Für viele Einkäufer im Regierungs- und Verteidigungsbereich ist ein Common-Criteria-Zertifikat kein „Nice-to-have“. Es ist die Grundvoraussetzung. Wenn Ihr Produkt kein solches Zertifikat vorweisen kann, ist das Geschäft oft schon vorbei, bevor die Gespräche überhaupt beginnen.
Hier liegt die Schwierigkeit, die die meisten Anbieter erst zu spät erkennen: Die Common Criteria bauen auf Ihrer kryptografischen Grundlage auf. Eine Schwachstelle in Ihrem FIPS-Validierungsstatus bleibt nicht auf sich beschränkt. Sie kann sich unbemerkt zu einem Problem im Rahmen der Common Criteria entwickeln und genau dann zutage treten, wenn ein Labor beginnt, Ihr Sicherheitsziel zu prüfen.
Die „Common Criteria“ wurden als ISO/IEC 15408:2022 übernommen und bilden das international anerkannte Rahmenwerk zur Bewertung der Sicherheit von IT-Produkten. Dieser Leitfaden erläutert, was es damit auf sich hat, warum es wichtig ist, inwiefern es mit Kryptografie zusammenhängt, wie man sich auf ein Audit vorbereitet und welche Verbindung zu FIPS 140-3 besteht.
Was sind die Common Criteria (ISO/IEC 15408)?
„Common Criteria“ ist ein strukturiertes Verfahren, mit dem nachgewiesen wird, dass eine definierte Produktkonfiguration – das „Target of Evaluation“ – die für sie geltend gemachten spezifischen Sicherheitsaussagen erfüllt, wobei die Überprüfung nicht durch den Hersteller, sondern durch eine akkreditierte dritte Stelle erfolgt.
Die Vorgehensweise ist unkompliziert. Anbieter legen Sicherheitsanforderungen in einem Sicherheitsziel fest, das häufig auf der Grundlage eines veröffentlichten Schutzprofils erstellt wird. Ein akkreditiertes Prüflabor überprüft dann unabhängig, ob das Produkt diese Anforderungen tatsächlich erfüllt. Zertifikate, die im Rahmen des Common Criteria Recognition Arrangement (CCRA) ausgestellt werden, werden von allen Unterzeichnerstaaten gegenseitig anerkannt, sodass ein Produkt in jedem Markt, den es betritt, keine doppelten Bewertungen durchlaufen muss.
Einige Rollen sorgen dafür, dass das System fair bleibt:
- Nationale Zertifizierungsstellen stellen Zertifikate auf der Grundlage einer Laborbewertung aus: NIAP (Betreiber des US-amerikanischen CCEVS-Programms), BSI in Deutschland, CCCS in Kanada. Die Vorschriften unterscheiden sich. NIAP akzeptiert ausschließlich auf Schutzprofilen basierende Bewertungen, sodass ein ausschließlich auf EAL basierendes Sicherheitsziel keinen Zugang zum US-Markt ermöglicht.
- Akkreditierte Prüflabore führen die Bewertung anhand des Sicherheitsziels eines Produkts durch . Die Kennzeichnung ist programmspezifisch: CCTL in den USA, CCEF in Kanada, ITSEF in Deutschland und im Rahmen des EUCC.
Für wen und wo dies gilt
Die „Common Criteria“ sind international ausgerichtet. Die CCRA umfasst etwa 31 Länder; das Verfahren ist das „Common Criteria Evaluation and Validation Scheme“ (CCEVS), das von der National Information Assurance Partnership (NIAP) verwaltet und von der NSA durchgeführt wird. Die Bewertung wird von Testlabors durchgeführt; die NIAP validiert das Ergebnis und stellt das Zertifikat aus.
Dies gilt insbesondere für Anbieter von IT-Produkten, die eine Bewertung anhand eines veröffentlichten Schutzprofils anstreben, darunter Betriebssysteme, Netzwerkgeräte, Datenbanksysteme, Lösungen für die Verwaltung mobiler Geräte sowie E-Mail-, VPN- und Firewall-Produkte. Nationale Zertifizierungsstellen und akkreditierte Prüflabore runden das Ökosystem ab.
Wenn Sie sich auf die Primärquellen beziehen möchten, sind in diesem Zusammenhang folgende Dokumente maßgeblich: ISO/IEC 15408:2022 (Teile 1 bis 5), von der NIAP genehmigte Schutzprofile wie das cPP für Netzwerkgeräte und das cPP für die vollständige Festplattenverschlüsselung sowie der NIAP-Richtlinienbrief Nr. 5, der die kryptografischen Sicherheitsprüfungen nach den Common Criteria mit den CAVP- und CMVP-Programmen des NIST abstimmt.
Warum die Common Criteria für die kryptografische Bewertung von Bedeutung sind
Die Faktenlage ist eindeutig: Für staatliche und verteidigungsbezogene Einkäufer weltweit ist die Zertifizierung häufig buchstäblich eine Voraussetzung für die Beschaffung und keine Frage der Auslegung. In vielen nationalen Beschaffungsvorschriften wird sie direkt als Grundvoraussetzung für Produktkategorien wie Netzwerkgeräte, VPN-Gateways und Plattformen zur Verwaltung mobiler Geräte genannt.
Die Anforderungen unterscheiden sich je nach Zertifizierungssystem. Diese Leitlinien orientieren sich am US-amerikanischen Zertifizierungssystem NIAP. Europäische Zertifizierungssysteme wie BSI und ANSSI wenden statt der CAVP-Leitlinien ihre eigenen kryptografischen Leitlinien an.
Die kryptografische Verbindung ist es, die vielen Menschen Schwierigkeiten bereitet. Kryptografiespezifische Schutzprofile und die funktionalen Sicherheitsanforderungen der FCS-Klasse gehen in der Regel davon aus, dass die zugrunde liegenden Algorithmen bereits im Rahmen des Cryptographic Algorithm Validation Program (CAVP) oder des CMVP des NIST validiert wurden. Der NIAP-Richtlinienbrief Nr. 5 formalisiert diesen Zusammenhang. Eine Common-Criteria-Bewertung ist kein Ersatz für eine CAVP- oder CMVP-Validierung. Sie baut darauf auf.
Wie sich die Common Criteria auf die Kryptografie beziehen
Die Norm ISO/IEC 15408 behandelt das Thema Kryptografie anhand mehrerer miteinander verflochtener Kontrollbereiche. Jeder einzelne davon hat direkte Auswirkungen auf die Kryptografie. Einige werden durch Tools unterstützt; andere sind prozessbezogene Verpflichtungen, die bei Ihren Entwicklungs- und Compliance-Teams liegen und nicht einfach gekauft werden können.
| Kontrollbereich | Was dafür erforderlich ist |
|---|---|
| Kryptografische Anforderungen an Sicherheitsziele (15408-2, Klasse FCS) | Geben Sie die Algorithmen, Schlüsselgrößen und Operationen an, die das Bewertungsziel implementieren muss, sowie die Art und Weise, wie diese im Rahmen eines Labortests überprüft werden. |
| Konformität mit dem Schutzprofil | Ordnen Sie die kryptografischen Funktionen dem spezifischen Schutzprofil zu, anhand dessen ein Produkt bewertet wird, und richten Sie dies im Vorfeld für die Qualitätssicherungsmaßnahmen des Labors ein. |
| Grundlagen der CAVP/CMVP-Validierung (NIAP-Richtlinienbrief Nr. 5) | Stellen Sie sicher, dass die im Sicherheitsziel genannten Algorithmen und Module bereits über eine aktuelle CAVP- und CMVP-Validierung verfügen, bevor die Bewertung beginnt. |
| Konfigurationsmanagement für kryptografische Komponenten (15408-3, Klasse ALC) | Nachweis der Konfigurationsverwaltung und der Lebenszykluskontrollen für die kryptografischen Komponenten innerhalb der Grenzen des zertifizierten Produkts. |
| Gewährleistung der Kontinuität nach kryptografischen Änderungen (CCDB, NIAP) | Verfolgen Sie Algorithmus-Updates und Bibliotheks-Patches im Vergleich zur zertifizierten Basislinie, um zu entscheiden, wann eine Neubewertung oder eine Überprüfung der Kontinuität der Qualitätssicherung ausgelöst wird. |
| Signierte Produktversionen (FPT_TUD_EXT.1 und FPT_TUD_EXT.2, vertrauenswürdiges Update) | Patches und Updates kryptografisch signieren, damit Kunden überprüfen können, ob eine Version noch mit der bewerteten Baseline übereinstimmt. |
In allen sechs Bereichen gilt dasselbe: Ihre Kryptografie muss definiert, validiert, kontrolliert und nachvollziehbar sein – es reicht nicht aus, dass sie lediglich vorhanden ist.
Die FIPS-Abhängigkeit, die Sie nicht überspringen können
Dies ist der Zusammenhang, der die Bewertungen verzögert. Da die meisten Schutzprofile kryptografische Sicherheitsmaßnahmen beinhalten, die auf CAVP- oder CMVP-validierten Algorithmen basieren, führt eine Lücke im FIPS-Validierungsstatus zu einer Lücke in der Bewertung nach den Common Criteria.
Einfach ausgedrückt: Ein Produkt kann die Common-Criteria-Bewertung nicht erfolgreich bestehen, solange sein kryptografisches Modul nicht validiert ist oder auf die „CMVP Historical List“ gerutscht ist. Bestehende Zertifikate werden nicht rückwirkend für ungültig erklärt, aber nach diesem Datum unterstützt ein 140-2-Zertifikat keine neuen Beschaffungen auf Bundesebene mehr, und die aktuellen CMVP-Prüfungszeiten betragen deutlich mehr als ein Jahr. Die meisten cPPs verlangen eine aktuelle, aktive CAVP- und CMVP-Validierung, um die FCS-Sicherheitsanforderungen zu erfüllen; daher kann ein abgelaufenes Zertifikat die Zertifizierung je nach dem geltenden Schutzprofil verzögern oder blockieren.
Dieses Risiko ist an eine Frist gebunden. Module, die noch nach FIPS 140-2 zertifiziert sind, müssen bis zum 21. September 2026 auf die „CMVP Historical List“ umgestellt werden, was zur Ungültigkeit eines bestehenden Zertifikats führen kann. Wenn Ihre Bewertung von einem dieser Module abhängt, läuft die Migrationsfrist bereits. (Sobald das Kapitel zu FIPS 140-3 veröffentlicht ist, wird hier ein Link dazu eingefügt, um eine ausführlichere Anleitung bereitzustellen.)
Vorbereitung auf das Common-Criteria-Audit: Was Prüfer untersuchen
Die Prüfer stützen sich auf nachgewiesene Fakten und nicht allein auf politische Erklärungen. Jede „Common Criteria“-Prüfung wird von einem akkreditierten Labor durchgeführt, wobei das Zertifizierungssystem das Ergebnis validiert. Es gibt weder einen Weg der Selbstbewertung noch eine von einer Aufsichtsbehörde durchgeführte Alternative. Die folgenden sechs Bereiche werden vom Labor und vom Validierer geprüft. Betrachten Sie sie als Checkliste:
- Kryptografische Genauigkeit des Sicherheitsziels. Beschreibt das Sicherheitsziel die Algorithmen, Modi und Schlüsselgrößen, die tatsächlich im ausgelieferten Produkt implementiert sind, korrekt?
- Aktueller CAVP/CMVP-Status. Verfügen die genannten Algorithmen und Module über eine aktuelle, aktive CAVP- und CMVP-Validierung?
- Nachweise für Maßnahmen zur Sicherstellung des Schutzprofils. Liegen für jede kryptografische Sicherstellungsmaßnahme im geltenden Schutzprofil Testnachweise vor?
- Dokumentation zum Konfigurationsmanagement. Geht aus der Dokumentation der ALC-Klasse hervor, dass die kryptografischen Komponenten innerhalb der bewerteten Grenze kontrolliert werden?
- Nachverfolgung von Änderungen zur Gewährleistung der Kontinuität. Gibt es einen Prozess, um zu entscheiden, wann eine Aktualisierung der Bibliothek oder eine Algorithmusänderung eine Überprüfung oder eine vollständige Neubewertung auslöst?
- Signierung von Patches und Versionsabgleich. Sind die Patches signiert, und stimmt die bereitgestellte Version mit der im Zertifikat angegebenen überein?
Wie Keyfactor helfen Keyfactor
Wenn man die Zuordnungen zusammenführt, ergibt sich ein klares Betriebsmodell. AgileSec unterstützt die Erkennung kryptografischer Schwachstellen und gewährleistet Kontinuität. Keyfactor Command übernimmt das Lebenszyklusmanagement von Zertifikaten und Schlüsseln. EJBCA Stellt eine PKI bereit, die auf validierten Modulen basiert. SignServerSignum -Zertifikate signieren Produktveröffentlichungen.
Es gibt eine nützliche Abkürzung, auf die es sich hinweisen lohnt. „ EJBCA “ wird mit einem Common-Criteria-Zertifikat gemäß dem NIAP-Schutzprofil für Zertifizierungsstellen ausgeliefert und ist in der CSfC-Komponentenliste aufgeführt. Das bedeutet, dass die Zertifizierungsstellenfunktion bereits vorab bewertet ist und nicht als weitere Komponente in Ihren eigenen Bewertungsumfang fällt.
Der Mehrwert besteht in einem kontinuierlichen, als Beweismittel geeigneten Überblick über die Kryptografie hinter einem Zertifikat – statt einer punktuellen Überarbeitung in den Wochen vor einem Audit.
Fazit und nächste Schritte
Common Criteria belohnt Anbieter, die Kryptografie als geregelte, kontinuierlich nachgewiesene Grundlage betrachten, und deckt diejenigen auf, die dies nicht tun. Das Zertifikat am Ende ist eigentlich nur ein Nebenprodukt dieser Disziplin.
Beginnen Sie dort, wo sich die Risiken konzentrieren. Bewerten Sie Ihren Kryptografie-Bestand und den Status der FIPS-Validierung rechtzeitig vor der Bewertung, stellen Sie sicher, dass Ihr Sicherheitsziel mit dem tatsächlich ausgelieferten Produkt übereinstimmt, und vergewissern Sie sich, dass jedes referenzierte Modul über eine aktuelle, aktive Validierung verfügt. Ordnen Sie anschließend jeden Kontrollbereich einem wiederholbaren Prozess zu, anstatt ihn als einmaligen Audit-Sprint zu behandeln.
Möchten Sie erfahren, wie „ Keyfactor “ die einzelnen Kontrollbereiche der Common Criteria unterstützt? Fordern Sie eine Demo an.
Haben Sie Fragen zu den Common Criteria? Wir haben die Antworten.
Was sind die Common Criteria (ISO/IEC 15408)?
Die Common Criteria sind ein international anerkanntes Rahmenwerk zur Bewertung der Sicherheit von IT-Produkten, das als ISO/IEC 15408:2022 verabschiedet wurde. Anbieter legen die Anforderungen in einem Sicherheitsziel fest, und ein akkreditiertes Labor überprüft unabhängig, ob das Produkt diese Anforderungen erfüllt.
Was ist der Unterschied zwischen einem Sicherheitsziel und einem Schutzprofil?
Ein Sicherheitsziellegt die Sicherheitsanforderungen fest, die ein bestimmtes Produkt nach eigenen Angaben erfüllt, und basiert häufig auf einem veröffentlichten Schutzprofil. Ein Schutzprofil ist eine standardisierte Sammlung von Anforderungen für eine Produktkategorie, wie beispielsweise das cPP für Netzwerkgeräte oder das cPP für die vollständige Festplattenverschlüsselung. Gilt ein Schutzprofil, muss das Sicherheitsziel die exakte Konformität mit diesem Schutzprofil nachweisen, d. h., es dürfen keine verbindlichen Anforderungen hinzugefügt oder weggelassen werden.
Ersetzt die Bewertung nach den Common Criteria die FIPS 140-3-Validierung?
Nein. Der NIAP Policy Letter Nr. 5 stellt klar, dass eine Bewertung nach den Common Criteria kein Ersatz für eine CAVP- oder CMVP-Validierung ist. Die zugrunde liegenden Algorithmen und Module sollten bereits über eine aktuelle Validierung verfügen, bevor die Bewertung beginnt.
Warum verlangen Einkäufer eine Zertifizierung nach den Common Criteria?
Für staatliche und Verteidigungsbehörden weltweit ist die Zertifizierung häufig buchstäblich eine Voraussetzung für die Beschaffung. Viele nationale Beschaffungsvorschriften verweisen direkt darauf als Mindestanforderung für Kategorien wie Netzwerkgeräte, VPN-Gateways und Plattformen zur Verwaltung mobiler Geräte.
Werden Common-Criteria-Zertifikate länderübergreifend anerkannt?
Ja. Zertifikate, die im Rahmen des Common-Criteria-Anerkennungsabkommens ausgestellt werden, werden von allen Unterzeichnerstaaten – insgesamt rund 31 Länder – gegenseitig anerkannt, sodass Anbieter doppelte Bewertungen in den einzelnen Märkten vermeiden können.
Worauf achten Gutachter bei einer Bewertung nach den Common Criteria?
Gutachter konzentrieren sich auf nachgewiesene Belege, darunter die Genauigkeit des Sicherheitsziels, den aktiven CAVP-/CMVP-Status, Nachweise für Maßnahmen zur Absicherung des Schutzprofils, Dokumentation zum Konfigurationsmanagement, die Nachverfolgung von Änderungen zur Gewährleistung der Kontinuität sowie die Signierung von Patches mit Versionsabgleich.
Was passiert mit einem Zertifikat, wenn wir die Kryptografie ändern?
Kryptografische Änderungen werden im Rahmen der CCDB-Anforderungen zur Kontinuität der Sicherheitsüberprüfung und der Wartungsrichtlinie Ihres Systems anhand der zertifizierten Basislinie nachverfolgt. Je nach Art der Änderung kann dies eine Überprüfung der Kontinuität der Sicherheitsüberprüfung oder eine vollständige Neubewertung auslösen.
Wie wirkt sich die CMVP-Historienliste auf ein Common-Criteria-Zertifikat aus?
Ein Produkt kann die Bewertung nicht ordnungsgemäß bestehen, solange sein kryptografisches Modul noch nicht validiert ist oder in die CMVP-Historienliste aufgenommen wurde. Module, die noch unter FIPS 140-2 fallen, müssen bis zum 21. September 2026 umgestellt werden; planen Sie die Migration daher rechtzeitig vor diesem Datum.
