1. Anschlusskonzept Data Consumer (DC)

Redaktioneller Hinweis

Dokument aus der vorangegangen Iteration - nicht Teil der aktuellen Iteration.

Das Dokument stellt einen fortgeschrittenen Arbeitsstand dar, der wichtige Ergänzungen und Verbesserungen enthält. Die Finalisierung ist für das kommende Release geplant.

1.1 Einleitung

Das Anschlusskonzept Data Consumer erklärt die notwendigen Schritte zum Anschluss an das [NOOTS] und zum Abruf von Nachweisen über das NOOTS. Es richtet sich an IT-Verantwortliche der öffentlichen Verwaltung mit Verantwortung für Onlinedienste und sonstige technische Verfahren, die zum Nachweisabruf befähigt werden sollen.

1.1.1 Überblick

Das Nationale Once-Only Technical System (NOOTS) ist ein technisches System zur Vorbereitung und Durchführung von Nachweisabrufen. Es ist in der High-Level-Architecture des NOOTS (HLA) mit seinen Bestandteilen, querschnittlichen und planerischen Aspekten gesamthaft beschrieben. Das Anschlusskonzept Data Consumer setzt dessen Kenntnis voraus und beschreibt die Aspekte eines Data Consumers und der für ihn verantwortlichen Stellen aus deren Perspektive.

Das Anschlusskonzept ist wie folgt aufgebaut:

• Das Kapitel 1.1 Einleitung beschreibt grundlegende Begriffe und Zusammenhänge.
• Das Kapitel 1.2 Anforderungen beschreibt die von Data Consumern zu beachtenden Anforderungen sowie deren Herkunft und Umsetzung im weiteren Verlauf des Dokuments.
• Das Kapitel 1.3 Kommunikationsbeziehungen beschreibt die Kommunikation von Data Consumern mit NOOTS Komponenten und Data Providern im Überblick.
• Das Kapitel Voraussetzungen für die Teilnahme am NOOTS erfüllen beschreibt die Registrierung und Anbindung von Data Consumern.
• Die anschließenden Kapitel beschreiben die Vorbereitung und Durchführung von Nachweisabrufen für die Anwendungsfälle 1.5 1, 1.6 2 und 1.7 4 der HLA.

Das nachfolgende Schaubild fasst die wesentlichen Schritte für einen erfolgreichen Nachweisabruf durch Data Consumer zusammen.

Abb. 1: Überblick

1.1.2 Nachweissubjekt und Identifikatoren

Ein Nachweissubjekt ist eine natürliche Person oder ein Unternehmen im Sinne des § 3 Abs. 1 UBRegG, zu der/dem ein Nachweis abgerufen wird.

Die Identifikatoren einer natürlichen Person sind

• deren Basisdaten gemäß § 6 (3) IDNrG, also mindestens Familienname, Wohnort, Postleitzahl und Geburtsdatum, sowie
• deren Identifikationsnummer (IDNr) gemäß § 1 IDNrG.

Die Identifikatoren eines Unternehmens im Sinne des § 3 Abs. 1 UBRegG sind

• dessen Basisdaten, bestehend aus Stammdaten und Identifikationsnummern gemäß § 3 Abs. 2 und 3 UBRegG, sowie
• dessen bundeseinheitliche Wirtschaftsnummer (beWiNr) gemäß § 2 (1) UBRegG.

1.1.3 Arten von Nachweisabrufen

Das NOOTS ermöglicht folgende Arten von Nachweisabrufen:

• Interaktiv: Nachweisabruf im Dialog mit einer Person, die zu sich selbst oder in Vertretung des 1.1.2 Nachweissubjekts zu diesem einen Nachweis abruft; die Antwort muss in kurzer Zeit zur Verfügung stehen (siehe Anforderungen an das NOOTS-Gesamtsystem in der High-Level-Architecture des NOOTS. Onlinedienste und Intermediäre Plattformen rufen Nachweise interaktiv ab.
• Nicht-interaktiv: Nachweisabruf ohne Beteiligung des 1.1.2 Nachweissubjekts oder seines Vertreters; hier ist eine lange Antwortzeit (bis zu mehreren Tagen) erlaubt. Fachverfahren (Leistungs- und Eingriffsverwaltung) und Verfahren für Zwecke von Zensus und Wissenschaft rufen Nachweise nicht-interaktiv ab.

Ein Data Consumer kann über das NOOTS

• einen nationalen Nachweis interaktiv abrufen 1.5 (HLA-1),
• einen nationalen Nachweis nicht-interaktiv abrufen 1.6 (HLA-2) und
• einen Nachweis aus einem anderen EU-Mitgliedstaat interaktiv abrufen 1.7 (HLA-4).

1.1.4 Technische Verfahren zum Nachweisabruf

Technische Verfahren zum Nachweisabruf gemäß der Anwendungsfälle der HLA sind Onlinedienste, Intermediäre Plattformen, Fachverfahren und Verfahren für Zwecke von Zensus und Wissenschaft.

Abb. 2: Technische Verfahren

Die Farbgebung der technischen Verfahren bezieht sich auf deren Beschreibung in diesem Anschlusskonzept und wird dort jeweils erläutert.

1.1.4.1 Onlinedienst

Ein Onlinedienst ist das technische Verfahren zum Abruf von Nachweisen nach den Anwendungsfällen 1 und 4 der HLA. Er wird entweder eigenständig (autark) oder gemeinsam mit anderen Onlinediensten auf einer technischen Onlinedienst-Plattform betrieben und kann über Portale gefunden und aufgerufen werden. Im Sinne des NOOTS gilt:

• Ein Portal (Verwaltungs-Portal, Portalverbund) dient zum Finden und Aufrufen von Onlinediensten. Portale sind für das NOOTS nicht relevant.
• Eine Onlinedienst-Plattform stellt Onlinediensten technische Funktionalität zur Verfügung, die diese u.a. zum Nachweisabruf benötigen. Bietet ein Portal auch Onlinedienst-Plattform Funktionalität, ist es im NOOTS-Sinn eine Onlinedienst-Plattform.
• Ein abhängiger Onlinedienst ruft Nachweise über eine Onlinedienst-Plattform ab, auf der er betrieben wird. Ein abhängiger Onlinedienst nimmt technisch indirekt über seine Onlinedienst-Plattform am NOOTS teil.
• Ein autarker Onlinedienst ruft Nachweise eigenständig ab (nutzt dafür kein anderes technisches System). Ein autarker Onlinedienst nimmt technisch direkt am NOOTS teil.

Abb. 3: Technischen Verfahren - Onlinedienste

1.1.4.2 Fachverfahren

Fachverfahren sind technische Verfahren zur Bearbeitung von Verwaltungsvorgängen der Leistungs- und der Eingriffsverwaltung ohne unmittelbare Beteiligung Betroffener. Fachverfahren rufen Nachweise auf Veranlassung Sachbearbeitender nicht-interaktiv ab. Fachverfahren sind zudem auf den Abruf nationaler Nachweise beschränkt, da ein Nachweisabruf über das EU-OOTS nur interaktiv, also mit unmittelbarer Beteiligung Betroffener, möglich ist.

Fachverfahren sind folglich technische Verfahren zum nicht-interaktiven Abruf von nationalen Nachweisen nach dem Anwendungsfall 2 der HLA.

1.1.4.3 Verfahren für Zensus und Wissenschaft

Verfahren für Zensus und Wissenschaft sind technische Verfahren zum nicht-interaktiven Abruf von Registerdaten nach den Anwendungsfällen 5 und 6 der HLA.

Die Anwendungsfälle 5 und 6 der HLA werden in einer späteren Version dieses Anschlusskonzepts beschrieben.

1.1.4.4 Intermediäre Plattform

Der Anwendungsfall 3 der HLA beschreibt den Abruf von nationalen Nachweisen durch technische Verfahren von EU-Mitgliedstaaten über das Europäische Once-Only-Technical-System (EU-OOTS). Die Intermediäre Plattform agiert hierbei als Mittler und ruft u.a. den nationalen Nachweis über das NOOTS ab. Damit ist sie zwar ebenfalls ein 1.1.4 technisches Verfahren zum Nachweisabruf, allerdings mit deutlichen Abweichungen zu den sonstigen technischen Verfahren zum Nachweisabruf.

Die Schritte einer Intermediären Plattform beim Nachweisabruf werden daher nicht in diesem Anschlusskonzept Data Consumer, sondern im Grobkonzept Intermediäre Plattform beschrieben. Bei nachfolgenden Nennungen technischer Verfahren zum Nachweisabruf ist die Intermediäre Plattform ausgeschlossen.

1.1.5 Nachweisanfordernde Stelle

Ein Onlinedienst wird von einer nachweisanfordernden Stelle gemäß §5 (2) S. 2 EGovG verantwortet. Die Varianten nachweisanfordernder Stellen und die dafür verwendeten Begriffe Antragbearbeitende Behörde (vgl. NL 1 EfA-Mindestanforderungen des IT-Planungsrats) und Nachweisabrufvertreter werden nachfolgend dargestellt.

Abb. 4: Nachweisanfordernde Stellen

Antragbearbeitende Behörden können abgerufene Nachweise von anderen öffentlichen Stellen (Nachweisabrufvertretern) weitergeleitet bekommen, die beispielsweise Onlinedienste zur Beantragung von OZG-Leistungen und zum Abruf entsprechender Nachweise anbieten. 

Die für den Nachweisabruf durch ein Fachverfahren oder ein Verfahren für Zensus oder Wissenschaft verantwortliche Stelle benötigt für die Berechtigung zum Nachweis eine eigene Rechtsgrundlage. Die hier verantwortliche Stelle wird nachfolgend zur besseren Verständlichkeit ebenfalls als nachweisanfordernde Stelle bezeichnet.

1.1.5.1 Verantwortung

Eine 1.1.5 nachweisanfordernde Stelle ist für ein technisches Verfahren zum Nachweisabruf insgesamt verantwortlich. Sie kann Dritte mit der Umsetzung bestimmter Aspekte beauftragen, bspw. Konzeption, Realisierung oder Betrieb.

Das NOOTS muss die Nachvollziehbarkeit eines Nachweisabrufs durch geeignete Protokollierung unterstützen und dazu Informationen zum fachlich und zum technisch Verantwortlichen ermitteln. Im Sinne des NOOTS umfasst

• die fachliche Verantwortung die rechtlichen und gestalterischen Aspekte des technischen Verfahrens (bspw. Zweck, Rechtsgrundlage, Oberflächen, benötigte Nachweise) sowie dessen Bereitstellung zum Betrieb,
• die technische Verantwortung die Schaffung der technischen Voraussetzungen zum Betrieb des technischen Verfahrens (z.B. Betriebsumgebung, Netzanschluss, Zertifikate) und dessen technische Verfügbarkeit.

Ein technisches Verfahren zum Nachweisabruf über das NOOTS muss daher einem Fachverantwortlichen und einem Betriebsverantwortlichen zugeordnet sein, die bei jedem Nachweisabruf ermittelt und protokolliert werden. Diese werden wie folgt bestimmt:

• Die für das technische Verfahren verantwortliche 1.1.5 nachweisanfordernde Stelle ist der Fachverantwortliche.
• Die das technische Verfahren betreibende Stelle ist der Betriebsverantwortliche. Bei einem autarken 1.1.4.1 Onlinedienst ist der Betriebsverantwortliche der technisch Verantwortliche für den Onlinedienst; bei einem abhängigen 1.1.4.1 Onlinedienst ist der Betriebsverantwortliche der technisch Verantwortliche für die Onlinedienst-Plattform, auf der der abhängige Onlinedienst betrieben wird.

Betreibt der Fachverantwortliche das technische Verfahren selbst, ist er zugleich dessen Betriebsverantwortlicher.

1.1.6 Data Consumer

Ein Data Consumer ist ein NOOTS-Teilnehmer zum Abruf von Nachweisen. Ein NOOTS-Teilnehmer ist ein registriertes technisches Verfahren zur Teilnahme in einer bestimmten Weise (Teilnahmeart), authentifizierbar durch ein Zertifikat.

Ein Data Consumer hat stets einen Fachverantwortlichen und einen Betriebsverantwortlichen (siehe 1.1.5.1 Verantwortung).

Der Fachverantwortliche eines Data Consumers ist eine nachweisabrufende Stelle gemäß §5 (2) S. 2 EGovG. Er verantwortet

• die Rechtskonformität der veranlassten Nachweisabrufe,
• die Korrektheit der Daten eines Nachweisabrufs, insbesondere der Basisdaten des 1.1.2 Nachweissubjekts und deren Vertrauensniveau, und
• als Nachweisabrufvertreter die Weiterleitung abgerufener Nachweise an die 1.1.5 antragbearbeitende Behörde.

Der Betriebsverantwortliche eines Data Consumers betreibt den Data Consumer im Auftrag des Fachverantwortlichen. Er verantwortet

• den technisch korrekten Betrieb des Data Consumers und
• die Beschaffung und Verwendung der zum Betrieb des Data Consumers notwendigen elektronischen Zertifikate.

1.1.7 Abgrenzung

Das Anschlusskonzept Data Consumer beschreibt die technischen und organisatorischen Schritte zum elektronischen Abruf einzelner Nachweise. Es enthält keine Aussagen

• zu Bezahlfunktionen; die Abwicklung von Zahlungen für kostenpflichtige Nachweisabrufe liegt außerhalb des Regelungsumfangs von NOOTS und ist daher zusätzlich von dem technischen Verfahren (insb. vom Onlinedienst) abzudecken, das als Data Consumer Nachweise über das NOOTS abruft,
• zur Bündelung von Nachweisabrufen; dies ist derzeit weder in der Konzeption noch im Standard XNachweis vorgesehen,
• zur Weiterleitung von durch 1.1.5 Nachweisabrufvertreter abgerufenen Nachweisen an die antragbearbeitende Behörde; die Weiterleitungspflicht gemäß der §§ 5 und 5a EGovG ist unabhängig vom NOOTS zu erfüllen,
• zum geplanten Fachdatenkonzept des PB Register, da es noch keinen belastbaren Stand aufweist,
• zu Hilfsmitteln, die den eigentlichen Nachweisabruf für ein technisches Verfahren übernehmen; die Delegation des Nachweisabrufs an ein solches Hilfsmittel ist zulässig, aber nicht Bestandteil dieses Konzepts.

1.1.8 Lesehilfe für Diagramme

In den nachfolgenden Diagrammen werden für Aktionen folgende Farben und Symbole verwendet:

Farbe / Symbol	Beispiel	Bedeutung
Blaue Schrift auf weißem Grund		Aktion eines technischen Verfahrens zum Nachweisabruf / Data Consumers oder einer dafür verantwortlichen Stelle
Weiße Schrift auf blauem Grund		Aktion einer NOOTS-Komponente oder einer dafür verantwortlichen Stelle
Harke / Rechen		Die Aktion wird in einem Unterablauf detailliert.

1.2 Anforderungen

Ein Data Consumer muss je nach Anwendungsfall der High-Level-Architecture des NOOTS (siehe Überblick) die nachfolgenden Anforderungen erfüllen, um Nachweise über das NOOTS abrufen zu können. Die Geltung für einen Anwendungsfall wird durch ein \"x\" in folgenden Spalten dargestellt:

• HLA-1: Gilt für interaktive nationale Nachweisabrufe gemäß der Anwendungsfälle 1a und 1b der HLA
• HLA-2: Gilt für nicht-interaktive nationale Nachweisabrufe gemäß Anwendungsfall 2 der HLA
• HLA-4: Gilt für interaktive Nachweisabrufe aus EU-Mitgliedstaaten gemäß Anwendungsfall 4 der HLA

Die Anforderungen basieren auf Rechtsnormen, Beschlüssen des IT-PLR und/oder Entwurfsentscheidungen des PB NOOTS. Die jeweilige Grundlage wird in der gleichnamigen Spalte angegeben. Die Hinweise zu mit Ziffern markierten Grundlagen sind unter der Tabelle aufgeführt.

Die Anforderungen sind jeweils einem Architekturzielbild des NOOTS zugeordnet (vgl. HLA - Architekturzielbilder und Umsetzungsstufen des NOOTS und erst beim Erreichen des jeweiligen Zielbilds umzusetzen. Die Maßnahmen zur Umsetzung der Anforderungen werden in den nachfolgenden Kapiteln beschrieben (siehe Spalte Fundstelle).

¹⁾ Die Norm wird vom OZGÄndG entsprechend geändert.

²⁾ Es ist eine Entwurfsentscheidung des PB NOOTS, dass die Nachweisvorschau vom Data Consumer umzusetzen ist.

³⁾ Es gibt keine Rechtsgrundlage, die nicht-interaktive Nachweisabrufe in anderen EU-Mitgliedstaaten ermöglicht. Die SDG VO (EU) 2018/1724 ermöglicht Bürgern und Unternehmen nur interaktive Nachweisabrufe.

1.3 Kommunikationsbeziehungen

Die nachfolgende Abbildung zeigt die insgesamt notwendige Kommunikation eines Data Consumers mit den NOOTS-Komponenten und dem Data Provider bzw. dem EU OOTS über die Intermediäre Plattform.

Abb. 8: Kommunikationsbeziehungen

Ein Data Consumer muss die Voraussetzungen für die Teilnahme am NOOTS erfüllen, um kommunizieren zu können. Die dafür nötigen Schritte sind im folgenden Kapitel beschrieben.

In den anschließenden Kapiteln werden die zur Vorbereitung und Durchführung eines Nachweisabrufs nötigen Schritte nach den Anwendungsfällen 1.5 1, 1.6 2 und 1.7 4 der HLA beschrieben.

1.4 Voraussetzungen für die Teilnahme am NOOTS erfüllen

Damit ein Data Consumer einen Nachweis über das NOOTS abrufen kann, muss er mit dem NOOTS wie vorgegeben kommunizieren und seine Berechtigung zum Abruf des Nachweises technisch belegen können.

Der Data Consumer muss also Voraussetzungen erfüllen, die ihm die Teilnahme in der gewünschten Weise ermöglichen. Die für den Data Consumer 1.1.6 Verantwortlichen müssen dazu folgende Schritte durchführen:

• Den Data Consumer 1.4.1 an das NOOTS anbinden, damit er mit den NOOTS-Komponenten und mit Data Providern kommunizieren kann (siehe 1.2 NOOTS-872).
• Den Data Consumer im IAM für Behörden mit den nötigen Angaben 1.4.2 registrieren, damit er für die NOOTS-Teilnahme und für Nachweisabrufe autorisiert werden kann (siehe 1.2 NOOTS-198).

Abb. 9: NOOTS Teilnahmevoraussetzungen

Die Umsetzung dieser Voraussetzungen wird nachfolgend beschrieben. Registrierung und NOOTS-Anbindung können in beliebiger Reihenfolge durchgeführt werden.

1.4.1 An NOOTS anbinden

Der Data Consumer muss an die Transportinfrastruktur von NOOTS [NOOTS-19] angebunden werden, um mit den NOOTS-Komponenten kommunizieren, Nachweisabrufe senden und Antworten empfangen zu können. Die Transportinfrastruktur von NOOTS gewährleistet die Vertraulichkeit und Integrität transportierter Daten und die Durchführung der abstrakten Berechtigungsprüfung gem. § 7 (2) IDNrG.

Für die Anbindung an das NOOTS geht die vorliegende Version des Anschlusskonzepts Data Consumer von folgenden Annahmen und Rahmenbedingungen aus:

• Gemäß IT-PLR-Beschluss 2023/38 vom 3.11.2023 soll \"ein Wechsel von zunächst genutzten IT-Standards bzw. Komponenten zu europäisch oder international genutzten Alternativen\" ermöglicht werden.
• Im Zuge des NOOTS-Ausbaus werden zahlreiche Data Consumer und Data Provider angeschlossen werden. Um diese zu entlasten, wird derzeit eine Software konzipiert, welche nicht nur den vorgenannten Wechsel ermöglicht, sondern zudem für Data Consumer und Data Provider (mindestens) folgende Aufgaben übernimmt:
  • Kapselung des Transports,
  • Siegelung und Verschlüsselung von Inhalten,
  • Durchführung der abstrakten Berechtigungsprüfung.
• Diese Software wird als \"Sicherer Anschlussknoten\" bezeichnet. Weitere Details werden im Übergreifenden Konzept Transportinfrastruktur [NOOTS-19] beschrieben.
• Die vorliegende Version des Anschlusskonzepts Data Consumer geht von folgenden Annahmen aus: Ein Sicherer Anschlussknoten
  • übernimmt die o.g. Aufgaben,
  • benötigt elektronische Zertifikate zur Siegelung und Verschlüsselung,
  • muss von Data Consumern zur Kommunikation mit dem NOOTS genutzt werden.

Hinweis: Es ist noch in Klärung, ob der Sichere Anschlussknoten Ereignisse in einer Weise protokolliert, die der Anforderung 1.2 NOOTS-864 entspricht.

Die sich daraus ergebenden Aufgaben für Data Consumer und deren Verantwortliche werden in der nachfolgenden Beschreibung berücksichtigt.

1.4.2 Im NOOTS registrieren

Ein Onlinedienst wird in der NOOTS-Komponente IAM für Behörden [NOOTS-05] als \"Data Consumer\" mit folgenden Angaben registriert:

• Benennung des 1.1.5.1 Fachverantwortlichen (Name und Anschrift der Behörde, Kontaktdaten des Ansprechpartners),
• die Behördenfunktion,
• die zur Authentifizierung, Siegelung und Verschlüsselung nötigen elektronischen 1.4.2.2 Zertifikate.

Die Zertifikate enthalten Angaben zum Betriebsverantwortlichen.

Zur Registrierung müssen der Fach- und der Betriebsverantwortliche die nachfolgenden Schritte durchführen.

Abb. 10: NOOTS Registrierung

1. Der Fachverantwortliche eines Onlinediensts legt dessen Behördenfunktion fest (Details s.u.) und beauftragt den Betriebsverantwortlichen des Onlinediensts oder der Onlinedienst-Plattform (siehe 1.1.5.1 Verantwortung) mit der Registrierung als Data Consumer.
2. Der Betriebsverantwortliche 1.4.2.2 beschafft die Zertifikate (Details s.u.) und beantragt die Registrierung bei der Registrierungsstelle des IAM für Behörden mit den nötigen Angaben.
3. Die Registrierungsstelle des IAM für Behörden verifiziert die Angaben und stößt die technische Registrierung im System IAM für Behörden an.
4. Das System IAM für Behörden a. legt einen neuen Teilnehmer der Art \"Data Consumer\" an, b. ordnet ihm die angegebene Behördenfunktion und die übergebenen Zertifikate zu, c. legt ggf. den Fachverantwortlichen an und ordnet ihn dem Teilnehmer zu und d. informiert den Betriebsverantwortlichen über die Registrierung.

Zur späteren 1.5.3.1 Autorisierung identifiziert sich der Onlinedienst mit demselben Authentifizierungs-Zertifikat, das zu seiner Registrierung verwendet wurde.

Hinweise:

• Die Registrierung basiert fachlich auf der Behördenfunktion. Weitere Onlinedienste mit derselben Behördenfunktion können mit einer vorhandenen Registrierung betrieben werden.
• Onlinedienste mit einer abweichenden Behördenfunktion müssen separat registriert werden.
• Bei abhängigen Onlinediensten wird der Sichere Anschlussknoten mit der Plattform verbunden. Der Betriebsverantwortliche muss nur für den Sicheren Anschlussknoten Zertifikate zur Siegelung und Verschlüsselung beschaffen, aber nicht für jeden abhängigen Onlinedienst.
• Das Konzept IAM für Behörden wird derzeit überarbeitet. Bei der Registrierung können daher noch Änderungen entstehen.

1.4.2.1 Behördenfunktion festlegen

Eine Behördenfunktion ist ein fachlicher Aufgabenbereich einer Behörde auf einer rechtlichen Grundlage („Rolle der Behörde", z.B. Kfz-Zulassungsstelle). Zu einer Behördenfunktion sind im IAM für Behörden folgende Informationen hinterlegt:

• der zugehörige Verwaltungsbereich entsprechend § 7 (2) IDNrG,
• Rechtsgrundlagen der Behördenfunktion zur Begründung von Nachweisabrufen,
• je Rechtsgrundlage die von ihr umfassten Nachweistypen.

Ein Data Consumer darf nur Nachweise zu Nachweistypen abrufen, die seiner Behördenfunktion zugeordnet sind. Der 1.1.5.1 Fachverantwortliche muss daher die zutreffende Behördenfunktion des zu registrierenden Onlinediensts festlegen. Die Behördenfunktion muss

• der Fachfunktion der antragbearbeitenden Behörde entsprechen, für die die abgerufenen Nachweise bestimmt sind (z.B. \"Meldebehörde\"),
• im IAM für Behörden [NOOTS-05] vorhanden und für Data Consumer erlaubt sein.

Hinweise:

• Die Liste der für Data Consumer möglichen Behördenfunktionen muss noch erstellt werden.
• Das IAM für Behörden wird voraussichtlich Funktionen zur Verfügung stellen, mit der die möglichen Behördenfunktionen und die Nachweistypen zu einer Behördenfunktion abgerufen werden können.

1.4.2.2 Zertifikate beschaffen

Ein Data Consumer benötigt ein zur Authentifizierung geeignetes elektronisches Zertifikat als Identifizierungsmittel, mit dem er sich im NOOTS ausweist. Ohne einen solchen Ausweis kann ein Data Consumer nicht authentifiziert und daher auch nicht berechtigt werden.

Ein Sicherer Anschlussknoten eines Onlinediensts benötigt Zertifikate, die zur Siegelung und Verschlüsselung geeignet sind, um die Vertraulichkeit und Integrität der Kommunikation von Teilnehmern mit dem NOOTS und untereinander sicherzustellen.

Der Betriebsverantwortliche muss für die Teilnahme des Onlinediensts am NOOTS die entsprechenden elektronischen Zertifikate beschaffen. Die Beschaffung elektronischer Zertifikate wird im Konzept Zertifikate beschrieben.

Die Zertifikate müssen der Zertifikatsrichtlinie [NOOTS-16] von NOOTS entsprechen und dem Onlinedienst so zugeordnet sein, dass

• der Onlinedienst sich mit dem Authentifizierungs-Zertifikat zur Laufzeit gegenüber dem IAM für Behörden [NOOTS-05] ausweisen kann und
• der Sichere Anschlussknoten des Onlinediensts die Kommunikation im nötigen Umfang siegeln und verschlüsseln kann.

Hinweise:

• Die NOOTS Zertifikatsrichtlinie [NOOTS-16] muss noch erstellt werden. Bis dahin können noch keine Zertifikate für Zwecke des NOOTS bezogen werden.
• Im Rahmen der Erstellung der Zertifikatsrichtlinie ist festzulegen, ob für die nötigen Zwecke (Authentifizierung, Siegelung, Verschlüsselung) je ein eigenes Zertifikat gefordert wird oder ob Zertifikate mit Zweck-Kombinationen zulässig sind.

1.5 HLA-1: Nationalen Nachweis interaktiv abrufen

Hat sich die antragstellende Person für den elektronischen Nachweisabruf entschieden (siehe 1.2 NOOTS-600) und soll ein Nachweis aus Deutschland abgerufen werden (siehe 1.2 NOOTS-875), handelt es sich um den Anwendungsfall 1 der HLA. Es gelten die 1.2 Anforderungen gemäß der Spalte HLA-1.

1.5.1 Ablauf

Der Ablauf dieses Nachweisabrufs wird nachfolgend beschrieben. Die dabei geltenden Anforderungen werden an der umsetzenden Stelle genannt.

Abb. 11: HLA 1: Nationalen Nachweis interaktiv abrufen

1.5.2 Vorbereitende Schritte

Der Onlinedienst muss die nachfolgenden vorbereitenden Schritte für einen Nachweisabruf durchführen. Diese Schritte sind unabhängig vom NOOTS, also ohne Autorisierung möglich. Der Onlinedienst

1. authentifiziert den Antragsteller (siehe 1.2 NOOTS-599),
2. liest gemäß BSI TR-03107 [SQ-07] die Basisdaten aus dem zur Authentifizierung verwendeten Identifizierungsmittel oder aus dem Ergebnis des Authentifizierungsdiensts (z.B. BundID) aus,
3. stellt gemäß BSI TR-03107 [SQ-07] das Vertrauensniveau des zur Authentifizierung verwendeten Identifizierungsmittels fest oder übernimmt die entsprechende Information aus dem Ergebnis des Authentifizierungsdiensts (z.B. BundID),
4. fragt die zur Ermittlung des zuständigen Data Providers ggf. nötigen Zuständigkeitsparameter vom Antragsteller ab und
5. erfragt vom Antragsteller, ob er den Nachweis zur Entscheidung über seine Verwendung angezeigt bekommen möchte (Preview, siehe 1.2 NOOTS-462).

1.5.2.1 Vertretung

Das EU-OOTS und das NOOTS bieten die technische Möglichkeit, in einem Nachweisabruf den Vertreter des 1.1.2 Nachweissubjekts anzugeben. Bietet ein Onlinedienst beim Nachweisabruf den Vertretungsfall an, muss der Fachverantwortliche für geeignete Maßnahmen zur Missbrauchsverhinderung sorgen. Das NOOTS leistet keine Unterstützung bei der Prüfung von Vertretungsberechtigungen.

Handelt der Antragsteller im Sinne des Onlinediensts als Vertreter des 1.1.2 Nachweissubjekts, muss der Onlinedienst

• die in 2. ermittelten Basisdaten und deren in 3. ermitteltes Vertrauensniveau im Nachweisabruf als Angaben zum Vertreter eintragen,
• die Angaben zum Vertretenen vom Antragsteller erfragen und im Nachweisabruf als Angaben zum 1.1.2 Nachweissubjekt eintragen.

Hinweise:

• Weitere Aspekte im Umgang mit Vertretung werden noch untersucht und können zu Änderungen in diesem Anschlusskonzept führen.

1.5.2.2 Zuständigkeitsparameter

Der Onlinedienst muss prüfen, ob zur Ermittlung der Verbindungsparameter des zuständigen Data Providers Zuständigkeitsparameter (siehe Grobkonzept Registerdatennavigation [NOOTS-07]) nötig sind.

Zuständigkeitsparameter bestimmen bei Nachweistypen mit aufgeteilter Zuständigkeit den für den Nachweis zuständigen Data Provider anhand der Werte, die dem 1.1.2 Nachweissubjekt entsprechen. Beispiele für Zuständigkeitsparameter sind

• der amtliche Gemeindeschlüssel (AGS) zur Ermittlung der zuständigen Meldebehörde anhand des AGS des Wohnsitzes der Person,
• das Bundesland und der Name einer Hochschule zur Ermittlung der zuständigen Hochschule für eine Immatrikulationsbescheinigung,
• der Name der zuständigen Krankenkasse oder eine sonstige Angabe zu deren Identifizierung.

Sind Zuständigkeitsparameter nötig, muss der Data Consumer die benötigten Informationen vom Antragsteller erfragen.

Hinweise:

• Die RDN liefert bei fehlenden oder unzureichenden Zuständigkeitsparametern Informationen, welche Angaben für eine eindeutige Ermittlung des zuständigen Data Providers nötig sind.
• Die Bereitstellung von Wertelisten für Zuständigkeitsparameter wird im Rahmen der RDN-Konzeption geklärt.

1.5.3 Schritte als Data Consumer

Für die folgenden Schritte muss der Onlinedienst mit dem NOOTS über den sicheren Anschlussknoten kommunizieren (siehe 1.2 NOOTS-872) und daher zunächst seine 1.5.3.1 Autorisierung anfordern (siehe 1.2 NOOTS-198). Die Autorisierung berechtigt ihn zur Kommunikation mit NOOTS-Komponenten und zum Abruf der Nachweistypen entsprechend seiner Behördenfunktion (s. 1.4.2 Registrierung).

Bei erfolgreicher Autorisierung kann der Onlinedienst als Data Consumer mit dem NOOTS und anderen Teilnehmern kommunizieren und führt als solcher die nachfolgenden Schritte durch. Der Data Consumer

1. fragt von der Registerdatennavigation die 1.5.3.2 Verbindungsparameter des zuständigen Data Providers ab (siehe 1.2 NOOTS-448),
2. beschafft ggf. den Identifikator (IDNr/beWiNr) des Nachweissubjekts, wenn der Data Provider damit abgefragt werden kann (siehe 1.2 NOOTS-538 und 1.2 NOOTS-539),
3. stellt die Daten für den Abruf eines nationalen Nachweises gemäß XNachweis zusammen (siehe 1.2 NOOTS-302), insbesondere
   a. Angaben zu den Beteiligten (Data Consumer, Data Provider, antragbearbeitende Behörde),
   b. Angaben zum Nachweis (Typ, Format, Abrufgrund) und
   c. Angaben zum 1.1.2 Nachweissubjekt (siehe Identifikator für Nachweissubjekt beschaffen) und ggf. zum 1.5.2.1 Vertreter,
4. sendet den Nachweisabruf anhand der ermittelten Verbindungsdaten an den Data Provider,
5. nimmt dessen Antwort entgegen und wertet sie aus (siehe 1.5.4 Ergebnis).

Hinweise:

• Ist das Vertrauensniveau des Identifizierungsmittels (siehe 1.5.2 Vorbereitende Schritte) für den Nachweisabruf unzureichend (siehe notwendiges Vertrauensniveau unter 1.5.3.2 Verbindungsparameter), soll der Data Consumer den Nachweisabruf abbrechen und die nutzende Person zur Re-Authentifizierung mit einem Identifizierungsmittel mit ausreichendem Vertrauensniveau auffordern.
• Der Data Consumer muss beim Verwaltungsbereichs übergreifenden Nachweisabruf mit IDNr nicht für eine abstrakte Berechtigungsprüfung gem. § 7 (2) IDNrG sorgen. Dies ist eine Aufgabe der NOOTS Transportinfrastruktur und wird voraussichtlich durch sichere Anschlussknoten umgesetzt(1.4.1 siehe An NOOTS anbinden).

1.5.3.1 Autorisierung als Data Consumer anfordern

Der Onlinedienst muss für den Zugriff auf NOOTS-Komponenten und für den Nachweisabruf als Data Consumer autorisiert sein (siehe 1.2 NOOTS-198).

Abb. 12: Autorisierung als Data Consumer anfordern

Der Onlinedienst sendet eine Autorisierungsanfrage an das IAM für Behörden mit dem Zertifikat, mit dem der Onlinedienst als Data Consumer registriert wurde. Das IAM für Behörden - authentifiziert den Onlinedienst anhand des Zertifikats als Teilnehmer der Art \"Data Consumer\", - autorisiert den Onlinedienst zum Abruf der Nachweistypen, die seiner Behördenfunktion zugeordnet sind, - autorisiert den Onlinedienst zum Zugriff auf die NOOTS-Komponenten, die der Teilnahmeart \"Data Consumer\" zugeordnet sind, und - stellt dem Onlinedienst ein Token mit den ermittelten Berechtigungen aus.

1.5.3.2 Verbindungsparameter

Der Data Consumer ruft von der Registerdatennavigation die Verbindungsparameter des zuständigen Data Providers anhand des Nachweistyps und der ggf. nötigen Zuständigkeitsparameter ab. Verbindungsparameter enthalten folgende Informationen:

• Technische Referenz auf den Data Provider
• Für den Nachweisabruf nötiges Vertrauensniveau. Es bestimmt, wie hoch das Vertrauensniveau der Basisdaten des 1.1.2 Nachweissubjekts oder dessen Vertreters mindestens sein muss, um einen Nachweis dieses Typs abrufen zu können.
• Für den Nachweistyp angebotene Nachweisformate. Sie bestimmen, in welchen Formaten (z.B. Fachstandard-XML in Version x.y) der Data Consumer einen Nachweis beziehen kann. Der Data Consumer muss eines der angebotenen Nachweisformate im Nachweisabruf angeben.
• Angabe, ob ein Nachweis dieses Typs mit 1.1.2 IDNr (natürliche Person) bzw. beWiNr (Unternehmen) abgerufen werden kann. Deren Verwendung wird im Folgeabschnitt erläutert.

Fehlt beim Abruf der Verbindungsparameter ein Zuständigkeitsparameter oder wird ein ungültiger Wert angegeben, antwortet die Registerdatennavigation mit einer entsprechenden Fehlermeldung.

1.5.3.3 Identifikator für Nachweissubjekt beschaffen

Nationale Nachweise sollen möglichst über eindeutige Identifikatoren abgerufen werden. Bei natürlichen Personen ist der eindeutige 1.1.2 Identifikator die IDNr, bei Unternehmen die beWiNr. Die IDNr wird vom IDM für Personen (IDM-P), die beWiNr vom IDM für Unternehmen (IDM-U) bezogen.

Abb. 13: Identifikator für Nachweissubjekt beschaffen

Für einen Nachweisabruf zu einer natürlichen Person muss der Data Consumer anhand der 1.5.3.2 Verbindungsparameter des Data Providers prüfen, ob ein Nachweis mit IDNr abgerufen werden kann. Data Provider sollen diese Information in der Registerdatennavigation hinterlegen, sobald sie ihre Pflichten nach dem IDNrG umgesetzt haben und Nachweisabrufe mit IDNr möglich sind. Ist das der Fall und liegt eine Rechtsgrundlage (insb. § 5 (4) EGovG, § 6 IDNrG) zum Abruf mit IDNr vor, muss der Data Consumer anhand der Basisdaten des 1.1.2 Nachweissubjekts (Familienname, Wohnort, Postleitzahl und Geburtsdatum gem. § 6 (3) IDNrG) die IDNr vom IDM für Personen abrufen und sie im Nachweisabruf als Identifikator des 1.1.2 Nachweissubjekts verwenden (siehe 1.2 NOOTS-538).

Für einen Nachweisabruf zu einem 1.1.2 Unternehmen muss der Data Consumer anhand der 1.5.3.2 Verbindungsparameter des Data Providers prüfen, ob ein Nachweis mit beWiNr abgerufen werden kann. Ist das der Fall und liegt eine Rechtsgrundlage (insb. §§ 2, 5 UBRegG) zum Abruf mit beWiNr vor, muss der Data Consumer anhand der Basisdaten des 1.1.2 Nachweissubjekts die beWiNr vom IDM für Unternehmen abrufen und sie im Nachweisabruf als Identifikator des 1.1.2 Nachweissubjekts verwenden (siehe 1.2 NOOTS-539).

Hinweise:

• Das IDM für Unternehmen wird derzeit konzipiert. Änderungen und Präzisierungen für den Abruf der beWiNr werden bei der Fortschreibung des Anschlusskonzepts Data Consumer berücksichtigt.
• Ein wesentliches Ziel ist die Vereinheitlichung von Datenabrufen zu Unternehmen anhand der beWiNr. Es ist noch offen, inwieweit Nachweisabrufe zu Unternehmen ohne beWiNr über das NOOTS ermöglicht werden.

1.5.4 Ergebnis

Der Data Consumer wertet die erhaltene Antwort des Data Providers aus. Enthält die Antwort

• eine Fehlermeldung, soll der Data Consumer die Fehlermeldung anzeigen und die Fehlerursache beheben, soweit sie ihm zuzurechnen ist.
• einen Nachweis und ist eine Preview gewünscht, muss der Data Consumer den Nachweis anzeigen und dem Antragsteller eine Entscheidung über die Verwendung des Nachweises ermöglichen (siehe 1.2 NOOTS-462).
  • Bei Zustimmung zur Verwendung darf der Data Consumer über den Nachweis im erlaubten Umfang verfügen.
  • Bei Ablehnung der Verwendung muss der Data Consumer den Nachweis verwerfen.
• einen Nachweis und ist keine Preview gewünscht, darf der Data Consumer über den Nachweis im erlaubten Umfang verfügen.

Hinweis: Der Data Provider erhält keine Rückmeldung zu einem in der Preview abgelehnten Nachweis.

1.5.5 Weitere zu beachtende Anforderungen

In diesem Anwendungsfall sind außerdem folgende weiteren Anforderungen zu beachten. Der Data Consumer

• darf den Nachweisabruf frühestens nach 60 Sekunden wegen Zeitablauf abbrechen (siehe 1.2 NOOTS-842). Die Frist beginnt mit der 1.5.3.1 Autorisierung und endet mit dem 1.5.4 Ergebnis.
• soll den aktuellen Stand des Verlaufs anzeigen (siehe 1.2 NOOTS-835). Dazu soll der Data Consumer den jeweils aktuellen Schritt und alle bereits durchgeführten Schritte anzeigen.
• muss den Nachweisabruf protokollieren und die Protokolldaten zwei Jahre aufbewahren (siehe 1.2 NOOTS-864).

1.6 HLA-2: Nationalen Nachweis nicht-interaktiv abrufen

Soll ein Nachweis nicht-interaktiv von einem nationalen Data Provider abgerufen werden, handelt es sich um den Anwendungsfall 2 der HLA. Es gelten die 1.2 Anforderungen gemäß der Spalte HLA-2.

Nicht-interaktive Abrufe von 1.1.4.2 Fachverfahren sind auf nationale Nachweise beschränkt (siehe 1.2 NOOTS-873) und bieten keine Möglichkeit zum Preview.

1.6.1 Ablauf

Der Ablauf dieses Nachweisabrufs wird nachfolgend beschrieben. Die dabei geltenden Anforderungen werden an der umsetzenden Stelle genannt.

Abb. 14: HLA 2: Nationalen Nachweis nicht-interaktiv abrufen

1.6.2 Vorbereitende Schritte

Das Fachverfahren muss die nachfolgenden vorbereitenden Schritte für einen Nachweisabruf durchführen. Diese Schritte sind unabhängig vom NOOTS, also ohne Autorisierung möglich. Das Fachverfahren muss

1. die Basisdaten des 1.1.2 Nachweissubjekts und deren Vertrauensniveau festlegen; der Fachverantwortliche des Fachverfahrens ist entsprechend dem jeweiligen Fachrecht für korrekte Angaben verantwortlich, und
2. die zur Ermittlung des zuständigen Data Providers ggf. nötigen Zuständigkeitsparameter festlegen.

1.6.3 Schritte als Data Consumer

Für die folgenden Schritte muss das Fachverfahren mit dem NOOTS über den sicheren Anschlussknoten kommunizieren (siehe 1.2 NOOTS-872) und daher zunächst seine 1.5.3.1 Autorisierung analog zum Onlinedienst anfordern (siehe 1.2 NOOTS-198). Die Autorisierung berechtigt das Fachverfahren zur Kommunikation mit NOOTS-Komponenten und zum Abruf der Nachweistypen entsprechend seiner Behördenfunktion (s. 1.4.2 Registrierung).

Bei erfolgreicher Autorisierung kann der Onlinedienst als Data Consumer mit dem NOOTS und anderen Teilnehmern kommunizieren und führt als solcher 1.5.3 dieselben Schritte wie beim Onlinedienst durch mit folgenden Abweichungen:

1. Zur Beschaffung und Verwendung des 1.1.2 Identifikators (IDNr/beWiNr des Nachweissubjekts) muss für das Fachverfahren eine Rechtsgrundlage zum Abruf mit dem Identifikator vorliegen.
2. In den Daten für den Nachweisabruf gemäß XNachweis muss der Preview verneint werden.

1.6.4 Ergebnis

Der Data Consumer wertet die erhaltene Antwort des Data Providers aus. Enthält die Antwort einen Nachweis, darf der Data Consumer über den Nachweis im erlaubten Umfang verfügen.

1.6.5 Weitere zu beachtende Anforderungen

In diesem Anwendungsfall sind außerdem folgende weiteren Anforderungen zu beachten. Der Data Consumer

• muss den Nachweisabruf protokollieren und die Protokolldaten zwei Jahre aufbewahren (siehe 1.2 NOOTS-864).

1.7 HLA-4: Nachweis aus EU-Mitgliedstaat abrufen

Hat sich die antragstellende Person für den elektronischen Nachweisabruf entschieden (siehe 1.2 NOOTS-600) und soll dieser Nachweis aus einem anderen EU-Mitgliedstaat abgerufen werden (siehe 1.2 NOOTS-875), handelt es sich um den Anwendungsfall 4 der HLA. Es gelten die 1.2 Anforderungen gemäß der Spalte HLA-4.

Ein Nachweis aus einem anderen EU-Mitgliedstaat muss über die zuständige Intermediäre Plattform abgerufen werden (siehe 1.2 NOOTS-542). Da diese nur interaktiv genutzt werden kann, ist ein solcher Nachweisabruf nur interaktiv über einen Onlinedienst möglich.

1.7.1 Ablauf

Der Ablauf dieses Nachweisabrufs wird nachfolgend beschrieben. Die dabei geltenden Anforderungen werden an der umsetzenden Stelle genannt.

Abb. 15: HLA 4: Nachweis aus EU-Mitgliedstaat abrufen

1.7.2 Vorbereitende Schritte

Der Onlinedienst muss 1.5.2 dieselben vorbereitenden Schritte wie bei einem nationalen Nachweisabruf durchführen mit folgenden Ausnahmen:

1. Zur Bestimmung der zuständigen Intermediären Plattform ist derzeit keine weitere Angabe erforderlich, da von nur einer Intermediären Plattform ausgegangen wird. Falls künftig mehrere Intermediäre Plattform zur Verfügung stehen, müssen Zuständigkeitsparameter relevant sind.
2. Der Preview-Wunsch wird in der Nutzeroberfläche der Intermediären Plattform abgefragt.

1.7.3 Schritte als Data Consumer

Für die folgenden Schritte muss der Onlinedienst mit dem NOOTS über den sicheren Anschlussknoten kommunizieren (siehe 1.2 NOOTS-872) und daher zunächst seine 1.5.3.1 Autorisierung anfordern (siehe 1.2 NOOTS-198). Die Autorisierung berechtigt ihn zur Kommunikation mit NOOTS-Komponenten und zum Abruf der Nachweistypen entsprechend seiner Behördenfunktion.

Bei erfolgreicher Autorisierung kann der Onlinedienst als Data Consumer mit dem NOOTS und anderen Teilnehmern kommunizieren und führt als solcher die nachfolgenden Schritte durch. Der Data Consumer muss

1. die Verbindungsparameter der zuständigen Intermediären Plattform von der Registerdatennavigation abrufen (siehe 1.2 NOOTS-456),
2. die für einen Nachweis aus einem anderen EU-Mitgliedstaat nötigen Abrufdaten gemäß XNachweis zusammenstellen (siehe 1.2 NOOTS-302), insbesondere
   a. Angaben zu den Beteiligten (Data Consumer, Intermediäre Plattform, antragbearbeitende Behörde),
   b. Angaben zum Nachweis (Nachweistyp oder Nachweisanforderung, wenn der Nachweistyp nicht bekannt ist, sowie das Nachweisformat),
   c. Angaben zum 1.1.2 Nachweissubjekt (Basisdaten) und
   d. URL für die Rückkehr zur Nutzeroberfläche des Data Consumers,
3. die Abrufdaten an die Intermediäre Plattform senden (EvidenceOrder, siehe 1.2 NOOTS-542),
4. aus der Antwort der Intermediären Plattform (EvidenceOrderResponse) deren RedirectURL entnehmen und dem Antragsteller zum Aufruf anbieten,
5. auf Veranlassung des Antragstellers die Nutzeroberfläche der Intermediären Plattform aufrufen,
6. nach der Rückkehr von der Intermediären Plattform die Verfügbarkeit von Nachweisen ermitteln (GetEvidence).

1.7.4 Ergebnis

Der Data Consumer wertet die erhaltene Antwort der Intermediären Plattform zur Verfügbarkeit von Nachweisen aus. Bei Abruf aus anderen EU-Mitgliedstaaten kann es zu einem angefragten Nachweistyp mehrere Nachweise geben.

Sind Nachweise verfügbar, ruft der Data Consumer diese von der Intermediären Plattform ab (Abrufe anhand RegistryObjectList von GetEvidenceResponse) und darf darüber im erlaubten Umfang verfügen.

1.7.5 Weitere zu beachtende Anforderungen

In diesem Anwendungsfall sind außerdem folgende weiteren Anforderungen zu beachten. Der Data Consumer

• darf den Nachweisabruf frühestens nach 60 Sekunden wegen Zeitablauf abbrechen (siehe 1.2 NOOTS-842). Die Frist beginnt mit der 1.5.3.1 Autorisierung und endet mit dem Aufruf der Intermediären Plattform.
• soll den aktuellen Stand des Verlaufs anzeigen (siehe 1.2 NOOTS-835). Dazu soll der Data Consumer den jeweils aktuellen Schritt und alle bereits durchgeführten Schritte anzeigen.
• muss den Nachweisabruf protokollieren und die Protokolldaten zwei Jahre aufbewahren (siehe 1.2 NOOTS-864).