Protokoll TLS 1.2 in Kombination mit Perfect Forward Secrecy (PFS)

Das Bundesministerium des Innern hat nach Zustimmung des Rates der IT-Beauftragten der Ressorts durch Beschluss Nr. 2014/11 vom 12. Dezember 2014 eine Allgemeine Verwaltungsvorschrift erlassen. Dadurch ist die Anwendung des Mindeststandards des Bundesamtes für Sicherheit in der Informationstechnik (BSI) nach § 8 Absatz 1 Satz 1 BSIG für den Einsatz des SSL/TLS-Protokolls für die Bundesverwaltung (und somit auch für die BaFin) verbindlich.

Der Mindeststandard ist beim BSI unter diesem Link zu beziehen. Dieser Mindeststandard nimmt Bezug auf die jeweils geltende Fassung der Technischen Richtlinie TR-02102-2 „Kryptographische Verfahren: Empfehlungen und Schlüssellängen. Teil 2 – Verwendung von Transport Layer Security (TLS)“ [TR-02102-2]. Diese Richtlinie ist beim BSI unter diesem Link zu beziehen.

Die BaFin wird die Anforderungen des o.g. Mindeststandards zum 31. Dezember 2016 umsetzen.

Konkret bedeutet dies für das MVP-Portal, dass ab 1. Januar 2017 ausschließlich das Protokoll TLS 1.2 in Kombination mit Perfect Forward Secrecy (PFS) verwendet wird.

Ab 1. Januar 2017 werden seitens BaFin ausschließlich folgende Cipher Suites/Elliptic Curves unterstützt:

Cipher Suites:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (0x9f) DH 2048 bits
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 (0x6b) DH 2048 bits
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x9e) DH 2048 bits
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (0x67) DH 2048 bits

Elliptic Curves:

secp256r1
secp384r1
secp521r1

Alle ab dem 1. Januar 2017 verwendeten Cipher Suites/Elliptic Curves werden bereits jetzt sowohl für die Webanwendung (Port 443) als auch Webservice (Port 444) unterstützt. Darüber hinaus besteht die Möglichkeit, auch die zukünftige Konfiguration zu testen. Für alle am MVP-Portal implementierten Webservices für Fachverfahren wurde über den Port 446 ein zweiter Zugangsweg eingerichtet.

Bei Verwendung eines Endpoints mit dem Port 446 anstatt des Standard-Ports 444 wird die zukünftige Konfiguration verwendet. Ab 1. Januar 2017 wird dann ohne weitere Ankündigung die neue Konfiguration für die Standard-Ports 443 und 444 angewendet und der Zugang über den Port 446 deaktiviert.

Beispiel für Testverfahren "Hinterlegung endg. Angebotsbedingungen" (EFT):

https://portal.mvp.bafin.de:446/services/ws/t_eft

Falls Sie nur die Webanwendung (also keinen Webservice) nutzen, haben Sie bei Verwendung von aktuellen Browsern keinen Handlungsbedarf.

Eine Übersicht (ohne Gewähr) der gängigen Clients kann unter diesem Link abgerufen werden. Insbesondere weisen wir darauf hin, dass Microsoft Internet Explorer Version 10 und älter nicht unterstützt werden.