Technische Richtlinie TR-03127

TR-03127
Anhang B Sperrkennwort, Sperrschlüssel und Sperrhash
Sperrkennwort
Das Sperrkennwort ist ein während der Ausweisherstellung vom Hersteller zufällig aus einer Wörterliste
gewähltes Klartextpasswort.
Das Sperrkennwort wird
• zur Personalausweisbehörde übertragen und dort im Personalausweisregister gespeichert und
• im PIN-Brief abgedruckt und so dem Ausweisinhaber mitgeteilt.
Ein Wechsel des Sperrkennwortes ist nicht möglich.
Sperrschlüssel
Der Sperrschlüssel wird während des Herstellungsprozesses erzeugt. Er wird zusammen mit dem
Sperrhash an den Sperrdienst übertragen und dort für die Verwendung für eine eventuelle Sperre gespeichert.
Zur Spezifikation des Sperrschlüssels siehe [TR-03110].
Sperrhash
Der Sperrhash besteht aus dem Hash über die Verkettung von Geburtsdatum, Vorname, Nachname
und Sperrkennwort. Der Sperrhash wird
• im Produktionsprozess vom Hersteller erzeugt, zusammen mit dem Sperrschlüssel zum Sperrdienst
übertragen und dort gespeichert;
• im Sperrfalle von der Ausweisbehörde bzw. der Hotline gebildet und zum Sperrdienst übertragen
und
• im Falle einer Entsperrung oder einer Abfrage des Sperrstatus von der Ausweisbehörde gebildet
und zum Sperrdienst übertragen.
Zur Bildung des Sperrhashes werden die Eingangsdaten Geburtsdatum, Vorname, Nachname und
Sperrkennwort wie folgt umgewandelt:
• Alle Buchstaben des Eingangswertes werden in Großbuchstaben konvertiert, Leer- und Sonderzeichen
(z.B. Trennstriche) werden entfernt.
• Umlaute und andere diakritische Zeichen werden gemäß der Konvertierungstabelle in [ICAO
9303] (Volume 1 Appendix 2 to Section IV) konvertiert. Zeichen, die nicht gemäß dieser Tabelle
konvertiert werden können, werden weggelassen.
• Alle Zeichen werden als ASCII kodiert, erlaubt Zeichen sind nur lateinische Großbuchstaben,
Ziffern und „+“ als Feldtrenner.
Die Datenfelder werden wir folgt definiert:
• Geburtsdatum: 8 Zeichen im Format YYYYMMDD, unbekannte Teile werden durch „X“ gekennzeichnet
(entsprechend dem Aufdruck auf dem Ausweis).
Bsp.: 13.07.1964 → „19640713“,
Tag unbekannt.03.1970 → „197003XX“
• Vorname: Offizielle Vornamen gemäß Antragsdatensatz bis zum ersten Leerzeichen.
Bsp.: „Karl Theodor“ → „KARL“,
„Ann-Kathrin Maria“ → „ANNKATHRIN“
• Name: vollständiger Name gemäß Antragsdatensatz, das heißt einschließlich Namensbestandteile
wie „Freiherr von und zu“, aber ohne Geburtsname, Ordens- oder Künstlername.
Bsp.: „Möller“ → „MOELLER“,
„Freifrau zu Berg geb. Hügel“ → „FREIFRAUZUBERG“
34 Bundesamt für Sicherheit in der Informationstechnik