Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

66 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
nach Möglichkeit noch durch den bisherigen Ansprechpartner, über die sich ergebende personelle
Veränderung informiert werden.
4.13 Qualitätssicherung (der Sub-CAs)
„Das muß nicht bedeuten, daß Verstöße ... das Vertrauen in die Institution sofort zerstören.
Voraussetzung ist allerdings, daß sie als Einzelfälle auftreten und sanktioniert werden. Ein ge-
wisses Maß an institutionellem Mißtrauen in Form von Kontrollen kann das Vertrauen in eine
Institution sogar stärken ...“ [BBFK98, S. 16]
Wenn die UNI-CA sich dazu entschließt, Registrierungsinstanzen oder sogar nachgeordnete Zertifizierungsstellen
einzurichten, dann muß sie auch sicherstellen, daß diese die Policy wie bei der
Ernennung schriftlich garantiert einhalten. Derartige Kontrollen sind denkbar z.B. in Form von
Stichproben-Prüfungen bei der betreffenden CA/RA mittels unangekündigter oder sogar verdeckter
Kontrollen (Test-Zertifizierungen) oder in Form von agents provocateurs, die die CA/RA zu Fehlern
zu provozieren versuchen. Entscheidend dafür, daß die Regeln durch die Sub-CAs/RAs auch
eingehalten werden, sind die Einsicht in deren Sinn und in deren Notwendigkeit – beides sollte also
ausreichend vermittelt werden – und für den Fall eines Verstoßes auch eine Auswahl an abgestuften
Sanktionsmitteln bis hin zum Entzug der Zertifizierung oder der Registrierungsbefugnis.
4.14 Dokumentation
Einer guten Dokumentation kommt ebenso wie der Öffentlichkeitsarbeit der CA (siehe 4.16) eine
wesentliche Bedeutung zu:
„Neben möglichst niedrigen Eingangshürden ist die Durchschaubarkeit (Transparenz) des Sy-
stems ein zentrales Element der Bürgerfreundlichkeit. Dieser Aspekt steht auch in Verbindung
mit der Sicherungsinfrastruktur. Denn die Sicherheit der Kommunikationsbeziehungen ist we-
sentlich davon abhängig, daß der Umgang mit digitalen Signaturen verständlich und die Bedeu-
tung und Zusicherung von Zertifikaten ... ausreichend nachvollziehbar ist.“ [Drä96]
Die Dokumentation ist sowohl nach außen hin für die Nutzer als auch zu internen Zwecken der
CA (z.B. für den Fall eines Mitarbeiterwechsels) wichtig. Schon die Policy zwingt dazu, gewisse
Angaben oder Informationen zu dokumentieren und teilweise zugänglich zu machen.
4.14.1 Liste nachgeordneter Zertifizierungsstellen
Wenn Sub-CAs eingerichtet werden, sollte eine stets auf dem aktuellen Stand befindliche Übersicht
über alle Sub-CAs der betreffenden Zertifizierungsstelle geführt werden. Intern braucht die UNI-
CA diese Daten sowieso, und ihre Zusammenstellung erleichtert es Nutzern, einen Überblick über
den Teil der Zertifizierungsinfrastruktur zu behalten oder zu erlangen, an dessen Spitze die UNI-CA
steht.