Überblick

Im Ereignisprotokoll (Event Log) werden relevante Ereignisse (events) aufgezeichnet. Beim Abruf des Ereignisprotokolls liefert die API ein Array von JSON Web Token (JWT) gemäß RFC 7519. Der JWT ist einen Security Event Token (SET) gemäß RFC 8417. Wie mit den Security Event Token (SET) umgegangen wird, wird in diesem Abschnitt beschrieben.

Hintergrund

Für die Übermittlung von Einreichungen zwischen Sendern und Empfängern soll gewährleistet werden, dass alle Schritte nachweissicher dokumentiert werden, um im Streitfall den Ablauf eines erfolgten Übermittlungsvorgangs zweifelsfrei zu dokumentieren. Zudem sollen diese Nachweise außerhalb der Submission API und der damit verbundenen Systeme genutzt werden können, damit diese Dritten einfach zur Verfügung gestellt werden können. SETs erfüllen diese Anforderungen durch folgende Merkmale:

• Für jedes SET wird ein eindeutiger Herausgeber definiert (iss)
• Jedes SET kann eindeutig einem konkreten fachlichen Kontext zugeordnet werden (sub)
  • Mehrere SETs aus unterschiedlichen fachlichen Kontexten können zu einem gemeinsamen Vorgang zusammengeführt werden (txn)
• SETs können für unterschiedliche Ereignisse ausgeprägt werden und innerhalb dieser Ereignisse können Detailinformationen ergänzt werden, die diese Ereignisse näher beschreiben
  • Über einen Zeitstempel (iat) können diese Ereignisse zudem konkreten Zeitpunkt zugeordnet werden
• Durch eine Signatur im JWS Format wird sichergestellt, dass alle SETs ihre Integrität erhalten und eindeutig dem Schlüsselinhaber als Ersteller zugeordnet werden können.

Die Nutzung ist aber nicht auf die Klärung von Streitigkeiten zu technischen Übermittlungen beschränkt. SETs können aufgrund dieser Merkmale unter anderem auch für folgende Zwecke genutzt werden:

• Als Auditinstrument, dass bei Prüfungen oder Sicherheitsvorfällen durch Dritte (bspw. Datenschutz- oder Sicherheitsbeauftragte) genutzt wird,
• oder als Nachweis für den Start von Fristen in Verwaltungsverfahren, die in der Regel dann beginnen, wenn eine zuständige Stelle Kenntnis von einer Einreichung hat oder wenn diese Einreichung in den Hoheitsbereich der empfangenden Stelle gelangt.

In der Submission API werden SETs durch den Zustelldienst und das empfangende System erstellt. Während die SETs des Zustelldienstes dazu dienen, die korrekte Übermittlung an den Zustelldienst und die Inkenntnissetzung von empfangende Systemen über neue Einreichungen zu dokumentieren, sollen SETs des empfangenden Systems die Bestätigung oder Ablehnung der technischen Verarbeitbarkeit einer Einreichung nachweisen.

Diese Zusammenhänge werden vereinfacht im folgenden Sequenzdiagramm veranschaulicht. Zusätzlich wird ersichtlich, mit welchem Schlüssel die Einträge des Ereignisprotokolls jeweils signiert werden, d. h., mit dem Schlüssel des Zustelldienstes oder dem des empfangenden Systems.