Hilfe

Um sicherzustellen, dass Sie tatsächlich über eine sichere Verbindung mit authega verbunden sind, überprüft Ihr Browser, ob das automatisch übermittelte elektronische Zertifikat gültig ist. So stellen Sie fest, dass Ihr Kommunikationspartner wirklich authega ist beziehungsweise es sich um das zugehörige authega-Zertifikat handelt. Das authega-Zertifikat dient dazu, einen kryptographischen, öffentlichen Schlüssel an authega zu binden. Die Bindung des Schlüssels an authega wird wiederum kryptographisch mit einer elektronischen Signatur einer vertrauenswürdigen dritten Stelle, einem international anerkannten Trustcenter abgesichert.

• Das Zertifikat des vertrauenswürdigen Trustcenters ist bereits in allen Browsern enthalten, sodass diese Eigenschaft automatisch überprüft werden kann. Zusätzlich werden noch die beiden folgenden Zertifikatseigenschaften automatisch überprüft:
• Der Domainname, für den das für die sichere Internetverbindung verwendete authega-Zertifikat ausgestellt wurde, muss mit dem tatsächlichen Domainnamen des Webservers übereinstimmen (z.B. www.authega.bayern.de).
• Das Zertifikat muss gültig sein. Server-Zertifikate werden aus Sicherheitsgründen nur für einen bestimmten Zeitraum ausgestellt und werden vom Betreiber der authega Website regelmäßig erneuert.

Wenn mindestens eine der drei oben genannten Überprüfungen fehlschlägt, wird dem Anwender eine Browser-Warnung angezeigt. In diesem Fall sollte authega nicht genutzt, sondern die Hotline kontaktiert werden.

Die verschlüsselte elektronische Verbindung zu authega erfolgt über das anerkannte Internet-Protokoll HTTPS (TLS 1.2). Die Basis ist eine 3072 Bit Authentifizierung von authega über das authega-Zertifikat gegenüber Ihrem Computer gemäß dem asymmetrischen, kryptographischen RSA-Verfahren. Die Verschlüsselung der Datenübertragung erfolgt über ein symmetrisches, kryptographisches Verfahren, welches dem aktuellen Stand der Sicherheitstechnik entspricht (siehe BSI Technische Richtlinien). Der notwendige symmetrische Schlüssel wird während der Registrierung auf Ihrem Computer als Zufallszahl generiert und authega, verschlüsselt mittels RSA-Verfahren, mitgeteilt. Nur Ihr Computer und authega kennen damit den symmetrischen Schlüssel, mit dem die Kommunikation entschlüsselt werden kann. 

Innerhalb der Authentifizierungsmethoden mit Zertifikatsdatei, Signaturkarte oder Mobilgerät werden sicherheitstechnisch asymmetrische kryptographische Verfahren eingesetzt.

• RSA beim Login per Zertifikatsdatei und zugehörigem Zertifikat
• RSA beim Login per Signaturkarte mit zugehörigem Zertifikat (Elliptische Kurven geplant)
• RSA oder ECC (Elliptische Kurven) beim Login mit Mobilgerät

In den meisten Browsern können Sie die Gültigkeit des authega-Zertifikats über das Schloss-Symbol im Adressfeld prüfen. Vergleichen Sie den elektronischen Fingerabdruck in den weitergehenden Erläuterungen zum authega-Zertifikat. Der aktuell gültige SHA-256-Fingerabdruck des authega-Webserver-Zertifikats ist: c0b796423dbae27f97c298adf71bf367d29de772a281e086d08254b1bd2e59c8.

Aus sicherheitstechnischer Sicht erhalten Sie für Ihren persönlichen Zugang zwei eigene asymmetrische Schlüsselpaare mit jeweils einem persönlichen Zertifikat, welches vom Trustcenter authega ausgestellt ist (authega mit Zertifikatdatei), beziehungsweise werden die bereits vorhandenen asymmetrischen Schlüsselpaare Ihrer Signaturkarte für Authentifizierung verwendet. Eines Ihrer Schlüsselpaare dient Ihrer persönlichen elektronischen Authentifizierung bei authega. 

Für Ihren persönlichen Zugang bei authega benötigen Sie eine Zertifikatsdatei oder eine Signaturkarte:

• Zertifikatsdatei
  Die asymmetrischen Schlüsselpaare werden auf Ihrem Computer erzeugt und in einer durch ein individuelles Passwort geschützten Datei gemäß dem Sicherheitsstandard PKCS#12 in einer speziellen Sicherheitsumgebung (PSE) des Computer gespeichert. Jedes Paar besteht aus einem privaten und einem öffentlichen Schlüssel. Der jeweilige private Schlüssel der asymmetrischen Schlüsselpaare ist kryptographisch geschützt und kann ausschließlich über das von Ihnen vergebene Passwort entschlüsselt werden. Zu den zugehörigen öffentlichen Schlüsseln stellt das Trustcenter authega jeweils ein Zertifikat aus.

• Signaturkarte für Authentifizierung
  Verfügen Sie über eine von authega unterstützte Signaturkarte für Authentifizierung, so können Sie diese verwenden. Üblicherweise sind die auf Ihrer Signaturkarte für Authentifizierung enthaltenen asymmetrischen Schlüsselpaare durch ein individuelles Passwort geschützt und in einer speziellen Sicherheitsumgebung gespeichert und verwendbar. Der jeweilige private Schlüssel der asymmetrischen Schlüsselpaare ist kryptographisch geschützt und kann nur von Ihnen selbst über das Passwort verwendet werden. Die auf der Signaturkarte für Authentifizierung vorhandenen Zertifikate der zugehörigen öffentlichen Schlüssel werden von Ihrem Computer zum Trustcenter authega übertragen, damit deren Gültigkeit für authega bestätigt werden kann. Im positiven Fall werden Ihre Zertifikate in authega eingebunden.
  Die aktuell unterstützten Signaturkarten für Authentifizierung sind auf der Webseite der Bayern-PKI einsehbar. 

Die privaten Schlüssel der asymmetrischen Schlüsselpaare können nur über Eingabe eines von Ihnen gewählten individuellen Passworts zur Benutzung entschlüsselt werden. Diese Sicherheit wird auch allgemein als Sicherheit auf Basis von "Wissen (Passwort) und Besitz (Authentifizierungsmittel)" bezeichnet. Für den sicheren Umgang mit Ihrem Authentifizierungsmittel und dem dazugehörigen Passwort sind Sie selbst verantwortlich!
Bitte beachten Sie, dass insbesondere bei Verdacht auf unbefugtes Kopieren der Zertifikatsdatei die bloße Passwort-Änderung der Zertifikatsdatei nicht ausreichend ist. Vorsichtshalber sollten Sie in diesem Fall Ihr Benutzerkonto löschen oder das Benutzerkonto verlängern. Bei der Verlängerung des Benutzerkontos erhalten Sie eine neue Zertifikatsdatei mit einem neuen Passwort und Ihre bisherige Zertifikatsdatei wird ungültig.

Die Zertifikatsdatei ist eine Datei in einem speziellen Format, in der die generierten Schlüssel sicher gespeichert sind. Die Daten sind kryptographisch geschützt und können nur mittels Passwort zur Benutzung entschlüsselt werden. Eine Zertifikatsdatei kann auf unterschiedlichen Speichermedien abgelegt (z. B. Festplatte, USB-Stick) und beliebig oft kopiert werden.

Das Betriebssystem Ihres Computer behandelt die Zertifikatsdatei als eine normale Datei. Sie kann daher auf unterschiedlichen Speichermedien abgelegt werden (z. B. Festplatte, USB-Stick). Sie beinhaltet kryptografische Schlüssel und Zertifikate. Die Zertifikatsdatei stellt die Verknüpfung mit einem Benutzerkonto von authega her. Da die Zertifikatsdatei wie jede andere Datei beliebig oft kopierbar ist, kann auf einfache Weise eine Sicherungskopie erstellt werden. Da das Kopieren auch unbemerkt erfolgen kann, z. B. bei Ablage auf einem Netzlaufwerk oder durch bösartige Software (so genannte Malware), bringt die Zertifikatsdatei Risiken mit sich, die der Anwender berücksichtigen sollte. Es ist technisch möglich, von mehreren Arbeitsplätzen dasselbe authega Benutzerkonto zu verwenden. Diese Möglichkeit birgt allerdings Sicherheitsrisiken. Die Absicherung eines Benutzerkontos beruht auf einer Kombination von Wissen (Passwort für die Zertifikatsdatei) und Besitz der Zertifikatsdatei. Bei Weitergabe der Zertifikatsdatei gibt der Inhaber des Benutzerkontos diese Sicherheitseigenschaft in eigener Verantwortung auf. Bei missbräuchlicher Nutzung des authega-Zugangs durch eine Kopie der Zertifikatsdatei kann der ursprüngliche Eigentümer ermittelt und verantwortlich gemacht werden.
authega-Benutzerkonten sind personenbezogen konzipiert. Die parallele (im Sinne von gleichzeitige) Nutzung eines Benutzerkontos durch mehrere Benutzer mit Zertifikatsdateien ist technisch möglich. 
Bitte beachten Sie bei Weitergabe der Datei, dass

• die Anzahl der Kopien nicht eingeschränkt werden kann,
• alle Kopien der Zertifikatsdatei gleichwertig sind,
• nicht nachvollzogen werden kann, mit welcher Kopie einer Zertifikatsdatei eine Transaktion durchgeführt wurde,
• bei Sperrung/Verlängerung eines Benutzerkontos alle Kopien der Zertifikatsdatei betroffen sind,
• und es nicht möglich ist, eine einzelne missbräuchlich verwendete Kopie zu sperren.

Eine mögliche Fehlerquelle gibt es bei der Aktualisierung der Zertifikatsdatei. Aus Sicherheitsgründen ist die Gültigkeit der Zertifikatsdatei begrenzt (gegenwärtig auf 3 Jahre). Mit einem gewissen zeitlichen Abstand zum Ende der Gültigkeitsdauer wird der Benutzer via E-Mail sowie einer Anzeige im eingeloggten Zustand über den baldigen Ablauf seines Zertifikats informiert. Für Ihren Computer ist das verlängerte Software-Zertifikat eine neue Datei. Die "alte" Zertifikatsdatei sowie deren Kopien werden somit ungültig und können für die Anmeldung bei authega nicht mehr verwendet werden. 

Sie sollten die zum Löschen Ihres Benutzerkontos erforderliche Antwort auf die Sicherheitsabfrage sowie den Sperrcode sicher und getrennt von Ihrem Authentifizierungsmittel aufbewahren. Da bei einer Registrierung mit Zertifikatsdatei diese auf Ihrer Festplatte gespeichert wird, müssen Sie hier zusätzlich auf eine hinreichende Absicherung Ihres Computers achten. Falls Sie Ihr Computer von anderen Personen mitbenutzt wird, könnte die Datei unbemerkt ausgelesen oder kopiert werden. Bei einem solchen Angriff wäre Ihr Zertifikat nur noch durch Ihr persönliches Passwort gesichert. Unterstützung zur Absicherung Ihres Computers können Sie auf den Seiten des Bundesamtes für Sicherheit in der Informationstechnik erhalten.

Sollten Sie innerhalb einer gewissen Zeit nach dem Absenden der Registrierungsdaten keine E-Mail vom authega erhalten haben, müssen Sie noch einmal mit dem Registrierungsprozess beginnen. Die häufigste Ursache hierfür kann ein Tippfehler sein, wie zum Beispiel die unabsichtliche Angabe einer falschen oder ungültigen E-Mail-Adresse. Die empfohlene Wartezeit bevor man von einem Fehler bei der Zustellung der E-Mail ausgehen kann, hängt von vielen Parametern ab, wie zum Beispiel der augenblicklichen Last bei authega oder dem gewähltem Portal, der Last bei Ihrem Internet-Provider sowie der Qualität Ihrer Verbindung zu Ihrem Provider. Üblicherweise wird die E-Mail innerhalb von Minuten bis zu wenigen Stunden ausgeliefert. Bei Wartezeiten über mehrere Tage empfehlen wir die Hotline zu kontaktieren.

Es erfolgt ein indirekter Identitätsnachweis durch Übermittlung des Aktivierungs-Codes auf dem Standard-Postweg sowie Versenden der Aktivierungs-ID per E-Mail. Der Nachweis Ihrer Identität, erfolgt dabei, indem nur die authentische Person beide Informationen erhalten und damit das Benutzerkonto bei authega aktivieren kann.

Der Aktivierungs-Code ist ein essentieller Sicherheitsmechanismus bei der Aktivierung eines Benutzerkontos bei authega. Initiiert durch authega wird er in einem geschlossenen Brief an Sie übermittelt.

Das Trustcenter von authega ist ein dediziert zu betreibender Schlüssel- und Zertifikatsmanager. Es dient der Erstellung und Verwaltung von Zertifikaten, welche eine individuelle Authentifizierung für Anwender bei authega ermöglichen. Das Trustcenter wird auf Basis eines eigenen Betriebs-, Organisations- und Sicherheitskonzepts in Anlehnung an weltweit anerkannte Richtlinien betrieben.

Sie können die personalisierten Dienste bei authega zukünftig über das Login nur nutzen, wenn Sie sich mit Ihrer Zertifikatsdatei authentifizieren. Ihre Zertifikatsdatei enthält den dafür notwendigen privaten Schlüssel, über welches authega Ihre elektronische Identität prüfen kann. Bei der Nutzung von Portalen, welche an authega angebunden sind, werden persönliche Authentifizierungsdaten elektronisch übermittelt. 

Ihre Zertifikatsdatei besitzt zwei asymmetrische Schlüsselpaare und jeweils ein dazu gehöriges Zertifikat. Die Übertragung der Daten erfolgt verschlüsselt. 

Die Sicherheit Ihrer Authentifizierung basiert auf dem anerkannten RSA-Verfahren. Die Schlüssellänge Ihres Zertifikats entspricht einer Schlüssellänge von 3072 Bit. Die Verschlüsselung der Datenübertragung erfolgt über ein symmetrisches kryptographisches Verfahren, welches dem aktuellen Stand der Sicherheitstechnik entspricht. Der notwendige symmetrische Schlüssel wird als Zufallszahl generiert und authega verschlüsselt mitgeteilt.

Nur Sie können zu Ihren personalisierten Diensten Zugang erhalten. Die Sicherheit basiert hier auf Ihrem Wissen (Passwort) und Ihrem Besitz (Zertifikatsdatei). Ohne die Kenntnis des Passworts und den Besitz der individuellen Zertifikatsdatei ist der Zugang zu Ihren personalisierten Diensten nicht möglich. Für die sichere Verwahrung der beiden Kryptomittel sind Sie selbst verantwortlich! Unberechtigte dürfen keinen Zugriff auf diese Mittel erhalten. Nur dann ist die Sicherheit Ihrer Verbindung zu authega gewahrt.

Verfügt der Benutzer über eine von authega unterstützte Signaturkarte für Authentifizierung, so kann er diese auch einsetzen. 
Signaturkarten für Authentifizierung stellen den elektronischen Ersatz Ihrer handschriftlichen Unterschrift dar und werden von der Bayern-PKI ausgegeben. Ein mit einer Signaturkarte für Authentifizierung signiertes Dokument wird als rechtsverbindlich angesehen.

Sollten Sie innerhalb einer gewissen Zeit nach dem Absenden der Registrierungsdaten keine E-Mail vom authega erhalten haben, müssen Sie noch einmal mit dem Registrierungsprozess beginnen. Die häufigste Ursache hierfür kann ein Tippfehler sein, wie zum Beispiel die unabsichtliche Angabe einer falschen oder ungültigen E-Mail-Adresse. Die empfohlene Wartezeit bevor man von einem Fehler bei der Zustellung der E-Mail ausgehen kann, hängt von vielen Parametern ab, wie zum Beispiel der augenblicklichen Last bei authega oder dem gewähltem Portal, der Last bei Ihrem Internet-Provider sowie der Qualität Ihrer Verbindung zu Ihrem Provider. Üblicherweise wird die E-Mail innerhalb von Minuten bis zu wenigen Stunden ausgeliefert. Bei Wartezeiten über mehrere Tage empfehlen wir die Hotline zu kontaktieren.

Es erfolgt ein indirekter Identitätsnachweis durch Übermittlung des Aktivierungs-Codes auf dem Standard-Postweg sowie Versenden der Aktivierungs-ID per E-Mail. Der Nachweis Ihrer Identität, erfolgt dabei, indem nur die authentische Person beide Informationen erhalten und damit das Benutzerkonto bei authega aktivieren kann.

Der Aktivierungs-Code ist ein essentieller Sicherheitsmechanismus bei der Aktivierung eines Benutzerkontos bei authega. Initiiert durch authega wird er in einem geschlossenen Brief an Sie übermittelt.

Das Trustcenter von authega ist ein dediziert zu betreibender Schlüssel- und Zertifikatsmanager. Es dient der Erstellung und Verwaltung von Zertifikaten, welche individuelle Authentifizierung für Anwender bei authega ermöglichen. Das Trustcenter wird auf Basis eines eigenen Betriebs-, Organisations- und Sicherheitskonzepts in Anlehnung an weltweit anerkannte Richtlinien betrieben. 

Das Trustcenter der  Bayern-PKI wird durch das  IT-DLZ betrieben.

Sie können die personalisierten Dienste von authega zukünftig über das Login nur nutzen, wenn Sie sich mit Ihrer Signaturkarte für Authentifizierung authentifizieren. Ihre Signaturkarte für Authentifizierung enthält den dafür notwendigen privaten Schlüssel und das zugehörige Zertifikat, über welches authega Ihre elektronische Identität prüfen kann. Bei der Nutzung von Portalen, welche an authega angebunden sind, werden persönliche Authentifizierungsdaten elektronischen übermittelt. 

Ihre Signaturkarte für Authentifizierung besitzt zwei asymmetrische Schlüsselpaare und jeweils ein dazu gehöriges Zertifikat. Jeweils ein Schlüsselpaar für die Authentifizierung und für die Verschlüsselung.

Die Sicherheit Ihrer Authentifizierung basiert grundlegend auf dem anerkannten RSA-Verfahren. Die Verschlüsselung der Datenübertragung erfolgt über ein symmetrisches kryptographisches Verfahren, welches dem aktuellen Stand der Sicherheitstechnik entspricht. Der notwendige symmetrische Schlüssel wird als Zufallszahl generiert und authega verschlüsselt mitgeteilt.

Nur Sie können zu Ihren personalisierten Diensten Zugang erhalten. Die Sicherheit basiert hier auf Ihrem Wissen (Passwort) und Ihrem Besitz (Signaturkarte). Ohne die Kenntnis des Passworts und den Besitz der Signaturkarte ist der Zugang zu Ihren personalisierten Diensten nicht möglich. Für die sichere Verwahrung der beiden Kryptomittel sind Sie selbst verantwortlich! Unberechtigte dürfen keinen Zugriff auf diese Mittel erhalten. Nur dann ist die Sicherheit Ihrer Verbindung zu authega gewahrt.