erneuerung dieser Erklärung unter http://www.mentana.de
veröffentlicht.
Spreenhagen b. Berlin, 10.12.2006
Dipl. Inform. Dr. Ralf Hesse Dipl. Ing. Axel Janhoff
Leiter Entwicklung Vorstand
1
Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz – SigG) vom 16. Mai 2001
(BGBl. S. 876, Jahrgang 2001 Teil I Nr. 22) in der Fassung des 1.SigÄndG vom 04.Januar 2005
2
Verordnung zur elektronischen Signatur (Signaturverordnung – SigV) vom 16. November 2001 (BGBl. Jahrgang
2001 Teil I Nr. 59) in der Fassung des 1.SigÄndG vom 04.Januar 2005
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
|
2 2007
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur – 257
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
Deckblatt ..................................................................................................................................1
1. Handelsbezeichnung ..........................................................................................................3
2. Funktionsbeschreibung..................................................................................................3
2.1 Anfordern qualifizierter Zeitstempel ......................................................................3
2.2 Unterstütze Ausführungsumgebung .....................................................................4
3. Erfüllung der Anforderungen des SigG und der SigV .................................................5
3.1 Erfüllte Anforderungen ...........................................................................................5
3.2 Einsatzbedingungen .....................................................................................................5
3.2.1 Einrichtung der Rechners zur Beweissicherung/ Archivierung ........................5
3.2.2 Betrieb/Nutzung......................................................................................................5
3.2.2.1 Potentielle Bedrohungen ....................................................................................5
3.2.2.2 Maßnahmen in der Einsatzumgebung...............................................................6
a) Auflagen zur Anbindung an das Internet ..............................................................6
3.2.2.3 Schutz vor unbefugter Veränderung .................................................................7
3.2.3 Wartung/Reparatur.....................................................................................................7
3.4 Auflagen zur Auslieferung und Installation des Produktes ..........................................7
4. Begleitende Dokumente .....................................................................................................9
5. Gültigkeit der Herstellererklärung .....................................................................................9
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
258
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur –
|
2 2007
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
1. Handelsbezeichnung
Die Handelsbezeichnung lautet: TimeCert® Version 1.3
Auslieferung:
TimeCert® wird sowohl auf einer CD als auch als vorgefertigtes
3
Installationspaket ausgeliefert. Auf dieser CD bzw. in diesem Paket befinden
sich eine Installationsroutine für TimeCert®, die erforderlichen
®
Systemkomponenten, bestehend aus Microsoft .NET Framework Software
Development Kit (SDK), Version 1.1 sowie ein Handbuch zur Installation und
Administration in elektronischer Form.
Hersteller: Mentana-Claimsoft AG
Spreenhagener Str. 16
15528 Spreenhagen b. Berlin
Tel. : 033633/691188
HE@mentana.de
2. Funktionsbeschreibung
Die Software TimeCert® ist eine Teil-Signaturanwendungskomponente4 im Sinne von § 2 Nr.
11 SigG, die elektronische Daten durch Anforderung „qualifizierter Zeitstempel“ nach § 2
Nr. 14 SigG in eine revisionssichere (§ 238ffHGB) wie auch rechtssichere (§126a BGB i.v.m.
§ 371a ZPO) elektronische Form bringt. Hauptanwendungsfall der Software TimeCert® ist die
Archivierung von Daten direkt aus dem Microsoft® Windows Explorer zur Erfüllung der
Anforderungen der GoBS/ GDPdU i.v.m § 238ffHGB oder zur urheberechtlichen
Datensicherung oder zum Schutz von Marken und Gestaltungsmustern sowie zur
Codesicherung bei Wettbewerbsverstößen nach GWB und UWG.
2.1 Anfordern qualifizierter Zeitstempel
Jegliche Dokumente (Dateien) können durch den Benutzer für Archivierungszwecke oder für
Beweissicherungszwecke mit einem qualifizierten Zeitstempel (elektronische
Bescheinigungen eines Zertifizierungsdiensteanbieters, der mindestens die Anforderungen
nach den §§ 4 bis 14 sowie § 17 oder § 23 des SigG und der sich darauf beziehenden
Vorschriften der Rechtsverordnung nach § 24 SigG erfüllt) gesichert werden. Dazu wird über
eine verschlüsselte Verbindung (HTTPS) auf einen passwortgeschützten Benutzeraccount,
3
Im Rahmen des Vertriebes über Online-Shops
4
„Teil“ einer Signaturanwendungskomponente da nur die ausdrücklich genannten Funktionen erbracht
werden.
Seite 3
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
|
2 2007
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur – 259
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
der geschlossenen Benutzergruppe, bei www.signaturportal.de mittels eines Web-Service
zugegriffen. Die Realisierung des Web-Service basiert auf den offenen Standards Simple
Object Access Protocol -„SOAP“ (siehe http://www.w3.org/TR/SOAP/) sowie Web-Service-
Description-Language – „WSDL“ (siehe http://www.w3.org/TR/wsdl)
Der Hash-Wert (SHA-1) der betreffenden Datei wird durch TimeCert® ermittelt und an
www.signaturportal.de übermittelt. Das Portal www.signaturportal.de unterhält gesicherte
Verbindungen zu den unten genannten Zertifizierungsdiensteanbietern, denen der
übermittelte Hash-Wert der Datei eingeliefert wird. Die Zeitstempeldatei (Antwort des
Zertifizierungsdiensteanbieters) wird zurück an den Benutzer der Software TimeCert®
übermittelt und zusammen mit dem Ursprungsdokument in einen neuen Datei-Ordner
geschrieben. Daneben wird ein XML Vorgangsprotokoll erzeugt, welches die wesentlichen
Daten der Zeitstempeldatei und der Ursprungsdatei angibt. Über das Kontextmenü der
rechten Maustaste kann zu Verifikationszwecken der Hash- Wert (SHA-1) der Ursprungsdatei
erzeugt werden und mit den Daten aus der Zeitstempeldatei verglichen werden, die dem
XML- Dokument zu entnehmen sind.
Per Stand November 2006 werden Zeitstempel der folgenden Zertifizierungsdienste
ausgeliefert.
a) AuthentiDate International AG5
Großenbaumer Weg 6
40472 Düsseldorf
b) Deutsche Post Com GmbH6
Geschäftsfeld Signtrust
Tulpenfeld 9
53113 Bonn
2.2 Unterstütze Ausführungsumgebung
Die Software TimeCert® kann unter den Betriebssystemen
x Windows 2000 Professional / Server
x Windows XP Home / Professional / MCE
x Windows 2003 Server / Advanced Server eingesetzt werden.
5
Gütezeichen RegTP Nr. Z0015, erteilt am 9. November 2001.
6
Gütezeichen RegTP Nr. Z0002, erteilt am 17. September 2004.
Seite 4
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
260
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur –
|
2 2007
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
x
3. Erfüllung der Anforderungen des SigG und der SigV
3.1 Erfüllte Anforderungen
Die Software TimeCert® erfüllt die Anforderungen nach § 17 Abs. 2 SigG i.v.m. § 17 Abs. 3
Nr. 3 SigG in folgendem Sinne.
Es werden die folgenden Eigenschaften zugesichert:
1. eindeutige Anzeige und Feststellbarkeit der Daten, die der Sicherung durch
Zeitstempel zugeführt werden sollen (vor Abruf der Zeitstempel),
2. eindeutige Anzeige und Feststellbarkeit der Daten die Zeitstempelgesichert wurden,
3. Feststellbarkeit der Ursprungsdaten zum Zeitstempel, des Unverändertseins der
Daten seit Zeitstempelsicherung (Hashsummenvergleich),
4. Nach §15 Abs. 4 SigV insbesondere:
1. Erkennbarkeit von sicherheitstechnischen Veränderungen an der Komponente.
Voraussetzung dafür ist, dass die unter 3.2 ff spezifizierten Einsatzbedingungen eingehalten
werden. Es wird ein Betrieb in einem geschützten Einsatzbereich vorausgesetzt.
Die Software TimeCert® unterstützt nicht die Prüfung (Verifikation) von
Zeitstempelsignaturen.
3.2 Einsatzbedingungen
3.2.1 Einrichtung der Rechners zur Beweissicherung/ Archivierung
Die Installation des Rechners erfolgt durch den Kunden bzw. einen betreuenden Techniker.
Es muss vorausgesetzt werden, dass diejenige Person, die das System installiert, die
entsprechende Eignung zur Installation und Inbetriebnahme besitzt.
3.2.2 Betrieb/Nutzung
Der Betrieb des Rechners muss derart abgesichert sein, dass nur autorisierte Nutzer Zugang
zum System erhalten. Insbesondere ist Benutzernahme, Passwort und Gatewaypasswort des
Nutzerzugang (auf www.signaturportal.de) geheim zu halten. Die Abfrage von
Benutzernahme und Passwort erfolgt vor jeder Dateneinlieferung.
Ein Installations- und Administrationshandbuch, in dem entsprechende Maßnahmen
dokumentiert werden, liegt der Software in elektronischer Form bei.
3.2.2.1 Potentielle Bedrohungen
Die Sicherheit der Teil-Signaturanwendungskomponente TimeCert® ist potentiell bedroht
durch
Seite 5
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
|
2 2007
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur – 261
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
• Angriffe über Kommunikationsnetze7,
• Angriffe über manuellen Zugriff Unbefugter/Datenaustausch per Datenträger8 und
• Fehler/Manipulationen bei Installation, Betrieb/Nutzung und Wartung/Reparatur.
Grundlage dieser Erklärung ist der Einsatz von TimeCert® in einem geschützten
Einsatzbereich. Für den sicheren Einsatz von TimeCert® und zur Verhinderung von
erfolgreichen Angriffen mit den Zielen, dass:
x Daten vom Zeitstempel getrennt werden
x Ein fehlerhafter/falscher Hashwert für ein Ursprugsdokument übermittelt wird mit der
Folge, dass die gewünschte Beweis/Revisionssicherheit nicht erreicht werden kann.
sind die folgenden Auflagen zu beachten:
3.2.2.2 Maßnahmen in der Einsatzumgebung
Der Rechner wird in einem geschützten Bereich9 betrieben, der eine Kontrolle und
Dokumentation des Zugangs zur Teil-Signaturanwendungskomponente beinhaltet.
a) Auflagen zur Anbindung an das Internet
Für die Internetanbindung des Systems muss sichergestellt sein, dass kein Zugriff auf dieses
System aus ungesicherten Netzen möglich ist. Die Netzwerkverbindung muss durch den
Einsatz einer konfigurierten Firewall gesichert werden. Durch den Benutzer ist zu
gewährleisten, dass Angriffe aus dem Internet erkannt und sofern möglich unterbunden
werden.
b) Auflagen zur Anbindung an ein Intranet
Wenn das eingesetzte System innerhalb eines Intranets betrieben wird, so muss diese
Netzverbindung geeignet abgesichert sein, so dass Online-Angriffe aus dem Intranet auf den
Computer erkannt bzw. unterbunden werden.
c) Auflagen zur Sicherheit der IT-Plattform und Applikationen
Der Benutzer von TimeCert® muss sich davon überzeugen, dass keine Angriffe auf das
Anwendungssystem und die dort installierten Applikationen durchgeführt werden. Insbe-
sondere muss gewährleistet sein, dass:
1. die auf dem Rechner installierte Software weder böswillig manipuliert noch in
irgendeiner anderen Form verändert werden kann,
7
Spezifizierte Bedrohung gemäß Fußnote 15 RegTP Dokument: Einheitliche Spezifizierung der
Einsatzbedingungen für Signaturanwendungskomponenten Version 1.1.
8
Spezifizierte Bedrohung gemäß Fußnote 16 RegTP Dokument: Einheitliche Spezifizierung der
Einsatzbedingungen für Signaturanwendungskomponenten Version 1.1.
9
Definierter Einsatzbereich gemäß Nr. 4.2 RegTP Dokument: Einheitliche Spezifizierung der
Einsatzbedingungen für Signaturanwendungskomponenten Version 1.1.
Seite 6
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
262
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur –
|
2 2007
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
2. auf dem Rechner keine Viren oder Trojanischen Pferde eingespielt werden
können,
3. die Hardware des Rechners nicht unzulässig verändert werden kann
4. Eine Benutzerauthentifizierung am Betriebssystem des Rechners ist notwendig.
Bei Unterbrechung der Arbeiten ist eine Konsolensperrung notwendig, die eine
erneute Authentifizierung bei nächsten Arbeiten erforderlich macht.
3.2.2.3 Schutz vor unbefugter Veränderung
Um eine Überprüfung der eingesetzten Teil-Signaturanwendungskomponente zu
ermöglichen, veröffentlicht die Mentana-Claimsoft AG zu jeder Programmversion Referenz-
Hashwerte der ausführbaren Dateien auf ihrer Webseite (www.mentana.de ).
Die Versionsnummer und der Hashwert der eingesetzten TimeCert® Version lässt sich im
Menü Info der Software anzeigen. Der SHA-256 Hashwert der aktuell ausgeführten
Programmdatei wird zur Laufzeit berechnet und angezeigt. Dieser Hashwert kann vom
Anwender mit dem veröffentlichten Referenz-Hashwert verglichen werden.
3.2.3 Wartung/Reparatur
Bei der Wartung und der Reparatur des Anwendungssystems gelten die Voraussetzungen
der Erstinstallation (vergleiche Punkt 3.2.1).
Bei Erkennen von Fehlern, die die Sicherheit der Teil-Signaturanwendungskomponente
betreffen können, stellt die Mentana-Claimsoft AG umgehend aktualisierte Versionen der
Programmkomponenten zur Verfügung. Die Anwender des Programms werden über die
Webseite der Mentana-Claimsoft AG (www.mentana.de ) über das Auftreten einer solchen
Situation, unbeschadet einer ergänzenden Veröffentlichung, eines Widerruf oder einer
Erneuerung der Herstellererklärung im Amtsblatt der Bundesnetzagentur (vormals
Regulierungsbehörde für Post und Telekommunikation) gemäß §17 Abs.4 Satz 3 SigG
informiert.
3.3 Algorithmen und zugehörige Parameter
Der verwendete Hashalgorithmus ist SHA-1. Die gemäß Anlage 1 Abs. I Nr. 2 SigV
festgestellte Eignung reicht mindestens bis Ende des Jahres 2009 (siehe BAnz. Nr. 58 vom
23.03.2006, Seite 1913-1515). Der aktuell gültige sowie die jährlichen Aktualisierungen des
Algorithmenkatalogs können auf der Website der Bundesnetzagentur unter:
http://www.bundesnetzagentur.de/enid/65026a6ee5e22c71a33b5e7e1f6803d7,0/Veroeffentli
chungen/Algorithmen_sw.html
eingesehen werden.
3.4 Auflagen zur Auslieferung und Installation des Produktes
Seite 7
Bonn, 24. Januar 2007
A
Amtsblatt der Bundesnetzagentur
|
2 2007
für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen
– Mitteilungen, Sonstiges, Teil A, Mitteilungen der Bundesnetzagentur – 263
TimeCert Version 1.3 HE-Nr. 2006-BW-TimeCert 2.1
Die Teil-Signaturanwendungskomponente TimeCert® wird vom Hersteller als Produkt
entweder auf CD oder als installationsfähiges Softwarepaket über das Internet ausgeliefert.
Die Teil-Signaturanwendungskomponente TimeCert® ist für die folgende technische
Einsatzumgebung vorgesehen:
• IBM-kompatibler PC/ Server lauffähig mit einem der unten genannten
Betriebssysteme, mit Anschlussmöglichkeiten für ein Read-Only-Memory-
Laufwerk (z.B. ein DVD-ROM oder CD-ROM)
• Unterstützte Betriebssysteme sind Windows 2000 Professional, Windows 2000
Server, Windows 2000 Advanced Server, Windows 2003 Server, Windows 2003
Enterprise Server, Windows XP.
• Laufzeitumgebung: Microsoft® .NET Framework Software Development Kit (SDK),
Version 1.1
Seite 8
Bonn, 24. Januar 2007
