Elektronische Signaturen - ein Crashkurs

Was ist der Unterschied zwischen einer elektronischen Signatur und einer digitalen Signatur?

Die beiden Begriffe sind eng miteinander verbunden und werden oft synonym verwendet. Der Begriff elektronische Signatur ist ein juristischer Begriff und kann eine handschriftliche Unterschrift ersetzen, z. B. um einen Vertrag zu unterzeichnen. Im Gegensatz zu einer Handunterschrift hat eine elektronische Signatur kein visuelles Erscheinungsbild. Sie besteht aus einem Satz elektronischer Daten, die es ermöglichen, dass andere Daten, wie z. B. ein PDF, überprüfbar und authentifizierbar sind.

Eine digitale Signatur hingegen bezieht sich auf einen kryptografischen Prozess der Erstellung einer elektronischen Signatur unter Verwendung eines geheimen Signaturschlüssels. Mit Hilfe des zugehörigen öffentlichen Schlüssels kann der Empfänger des signierten Dokuments eine Signaturprüfung durchführen.

Bitte beachten Sie, dass es länderspezifische Unterschiede in der Übersetzung und Auslegung dieser Begriffe gibt.

Welche Arten von Signaturen werden in der Praxis verwendet?

Für eine einfache elektronische Signatur (SES) ist ein auf beliebige Weise erstellter geheimer Schlüssel ausreichend. Zu diesem Zweck kann zum Beispiel ein selbstsigniertes Zertifikat verwendet werden. Selbstsigniert bedeutet, dass der Aussteller, der Legitimationsprüfer und der Eigentümer ein und dieselbe Person sind.

Die fortgeschrittene elektronische Signatur (AES) authentifiziert den Unterzeichner und gewährleistet die Integrität eines Dokuments. Sie ist nicht mit einer handschriftlichen Unterschrift gleichzusetzen und eignet sich besonders für die Unterzeichnung digitaler Dokumente, bei denen die gesetzlichen Vorschriften keine qualifizierte elektronische Signatur (QES) vorschreiben. Beispiele hierfür sind automatisierte Massensignaturen von Quittungen, Kontoauszügen oder anderen Geschäftsdokumenten.

Ein AES wird in der Regel mit einem fortgeschrittenen Zertifikat erstellt, das auf eine natürliche oder juristische Person ausgestellt ist. Fortgeschritten bedeutet, dass es von einer gesetzlich anerkannten Zertifizierungsstelle (CA) ausgestellt wurde, bei der sich der Unterzeichner einmalig authentifizieren muss. Der Zugriff auf das Zertifikat und damit auf die Erstellung der Signatur ist durch ein Passwort oder eine PIN geschützt.

Die qualifizierte elektronische Signatur (QES) muss im Vergleich zur AES zusätzliche formale Anforderungen erfüllen, da sie in vielen Ländern der Handunterschrift gleichgestellt und damit rechtsverbindlich ist, z.B. in der Schweiz, der EU, den USA. Der "Inhaber" ist immer eine natürliche Person. Das Signaturzertifikat einer QES muss ebenfalls von einer staatlich anerkannten CA ausgestellt sein.

Qualifizierte Zertifikate müssen in der Regel physisch geliefert werden (SmartCard, USB-Stick, HSM). Anders als beim AES muss beim QES für jede einzelne Signatur das Passwort oder die PIN eingegeben werden. Damit wird sichergestellt, dass eine Signatur auch wirklich von ihrem Inhaber stammt. Bei einer qualifizierten Signatur kann anhand eines Zeitstempels überprüft werden, ob das Zertifikat zum Zeitpunkt der Erstellung gültig bzw. nicht widerrufen war - bei einem AES ist dies optional.

Nicht obligatorisch, aber empfehlenswert ist es, auch einen Zeitstempel mit QES zu versehen. Dies erhöht den Wert bzw. die Beweiskraft der Signatur.

Wozu dient eine elektronische Signatur?

Um eine handschriftliche Unterschrift zu ersetzen. Die elektronische Unterschrift kann das Erfordernis einer handschriftlichen Unterschrift in gleicher Weise erfüllen wie die handschriftliche Unterschrift selbst, sofern die gesetzlichen Anforderungen erfüllt sind (siehe Frage 2).

Die Verwendung einer digitalen Signatur hilft, Zeit und Ressourcen zu sparen. Zum einen ist die physische Anwesenheit des Unterzeichners nicht erforderlich. Zum anderen muss das Dokument nicht eigens zum Unterschreiben ausgedruckt werden.

Vorgänge, bei denen viele Dokumente zu unterschreiben sind oder die Unterzeichner sich an verschiedenen Orten befinden, können viel Zeit und Portokosten in Anspruch nehmen. Mit digitalen Signaturen geht das viel schneller und kostengünstiger.

Warum werden Dokumente elektronisch signiert?

Elektronische Signaturen haben eine "Siegelwirkung" für digitale Dokumente. Sie bieten die Möglichkeit, die Authentizität des Unterzeichners und die Integrität des Dokuments sowie ggf. den Zeitpunkt der Unterzeichnung zu überprüfen. Authentizität bedeutet, dass eine Unterschrift eindeutig einer Person zugeordnet werden kann. Ein Dokument gilt als integer, wenn es nicht nachträglich verändert wurde. Anhand der elektronischen Signatur kann also nachvollzogen werden, wer ein Dokument erstellt, zuletzt bearbeitet oder ins Archiv gegeben hat und dass es seither nicht verändert wurde.

Wie prüft man eine digitale Signatur?

Grundsätzlich wird diese Aufgabe von einer Signaturprüfsoftware, z.B. 3-Heights® PDF Security, übernommen. Die Integrität des Dokuments ist gewährleistet, wenn die Signatur nicht gebrochen wird. Dazu werden ein öffentlicher Schlüssel und ein kryptographisches Verfahren verwendet, ähnlich wie bei der Erstellung der Signatur. Um die Authentizität zu prüfen, werden die Gültigkeit des Zertifikats und eine Vertrauenskettenprüfung durchgeführt. Die Software prüft auch, ob das Zertifikat zum Zeitpunkt der Signatur gültig war.

Wie "merkt" die Unterschrift, dass das Dokument nachträglich geändert wurde?

Wie beim Signieren wird bei der Überprüfung ein Hash-Wert aus dem Inhalt des Dokuments berechnet. Der Hash-Wert ist eine Art "Summe der Ziffern" des Dokuments, aber es ist nicht möglich, daraus auf den Inhalt zu schließen. Jede Änderung des Dokuments verändert den Hashwert erheblich. Der Hashwert des Dokuments wird in der Signatur gespeichert. Wird das Dokument geändert, stimmen die Hashwerte nicht mehr überein. Dadurch wird die Signatur gebrochen.