Zertifikate für PSD2

Ja, die Beantragung eines qualifizierten Website-Zertifikats erfolgt nach einem definierten Prozess. Für produktive Zertifikate muss ein Drittanbieter erst einen Antrag auf Zulassung als Zahlungsdienstleister bei der BaFin oder seiner zuständigen nationalen Finanzaufsichtsbehörde (National Competent Authority, NCA) stellen. Nach der Erteilung der BaFin-Lizenz kann die Zertifikatsausstellung bei der D-TRUST GmbH erfolgen. Eine Beantragung ist auch bereits vor der Zulassung möglich. CRR-Kreditinstitute und E-Geld-Institute, die auch als Zahlungsdienstleister auftreten wollen, benötigen keine zusätzliche Zulassung und können alle Zertifikatstypen beantragen.

Das Root-Zertifikat der D-TRUST kann direkt auf der Website der D-TRUST heruntergeladen werden, die Informationen dazu finden Sie in den Certification Practice Statements (CPS). Um die Root-Zertifikate aller eIDAS QTSPs zu erhalten, benötigen Sie zunächst die EU-Vertrauensliste aller QTSPs. Dort finden Sie alle Root-Zertifikate.

Die PSD2-Regulierung (EU 2015/2366) unterscheidet verschiedene Rollen bzw. Berechtigungen für Zahlungsdienstleister. Im ETSI-Standard TS 119 495 sind die genannten Abkürzungen definiert. Die gebräuchlichen Rollen sind Kontoinformationsdienst (account information, PSP_AI) und Zahlungsauslösedienst (payment initiation, PSP_PI). Daneben gibt es noch Kontoführung (account servicing, PSP_AS) und Kartenausgabe (issuing cards, PSP_IC). Zahlungsdienstleister können die Zulassung für eine oder mehrere dieser Rollen bei ihrer nationalen Aufsichtsstelle beantragen, erscheinen dann mit diesen Rollen im Register und können Zertifikate mit diesen Rollen ausgestellt bekommen.

Im Attribut „Sperrlisten-Verteilungspunkte“ finden Sie URLs für den OCSP-Zugriff und für die CRLs. Alternativ kann für die Echtzertifikate die Prüfung über https://www.bundesdruckerei.de/de/2720-ocsp-abfrage erfolgen.

Beachten Sie bitte, dass die folgende Beschreibung nur für PSD2 Zertifikate gilt, für andere Zertifikatstypen gelten andere Vorgaben. Sowohl für die Test- als auch für die Produktivzertifikate erzeugen und verwalten Sie Ihre Schlüssel für QWAC selbst. Verwenden Sie bitte als Schlüssellänge 2048 oder 3072. Daraus generieren Sie einen CSR, der neben dem öffentlichen Schlüssel genau die Attribute O (Organisation), OU (Organisationseinheit), CN (Common Name, d.h. DNS Name), C (Ländercode), S (stateOrProvince), L (Stadt) enthält, alle weiteren Attribute werden aus den Daten des xlsx (Testzertifikate) oder der Antragsseite (Produktivzertifikate) versorgt. Mit OpenSSL erzeugen Sie den CSR wie folgt:

• openssl genrsa -out [privateKeyName].key 2048
• openssl req -new -utf8 -key [privateKeyName].key -out [requestName].csr

Sie werden nach allen Attributen gefragt und geben Werte für die genannten Attribute und ‚.‘ (leeres Attribut) für die anderen ein. Bitte geben Sie keine weiteren Attribute wie z.B. eMail an.

Wenn Sie ein anderes Programm verwenden, achten Sie bitte darauf, dass der CSR mit „BEGIN/END CERTIFICATE REQUEST“ beginnt/endet. „BEGIN/END NEW CERTIFICATE REQUEST“ wird zurückgewiesen, editieren Sie den CSR gegebenenfalls.

Für die Siegelkarte erzeugen wir weiterhin die Schlüssel, ein CSR ist nicht notwendig.

Vor der Zertifikatsausstellung prüfen wir, ob die im Zertifikat angeführte Domäne (CN) und alternative Domäne (SAN) unter Ihrer Kontrolle stehen. Als Standardverfahren werden für jede beantragte Domäne Mails mit einem Sicherheitstoken generiert und an die Adressen

Admin@, Administator@, Hostmaster@, Webmaster@ and postmaster@

geschickt. Wir erwarten mindestens eine Mail an die in der Mail angegebene Adresse, die diesen Token enthält – die Absenderadresse wird nicht geprüft. Sie können z. B. unsere Mail an die angegebene Adresse weiterleiten.

CAA records dienen dazu festzulegen, dass für gegebene Domains und ihre Subdomains nur ausgewählte CAs Zertifikate erzeugt werden dürfen. Die Beschreibung wird in RFC6844 definiert und vom CA/B Forum gefordert. Sollten auf Ihren Domänen CAAs eingetragen sein, die nicht d-trust.net enthalten, erhalten Sie eine Fehlermeldung beim Zertifikatsantrag. Bitte entfernen Sie in diesem Fall alle CAAs oder ergänzen Sie sie um d-trust.net.

NCA-ID ist eine durch ETSI TS 119.495 vorgegebene ID der nationalen Finanzaufsicht, z.B. DE-BAFIN, AT-FMA oder GB-FCA. PSP-Identifier ist eine von der NCA bei der Lizenzerteilung vergebene eindeutige nationale ID, in den meisten Ländern sind das 4-9 Ziffern. Die meisten NCAs haben getrennte Register für TPPs und ASPSPs. Zusätzlich existieren noch zentrale Register der EBA für TPPs und ASPSPs. Diese Register sind noch im Aufbau und haben noch nicht an allen Stellen die richtigen Daten. Im Zertifikat finden Sie den zusammengesetzten Wert, z.B. PSDGB-FCA-123456, als Attribut des Antragstellers. Den vollständigen  Namen der NCA finden Sie zusammen mit den beantragten Rollen im QC-Statement (Anweisungen für qualifizierten Schlüssel).

Für die Ausstellung von QWAC muss ein technischer Ansprechpartner identifiziert werden, d.h. es muss eine Unterschriftsbeglaubigung zur Identitätsfeststellung erfolgen. Für Siegelzertifikate muss die Identifizierung eines Zeichnungsbefugten erfolgen. In Deutschland verwenden wir dazu standardmäßig das PostIdent-Verfahren. Im Ausland bieten wir die Identifizierung durch Vertreter der Botschaften und Konsulate oder durch zugelassene Notare aus dem europäischen Notarverzeichnis an. Sollten Sie Ihr Land nicht im Notarverzeichnis finden, schicken Sie uns bitte eine Anfrage an psd2 [at] bdr.de.