Ein Produktzertifikat ist keine Betriebserlaubnis

Ein Zertifikat nach Common Criteria ist eine Aussage über ein Produkt. Genauer: über einen abgegrenzten Prüfgegenstand, in einer bestimmten Version, mit bestimmten Komponenten, geprüft unter bestimmten Annahmen. Es ist keine Aussage darüber, ob der Einsatz in einer konkreten Organisation, in deren Netzarchitektur und mit deren Prozessen zulässig ist.

Diese zweite Frage wird getrennt beantwortet, von einer anderen Stelle, in einem anderen Dokument. In Angeboten und Ausschreibungstexten erscheinen beide Aussagen häufig als eine. Der Unterschied fällt dann erst auf, wenn der letzte Schritt ansteht.

Zwei Dokumentenarten, zwei Fragen

Das lässt sich an den Kennungen ablesen. Produktzertifikate tragen die Form BSI-DSZ-CC und beantworten: Erfüllt dieses Produkt in dieser Version die geprüften Sicherheitsanforderungen? Einsatzerlaubnisse tragen die Form BSI-VSA und beantworten: Darf mit diesem Produkt eingestuft gearbeitet werden, bis zu welchem Geheimhaltungsgrad, und unter welchen Auflagen?

Beide Dokumente gehören zusammen, und sie ersetzen einander nicht. Eine Einsatzerlaubnis ist zudem befristet und an drei Bedingungen gebunden: Sie gilt nur für die im zugehörigen Annex gelisteten Konstruktionsstände, also die dort namentlich aufgeführten Geräte- und Softwarestände, nur für Produkte, die gemäß den beigefügten Einsatz- und Betriebsbedingungen installiert und betrieben werden, und nur unter Beachtung der Risikobetrachtung.

Die Bedingungen sind ausformuliert

Auf der Zertifikatsseite steht das Security Target, also das Dokument, gegen das geprüft wird. Es enthält einen Abschnitt mit Annahmen über die Einsatzumgebung: wie das Produkt betrieben wird, wer administrativen Zugriff hat, wie das Netz aufgebaut ist, welche Schutzmaßnahmen außerhalb des Prüfgegenstands als gegeben gelten. Diese Annahmen gehören zur Aussage: Die geprüfte Zusicherung gilt genau unter ihnen.

Auf der Seite der Einsatzerlaubnis wird es noch konkreter. Zu ihr gehören Einsatz- und Betriebsbedingungen, international Security Operating Procedures genannt. Sie beschreiben die Mindestanforderungen für Installation, Integration und Konfiguration sowie für Kontrolle, Schutz und Betrieb, dazu Sicherheitsmanagement, Zubehör und die produktspezifische Dokumentation.

Die Antwort auf die Frage, wie die Betriebsumgebung aussehen muss, steht damit nicht im Zertifikat, sondern hier. Und zwar in einer Ausführlichkeit, die von materieller und personeller Sicherheit über Wartung und Notfallprozeduren bis zu Meldepflichten bei Vorfällen und bei Update-Verzug reicht. Für die Verwaltungsebene existiert ein eigener Anhang mit Anforderungen an das Mobile Device Management, für den Aufbau ein weiterer zu Systemintegration und Konfiguration.

Ein Detail zeigt den Umfang: Die zugehörige Risikobetrachtung ist selbst eingestuft und liegt dem Dokument nicht bei. Sie ist beim Hersteller anzufordern. Für die Planung der Betriebsumgebung braucht es also nicht ein Dokument, sondern Zugang zu einem Satz davon.

Wo das im Apple-Umfeld sichtbar wird

Für den eingestuften Betrieb von iPhone und iPad verlangt das BSI eine zertifizierte MDM-Serverkomponente. Zertifiziert ist damit der Server. Nicht zertifiziert, und trotzdem Voraussetzung, ist alles, was ihn umgibt: die Enrollment-Pipeline, das Identitätsmodell, die Zertifikatsinfrastruktur, die Rollen- und Freigabelogik, die Betriebsdokumentation.

Dieser Bereich heißt im Protection Profile ausdrücklich Betriebsumgebung und liegt außerhalb des Prüfgegenstands. Kein zertifiziertes Produkt konfiguriert ihn mit. Er muss entworfen, umgesetzt und beschrieben werden, und er ist der Teil, an dem Vorhaben in der Zulassung hängenbleiben.

Bemerkenswert ist, dass die Einsatz- und Betriebsbedingungen diese Rolle ausdrücklich vorsehen. Sie richten sich an alle, die für Installation, Kontrolle, Betrieb und Nutzung verantwortlich sind, und nennen daneben unabhängige Stellen, die Planung und Inbetriebnahme verantworten und das Gesamtsystem anschließend an den Betreiber übergeben. Diese Rolle ist im Verfahren also nicht geduldet, sondern eingeplant.

Woran sich ein Angebot prüfen lässt

• Auf welche Version und welchen Betriebsmodus bezieht sich das genannte Zertifikat?
• Welche Annahmen stehen im Security Target, welche Auflagen in den Einsatz- und Betriebsbedingungen, und wer erfüllt sie in der beschaffenden Organisation?
• Wer verantwortet die Zulassung des konkreten Betriebs, und ist dieser Aufwand im Angebot enthalten?

Die dritte Frage ist die, die am häufigsten unbeantwortet bleibt. Sie trennt ein Produktangebot von einem Vorhaben, das bis zur Inbetriebnahme trägt.

Was die Planung teuer macht

Teuer wird es meist dort, wo das Zertifikat budgetiert ist und die Inbetriebnahme als Selbstläufer geführt wird. Das Zertifikat ist der Punkt, an dem ein Produkt beschaffbar wird. Bis zum eingestuften Betrieb fehlen dann noch die Betriebsumgebung, ihre Dokumentation und die Zulassungsentscheidung für den konkreten Fall.

Dieser Abstand verschwindet nicht dadurch, dass er im Plan fehlt. Er taucht später auf, an der Stelle mit den wenigsten Handlungsmöglichkeiten.

Wie die Grenze zwischen zertifiziertem Produkt und Betriebsumgebung konkret verläuft, steht auf der indigo-Seite. Wie das Verfahren hinter einem Produktzertifikat abläuft, steht in BSI-Zertifizierung nach PP-0115.