Von TR-03125 über TR-VELS zu TR-ESOR

Von TR-03125 über TR-VELS zu TR-ESOR Dr. Ulrich Kampffmeyer Agnieszka Wasniewski PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH Hamburg, Oktober 2011 Von TR-03125 über TR-VELS zu TR-ESOR Von TR-03125 über TR-VELS zu TR-ESOR Von Dr. Ulrich Kampffmeyer Geschäftsführer der PROJECT CONSULT Unternehmensberatung GmbH Ulrich.Kampffmeyer@project-consult.com Agnieszka Wasniewski Redaktionsleiterin der PROJECT CONSULT Unternehmensberatung GmbH, Agnieszka.Wasniewski@project-consult.com Das BSI hat im Juli 2009 eine „Technische Richtlinie zur vertrauenswürdigen elektronischen Langzeitspeicherung (TR-VELS, TR-03125)“ vorgelegt. In der TR- VELS werden auf der Grundlage bestehender rechtlicher Normen und technischer Standards sowie nationaler und internationaler Erfahrungen, Anforderungen und Kriterien für die langfristige, beweissichere Aufbewahrung elektronischer Dokumente spezifiziert. Die Technische Richtlinie ist modular aufgebaut und kann der Seite des BSI heruntergeladen werden. Die TR-VELS hat etliche kritische Stimmen erhalten, woraufhin das BSI und der VOI vor der CeBIT 2010 in einer gemeinsamen Erklärung angekündigt haben, sowohl eine sprachliche, als auch eine technische Überarbeitung der TR 03125 durch zu führen. Der neue Titel der TR 03125 soll "Beweiswerterhaltung kryptographisch signierter Dokumente" lauten, kurz TR- ESOR 1. Diese Entwicklungen wurden in der XING Gruppe Information and Document Management2 kontrovers diskutiert. Was ist die TR-03125? Die Technische Richtlinie 03125 des BSI beschreibt in einem differenzierten Katalog von verpflichtenden (Muss), von empfohlen (Soll) und auch von optionalen (Kann) Anforderungen im Hinblick auf alle Elemente und Bereiche, in denen ein Gestaltungsbedarf besteht, um für Behörden und Institutionen wirkungsvolle, zukunftssichere und wirtschaftliche technische Szenarien für eine vertrauenswürdige Langzeitarchivierung elektronischer Dokumente und Daten aufzubauen. Im Wesentlichen werden dabei empfohlene Dokumentenformate, ein empfohlenes Speicherformat für Archivdatenobjekte, Empfehlungen zu einer IT- Referenzarchitektur oder alternativen Architekturen, Anforderungen an Komponenten und an Module sowie deren Zusammenspiel behandelt. Auf der Basis des vorliegenden Anforderungskatalogs sollen nun, so das BSI, Anbieter und Produkthersteller zu dieser Richtlinie konforme Lösungsangebote entwickeln. 1 https://www.bsi.bund.de/ContentBSI/Publikationen/TechnischeRichtlinien/tr03125/Kommentierung/Arbeitsergebn isse_140910.html 2 https://www.xing.com/net/informationlifecyclemanagement/digital-preservation-332785/de- vertrauenswurdige-archivierung-nur-mit-elektronischer-signatur-26619628/35754787/#35754787 Kunde: PROJECT CONSULT Thema: TR-03125, TR-VELS, TR-ESOR Version: 1.0 Datei: TR03125_XING_Kff_AgW_082011.docx Autor: Kff, AgW Status: Fertig © PROJECT CONSULT GmbH 2011 Datum: 26.10.2011 Seite: 2 von 19 Von TR-03125 über TR-VELS zu TR-ESOR Im Folgenden wird zunächst auf die Entwicklung der TR-VELS (Technische Richtlinie zur vertrauenswürdigen elektronischen Langzeitspeicherung) eingegangen, die eine branchenweite Diskussion im XING- Forum der Gruppe Information and Document Management gefunden hat. Nicht zuletzt durch diese Diskussion begründet, startete der BSI zusammen mit dem VOI (Verband Organisations- und Informationssysteme e.V) eine Revision der TR-VELS. Das Ergebnis dessen ist die TR-ESOR. Im weiteren Verlauf werden die Darstellung der Entwicklung und die Unterschiede zwischen beiden Richtlinien behandelt. TR-VELS Vertrauenswürdige elektronische Langzeitspeicherung Kritik an der TR-VELS / TR-03125 Im Nestor-Projekt entstanden das Handbuch zur vertrauenswürdigen Archivierung und der Kriterienkatalog vertrauenswürdige digitale Archive. Nun gibt das BSI seit Juli 2009 mit seiner technischen Richtlinie TR-03215 den Rahmen für ein Zertifizierungsverfahren vor und definiert technisch, was denn nun unter "vertrauenswürdig" zu verstehen sei und wer allein diese Vertrauenswürdigkeit bescheinigen darf. Erste Anbieter, wie z.B. Fujitsu / OpenLimit, haben bereits Lösungen nach dem dort beschriebenen Kriterien auf den Markt gebracht. Die BSI TR 03125 / VELS Richtlinie fasste eine Reihe von Projektergebnissen zusammen, deren Nutzen für den praktischen Einsatz umstritten ist. Zu dem erhob die TR VELS den Anspruch, das einzige und erste Konzept für "rechtssichere", "vertrauenswürdige" und "beweissichere" Archivierung zu sein und zugleich auch die "revisionssichere Archivierung" einzuschließen. Diese TR sollte für Produktzertifizierungen genutzt werden. Nur zertifizierte Produkte hätten so den Anspruch gehabt "rechtssicher", "vertrauenswürdig" und "beweissicher" zu sein. Dies soll für alle Branchen und alle Arten von Anwendungen mit Archivierungsbedarf etabliert werden, wie aus Vorträgen, Artikeln, Presse und der TR-VELS selbst zu entnehmen ist. Das Dokument selbst war zu diesem Zeitpunkt in einem Zustand, der keine Normung erlaubte, weder vom Inhalt noch vom Anspruch. Es handelte sich um einen deutschen Sonderweg zur Förderung der qualifizierten elektronischen Signatur in einem Bereich, wo "schwach werdende" und "durch Nachsignieren abzusichernde" kryptische Anhängsel nichts verloren haben. Von den Initiatoren der BSI TR VELS wurde eine Terminologie eingeführt, die das Verfahren nach TR VELS begrifflich in die Nähe der nestor-Initiative rückte. Der für Laien kaum wahrnehmbare Unterschied zwischen "Langzeitspeicherung" und "Langzeitarchivierung" in den Bezeichnungen machte dies deutlich. Wie die Webseiten, Vorträge, Artikel, Produktdatenblätter und andere Äußerungen zeigten, machen die Protagonisten selbst diesen Unterschied nicht. Allerdings fragte man sich etwas, was denn nun Nestor mit dem BSI- Zertifizierungsverfahren zu tun hat?! Kunde: PROJECT CONSULT Thema: TR-03125, TR-VELS, TR-ESOR Version: 1.0 Datei: TR03125_XING_Kff_AgW_082011.docx Autor: Kff, AgW Status: Fertig © PROJECT CONSULT GmbH 2011 Datum: 26.10.2011 Seite: 3 von 19 Von TR-03125 über TR-VELS zu TR-ESOR Die TR 03125 bietet das volle Arsenal der qualifizierten elektronischen Signatur 3 auf - Archisafe, Krypto, ArchiSig usw. Positiv war der Versuch, für das OAIS - Modell nach ISO 14721 ein XAIP - Format zu definieren. Die TR 03125 macht sich auch die Mühe, revisionssicher, rechtssicher, beweissicher und langzeitig abzugrenzen. Für rechtssicher und beweissicher bleibt jedoch nur die Archivierung mit elektronischer Signatur, in der Form, wie sie von BNetzA aus gegeben wird. In der XING - Gruppe Information and Document Management 4 wurde hierüber kontrovers diskutiert. Hieß das nun, • dass alle elektronischen Archivsysteme, die nicht nach TR 03125 arbeiten, nicht rechtssicher oder beweissicher sind? • dass man Systeme, die nicht der TR 03125 folgen, auch nicht in der öffentlichen Verwaltung einsetzen darf? • dass hierdurch alle großen internationalen Anbieter, die nicht speziell etwas für den deutschen Archivierungsmarkt bauen wollen oder können vom Wettbewerb ausgeschlossen sind? • dass alle bestehenden Archive in der öffentlichen Verwaltung in rechtssichere Archive mit elektronischer Signatur zu migrieren sind? • dass auch Langzeitarchive im internationalen Umfeld, z.B. der "Trusted Archive Initiative" jetzt die qualifizierte elektronische Signatur deutscher Prägung mit Anbieterakkreditierung und Archisig-Verfahren einsetzen, um weiterhin ein trusted Archive zu haben? • dass alle archivierten Dokumente ohne qualifizierte elektronische Signatur nicht rechtssicher sind? • dass Verfahren wie LTANS/ERS obselt sind? • dass man elektronsiche Signaturen in historischen Archiven über die Lebenszeit (>300) aktuell halten muss, da ja sonst Authentizität und Integrität nicht nachweisbar sind? Fragen über Fragen und die Hoffnung, in der Langzeitarchivierung käme man in einem vertrauenswürdigen Archiv bei einer vertrauenswürdigen Institution ohne den ganzen "Krypto-Signatur-Wasserzeichen-Nachsignieren-und-sonstigen-kaum- interpretierbaren-Zusatz-Schnickschanck-zum-eigentlichen-Informationsobjekt" aus schwindet. 3 https://www.bsi.bund.de/cae/servlet/contentblob/798514/publi... 4 https://www.xing.com/net/informationlifecyclemanagement/digital-preservation-332785/de- vertrauenswurdige-archivierung-nur-mit-elektronischer-signatur-26619628/35754787/#35754787 Kunde: PROJECT CONSULT Thema: TR-03125, TR-VELS, TR-ESOR Version: 1.0 Datei: TR03125_XING_Kff_AgW_082011.docx Autor: Kff, AgW Status: Fertig © PROJECT CONSULT GmbH 2011 Datum: 26.10.2011 Seite: 4 von 19 Von TR-03125 über TR-VELS zu TR-ESOR Wofür war die elektronische Signatur noch einmal gedacht - zur Absicherung von Archiven? Zum Nachweis des vollständigen Einscannens von Dokumenten in elektronische Signatur wie sie in der RLES für Europa im Jahr 1999 festgelegt worden Sozialversicherungen? Zur Absicherung elektronischer Rechnungen gegen Umsatzsteuer-Missbrauch? Oder gab es da noch einen anderen Zweck für die war? Durch die Zertifizierung nach TR-VELS würde für alle folgendes gelten: Rechtssichere und beweissichere elektronische Archivierung gibt es nur mit der qualifizierten elektronischen Signatur - zumindest in Deutschland.