Einsatzbedingungen für elektronische Signaturen

Bei der Anwendung von Qualifizierten Elektronischen Signaturen müssen folgende Sicherheitsrichtlinien durch den Administrator beachtet werden:

Der DocuWare 5 Client ist auf einem dedizierten Rechner zu installieren. Die DocuWare 5 Server sind ebenfalls auf einem dedizierten Rechner zu installieren. Dabei können die einzelnen Komponenten sowohl auf einem Rechner (Single-Mobile Installation) als auch auf unterschiedlichen Rechnern (Netzwerkinstallation) installiert sein. Eine detaillierte Beschreibung zu den unterschiedlichen Installationsarten finden Sie im DocuWare Installationshandbuch. Wird eine Netzwerkinstallation angewendet, muss von administrativer Seite sicher gestellt sein, dass Client und Server über gesicherte Leitungen innerhalb einer gesicherten Umgebung kommunizieren.

Zugriffe von einem anderen Rechner innerhalb des lokalen Netzes auf den betrachteten Rechner sind durch einen lokal installierten Paket-Filter-Mechanismus zu unterbinden. Das Öffnen von Verbindungen durch Anwendungen des Rechners selbst ist auf die betriebsnotwendigen IP-Adressen, Ports und Protokolle zu beschränken.

Der Rechner, auf dem der Client und/oder die Server installiert sind, muss sich in einem Raum befinden, der nur von autorisierten Personen betreten werden kann. Vor der Installation und während des Betriebes des Produkts ist sicherzustellen, dass die Sicherheit des Rechners und des installierten Betriebssystems nicht kompromitiert ist bzw. wird. Die DocuWare Software ist selbst signiert und kann nach einer Manipulation nicht gestartet werden, da die Signatur gebrochen ist. Das auf dem Rechner installierte Betriebssystem ist bezüglich verfügbarer Security-Fixes und Updates auf einem aktuellen Stand zu halten. Zur Laufzeit darf kein weiteres Betriebssystem auf dem Rechner aktiv sein (Virtual Machines).

Zugriffe auf die Ablage-Struktur von DocuWare müssen nur DocuWare-Servern (DocuWare Content Server) vorbehalten sein. Andere Benutzer dürfen keinen Zugriff haben. Dies kann über die Windows-Rechte-Struktur abgesichert werden.

DocuWare-Arbeitsstationen, die zur Erstellung von Qualifizierten Elektronischen Signaturen genutzt werden, müssen in einem internen Netz betrieben werden, das über eine Firewall gegen äußere Angriffe geschützt ist. Zugriffe von öffentlichen Netzen auf das lokale Netz, in dem sich der Rechner befindet, müssen durch die Verwendung eines entsprechend konfigurierten Routers unterbunden werden. Weiterhin muss auf der Arbeitsstation ein aktueller Virenscanner installiert sein.

Die verwendeten Chipkarten-Terminals sind unmittelbar mit dem Rechner verbunden, auf dem der DocuWare Client installiert ist und betrieben wird (kein KIOSK-System).

Die Systemzeit des Rechners, auf dem DocuWare Authentication Server installiert ist, muss korrekt sein. Es wird empfohlen, die Systemzeit über eine entsprechende Zeitreferenz (NTP) zu synchronisieren.

Zur Erzeugung Qualifizierter Elektronischer Signaturen sind Chipkarten-Terminals mit eigener Tastatur, sichere Signaturerstellungseinheiten (Signaturkarten), die die Microsoft Crypto-API implementieren, und qualifizierte Zertifikate einzusetzen, deren Eignung nach den Vorgaben von Signaturgesetz und Signaturverordnung geprüft und bestätigt ist.

Der Organisations-Administrator muss sicherstellen, dass nur berechtigte Personen Signaturstempel anlegen können, und weiterhin sicherstellen, dass nur berechtigte Personen Signaturstempel, die Qualifizierte Elektronische Signaturen erzeugen, verwenden können. Es wird empfohlen, Signaturstempel, die Qualifizierte Elektronische Signaturen erzeugen, immer Benutzern des Produkts direkt zuzuweisen. Eine Zuweisung von Signaturstempeln über Profile, Rollen und Gruppen sollte von administrativer Seite ausgeschlossen werden.

Der Organisations-Administrator muss für all diejenigen Personen, die Signaturstempel verwenden dürfen, die Qualifizierte Elektronische Signaturen erzeugen, folgendes sicherstellen: Diese Personen dürfen nur Zugriff auf Briefkörbe im DocuWare-5-Modus, nicht aber im DocuWare-4-Modus, haben und ihnen darf es nicht erlaubt sein, Briefkörbe zu administrieren.

Der Administrator muss sicherstellen, dass immer aktuelle Zertifikate im Windows-Zertifikatsspeicher des Rechners, auf dem der DocuWare Client installiert ist, eingespielt sind. Weiterhin muss der Administrator sicherstellen, dass immer aktuelle Sperrlisten im Windows-Zertifikatsspeicher des Rechners, auf dem der DocuWare Client installiert ist, eingespielt sind. Hierzu kann er die Funktionalitäten des Windows-Betriebssystems (Windows Zertifikatsspeicher) nutzen.

Werden signierte Dokumente aus DocuWare exportiert, muss durch den Benutzer sichergestellt werden, dass keine Unberechtigten Zugriff darauf haben.

Briefkörbe, die für Massensignaturen vorgesehen sind, dürfen nur von berechtigten Personen verwendet werden. Dies ist über Windows-Sicherheitsmechanismen sicherzustellen.

Nutzung der Systemressourcen

DocuWare nutzt zur Erstellung der Signatur die Crypto-API, die Bestandteil der Windows-Betriebssysteme von Microsoft ist. Die jeweilige Software der Signatur-Erstellungseinheit muss diese Schnittstelle implementieren.

Zur Erstellung der Hash-Werte werden die zugänglichen .net Klassen im Namensraum System.Security.Cryptography genutzt. Der Hashwert wird in einem zweistufigen Verfahren gemäß XML-DSig erzeugt.

Wenn ein Benutzer die Signatur erzeugt, muss die gesamte Zertifikatskette, von seinem Benutzer-Zertifikat bis zum zugehörigen Wurzel-Zertifikat im Windows-Zertifikatsspeicher gespeichert sein. Der Windows-Zertifikatsspeicher ist Bestandteil der unterstützten Windows-Betriebssysteme.

Bei der Prüfung der Signatur muss ebenfalls die gesamte Zertifikatskette im Windows-Zertifikatsspeicher des jeweiligen Rechners gespeichert sein. Das Benutzerzertifikat kann auch wahlweise in der Signatur gespeichert werden. In diesem Fall muss es nicht im Windows-Zeritifikatsspeicher des Personalcomputers, auf dem geprüft wird, vorhanden sein.