Dokumentation DFN-AAI, DFN-PKI und eduroam

config-attributes-arcgis

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-20T15:09:28+00:00

2025/01/16 12:39		aktuell
Zeile 10:		Zeile 10:
	und für Shibboleth im Speziellen hier: https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm.		und für Shibboleth im Speziellen hier: https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm.

-	Es ist zu beachten, dass ArcGIS Online den Empfehlungen der Interoperable SAML 2.0 Profilen folgt und bei einer verschlüsselten Assertion auch die Signierung der Assertion voraussetzt (https://saml2int.org/profile/current/#section91). Da die Standardkonfiguration von Shibboleth zwar die Verschlüsselung, nicht jedoch die Signierung der Assertion vorsieht, empfiehlt Esri in der Dokumentation die Verschlüsselung der Assertion abzuschalten (s. Schritt 4b https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm). Alternativ ist es jedoch auch möglich die Signierung der Assertion bei eingeschalteter Verschlüsselung zu aktivieren. Dazu muss der Schritt 4b aus der Anleitung wie folgt abgeändert werden:	+	Es ist zu beachten, dass ArcGIS Online den Empfehlungen der Interoperable SAML 2.0 Profilen folgt und bei einer verschlüsselten Assertion auch die Signierung der Assertion voraussetzt. Da die Standardkonfiguration von Shibboleth zwar die Verschlüsselung, nicht jedoch die Signierung der Assertion vorsieht, empfiehlt Esri in der Dokumentation die Verschlüsselung der Assertion abzuschalten (s. Schritt 4b https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm). Alternativ ist es jedoch auch möglich die Signierung der Assertion bei eingeschalteter Verschlüsselung zu aktivieren. Dazu muss der Schritt 4b aus der Anleitung wie folgt abgeändert werden:

	Wenn Sie eine ''SAML:1.1:nameid-format:unspecified'' als Container für die zu übertragenden Attribute nutzen, richten Sie die Übertragung wie folgt ein:		Wenn Sie eine ''SAML:1.1:nameid-format:unspecified'' als Container für die zu übertragenden Attribute nutzen, richten Sie die Übertragung wie folgt ein:

attributes_best_practice

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-20T15:03:56+00:00

2026/07/20 16:56		aktuell
Zeile 4:		Zeile 4:
	Konfigurationsbeispiele für Attribute Resolver und Filter sowie Relying Party finden sich [[de:shibidp:config-attributes-aaiplus\|auf dieser Seite]].		Konfigurationsbeispiele für Attribute Resolver und Filter sowie Relying Party finden sich [[de:shibidp:config-attributes-aaiplus\|auf dieser Seite]].

-	\| 1. Name Identifier und funktionsanaloge Attribute \\ (siehe hierzu auch die [[https://shibboleth.atlassian.net/wiki/spaces/CONCEPT/pages/928645231/NameIdentifiers\|Übersicht im Shibboleth-Wiki]]) \|\|	+	\| 1. Name Identifier und funktionsanaloge Attribute \\ (siehe hierzu auch [[https://kantarainitiative.github.io/SAMLprofiles/saml2int.html#_subject_identification\|SAML2int Profile V2.0]], Abschnitt "3.1.3. Subject Identification") \|\|
	^ 1.1 Omni-directional, non-targeted ^^		^ 1.1 Omni-directional, non-targeted ^^
	\| ''Subject Id (SAML V2.0 General Purpose Subject Identifier)'' [[de:common_attributes#a16\|Doku]]\| empfohlen \|		\| ''Subject Id (SAML V2.0 General Purpose Subject Identifier)'' [[de:common_attributes#a16\|Doku]]\| empfohlen \|

attributes_best_practice

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-20T15:02:58+00:00

2021/12/14 18:11		aktuell
Zeile 4:		Zeile 4:
	You can find configuration samples for attribute resolver, attribute filter, and relying party configuration [[de:shibidp:config-attributes-aaiplus\|on this page]].		You can find configuration samples for attribute resolver, attribute filter, and relying party configuration [[de:shibidp:config-attributes-aaiplus\|on this page]].

-	\| 1. Name Identifier and attributes with similar functions \\ (also see [[https://saml2int.org/\|SAML2int Profile V2.0]], section "3.1.3. Subject Identification") \|\|	+	\| 1. Name Identifier and attributes with similar functions \\ (also see [[https://kantarainitiative.github.io/SAMLprofiles/saml2int.html#_subject_identification\|SAML2int Profile V2.0]], section "3.1.3. Subject Identification") \|\|
	^ 1.1 Omni-directional, non-targeted ^^		^ 1.1 Omni-directional, non-targeted ^^
	\| ''urn:oasis:names:tc:SAML:attribute:subject-id'' [[de:common_attributes#a16\|docs]] (de)\| recommended \|		\| ''urn:oasis:names:tc:SAML:attribute:subject-id'' [[de:common_attributes#a16\|docs]] (de)\| recommended \|

start - [Delegationen]

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-20T13:39:47+00:00

2026/07/15 11:55		aktuell
Zeile 47:		Zeile 47:
	\| urn:geant:dfn.de:uni-augsburg.de \| Namensraum für das Berechtigungsmanagement der Universität Augsburg \| 26.05.2021 \| Maria Schmaus \\ (maria.schmaus@rz.uni-augsburg.de) \|		\| urn:geant:dfn.de:uni-augsburg.de \| Namensraum für das Berechtigungsmanagement der Universität Augsburg \| 26.05.2021 \| Maria Schmaus \\ (maria.schmaus@rz.uni-augsburg.de) \|
	\| urn:geant:dfn.de:uni-bielefeld.de \| Namensraum für das Berechtigungsmanagement der Universität Bielefeld \| 04.03.2024 \| IDM-Team BITS \\ (idm-admin@uni-bielefeld.de) \|		\| urn:geant:dfn.de:uni-bielefeld.de \| Namensraum für das Berechtigungsmanagement der Universität Bielefeld \| 04.03.2024 \| IDM-Team BITS \\ (idm-admin@uni-bielefeld.de) \|
		+	\| urn:geant:dfn.de:uni-bonn.de \| Namensraum für das Berechtigungsmanagement der Universität Bonn \| 20.07.2026 \| Arthur Lackner \\ (idm@uni-bonn.de) \|
	\| urn:geant:dfn.de:uni-duisburg-essen.de \\ urn:geant:dfn.de:uni-due.de \| Namensraum für das Berechtigungsmanagement der Universität Duisburg-Essen \| 29.07.2025 \| IDM-Team Uni Duisburg-Essen \\ idm.technik@uni-due.de \|		\| urn:geant:dfn.de:uni-duisburg-essen.de \\ urn:geant:dfn.de:uni-due.de \| Namensraum für das Berechtigungsmanagement der Universität Duisburg-Essen \| 29.07.2025 \| IDM-Team Uni Duisburg-Essen \\ idm.technik@uni-due.de \|
	\| urn:geant:dfn.de:uni-freiburg.de \| \| 03.04.2008 \| Bernd Oberknapp \\ (bo@ub.uni-freiburg.de) \|		\| urn:geant:dfn.de:uni-freiburg.de \| \| 03.04.2008 \| Bernd Oberknapp \\ (bo@ub.uni-freiburg.de) \|

portfolio

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-10T06:55:25+00:00

2026/04/28 13:30		aktuell
Zeile 23:		Zeile 23:
	Weiterentwicklung des Dienstes auf technischer, organisatorischer und rechtlicher Ebene:		Weiterentwicklung des Dienstes auf technischer, organisatorischer und rechtlicher Ebene:
	* Regelmäßige Konsultationen mit der [[https://recht.dfn.de\|Forschungsstelle Recht im DFN]]		* Regelmäßige Konsultationen mit der [[https://recht.dfn.de\|Forschungsstelle Recht im DFN]]
-	* Unterstützung neuer Technologien und Standards wie [[https://openid.net/connect/\|OpenID Connect]], Mitgliedschaft in der [[https://openid.net/foundation/\|OpenID Foundation]], Mitarbeit in der [[https://openid.net/wg/rande/\|Research & Education Working Group]]	+	* Unterstützung neuer Technologien und Standards wie [[de:shibidp:oidc-proxy\|OpenID Connect]], Mitgliedschaft im [[https://www.orcid-de.org/home\|ORCID DE Konsortium]], Mitarbeit in der [[https://openid.net/wg/rande/\|Research & Education Working Group]]
	* Erweiterung des Dienstportfolios, z.B. [[de:aai:eduid\|edu-ID]]		* Erweiterung des Dienstportfolios, z.B. [[de:aai:eduid\|edu-ID]]
	* Evaluierung neuer Ansätze zur Erhöhung des Vertrauensniveaus in der DFN-AAI, Einführung des [[https://refeds.org/assurance\|REFEDS Assurance Frameworks]]		* Evaluierung neuer Ansätze zur Erhöhung des Vertrauensniveaus in der DFN-AAI, Einführung des [[https://refeds.org/assurance\|REFEDS Assurance Frameworks]]
		+	* Evaluation neuer Technologien, insbesondere in Hinblick auf die EUDI-Wallet

oidc-proxy - [Liste der angeschlossenen Dienste]

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-08T13:22:30+00:00

2026/07/08 15:18		aktuell
Zeile 29:		Zeile 29:
	\| [[https://rocket-meals.de\|Rocket Meals]] \| Campus App - Studierende können digitale Leistungen der Studierendenwerke nutzen \| [[https://baumgartner-software.de\|Baumgartner Software UG]] \| info@baumgartner-software.de \| https://rocket-meals.de/homepage/datenschutzerklaerung/ \| sub \|		\| [[https://rocket-meals.de\|Rocket Meals]] \| Campus App - Studierende können digitale Leistungen der Studierendenwerke nutzen \| [[https://baumgartner-software.de\|Baumgartner Software UG]] \| info@baumgartner-software.de \| https://rocket-meals.de/homepage/datenschutzerklaerung/ \| sub \|
	\| [[https://app.edutix.de\|eduTix]] \| Ticket-Shop-System für Bildungs-Events \| IT Media Hof Inh. Jannis Gollwitzer \|support@edutix.de \| https://app.edutix.de/privacy\| sub, family_name, given_name, name, email, schac_home_organization\|		\| [[https://app.edutix.de\|eduTix]] \| Ticket-Shop-System für Bildungs-Events \| IT Media Hof Inh. Jannis Gollwitzer \|support@edutix.de \| https://app.edutix.de/privacy\| sub, family_name, given_name, name, email, schac_home_organization\|
-	\| [[https://www.fairup.dev/de\|FairUp]] \| Event- und Community-Management-Plattform \| FairUp UG (haftungsbeschränkt) \| fred@fairup.dev \| https://www.fairup.events/datenschutz \| sub, email, given_name, family_name, schac_home_organization \|	+	\| [[https://fairup.events\|FairUp]] \| Event- und Community-Management-Plattform \| [[https://fairup.events\|FairUp UG]] (haftungsbeschränkt) \| fred@fairup.dev \| https://www.fairup.events/datenschutz \| sub, email, given_name, family_name, schac_home_organization \|
	\| [[https://app.onetutor.ai\|OneTutor]] \| OneTutor ist eine KI-gestützte Lernplattform, die Lehrende bei der Wissensvermittlung unterstützt. Der digitale Tutor bereitet vorhandene Kursmaterialien auf und stellt sie den Studierenden in interaktiver Form zur Verfügung. So lassen sich Inhalte einfacher vermitteln, die Eigenmotivation steigern und der Lernerfolg nachhaltig sichern. \| [[https://onetutor.ai\|OneTutor GmbH]] \| contact@onetutor.ai \| https://app.onetutor.ai/privacy \| sub, schac_home_organization, organization_name, eduperson_affiliation \|		\| [[https://app.onetutor.ai\|OneTutor]] \| OneTutor ist eine KI-gestützte Lernplattform, die Lehrende bei der Wissensvermittlung unterstützt. Der digitale Tutor bereitet vorhandene Kursmaterialien auf und stellt sie den Studierenden in interaktiver Form zur Verfügung. So lassen sich Inhalte einfacher vermitteln, die Eigenmotivation steigern und der Lernerfolg nachhaltig sichern. \| [[https://onetutor.ai\|OneTutor GmbH]] \| contact@onetutor.ai \| https://app.onetutor.ai/privacy \| sub, schac_home_organization, organization_name, eduperson_affiliation \|
	\| [[https://studentive.de\|studentive]] \| studentive ist eine innovative Matching-Plattform, mit der Du ganz einfach passende Praktika, Nebenjobs, Abschlussarbeiten und Berufseinstiege in Deiner Region findest. Dank smarter KI bekommst Du Vorschläge, die genau zu Deinen Interessen und Deinem Studienschwerpunkt passen. \| [[https://pancodium.de/\|Pancodium GmbH]] \| info@pancodium.de \| https://studentive.de/datenschutz/ \| sub, family_name, given_name, email, eduperson_affiliation \|		\| [[https://studentive.de\|studentive]] \| studentive ist eine innovative Matching-Plattform, mit der Du ganz einfach passende Praktika, Nebenjobs, Abschlussarbeiten und Berufseinstiege in Deiner Region findest. Dank smarter KI bekommst Du Vorschläge, die genau zu Deinen Interessen und Deinem Studienschwerpunkt passen. \| [[https://pancodium.de/\|Pancodium GmbH]] \| info@pancodium.de \| https://studentive.de/datenschutz/ \| sub, family_name, given_name, email, eduperson_affiliation \|

easyroam - [Installation der eduroam Profile auf ANDROID

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2026-07-08T12:52:03+00:00

2022/12/09 09:25		aktuell
Zeile 209:		Zeile 209:


-	==== Installation der eduroam Profile auf ANDROID <= 9 ====
-
-	Sicherstellen, dass eine Internetverbindung besteht, WLAN (nicht eduroam), LTE, etc.
-
-	<alert>
-	Wichtige Vorbereitungen:
-	Sollte bereits ein eduroam Profile auf dem Gerät installiert sein, bitte löschen. Aus dem Google PlayStore die eduroamCAT App herunterladen.
-	</alert>
-
-	1. WEB-Browser, z.B. Chrome und [[https://www.easyroam.de]] eingeben. Im WAYF (Where Are You From) den eigenen DFN-AAI IdP auswählen.
-
-	{{:de:eduroam:screenshot_20210806-095025.png?200\|}}
-
-	2. Am DFN-AAI IdP anmelden und nach erfolgreicher Anmeldung auf "Manuelle Optionen" klicken. EAP-Config (Kreis links EAP-Config klicken) und in der Eingabe-Box Name (Klick auf Eingabebox),einen Namen auswählen, z.B. MyAndroid und auf "Zugang generieren".
-
-	{{:de:eduroam:screenshot_20210806-105422.png?200\|}}
-
-	3. Nun muss man leider ein wenig Geduld beweisen und versuchen auf "Zugang genrieren" zu klicken. Die Darstellung ist auf dem SmartPhone alles andere als freundlich für die eduroam Nutzenden. Es ist eben ein WORKAROUND. Vielleicht geht es im Querformat besser oder verkleinern bzw. vergrößern. Schafft man es auf "Zugang generieren" erfolgreich zu klicken, wird die EAP-Config heruntergeladen.
-
-	<alert> Achtung bitte nicht gleich auf "Öffnen klicken". </alert>
-
-	{{:de:eduroam:screenshot_20210806-105542.png?200\|}}
-
-	4. Bitte Browser schließen und eduroamCAT App starten. Nun wird es spannend, wenn die wichtigen Vorbereitungen durchgeführt worden sind, wird in der eduroamCAT App der Reiter Profile ausgwählt.
-
-	{{:de:eduroam:screenshot_20210806-112424.png?200\|}}
-
-	5. Nun ins Menü oben rechts auf die drei untereinander stehenden Punkte klicken.
-
-	{{:de:eduroam:screenshot_20210806-113002.png?200\|}}
-
-	6. "Konfigurationsdatei auswählen" auswählen und anschließemd im Suchfeld oben eap eingeben.
-
-	{{:de:eduroam:screenshot_20210806-103718.png?200\|}}
-
-	7. Das heruntergeladene Profil (s. Datum) auswählen. Bevor das Profil gelesen wird, muss das Passwort für den Zugriff auf den geheimen Zertifikatsschlüssel eingegeben werden. Das Passwort lautet: pkcs12 .
-
-	{{:de:eduroam:screenshot_20210806-103554.png?200\|}}
-
-	8. Auf "ok" klicken und dann (s. Abbildung) auf Installieren klicken.
-
-	{{:de:eduroam:screenshot_20210806-103638.png?200\|}}
-
-	9. Leider nochmal auf Installieren klicken.
-
-	{{:de:eduroam:screenshot_20210806-103718.png?200\|}}
-
-	10. Dieses Mal nicht auf installieren klicken denn dort steht doch Profil installiert, ist aber egal.
-
-	{{:de:eduroam:screenshot_20210806-120325.png?200\|}}
-
-	<alert> Die äußere Identität darf nicht geändert werden, da diese an den CN (Common Name) im Client Zertifikat gebunden ist. </alert>

	==== Installation der easyroam Profile auf Linux Geräten ====		==== Installation der easyroam Profile auf Linux Geräten ====

certificates

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-07-08T12:33:28+00:00

2026/03/05 12:58		aktuell
Zeile 5:		Zeile 5:
	Bei der SAML-basierten Kommunikation zwischen IdP und SP werden Zertifikate zur Signatur-Validierung sowie zum Verschlüsseln eingesetzt. Diese Zertifikate müssen für die betreffende Entity in der [[de:metadata_admin_tool\|Metadatenverwaltung]] eingetragen werden.		Bei der SAML-basierten Kommunikation zwischen IdP und SP werden Zertifikate zur Signatur-Validierung sowie zum Verschlüsseln eingesetzt. Diese Zertifikate müssen für die betreffende Entity in der [[de:metadata_admin_tool\|Metadatenverwaltung]] eingetragen werden.

-	Bei unseren Vorgaben bzgl. Signaturalgorithmus und Schlüssellänge richten wir uns nach dem Empfehlungen des BSI ([[https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03116/BSI-TR-03116-4.pdf?__blob=publicationFile&v\|BSI TR-03116]], Kapitel 3).	+	Bei unseren Vorgaben bzgl. Signaturalgorithmus und Schlüssellänge richten wir uns nach dem Empfehlungen des BSI ([[https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03116/BSI-TR-03116-4.pdf?__blob=publicationFile&v\|BSI TR-03116]], Kapitel 3) und der [[https://www.elektronische-vertrauensdienste.de/EVD/DE/Aktuelles/Meldungen/anbieter/RSA2048.html\|Bundesnetzagentur]].
	<callout color="#ff9900" title="Zertifikate müssen gültig sein">		<callout color="#ff9900" title="Zertifikate müssen gültig sein">
	Generell gilt: Entities mit ungültigen, d.h. abgelaufenen oder zurückgezogenen Zertifikaten werden automatisch aus der DFN-AAI Produktivföderation entfernt!		Generell gilt: Entities mit ungültigen, d.h. abgelaufenen oder zurückgezogenen Zertifikaten werden automatisch aus der DFN-AAI Produktivföderation entfernt!

enrollment - [Organisationsvalidierung]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-07-08T08:50:47+00:00

2026/02/12 18:49		aktuell
Zeile 95:		Zeile 95:
	===== Organisationsvalidierung =====		===== Organisationsvalidierung =====

-	Die Re-Validierung einer Organisation wird genau so durchgeführt wie deren Erst-Validierung, auch wenn sich die einzureichenden Dokumente gegenüber der letzten Organisaionsvalidierung nicht geändert haben. Die anstehenden Organisations-Re-Validierungen im Zuge der Umstellung Mitte März 2026 werden sicher eine Weile dauern.	+	Die Re-Validierung einer Organisation wird genau so durchgeführt wie deren Erst-Validierung, auch wenn sich die einzureichenden Dokumente gegenüber der letzten Organisaionsvalidierung nicht geändert haben.

	Auch ohne durchgeführte Organisationsvalidierung können Zertifikate ausgestellt werden. Insbesondere können Sie S/MIME-Zertifikate des Typs ''email-only'' und Serverzertifikate des Typs ''DV'' beziehen. Diese Zertifikattypen erfüllen bereits alle funktionalen Anforderungen für S/MIME oder TLS.		Auch ohne durchgeführte Organisationsvalidierung können Zertifikate ausgestellt werden. Insbesondere können Sie S/MIME-Zertifikate des Typs ''email-only'' und Serverzertifikate des Typs ''DV'' beziehen. Diese Zertifikattypen erfüllen bereits alle funktionalen Anforderungen für S/MIME oder TLS.

entity_attributes_cocov2_checkliste_sp - angelegt

Doreen Liebenau (liebenau@dfn.de@undisclosed.example.com) — 2026-07-02T14:10:23+00:00

2026/07/21 05:19	aktuell
Zeile 1:	Zeile 1:
	+	====== Checkliste für SP-Verantwortliche ======

	+	Basierend auf https://refeds.org/category/code-of-conduct/v2 und [[https://refeds.org/wp-content/uploads/2022/05/REFEDS-CoCo-Best-Practicev2.pdf\|Best Practices]]
	+
	+	===== 1. Grundlagen und Rahmenbedingungen =====
	+
	+	* Pro-Service-Verpflichtung: Die Verpflichtung auf den Code of Conduct (CoC) wird für jeden registrierten Service separat vorgenommen (nicht pauschal für die ganze Organisation).
	+	* Autorisierung: Die Zustimmung zum CoC wurde von einem autorisierten Vertreter (duly authorized representative) des Service Providers formell bestätigt.
	+	* Rollenverständnis: Es ist intern geklärt und dokumentiert, dass der SP als "Data Controller" (Verantwortlicher) oder in Ausnahmefällen als "Data Processor" (Auftragsverarbeiter) für die Endnutzer-Attribute agiert.
	+	* Haftungsfreistellung: Der SP ist sich bewusst, dass er Endnutzende, Home-Organisationen und Attribut-Provider für Schäden schadlos halten muss, die ausschließlich aus einer Verletzung des CoC durch den SP resultieren.
	+
	+	===== 2. Zweckbindung & Datenminimierung (Data Minimization) =====
	+
	+	* Strikte Zweckbindung: Attribute werden ausschließlich dazu verarbeitet, Nutzenden Zugang zum Service zu gewähren und diesen bereitzustellen.
	+	* Nutzungsverbote: Es ist technisch und organisatorisch sichergestellt, dass Daten nicht für abweichende Zwecke (z. B. Datenverkauf, Profiling, unaufgeforderte Werbung) verwendet werden.
	+	* Absolute Minimierung: Es werden nur Attribute angefordert, die für den Dienst adäquat, relevant und nicht exzessiv sind.
	+	* Prüfung der Identifier (Appendix 3):
	+	* Wo möglich, werden pseudonyme Identifier genutzt (z. B. SAML2 PairwiseID, PersistentID).
	+	* Eindeutige/Sprechende Identifier (eduPersonPrincipalName, E-Mail) werden nur angefordert, wenn z. B. ein dienstübergreifendes Account-Matching zwingend erforderlich ist.
	+	* Verbot sensibler Daten: Es werden unter keinen Umständen sensible Daten nach Art. 9 DSGVO angefordert (z. B. ethnische Herkunft, politische Meinung, Gesundheit, sexuelle Orientierung).
	+	* Löschkonzept (Retention Policy): Attribute werden ohne unnötige Verzögerung gelöscht oder anonymisiert, sobald sie für den Service nicht mehr benötigt werden (es sei denn, Ausnahmen wie gesetzliche Aufbewahrungsfristen greifen).
	+
	+	===== Transparenz & Datenschutzerklärung (Privacy Notice) =====
	+
	+	* Bereitstellung vor Login: Die Datenschutzerklärung (Privacy Notice) ist für Nutzende vor dem ersten föderierten Login öffentlich, prägnant und leicht zugänglich.
	+	* Template-Nutzung: Es wird dringend empfohlen, das standardisierte REFEDS Privacy Notice Template zu verwenden.
	+	* Inhalte der Privacy Notice: Die Erklärung enthält zwingend:
	+	* Name, Adresse und Gerichtsbarkeit des SPs sowie Kontakt des Datenschutzbeauftragten (DPO).
	+	* Verarbeitungszweck, Rechtsgrundlage und eine Liste der verarbeiteten Attribute.
	+	* Empfänger der Daten (Dritte) und ggf. Übermittlung in Drittländer.
	+	* Speicherdauer der Daten.
	+	* Nutzerrechte (Auskunft, Berichtigung, Löschung, Beschwerderecht bei einer Aufsichtsbehörde).
	+	* Metadaten-Integration: Ein maschinenlesbarer Link zur Datenschutzerklärung ist in den SAML-Metadaten des SPs hinterlegt.
	+
	+	===== 4. Sicherheit & Meldeprozesse (Security & Breach Management) =====
	+
	+	* Sicherheitsmaßnahmen (TOMs): Es sind angemessene technische und organisatorische Maßnahmen implementiert, die dem Risiko der Datenverarbeitung entsprechen.
	+	* Sirtfi-Compliance: Best Practice: Der SP erfüllt das Sirtfi-Framework (Security Incident Response Trust Framework for Federated Identity) und signalisiert dies in seinen Metadaten.
	+	* Prozess für Datenpannen (Breach Reporting): Es gibt einen definierten Prozess, um Sicherheits- und Datenschutzverletzungen ohne unbegründete Verzögerung zu melden an:
	+	* Die "Home Organization" (über den in den SAML-Metadaten hinterlegten Security-Kontakt).
	+	* Die zuständigen Datenschutzbehörden (falls gesetzlich vorgeschrieben).
	+	* Betroffene Endnutzer (falls das Risiko entsprechend hoch ist).
	+
	+	===== 5. Datenweitergabe & Drittländer (Transfers) =====
	+
	+	* Weitergabe an Dritte: Attribute werden nicht an Dritte (z. B. Partner, andere Institute) weitergegeben, es sei denn:
	+	* Es existiert ein Auftragsverarbeitungsvertrag (AVV / Data Processing Agreement), ODER
	+	* Der Dritte hat sich selbst dem REFEDS CoC unterworfen, ODER
	+	* Es liegt eine DSGVO-konforme, ausdrückliche Einwilligung des Nutzers vor.
	+	* Drittland-Transfers (außerhalb EWR): Findet eine Datenübertragung in ein Land ohne EU-Angemessenheitsbeschluss statt, sind geeignete Garantien implementiert (z. B. Standardvertragsklauseln - SCCs, Binding Corporate Rules oder Ausnahmeregelungen nach Art. 49 DSGVO).
	+	* Einwilligungen (Consent): Falls Nutzer-Einwilligungen als Rechtsgrundlage eingeholt werden, sind diese freiwillig, spezifisch, informiert, eindeutig, dokumentiert und jederzeit widerrufbar.

dfn-verein_community_pki_cps.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-22T05:53:09+00:00

1685720758	aktuell

dfn-verein_community-pki_cps_v2_redline.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T16:21:07+00:00

1781799255	aktuell

dfn-verein_community-pki_cps_v2.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T16:21:07+00:00

1781799255	aktuell

mdv_föderationen.png - angelegt

Doreen Liebenau (liebenau@dfn.de@undisclosed.example.com) — 2026-05-20T14:00:09+00:00

	aktuell

2026-01-22-automatisierung.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-02-12T16:23:35+00:00

1769180037	aktuell

screenshot_2025-11-07_134745.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:14:00+00:00

	aktuell

screenshot_2025-11-07_134716.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:08:06+00:00

	aktuell

screenshot_2025-11-07_134616.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:03:26+00:00

	aktuell

screenshot_2025-11-07_134502.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T08:59:37+00:00

	aktuell

screenshot_2025-11-07_134317.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T08:49:13+00:00

	aktuell

2026/07/15 11:55		aktuell
Zeile 47:		Zeile 47:
	\| urn:geant:dfn.de:uni-augsburg.de \| Namensraum für das Berechtigungsmanagement der Universität Augsburg \| 26.05.2021 \| Maria Schmaus \\ (maria.schmaus@rz.uni-augsburg.de) \|		\| urn:geant:dfn.de:uni-augsburg.de \| Namensraum für das Berechtigungsmanagement der Universität Augsburg \| 26.05.2021 \| Maria Schmaus \\ (maria.schmaus@rz.uni-augsburg.de) \|
	\| urn:geant:dfn.de:uni-bielefeld.de \| Namensraum für das Berechtigungsmanagement der Universität Bielefeld \| 04.03.2024 \| IDM-Team BITS \\ (idm-admin@uni-bielefeld.de) \|		\| urn:geant:dfn.de:uni-bielefeld.de \| Namensraum für das Berechtigungsmanagement der Universität Bielefeld \| 04.03.2024 \| IDM-Team BITS \\ (idm-admin@uni-bielefeld.de) \|
		+	\| urn:geant:dfn.de:uni-bonn.de \| Namensraum für das Berechtigungsmanagement der Universität Bonn \| 20.07.2026 \| Arthur Lackner \\ (idm@uni-bonn.de) \|
	\| urn:geant:dfn.de:uni-duisburg-essen.de \\ urn:geant:dfn.de:uni-due.de \| Namensraum für das Berechtigungsmanagement der Universität Duisburg-Essen \| 29.07.2025 \| IDM-Team Uni Duisburg-Essen \\ idm.technik@uni-due.de \|		\| urn:geant:dfn.de:uni-duisburg-essen.de \\ urn:geant:dfn.de:uni-due.de \| Namensraum für das Berechtigungsmanagement der Universität Duisburg-Essen \| 29.07.2025 \| IDM-Team Uni Duisburg-Essen \\ idm.technik@uni-due.de \|
	\| urn:geant:dfn.de:uni-freiburg.de \| \| 03.04.2008 \| Bernd Oberknapp \\ (bo@ub.uni-freiburg.de) \|		\| urn:geant:dfn.de:uni-freiburg.de \| \| 03.04.2008 \| Bernd Oberknapp \\ (bo@ub.uni-freiburg.de) \|

2026/04/28 13:30		aktuell
Zeile 23:		Zeile 23:
	Weiterentwicklung des Dienstes auf technischer, organisatorischer und rechtlicher Ebene:		Weiterentwicklung des Dienstes auf technischer, organisatorischer und rechtlicher Ebene:
	* Regelmäßige Konsultationen mit der [[https://recht.dfn.de\|Forschungsstelle Recht im DFN]]		* Regelmäßige Konsultationen mit der [[https://recht.dfn.de\|Forschungsstelle Recht im DFN]]
-	* Unterstützung neuer Technologien und Standards wie [[https://openid.net/connect/\|OpenID Connect]], Mitgliedschaft in der [[https://openid.net/foundation/\|OpenID Foundation]], Mitarbeit in der [[https://openid.net/wg/rande/\|Research & Education Working Group]]	+	* Unterstützung neuer Technologien und Standards wie [[de:shibidp:oidc-proxy\|OpenID Connect]], Mitgliedschaft im [[https://www.orcid-de.org/home\|ORCID DE Konsortium]], Mitarbeit in der [[https://openid.net/wg/rande/\|Research & Education Working Group]]
	* Erweiterung des Dienstportfolios, z.B. [[de:aai:eduid\|edu-ID]]		* Erweiterung des Dienstportfolios, z.B. [[de:aai:eduid\|edu-ID]]
	* Evaluierung neuer Ansätze zur Erhöhung des Vertrauensniveaus in der DFN-AAI, Einführung des [[https://refeds.org/assurance\|REFEDS Assurance Frameworks]]		* Evaluierung neuer Ansätze zur Erhöhung des Vertrauensniveaus in der DFN-AAI, Einführung des [[https://refeds.org/assurance\|REFEDS Assurance Frameworks]]
		+	* Evaluation neuer Technologien, insbesondere in Hinblick auf die EUDI-Wallet

2026/07/08 15:18		aktuell
Zeile 29:		Zeile 29:
	\| [[https://rocket-meals.de\|Rocket Meals]] \| Campus App - Studierende können digitale Leistungen der Studierendenwerke nutzen \| [[https://baumgartner-software.de\|Baumgartner Software UG]] \| info@baumgartner-software.de \| https://rocket-meals.de/homepage/datenschutzerklaerung/ \| sub \|		\| [[https://rocket-meals.de\|Rocket Meals]] \| Campus App - Studierende können digitale Leistungen der Studierendenwerke nutzen \| [[https://baumgartner-software.de\|Baumgartner Software UG]] \| info@baumgartner-software.de \| https://rocket-meals.de/homepage/datenschutzerklaerung/ \| sub \|
	\| [[https://app.edutix.de\|eduTix]] \| Ticket-Shop-System für Bildungs-Events \| IT Media Hof Inh. Jannis Gollwitzer \|support@edutix.de \| https://app.edutix.de/privacy\| sub, family_name, given_name, name, email, schac_home_organization\|		\| [[https://app.edutix.de\|eduTix]] \| Ticket-Shop-System für Bildungs-Events \| IT Media Hof Inh. Jannis Gollwitzer \|support@edutix.de \| https://app.edutix.de/privacy\| sub, family_name, given_name, name, email, schac_home_organization\|
-	\| [[https://www.fairup.dev/de\|FairUp]] \| Event- und Community-Management-Plattform \| FairUp UG (haftungsbeschränkt) \| fred@fairup.dev \| https://www.fairup.events/datenschutz \| sub, email, given_name, family_name, schac_home_organization \|	+	\| [[https://fairup.events\|FairUp]] \| Event- und Community-Management-Plattform \| [[https://fairup.events\|FairUp UG]] (haftungsbeschränkt) \| fred@fairup.dev \| https://www.fairup.events/datenschutz \| sub, email, given_name, family_name, schac_home_organization \|
	\| [[https://app.onetutor.ai\|OneTutor]] \| OneTutor ist eine KI-gestützte Lernplattform, die Lehrende bei der Wissensvermittlung unterstützt. Der digitale Tutor bereitet vorhandene Kursmaterialien auf und stellt sie den Studierenden in interaktiver Form zur Verfügung. So lassen sich Inhalte einfacher vermitteln, die Eigenmotivation steigern und der Lernerfolg nachhaltig sichern. \| [[https://onetutor.ai\|OneTutor GmbH]] \| contact@onetutor.ai \| https://app.onetutor.ai/privacy \| sub, schac_home_organization, organization_name, eduperson_affiliation \|		\| [[https://app.onetutor.ai\|OneTutor]] \| OneTutor ist eine KI-gestützte Lernplattform, die Lehrende bei der Wissensvermittlung unterstützt. Der digitale Tutor bereitet vorhandene Kursmaterialien auf und stellt sie den Studierenden in interaktiver Form zur Verfügung. So lassen sich Inhalte einfacher vermitteln, die Eigenmotivation steigern und der Lernerfolg nachhaltig sichern. \| [[https://onetutor.ai\|OneTutor GmbH]] \| contact@onetutor.ai \| https://app.onetutor.ai/privacy \| sub, schac_home_organization, organization_name, eduperson_affiliation \|
	\| [[https://studentive.de\|studentive]] \| studentive ist eine innovative Matching-Plattform, mit der Du ganz einfach passende Praktika, Nebenjobs, Abschlussarbeiten und Berufseinstiege in Deiner Region findest. Dank smarter KI bekommst Du Vorschläge, die genau zu Deinen Interessen und Deinem Studienschwerpunkt passen. \| [[https://pancodium.de/\|Pancodium GmbH]] \| info@pancodium.de \| https://studentive.de/datenschutz/ \| sub, family_name, given_name, email, eduperson_affiliation \|		\| [[https://studentive.de\|studentive]] \| studentive ist eine innovative Matching-Plattform, mit der Du ganz einfach passende Praktika, Nebenjobs, Abschlussarbeiten und Berufseinstiege in Deiner Region findest. Dank smarter KI bekommst Du Vorschläge, die genau zu Deinen Interessen und Deinem Studienschwerpunkt passen. \| [[https://pancodium.de/\|Pancodium GmbH]] \| info@pancodium.de \| https://studentive.de/datenschutz/ \| sub, family_name, given_name, email, eduperson_affiliation \|