So reagieren Sie auf einen kompromittierten CA-Schlüssel

Der Abgleich meldet eine Abweichung zwischen dem Signaturzähler des Sicherheitsmoduls und dem Register, oder ein Hinweis von außen lässt vermuten, dass der Schlüssel einer ausstellenden CA missbraucht wurde.

Sie halten die Ausstellung der betroffenen CA an, prüfen die Meldepflichten, sperren die CA in einer Zeremonie an der Wurzel und bauen eine neue CA-Generation auf. Partner nehmen den neuen Anker in ihre Beziehungen auf. Die Hierarchien der Partner sind nicht betroffen.

sequenceDiagram
  participant M as Überwachung
  participant B as Betrieb
  participant W as CA-Worker
  participant Z as Zeremonie an der Wurzel
  participant P as Partner und Gegenstellen
  M->>B: Abweichung Signaturzähler Modul gegen Register
  B->>W: Ausstellung der CA anhalten (Regelwerk)
  B->>B: Lagebewertung, Meldung nach BSIG prüfen
  B->>Z: Sperrauftrag für die CA
  Z->>Z: Sperrliste der Wurzel mit Sperrung der CA
  Z->>P: neue Wurzel-Sperrliste
  B->>Z: neue CA-Generation mit neuem Schlüssel
  B->>P: Neuausstellung der betroffenen Zertifikate

1. Erkennen. Bestätigen Sie den Verdacht: Abgleich der Signaturzähler des Moduls mit dem Register, Hinweise von außen. Der Abgleich läuft in der Vorgabe stündlich.
2. Eindämmen. Halten Sie die Ausstellung der betroffenen CA im Regelwerk an und setzen Sie den Schlüsselzustand auf stillgelegt.
3. Melden. Prüfen Sie die Meldepflicht nach § 32 BSIG (24 Stunden, 72 Stunden, ein Monat) und die vertraglichen Pflichten gegenüber Partnern.
4. Sperren. Sperren Sie die CA in einer Zeremonie an der Wurzel; die neue Sperrliste der Wurzel erreicht Partner und Gegenstellen.
5. Wiederaufbauen. Erzeugen Sie eine neue CA-Generation mit neuem Schlüssel, stellen Sie die betroffenen Zertifikate neu aus und verteilen Sie ein neues Vertrauensbündel. Informieren Sie die Partner, die den neuen Anker in ihre Beziehungen aufnehmen.
6. Nachbereiten. Halten Sie Ursache und Protokoll fest und passen Sie die Maßnahmen an.

Ergebnis. Die kompromittierte CA ist gesperrt, ihre Zertifikate gelten nicht mehr; die neue Generation stellt aus, und die Partner vertrauen dem neuen Anker.

• Ist die Wurzel kompromittiert, gilt ein anderer Weg: Die Hierarchie der Organisation wird neu aufgebaut; siehe Betrieb und Notfall.
• Üben Sie den Ablauf an einer Test-CA: Der Notfalltest „Kompromittierung einer CA“ ist bestanden, wenn Alarm, Anhalten der Ausstellung, Sperrung in der Testzeremonie und Meldeweg durchlaufen sind.
• Die Benachrichtigung „Verdacht auf Kompromittierung einer CA“ geht an Informationssicherheit, Betriebsleitung und Sicherheitsverwaltung.

• Betrieb und Notfall
• PKI und Zertifikatslebenszyklus – Wurzel und Zeremonien
• Vertrauensmodell – was ein Angreifer mit welcher Komponente erreicht