Was sind qualifiziert elektronische Signaturen?

Eine Signatur (Unterschrift) dient dazu, ein Dokument dem Signator (Unterzeichner) zuzuordnen. Signaturen als Zeichen der Bestätigung bzw. des Einverständnisses sind tägliche Begleiteter in der Geschäftswelt wie im Privaten und aus unseren Leben seit vielen hundert Jahren nicht wegzudenken. Vor wenigen Jahren stritt man noch, ob der Scan einer händischen Unterschrift, dem Schriftformerfordernis genügt. Seit der eIDAS-Verordnung gilt das nur für Qualifiziert Elektronische Signaturen. Aber was sind qualifiziert elektronische Signaturen?

Was sind elektronische Signaturen?

Die elektronische Signatur stellt sozusagen das digitale Pendant zur eigenhändigen Unterschrift dar. Sie gilt als Zeichen der Willenserklärung in digitaler Form. Verfahren für elektronische Signaturen gibt es seit den Frühren Nullerjahren. Mittlerweile haben sie sich im Geschäftsleben etabliert. In den allermeisten Ländern sind qualifiziert elektronische Signaturen den handschriftlichen Unterschriften gleichgestellt. In Europa ist die eIDAS-Verordnung die zentrale Norm. Es gibt verschiedne Formen von elektronischen Signaturverfahren. Dabei haben nur qualifiziert elektronische Signaturen denselben Status wie händische Unterschriften.

Varianten von elektronischen Signaturen

Gemäß der eIDAS-Verordnung ist eine elektronische Signatur definiert als: „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet.“ Die eIDAS-Verordnung unterscheidet weiter zwischen drei Stufen von digitalen Signaturen. Diese werden auf jeder Stufe sicherer. Einzig qualifiziert elektronische Signaturen sind der handschriftlichen Unterschrift auf Papier gleichgestellt.

Die Einfache Elektronische Signatur | Simple Electronic Signature (SES)

Die simpelste Form der der elektronischen Unterschrift ist dabei die Einfache Elektronische Signatur (SES). Obwohl dieser Begriff in der eIDAS-Verordnung selbst nicht erwähnt wird, hat er sich in der Praxis durchgesetzt. Er ist im Grunde ein Sammelbegriff, der alle elektronischen Namenszüge erfasst, die kein fortgeschrittenes oder qualifiziertes Niveau haben. Bereits der getippte Name (zB in der Mail-Signatur) gilt dabei als SES.

Die Fortgeschrittene Elektronische Signatur | Advanced Electronic Signature (AES)

Weitaus höher sind die Anforderungen an eine Fortgeschrittene Elektronische Signatur (AES). Eine AES erfüllt alle folgenden Anforderungen:

• Sie ist eindeutig dem Unterzeichner zugeordnet (Private Key).
• Sie ermöglicht die Identifizierung des Unterzeichners.
• Die verwendeten Signaturerstellungsdaten befinden sich unter der alleinigen Kontrolle des Unterzeichners.
• Sie ist so mit den auf diese Weise unterzeichneten Daten verbunden, dass eine nachträgliche Veränderung der Daten erkannt werden kann.

Auch technischer Sicht funktioniert die elektronische Signatur dabei mithilfe eines privaten und öffentlichen Schlüssels. Zunächst wird dabei aus dem Dokument ein eindeutiger Hashwert berechnet (der „Fingerabdruck“ des Dokumentes). Der Hashwert wird dabei aus dem Gesamttext errechnet. Er wird üblicherweise als 64-stellige Hexadezimal-Zahl ausgedrückt. Wird das Dokument nachträglich verändert, ändert sich dadurch der Hashwert. Dadurch wird die Signatur ungültig. Der Hashwert wird mit einem privaten Schlüssel (Private Key) verschlüsselt und in den Metadaten des Dokuments gespeichert. Mittels öffentlichen Schlüssel des Unterzeichners (Public Key) kann der Hashwert aus den Metadaten auslesen werden.

Aus dem empfangenen Dokument kann der Hashwert erneut gebildet werden. Eine Gültigkeit der Signaturen ist nur gegeben, wenn der erhaltene Hashwert aus den Metadaten mit dem erneut berechneten Hashwert übereinstimmt. In diesem Fall kann man davon ausgehen, dass die Identität des Absenders und die Integrität der erhaltenen Informationen gewährleistet sind. Stimmend die Hashwerte nicht überein, so wird ein Fehler gemeldet. In diesem Fall ist die Sicherheit des Vorgangs nicht gegeben.

Die Qualifiziert Elektronische Signatur | Qualified Electronic Signature (QES)

Die Qualifiziert Elektronische Signatur (QES) ist die sicherste Art der elektronischen Signatur. Sie besitzt alle Eigenschaften einer AES und funktioniert technisch gleich. Zusätzlich zu den Anforderungen an eine AES wird sie von einer qualifizierten Signaturerstellungseinheit erstellt und basiert auf einem qualifizierten Zertifikat für elektronische Signaturen. Ein qualifiziertes Zertifikat darf nur von qualifizierte Vertrauensdiensteanbieter (QTSP) ausgestellt werden. Um ein QTSP zu werden, muss ein Dienstanbieter strenge, von den zuständigen Behörden festgelegte Kriterien erfüllen. 

Fazit: Was bringt eine qualifiziert elektronische Signatur?

Eine QES erfüllt daher im Wesentliche zwei Funktionen. Sie garantiert, dass Dokumente nicht nachträglich verändert werden („Integrität„). Und es werde Daten einer bestimmten Person zugeordnet („Authentizität„). Den nur diese Person verfügt über den Private Key. Die Ausgabe von qualifizierten Zertifikaten und die Kontrolle durch Behörden, stellt zudem sicher, dass die Signaturzertifikate zuverlässig funktionieren.

Weiteres zu den Vorteilen von digitalen Signaturen in Kürze in unserem Blog.