Wie sicher ist eine Firewall, ein Smartcard-Chip oder ein Betriebssystem tatsächlich? Herstellerangaben beantworten diese Frage nur eingeschränkt, denn Marketingaussagen und geprüfte Eigenschaften sind zweierlei.
Common Criteria schließt diese Lücke: Der Standard lässt Sicherheitsaussagen zu IT-Produkten von unabhängigen Prüfstellen nach einheitlicher Methodik verifizieren. Bei Beschaffungen in sensiblen Bereichen ist das Zertifikat vielfach Pflicht, für alle anderen ein belastbares Auswahlkriterium.
Was ist Common Criteria?
Common Criteria for Information Technology Security Evaluation, kurz CC, ist ein internationaler Standard zur Bewertung der Sicherheitseigenschaften von IT-Produkten, genormt als ISO/IEC 15408. Er entstand in den 1990er Jahren aus der Zusammenführung europäischer und nordamerikanischer Prüfkataloge und wird seither international weiterentwickelt.
Jede Prüfung stützt sich auf drei Begriffe: Der Evaluationsgegenstand (Target of Evaluation) ist das Produkt in einer definierten Version und Konfiguration. Das Security Target legt fest, welche Sicherheitsfunktionen das Produkt unter welchen Annahmen erbringen soll. Schutzprofile (Protection Profiles) definieren herstellerübergreifende Anforderungskataloge für ganze Produktklassen, etwa Firewalls oder Signaturkarten, und machen Zertifikate dadurch vergleichbar.
Gegenseitige Anerkennungsabkommen sorgen dafür, dass Zertifikate über Ländergrenzen hinweg gelten. In Deutschland zertifiziert das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf Basis der Prüfberichte akkreditierter Prüfstellen. Auf europäischer Ebene führt das Zertifizierungsschema EUCC die CC-Methodik im Rahmen des Cybersecurity Act fort.
Wie eine Common-Criteria-Zertifizierung abläuft
Der Weg zum Zertifikat folgt einem fest geregelten Verfahren:
- Sicherheitsvorgaben festlegen: Der Hersteller beschreibt im Security Target Funktionsumfang, Einsatzumgebung und die Bedrohungen, gegen die das Produkt schützen soll. Häufig dient ein anerkanntes Schutzprofil als Grundlage.
- Prüftiefe wählen: Die Evaluation Assurance Levels EAL1 bis EAL7 bestimmen, wie tief geprüft wird. EAL1 bestätigt grundlegende Funktionstests, mittlere Stufen verlangen Einblick in Entwurf und Entwicklungsprozesse, die höchsten Stufen fordern teils formale, mathematisch gestützte Nachweise. Kommerzielle Software erreicht üblicherweise bis EAL4, Chipkarten und Sicherheitsmodule regelmäßig höhere Stufen.
- Evaluierung durch die Prüfstelle: Eine akkreditierte, unabhängige Prüfstelle testet das Produkt gegen die Vorgaben. Neben der Funktion werden Dokumentation, Auslieferungswege und die Widerstandsfähigkeit gegen Angriffe mit definiertem Aufwand geprüft, inklusive Penetrationstests.
- Zertifizierung durch die nationale Stelle: Die Zertifizierungsstelle, in Deutschland das BSI, bewertet den Prüfbericht und stellt das Zertifikat aus. Es gilt ausschließlich für die geprüfte Version in der geprüften Konfiguration.
- Pflege des Zertifikats: Updates und neue Versionen erfordern eine Neubewertung oder ein geregeltes Fortschreibungsverfahren. Ohne Pflege veraltet das Zertifikat mit dem Produkt.
Warum Common Criteria wichtig ist
- Objektive Vergleichbarkeit: Zertifikate auf Basis desselben Schutzprofils machen Produkte verschiedener Hersteller nach einheitlichem Maßstab vergleichbar, statt Datenblätter gegeneinander abzuwägen.
- Zugang zu regulierten Märkten: Behörden und Betreiber sensibler Infrastrukturen verlangen für bestimmte Produktklassen zertifizierte Komponenten, etwa bei Signaturtechnik, Smart Metering oder Komponenten für Verschlusssachen.
- Vertrauen in die Lieferkette: Die Evaluierung umfasst auch Entwicklungsumgebung und Auslieferung. Das senkt das Risiko manipulierter oder nachlässig gebauter Produkte.
- Weniger Eigenaufwand: Was eine akkreditierte Prüfstelle bereits verifiziert hat, muss die eigene Organisation im Auswahlprozess nicht erneut in dieser Tiefe testen.
- Klare Grenzen: Das Zertifikat bewertet ein Produkt; den sicheren Betrieb muss die einsetzende Organisation selbst gewährleisten. Eine falsch konfigurierte zertifizierte Firewall schützt nicht besser als eine unzertifizierte.
Typische Szenarien
Eine Bundesbehörde beschafft VPN-Gateways für die Anbindung von Außenstellen. Die Ausschreibung verlangt eine Zertifizierung nach einem bestimmten Schutzprofil; der Bieterkreis verengt sich auf geprüfte Produkte, und die Vergabe lässt sich rechtssicher begründen.
Ein Hersteller von Smartcard-Chips lässt seine Plattform auf hoher EAL-Stufe evaluieren, weil Bankkarten und hoheitliche Dokumente ohne dieses Fundament keine Zulassung erhalten. Die Zertifizierung läuft über Monate parallel zur Entwicklung.
Ein Unternehmen nutzt CC-Zertifikate als Kriterium in der Produktauswahl: Bei zwei vergleichbaren Netzwerkkomponenten erhält das evaluierte Produkt den Vorzug, und die geprüfte Konfiguration dient zugleich als Härtungsvorlage für den eigenen Betrieb. In der Praxis helfen spezialisierte Beratungs- und Managed-Service-Anbieter dabei, Schutzprofile und EAL-Stufen einzuordnen und die zertifizierte Konfiguration mit dem geplanten Einsatz abzugleichen.
Common Criteria und ISO 27001 im Vergleich
Die beiden Standards werden häufig verwechselt, prüfen aber Verschiedenes. Common Criteria bewertet ein Produkt: eine konkrete Version mit definierten Sicherheitsfunktionen zum Prüfzeitpunkt. ISO 27001 zertifiziert eine Organisation: ein Managementsystem für Informationssicherheit mit Prozessen, Rollen und kontinuierlicher Verbesserung.
Daraus ergibt sich die Arbeitsteilung. Ein ISO-27001-Zertifikat sagt nichts über die Qualität einzelner eingesetzter Produkte, ein CC-Zertifikat nichts über die Reife des Betriebs. In der Praxis greifen beide ineinander: Ein ISMS nach ISO 27001 definiert Anforderungen an die Beschaffung, und CC-zertifizierte Komponenten liefern dafür belastbare Bausteine samt dokumentierter Sicherheitsannahmen.
Häufige Fragen
Was sagen die EAL-Stufen aus?
Die Evaluation Assurance Levels beschreiben die Prüftiefe, von EAL1 mit grundlegenden Funktionstests bis EAL7 mit formal verifiziertem Entwurf. Mit jeder Stufe steigen die Anforderungen an Entwicklungsdokumentation, Testabdeckung und Angriffsresistenz. Kommerzielle Software erreicht üblicherweise bis EAL4; höhere Stufen sind die Domäne von Chipkarten, Sicherheitsmodulen und speziell entwickelten Hochsicherheitskomponenten.
Ist ein Produkt mit höherer EAL-Stufe automatisch sicherer?
Nein. Die EAL-Stufe misst die Tiefe der Prüfung, der Funktionsumfang steht im Security Target. Ein Produkt kann auf EAL2 einen breiten Schutzumfang belegen, während ein anderes auf EAL5 nur wenige Funktionen geprüft hat. Aussagekräftig ist erst die Kombination aus Schutzprofil, geprüften Funktionen und Stufe, bezogen auf den eigenen Einsatzzweck.
Wer stellt Common-Criteria-Zertifikate in Deutschland aus?
Die Zertifikate vergibt das Bundesamt für Sicherheit in der Informationstechnik. Die technische Evaluierung übernehmen vom BSI anerkannte, unabhängige Prüfstellen, deren Berichte das BSI bewertet. Über internationale Anerkennungsabkommen und das europäische Schema EUCC werden deutsche Zertifikate in vielen weiteren Staaten akzeptiert, was Herstellern Doppelprüfungen erspart.
Für welche Produktklassen ist Common Criteria üblich?
Typisch sind Produkte mit hohem Schutzbedarf: Smartcards und Sicherheitschips, Hardware-Sicherheitsmodule, Signatur- und Ausweistechnik, Firewalls und VPN-Gateways, Betriebssysteme sowie Komponenten für Behörden und kritische Infrastrukturen. Für gewöhnliche Geschäftsanwendungen lohnt der Aufwand selten; dort genügen meist andere Prüfverfahren wie ein Penetrationstest oder Herstelleraudits.
Setzt ISO 27001 zertifizierte Produkte voraus?
Nein, die Norm verlangt keine zertifizierten Produkte. Sie fordert einen geregelten Beschaffungsprozess, der Sicherheitsanforderungen an Lieferanten und Produkte definiert. CC-Zertifikate sind dafür ein starkes Hilfsmittel: Sie belegen geprüfte Eigenschaften durch unabhängige Stellen und erleichtern die Begründung von Auswahlentscheidungen gegenüber Auditoren, Kunden und der eigenen Leitungsebene.