Ziel der ECC-preferred Migration von Primärsystemen mit PTV 6 Konnektoren

Kurz zum Hintergrund: Am 01.01.2026 wird RSA in der TI abgeschaltet. Bereits Mitte 2025 werden die Konnektoren auf PTV6 mit ECC preferred umgestellt, sodass auch alle Primärsysteme sowie entsprechende Komponenten und Dienste die ECC preferred Migration bis Mitte 2025 abgeschlossen haben sollten – auch um in den verbleibenden Monaten ggf. noch Fehlerbehebungen durchzuführen.

Was bedeutet ECC-ready?

Die Komponente kann funktional mit ECC umgehen. ECC ready ist nicht ausreichend, dass die TI nach der RSA Abschaltung fehlerfrei funktioniert. Sie können Limitierungen den ECC-ready Funktionalität in der ECC Testwoche überprüfen (siehe RSA Abschaltung / ECC Testwoche 2024).

Was bedeutet ECC-preferred?
1. Wenn RSA vom Konnektor angefordert wird, jedoch Karten und Konnektor ECC können, dann wird ECC zurückgegeben.
2. Der PTV6 Konnektor akzeptiert keine neuen RSA basierten TLS Clientsystem-Verbindungen, jedoch bleiben vorhandene Verbindungen bestehen.

Zeitplan der ECC-Migration

Rückblick

Die gematik hat im Jahr 2016 ein Konzept für die ECC-Migration erstellt und mit den Gesellschaftern in mehreren Workshops abgestimmt. Im Vordergrund stand die Vorbereitung der Karten und der zugehörigen PKI (Phase 1).

Im Jahr 2018 wurde dann mit der Phase 2 begonnen, in welcher der Beginn der Dual-Mode-Fähigkeit der Komponenten und Dienste der Telematikinfrastruktur eingeläutet wurde. Das entsprechende Konzept gab einen aktualisierten Überblick über die drei vorgesehenen Phasen der Migration, den Umsetzungsstand der Phase 1 und fokussierte auf den geplanten Aktivitäten der Phase 2 im Sinne eines Grobkonzepts. Daraus abgeleitete Änderungsbedarfe an Komponenten und Diensten der TI wurden in den Folgejahren schrittweise umgesetzt und ins Feld gebracht. Den Abschluss der Phase 2 mit der Erwartung, dass sich alle im Feld befindlichen TI Komponenten im "ECC-ready" Status befinden erfolgte Mitte 2024.

Phase 3

Das übergeordnete Ziel der Phase 3 der ECC-Migration ist das Phase-Out der aktiven Nutzung RSA-basierter Identitäten. Die aktive Nutzung meint dabei die Verwendung öffentlicher und privater RSA-Schlüssel zur Erzeugung RSA-verschlüsselter oder signierter Elemente. Dem gegenüber soll eine "passive" Nutzung vorhandener RSA-Schlüssel nicht verboten werden, um weiterhin Daten entschlüsseln und Signaturen prüfen zu können.

Zunächst war ein RSA-Phaseout für den Jahreswechsel 2023/2024 vorgesehen, In Abstimmung mit dem BSI und gemäß der Vorgaben der technischen Richtlinien wurde das Enddatum der RSA-2048-Kryptografie auf den 31.12.2025 festgelegt (siehe auch gemSpec_Krypt Kapitel 5 "Migration 120-Bit-Sicherheitsniveau"). 

Voraussetzung für das Ausphasen der aktiven Nutzung RSA-basierter Identitäten ist, dass alle TI Komponenten im Feld "ECC-preferred" kompatibel und funktional unabhängig von RSA-Material sind. 

Auswirkungen auf Primärsysteme 

Die Maßgabe ist: Verwende ECC wo möglich und RSA nur noch, wo unbedingt erforderlich