Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.16. Außendarstellung der CA 75
Der Bekanntheitsgrad einer Web-Site ist wichtig für das Vertrauen, das ihr die Besucher entgegenbringen.
Web-basierende Sicherheits-Markennamen-Symbole wie VeriSign vermitteln dem Besucher
Vertrauenswürdigkeit.
Die Bedeutung einer guten Gestaltung und Benutzerführung beim WWW-Auftritt also gerade für
eine Zertifizierungsstelle, für die es ja wie für kaum eine andere Einrichtung auf das Vertrauen
ihrer „Kundschaft“ ankommt, kann daher nicht genug betont werden. Zum Glück läßt sich auch mit
einfachen Mitteln, mit kostenlosen Tools und vertretbarem Aufwand ein gelungener Web-Auftritt
mit einer Corporate Identity erzielen [BP99]. Aufgrund des letzten Punktes bietet es sich darüber
hinaus an, den Web-Auftritt der UNI-CA mit einigen geeigneten, bekannten seals of support zu
versehen, beispielsweise jenen für PGP, SSL, OpenSSL oder „pro Verschlüsselung“ allgemein.
4.16.4 Erreichbarkeit der CA als Einrichtung
Für eine Zertifizierungsinstanz und ihre Registrierungsstellen, die ja auf den persönlichen Kontakt
mit den Zertifikatnehmern angewiesen sind, ist eine gute Erreichbarkeit durch die Nutzer unabdingbar.
Das betrifft sowohl die geographische Lage ihrer Räumlichkeiten, als auch die Öffnungs- oder
Bürozeiten, als auch ihre sonstigen Kommunikationsverbindungen. Alle diese Angaben müssen für
die (potentiellen) Nutzer leicht zugänglich und mit wenig Aufwand ermittelbar sein.
4.16.4.1 Büro und Sprechzeiten
Einzelne CA-Mitarbeiter oder Raumnummern der Zertifizierungsstelle sollten nicht in der Policy
genannt werden, da diese ansonsten geändert werden müßte, bloß weil eventuell das CA-Büro innerhalb
des Gebäudes einige Zimmer weiter zieht oder weil ein Mitarbeiter ausscheidet.
Hinsichtlich der Büro-Sprechzeiten der UNI-CA bieten sich zwei Alternativen an: Entweder die
Zertifizierungsanträge können in der allgemeinen Benutzerberatung während deren Öffnungszeiten
abgegeben werden und werden dort von einem der RZ-Mitarbeiter entgegengenommen, der dort
gerade Dienst tut (dann müßten diese Personen über die vorzunehmenden Kontrollen bei der Identitätsprüfung
informiert und in die Arbeitsorganisation der CA einbezogen werden), oder aber es
wird eine separate „Zertifizierungs-Sprechstunde“ angeboten, während der Zertifizierungsanträge
abgegeben und Fragen zur Zertifizierung gestellt werden können. Bei der zweiten Variante wäre der
Umfang der wöchentlichen Sprechzeiten vermutlich geringer, dafür wäre sichergestellt, daß einer
der CA-Mitarbeiter für die Fragen zur Verfügung steht, außerdem müßten nicht so viele Mitarbeiter
wie bei der ersten Variante koordiniert werden.
4.16.4.2 Hotline für Notfälle
Für eine umgehende Verständigung der CA im Falle einer Schlüsselkompromittierung könnte eine
„Notrufnummer“ hilfreich sein. Allerdings bestünde bei ihr vermutlich das Problem, daß sich kaum
verhindern ließe, daß sie von den Nutzern auch angerufen würde, wenn sie irgendwelche Fragen zur