Zertifikate für PSD2

Ja, die Beantragung eines qualifizierten Website-Zertifikats erfolgt nach einem definierten Prozess. Für produktive Zertifikate muss ein Drittanbieter erst einen Antrag auf Zulassung als Zahlungsdienstleister bei der BaFin oder seiner zuständigen nationalen Finanzaufsichtsbehörde (National Competent Authority, NCA) stellen. Nach der Erteilung der BaFin-Lizenz kann die Zertifikatsausstellung bei der D-TRUST GmbH erfolgen. Eine Beantragung ist auch bereits vor der Zulassung möglich. CRR-Kreditinstitute und Banken, die auch als Zahlungsdienstleister auftreten wollen, benötigen keine zusätzliche Zulassung und können alle Zertifikatstypen beantragen.

In der EU-Vertrauensliste finden Sie die Aussteller-Zertifikate aller QTSPs.

Das Stamm-Zertifikat der D-TRUST kann direkt auf der Website der D-TRUST heruntergeladen werden, die Informationen dazu finden Sie in den Certification Practice Statements (CPS). Anders als bei den EV-Zertifikaten können Sie sich nicht darauf verlassen, dass die Stamm-Zertifikate über die Browser verteilt und als vertrauenswürdig eingestuft werden.

Für QWACs der D-TRUST erfolgen derzeit keine Einträge in CT-Logs, da dies in den zugrundeliegenden Standards nicht vorgesehen ist. Die Zertifikate sind nicht für die Verwendung in der Kommunikation über den Browser vorgesehen, daher ist ein Eintrag in den CT-Logs nicht notwendig.

Die PSD2-Regulierung (EU 2015/2366) unterscheidet verschiedene Rollen bzw. Berechtigungen für Zahlungsdienstleister. Im ETSI-Standard TS 119 495 sind die genannten Abkürzungen definiert. Die gebräuchlichen Rollen sind Kontoinformationsdienst (account information, PSP_AI) und Zahlungsauslösedienst (payment initiation, PSP_PI). Daneben gibt es noch Kontoführung (account servicing, PSP_AS) und Kartenausgabe (issuing cards, PSP_IC). Zahlungsdienstleister können die Zulassung für eine oder mehrere dieser Rollen bei ihrer nationalen Aufsichtsstelle beantragen, erscheinen dann mit diesen Rollen im Register und können Zertifikate mit diesen Rollen ausgestellt bekommen.

Im Attribut „Sperrlisten-Verteilungspunkte“ finden Sie URLs für den OCSP-Zugriff und für die CRLs. Alternativ kann für die Echtzertifikate die Prüfung über https://www.bundesdruckerei.de/de/2720-ocsp-abfrage erfolgen.

Beachten Sie bitte, dass die folgende Beschreibung nur für PSD2 Zertifikate gilt, für andere Zertifikatstypen gelten andere Vorgaben. Sowohl für die Test- als auch für die Produktivzertifikate erzeugen und verwalten Sie Ihre Schlüssel für QWAC selbst. Verwenden Sie als minimale Schlüssellänge 2048 für QWAC und 3072 für QSeal ID. Daraus generieren Sie einen Certificate Signing Request (CSR), der neben dem öffentlichen Schlüssel genau die Attribute O (Organisation), OU (Organisationseinheit; optional), CN (Common Name, d.h. DNS Name), C (Ländercode), S (stateOrProvince), L (Stadt) enthält. Alle weiteren Attribute werden aus der Antragsseite versorgt. Mit OpenSSL erzeugen Sie den CSR wie folgt:

• openssl genrsa -out [privateKeyName].key 3072
• openssl req -new -utf8 -key [privateKeyName].key -out [requestName].csr

Sie werden nach allen Attributen gefragt und geben Werte für die genannten Attribute und ‚.‘ (leeres Attribut) für die anderen ein. Bitte geben Sie keine weiteren Attribute wie z.B. eMail an.

Wenn Sie ein anderes Programm verwenden, achten Sie bitte darauf, dass der CSR mit „BEGIN/END CERTIFICATE REQUEST“ beginnt/endet. „BEGIN/END NEW CERTIFICATE REQUEST“ wird zurückgewiesen, editieren Sie den CSR gegebenenfalls.

Für die Siegelkarte erzeugen wir weiterhin die Schlüssel, ein CSR ist nicht notwendig.

Vor der Zertifikatsausstellung prüfen wir, ob die im Zertifikat angeführte Domäne (CN) und alternative Domäne (SAN) unter Ihrer Kontrolle stehen. Als Standardverfahren werden für jede beantragte Domäne Mails mit einem Sicherheitstoken generiert und an die Adressen

admin@, administator@, hostmaster@, webmaster@ and postmaster@

geschickt. Wir erwarten mindestens eine Rückmeldung an die in der Mail angegebene Adresse, die diesen Token enthält – die Absenderadresse wird nicht geprüft. Sie können z. B. unsere Mail an die angegebene Adresse weiterleiten.

CAA records dienen dazu festzulegen, dass für gegebene Domains und ihre Subdomains nur ausgewählte CAs Zertifikate erzeugt werden dürfen. Die Beschreibung wird in RFC6844 definiert und vom CA/B Forum gefordert. Sollten auf Ihren Domänen CAAs eingetragen sein, die nicht d-trust.net enthalten, erhalten Sie eine Fehlermeldung beim Zertifikatsantrag. Bitte entfernen Sie in diesem Fall alle CAAs oder ergänzen Sie sie um d-trust.net.

NCA-ID ist eine durch ETSI TS 119.495 vorgegebene ID der nationalen Finanzaufsicht, z.B. DE-BAFIN, AT-FMA oder GB-FCA. PSP-Identifier ist eine von der NCA bei der Lizenzerteilung vergebene eindeutige nationale ID, in den meisten Ländern sind das 4-9 Ziffern. Die meisten NCAs haben getrennte Register für TPPs und ASPSPs. Zusätzlich existieren noch zentrale Register der EBA für TPPs und ASPSPs. Diese Register sind noch im Aufbau und haben noch nicht an allen Stellen die richtigen Daten. Im Zertifikat finden Sie den zusammengesetzten Wert, z.B. PSDGB-FCA-123456, als Attribut des Antragstellers. Den vollständigen  Namen der NCA finden Sie zusammen mit den beantragten Rollen im QC-Statement (Anweisungen für qualifizierten Schlüssel).

Für die Ausstellung von QWAC muss ein technischer Ansprechpartner identifiziert werden, d.h. es muss eine Unterschriftsbeglaubigung zur Identitätsfeststellung erfolgen. Für Siegelzertifikate muss die Identifizierung eines Zeichnungsbefugten erfolgen. In Deutschland verwenden wir dazu standardmäßig das PostIdent-Verfahren. Im Ausland bieten wir die Identifizierung durch Vertreter der Botschaften und Konsulate oder durch zugelassene Notare aus dem europäischen Notarverzeichnis an. Sollten Sie Ihr Land nicht im Notarverzeichnis finden, schicken Sie uns bitte eine Anfrage an support [at] bdr.de.