Eine Zulassung wird vom BSI grundsätzlich befristet, i.d.R. auf drei Jahre. Eine Verlängerung der Zulassung wird durch das BSI immer angestrebt, sofern a) keine Sicherheitslücken/Schwachstellen oder sonstige Gründe gegen die Verlängerung sprechen und b) der Hersteller für das Produkt (bzw. die Version) weiterhin Support anbietet.

Das BSI befristet Zulassungen grundsätzlich, in der Regel auf drei Jahre. Allerdings verlängern wir Zulassungen i.d.R. mindestens einmal für weitere drei Jahre, es sei denn
a) das Produkt besitzt nicht durch einen Patch behebbare Sicherheitslücken/Schwachstellen oder
b) der Hersteller bietet für das Produkt (bzw. die Version) keinen Support mehr an.
Im Falle der beiden Softwareprodukte kann es auch sein, dass sich die Verlängerung auf eine neuere Version des Produkts bezieht, die aber auch durch den Produktsupport abgedeckt ist.

Diese Aussage ist im Prinzip korrekt, jedoch wirkt das BSI auf den Hersteller ein, schnellstmöglich einen Patch zur Behebung dieser Schwachstelle bereitzustellen. Sobald dieser vorliegt, muss nicht das gesamte Produkt erneut evaluiert werden, sondern lediglich die geänderten Teile. Bei einem Patch zur Behebung einer Schwachstelle ist dies erfahrungsgemäß in kurzer Zeit möglich.

Nein, bei Produktänderungen müssen nur die geänderten Teile des Produkts im Rahmen einer Re-Evaluierung betrachtet werden.

Wird GnuPG VS-Desktop auf Basis der Zulassung BSI-VSA-10573 oder GreenShield auf Basis der Zulassung BSI-VSA-10602 (also beide Produkte mit einer SmartCard) eingesetzt, gibt es aus Sicht der Zulassung keine Anforderungen an den Rechner, auf dem das Produkt genutzt wird, da das private Schlüsselmaterial dann durch die SmartCard geschützt ist.

Wird keine SmartCard verwendet, kann das Produkt GnuPG VS-Desktop auf Basis der Freigabeempfehlung BSI-VSA-10584 und GreenShield auf der Basis der Freigabeempfehlung BSI-VSA-10632 genutzt werden. Die SecOps schreiben vor, dass der Rechner, auf dem das private Schlüsselmaterial liegt, für VS-NfD freigegeben sein muss; dies trifft auf die SINA Workstation oder das Produkt vs-top der Firma genua aufgrund ihrer eigenen Zulassungen zu. Auch ein Rechner, der mit einer zugelassenen Festplattenverschlüsselung wie R&S®Trusted Disk oder Utimaco DiskEncrypt ausgestattet ist und zulassungskonform betrieben wird, wäre aus Sicht der Zulassungsstelle geeignet.

Bei der asymmetrischen Verschlüsselung handelt es sich im Grunde genommen um eine zweistufige Verschlüsselung. Die Daten werden dabei symmetrisch mit einem Schlüssel verschlüsselt, welcher wiederum mit dem Public-Key des Empfängers oder der Empfänger verschlüsselt wird. Bei der rein symmetrischen Verschlüsselung mit einem Passwort wird der symmetrische Schlüssel nur mit dem Passwort verschlüsselt und nicht mit dem Public-Key. An das Passwort werden in den SecOps deswegen sehr hohe Anforderungen bzgl. Länge und Entropie gestellt. Es darf nicht verglichen werden mit einem Passwort, welches bspw. für die Anmeldung an einem Internet-Portal verwendet wird.
Sämtliche in den beiden Produkten zugelassenen Funktionen entsprechen den Anforderungen des BSI.

Jeder Hersteller ist im Prinzip frei in seiner Entscheidung, wie er seine Produkte weiterentwickelt. Solange er dabei die Anforderungen des BSI für den Produkttyp, dem sein Produkt zugeordnet ist, erfüllt, steht einer Zulassung des weiterentwickelten Produktes nichts im Weg. Die Anforderungen des BSI an zuzulassende Produkte im Bereich der E-Mail- und Dateiverschlüsselung sind im VS-Anforderungsprofil BSI-VS-AP-0014-2018 “Sichere Übertragung von E-Mails und Dateien” niedergeschrieben.

Die frei zum Download verfügbare Version Gpg4win hat einen anderen Entwicklungszyklus als GnuPG VS-Desktop, so dass beide nicht identisch sind.

Aus diesem Grund ist die Community-Variante Gpg4win für die asymmetrische Ver- und Entschlüsselung sowie die symmetrische Verschlüsselung auch nicht mehr von einer Zulassungsaussage oder Freigabeempfehlung des BSI abgedeckt und darf somit nicht für eine VS-NfD-konforme Kommunikation verwendet werden.

Eine Ausnahme kann für den Einsatz von Gpg4win bei der Entschlüsselung von symmetrisch verschlüsselten Dateien eingeräumt werden, da hier der Empfänger nicht an der Schlüsselerzeugung beteiligt ist. In diesem Fall darf jedoch ausschließlich die in den SecOps aufgeführte Gpg4win Version eingesetzt werden und es müssen organisatorische Maßnahmen getroffen werden, die eine nicht zulassungskonforme Nutzung untersagen.

Der Ablöseleitfaden ist ein lebendes Dokument. Die entsprechende Aussage war in der Version 1.2 des Leitfadens enthalten und ist in der aktuellen Version nicht mehr aufgeführt.

Bei einem Austausch von vertraulichen, aber nicht im Sinne des Sicherheitsüberprüfungsgesetztes (SÜG) eingestuften Informationen kann durchaus die kostenfreie Community-Variante Gpg4win genutzt werden. Da sowohl Gpg4win als auch GnuPG VS-Desktop die Standards OpenPGP und/oder S/MIME verwenden, ist es also möglich, dass der externe Kommunikationspartner die Community-Variante verwendet, während die Behörde GnuPG VS-Desktop nutzt.

Es gibt derzeit keine signifikanten funktionalen Vorteile von GnuPG VS-Desktop, aber professionellen Support dafür.

Die verschiedenen Lizenzmodelle unterscheiden sich nur in den Dienstleistungen und nicht in der Software und sind somit alle zur Entschlüsselung von BSI-Lageberichten und -Warnmeldungen geeignet.

GnuPG VS-Desktop.

Es gibt keine neue Chiasmus-Version und es wird auch keine neue Version geben. Die letzte Windows-Version ist 1.7.0.10.

Das BSI hat mit der letzten Verlängerung der Zulassung von Chiasmus das Produkt abgekündigt und darüber auch die IT-Dienstleister des Bundes informiert, die ihrerseits ihre Kunden darauf hingewiesen haben. Auch die beiden Ersatz- bzw. Nachfolgeprodukte sind seit geraumer Zeit mit einer Zulassungsaussage des BSI versehen, so dass im Prinzip ausreichend Zeit war, um die Umstellung voranzutreiben. Letztmalig wurde für Chiasmus eine Freigabeempfehlung bis zum 30.06.2022 eingeräumt. Eine weitere Verlängerung wird es nicht geben.

Siehe dazu die Antwort auf die Frage „Darf die kostenfreie Version Gpg4win für die VS-NfD-konforme Kommunikation eingesetzt werden? Und wenn ja, was muss dabei beachtet werden?“ unter „GnuPG VS-Desktop – Gpg4win“.

Zum Entschlüsseln symmetrisch verschlüsselter Dateien (z. B. die BSI Lageberichte) ist keine SmartCard erforderlich, es wird nur das entsprechende Passwort benötigt.

Ja. Das Programm ist auch nach dem 30.06.2022 funktionsfähig. Der technische Support wird jedoch eingestellt.

Aufgrund der eingeräumten Verlängerung von Chiasmus in Form einer Freigabeempfehlung bis zum 30.06.2022 gilt folgendes: Mit Chiasmus vor dem 30.06.2022 verschlüsselte VS-NfD eingestufte Daten (xia-Dateien) können auch nach dem 30.06.2022 wie offene Daten behandelt werden. Sie können daher weiterhin in offenen, nicht für VS-NfD freigegebenen Umgebungen gespeichert oder über offene Netzwerke als Anhang einer E-Mail versandt werden. Chiasmus darf hier weiterhin zum Entschlüsseln der xia-Dateien verwendet werden. Ein erneutes Verschlüsseln von Dateien mit Chiasmus ist nach Ablauf der Zulassung für Chiasmus allerdings nicht mehr zulässig.

Eine VS-NfD konforme PKI wird vom BSI mit der Verwaltungs-PKI (V-PKI) betrieben. Zuständig ist das Referat KM 35. Fragen hierzu können an v-pki@bsi.bund.de gerichtet werden.

Die Verwaltungs-PKI wird vom BSI betrieben. Zuständig ist das Referat KM 35. Fragen hierzu können an v-pki@bsi.bund.de gerichtet werden.

Eine VS-NfD konforme PKI wird vom BSI mit der V-PKI betrieben, die von allen Behörden nutzbar ist. Zuständig ist das Referat KM 35. Fragen hierzu können an v-pki@bsi.bund.de gerichtet und Zertifikate hierüber bezogen werden.

Eine VS-NfD konforme PKI wird vom BSI mit der V-PKI betrieben. Zuständig ist das Referat KM 35. Fragen hierzu können an v-pki@bsi.bund.de gerichtet werden.

Eine Zertifizierungsstelle der V-PKI wird z. B. durch die T-Systems betrieben, hier beziehen bereits viele Bundebehörden, Länder und Kommunen ihre Zertifikate.

Eine Crosszertifizierung zwischen einzelnen Root-CAs wird seitens der V-PKI derzeit nicht gewünscht.

Eine Crosszertifizierung auf Ebene der Sub-CAs ist denkbar, muss aber mit dem BSI, Referat KM 35, im Vorfeld abgestimmt werden. Voraussetzung hierfür wäre mindestens eine Zertifizierung nach TR-3145-1.

Ja, die Zertifikate sind auch technisch verwendbar (siehe “Wird es eine PKI in der Form eines Web-of-Trust zwischen verschiedenen Nutzerbehörden oder eine zentral gesteuerte hierarchische PKI geben?“). Inhaber können sein:

• natürliche Personen,
• juristische Personen,
• Personengruppen und Funktionen, die durch Mitarbeiter ausgefüllt werden (z. B. Poststelle, Amtsleitung, oder auch die Registrierungsstelle),
• automatisierte IT-Prozesse (z. B. elektronischer Stempel, TSL-Server, VPN, Codesignatur, OCSP-Responder),

die im Rahmen der V-PKI Schlüssel und Zertifikate erhalten. Alle oben genannten Zertifikatsinhaber mit Ausnahme der natürlichen Personen können nur sogenannte Funktionszertifikate erhalten. Für Funktionszertifikate wird die Benennung eines Schlüsselverantwortlichen benötigt.

Bezüglich der korrekten Speicherung der Zertifikate geben die jeweiligen Einsatz- und Betriebsbedingungen oder SecOps des Produktes die notwendigen Hinweise.

Die für die geheimschutzbetreute Wirtschaft zuständige Stelle ist das Bundesministerium für Wirtschaft und Klimaschutz (BMWK), das im Zweifelsfall kontaktiert werden kann. Soweit bei der Kommunikation mit externen, nicht-öffentlichen Stellen die VSA zugrunde gelegt werden kann, gelten hier die Regelungen der SecOps zu der Zulassung oder Freigabeempfehlung der Ablöseprodukte.

Werden eingestufte Daten im Rahmen eines VS-Auftrags ausgetauscht, gilt hier die VSA für den Auftragnehmer.

Für den Geschäftsbereich BMVg/Bundeswehr fordert die dort geltende ZDv A-960/1 als Gegenstück zur VSA den Einsatz von vom BSI zugelassenen Produkten für den Schutz von Verschlusssachen. Dies gilt ebenso für das Geheimschutzhandbuch der Wirtschaft, das das BMWK verantwortet.

Für den Austausch von deutscher VS mit ausländischen Stellen sind die entsprechenden Geheimschutzabkommen zu beachten.

Soll dagegen EU oder NATO Classified Information (CI) ausgetauscht werden, kann der externe Kommunikationspartner auch andere für den Schutz von EU- bzw. NATO-CI zugelassenen Produkte verwenden, die mit den Standards OpenPGP oder S/MIME arbeiten.

Beide Alternativprodukte sind sowohl für "VS-NfD" als auch "NATO RESTRICTED" sowie für RESTREINT UE/EU RESTRICTED für den Einsatz im nationalen Kontext zugelassen. Eine Zweitevaluierung zur Erlangung einer EU-Vollzulassung ist für beide Produkte eingeleitet worden. Falls andere Produkte für "VS-NfD" oder "EU/NATO RESTRICTED" zugelassen sind, so dürfen auch diese für die abgesicherte Kommunikation eingesetzt werden. Dabei sollte beachtet werden, dass die Produkte untereinander kompatibel sind (z. B. den verwendeten Standard OpenPGP oder S/MIME unterstützen). Die Kommunikationspartner müssen sich daher gegenseitig zusichern, dass sie entsprechend geeignete Produkte einsetzen. Eine technische Prüfung (z. B. auf konforme Algorithmen, Modi und Schlüssellänge) wird von den Produkten durchgeführt und das Ergebnis dem Nutzer angezeigt.

Eine VS-NfD- oder EU/ NATO RESTRICTED-konforme Kommunikation ist nur mit den dafür zugelassenen Produkten erlaubt, auch wenn andere technisch kompatibel sind. Die Kommunikationspartner sollten sich gegenseitig zusichern, dass sie entsprechende Produkte einsetzen. Eine technische Prüfung (z.B.--zum Beispiel auf Algorithmen, Modi und Schlüssellänge) wird von den Produkten durchgeführt und das Ergebnis dem Nutzer angezeigt.

Eine Möglichkeit könnte sein, die verschlüsselt empfangene E-Mail vor der Weiterleitung in den Anhang zu verschieben. Dann sollte eine ggf. vorhandene Signatur erhalten bleiben und die angehängte E-Mail entschlüsselt werden können. Eine empfangene E-Mail kann erst nach Entschlüsselung auf Schadsoftware untersucht werden. Wenn erforderlich, kann dazu die verschlüsselte Mail in eine geeignete Umgebung verschoben, dort entschlüsselt, untersucht und ggf. wieder zurück zum Ursprungsort verschoben werden.

Durch eine gültige Signatur wird die Integrität der E-Mail und Authentizität der Absenderadresse bestätigt und sollte einen Hinweis darauf geben, ob die E-Mail Schadsoftware enthalten könnte. Selbstverständlich sollten Mailtools (Mail User Agents) so konfiguriert sein, dass Code und angehängte Dateien nicht automatisch ausgeführt werden (keine HTML-Mails).

Dieses Vertrauensverhältnis kann bei asymmetrischer Verschlüsselung durch das Signieren einer E-Mail sogar besser bestätigt werden, wenn die ausgetauschten öffentlichen Schlüssel zuvor authentifiziert wurden (z. B. über den Fingerabdruck).

Eine empfangene E-Mail kann erst nach Entschlüsselung auf Schadsoftware untersucht werden. Wenn erforderlich, kann dazu die verschlüsselte Mail in eine geeignete Umgebung verschoben, dort entschlüsselt und untersucht werden und ggf. wieder zurück zum Ursprungsort verschoben werden. Durch eine gültige Signatur wird die Integrität der E-Mail und Authentizität der Absenderadresse bestätigt (vorausgesetzt der Schlüssel wurde zuvor authentifiziert) und sollte einen Hinweis darauf geben, ob die E-Mail Schadsoftware enthalten könnte. Selbstverständlich sollten Mailtools (Mail User Agents) so konfiguriert sein, dass Code und angehängte Dateien nicht automatisch ausgeführt werden (keine HTML-Mails).

• Eine empfangene E-Mail kann erst nach Entschlüsselung auf Schadsoftware untersucht werden. Wenn erforderlich, kann dazu die verschlüsselte E-Mail in eine geeignete Umgebung verschoben, dort entschlüsselt und untersucht werden und ggf. wieder zurück zum Ursprungsort verschoben werden.
• Durch eine gültige Signatur wird die Integrität der E-Mail und Authentizität der Absenderadresse bestätigt und sollte einen Hinweis darauf geben, ob die E-Mail Schadsoftware enthalten könnte.
• Selbstverständlich sollten Mailtools (Mail User Agents) so konfiguriert sein, dass Code und angehängte Dateien nicht automatisch ausgeführt werden (keine HTML-Mails).

Das empfangene Produkt kann die technisch korrekte Nutzung der zugelassenen Algorithmen überprüfen und anzeigen. Ob die Kommunikationspartner die zugelassene Version einsetzen, lässt sich anhand der empfangenen E-Mail technisch nicht feststellen. Die Kommunikationspartner müssen sich daher gemäß der SecOps gegenseitig zusichern, dass sie entsprechend geeignete Produkte einsetzen.

Die Aufgabe der Zulassungsstelle im BSI ist die Bereitstellung von zugelassenen Produkten, die die sicherheitstechnischen Anforderungen des BSI erfüllen, die idealerweise in einem VS-Anforderungsprofil (hier: BSI-VS-AP-0014-2018 “Sichere Übertragung von E-Mails und Dateien”) beschrieben werden. Eine Betrachtung von Kompatibilitäten zwischen Produkten verschiedener Hersteller gehört im Prinzip nicht zu den Aufgaben des BSI. Im konkreten Fall ist es aber so, dass beide Produkte derzeit den OpenPGP- und S/MIME-Standard implementieren und somit diesbezüglich kompatibel sind.

• GnuPG VS-Desktop: Nein. Nach Bezug der Suite können aber Komponenten einzeln installiert und genutzt werden (z. B. GpgEX).
• GreenShield: Ja. Es besteht die Wahl zwischen der gesamten Suite, nur Dateiverschlüsselung oder nur E-Mail-Verschlüsselung.

In den weitaus meisten Fällen ist der parallele Einsatz beider Produkte nicht erforderlich. Die Funktionalität und Kompatibilität beider Produkte sind im Leitfaden aufgeführt zusammen mit einem Hinweis, nach welchen Kriterien das passende Produkt ausgesucht werden kann.

Bitte bei den Herstellern nachfragen.

Ja, aber bisher nur Brainpool-Kurven. GnuPG VS-Desktop unterstützt diese im VS-NfD Modus nur mit dem OpenPGP Standard; GreenShield sowohl im S/MIME als auch im OpenPGP Standard.

Beide Programme geben hier Optionen vor, die vom BSI für die Bearbeitung von VS-NfD empfohlen werden. Empfohlene Algorithmen und Schlüssellängen können auch der Technischen Richtlinie TR-02102 des BSI entnommen werden.

Die öffentlichen OpenPGP-Schlüssel werden nicht automatisch auf einen Key-Server geladen und es gibt keine verwaltungsinternen Key-Server. Diese können aber selbst angelegt werden.

In den SecOps der zugelassenen Produkte gibt es einen entsprechenden Verweis auf eine Übersicht über die SmartCards, die VS-NfD-konform mit den Produkten betrieben werden dürfen.

Die Empfehlung eines einzelnen Produktes durch die Zulassungsstelle des BSI wäre ein unberechtigter Eingriff in den Markt und ist der Zulassungsstelle daher untersagt. Wir wirken allerdings darauf hin, dass die zugelassenen Produkte zur E-Mail- und Dateiverschlüsselung kompatibel zueinander sind.

Landes- und Kommunalverwaltungen können die am Markt befindlichen Produkte ebenfalls beschaffen, um mit Stellen der Bundesverwaltung verschlüsselt zu kommunizieren. Da es sich um zugelassene Produkte handelt, müssten die Behörden auf das Beschaffungsamt zugehen und klären, ob die Rahmenverträge geöffnet werden können oder selbst Vergabeverfahren durchführen. Sofern keine VS-NfD-eingestuften Inhalte übermittelt werden, kann das Produkt Gpg4win genutzt werden.

Schulungsmaterialien werden nicht vom BSI bereitgestellt, können aber über den Hersteller bezogen werden.