Common Criteria (ISO/IEC 15408): Was die kryptografische Bewertung für Anbieter von IT-Produkten bedeutet

Für viele Einkäufer im Regierungs- und Verteidigungsbereich ist ein Common-Criteria-Zertifikat kein nettes Extra. Es ist die Grundvoraussetzung. Wenn Ihr Produkt kein solches Zertifikat vorweisen kann, ist das Geschäft oft schon vorbei, bevor die Verhandlungen überhaupt beginnen.

Hier liegt die Schwierigkeit, die die meisten Anbieter erst zu spät erkennen: Die Common Criteria bauen auf Ihrer kryptografischen Grundlage auf. Eine Schwachstelle in Ihrem FIPS-Validierungsstatus bleibt nicht auf sich beschränkt. Sie kann sich unbemerkt zu einem Problem im Rahmen der Common Criteria entwickeln und genau dann zutage treten, wenn ein Labor beginnt, Ihr Sicherheitsziel zu prüfen.

Die „Common Criteria“ wurden als ISO/IEC 15408:2022 übernommen und bilden das international anerkannte Rahmenwerk zur Bewertung der Sicherheit von IT-Produkten. Dieser Leitfaden erläutert, was es damit auf sich hat, warum es wichtig ist, in welchem Zusammenhang es mit der Kryptografie steht, wie man sich auf ein Audit vorbereitet und wie es mit FIPS 140-3 zusammenhängt.

Was sind die Common Criteria (ISO/IEC 15408)?

„Common Criteria“ ist ein strukturiertes Verfahren, mit dem nachgewiesen wird, dass eine definierte Produktkonfiguration – das „Target of Evaluation“ – die für sie geltend gemachten spezifischen Sicherheitsaussagen erfüllt, wobei die Überprüfung nicht durch den Hersteller, sondern durch eine akkreditierte dritte Stelle erfolgt.

Die Vorgehensweise ist unkompliziert. Anbieter legen Sicherheitsanforderungen in einem Sicherheitsziel fest, das häufig auf der Grundlage eines veröffentlichten Schutzprofils erstellt wird. Ein akkreditiertes Prüflabor überprüft dann unabhängig, ob das Produkt diese Anforderungen tatsächlich erfüllt. Zertifikate, die im Rahmen des Common Criteria Recognition Arrangement (CCRA) ausgestellt werden, werden von allen Unterzeichnerstaaten gegenseitig anerkannt, sodass ein Produkt in jedem Markt, den es betritt, keine doppelten Bewertungen durchlaufen muss.

Einige Rollen sorgen dafür, dass das System fair bleibt:

• Nationale Zertifizierungsstellen stellen Zertifikate auf der Grundlage einer Laborbewertung aus: NIAP (Betreiber des US-amerikanischen CCEVS-Programms), BSI in Deutschland, CCCS in Kanada. Die Vorschriften unterscheiden sich. NIAP akzeptiert ausschließlich auf Schutzprofilen basierende Bewertungen, sodass ein ausschließlich auf EAL basierendes Sicherheitsziel keinen Zugang zum US-Markt ermöglicht.
• Akkreditierte Prüflabore führen die Bewertung anhand des Sicherheitsziels eines Produkts durch . Die Kennzeichnung ist programmspezifisch: CCTL in den USA, CCEF in Kanada, ITSEF in Deutschland und im Rahmen des EUCC.

Für wen und wo dies gilt

Die „Common Criteria“ sind international ausgerichtet. Die CCRA umfasst etwa 31 Länder; das Verfahren ist das „Common Criteria Evaluation and Validation Scheme“ (CCEVS), das von der National Information Assurance Partnership (NIAP) verwaltet und von der NSA durchgeführt wird. Die Bewertung wird von Testlabors durchgeführt; die NIAP validiert das Ergebnis und stellt das Zertifikat aus.

Dies gilt insbesondere für Anbieter von IT-Produkten, die eine Bewertung anhand eines veröffentlichten Schutzprofils anstreben, darunter Betriebssysteme, Netzwerkgeräte, Datenbanksysteme, Lösungen für die Verwaltung mobiler Geräte sowie E-Mail-, VPN- und Firewall-Produkte. Nationale Zertifizierungsstellen und akkreditierte Prüflabore runden das Ökosystem ab.

Wenn Sie sich auf die Primärquellen beziehen möchten, sind in diesem Zusammenhang folgende Dokumente maßgeblich: ISO/IEC 15408:2022 (Teile 1 bis 5), von der NIAP genehmigte Schutzprofile wie das cPP für Netzwerkgeräte und das cPP für die vollständige Festplattenverschlüsselung sowie der NIAP-Richtlinienbrief Nr. 5, der die kryptografischen Sicherheitsprüfungen nach den Common Criteria mit den CAVP- und CMVP-Programmen des NIST abstimmt.

Warum die Common Criteria für die kryptografische Bewertung von Bedeutung sind

Die Faktenlage ist eindeutig: Für staatliche und verteidigungsbezogene Einkäufer weltweit ist die Zertifizierung häufig buchstäblich eine Voraussetzung für die Beschaffung und keine Frage der Auslegung. In vielen nationalen Beschaffungsvorschriften wird sie direkt als Grundvoraussetzung für Produktkategorien wie Netzwerkgeräte, VPN-Gateways und Plattformen zur Verwaltung mobiler Geräte genannt.

Die Anforderungen unterscheiden sich je nach Zertifizierungssystem. Diese Leitlinien orientieren sich am US-amerikanischen Zertifizierungssystem NIAP. Europäische Zertifizierungssysteme wie BSI und ANSSI wenden statt der CAVP-Leitlinien ihre eigenen kryptografischen Leitlinien an.

Die kryptografische Verbindung ist es, die vielen Menschen Schwierigkeiten bereitet. Kryptografiespezifische Schutzprofile und die funktionalen Sicherheitsanforderungen der FCS-Klasse gehen in der Regel davon aus, dass die zugrunde liegenden Algorithmen bereits im Rahmen des Cryptographic Algorithm Validation Program (CAVP) oder des CMVP des NIST validiert wurden. Der NIAP-Richtlinienbrief Nr. 5 formalisiert diesen Zusammenhang. Eine Common-Criteria-Bewertung ist kein Ersatz für eine CAVP- oder CMVP-Validierung. Sie baut darauf auf.

Wie sich die Common Criteria auf die Kryptografie beziehen

Die Norm ISO/IEC 15408 behandelt das Thema Kryptografie anhand mehrerer miteinander verflochtener Kontrollbereiche. Jeder einzelne davon hat direkte Auswirkungen auf die Kryptografie. Einige werden durch Tools unterstützt; andere sind prozessbezogene Verpflichtungen, die bei Ihren Entwicklungs- und Compliance-Teams liegen und nicht einfach gekauft werden können.

In allen sechs Bereichen gilt dasselbe: Ihre Kryptografie muss definiert, validiert, kontrolliert und nachvollziehbar sein – es reicht nicht aus, dass sie lediglich vorhanden ist.

Die FIPS-Abhängigkeit, die Sie nicht überspringen können

Dies ist der Zusammenhang, der die Bewertungen verzögert. Da die meisten Schutzprofile kryptografische Sicherheitsmaßnahmen beinhalten, die auf CAVP- oder CMVP-validierten Algorithmen basieren, führt eine Lücke im FIPS-Validierungsstatus zu einer Lücke in der Bewertung nach den Common Criteria.

Einfach ausgedrückt: Ein Produkt kann die Common-Criteria-Bewertung nicht erfolgreich bestehen, solange sein kryptografisches Modul nicht validiert ist oder auf die „CMVP Historical List“ gerutscht ist. Bestehende Zertifikate werden nicht rückwirkend für ungültig erklärt, aber nach diesem Datum unterstützt ein 140-2-Zertifikat keine neuen Beschaffungen auf Bundesebene mehr, und die aktuellen CMVP-Prüfungszeiten betragen deutlich mehr als ein Jahr. Die meisten cPPs verlangen eine aktuelle, aktive CAVP- und CMVP-Validierung, um die FCS-Sicherheitsanforderungen zu erfüllen; daher kann ein abgelaufenes Zertifikat die Zertifizierung je nach dem geltenden Schutzprofil verzögern oder blockieren.

Dieses Risiko ist an eine Frist gebunden. Module, die noch nach FIPS 140-2 zertifiziert sind, müssen bis zum 21. September 2026 auf die „CMVP Historical List“ umgestellt werden, was zur Ungültigkeit eines bestehenden Zertifikats führen kann. Wenn Ihre Bewertung von einem dieser Module abhängt, läuft die Migrationsfrist bereits. (Sobald das Kapitel zu FIPS 140-3 veröffentlicht ist, wird hier ein Link dazu eingefügt, um eine ausführlichere Anleitung bereitzustellen.)

Vorbereitung auf das Common-Criteria-Audit: Was Prüfer untersuchen

Die Prüfer stützen sich auf nachgewiesene Fakten und nicht allein auf politische Erklärungen. Jede „Common Criteria“-Prüfung wird von einem akkreditierten Labor durchgeführt, wobei das Zertifizierungssystem das Ergebnis validiert. Es gibt weder einen Weg der Selbstbewertung noch eine von einer Aufsichtsbehörde durchgeführte Alternative. Die folgenden sechs Bereiche werden vom Labor und vom Validierer geprüft. Betrachten Sie sie als Checkliste:

• Kryptografische Genauigkeit des Sicherheitsziels. Beschreibt das Sicherheitsziel die Algorithmen, Modi und Schlüsselgrößen, die tatsächlich im ausgelieferten Produkt implementiert sind, korrekt?
• Aktueller CAVP/CMVP-Status. Verfügen die genannten Algorithmen und Module über eine aktuelle, aktive CAVP- und CMVP-Validierung?
• Nachweise für Maßnahmen zur Sicherstellung des Schutzprofils. Liegen für jede kryptografische Sicherstellungsmaßnahme im geltenden Schutzprofil Testnachweise vor?
• Dokumentation zum Konfigurationsmanagement. Geht aus der Dokumentation der ALC-Klasse hervor, dass die kryptografischen Komponenten innerhalb der bewerteten Grenze kontrolliert werden?
• Nachverfolgung von Änderungen zur Gewährleistung der Kontinuität. Gibt es einen Prozess, um zu entscheiden, wann eine Aktualisierung der Bibliothek oder eine Algorithmusänderung eine Überprüfung oder eine vollständige Neubewertung auslöst?
• Signierung von Patches und Versionsabgleich. Sind die Patches signiert, und stimmt die bereitgestellte Version mit der im Zertifikat angegebenen überein?

Wie Keyfactor helfen Keyfactor

Wenn man die Zuordnungen zusammenführt, ergibt sich ein klares Betriebsmodell. AgileSec unterstützt die Erkennung kryptografischer Schwachstellen und gewährleistet Kontinuität. Keyfactor Command übernimmt das Lebenszyklusmanagement von Zertifikaten und Schlüsseln. EJBCA Stellt eine PKI bereit, die auf validierten Modulen basiert. SignServerSignum -Zertifikate signieren Produktveröffentlichungen.

Es gibt eine nützliche Abkürzung, auf die es sich hinweisen lohnt. „ EJBCA “ wird mit einem Common-Criteria-Zertifikat gemäß dem NIAP-Schutzprofil für Zertifizierungsstellen ausgeliefert und ist in der CSfC-Komponentenliste aufgeführt. Das bedeutet, dass die Zertifizierungsstellenfunktion bereits vorab bewertet ist und nicht als weitere Komponente in Ihren eigenen Bewertungsumfang fällt.

Der Mehrwert besteht in einem kontinuierlichen, als Beweismittel geeigneten Überblick über die Kryptografie hinter einem Zertifikat – statt einer punktuellen Überarbeitung in den Wochen vor einem Audit.

Fazit und nächste Schritte

Common Criteria belohnt Anbieter, die Kryptografie als geregelte, kontinuierlich nachgewiesene Grundlage betrachten, und deckt diejenigen auf, die dies nicht tun. Das Zertifikat am Ende ist eigentlich nur ein Nebenprodukt dieser Disziplin.

Beginnen Sie dort, wo sich die Risiken konzentrieren. Bewerten Sie Ihren Kryptografie-Bestand und den Status der FIPS-Validierung rechtzeitig vor der Bewertung, stellen Sie sicher, dass Ihr Sicherheitsziel mit dem tatsächlich ausgelieferten Produkt übereinstimmt, und vergewissern Sie sich, dass jedes referenzierte Modul über eine aktuelle, aktive Validierung verfügt. Ordnen Sie anschließend jeden Kontrollbereich einem wiederholbaren Prozess zu, anstatt ihn als einmaligen Audit-Sprint zu behandeln.

Möchten Sie erfahren, wie „ Keyfactor “ die einzelnen Kontrollbereiche der Common Criteria unterstützt? Fordern Sie eine Demo an.

Haben Sie Fragen zu den Common Criteria? Wir haben die Antworten.

What is Common Criteria (ISO/IEC 15408)?
Common Criteria is the internationally recognized framework for evaluating IT product security, adopted as ISO/IEC 15408:2022. Vendors define requirements in a Security Target, and an accredited lab independently verifies that the product meets those claims.

What is a Security Target versus a Protection Profile?
A Security Target states the security requirements a specific product claims to meet, and it is often built from a published Protection Profile. A Protection Profile is a standardized set of requirements for a product category, such as the Network Device cPP or Full Drive Encryption cPP. Where a Protection Profile applies, the Security Target must claim exact conformance to it, meaning it cannot add or drop mandatory requirements.

Does Common Criteria replace FIPS 140-3 validation?
No. NIAP Policy Letter #5 makes clear that a Common Criteria evaluation is not a substitute for CAVP or CMVP validation. The underlying algorithms and modules should already hold current validation before evaluation begins.

Why do buyers require Common Criteria certification?
For government and defense buyers worldwide, certification is frequently a literal procurement gate. Many national procurement rules cite it directly as a baseline for categories like network devices, VPN gateways, and mobile device management platforms.

Are Common Criteria certificates recognized across countries?
Yes. Certificates issued under the Common Criteria Recognition Arrangement are mutually recognized across signatory nations, spanning roughly 31 countries, so vendors avoid duplicate evaluations in each market.

What do assessors look for in a Common Criteria evaluation?
Assessors focus on demonstrated evidence, including Security Target accuracy, active CAVP/CMVP status, Protection Profile assurance activity evidence, configuration management documentation, assurance continuity change tracking, and patch signing with version matching.

What happens to a certificate when we change cryptography?
Cryptographic changes are tracked against the certified baseline under the CCDB assurance continuity requirements and your scheme’s maintenance policy. . Depending on the change, this can trigger an Assurance Continuity review or a full re-evaluation.

How does the CMVP Historical List affect a Common Criteria certificate?
A product cannot cleanly pass evaluation while its cryptographic module sits unvalidated or has moved to the CMVP Historical List. Modules still on FIPS 140-2 face the September 21, 2026 transition, so plan migration ahead of that date.