Was ist eine digitale Signatur?

In der EU schafft die eIDAS-Verordnung seit 2016 einen verbindlichen Rahmen für die Rechtsgültigkeit digitaler Signaturen. Sie unterscheidet zwischen fortgeschrittenen und qualifizierten elektronischen Signaturen.  

In Deutschland ergänzen weitere Normen die eIDAS, beispielsweise regelt das Vertrauensdienstegesetz die Mitwirkungspflichten von Anbietern digitaler Signaturen.

In den USA sind der E-Sign Act und das Gesetz zur Vereinheitlichung elektronischer Transaktionen (UETA) die zentralen Rechtsgrundlagen. 

Mithilfe von Signaturkarten können Nutzer digitale Signaturen erzeugen. Der Nachteil der Methode: Anwender benötigen ein Kartenlesegerät. Da laut der eIDAS-Verordnung cloudbasierte Signaturlösungen die gleiche Rechtskraft haben und ohne zusätzliche Hardware auskommen, sind sie mittlerweile die Signiermethode der Wahl. Signaturkarten kommen immer seltener zum Einsatz.

Mit einem elektronischen Siegel können juristische Personen Dokumente digital signieren. Anders elektronische Signaturen: Hier unterzeichnen ausschließlich natürliche Personen. Laut eIDAS erfüllt ein elektronisches Siegel nicht die gesetzlich oder vertraglich festgelegte Schriftform. Es kann zwar vor Gericht als Beweismittel verwendet werden, übernimmt ansonsten aber eher die Funktion eines digitalen Firmenstempels. Ein elektronisches Siegel belegt, dass das versendete Dokument vom genannten Absender stammt und nicht verändert wurde.  

Die Public Key Infrastructure ist ein System, um digitale Zertifikate zu erstellen, zu verschlüsseln und zu verteilen. Die Infrastruktur ist die technologische Basis, auf der digitale Signaturen verifiziert werden. 

Ein digitales Zertifikat ist ein Echtheitsnachweis, der die Identität einer Person oder eines Objekts im Internet bestätigt. Bei digitalen Signaturen werden Zertifikate verwendet, um zu bestätigen, dass ein Dokument wirklich vom angegebenen Absender unterzeichnet und nicht manipuliert wurde. Hierzu werden Verschlüsselungen eingesetzt und private sowie öffentliche Schlüsselpaare abgeglichen. Da Zertifikate nur von staatlich anerkannten Vertrauensdienste-Anbietern ausgestellt werden, sind die Prüfergebnisse der Zertifikate verlässlich.  

Das Erstellen einer digitalen Signatur ist relativ einfach. Zunächst benötigen Sie eine Software für digitale Signaturen, die mit kryptografischen Richtlinien und Standards konform ist und ein digitales Zertifikat bereitstellt. Dann müssen Sie einen Identitätsnachweis erbringen, z. B. einen Personalausweis oder andere Dokumente. Sobald diese Schritte abgeschlossen sind, generiert die Software für digitale Signaturen einen digitalen Schlüssel, mit dem Sie Dokumente elektronisch signieren können. Dieser digitale Schlüssel bescheinigt, dass das Dokument nicht manipuliert wurde, und ermöglicht es dem Empfänger des Dokuments, die digitale Signatur zu validieren.

Eine Zertifizierungsstelle (CA) ist eine Einrichtung, die digitale Zertifikate ausstellt. Digitale Zertifikate sind digitale Dokumente, die mit Hilfe digitaler Signaturen die Authentizität einer Online-Identität, wie z.B. einer Website-Adresse, nachweisen. Ursprünglich wurden sie von Regierungen und Banken im Rahmen von digitalen Unterschriftssystemen ausgestellt. Inzwischen werden digitale Zertifikate auch von vielen anderen Unternehmen, darunter Firmen und Bildungseinrichtungen, zur Authentifizierung digitaler Identitäten verwendet. CAs müssen ein hohes Maß an Vertrauen aufrechterhalten, um ihren Kunden zu versichern, dass die von ihnen ausgestellten digitalen Zertifikate Personen oder Organisationen korrekt repräsentieren. Aus diesem Grund befolgen CAs in der Regel strenge Best Practices und führen regelmäßige Audits durch, um die Integrität der von ihnen unterstützten digitalen Identitäten sicherzustellen.

Elektronische und digitale Signaturen sind keine austauschbaren Begriffe, da beide unterschiedliche Zwecke und Funktionen haben. Eine elektronische Signatur ist eine digitale Version der handschriftlichen Unterschrift einer Person. Sie soll dem Empfänger die Sicherheit geben, dass sie authentisch ist, bietet aber nicht unbedingt eine Form der Überprüfung oder Garantie, dass der Unterzeichner dem Inhalt des Dokuments zugestimmt hat. Eine digitale Signatur hingegen verwendet Kryptographie, um einen sicheren digitalen Aufdruck zu erzeugen – in der Regel in Form eines Codes -, der eine viel stärkere Bestätigung ermöglicht und sowohl die Identität als auch die Autorisierung nachweist. Digitale Signaturen werden für hochsensible Dokumente verwendet, die sehr gründliche Authentifizierungsverfahren erforde

Elektronische Signaturen haben sich in den letzten Jahren in vielen Unternehmen durchgesetzt. Vereinfacht ausgedrückt ist die einfache elektronische Signatur (EN. Simple Electronic Signature, Kurzform: SES) eine Möglichkeit, ein beliebiges Dokument zu unterschreiben.
Digitale Signaturen sind eine Weiterentwicklung des Konzepts der elektronischen Signatur. Die digitale Signatur erfordert eine technische Implementierung und zielt darauf ab, den Unterzeichner sicher mit dem Dokument zu verknüpfen. Jeder Versuch, dies zu ändern, sollte erkennbar sein.

Für digitale Signaturen gibt es strenge Vorschriften. In Europa ist dies in den eIDAS-Verordnungen von 2014 geregelt (die im Juli 2016 in Kraft traten). Im Vereinigten Königreich legen die 2016 erlassenen Vorschriften für elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen die Standards fest.

Eine digitale Signatur versichert den Vertragspartnern, dass es sich beim zu unterzeichnenden Dokument um ein authentisches Dokument handelt, es aus einer verifizierten Quelle stammt und dass die Identität des Unterzeichners von einer vertrauenswürdigen Zertifizierungsstelle beglaubigt wurde. Außerdem schließt die digitale Signatur aus, dass Inhalte des Dokuments nach der Unterzeichnung geändert oder manipuliert wurden.

In der digitalen Welt bietet sich so die bequeme Möglichkeit, Dokumente elektronisch zu unterschreiben und schnell zu einem Vertragsabschluss zu gelangen. Dabei sind digitale Signaturen rechtsgültig und gleichwertig zu einer handschriftlichen Unterschrift. Das stellt seit 2016 die eIDAS Verordnung sicher. Sie regelt in der Europäischen Union den Bereich der elektronischen Identifizierung und ist in allen Mitgliedsländern geltendes Recht.

Eine digitale Signatur wird immer dann verwendet, wenn eine größere Sicherheit für unterzeichnete Dokumente erforderlich ist. Eine einfache elektronische Signatur kann für einfache Verträge oder Bestellungen ausreichen. Wenn mehr Schutz erforderlich ist oder das Dokument einen Wert hat, ist eine digitale Signatur sinnvoller.

Wichtig ist, dass die SES allein aufgrund der Tatsache, dass sie elektronisch ist, rechtlich abgelehnt werden kann. Der Wechsel zu einer digitalen elektronischen Signatur (AES oder QES) hebt diese kritische Einschränkung auf. Wenn eine digitale Signatur korrekt implementiert ist, sind ihre Integrität und Authentizität garantiert und rechtlich anerkannt. Wird bei einer AES die Gültigkeit der Unterschrift angezweifelt, muss der Unterzeichner beweisen, dass sie gültig ist.

Die zusätzliche Sicherheit, die eine QES bietet, verlagert diese Beweislast auf die Partei, die die Gültigkeit anzweifelt. Dies macht eine QES zur Methode der Wahl für die wichtigsten Dokumente, wenn ein Höchstmaß an Rechtssicherheit erforderlich ist. Das IDnow eSign-Add On kann qualifizierte elektronische Signaturen generieren.

Digitale elektronische Signaturen werden in der Regel mit einem Standardformat der Public Key Infrastructure (PKI) umgesetzt. Dabei werden zwei Schlüssel erstellt – ein öffentlicher und ein privater Schlüssel. Die digitale Signatur wird unter Verwendung des privaten Schlüssels des Unterzeichners erstellt, der immer nur vom Unterzeichner aufbewahrt wird.

Der Empfänger des signierten Dokuments erhält auch den öffentlichen Schlüssel. Wenn die Signatur nicht verändert wurde, sollte der Empfänger in der Lage sein, sie mit dem öffentlichen Schlüssel zu entschlüsseln. Wurde sie verändert, kann sie nicht korrekt entschlüsselt werden, und die Signatur kann als ungültig betrachtet werden.

Bei der Entschlüsselung der digitalen Signatur spielt das digitale Zertifikat die entscheidende Rolle. Es dient dazu, zu bestätigen, dass öffentlicher und privater Schlüssel wirklich dem Unterzeichner gehören und nicht einer Person, die sich für ihn ausgibt. Deshalb muss der Empfänger sicher sein können, dass dieses Zertifikat von einer zugelassenen, vertrauenswürdigen Zertifizierungsstelle ausgegeben wurde.