Technische Richtlinie TR-03127

4.2 Authentisierungsterminal
TR-03127
Ein Authentisierungsterminal ist berechtigt, auf die eID-Anwendung zuzugreifen. Dabei werden durch
die in der Authentisierung vergebenen Rechte festgelegt, welche Daten/Funktionen freigegeben werden.
Die Datenfelder werden in Abschnitt 3.2.2 aufgelistet. Zusätzlich kann einem Authentisierungsterminal
das Recht zugeteilt werden, bestimmte Daten auf dem Chip (z.B. die aktuelle Adresse) zu ändern.
Unterschieden wird zwischen hoheitlichen nationalen Authentisierungsterminals und nicht-hoheitlichen/ausländischen
Authentisierungsterminals. Nicht-hoheitliche/ausländische Authentisierungsterminals
benötigen i.A. die Eingabe der geheimen eID-PIN, um das Auslesen der Daten an das Einverständnis
des Inhabers zu binden und gleichzeitig den Personalausweis an den Inhaber zu binden. Verwendet
werden nicht-hoheitliche/ausländische Authentisierungsterminals z.B. für die Online-Authentisierung,
siehe Abschnitt 4.5.
Für hoheitliche nationale Authentisierungsterminals wird i.A. das Recht CAN allowed gesetzt, d.h. es
kann die CAN als PACE-Passwort genutzt werden. Bei Verwendung der CAN ist keine Personenbindung
möglich, d.h. die Personenbindung muss z.B. durch die Identifizierung des Inhabers über das
Terminaltyp PACE-Passwort Mögliche Terminalrechte
Inspektionssystem
(hoheitlich national bzw.
hoheitlich ausländisch)
Authentisierungsterminal
(hoheitlich national bzw.
nicht-hoheitlich/ausländisch)
Bestätigtes Signaturterminal
Nicht authentisiertes
Terminal
Tabelle 4: Teminaltypen
CAN;
MRZ
eID-PIN;
CAN falls Recht
CAN allowed
nachgewiesen
● Lesezugriff auf DG1 (MRZ), DG2 (Gesichtsbild)
der Biometrieanwendung
● Lesezugriff auf DG3 (Fingerabdrücke) der Biometrieanwendung
und Daten der eID-Anwendung
je nach nachgewiesenen Rechten
Lese-/Schreibzugriff auf die Datengruppen der eID-Anwendung
gemäß authentisierten Rechten
Spezielle Rechte:
● Erzeugung eines Signaturschlüsselpaares
● eID-PIN setzen, eID-Anwendung An-/Ausschalten
● Sektorspezifische Kennung (Pseudonym)
● Altersverifikation
● Wohnortabfrage
CAN ● Erzeugung qualifizierter Signaturen mit zusätzlicher
Eingabe der Signatur-PIN
● Setzen einer neuen Signatur-PIN mit zusätzlicher
Eingabe der alten Signatur-PIN
eID-PIN ● Anlegen der Signatur-PIN
● Terminieren des Schlüssels für qualifizierte Signaturen
und der Signatur-PIN
eID-PIN Setzen einer neuen eID-PIN
PUK Zurücksetzen der Fehlbedienungszähler von eID-
PIN/Signatur-PIN
Bundesamt für Sicherheit in der Informationstechnik 19