PERSON MIT EINEM KRYPTOGRAPHISCHEN ZERTIFIKAT

Die Erfindung betrifft das Gebiet der Personalisierung eines Identifikationsausweises, beispielsweise eines Betriebsausweises, einer Person mit einem kryptographischen Zertifikat.

Identifikationsausweise werden für eine Vielzahl von Anwendungen zur Identifizierung von Personen eingesetzt. In Unternehmen werden Identifikationsausweise beispielsweise als Betriebsausweise zur Identifikation von Mitarbeitern verwendet.

Um einen Identifikationsausweis einer Person zuzuordnen, wird eine Personalisierung des Identifikationsausweises durchgeführt. Eine Personalisierung des Identifikationsausweises kann beispielsweise optisch durch Aufbringen eines Namens der Person auf dem

Identifikationsausweis erfolgen. Eine Personalisierung des Identifikationsausweises kann ferner elektronisch durch Versehen des Identifikationsausweises mit einem

kryptographischen Zertifikat der Person durchgeführt werden. Unter Verwendung des kryptographischen Zertifikats kann die Person beispielsweise eine kryptographische Datenverschlüsselung oder eine kryptographische Datensignierung durchführen. In vielen Anwendungen wird zunächst eine optische Personalisierung des

Identifikationsausweises durchgeführt und der Identifikationsausweis anschließend der Person ausgehändigt. Der Identifikationsausweis kann somit zur optischen Identifikation der Person verwendet werden. Ein nachträgliches Versehen des Identifikationsausweises mit einem kryptographischen Zertifikat ist häufig wünschenswert, um der Person nachträglich eine kryptographische Datenverschlüsselung oder eine kryptographische Datensignierung zu ermöglichen.

Das nachträgliche Versehen eines Identifikationsausweises mit einem kryptographischen Zertifikat ist jedoch üblicherweise mit hohem Aufwand verbunden, da eine aufwändige Identifizierung der Person, beispielsweise durch eine Registrierungsstelle oder eine Registration Authority (RA), durchgeführt werden muss. Darüber hinaus werden üblicherweise komplexe Personalisierungsgeräte und Softwarekomponenten zum

Versehen des Identifikationsausweises mit dem kryptographischen Zertifikat benötigt. Es ist daher die Aufgabe der vorliegenden Erfindung, ein effizientes Konzept zum

Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat zu schaffen.

Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungsformen sind Gegenstand der abhängigen Patentansprüche, der

Beschreibung sowie der Figuren.

Die Erfindung basiert auf der Erkenntnis, dass die obige Aufgabe unter Verwendung eines vorgespeicherten Personendatums gelöst werden kann, welches von einer

Datenverarbeitungsanlage an einen elektronischen Zertifizierungsserver übermittelt wird. Die Datenverarbeitungsanlage kann beispielsweise vorgesehen sein, Personendaten von Mitarbeitern eines Unternehmens zu verwalten. Der elektronische Zertifizierungsserver kann das kryptographische Zertifikat erzeugen und an den Identifikationsausweis übermitteln. Dadurch wird erreicht, dass auf eine Speicherung von Personendaten in dem Identifikationsausweis und auf eine aufwändige Identifizierung der Person verzichtet werden kann.

Zur Authentifizierung der Person kann der elektronische Zertifizierungsserver zudem ein kryptographisches Geheimnis, beispielsweise eine alphanummerische Zeichenfolge, erzeugen und an die Person übermitteln. Die Übermittlung des kryptographischen

Geheimnisses kann beispielsweise elektronisch in Form einer Email oder postalisch in Form eines Briefes realisiert werden. Die Person kann sich daraufhin bei dem

elektronischen Zertifizierungsserver unter Verwendung des kryptographischen

Geheimnisses authentifizieren. Das kryptographische Geheimnis kann jedoch auch per Barcode oder telefonisch, beispielsweise über die Stimme, weitergegeben werden.

Die einzelnen Verfahrensschritte, wie beispielsweise die Personalisierung oder die Erzeugung des kryptographischen Zertifikats, können zu beliebigen Zeitpunkten durchgeführt werden. Insbesondere können die zeitlichen Abstände zwischen den Zeitpunkten der Ausführung der Verfahrensschritte beliebig sein. So kann beispielweise zwischen einer Herausgabe des Identifikationsausweises an die Person und einer Personalisierung oder dem Erzeugen des kryptographischen Zertifikats eine

Nutzungsphase liegen. Darüber hinaus sind spätere Änderungen des Personendatums und/oder des kryptographischen Zertifikats möglich. Gemäß einem ersten Aspekt betrifft die Erfindung ein Verfahren zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat, mit einem Übermitteln eines vorgespeicherten Personendatums an einen elektronischen

Zertifizierungsserver durch eine Datenverarbeitungsanlage, einem Erzeugen eines kryptographischen Schlüssels durch den Identifikationsausweis, einem Übermitteln des erzeugten kryptographischen Schlüssels von dem Identifikationsausweis an den elektronischen Zertifizierungsserver, einem Erzeugen des kryptographischen Zertifikats durch den elektronischen Zertifizierungsserver auf der Basis des kryptographischen Schlüssels und des Personendatums, und einem Übermitteln des kryptographischen Zertifikats durch den elektronischen Zertifizierungsserver an den Identifikationsausweis, um den Identifikationsausweis mit dem kryptographischen Zertifikat zu versehen. Dadurch wird der Vorteil erreicht, dass ein effizientes Konzept zum Versehen eines

Identifikationsausweises einer Person mit einem kryptographischen Zertifikat realisiert werden kann. Der Identifikationsausweis kann ein Betriebsausweis sein. Der Identifikationsausweis kann ferner eines der folgenden Identitätsdokumente sein: ein Personalausweis, ein Reisepass, ein Zugangskontrollausweis, ein Berechtigungsausweis, ein

Unternehmensausweis, ein Steuerzeichen, ein Ticket, eine Geburtsurkunde, ein

Führerschein, ein Kraftfahrzeugausweis, ein Zahlungsmittel, eine Bankkarte, oder eine Kreditkarte.

Der Identifikationsausweis kann ferner eine Chipkarte sein, welche beispielsweise verkäuflich oder frei ist. So kann der Identifikationsausweis beispielsweise einer Zeitschrift beigefügt werden und mit dieser einem Nutzer beispielsweise kostenfrei übergeben werden. Der Nutzer kann zu einem späteren Zeitpunkt den Identifikationsausweis wie hierin beschrieben personalisieren oder unter Verwendung des Betriebsausweises ein Zertifikat beschaffen.

Der Identifikationsausweis kann ferner einen elektronisch auslesbaren Schaltkreis, beispielsweise einen RFID-Chip oder eine SIM-Karte, umfassen. Der

Identifikationsausweis kann ein- oder mehrlagig bzw. papier- und/oder kunststoffbasiert sein. Der Identifikationsausweis kann aus kunststoffbasierten Folien aufgebaut sein, welche zu einem Kartenkörper mittels Verkleben und/oder Laminieren zusammengefügt sind, wobei die Folien bevorzugt ähnliche stoffliche Eigenschaften aufweisen. Der Identifikationsausweis kann ferner mittels eines Smartphones, das eine SIM enthalten kann, realisiert werden.

Das kryptographische Zertifikat kann ein Public-Key-Zertifikat sein. Das kryptographische Zertifikat kann nach dem X.509 Standard formatiert sein. Der kryptographische Schlüssel kann ein öffentlicher kryptographischer Schlüssel sein. Der elektronische

Zertifizierungsserver kann eine Zertifizierungsstelle, eine Certificate Authority (CA) oder ein Trustcenter sein.

Unter Verwendung des kryptographischen Zertifikats kann die Person beispielsweise eine kryptographische Datenverschlüsselung oder eine kryptographische Datensignierung oder eine Authentifikation oder eine Autentisierung durchführen.

Das vorgespeicherte Personendatum kann ein Name der Person, ein Geburtsdatum der Person, oder ein Geburtsort oder eine Anschrift der Person sein. Das vorgespeicherte Personendatum kann ferner ein Attribut der Person, beispielsweise eine Stellung der Person innerhalb eines Unternehmens, eine monetäre Beschränkung oder ein

Einschränkung eines Geschäftszwecks sein. Die Datenverarbeitungsanlage kann ein Computer sein. Die Vorspeicherung des Personendatums kann zu einem späteren Zeitpunkt,

insbesondere nach der Übergabe bzw. Herstellung des Identifikationsausweises, beispielsweise nach einer oder mehreren Stunden, nach einem oder mehreren Tagen, nach einer oder mehreren Wochen oder nach einem oder mehreren Monaten, erfolgen. Gemäß einer Ausführungsform ist das vorgespeicherte Personendatum in der

Datenverarbeitungsanlage vorgespeichert. Dadurch wird der Vorteil erreicht, dass das Personendatum effizient bereitgestellt werden kann. Zudem kann auf ein Speichern des Personendatums in dem Identifikationsausweis verzichtet werden. Die Datenverarbeitungsanlage kann ausgebildet sein, eine Mehrzahl von Personendaten, beispielsweise einer Mehrzahl von Mitarbeitern eines Unternehmens, zu speichern und/oder zu verwalten.

Gemäß einer Ausführungsform umfasst das Verfahren ein Erzeugen eines

kryptographischen Geheimnisses durch den elektronischen Zertifizierungsserver, wobei das kryptographische Geheimnis dem Personendatum zugeordnet ist, ein Übermitteln des kryptographischen Geheimnisses von dem elektronischen Zertifizierungsserver an die Person, ein Authentifizieren der Person gegenüber dem elektronischen

Zertifizierungsserver auf der Basis des übermittelten kryptographischen Geheimnisses, und ein Aufbauen einer Kommunikationsverbindung zwischen dem elektronischen Zertifizierungsserver und dem Identifikationsausweis ansprechend auf die

Authentifizierung der Person. Dadurch wird der Vorteil erreicht, dass eine effiziente Authentifizierung der Person durchgeführt werden kann.

Das kryptographische Geheimnis kann unter Verwendung eines Zufallsgenerators erzeugt werden. Das kryptographische Geheimnis kann in dem elektronischen

Zertifizierungsserver gespeichert werden.

Die Kommunikationsverbindung zwischen dem elektronischen Zertifizierungsserver und dem Identifikationsausweis kann über ein Lesegerät aufgebaut werden. Das Lesegerät kann ausgebildet sein, mit dem Identifikationsausweis zu kommunizieren.

Gemäß einer Ausführungsform umfasst das Verfahren ein Übermitteln einer

vorgespeicherten Kommunikationsadresse der Person an den elektronischen

Zertifizierungsserver durch die Datenverarbeitungsanlage, wobei das Übermitteln des kryptographischen Geheimnisses von dem elektronischen Zertifizierungsserver an die Person unter Verwendung der Kommunikationsadresse der Person durchgeführt wird. Dadurch wird der Vorteil erreicht, dass das kryptographische Geheimnis effizient an die Person übermittelt werden kann. Die vorgespeicherte Kommunikationsadresse der Person kann eine Emailadresse der Person sein. Die vorgespeicherte Kommunikationsadresse der Person kann in der Datenverarbeitungsanlage vorgespeichert sein.

Das kryptographische Geheimnis kann durch den elektronischen Identifizierungsserver an die Kommunikationsadresse der Person ausgesendet werden, um das kryptographische Geheimnis an die Person zu übermitteln. Das kryptographische Geheimnis kann mittels einer Email an die Person übermittelt werden.

Gemäß einer Ausführungsform ist das kryptographische Geheimnis eine

alphanummerische Zeichenfolge oder ein kryptographischer Geheimnisschlüssel. Dadurch wird der Vorteil erreicht, dass das kryptographische Geheimnis effizient an die Person übermittelt werden kann.

Die alphanummerische Zeichenfolge kann eine Folge von Ziffern und/oder Buchstaben umfassen. Der kryptographische Geheimnisschlüssel kann Teil eines kryptographischen Geheimnisschlüsselpaares sein.

Gemäß einer Ausführungsform umfasst das Verfahren ein Übermitteln einer vorgespeicherten Identifikationskennung des Identifikationsausweises an den elektronischen Zertifizierungsserver durch die Datenverarbeitungsanlage, und ein Authentifizieren des Identifikationsausweises gegenüber dem elektronischen

Zertifizierungsserver auf der Basis der übermittelten Identifikationskennung des Identifikationsausweises. Dadurch wird der Vorteil erreicht, dass eine Authentizität des Identifikationsausweises verifiziert werden kann. Die Identifikationskennung kann in dem Identifikationsausweis gespeichert sein. Das Authentifizieren des Identifikationsausweises gegenüber dem elektronischen

Zertifizierungsserver kann mittels eines Vergleichens der Identifikationskennung, welche in dem Identifikationsausweis gespeichert ist, mit der Identifikationskennung, welche an den elektronischen Zertifizierungsserver übermittelt wurde, durch den elektronischen Zertifizierungsserver durchgeführt werden. Das Vergleichen kann unter Verwendung eines kryptographischen Challenge-Response-Verfahrens durchgeführt werden.

Gemäß einer Ausführungsform wird das Erzeugen des kryptographischen Zertifikats durch den elektronischen Zertifizierungsserver ferner auf der Basis der übermittelten Identifikationskennung des Identifikationsausweises durchgeführt. Dadurch wird der Vorteil erreicht, dass das kryptographische Zertifikat der Identifikationskennung des Identifikationsausweises zugeordnet werden kann.

Die Identifikationskennung des Identifikationsausweises kann in das kryptographische Zertifikat eingebettet werden, um das kryptographische Zertifikat der

Identifikationskennung des Identifikationsausweises zuzuordnen.

Gemäß einer Ausführungsform ist die vorgespeicherte Identifikationskennung des Identifikationsausweises in der Datenverarbeitungsanlage vorgespeichert. Dadurch wird der Vorteil erreicht, dass die Identifikationskennung des Identifikationsausweises effizient bereitgestellt werden kann.

Die Datenverarbeitungsanlage kann ausgebildet sein, eine Mehrzahl von

Identifikationskennungen einer Mehrzahl von Identifikationsausweisen zu speichern und/oder zu verwalten.

Gemäß einer Ausführungsform umfasst der Identifikationsausweis eine Herstellerkennung eines Herstellers des Identifikationsausweises, wobei das Verfahren ferner ein

Authentifizieren des Identifikationsausweises gegenüber dem elektronischen

Zertifizierungsserver auf der Basis der Herstellerkennung umfasst. Dadurch wird der Vorteil erreicht, dass eine Authentizität des Identifikationsausweises verifiziert werden kann.

Die Herstellerkennung kann in dem elektronischen Identifizierungsserver gespeichert sein. Die Herstellerkennung kann ferner in dem Identifikationsausweis gespeichert sein. Das Authentifizieren des Identifikationsausweises gegenüber dem elektronischen Zertifizierungsserver kann mittels eines Vergleichens der Herstellerkennung, welche in dem Identifikationsausweis gespeichert ist, mit der Herstellerkennung, welche in dem elektronischen Zertifizierungsserver gespeichert ist, durch den elektronischen

Zertifizierungsserver durchgeführt werden. Das Vergleichen kann unter Verwendung eines kryptographischen Challenge-Response-Verfahrens durchgeführt werden.

Gemäß einer Ausführungsform umfasst das Erzeugen des kryptographischen Schlüssels durch den Identifikationsausweis ein Erzeugen eines weiteren kryptographischen

Schlüssels durch den Identifikationsausweis, wobei der kryptographische Schlüssel und der weitere kryptographische Schlüssel ein kryptographisches Schlüsselpaar bilden. Dadurch wird der Vorteil erreicht, dass eine Datensignierung und/oder eine

Datenverschlüsselung unter Verwendung einer Public-Key-Infrastruktur möglich werden. Der kryptographische Schlüssel kann ein öffentlicher kryptographischer Schlüssel sein. Der weitere kryptographische Schlüssel kann ein privater kryptographischer Schlüssel sein. Der kryptographische Schlüssel und/oder der weitere kryptographische Schlüssel können in dem Identifikationsausweis gespeichert werden. Gemäß einer Ausführungsform ist der Identifikationsausweis ein Betriebsausweis.

Dadurch wird der Vorteil erreicht, dass eine effiziente elektronische Personalisierung eines Betriebsausweises realisiert werden kann.

Der Betriebsausweis kann ein Unternehmensausweis oder ein Hausausweis sein. Der Betriebsausweis kann zur Identifikation eines Mitarbeiters eines Unternehmens und/oder zur Zutrittskontrolle eines Mitarbeiters innerhalb eines Unternehmens eingesetzt werden.

Der Betriebsausweis kann ferner ein optisches Merkmal aufweisen, welches einer Person oder einem Mitarbeiter des Unternehmens zugeordnet ist. Die Person oder der Mitarbeiter des Unternehmens können unter Verwendung des optischen Merkmals optisch identifiziert werden.

Gemäß einem zweiten Aspekt betrifft die Erfindung einen elektronischen

Zertifizierungsserver zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat, mit einer Kommunikationsschnittstelle, welche ausgebildet ist, ein vorgespeichertes Personendatum über ein Kommunikationsnetzwerk zu empfangen, einen kryptographischen Schlüssel von dem Identifikationsausweis über das Kommunikationsnetzwerk zu empfangen, und das kryptographische Zertifikat an den Identifikationsausweis über das Kommunikationsnetzwerk zu übermitteln, um den

Identifikationsausweis mit dem kryptographischen Zertifikat zu versehen, und einem Prozessor, welcher ausgebildet ist, das kryptographische Zertifikat auf der Basis des kryptographischen Schlüssels und des Personendatums zu erzeugen. Dadurch wird der Vorteil erreicht, dass ein effizientes Konzept zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat realisiert werden kann.

Die Kommunikationsschnittstelle kann drahtgebunden oder drahtlos über das

Kommunikationsnetzwerk kommunizieren. Das Kommunikationsnetzwerk kann das Internet sein. Der Prozessor kann ausgebildet sein, ein Computerprogramm auszuführen. Die Kommunikationsschnittstelle kann das vorgespeicherte Personendatum von einer Datenverarbeitungsanlage über das Kommunikationsnetzwerk empfangen.

Das Verfahren zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat kann mittels des elektronischen Zertifizierungsservers durchgeführt werden. Weitere Merkmale des elektronischen Zertifizierungsservers ergeben sich unmittelbar aus der Funktionalität des Verfahrens zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat.

Gemäß einer Ausführungsform ist der Prozessor ferner ausgebildet, ein

kryptographisches Geheimnis zu erzeugen, wobei das kryptographische Geheimnis dem Personendatum zugeordnet ist, und wobei die Kommunikationsschnittstelle ferner ausgebildet ist, das kryptographische Geheimnis an die Person über das

Kommunikationsnetzwerk zu übermitteln, die Person auf der Basis des übermittelten kryptographischen Geheimnisses über das Kommunikationsnetzwerk zu authentifizieren, und eine Kommunikationsverbindung zu dem Identifikationsausweis über das

Kommunikationsnetzwerk ansprechend auf die Authentifizierung der Person aufzubauen. Dadurch wird der Vorteil erreicht, dass eine effiziente Authentifizierung der Person durchgeführt werden kann.

Gemäß einer Ausführungsform ist die Kommunikationsschnittstelle ferner ausgebildet, eine vorgespeicherte Identifikationskennung des Identifikationsausweises über das

Kommunikationsnetzwerk zu empfangen, und den Identifikationsausweis auf der Basis der übermittelten Identifikationskennung des Identifikationsausweises über das

Kommunikationsnetzwerk zu authentifizieren. Dadurch wird der Vorteil erreicht, dass eine Authentizität des Identifikationsausweises verifiziert werden kann.

Die Kommunikationsschnittstelle kann die vorgespeicherte Identifikationskennung des Identifikationsausweises von einer Datenverarbeitungsanlage über das

Kommunikationsnetzwerk empfangen. Gemäß einem dritten Aspekt betrifft die Erfindung einen Betriebsausweis, mit einem

Prozessor, welcher ausgebildet ist, einen kryptographischen Schlüssel zu erzeugen, einer Kommunikationsschnittstelle, welche ausgebildet ist, den erzeugten kryptographischen Schlüssel an einen elektronischen Zertifizierungsserver über ein

Kommunikationsnetzwerk zu übermitteln, und ein kryptographisches Zertifikat von dem elektronischen Zertifizierungsserver über das Kommunikationsnetzwerk zu empfangen, und einem Speicher, welcher ausgebildet ist, das kryptographische Zertifikat zu speichern. Dadurch wird der Vorteil erreicht, dass ein effizientes Konzept zum Versehen eines Betriebsausweises einer Person mit einem kryptographischen Zertifikat realisiert werden kann. Der Betriebsausweis kann ein Unternehmensausweis oder ein Hausausweis sein. Der Betriebsausweis kann zur Identifikation eines Mitarbeiters eines Unternehmens und/oder zur Zutrittskontrolle eines Mitarbeiters innerhalb eines Unternehmens eingesetzt werden.

Unter dem Begriff„Unternehmen" sind neben Unternehmen und Firmen auch Vereine, öffentliche Einrichtungen wie beispielsweise Bildungseinrichtungen etc. zu verstehen.

Der Prozessor kann ausgebildet sein, ein Computerprogramm auszuführen. Die

Kommunikationsschnittstelle kann über ein Lesegerät mit dem elektronischen

Zertifizierungsserver über das Kommunikationsnetzwerk kommunizieren. Der Speicher kann ein Hardware-Sicherheitsmodul bzw. Hardware Security Module (HSM) sein.

Das Verfahren zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat kann mittels des Betriebsausweises als

Identifikationsausweis durchgeführt werden. Weitere Merkmale des Betriebsausweises als Identifikationsausweis ergeben sich unmittelbar aus der Funktionalität des Verfahrens zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat.

Gemäß einer Ausführungsform weist der Betriebsausweis ein optisches Merkmal auf, wobei das optische Merkmal einer Person zugeordnet ist. Dadurch wird der Vorteil erreicht, dass der Betriebsausweis zur optischen Identifikation der Person eingesetzt werden kann.

Das optische Merkmal kann ein Gesichtsbild der Person sein. Das optische Merkmal kann auf den Betriebsausweis aufgedruckt oder in den Betriebsausweis eingraviert sein.

Gemäß einem vierten Aspekt betrifft die Erfindung ein Computerprogramm mit einem Programmcode zum Ausführen des Verfahrens zum Versehen eines

Identifikationsausweises einer Person mit einem kryptographischen Zertifikat, wenn der Programmcode auf einem Computer ausgeführt wird. Dadurch wird der Vorteil erreicht, dass das Verfahren automatisiert und wiederholbar ausgeführt werden kann.

Das Computerprogramm kann durch den Prozessor des elektronischen

Zertifizierungsservers und/oder den Prozessor des Betriebsausweises ausgeführt werden. Der Programmcode kann in maschinen-lesbarer Form vorliegen. Die Erfindung kann in Hardware und/oder Software realisiert werden.

Weitere Ausführungsbeispiele werden Bezug nehmend auf die beiliegenden Figuren näher erläutert. Es zeigen:

Fig. 1 ein Diagramm eines Verfahrens zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer

Ausführungsform; Fig. 2 ein Diagramm eines elektronischen Zertifizierungsservers zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform;

Fig. 3 ein Diagramm eines Identifikationsausweises gemäß einer Ausführungsform;

Fig. 4 ein Diagramm eines Systems zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform; und Fig. 5 ein Diagramm eines Systems zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform.

Fig. 1 zeigt ein Diagramm eines Verfahrens 100 zum Versehen eines

Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform.

Das Verfahren 100 umfasst ein Übermitteln 101 eines vorgespeicherten Personendatums an einen elektronischen Zertifizierungsserver durch eine Datenverarbeitungsanlage, ein Erzeugen 103 eines kryptographischen Schlüssels durch den Identifikationsausweis, ein Übermitteln 105 des erzeugten kryptographischen Schlüssels von dem

Identifikationsausweis an den elektronischen Zertifizierungsserver, ein Erzeugen 107 des kryptographischen Zertifikats durch den elektronischen Zertifizierungsserver auf der Basis des kryptographischen Schlüssels und des Personendatums, und ein Übermitteln 109 des kryptographischen Zertifikats durch den elektronischen Zertifizierungsserver an den Identifikationsausweis, um den Identifikationsausweis mit dem kryptographischen Zertifikat zu versehen.

Die Verfahrensschritte können zu beliebigen Zeitpunkten durchgeführt werden.

Insbesondere können die zeitlichen Abstände zwischen den Zeitpunkten der Ausführung der Verfahrensschritte beliebig sein. So kann beispielweise zwischen einer Herausgabe des Identifikationsausweises an die Person und einem Nachladen bzw. Erzeugen des kryptographischen Zertifikats eine beliebige Nutzungsphase liegen. Darüber hinaus sind spätere Änderungen des Personendatums und/oder des kryptographischen Zertifikats möglich.

Der Identifikationsausweis kann ein Betriebsausweis sein. Der Identifikationsausweis kann ferner eines der folgenden Identitätsdokumente sein: ein Personalausweis, ein Reisepass, ein Zugangskontrollausweis, ein Berechtigungsausweis, ein

Unternehmensausweis, ein Steuerzeichen, ein Ticket, eine Geburtsurkunde, ein

Führerschein, ein Kraftfahrzeugausweis, ein Zahlungsmittel, eine Bankkarte, oder eine Kreditkarte.

Der Identifikationsausweis kann ferner einen elektronisch auslesbaren Schaltkreis, beispielsweise einen RFID-Chip, umfassen. Der Identifikationsausweis kann ein- oder mehrlagig bzw. papier- und/oder kunststoffbasiert sein. Der Identifikationsausweis kann aus kunststoffbasierten Folien aufgebaut sein, welche zu einem Kartenkörper mittels Verkleben und/oder Laminieren zusammengefügt sind, wobei die Folien bevorzugt ähnliche stoffliche Eigenschaften aufweisen. Das kryptographische Zertifikat kann ein Public-Key-Zertifikat sein. Das kryptographische Zertifikat kann nach dem X.509 Standard formatiert sein. Der kryptographische Schlüssel kann ein öffentlicher kryptographischer Schlüssel sein. Der elektronische

Zertifizierungsserver kann eine Zertifizierungsstelle, eine Certificate Authority (CA) oder ein Trustcenter sein.

Das vorgespeicherte Personendatum kann ein Name der Person, ein Geburtsdatum der Person, oder eine Anschrift der Person sein. Das vorgespeicherte Personendatum kann ferner ein Attribut der Person, beispielsweise eine Stellung der Person innerhalb eines Unternehmens, sein. Die Datenverarbeitungsanlage kann ein Computer sein. Fig. 2 zeigt ein Diagramm eines elektronischen Zertifizierungsservers 200 zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform.

Der elektronische Zertifizierungsserver 200 umfasst eine Kommunikationsschnittstelle 201 , welche ausgebildet ist, ein vorgespeichertes Personendatum über ein

Kommunikationsnetzwerk zu empfangen, einen kryptographischen Schlüssel von dem Identifikationsausweis über das Kommunikationsnetzwerk zu empfangen, und das kryptographische Zertifikat an den Identifikationsausweis über das

Kommunikationsnetzwerk zu übermitteln, um den Identifikationsausweis mit dem kryptographischen Zertifikat zu versehen, und einen Prozessor 203, welcher ausgebildet ist, das kryptographische Zertifikat auf der Basis des kryptographischen Schlüssels und des Personendatums zu erzeugen.

Der elektronische Zertifizierungsserver 200 kann eine Zertifizierungsstelle, eine Certificate Authority (CA) oder ein Trustcenter sein. Die Kommunikationsschnittstelle 201 kann drahtgebunden oder drahtlos über das Kommunikationsnetzwerk kommunizieren. Das Kommunikationsnetzwerk kann das Internet sein. Der Prozessor 203 kann ausgebildet sein, ein Computerprogramm auszuführen. Die Kommunikationsschnittstelle 201 kann das vorgespeicherte Personendatum von einer Datenverarbeitungsanlage über das Kommunikationsnetzwerk empfangen. Die

Kommunikationsschnittstelle 201 ist mit dem Prozessor 203 verbunden.

Die Kommunikationsschnittstelle 201 kann eigerichtet sein, eine Kommunikation mit und/oder zu und/oder von dem Prozessor 203, welcher als ein Chip ausgeführt sein kann, für den kryptographischen Schlüssel bzw. für dessen Übertragung, zu ermöglichen.

Darüber hinaus kann die Kommunikationsschnittstelle 201 kann eigerichtet sein, eine Kommunikation zu einem Unternehmen bzw. zu einer Firma, beispielsweise für die Übernahme von Personendaten, zu ermöglichen.

Das Verfahren 100 zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat in Fig. 1 kann mittels des elektronischen

Zertifizierungsservers 200 durchgeführt werden. Weitere Merkmale des elektronischen Zertifizierungsservers 200 ergeben sich unmittelbar aus der Funktionalität des Verfahrens 100 zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat in Fig. 1.

Fig. 3 zeigt ein Diagramm eines Identifikationsausweises 300 gemäß einer

Ausführungsform.

Der Identifikationsausweis 300 umfasst einen Prozessor 301 , welcher ausgebildet ist, einen kryptographischen Schlüssel zu erzeugen, eine Kommunikationsschnittstelle 303, welche ausgebildet ist, den erzeugten kryptographischen Schlüssel an einen

elektronischen Zertifizierungsserver über ein Kommunikationsnetzwerk zu übermitteln, und ein kryptographisches Zertifikat von dem elektronischen Zertifizierungsserver über das Kommunikationsnetzwerk zu empfangen, und einen Speicher 305, welcher ausgebildet ist, das kryptographische Zertifikat zu speichern.

Der Identifikationsausweis 300 kann ein Betriebsausweis sein. Der Betriebsausweis kann ein Unternehmensausweis oder ein Hausausweis sein. Der Betriebsausweis kann zur Identifikation eines Mitarbeiters eines Unternehmens und/oder zur Zutrittskontrolle eines Mitarbeiters innerhalb eines Unternehmens eingesetzt werden.

Der Identifikationsausweis 300 kann ferner eines der folgenden Identitätsdokumente sein: ein Personalausweis, ein Reisepass, ein Zugangskontrollausweis, ein

Berechtigungsausweis, ein Unternehmensausweis, ein Steuerzeichen, ein Ticket, eine Geburtsurkunde, ein Führerschein, ein Kraftfahrzeugausweis, ein Zahlungsmittel, eine Bankkarte, oder eine Kreditkarte. Der Identifikationsausweis 300 kann ferner einen elektronisch auslesbaren Schaltkreis, beispielsweise einen RFID-Chip, umfassen. Der Identifikationsausweis 300 kann ein- oder mehrlagig bzw. papier- und/oder kunststoffbasiert sein. Der Identifikationsausweis 300 kann aus kunststoffbasierten Folien aufgebaut sein, welche zu einem Kartenkörper mittels Verkleben und/oder Laminieren zusammengefügt sind, wobei die Folien bevorzugt ähnliche stoffliche Eigenschaften aufweisen.

Der Prozessor 301 kann ausgebildet sein, ein Computerprogramm auszuführen. Die Kommunikationsschnittstelle 303 kann über ein Lesegerät mit dem elektronischen

Zertifizierungsserver über das Kommunikationsnetzwerk kommunizieren. Der Speicher 305 kann ein Hardware-Sicherheitsmodul bzw. Hardware Security Module (HSM) sein. Der Prozessor 301 ist mit der Kommunikationsschnittstelle 303 und dem Speicher 305 verbunden. Die Kommunikationsschnittstelle 303 ist mit dem Prozessor 301 und dem Speicher 305 verbunden. Der Speicher 305 ist mit dem Prozessor 301 und der

Kommunikationsschnittstelle 303 verbunden.

Das Verfahren 100 zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat in Fig. 1 kann mittels des Identifikationsausweises 300 durchgeführt werden. Weitere Merkmale des Identifikationsausweises 300 ergeben sich unmittelbar aus der Funktionalität des Verfahrens 100 zum Versehen eines

Identifikationsausweises einer Person mit einem kryptographischen Zertifikat in Fig. 1 .

Fig. 4 zeigt ein Diagramm eines Systems 400 zum Versehen eines

Identifikationsausweises 300 einer Person mit einem kryptographischen Zertifikat gemäß einer Ausführungsform.

Das System 400 umfasst den Identifikationsausweis 300 mit einem Prozessor 301 , einer Kommunikationsschnittstelle 303 und einem Speicher 305, sowie einen elektronischen Zertifizierungsserver 200 mit einer Kommunikationsschnittstelle 201 und einem Prozessor 203. Das System 400 umfasst ferner eine Datenverarbeitungsanlage 401 und ein

Kommunikationsnetzwerk 403. Die Datenverarbeitungsanlage 401 kann ein Computer sein. Das Kommunikationsnetzwerk 403 kann das Internet sein.

Die Kommunikationsschnittstelle 201 des elektronischen Zertifizierungsservers 200, die Kommunikationsschnittstelle 303 des Identifikationsausweises 300, und die

Datenverarbeitungsanlage 401 sind über das Kommunikationsnetzwerk 403 miteinander verbunden.

Das Verfahren zum Versehen des Identifikationsausweises 300 einer Person mit einem kryptographischen Zertifikat kann beispielsweise folgendermaßen durchgeführt werden.

Ein vorgespeichertes Personendatum der Person kann durch die

Datenverarbeitungsanlage 401 über das Kommunikationsnetzwerk 403 an den elektronischen Zertifizierungsserver 200 übermittelt werden. Das vorgespeicherte

Personendatum kann dabei in der Datenverarbeitungsanlage 401 vorgespeichert sein. Der elektronische Zertifizierungsserver 200 kann daraufhin ein kryptographisches

Geheimnis erzeugen, welches dem Personendatum zugeordnet ist. Das kryptographische Geheimnis kann anschließend von dem elektronischen Zertifizierungsserver 200 an die Person übermittelt werden. Die Übermittlung des kryptographischen Geheimnisses an die Person kann beispielsweise elektronisch in Form einer Email an die Person über das Kommunikationsnetzwerk 403 realisiert werden.

Die Person kann sich gegenüber dem elektronischen Zertifizierungsserver 200 auf der Basis des übermittelten kryptographischen Geheimnisses authentifizieren. Ansprechend auf die Authentifizierung der Person kann eine Kommunikationsverbindung zwischen dem elektronischen Zertifizierungsserver 200 und dem Identifikationsausweis 300 der Person aufgebaut werden.

Ferner kann eine vorgespeicherte Identifikationskennung des Identifikationsausweises 300 durch die Datenverarbeitungsanlage 401 an den elektronischen Zertifizierungsserver über das Kommunikationsnetzwerk 403 übermittelt werden. Die Übermittlung der vorgespeicherten Identifikationskennung kann gemeinsam mit der Übermittlung des vorgespeicherten Personendatums durchgeführt werden. Die vorgespeicherte

Identifikationskennung des Identifikationsausweises 300 kann dabei in der

Datenverarbeitungsanlage vorgespeichert sein. Der Identifikationsausweis 300 kann somit gegenüber dem elektronischen Zertifizierungsserver 200 auf der Basis der übermittelten Identifikationskennung des Identifikationsausweises 300 authentifiziert werden.

Der Identifikationsausweis 300 kann anschließend einen kryptographischen Schlüssel erzeugen und den erzeugten kryptographischen Schlüssel an den elektronischen

Zertifizierungsserver 200 über das Kommunikationsnetzwerk 403 übermitteln.

Der elektronische Zertifizierungsserver 200 kann daraufhin das kryptographische Zertifikat auf der Basis des übermittelten kryptographischen Schlüssels und des übermittelten Personendatums erzeugen und das erzeugte kryptographische Zertifikat an den

Identifikationsausweis 300 über das Kommunikationsnetzwerk 403 übermitteln. Somit kann der Identifikationsausweis 300 mit dem kryptographischen Zertifikat versehen werden. Fig. 5 zeigt ein Diagramm eines Systems 500 zum Versehen eines

Identifikationsausweises 300 einer Person 501 mit einem kryptographischen Zertifikat gemäß einer Ausführungsform.

Das System 500 umfasst einen elektronischen Zertifizierungsserver 200, den

Identifikationsausweis 300, eine Datenverarbeitungsanlage 401 , die Person 501 , einen Hersteller 503 des Identifikationsausweises 300, sowie Schritte 505, 507, 509, 51 1 , 513, 515, 517.

Der elektronischen Zertifizierungsserver 200 kann ein Trustcenter sein. Der

Identifikationsausweis 300 kann eine Chipkarte mit einer Identifikationskennung oder ID sein. Der Identifikationsausweis 300 kann zunächst unpersonalisiert sein. Die

Datenverarbeitungsanlage 401 kann einem Unternehmen oder einer Firma zugeordnet sein. Die Person 501 kann ein Mitarbeiter des Unternehmens oder der Firma sein. Der Person 501 kann ein Personendatum, beispielsweise ein Name, ein Geburtsdatum oder ein Geburtsort, zugeordnet sein. Der Hersteller 503 des Identifikationsausweises 300 kann ein Kartenhersteller sein.

In Schritt 505 kann der Identifikationsausweis 300 ausgeliefert werden. In Schritt 507 kann der Identifikationsausweis 300 mit einem optischen Merkmal der Person 501 versehen werden oder der Identifikationsausweis 300 optisch personalisiert werden. In Schritt 509 kann der Identifikationsausweis 300 zur optischen Kontrolle oder Identifikation der Person 501 verwendet werden.

In Schritt 51 1 kann ein kryptographisches Zertifikat für den Identifikationsausweis 300 unter Verwendung eines Personendatums sowie einer Identifikationskennung des

Identifikationsausweises 300 reserviert werden. In Schritt 513 kann das kryptographische Zertifikat unter Verwendung des Personendatums sowie der Identifikationskennung des Identifikationsausweises 300 reserviert werden. Zudem kann ein kryptographisches Geheimnis (SEC) erzeugt werden. In Schritt 515 kann das kryptographische Geheimnis (SEC) an die Person 501 übermittelt werden. In Schritt 517 kann das kryptographische Zertifikat für die Person 501 in den Identifikationsausweis 300 mit der

Identifikationskennung geladen werden.

Bei einer Mehrzahl von Anwendungsszenarien gibt es eine Trennung zwischen der Personalisierung und der Nutzung von Identifikationsausweisen oder Betriebsausweisen. Die Ansätze zur Personalisierung, insbesondere zur elektronischen Personalisierung, sind üblicherweise sehr aufwändig. Systeme zum Personalisieren oder Nach-Personalisieren basieren zumeist auf einer Identitätsinformation oder einem Geheimnis auf den

Identifikationsausweisen oder Karten unter Verwendung eines Card Application

Management Systems (CAMS). Dies macht die Identifikationsausweise und damit auch die Personalisierung sehr komplex.

Unternehmen sollen einfache, optisch kontrollierbare Identifikationsausweise oder Betriebsausweise und eine einfache Lösung erhalten, um zu einem späteren Zeitpunkt Zertifikate zur Signatur, Authentifizierung und Verschlüsselung nachzuladen.

Ein Hersteller 503 des Identifikationsausweises 300 kann den Identifikationsausweis 300 über einen einfachen Vertriebskanal anbieten. Zudem kann der Hersteller 503 des Identifikationsausweises 300 eine einfache Lösung für eine optische Personalisierung, beispielsweise eine Laser-Personalisierung, anbieten. Dabei kann eine Software zur Personalisierung verwendet werden. Die Software kann zudem kryptographische

Zertifikate reservieren.

Der Identifikationsausweis 300 kann mit einer Zertifikatsanwendung, beispielsweise zur Signatur, Authentifizierung und Verschlüsselung, versehen sein. Der

Identifikationsausweis 300 kann eine individuelle, eindeutige Identifikationskennung oder ID umfassen. Beispielsweise kann eine Mehrzahl von Identifikationsausweisen fortlaufend nummeriert sein. Der Identifikationsausweis 300 kann zudem eine dem Hersteller 503 des Identifikationsausweises 300 bekannte und für eine Mehrzahl von

Identifikationsausweisen identische Herstellerkennung oder ein Herstellergeheimnis umfassen.

Ein Mitarbeiter eines Unternehmens, beispielsweise einer Personalabteilung, kann den Identifikationsausweis 300 oder Betriebsausweis optisch für eine Person 501

personalisieren. Dabei können Applets oder Programme für weitere Anwendung auf den Identifikationsausweis 300 oder Betriebsausweis geladen werden. Dies kann mittels eines Personalisierungsgerätes und der Software durchgeführt werden. Die Person 501 kann den Identifikationsausweis 300 als optisch kontrollierbaren Identifikationsausweis 300 oder Betriebsausweis nutzen. Zu einem späteren Zeitpunkt soll die Person 501 eine digital Signierung oder eine digitale Authentifizierung mittels des Identifikationsausweises 300 oder Betriebsausweises durchführen können. Dazu kann ein Mitarbeiter des Unternehmens, beispielsweise der Personalabteilung, die Software verwenden. Die Identifikationskennung des

Identifikationsausweises 300 und ein Personendatum oder persönliche Daten der Person 501 können dabei an einen elektronischen Zertifizierungsserver 200 oder ein Trustcenter gesendet werden. Dies kann unter Verwendung der Datenverarbeitungsanlage 401 erfolgen.

Der elektronische Zertifizierungsserver 200 kann ein kryptographisches Zertifikat für den Identifikationsausweis 300 mit der Identifikationskennung und dem Personendatum der Person 501 erzeugen. Zudem kann ein kryptographisches Geheimnis SEC erzeugt und an das Unternehmen oder direkt an die Person 501 übermittelt werden. Die Übermittlung kann mittels eines Briefes mit einem aufgedruckten kryptographischen Geheimnis oder Code, beispielsweise in Form von zehn alphanummerischen Zeichen, durchgeführt werden. Zudem kann die Übermittlung elektronisch mittels einer Email durchgeführt werden, welche einen Link auf ein Zertifikatsnachladesystem des elektronischen

Zertifizierungsservers 200 umfassen kann. Das kryptographische Geheimnis kann dabei als URL-Parameter beigefügt sein. Die Person 501 kann das kryptographische Geheimnis unmittelbar von dem elektronischen Zertifizierungsserver 200 oder Trustcenter oder von dem Unternehmen erhalten.

Die Person 501 kann nun beispielsweise eine Webseite des elektronischen

Zertifizierungsservers 200 öffnen. Der elektronische Zertifizierungsserver 200 kann verifizieren, dass der Brief oder die Email von ihm übermittelt oder herausgegeben wurde, beispielsweise mittels eines Challenge-Response-Verfahrens, und kann die

Identifikationskennung des Identifikationsausweises 300 prüfen.

Dann kann der elektronische Zertifizierungsserver 200 oder der Identifikationsausweis 300 einen oder mehrere kryptographische Schlüssel erzeugen. Der elektronische

Zertifizierungsserver 200 kann das kryptographische Zertifikat erzeugen und den

Identifikationsausweis 300 oder Betriebsausweis mit dem kryptographischen Zertifikat versehen. Dadurch kann erreicht werden, dass eine einfache elektronische Nachpersonalisierung des Identifikationsausweises 300 oder Betriebsausweises realisiert werden kann. Der Identifikationsausweis 300 oder Betriebsausweis kann standardisiert aufgebaut sein.

BEZUGSZEICHENLISTE

100 Verfahren zum Versehen eines Identifikationsausweises einer Person mit einem kryptographischen Zertifikat

101 Übermitteln eines vorgespeicherten Personendatums

103 Erzeugen eines kryptographischen Schlüssels

105 Übermitteln des erzeugten kryptographischen Schlüssels

107 Erzeugen des kryptographischen Zertifikats

109 Übermitteln des kryptographischen Zertifikats 200 Elektronischer Zertifizierungsserver

201 Kommunikationsschnittstelle

203 Prozessor

300 Identifikationsausweis

301 Prozessor

303 Kommunikationsschnittstelle

305 Speicher

400 System

401 Datenverarbeitungsanlage

403 Kommunikationsnetzwerk

500 System

501 Person

503 Hersteller

505 Schritt

507 Schritt

509 Schritt

51 1 Schritt

513 Schritt

515 Schritt

517 Schritt