Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.2. Outsourcen oder Do-it-yourself? 37
4.2 Outsourcen oder Do-it-yourself?
Viele Unternehmen würden in dieser Situation einen entsprechenden Auftrag an Dienstleister vergeben
oder zumindest versuchen abzuschätzen, ob es nicht womöglich günstiger ist, die Dienstleistungen
der UNI-CA von einem externen Anbieter einzukaufen, oder doch insgesamt die Vorteile
überwiegen, wenn man eine solche CA mit eigenen Mitteln realisiert.
Es gibt inzwischen erste Praxisbeispiele, welche Kosten einzelnen Unternehmen bei der Einführung
einer Public-Key-Infrastruktur entstanden sind: Über einen Zeitraum von fünf Jahren kommen
bei 5 000 Nutzern gut 100 Dollar pro User [Mac98] zusammen. Andere Studien nennen zwischen
400 000 und 1,6 Millionen DM [NC98] für die gleiche Anzahl von Zertifizierungen und den gleichen
Zeitraum.
An diesen Summen wird deutlich, daß es für die UNI kaum zu finanzieren wäre, wenn sie diese
Dienstleistung out-sourcen würde und tatsächlich ein großer Teil der Studenten oder auch nur der
Rechenzentrumsnutzer Gebrauch von einer Zertifizierungsmöglichkeit machen würde. 1
Eine Inhouse-Lösung hätte einen weiteren, nicht unerheblichen Vorteil: Durch die Verknüpfung von
Rechenzentrum und Zertifizierungsstelle könnte Know-how erworben und könnten Synergieeffekte
genutzt werden für alle anderen (Netzwerk-)Bereiche, in die jetzt oder in Zukunft ebenfalls Public-
Key-Verfahren Einzug halten werden (siehe dazu auch 4.20.5).
4.3 Überblick über das Konzept
Die UNI-CA soll grundsätzlich nach den Richtlinien der DFN-PCA arbeiten und eine Zertifizierung
durch die DFN-PCA anstreben. Das Konzept ist so gewählt, daß diese Prämisse erfüllt wird.
Die UNI-CA kann bis auf weiteres nicht als Zertifizierungsstelle nach dem deutschen Signaturgesetz
betrieben werden, weil dessen Anforderungen an organisatorische, technische, personelle
und bauliche Maßnahmen so hoch sind, daß sie die Möglichkeiten der UNI bzw. ihres Rechenzentrums
übersteigen – zumal ja auch noch nicht abzusehen ist, ob ein entsprechender Bedarf für
Signaturgesetz-konforme Zertifizierung vorhanden wäre, der einen solchen Aufwand rechtfertigen
würde.
Den Schwerpunkt der Arbeit der UNI-CA (und deswegen auch der Betrachtungen in diesem Teil des
Handbuches) stellt die sichere Kommunikation mittels PGP dar. Dieses Programm bzw. Austauschformat
besitzt eine hohe Verbreitung – weltweit nutzen zwischen sechs und 20 Millionen Menschen
PGP [Moe99, SW97] – und stellt zur Zeit den De-facto-Standard für vertrauliche und/oder authentische
Kommunikation per E-Mail und im Usenet dar. (DFN-CERT: „Die Signatur von DFN-CERT-
Mitteilungen erfolgt bis auf weiteres ausschließlich mit PGP, da dies das zur Zeit am verbreitesten
[sic] Verfahren ist.“ [CER94])
Hinzu kommt, daß die X.509-Zertifizierung im DFN sich derzeit in einer Umbruchsphase befindet.
Es wurden schon seit längerem X.509-Zertifikate von der DFN-PCA bzw. deren User-CA ausgestellt;
diese zielten jedoch auf den Einsatz in PEM ab, einem Standard, der im Vergleich zu PGP
keine große Verbreitung im Internet erlangt hat. Mittlerweile werden unter einer dritten, vorläufigen
1 Zu weiteren Argumenten für oder wider einen Auftrag an ein externes Unternehmen siehe MOSES [Mos97].