Was sind qualifizierte elektronische Signaturen?

Eine Signatur (Unterschrift) dient dazu, ein Dokument dem:der Signator:in (Unterzeichner:in) zuzuordnen. Signaturen als Zeichen der Bestätigung bzw. des Einverständnisses sind tägliche Begleiter in der Geschäftswelt wie im Privaten und aus unserem Leben seit vielen hundert Jahren nicht wegzudenken. Vor wenigen Jahren stritt man noch, ob der Scan einer händischen Unterschrift dem Schriftformerfordernis genügt. Seit der eIDAS-Verordnung gilt das nur für qualifizierte elektronische Signaturen. Aber was sind qualifizierte elektronische Signaturen?

Was sind elektronische Signaturen?

Die elektronische Signatur stellt sozusagen das digitale Pendant zur eigenhändigen Unterschrift dar. Sie gilt als Zeichen der Willenserklärung in digitaler Form. Verfahren für elektronische Signaturen gibt es seit den frühen Nullerjahren. Mittlerweile haben sie sich im Geschäftsleben etabliert. In den allermeisten Ländern sind qualifizierte elektronische Signaturen den handschriftlichen Unterschriften gleichgestellt. In Europa ist die eIDAS-Verordnung die zentrale Norm. Es gibt verschiedene Formen von elektronischen Signaturverfahren. Dabei haben nur qualifizierte elektronische Signaturen denselben Status wie händische Unterschriften.

Varianten von elektronischen Signaturen

Gemäß der eIDAS-Verordnung ist eine elektronische Signatur definiert als: „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet.“ Die eIDAS-Verordnung unterscheidet weiter zwischen drei Stufen von digitalen Signaturen. Diese werden auf jeder Stufe sicherer. Einzig qualifizierte elektronische Signaturen sind der handschriftlichen Unterschrift auf Papier gleichgestellt.

Die Einfache Elektronische Signatur | Simple Electronic Signature (SES)

Die simpelste Form der elektronischen Unterschrift ist dabei die Einfache Elektronische Signatur (SES). Obwohl dieser Begriff in der eIDAS-Verordnung selbst nicht erwähnt wird, hat er sich in der Praxis durchgesetzt. Er ist im Grunde ein Sammelbegriff, der alle elektronischen Namenszüge erfasst, die kein fortgeschrittenes oder qualifiziertes Niveau haben. Bereits der getippte Name (zB in der Mail-Signatur) gilt dabei als SES.

Die Fortgeschrittene Elektronische Signatur | Advanced Electronic Signature (AES)

Weitaus höher sind die Anforderungen an eine Fortgeschrittene Elektronische Signatur (AES). Eine AES erfüllt alle folgenden Anforderungen:

• Sie ist eindeutig dem:der Unterzeichner:in zugeordnet (Private Key).
• Sie ermöglicht die Identifizierung des:der Unterzeichner:in.
• Die verwendeten Signaturerstellungsdaten befinden sich unter der alleinigen Kontrolle des:der Unterzeichner:in.
• Sie ist so mit den auf diese Weise unterzeichneten Daten verbunden, dass eine nachträgliche Veränderung der Daten erkannt werden kann.

Aus technischer Sicht funktioniert die elektronische Signatur dabei mithilfe eines privaten und öffentlichen Schlüssels. Zunächst wird dabei aus dem Dokument ein eindeutiger Hashwert berechnet (der „Fingerabdruck“ des Dokumentes). Der Hashwert wird dabei aus dem Gesamttext errechnet. Er wird üblicherweise als 64-stellige Hexadezimal-Zahl ausgedrückt. Wird das Dokument nachträglich verändert, ändert sich dadurch der Hashwert. Dadurch wird die Signatur ungültig. Der Hashwert wird mit einem privaten Schlüssel (Private Key) verschlüsselt und in den Metadaten des Dokuments gespeichert. Mittels des öffentlichen Schlüssels des:der Unterzeichner:in (Public Key) kann der Hashwert aus den Metadaten ausgelesen werden.

Aus dem empfangenen Dokument kann der Hashwert erneut gebildet werden. Eine Gültigkeit der Signaturen ist nur gegeben, wenn der erhaltene Hashwert aus den Metadaten mit dem erneut berechneten Hashwert übereinstimmt. In diesem Fall kann man davon ausgehen, dass die Identität des:der Absender:in und die Integrität der erhaltenen Informationen gewährleistet sind. Stimmen die Hashwerte nicht überein, so wird ein Fehler gemeldet. In diesem Fall ist die Sicherheit des Vorgangs nicht gegeben.

Die Qualifizierte Elektronische Signatur | Qualified Electronic Signature (QES)

Die Qualifizierte Elektronische Signatur (QES) ist die sicherste Art der elektronischen Signatur. Sie besitzt alle Eigenschaften einer AES und funktioniert technisch gleich. Zusätzlich zu den Anforderungen an eine AES wird sie von einer qualifizierten Signaturerstellungseinheit erstellt und basiert auf einem qualifizierten Zertifikat für elektronische Signaturen. Ein qualifiziertes Zertifikat darf nur von qualifizierten Vertrauensdiensteanbietern (QTSP) ausgestellt werden. Um ein QTSP zu werden, muss ein Dienstanbieter strenge, von den zuständigen Behörden festgelegte Kriterien erfüllen.

Fazit: Was bringt eine qualifizierte elektronische Signatur?

Eine QES erfüllt daher im Wesentlichen zwei Funktionen. Sie garantiert, dass Dokumente nicht nachträglich verändert werden („Integrität“). Und es werden Daten einer bestimmten Person zugeordnet („Authentizität“). Denn nur diese Person verfügt über den Private Key. Die Ausgabe von qualifizierten Zertifikaten und die Kontrolle durch Behörden stellt zudem sicher, dass die Signaturzertifikate zuverlässig funktionieren.