CC-Prüfung und Zertifizierung von IT-Produkten

Zur Zertifizierung von Hardware und Software im Bereich Datensicherheit sind die sogenannten Common Criteria eine weltweit anerkannte Norm. Sie definieren ISO-standardisierte Kriterien für skalierbare und unabhängige Sicherheitsprüfungen für IT-Produkte.

Die Common Criteria dokumentieren die korrekte und effektive Implementierung von Sicherheitsleistungen von IT-Produkten und sind oft Bestandteil von Industrieausschreibungen oder Einkaufsanforderungen von Unternehmen oder Behörden. Eine CC-Prüfung mündet in der Vergabe eines IT-Sicherheitszertifikats durch eine nationale Zertifizierungsstelle. Ein Hersteller, der zum Beispiel eine Firewall zertifizieren lassen will, muss diese einer solchen CC-Prüfung unterziehen.

Innerhalb der CC-Zertifizierung gibt es mehrere Stufen der Evaluierung, die Evaluation Assurance Level (EAL). Sie machen den Umfang und die Tiefe der jeweiligen Zertifizierung deutlich. Von den insgesamt sieben Zertifizierungsstufen von EAL 1 bis EAL 7 baut jede auf der vorherigen auf und fügt neue Komponenten hinzu oder erweitert vorherige. In der Praxis ist EAL 4+ das Maximum. Ab EAL 5 sind die Anforderungen so hoch, dass Aufwand und Ergebnis in keinem vernünftigen Verhältnis mehr stehen.

Das Prüfverfahren ist aufwendig: Der Quellcode, die Dokumentation und das definierte Sicherheitsziel werden durch unabhängige Experten geprüft. Die Entwicklung der Soft- und Hardware muss in einer Hochsicherheitszone stattfinden. Konkret: Für die Zertifizierung eines IT-Produkts nach CC EAL 4 oder 4+ muss der Hersteller zunächst den Zweck und die Wirksamkeit des Produkts in Form einer Logik-Pyramide dokumentieren. Grundlage bilden die Sicherheitsziele: Was soll mit dem Produkt erreicht werden? Im zweiten Schritt müssen sämtliche Bedrohungen dargelegt werden, die das Erreichen dieser Ziele gefährden könnten. Dies sind zum Beispiel Denial-of-Service-Angriffe, die die Protokollierung lahmlegen und so unberechtigte Zugriffe verschleiern.

Daraus ergeben sich im dritten Schritt die Sicherheitsfunktionen, mit denen das Erreichen der Ziele dennoch sichergestellt werden soll. Die Ziele, Bedrohungen und Sicherheitsfunktionen muss der Hersteller gemäß detaillierter Vorgaben schlüssig beschreiben.

Diese Dokumentation muss der Hersteller bei einem vom BSI akkreditierten Prüflabor einreichen. Dort begutachten Experten, ob die Dokumentation plausibel, vollständig und korrekt ist.

Für den Level EAL 4 muss der Hersteller zudem den Quellcode des Produkts offenlegen. So können die Prüfer stichprobenartig feststellen, ob die vom Hersteller angeführten Mechanismen einwandfrei umgesetzt sind.

Anschließend muss sich das Produkt in der Praxis bewähren. Dabei werden alle Sicher­heitsmechanismen ausführlich getestet. Die Anzahl der Tests kann in die Tausende gehen. Auch wird geprüft, ob die Entwicklungsumgebung beim Hersteller hochwertig abgesichert ist.

Bis zur Erteilung des Zertifikats entstehen so schnell Kosten im sechsstelligen Bereich und es vergehen meist mehrere Jahre.