BSI TR-03170 Sichere elektronische Übermittlung von Lichtbildern an die Pass-, Personalausweis- oder Ausländerbehörden
Überblick
Am 11. Dezember 2020 wurde das vom Deutschen Bundestag und Bundesrat verabschiedete Gesetz zur Stärkung der Sicherheit im Pass-, Ausweis- und ausländerrechtlichen Dokumentenwesen im Bundesgesetzblatt veröffentlicht. Ziel des Gesetzes ist es, angemessene Sicherheitsmaßnahmen festzulegen, um eine sichere Übertragung elektronischer Lichtbilder an Pass-, Personalausweis- und Ausländerbehörden sicherzustellen.
Die Verordnung zur Änderung der Personalausweisverordnung, der Passverordnung, der Aufenthaltsverordnung sowie weiterer Vorschriften vom 30. Oktober 2023 verankert die rechtliche Grundlage zur Nutzung eines cloudbasierten Übermittlungsverfahrens von Lichtbildern nach BSI TR-03170.
Gefährdungslage durch Morphing
Morphing bezeichnet eine Technik, mit der Lichtbilder (i. A. für Pass, Personalausweis und ausländerrechtliche Ausweisdokumente) elektronisch manipuliert werden können, indem mehrere Gesichtsbilder zu einem einzigen Bild digital verschmolzen werden und somit die Gesichtszüge von verschiedenen Personen in einem Lichtbild erscheinen.
Durch Morphing-Manipulation ist der Pass beziehungsweise Personalausweis als Instrument zur Identitätskontrolle im Kern bedroht, sodass die bisherige Praxis, nach der antragstellende Personen ausgedruckte Lichtbilder bei der Pass-, Personalausweis- oder Ausländerbehörde einreichen, nicht mehr den aktuellen Sicherheitsanforderungen entspricht.
Stärkung der Sicherheit durch Verfahren zur digitalen Übermittlung der Lichtbilder
Das Gesetz zur Stärkung der Sicherheit im Pass-, Ausweis- und ausländerrechtlichen Dokumentenwesen sieht Änderungen in den Gesetzen und Verordnungen zum Pass- und Personalausweiswesen sowie im Aufenthaltsgesetz und der Aufenthaltsverordnung vor, nach denen künftig Manipulation von hoheitlichen Dokumenten durch Morphing gezielt begegnet werden soll, indem ab dem 1. Mai 2025 das Lichtbild ausschließlich digital erstellt und auf einem gesicherten elektronischen Weg zur Behörde übermittelt wird. Bis dahin wird der bisherige Prozess zur Erstellung und zum Transport der Lichtbilder bei den Fotografinnen und Fotografen beibehalten.
Gegenstand der Technischen Richtlinie
Die Technische Richtlinie BSI TR-03170 regelt die digitale Übermittlung der biometrischen Lichtbilder von Dienstleistern (z.B. Fotografinnen und Fotografen) an Pass-, Personalausweis- oder Ausländerbehörden über einen sicheren Cloud-Dienst und definiert Anforderungen für die Zertifizierung von Diensten für dieses Verfahren. Allen zuständigen Behörden wird hierbei der Abruf der Lichtbilder von nach BSI TR-03170 zertifizierten Dienstanbietern ermöglicht.
Kontakt:
Fachlich zuständig für die Betreuung dieser TR ist das
Bundesamt für Sicherheit in der InformationstechnikReferat D 15 - eID-Lösungen für die digitale Verwaltung
Postfach 20 03 63
53133 Bonn
E-Mail: AusschreibungLichtbild@bsi.bund.de
Technische Richtlinie und Schnittstellenspezifikation
Die Technische Richtlinie ist zielgruppengerecht aufgeteilt in drei normative Teildokumente und eine Spezifikation der Schnittstelle:
Die BSI TR-03170 gliedert sich in ein Rahmendokument, Teil 1 – „Anforderungen anden Cloud-Dienst“ und Teil 2 – „Anforderungen an die Software“ und richtet sich an Anbieter von Fotodienstleistungen für biometrische Lichtbilder, die über eine Cloud, die entsprechenden Lichtbilder an die Pass-, Personalausweis- und Ausländerbehörden digital übermitteln. Durch Zertifizierungen nach Teil 1 bzw. Teil 2 der Technischen Richtlinie BSI TR-03170 wird die im Gesetz geforderte datenschutzkonforme und manipulationssichere Übertragung biometrischer Lichtbilder nachgewiesen. Die zur Technischen Richtlinie zugehörige Schnittstellenspezifikation ermöglicht den interoperablen Abruf von biometrischen Lichtbildern durch die zuständigen Behörden und richtet sich an Cloudanbieter und Verfahrenshersteller.
Die Anforderungen aus TR-03170-1 zum C5 Testat vom Typ 2 wird in der nächsten Version der Technischen Richtlinie in 2025 dahingehend umgewandelt, dass für die Erstzertifizierung auch ein Testat vom Typ 1 ausreichend ist.
Hauptdokument
Schnittstellenspezifikation
Prüfspezifikation
Zertifizierung nach TR-03170
Die Zertifizierung von BSI TR-03170 kann in zwei Teile aufgeteilt werden. Für eine vollständige Umsetzung der Technischen Richtlinie entsprechend den Vorgaben aus der Verordnung wird sowohl eine Zertifizierung nach BSI TR-03170-1 als auch eine Zertifizierung nach BSI TR-03170-2 benötigt. Bei BSI TR-03170-1 wird die Cloud in die die Lichtbilder übertragen und aus der sie abgerufen werden zertifiziert. BSI TR-03170-2 wird für die Zertifizierung der Anwendung herangezogen, mit der die Lichtbilder in die Cloud übertragen werden. Die beiden Zertifizierungen können gemeinsam oder getrennt voneinander vorgenommen werden.
Kontaktaufnahme mit Prüfern und Prüfstellen
Für eine Zertifizierung nach BSI TR-03170-1, die als Managementzertifizierung nach TR durchgeführt wird, müssen Auditoren für BSI IT-Grundschutz oder CC-Evaluierende mit Erfahrung im Bereich ALC (Assurance: Life-Cycle) von anerkannten CC-Prüfstellen eingesetzt werden.
Die Zertifizierung nach BSI TR-03170-2, die als Produktzertifizierung nach TR durchgeführt wird, müssen anerkannte Prüfstellen für die Zertifizierung nach TR-03170 eingesetzt werden.
Informationen zum Ablauf der Zertifizierung und Antragsstellung beim BSI
Konkrete Informationen zum Ablauf einer Zertifizierung nach TR finden Sie hier.
Antragsinformationen und Kontaktdaten zur Zertifizierung finden Sie hier.
Übersicht erfolgreich zertifizierter Produkte/Systeme
Nach erfolgreicher Zertifizierung werden alle zertifizierten Produkte als solche auf der Webseite des BSI gelistet. Möchten Sie sich erkundigen, welche Zertifizierungen nach TR vorliegen, können Sie diese Information hier nachvollziehen.
FAQ für Fotografinnen und Fotografen
- Kurz-URL:
- https://www.bsi.bund.de/dok/TR-03170