Grundlagen elektronischer Signatur
Hintergrundwissen

Elektronische Signatur

Was ist eine elektronische Signatur?

Mit der zunehmenden Verbreitung und Akzeptanz des Internets ist es notwendig geworden, ein elektronisches Äquivalent zur manuellen Unterschrift zu schaffen. Viele Vorgänge, die man schnell und rechtsverbindlich online erledigen würde, sind derzeit sehr eingeschränkt und meistens nur zu Lasten des Kunden möglich.

Immer häufiger fällt in diesem Zusammenhang der Begriff "elektronische Signatur". Die elektronische Signatur ist das Werkzeug, welches diesen Problemstellungen begegnet und schon jetzt derartige Geschäftsvorgänge ermöglicht.

Als elektronische Signatur wird die Verknüpfung von elektronischen Daten mit einem privaten (personifizierten) Schlüssel bezeichnet. Dadurch wird die Identität des Signierenden und die Integrität der signierten Daten gewährleistet. Die Gewährleistung dieser Eigenschaften beruht auf einem komplexen mathematischen Verfahren, das im Abschnitt "Funktionsweise" erläutert wird.

Wofür braucht man elektronische Signaturen?

Beim Datenaustausch über anonyme Netzwerke (wie z.B. das Internet) kann die Situation entstehen, dass sich die an einer elektronischen Transaktion beteiligten Kommunikationspartner nicht kennen. In diesem Fall können diese sich nicht sicher sein, dass der jeweilige Partner auch tatsächlich die Person ist, für die er sich ausgibt.

Ebenfalls ist nicht sichergestellt, dass die zwischen den Kommunikationspartnern übertragenen Daten beim Empfänger in der Form ankommen, in der sie vom Sender verschickt worden sind. Solange die Kommunikationspartner kein Vertrauen ineinander haben, sind rechtsverbindliche Geschäftsabschlüsse auf elektronischem Wege nicht oder nur sehr eingeschränkt möglich.

Dieses Problem gilt nicht nur für den Geschäftsverkehr, sondern ist auch auf den öffentlich-rechtlichen Bereich übertragbar. Hier hilft Ihnen die elektronische Signatur weiter. Sie ist das elektronische Äquivalent einer eigenhändigen Unterschrift und garantiert die Identität eines jeden Anwenders. Sie ermöglicht darüber hinaus die sichere Authentifizierung aller an einer elektronischen Transaktion beteiligten Kommunikationspartner.

Zusätzlich kann mit Hilfe der elektronischen Signatur auch die Integrität der übertragenen Daten garantiert werden, da etwaige Datenmanipulationen für die Kommunikationspartner ersichtlich werden.

Wofür können elektronische Signaturen eingesetzt werden?

Die elektronische Signatur ist die Grundvoraussetzung für den elektronischen Geschäftsverkehr. Im wirtschaftlichen Bereich sind dies nicht nur Warenbestellungen, Auftragserteilungen, elektronische Zahlungsüberweisungen, Übermittlung von Handelsdokumenten und Steuerdaten sowie sonstige Geschäftsprozesse, sondern auch die Archivierung von Daten und Informationsverbreitung. Verträge werden elektronisch geschlossen.

Aber auch in der öffentlichen Verwaltung spielt die Vertrauenswürdigkeit und Sicherheit, und damit die elektronische Signatur, eine besondere Rolle. Transaktionen der öffentlichen Verwaltung zum Bürger und zur Wirtschaft können elektronisch getätigt werden; interne und externe Verwaltungsvorgänge und Verwaltungsleistungen können durchgehend elektronisch und damit ohne Medienbruch erfolgen (E-Government).

Im Bankenbereich soll die elektronische Signatur den Zahlungsverkehr absichern. Dies umfasst die Beziehung zwischen der Bank und den Kunden sowie den Geldinstituten untereinander.

Auch im Gesundheitswesen werden hoch vertrauliche Informationen behandelt. Patientenkarteien, Kranken- und Laborberichte, Diagnosen und Ausweise (Notfall-, Dialyse- und sonstige Ausweise müssen sicher verwahrt werden. Die gesamte medizinische Kommunikation, auch Abrechnungen und Rezepte, bedürfen des Einsatzes der elektronischen Signatur.

Wie funktioniert die elektronische Signatur?

Auch wenn die Funktionsweise der elektronischen Signatur recht komplex wirkt, von den nachfolgend beschriebenen mathematischen Verfahren bekommen Sie im täglichen, operativen Umgang mit der elektronischen Signatur nicht sehr viel mit. Die komplexen Prozesse werden vollständig durch spezielle Softwarekomponenten abgedeckt.

Das technische Verfahren der elektronischen Signatur basiert auf der Verwendung zweier unterschiedlicher elektronischer Schlüssel (Public Key-Konzept). Jedes Schlüsselpaar besteht dabei aus einem privaten Schlüssel (Private Key) und einem korrespondierenden öffentlichen Schlüssel (Public Key). Beide Schlüssel sind zwar voneinander abhängig, können jedoch getrennt voneinander genutzt werden.

Jedes einzelne Schlüsselpaar identifiziert eindeutig einen Eigentümer. Ein Eigentümer kann beispielsweise eine natürliche Person, aber auch eine technische Komponente (z.B. Server) oder eine E-Mail-Adresse sein. Der bei der Erstellung des Schlüsselpaares verwendete mathematische Algorithmus von Rivest, Shamir und Adleman (RSA-Algorithmus) stellt sicher, dass der private Schlüssel auch dann nicht berechnet werden kann, wenn der korrespondierende öffentliche Schlüssel bekannt ist.

Mit dem privaten Schlüssel können elektronische Inhalte (z.B. eine E-Mail oder ein Bestellvorgang) elektronisch unterschrieben (signiert) werden. Dazu wird von dem zu signierenden elektronischen Dokument mittels einer speziellen mathematischen Funktion (Hashfunktion) ein individueller "Fingerabdruck" ermittelt. Bei unverändertem Inhalt des Dokumentes führt die Hashwert-Berechnung immer zum selben Ergebnis.

Der so errechnete Hashwert wird mit Hilfe des privaten Schlüssels des Absenders verschlüsselt und dann zusammen mit dem Zertifikat des Absenders und dem Ursprungsdokument verbunden. Diese Komponenten bilden gemeinsam das elektronisch unterschriebene Dokument. Das Zertifikat des Absenders enthält u. a. Angaben zur Person (Name, Adresse etc.) und seinen öffentlichen Schlüssel.

Will der Empfänger die Signatur eines elektronisch signierten Dokumentes prüfen, benötigt er den mitgelieferten öffentlichen Schlüssel des Absenders. Mit diesem wird die verschlüsselte Prüfsumme entschlüsselt. Aus dem elektronischen Ursprungsdokument wird unabhängig davon noch einmal ein Hashwert ermittelt. Nun werden beide Hashwerte miteinander verglichen. Stimmen sie nicht überein, ist das vorliegende Dokument (z. B. durch Manipulation Dritter während des Transportes) definitiv verändert worden.

Das RSA-Verfahren ist nach heutigem Stand sicher. Es gibt bislang nur eine theoretische Möglichkeit, einen privaten Schlüssel aus einem öffentlichen Schlüssel zu errechnen und damit das Verfahren zu unterlaufen. Selbst bei der Bündelung der Rechenleistung aller weltweit verfügbaren Computersysteme würde die Errechnung eines einzelnen privaten Schlüssels jedoch mehrere Jahre dauern.

Um auch zukünftig maximalen Schutz bieten zu können, kann die Schlüssellänge variabel erhöht werden. Derzeit gebräuchlich und sicher sind Schlüssel mit einer Länge von 2048 Bit.

Wie funktioniert die elektronische Signatur im Detail?

1. Das eigentliche Dokument wird wie gewohnt beispielsweise in MS Outlook erstellt.
2. Wird vor dem Absenden des Dokuments als E-Mail die Funktion "Signieren" ausgewählt, wird von dem eigentlichen Dokument ein "Fingerabdruck", der sogenannte Hashwert erstellt. Hierzu wird ein mathematischer Algorithmus verwendet, der zu einem wiederholbaren, eindeutigen Hashwert führt, der aber nicht umkehrbar ist.
3. Der eben gebildete Hashwert wird mit dem geheimen Schlüssel des Absenders verschlüsselt. Dieser befindet sich auf der Signaturkarte Signtrust Card und verlässt diese in keinem Fall. Die eigentliche Verschlüsselung findet auf dem Chip der Karte statt.
4. Das Ergebnis dieses Vorgangs ist der verschlüsselte Hashwert, der als Signatur bezeichnet wird.
5. Die elektronische Signatur wird zusammen mit dem qualifizierten Signatur-Zertifikat des Absenders, welches auch seinen öffentlichen Schlüssel enthält, als Anhang zum eigentlichen Dokument über das Internet an den Empfänger geschickt. Der Empfänger erhält also das Originaldokument, den verschlüsselten Hashwert und den öffentlichen Schlüssel des Absenders.
6. Der Empfänger wendet auf das Originaldokument den selben mathematischen Algorithmus an, den der Absender auch verwendet hat. Wenn also der Empfänger das selbe Originaldokument hat, das der Absender signiert hat, dann muss sich auch der selbe Hashwert ergeben, der auch der Absender gebildet und in verschlüsselter Form verschickt hat.
7. Die Signatur - der vom Absender mit seinem geheimen Schlüssel verschlüsselte Hashwert - wird beim Empfänger mit dem öffentlichen Schlüssel des Absenders entschlüsselt.
8. Im letzten Schritt muss nun nur noch verglichen werden, ob der gerade beim Empfänger gebildete Hashwert mit dem beim Empfänger entschlüsselten Hashwert übereinstimmt. Ist dies der Fall, dann kann der Empfänger sich darauf verlassen, dass das Originaldokument, nachdem es vom Absender signiert wurde, nicht verändert oder manipuliert wurde.
9. Darüber hinaus kann der Empfänger beim Signtrust Trustcenter online prüfen, wer tatsächlich der Absender der E-Mail ist und ob das qualifizierte Signatur-Zertifikat des Absenders gültig ist oder ob es gesperrt ist.

Was haben Sie von der elektronischen Signatur?

Elektronische Signaturen haben zwei wichtige Eigenschaften: Zum einen sichern sie die Identität des Signierenden und zum anderen die Integrität der zwischen Sender und Empfänger übertragenen elektronischen Daten.

Sie können sich beim Empfang von elektronisch signierten Daten also sicher sein, dass Ihr Kommunikationspartner auch tatsächlich die Person ist, für die er sich ausgibt und dass die zwischen Ihnen und Ihrem Kommunikationspartner übertragenen Daten auf dem Weg durch das Internet nicht verändert worden sind. Jede auch noch so kleine Änderung wird durch das zugrunde liegende technische Verfahren aufgedeckt und für den Empfänger sofort sichtbar gemacht.

Aufgrund dieser Eigenschaften stellen elektronische Signaturen die technische Grundlage für eine sichere und rechtsverbindliche Durchführung von elektronischen Transaktionen dar. Zukünftig hat die qualifizierte elektronische Signatur daher im Rechtsgeschäft die gleiche rechtsverbindliche Wirkung wie die eigenhändige Unterschrift. Dabei ist die elektronische Signatur noch viel genauer und fälschungssicherer als eine manuelle Unterschrift.