CRY · Kryptographie und Schlüsselmanagement
CRY-08 Ausstellung von Public-Key-Zertifikaten
Geändert gegenüber C5:2020 · vorher CRY-04
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Dissolved the former key management criterion and moved public-key certificate issuance into its own criterion with extended requirements.
Zusatzkriterium
Dissolved the former key management criterion and moved public-key certificate issuance into its own criterion, to which the former key management additional criterion does not apply.
Wortlaut in C5:2020
Basiskriterium
Procedures and technical safeguards for secure key management in the area of responsibility of the Cloud Service Provider include at least the following aspects:
- Generation of keys for different cryptographic systems and applications;
- Issuing and obtaining public-key certificates;
- Provisioning and activation of the keys;
- Secure storage of keys (separation of key management system from application and middleware level) including description of how authorised users get access;
- Changing or updating cryptographic keys including policies defining under which conditions and in which manner the changes and/or updates are to be realised;
- Handling of compromised keys;
- Withdrawal and deletion of keys; and
- If pre-shared keys are used, the specific provisions relating to the safe use of this procedure are specified separately.
Zusatzkriterium
Keys should be withdrawn or deleted e.g. in the event of compromise or employee changes. The Cloud Service Provider protects the keys which are created and inserted into the cloud service by the cloud customers according to the same criteria as the keys created by the Cloud Service Provider.
Basiskriterium
Der Cloud-Anbieter hat Verfahren dokumentiert und umgesetzt, um Public-Key-Zertifikate sicher auszustellen, einzuholen und dabei die Integrität und Authentizität kryptographischer Schlüssel sicherzustellen. Diese Verfahren umfassen:
- Überprüfung der Identität vor der Ausstellung von Public-Key-Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um sicherzustellen, dass sie legitimen Entitäten gewährt werden;
- Sichere Methoden für die Ausstellung von Zertifikaten, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten oder sein Personal ausgestellt werden, um unbefugten Zugriff zu verhindern; und
- Verfahren zur Einholung von Public-Key-Zertifikaten von vertrauenswürdigen Zertifizierungsstellen, um die Authentizität der vom Cloud-Anbieter verwendeten Zertifikate sicherzustellen.
Ergänzende Information
Die ersten beiden Aufzählungspunkte gelten für Zertifikate, die vom Cloud-Anbieter oder in seinem Auftrag für seine eigenen Systemkomponenten und sein Personal ausgestellt werden. Wenn der Cloud-Anbieter Zertifizierungsstellendienste für Cloud-Kunden anbietet, gilt das Prinzip der geteilten Verantwortung, d. h. der Cloud-Anbieter sollte sicherstellen, dass der Cloud-Dienst angemessene technische Maßnahmen bereitstellt, damit Cloud-Kunden eine angemessene Identitätsprüfung durchführen können (vgl. auch die korrespondierenden Kontrollen der Cloud-Kunden).
Der dritte Aufzählungspunkt gilt für Zertifikate, die der Cloud-Anbieter von externen Zertifizierungsstellen zur Verwendung in seinen eigenen Cloud-Dienst und Systemkomponenten einholt. Der Cloud-Anbieter sollte sicherstellen, dass Zertifikate nur von vertrauenswürdigen Zertifizierungsstellen eingeholt werden und dass die Authentizität erhaltener Zertifikate vor der Nutzung verifiziert wird. Dieses Kriterium erstreckt sich nicht notwendigerweise auf Zertifikate, die Cloud-Kunden von externen Zertifizierungsstellen für ihre eigenen Zwecke einholen; die Auswahl und Validierung externer Zertifizierungsstellen durch Cloud-Kunden fällt im Modell der geteilten Verantwortung in den Verantwortungsbereich der Cloud-Kunden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie vom Cloud-Anbieter bereitgestellte Zertifizierungsstellendienste nutzen, dem ausgestellten Zertifikat angemessene Identitätsprüfungsverfahren umgesetzt werden und die vom Cloud-Dienst bereitgestellten technischen Kontrollen so konfiguriert sind, dass sie die Identitätsprüfung ermöglichen und durchsetzen. Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie Zertifikate von externen Zertifizierungsstellen für ihre eigene Nutzung beschaffen, Verfahren zur Auswahl vertrauenswürdiger Zertifizierungsstellen und zur Validierung der Authentizität beschaffter Zertifikate festgelegt sind.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen