Common Criteria

1. Common Criteria: Definition und Bedeutung

Common Criteria sind ein normierter Bewertungsrahmen, mit dem unabhängige Prüfstellen die Sicherheitseigenschaften eines „Target of Evaluation“ (TOE) untersuchen. Grundlage sind der ISO/IEC-15408-Standard und der zugehörige Evaluierungsprozess. Ergebnis ist eine nachvollziehbare Aussage, welchen Evaluation Assurance Level (EAL) ein Produkt in einer bestimmten Version und Konfiguration erreicht, einschließlich dokumentierter Annahmen, Einsatzumgebungen und Einschränkungen.

2. Aufbau der Common Criteria: Bausteine, Anforderungen, EAL

Der Standard strukturiert Sicherheitsansprüche und Nachweise in wiederverwendbare Bausteine. Hersteller definieren, was das geprüfte Produkt leisten soll, und Evaluatoren prüfen systematisch, ob die dazu erforderlichen Kontrollen vorhanden, korrekt implementiert und verifiziert sind. Dadurch lassen sich Aussagen zur Vertrauenswürdigkeit konsistent vergleichen und in Beschaffungen oder Compliance-Rahmen übernehmen.

• TOE (Target of Evaluation): das konkret geprüfte Produkt inkl. Version, Edition und Konfiguration.
• Security Target (ST): herstellerspezifische Beschreibung der Sicherheitsziele und -funktionen des TOE.
• Protection Profile (PP): wiederverwendbares Anforderungsprofil für eine Produktklasse (z. B. Smartcards, Firewalls).
• Security Functional Requirements (SFR): geforderte Sicherheitsfunktionen (z. B. Zugriffskontrolle, Kryptografie).
• Security Assurance Requirements (SAR): Nachweise und Prüfmethoden zur Vertrauenswürdigkeit (z. B. Design-, Test- und Prozessnachweise).
• EAL 1–7: aufeinander aufbauende Stufen des Evaluierungs-Tiefgangs, von funktionalem Test bis formal verifizierter Entwicklung.

Wichtig ist die Unterscheidung zwischen ST (konkrete Hersteller-Claims für ein Produkt) und PP (generischer Anforderungskatalog für eine Klasse). Zertifikate können „PP-konform“ sein oder ausschließlich ein ST adressieren. Die konkrete Aussagekraft eines Common-Criteria-Zertifikats ergibt sich immer aus der Kombination von TOE-Umfang, angenommenem Einsatzkontext, erfüllt en SFR/SAR und dem erreichten EAL.

3. Zertifizierung, Anerkennung und Geltungsbereich der Common Criteria

Common-Criteria-Evaluierungen erfolgen in nationalen Schemata durch lizenzierte Prüfstellen; die Zertifikate werden in vielen Ländern über die CCRA (Common Criteria Recognition Arrangement) anerkannt. In Europa existieren ergänzende Vereinbarungen und Weiterentwicklungen (z. B. SOG-IS, EUCC — Stand 2026), die eine breite Verwertbarkeit in Beschaffungen unterstützen. Ein Zertifikat gilt stets für die spezifizierte Produktversion, den definierten Konfigurationsumfang und die dokumentierten Annahmen; größere funktionale Änderungen erfordern regelmäßig eine Aktualisierung oder Re-Evaluierung.

Für die Praxis bedeutet das: Prüfe vor einer Beschaffung die Zertifikatsnummer, den Scheme-Herausgeber, das EAL, etwaige PP-Konformitäten, den TOE-Umfang sowie die Gültigkeit. Für international tätige Anbieter lohnt die Ausrichtung auf Profile und Anerkennungen, die in Kernmärkten akzeptiert werden, um Doppelprüfungen zu vermeiden und Vertriebszyklen nicht zu verlängern.

4. Praxis: Common Criteria im Marketing, SEO, SEA und GEO nutzen

Ein Common-Criteria-Zertifikat ist ein starkes Vertrauenssignal für Sicherheits- und Compliance-affine Zielgruppen (z. B. Behörden, Finanz- oder Gesundheitswesen). In SEO erhöht es die Relevanz und das Vertrauen auf Landingpages im Sinne von E-E-A-T (insbesondere ‚Authoritativeness‘ und ‚Trustworthiness‘), was indirekt die Conversion-Rate stützen kann. In SEA lassen sich EAL, Zertifikats-ID und PP-Konformität in Anzeigentexten, Sitelinks oder Assets prägnant kommunizieren. Für GEO (Generative Engine Optimization) lohnt eine klar strukturierte Produktseite mit Zertifikatsdetails, damit KI-Modelle die Compliance-Aussagen korrekt extrahieren und zitieren.

Aus Conversion-Sicht bewährt sich eine klare Abschnittsstruktur: ‚Sicherheitsfunktionen‘ (SFR), ‚Zertifizierung nach Common Criteria‘ (mit EAL/PP), ‚Umfang & Annahmen‘ (TOE-Konfiguration) und ‚Downloads‘ (Zertifikat, ST-Auszug, Whitepaper). Diese Aufbereitung reduziert Rückfragen im Vertrieb, verkürzt Due-Diligence-Schleifen und verbessert die Qualität von Brand- und Non-Brand-Queries, weil Nutzer präzisere Antworten direkt auf der SERP oder Landingpage finden.

5. Auswahl und Workflow: So planst du eine CC-Strategie

Die Entscheidung für Common Criteria beginnt mit der Zieldefinition: 1) Welche Märkte oder Ausschreibungen erfordern CC? 2) Welches PP passt zur Produktklasse? 3) Welcher TOE-Umfang ist wirtschaftlich? Danach folgt die Gap-Analyse gegen PP/SFR/SAR, die Härtung der Entwicklungs- und Build-Prozesse, die Erstellung des Security Target, interne/partnerseitige Vortests, die formale Evaluierung durch eine Prüfstelle und schließlich die Zertifikatsveröffentlichung. Der Zeitbedarf variiert je nach EAL, Produktkomplexität und Reife der Entwicklungsprozesse von mehreren Monaten bis über ein Jahr. Plane parallel die Content-Assets (Zertifikatsseite, FAQ, Datenblatt), damit Marketing und Vertrieb den Abschluss sofort nutzen können.

6. Häufige Fragen zu Common Criteria

7. Performance Suite — dein Datenlayer für KI

Du arbeitest mit ChatGPT, Claude oder Perplexity und merkst, dass deiner KI die echten Daten zu deiner Domain fehlen? Performance Suite liefert sie — Rankings, Backlinks, Technik und KI-Sichtbarkeit aus 15+ APIs, in einem Klick exportierbar in jede KI deiner Wahl. Ohne Entwickler, ohne Credits, ohne Vendor-Lock-in.