Was sind die Common Criteria (CC)?

Ziele und Bedeutung der Common Criteria

1. Einheitliche Sicherheitsbewertung von IT-Produkten

• Die Common Criteria bieten ein standardisiertes Bewertungsverfahren, mit dem die Sicherheitseigenschaften von IT-Produkten geprüft werden können.
• Unternehmen und Behörden können sich auf ein weltweit anerkanntes Zertifizierungssystem verlassen, das Produktsicherheit vergleichbar macht.

2. Unterstützung bei der Produktauswahl für sicherheitskritische Systeme

• Unternehmen und Regierungen nutzen CC-zertifizierte Produkte, um sicherzustellen, dass Sicherheitsanforderungen objektiv geprüft wurden.
• Besonders in sicherheitskritischen Bereichen wie Finanzwesen, Gesundheitssektor und Militär ist eine CC-Zertifizierung oft eine Grundvoraussetzung für den Einsatz von IT-Systemen.

3. Erhöhung der IT-Sicherheit durch unabhängige Prüfungen

• Die Bewertung nach Common Criteria erfolgt durch unabhängige, akkreditierte Prüflabore, die Sicherheitsmerkmale auf ihre Wirksamkeit testen.
• Durch regelmäßige Prüfungen und Aktualisierungen wird sichergestellt, dass CC-zertifizierte Produkte modernen Sicherheitsanforderungen entsprechen.

Aufbau der Common Criteria

Die Common Criteria bestehen aus mehreren Schlüsselkomponenten, die den Bewertungsprozess standardisieren:

1. Schutzprofile (Protection Profiles, PP)

• Schutzprofile definieren allgemeine Sicherheitsanforderungen für eine bestimmte Produktkategorie.
• Beispielsweise kann ein Schutzprofil für eine Smartcard, eine Firewall oder ein Betriebssystem festlegen, welche Sicherheitsfunktionen es erfüllen muss.

2. Sicherheitsziele (Security Targets, ST)

• Das Security Target beschreibt die konkreten Sicherheitsmerkmale eines spezifischen Produkts, das getestet wird.
• Es definiert, welche Funktionen und Sicherheitsmaßnahmen ein Hersteller implementiert hat, um den Schutzanforderungen gerecht zu werden.

3. Evaluationsstufen (Evaluation Assurance Levels, EALs)

• Die Evaluationsstufen von EAL1 bis EAL7 beschreiben das Vertrauensniveau der Sicherheitsbewertung.
• Je höher die EAL-Stufe, desto intensiver ist die Prüfung und desto höher sind die Anforderungen an den Nachweis der Sicherheit.

| EAL Level | Description | Typical Use Cases |

| EAL1 | Funktional getestet | Geringe Sicherheitsanforderungen (z. B. einfache Softwarelösungen) |

| EAL2 | Strukturiert getestet | Standard-IT-Produkte mit moderatem Schutzbedarf |

| EAL3 | Methodisch getestet und geprüft | Typische Anwendungsfälle Unternehmenssoftware, Netzwerkgeräte |

| EAL4 | Methodisch entworfen, getestet und geprüft | Firewalls, Betriebssysteme, sichere Netzwerke |

| EAL5 | Semiformale Designprüfung und Testung | Typische Anwendungsfälle Hochsichere Chips, Smartcards |

| EAL6 | Formal entwickeltes und getestetes Design | Hochsichere Kryptosysteme, staatliche IT-Lösungen |

| EAL7 | Beschreibung Formal entwickeltes und getestetes Design Formal verifizierte und getestete Sicherheitsarchitektur | Militärische oder hochsensible staatliche Systeme |
‍

Ablauf der Common Criteria-Zertifizierung

Die Zertifizierung eines IT-Produkts nach Common Criteria erfolgt in mehreren Schritten:

1. Definition der Sicherheitsziele

• Der Hersteller definiert in einem Security Target (ST), welche Sicherheitsfunktionen das Produkt erfüllen soll.
• Falls ein bestehendes Protection Profile (PP) vorhanden ist, kann es als Grundlage verwendet werden.

2. Unabhängige Sicherheitsprüfung durch ein akkreditiertes Prüflabor

• Ein zugelassenes CC-Testlabor analysiert die Implementierung der Sicherheitsmechanismen.
• Die Prüfung umfasst Dokumentationsanalyse, Penetrationstests und Quellcode-Überprüfung (abhängig von der EAL-Stufe).

3. Ausstellung des Zertifikats

• Nach erfolgreicher Prüfung stellt eine staatliche Zertifizierungsstelle (z. B. das BSI in Deutschland oder die NSA in den USA) ein Common Criteria-Zertifikat aus.
• Das Produkt wird in einer öffentlichen CC-Datenbank gelistet, sodass Unternehmen und Behörden den Zertifizierungsstatus überprüfen können.

Anwendungsbereiche der Common Criteria

CC-zertifizierte Produkte werden in vielen sicherheitskritischen Bereichen eingesetzt:

1. Netzwerksicherheit und Firewalls

• Firewalls, VPN-Gateways und IDS/IPS-Systeme werden nach Common Criteria getestet, um sicherzustellen, dass sie Schutz vor Cyberangriffen bieten.
• Besonders Unternehmen mit hohen Datenschutzanforderungen setzen auf CC-zertifizierte Sicherheitslösungen.

2. Kryptografie und Smartcards

• Verschlüsselungsalgorithmen, Hardware-Sicherheitsmodule (HSMs) und Smartcards (z. B. für digitale Signaturen oder Bankkarten) müssen strenge Sicherheitsprüfungen durchlaufen.
• EAL5+ ist oft eine Mindestanforderung für Kreditkartenchips und biometrische Ausweisdokumente.

3. Betriebssysteme und Mobilgeräte

• Bestimmte Versionen von Betriebssystemen (z. B. Windows, Linux, macOS) und Mobilgeräte für Behörden werden CC-zertifiziert, um deren Sicherheitseigenschaften zu gewährleisten.
• Hochsichere Smartphones für staatliche Organisationen müssen oft EAL4+ oder höher erfüllen.

Herausforderungen und Zukunft der Common Criteria

Trotz ihrer Vorteile stehen die Common Criteria vor einigen Herausforderungen:

1. Hoher Aufwand und Kosten für Hersteller

• Die Zertifizierung ist zeit- und kostenintensiv, insbesondere für EAL5+ und höher, da umfangreiche Prüfungen und Dokumentationen erforderlich sind.
• Manche Hersteller verzichten auf eine Zertifizierung, obwohl ihre Produkte sicher sind, da der finanzielle Aufwand hoch ist.

2. Längere Innovationszyklen

• Durch den langwierigen Prüfprozess kann es vorkommen, dass ein IT-Produkt bereits weiterentwickelt wurde, bevor die Zertifizierung abgeschlossen ist.
• Dies führt in einigen Fällen dazu, dass Unternehmen auf ältere zertifizierte Versionen zurückgreifen müssen.

3. Anpassung an neue Bedrohungen

• Angesichts neuer Cyberbedrohungen wie Quantencomputing, KI-basierte Angriffe und Zero-Day-Exploits müssen die CC regelmäßig aktualisiert werden.
• Die Einführung neuer Zertifizierungsmodelle für Cloud-Dienste und KI-Sicherheit könnte in Zukunft an Bedeutung gewinnen.

Sind die Common Criteria ein essenzieller Sicherheitsstandard?

Die Common Criteria sind der weltweit führende Standard für die Sicherheitsbewertung von IT-Produkten. Sie bieten Unternehmen, Behörden und Entwicklern eine verlässliche Grundlage, um die Sicherheit von IT-Systemen objektiv zu prüfen und zu bewerten.

Trotz Herausforderungen bleiben die Common Criteria ein zentrales Instrument zur Absicherung moderner IT-Systeme und werden mit der Weiterentwicklung neuer Technologien weiterhin eine Schlüsselrolle in der Cybersicherheit spielen.

‍