Elektronische Signatur
Ein Buch mit sieben Siegeln?
Vielen Verbrauchern, aber auch Unternehmen, ist die Funktionsweise der verschiedenen elektronischen Signaturen und ihre Beweiskraft oft nicht klar. Ingolf Rauh von Swisscom Trust Services unternimmt eine Begriffsbestimmung.
Aktuell erleben wir eine Phase der beschleunigten Digitalisierung und es dürfte kaum ein Unternehmen geben, das nicht dabei ist, seine Geschäftsprozesse, Angebote oder Dienstleistungen zu digitalisieren. Da viele Prozesse eine Willensbekundung mittels Unterschrift bedürfen, führt beim konsequenten Digitalisieren kein Weg am Thema elektronische Signatur vorbei. Unternehmen sind dann mit der Tatsache konfrontiert, dass zwischen drei Typen von Signaturen unterschieden wird, sowohl in der Praxis als auch von Seiten des Gesetzgebers:
- Die einfache elektronische Signatur oder „Simple Electronic Signature (SES)“
- Die fortgeschrittene elektronische Signatur (FES) oder „Advanced Electronic Signature (AES)“
- Die qualifizierte elektronische Signatur oder „Qualified Electronic Signature (QES)“
Die drängendsten Fragen für Unternehmen sind dabei: „Wie verhält sich die Beweiskraft der Signaturen untereinander und im Vergleich zu einer Unterschrift auf Papier?“ und „Welcher Aufwand ist nötig, um welches Verfahren nutzen zu können?“
Wir alle signieren elektronisch – oft unbewusst
Eine einfache elektronische Signatur wird im Gesetz definiert als „Daten in elektronischer Form, die anderen Daten beigefügt werden, logisch verknüpft sind und zur Authentifizierung dienen“. Anforderungen an diesen Typ sind keine weiteren gestellt und so ist jede denkbare Ausprägung möglich: Am häufigsten verwenden wir sie bereits, wenn wir eine E-Mail schreiben: „Mit freundlichen Grüßen – Hans Mustermann“ steht da als Grußformel, verknüpft mit dem Rest des Dokumentes und als Ausdruck, dass diese E-Mail tatsächlich von Hans Mustermann stammt.
Es gibt auch die Variante mit einem eingescannten Bild der Unterschrift. Doch auch das lässt sich kopieren. E-Mails mit Betrugsabsicht, in denen sich Kriminelle als Freunde oder Angehörige renommierter Unternehmen ausgeben, hat vermutlich jeder schon einmal erhalten. Warum nutzen wir derartige Signaturen trotz der hohen Fälschungsanfälligkeit immer noch im geschäftlichen Kontext? Weil es sich um Geschäfte oder Verträge handelt, die noch anderweitig untermauert werden. Beispielsweise zahlen wir bei einem Mobilfunkvertrag schnell die erste Rate und bekräftigen damit den Kauf- oder Dienstleistungsvertrag. Danach zu behaupten, diesen Vertrag nicht zu kennen oder nie unterzeichnet zu haben, würde auch vor Gericht schwierig werden.
Wie entsteht Authentizität?
Authentizität (also die Feststellung, wer tatsächlich unterzeichnet hat ) und Integrität (die Unveränderbarkeit eines Dokumentes) sind im elektronischen Kontext wichtige Zusätze zu einer Signatur. Das versucht die fortgeschrittene elektronische Signatur zu lösen. Sie ist weltweit in vielen Gesetzen wie folgt definiert:
- Ausschließlich dem Inhaber eines Authentisierungsschlüssels zugeordnet
- Identifizierung des Inhabers muss möglich sein
- Erstellt unter Verwendung elektronischer Signaturerstellungsdaten, die der Unterzeichner mit einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle verwenden kann
- Verknüpfung mit Daten in einer Weise, dass nachträgliche Änderungen erkannt werden können
Der erste Punkt adressiert die Eindeutigkeit: Da es weltweit keine Regelungen gibt, versucht jeder Vertrauensdienstleister, der solche Signaturen herausgibt, seine eigene eindeutige Zählung in der Hoffnung, dass diese nicht noch einmal in der Welt vorkommt. Der zweite Punkt ist gravierender: Wie die Identifikation des Inhabers stattfindet, interpretiert jeder Herausgeber etwas anders. Einige setzen darauf, dass eine E-Mail bestätigt ist, andere gehen soweit, Ausweisdaten zu verlangen, wieder andere verlassen sich auf eine Selbstdeklaration und die E-Maildomäne einer großen Firma. Auch das „hohe Maß an Vertrauen“ lässt viel Spielraum zu – reicht da eine Ein-Faktor Authentisierung? Wie komplex muss diese sein? Erschwerend kommt dazu, dass bei einem gestohlenen Zugang ein Unterschriftenzertifikat nicht widerrufen werden kann. Vertrauensdienste sind nicht gesetzlich verpflichtet, eine derartige Möglichkeit anzubieten und ein Unterzeichner mit einem gestohlenen Zugang könnte weiterhin unter falscher Identität signieren.
- Ein Buch mit sieben Siegeln?
- Gerichtlich akzeptiert heißt nicht gleich rechtssicher
Lesen Sie mehr zum Thema
