Wenn man das Informationssystem einer Gemeinde oder eines interkommunalen Verbands auditiert, stößt man regelmäßig auf Fachmodule, die im Hintergrund CAPICOM aufrufen. Die von Microsoft entwickelte Verschlüsselungsbibliothek diente dazu, digitale Zertifikate zu verwalten, Dokumente zu signieren und Datenströme aus Windows-Anwendungen zu verschlüsseln. Das Problem: Microsoft hat CAPICOM offiziell als veraltet erklärt und alle Updates eingestellt, wodurch diese Softwarebausteine ohne Sicherheitsupdates bleiben.
Erkennung von Anwendungen, die CAPICOM in einer öffentlichen IT-Landschaft noch verwenden
Bevor man über Migration spricht, muss man wissen, wo sich CAPICOM versteckt. Die Bibliothek liegt in Form einer DLL-Datei (capicom.dll) vor, die auf Windows-Computern registriert ist. In einer Kommune ist sie oft in alten Fachanwendungen eingebettet: interne elektronische Unterschriften, Signaturmodule für öffentliche Aufträge oder E-Mail-Verschlüsselungstools zwischen Abteilungen.
Auch interessant : Taper Cut: Ursprünge, Tipps und Ratschläge für den Trendfrisur
Der direkteste Reflex besteht darin, capicom.dll im gesamten Bestand zu suchen mittels eines Bereitstellungsskripts oder eines Softwareinventar-Tools. Man zielt auch auf die COM-Aufrufe im Windows-Register ab, da einige Anwendungen CAPICOM laden, ohne die DLL lokal zu kopieren.
Die Rückmeldungen zu diesem Punkt variieren: Einige IT-Abteilungen entdecken die Abhängigkeit erst bei einer Migration des Browsers oder einem Versionswechsel von Windows, wenn ein Modul plötzlich nicht mehr funktioniert. Vor Ort, wie CAPICOM von Collectivité Numérique erklärt, verhindert diese frühzeitige Erkennung Unterbrechungen bei kritischen Verfahren wie der Signatur von Bestellbestätigungen.
Auch interessant : Tipps und Inspirationen für Ihren Alltag als Bloggerin
CAPICOM und eIDAS-Konformität: Warum der Status quo ein regulatorisches Risiko darstellt
CAPICOM basiert auf den historischen CryptoAPI-APIs von Windows. Diese APIs unterstützen nicht die aktuellen kryptografischen Standards, die von den aktuellen europäischen Referenzrahmen gefordert werden. Die Richtlinien der ENISA und die eIDAS 2.0-Schutzprofile haben seit 2023 die Empfehlungen zu Algorithmen und Schlüssellängen für Vertrauensdienste verstärkt.
CAPICOM ist nicht mehr mit den europäischen kryptografischen Anforderungen für fortgeschrittene und qualifizierte Signaturen in Einklang. Für eine Kommune, die mit digitalisierten öffentlichen Aufträgen oder elektronisch signierten Verwaltungsakten arbeitet, schwächt die Beibehaltung eines veralteten Bausteins den Beweiswert der produzierten Dokumente.
Das Risiko ist nicht theoretisch. Ein über CAPICOM verwaltetes Zertifikat kann auf Hash-Algorithmen oder Schlüssellängen basieren, die von Zertifizierungsstellen und Prüfplattformen mittlerweile als unzureichend angesehen werden. Im Falle eines Streits kann die Konformität des Signaturprozesses angefochten werden.
CryptoAPI Next Generation und .NET: Den richtigen Ersatzweg wählen
Microsoft weist Entwickler auf zwei Hauptwege hin, um CAPICOM zu ersetzen. Die Wahl hängt vom Typ der betroffenen Anwendung und den verfügbaren Fähigkeiten im technischen Team ab.
CNG für native Windows-Anwendungen
CryptoAPI Next Generation (CNG) ist der direkte Nachfolger von CryptoAPI. Es unterstützt moderne Algorithmen (AES mit langen Schlüsseln, elliptische Kurven, aktuelle TLS-Suites). Für eine native Anwendung in C++ oder Delphi, die CAPICOM über COM aufgerufen hat, ist die Migration zu CNG der kürzeste Weg.
Die Neuschreibung betrifft die Aufrufe zur Signatur, Zertifikatsüberprüfung und Verschlüsselung. Der Rest des Anwendungscodes bleibt in der Regel unverändert.
Namespace System.Security.Cryptography für .NET-Anwendungen
Wenn die Anwendung in VB.NET oder C# entwickelt wurde, deckt der Namespace System.Security.Cryptography alle Funktionen ab, die CAPICOM bereitstellte:
- Signatur und Überprüfung von Dokumenten mit vollständiger Verwaltung des Windows-Zertifikatspeichers
- Sichere symmetrische und asymmetrische Verschlüsselung gemäß den aktuellen Standards
- Zeitstempel und Zertifikatsverkettung, die den eIDAS-Anforderungen entsprechen
Der Vorteil dieses Ansatzes: Sicherheitsupdates folgen dem Support-Zyklus von .NET, was das Problem einer festgefahrenen Bibliothek ohne Patches beseitigt.
Die Migration von CAPICOM in einer Kommune planen: die kritischen Schritte
CAPICOM ersetzt man nicht in einem Sprint. Die Migration betrifft sensible Geschäftsprozesse, und jede Kommune hat eine unterschiedliche Anwendungsgeschichte. Drei Schritte strukturieren das Projekt.
- Abhängigkeiten kartieren: jede Anwendung, jeden Datenfluss und jeden Arbeitsplatz identifizieren, der capicom.dll lädt, und dann die genaue verwendete Funktion dokumentieren (Signatur, Verschlüsselung, Überprüfung)
- Nach Kritikalität priorisieren: Anwendungen, die mit öffentlichen Aufträgen oder der Signatur von Dokumenten verbunden sind, haben Vorrang, während solche, die nur interne Verschlüsselung durchführen, auf einen zweiten Batch warten können
- In einer isolierten Umgebung testen: Validieren, dass der neue kryptografische Baustein Signaturen produziert, die von den verwendeten Digitalisierungsplattformen akzeptiert werden (XAdES-Signaturprofil, PAdES je nach Fall)
- Die betroffenen Mitarbeiter schulen: Ein Wechsel des Zertifikats oder des Signaturverfahrens erfordert eine klare Kommunikation an die Endbenutzer, auch wenn die Änderung auf der Benutzeroberfläche transparent ist
Vor Ort dauert die Kartierungsphase oft länger als die Neuschreibung selbst, da die Abhängigkeiten zu CAPICOM nicht immer in den Anwendungsblättern dokumentiert sind.
Kommune, die diese Migration hinauszögert, sieht sich einem doppelten Risiko ausgesetzt: einem Risiko eines plötzlichen Ausfalls bei einem Windows-Update, das die COM-Kompatibilität bricht, und einem Mangel an Konformität gegenüber den steigenden Anforderungen der europäischen Sicherheitsreferenzen. Es ist besser, jetzt mit dem Inventar zu beginnen, auch wenn die vollständige Neuschreibung sich über mehrere Monate erstreckt.