Der Bayerische Landesbeauftragte für den Datenschutz 19 ...

Der Bayerische Landesbeauftragte für den Datenschutz
19. Tätigkeitsbericht, 2000; Stand: 14.12.2000
_____________________________________________________________________________
Mitte 2000 wurde auf Empfehlung des zentralen CERT festgelegt, dass übergangsweise - für
spezielle Anforderungen - PGP auf Ebene der jeweiligen Poststellen der an das BYBN angeschlossenen
Behörden einzuführen sei. Im Übrigen wurde festgelegt, dass eine Zertifizierungsinfrastruktur
mit einer vom LfStaD betriebenen Zertifizierungsstelle als Basis für eine zügig zu
realisierende Sicherheitslösung aufzubauen sei, wobei die Staatskanzlei und die Staatsministerien
bis zum 30.09.2000 sog. Beglaubigungsstellen einrichten sollten. Dieses ist noch nicht erfolgt.
Möglichst bis zum 31.12.2000 sollten die Beglaubigungsstellen sodann durch Registrierungsstellen
ersetzt werden. Bis dahin sollten für den Austausch sicherer E-Mail auch S/MIME-
Clients im erforderlichen Umfang installiert werden.
Zertifizierungsinfrastruktur (PKI, Public Key Infrastructure)
Im September 1997 wurde festgelegt, dass ein X.500-konformes Verzeichnis der Kommunikationsadressen
im BYBN aufgebaut werden solle. Produktauswahl und Einrichtung des Verzeich-
nisdienstes sowie die Errichtung einer Zertifizierungsstelle beim LfStaD erstreckten sich bis
Oktober 1999. Zwei Registrierungsstellen - beim LfStaD selbst sowie beim StMI - nahmen An-
fang Februar 2000 ihren Betrieb auf.
Die im Dezember 1999 im BYBN veröffentlichten Entwürfe der Regelwerke (Sicherheitsrichtlinien
der Zertifizierungsstelle, Antragswesen, Antragsformulare, u.ä.) für die PKI wurden im Au-
gust 2000 zuletzt aktualisiert, aber bisher von keinem Gremium für verbindlich erklärt.
Meine ablehnende Haltung gegenüber der gewünschten zentralen Erzeugung von PGP-
Schlüsseln bei der Zertifizierungsstelle habe ich Mitte 2000 im Unterarbeitskreis Sicherheit dargestellt.
Eine zentrale Erzeugung ist nicht erforderlich (jedes Schlüsselpaar kann vom Nutzer
selbst erzeugt werden). Die dann erforderliche sichere Übermittlung des Schlüsselpaares an den
Nutzer wäre sehr aufwendig. Im Übrigen wäre nicht sichergestellt, dass der private Schlüssel
nicht noch in Kopie bei der Zertifizierungsstelle verbliebe. Ich sehe darin ein nicht hinzunehmendes
Sicherheitsrisiko.
Im April 2000 wurde angeregt, den Active Directory Service (ADS) von Microsoft anstelle des
bisherigen, auf OPEN-LDAP basierenden Systems des LfStaD zu verwenden - das bisher vom
LfStaD entwickelte formale Antragswesen für die Erteilung von Zertifikaten solle jedoch aus
organisatorischen Gründen beibehalten werden. Die daraufhin geschaffene Projektgruppe „Ein-