BSI-Zertifizierung nach PP-0115: wie das Verfahren abläuft

Für indigo verlangt das BSI eine zertifizierte MDM-Serverkomponente. Maßstab sind die Protection Profiles BSI-CC-PP-0115 und BSI-CC-PP-0116, evaluiert nach Common Criteria auf der Stufe EAL4, ergänzt um ALC_FLR.3. EAL4 ist die höchste Stufe, die international ohne zusätzliche nationale Anerkennung gilt. Der Zusatz verlangt ein formalisiertes Verfahren für den Umgang mit gemeldeten Sicherheitsmängeln.

Drei Beteiligte, drei Rollen

Der Sponsor ist der Antragsteller, in der Regel der Hersteller. Er finanziert das Verfahren, liefert sämtliche Nachweise und beantwortet Rückfragen. Der Aufwand liegt zum größten Teil hier.

Die Prüfstelle, im Verfahren ITSEF genannt, ist vom BSI anerkannt. Sie führt die technische Evaluierung durch, dokumentiert jede Prüfhandlung und schreibt am Ende den Evaluation Technical Report. Das BSI beaufsichtigt als Zertifizierungsstelle, stellt eigene Fragen und erteilt das Zertifikat.

Was tatsächlich geprüft wird

Die Prüfung verteilt sich auf sechs Bereiche, die im Verfahren Assurance-Klassen heißen. Sie erklären, warum eine Zertifizierung deutlich mehr ist als ein Sicherheitstest.

• Security Target. Beschreibt das Dokument das reale Produkt, und sind die Anforderungen des Protection Profile korrekt übernommen?
• Entwicklung. Vollständige Funktionsspezifikation, Design bis auf Subsystemebene, Sicherheitsarchitektur und Einsicht in den sicherheitsrelevanten Quellcode.
• Handbücher. Kann ein Administrator das Produkt allein anhand der Dokumentation sicher installieren und betreiben?
• Lebenszyklus. Konfigurationsmanagement, Auslieferung, Entwicklungssicherheit inklusive einer Prüfung vor Ort, Fehlerbehebungsprozess.
• Tests. Abdeckung, Tiefe, eigene Tests des Herstellers und unabhängige Tests der Prüfstelle am laufenden System.
• Schwachstellenanalyse. Systematische Suche nach bekannten Mustern plus Penetrationstests gegen das laufende System.

Der Löwenanteil der Arbeit steckt in der Entwicklungsdokumentation. Sie beschreibt ein Produkt in einer Tiefe und in einer Form, die im normalen Produktalltag nirgends verlangt wird.

Warum es Jahre dauert

Drei Dinge bestimmen die Laufzeit, und keines davon ist die eigentliche Prüfung.

Die Dokumentation. Sie muss erst entstehen, in einer Systematik, die die Prüfstelle akzeptiert. Werden die Konventionen erst über abgelehnte Fassungen erlernt, kostet das Monate.

Die Nachbesserungsrunden. Jede Beobachtung der Prüfstelle geht als formale Rückmeldung an den Sponsor, der nachdokumentiert, Code ändert oder Tests ergänzt. Mehrere Runden sind der Normalfall, und zwischen Beobachtung und geprüfter Antwort vergehen Wochen bis Monate.

Die Kapazität der Prüfstellen. Es gibt wenige anerkannte Prüfstellen für dieses Feld. Wartezeit auf einen freien Prüfplatz ist ein realer Posten im Zeitplan und wird von außen regelmäßig übersehen.

In der Summe liegt ein Erstverfahren für ein Produkt ohne Common-Criteria-Vorgeschichte in der Größenordnung von mehreren Jahren, nicht Monaten. Das Zertifikat gilt anschließend zehn Jahre, neue Produktversionen laufen über ein Pflegeverfahren.

Der Prüfgegenstand bestimmt den Aufwand

Zertifiziert wird nicht ein Produkt, sondern ein genau abgegrenzter Prüfgegenstand: eine bestimmte Version, bestimmte Komponenten, ein bestimmter Betriebsmodus. Alles außerhalb dieser Grenze wird nicht bewertet und kostet keine Evaluierungszeit.

Daraus folgt eine praktische Konsequenz: Ein bewegliches Ziel ist nicht evaluierbar. Der zertifizierte Stand muss ein kontrollierter, versionierter Build sein, in den Änderungen nur über ein dokumentiertes Verfahren einfließen. Eine Zulassungsaussage ist deshalb nur zusammen mit ihrem Bezug aussagekräftig.

Was die Vor-Ort-Prüfung verlangt

Verbreitet ist die Annahme, die physische Sicherheitsanforderung schließe verteilt entwickelte Software aus. Der Prüfmaßstab ist ein anderer. Verlangt sind dokumentierte und tatsächlich gelebte Kontrollen: Zutrittskontrolle an den Orten, an denen entwickelt wird, Zugriffskontrolle auf Repositories, Buildsysteme und Signaturinfrastruktur, geschützte Signaturschlüssel und eine Regelung für Remote-Arbeit. Kein Sicherheitsbereich, keine abgeschottete Liegenschaft.

Die Prüfung selbst dauert typischerweise einen Tag. Der Zeitbedarf des Verfahrens entsteht an den oben genannten Stellen.

Eine nationale Gesellschaft ist keine Voraussetzung

Die Annahme, für eine BSI-Zertifizierung brauche es eine deutsche Tochtergesellschaft, hält der öffentlichen Zulassungsliste nicht stand. Prüfstelle und BSI besuchen den Entwicklungsstandort dort, wo er ist.

Woran sich der Status festmachen lässt

• Auf welche Version und welchen Betriebsmodus bezieht sich die Aussage?
• Wer ist der Zertifikatsinhaber, und ist er identisch mit dem Vertragspartner?
• Ist eine Prüfstelle beauftragt, oder ist das Verfahren nur angekündigt?
• Existiert der Fehlerbehebungsprozess bereits, mit benannter Zuständigkeit und Reaktionszeiten?
• Welche Funktionslücken gegen das Protection Profile sind bekannt, und wann werden sie geschlossen?

Der Zertifizierungsstatus bleibt am Ende eine Ja-Nein-Frage zum Stichtag. Ein laufendes Verfahren ist keine Grundlage für eine Vergabeentscheidung, so aussichtsreich es auch sein mag. Das gilt umso mehr, seit die Übergangsregelung geschlossen ist, die einen Betrieb während laufender Evaluierung erlaubte.

Welche Produkte aktuell zertifiziert sind, unter Übergangsfrist laufen oder ohne Zertifikat aus der Frist gefallen sind, steht auf der indigo-Seite.