UDKS Schlüssel und Wiederherstellung Schweiz

Anbieterin: C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Schweiz; techsupport@cundw.ch.
Kundin: [Firma, Sitz und Geschäftsadresse in der Schweiz]. Gesellschaft: [Name/Kennung].
Bestellreferenz: [Referenz]. Key-User: [Name/Kontakt]. Geschäftsführung: [Name].

Diese Vereinbarung ergänzt AGB 1.2 und AVV Schweiz 1.0. Sie regelt die lokalen Nutzerdateien und den kundenseitigen Notfall-Zweitschlüssel einer Gesellschaft. Der Notfall-Zweitschlüssel wird als vollständige, passphrasegeschützte Datei verwahrt. Eine Aufteilung auf mehrere zur Wiederherstellung gemeinsam erforderliche Anteile gehört nicht zu diesem Verfahren.

Inhaltsübersicht: 1 Nutzerzugang · 2 Zuständigkeit · 3 Erstzeremonie · 4 Verwahrung · 5 Wiederherstellung · 6 Wechsel und Verlust · 7 Vertragsende und Verantwortung · Anhang Zeremonie- und Wiederherstellungsprotokoll.

1 Nutzerzugang und Nachversorgung

1.1 Private Nutzerschlüssel entstehen auf dem Gerät des Nutzers und liegen in seiner passphrasegeschützten Schlüsseldatei. Nutzer verwahren Datei und Passphrase sicher und schützen ihr Endgerät. Sie übermitteln private Dateien und Passphrasen nicht an die Anbieterin.

1.2 Verliert ein Nutzer den Zugang, meldet er dies dem Key-User. Beim Konto-Reset werden der bisherige Zugang und laufende Sitzungen beendet und ein neuer Aktivierungsweg bereitgestellt. Noch berechtigte Nutzer können die Bestandsdokumente mit dem neuen Nutzerschlüssel nachversorgen. Der Reset stellt die alte Passphrase nicht wieder her und verschafft der Anbieterin keinen Klartextzugang.

1.3 Stehen keine geeigneten regulären Nutzerschlüssel mehr zur Verfügung, kommt die Wiederherstellung mit der Escrow-Datei in Betracht. Sie setzt eine nutzbare Datei, die richtige Passphrase und passende Escrow-Kapseln für die betroffenen Dokumente voraus.

2 Zuständigkeit und Unterstützung

2.1 Die Kundin bestimmt ihre Geschäftsführung beziehungsweise eine von ihr benannte berechtigte Person für die Zeremonie und eine erreichbare Ersatzperson. Der Key-User koordiniert Termine, Meldungen und Protokolle. Berechtigungen für Dokumente entstehen nicht allein durch Kenntnis des Wiederherstellungsmaterials.

2.2 Die Anbieterin moderiert die Einrichtung und unterstützt den technischen Ablauf im vereinbarten Umfang. Sie nimmt weder die private Escrow-Datei noch deren Passphrase entgegen. Sie ist keine Verwahrerin des Wiederherstellungsmaterials und stellt Inhalte nicht mit einem eigenen Generalschlüssel wieder her.

3 Erstzeremonie

3.1 Die Zeremonie findet auf einem geschützten Arbeitsplatz der Kundin vor dem ersten echten Dokument statt. Die berechtigte Person prüft Gesellschaftskennung, Rolle und abgeschlossene Voraussetzungen des Selbstlernpfads. Geheimnisse dürfen nicht durch Bildschirmfreigabe, Mitschnitt oder Supportnachrichten sichtbar werden.

3.2 Die berechtigte Person erzeugt das Notfall-Schlüsselpaar im Browser und schützt die vollständige Escrow-Datei mit einer eigenen Passphrase. Nur der öffentliche Schlüssel wird im Dienst hinterlegt. Die Datei wird heruntergeladen und auf zwei getrennte Datenträger an getrennten geschützten Orten kopiert. Die Passphrase wird gesondert verwahrt, nicht gemeinsam mit einer Dateikopie.

3.3 Die Kundin prüft, dass beide Kopien vorhanden und lesbar sind, und dokumentiert den angezeigten Fingerprint, die Gesellschaft, das Datum und die verantwortlichen Personen. Mit einem neu angelegten Prüfdokument wird der Wiederherstellungsweg kontrolliert erprobt. Erst nach erfolgreicher Probe beginnt die Kundin mit echten Dokumenten. Anschliessend entfernt sie nicht benötigte Arbeits- und Downloadkopien und bestätigt die Zeremonie im Kundenkonto unter «Nach der Anlage»; damit erscheint der Schritt im Einrichtungsstand.

3.4 Dokumente, die vor der Escrow-Einrichtung hochgeladen wurden, erhalten dadurch nicht rückwirkend eine Escrow-Kapsel. Die Kundin darf für solche Bestände keinen Wiederherstellungsschutz voraussetzen. Sie hält geeignete reguläre Schlüssel verfügbar und führt einen gesonderten Nachweis über die Wiederherstellbarkeit des Altbestands.

4 Verwahrung und Kontrolle

4.1 Die beiden Dateikopien enthalten jeweils den vollständigen privaten Escrow-Schlüssel. Wer eine nutzbare Kopie und die Passphrase besitzt, verfügt über das für diesen Wiederherstellungsweg erforderliche private Material. Zwei Verwahrorte erzwingen kein Mehrpersonenverfahren.

4.2 Die Kundin beschränkt Zugriffe auf die benannten Verantwortlichen. Das Verzeichnis der tatsächlichen Verwahrorte, Zugangsregeln und der getrennten Passphrase verbleibt geschützt bei ihr. Das allgemeine Protokoll enthält keine Passphrase, privaten Schlüssel oder geheimen Dateiinhalte.

4.3 Die Kundin kontrolliert quartalsweise sowie nach Personal- oder Standortwechsel die Erreichbarkeit der Verantwortlichen und den Bestand beider Kopien. Sie führt jährlich eine kontrollierte Wiederherstellungsprobe durch und dokumentiert Ergebnis und Abhilfe. Private Materialien bleiben auch während dieser Kontrollen in ihrer Verfügungsgewalt.

5 Wiederherstellung

5.1 Die Geschäftsführung oder ihre benannte berechtigte Person genehmigt jede Wiederherstellung. Der Antrag bezeichnet Gesellschaft, Anlass, betroffene Dokumente und die berechtigten Empfänger. Zuerst wird geprüft, ob eine reguläre Nachversorgung nach Ziffer 1.2 möglich ist.

5.2 Die berechtigte Person lädt die passende Escrow-Datei auf dem geschützten Arbeitsplatz der Kundin und verwendet die Passphrase im vorgesehenen lokalen Ablauf. Sie führt die Wiederherstellung beziehungsweise Nachversorgung nur im genehmigten Umfang durch. Datei und Passphrase gelangen nicht zur Anbieterin.

5.3 Ergebnis, Empfänger, Nutzbarkeitsprüfung und technische Ereignisreferenzen werden ohne Inhaltsdokumente oder Geheimnisse protokolliert. Nicht benötigte lokale Arbeitskopien werden entfernt. Bei einem Fehlschlag werden Ursache und weiterer Ablauf geklärt; fehlende fachliche Berechtigungen dürfen nicht umgangen werden.

6 Wechsel, Verlust und frühere Schlüssel

6.1 Ausscheidende Verantwortliche übergeben ihre Aufgaben kontrolliert an die benannte Ersatzperson. Die Kundin dokumentiert Übergabe, Zugriffsänderungen und den weiteren Schutz der Datei und Passphrase. Bei Verdacht auf unbefugte Kopien oder Zugriff beurteilt sie einen erforderlichen Schlüsselwechsel gemeinsam mit dem Key-User und dem technischen Support, ohne geheimes Material zu übermitteln.

6.2 Ein neuer Escrow-Schlüssel ersetzt nicht automatisch die Kapseln bestehender Dokumente. Frühere Escrow-Dateien und Passphrasen können für ältere Inhalte weiter erforderlich sein. Sie werden erst vernichtet, wenn die Wiederherstellbarkeit dieser Inhalte anderweitig gesichert ist oder die Kundin ihre rechtmässige Vernichtung bewusst angeordnet hat. Das gilt auch für historische Inhalte und Sicherungskopien.

6.3 Verlust, beschädigte Datenträger, unbefugter Zugriff oder Zweifel an der Integrität werden unverzüglich dem Key-User und der verantwortlichen Geschäftsführung gemeldet. Die Anbieterin wird einbezogen, soweit Massnahmen am Dienst oder ihre Unterstützung erforderlich sind.

7 Vertragsende und Verantwortung

7.1 Gehen sämtliche nutzbaren regulären Schlüssel und die erforderlichen Escrow-Mittel verloren, können Inhalte dauerhaft unzugänglich werden. Eine Sicherung verschlüsselter Daten allein behebt diesen Verlust nicht. Die Anbieterin schuldet die vereinbarte Unterstützung, keinen von den kundenseitigen Mitteln unabhängigen Wiederherstellungserfolg.

7.2 Die Kundin prüft vor Vertragsende Export und spätere Lesbarkeit und verwahrt die dafür benötigten Schlüssel weiter. Es gelten 30 Kalendertage Exportmöglichkeit, Löschung aktiver Dienstdaten spätestens bis Tag 35 und der Sicherungskopien spätestens bis Tag 60 nach Vertragsende gemäss AGB und AVV. Die Vernichtung produktiver Kapseln beseitigt ältere Sicherungskapseln nicht automatisch.

7.3 Für Haftung, Schweizer Recht und Gerichtsstand gelten die AGB 1.2. Die Verantwortung der Kundin für ihre Schlüssel beseitigt keine Haftung der Anbieterin für eigene Pflichtverletzungen. Gesetzliche Aufbewahrungspflichten und zwingende Vorschriften bleiben bestehen.

Annahme: [Datum und Unterschriften oder elektronischer Annahmenachweis beider Parteien]. Die Vereinbarung wird der Gesellschaft im Kundenkonto zugeordnet. Geheime Wiederherstellungsmittel werden dort nicht abgelegt.

Anhang: Zeremonie- und Wiederherstellungsprotokoll

Gesellschaft: [Name/Kennung]. Datum/Ort: [Angabe]. Key-User: [Name].
Berechtigte verantwortliche Person: [Name/Funktion]. Ersatzperson: [Name/Kontakt].
Öffentlicher Fingerprint: [Angabe]. Geschütztes Verwahrverzeichnis der Kundin: [Referenz].

A. Erstzeremonie

• ☐ Identität, Gesellschaft, Berechtigung und geschützter Arbeitsplatz geprüft.
• ☐ Vollständige Escrow-Datei lokal erzeugt und mit Passphrase geschützt.
• ☐ Zwei lesbare Kopien an getrennten geschützten Orten verwahrt; Passphrase getrennt.
• ☐ Wiederherstellung eines nach Einrichtung angelegten Prüfdokuments erfolgreich.
• ☐ Vorherige Dokumente und nötige Altschlüssel gesondert erfasst.
• ☐ Arbeitskopien entfernt; Kontrollen und Ersatzperson eingerichtet.

Ergebnis und Abweichungen: [Angabe]. Kundin: [Name, Datum, Unterschrift].
Key-User: [Name, Datum, Unterschrift]. Anbieterin, sofern moderiert: [Name, Datum, tatsächlich geleistete Unterstützung].

B. Wiederherstellung oder Wiederholungsprobe

Anlass, Antrag und Genehmigung: [Angabe]. Betroffene Inhalte/Empfänger: [Referenz ohne Klartextinhalte]. Verwendeter Fingerprint: [Angabe].

• ☐ Reguläre Nachversorgung geprüft; Zweck und Empfängerrechte bestätigt.
• ☐ Passende Datei und Passphrase ausschliesslich im kundenseitigen Ablauf verwendet.
• ☐ Nutzbarkeit und Rechte nach Wiederherstellung geprüft.
• ☐ Ereignisreferenzen und Ergebnis dokumentiert; Arbeitskopien entfernt.
• ☐ Erforderliche Ersatz-, Schutz- oder Wechselmassnahmen erledigt.

Ergebnis: [Angabe]. Genehmigende Person: [Name, Datum, Unterschrift].
Ausführende Person: [Name, Datum, Unterschrift]. Key-User: [Name, Datum, Unterschrift].