Digitale Signatur mit HBCI Karte

Ich habe die Antworten direkt eingefügt:


gruesse

Halo Handyman,

ich glaube, Du bringst ein paar Dinge durcheinander.
Weder die Deutsche Bank noch die Sparkassen haben eine "richtige" Signaturkarte am Markt (bei den Sparkassen stimmt dass seit der Omnicard icht mehr 100%ig).
HBCI mit Chipkarte oder Schlüsseldatei arbeitet immer mit einer elektronischen Signatur! Selbst HBCI mit PIN und TAN ist formal eine elektronische Signatur.
D.h. es stellt sich die Frage, was für eine elktronische Signatur erwartest Du?

Die db Signatur Card hat meines Wissens nach eine Fortgeschrittene Signatur mit einer Schlüsslänge von 768 Bit.
Die neue VR-NetWorld Card enthält ebenfalls eine Fortgeschrittene Signatur, im Gegensatz zur db Signatur aber mit 1024 Bit und auf Basis der ZKA Signaturkarte.

Die Akzeptanz dieser Signaturkarten wird derzeit in der Regel bilateral geklärt. D.h. ob diese Signaturkarten akzeptiert werden, kann Dir nur der Dienstleister sagen. Für die Steuererklärung kann die Karte derzeit nicht genutzt werden, obwohl die Anforderungen der Finanzämter derzeit deutlich geringer sind. Hier läuft wohl noch eine Freigabe über dem ZKA.

Gruß

Holger

Hallo, mal wieder direkt hineingeschrieben:
<Was hat der "Deutscher Genossenschaftsverlag" mit Zertifikaten zu tun ?
DGV ist der Kartenherausgeber für die gen. Banken.
<Sind die für die Zertifikate der Volksbanken zuständig ?
Korrekt, dort werden die Karten 'personalisiert' dazu gehört es die Schlüssel und das Zertifikat auf die Karten zu bringen. Den Herausgeber eines Zertifikates nennt man auch 'CA' = certification authority

<Bei Deutscher Bank und Sparkasse funtioniert das mit der Signatur und der Überprüfung der Echtheit doch auch !?
bei der DB handelt es sich um eine fortgeschrittene Signatur, d.h. sie ist 'einzelvertraglich' gültig entspricht aber nicht den Anforderungen aus dem Signaturgesetz (SigG) für eine qualifizierte Signatur
Schau mal dazu bei google, ein Beispiel hier:
http://de.wikipedia.org/wiki/Elektronische_Signatur

Bei den Sparkassen gibt es z.Zt. ebenfalls 'nur' ein Zertifikat für fortgeschrittene Signaturen

<Ich habe schon mitbekommen, daß die Nutzung nicht vorgesehen ist, und mache Banken bzw Teile der Bank, diese Möglichkeit auch liber für sich behalten.
<Aber möglich ist es aber doch.

<Wenn es mit der Karte von DB und Sparkasse möglich ist sollte es doch auch mit der der Volksbank möglich sein, sofern sie eine Dig. Sig enthält.

Grundsätzlich wäre es natürlich möglich. ABER: Zur Prüfung einer elektronischen Signatur benötigt der Akzeptant den öffentlichen Schlüssel des Signierenden.
Entweder kennt der Akzeptant diesen Schlüssel (HBCI Modell) oder er bekommt den öffentlichen Schlüssel in einem Zertifikat vom Signierenden mit jeder Signatur geliefert.
Wie kann der Akzeptant dem Zertifikat trauen ?
Das Zertifikat enthält u.d. den öffentlichen Schlüssel und die Identität des Signierenden.
Das Zertifikat ist von einer vertrauenswürdigen Stelle (CA) signiert.
Auch diese Signatur muss prüfbar sein. Also benötigt der Akzeptant den öffentlichen Schlüssel dieser CA.
Hat er diesen öffentlichen Schlüssel kann er dem Zertifikat trauen und die Signatur des Signierenden prüfen.


<Habe immer noch nicht ganz verstanden wie ich herausbekomme ob meine Karte eine digitale Signatur enthält (laut Antrag sollte sie ja) ?

Deine Karte enthält die Schlüsselpaare und ein Zertifikat sonst könntest du kein HBCI damit nutzen.
ABER: 2 Probleme
1. Ausser an die gen. Rechenzentralen wird der öffentliche Schlüssel der CA (DG Verlag) an niemanden verteilt.
2. Müssten Anwendungen (email client etc.) diese Karte nutzen können = die Spezifikation dieser Karten kennen. Tun sie aber nicht

Gruesse

Selle fest das Thema ist do etwas kompexer als ich gedacht habe, aber bei uns hat man ja scho Problem über einfache Verschlüsselung von E-mail oder dem (von mir recht guten Ansatz) GNU zu erhalten.

Verschlüsselung und Signaur sollte viel mehr ein Thema sein, Interesiert sich dafür keiner oder wird es nicht angeboten bzw. genutzt. Seltsam.
Hätte ich dieses Forum nicht gefunden Hätte ich denken können ich lebe hier in der 3. Welt. Irgendwie weiß keiner über dieses Thema bescheid.
Auch Google hilft nicht viel weiter.

ABER - nun bin ich ja hier:
zurück zu HBCI

Ich versuche mal wieder zu geben was ich verstanden habe.

DB bietet Signatur an und sich selbst als Zertifizierungsstelle
diese Signatur ist zwar von jedem überprüfbar (bei der DB) aber entspricht nicht dem Signaturgesetz, richtig ?

Hätte ich ein Konto bei der Sparkasse und würde HBCI nutzen hätte ich auch eine Signatur laut dem Signaturgesetz !?

Hätte ich ein Konto bei der DB und würde HBCI nutzen, Hätte ich ebenfalls die Möglichkeit digital zu signieren, jeder könnte die Richtigkeit bei der DB abfragen, aber sie würde nicht dem Signaturgesetz entsprechen.

Nun habe ich aber ein Konto mit HBCI bei der Volksbank, Hbae eine besser (Längere und somit sichere) Signatur wie die DB, kann diese aber nicht nutzen, da meine Zerifizierungstelle der DG Verlag meinen öffentliche Schlüssel nicht für jeden überprüfbar macht.

Würde die Volksbank-Geschichte überhaupt dem öffentliche Schlüssel entsprechen ?

Dann würde es nur an dem DG Verlag liegen richtig ?

Zur verwendung mit outlook wäre ein Programm , wie das von der DB angebotene "db_SignaturCard_light_V2_0.exe" (download hier: http://www.deutsche-bank.de/pb…enter.html)
nötig ?

Alles so richtig verstanden ?

Wird sich bei den Banken und speziell den Volsbanken, da in Zukunft noch etwas tun ?

Gibt es andere Möglichkeit eine OfF. Digitale Signatur zu bekommen
die dem Signaturgesetz entspricht ohne Kunde der Sparkasse zu werden oder bie ETrust o.ä. 50,-Eur/Jahr auf den Tisch zu legen ?

Gruß H@ndyman

Hallo,

leider bist du immer noch nicht ganz auf dem richtigen Weg. Die Signaturen im HBCI werden NUR für die HBCI-Übertragung zwischen Dir und EINER Bank genutzt. Du hast grundsätzlich für jede Bank eine HBCI-Karte, die auch nur für HBCI genutzt werden kann. Diese Signatur hat (abgesehen von der technischen Ähnlichkeit) nichts mit der Signatur gem. Signaturgesetz zu tun. Dafür brauchst du z.B. die E-Trust-Karte.
Es wäre natürlich sehr schön, wenn das, was du hier quasi als selbstverständlich vorausgesetzt hast (Eine Signatur für alles - Von Banking bis Finanzamt), irgendwann mal umgesetzt werden würde. Bis dahin ist aber noch ein weiter Weg ....

CU

FranK

Hallo Handyman,

zuerst mal:
du verlinkst auf die "einfache" Signaturkarte, die lediglich eine fortgeschrittene Signatur gemäß SigG bietet.

Es gibt auch eine andere Variante, die ist dort noch nicht dargestellt. Dort wird wie ich bereits beschrieben habe, eine qualifizierte Signatur gemäß SigG auf eine entsprechend vorbereitete Karte nachgeladen. Der Nachladeprozess ist eine Art Personalisierung der Karte. Es gibt verschiede Karten, die entsprechend vorbereitet sein können.
-normale Bankkarte (maestro, Kontogebunden)
-HBCI-Karte (kontoungebunden)
-blanko Signaturkarte (kontoungebunden)

Man könnte sagen das die Karten lediglich zusätzlichen Speicherplatz für die Zertifikate brauchen. Erkennen kann man das an den Karten, wenn Sie auf der Rückseite das S-Trust Logo tragen.

Wo der Wiederspruch zu Fellini sein soll, ist miur auch nicht klar.
Keine HBCI-Signatur ist auch nur irgendwie mit dem Signaturgesetz in Einklang gebracht worden. Das ergibt aus mehreren Gründen keinen Sinn. Es sein denn du bist erstens stellvertretend für alle HBCI Kunden bereit die doch wesentlich höheren Kosten für eine Signatur nach SigG nur für die HBCI-Funktionalität auf dich zu nehmen. Zweitens ist die Ausgabe eine Qualifizierten Signatur durch gesetzliche Vorgaben fast ein Hoheitakt, vergleichbar mit der Ausgabe eines anderen Ausweisdokumentes. Du musst von zwei unabhängigen Personen legitimiert werden, dir müssen Dokumeten ausgehändigt werden und du musst zwingend perönlich erscheinen. Das alles nur für einen Banking Zugang würde mehr Kunden verschrecken als glcüklich machen. Aussdem existiert HBCI schon länger als das SigG

Trotz allem wird dir das erstmal nicht helfen.
Als nicht-Sparkassenkunde wirst du eine solche Signatur nicht bekommen können. Wenn dir kein anderer Dienstleister das zu (vertretbaren) Kosten bieten kann wirst du leer ausgehen.

Stimmt so nicht. Man kann eine SparkassenCard mit Zertifikat fuer qualifizierten Signaturen bekommen.

Auf http://www.aloaha.de/cache/sparkassencard.pdf gibt es sogar ein Beispiel eines PDFs mit einer qualifizierten Sparkassen Signatur.

Pavi

Die dbSignaturCard trägt nur eine fortgeschrittene Signatur.

Meines Wissens ist stand heute der DSV bzw. sind über ihn die teilnehmenden Sparkassen die einzige Ausgabestelle für qualifizierte Signaturen nach SigG aus dem Bereich des Kreditgewebes.

Das leider in Bezug auf diverse Homebanking-Softwareprodukte verstehe ich nicht ganz. Zuerst kann die Software nix dafür, dass aus dem Bankgewerbe die Unterstützung der Signaturkarte nach SigG nicht vorhanden ist. Daran wird zwar gearbeitet, nur ist das aus Sicht der Banken theoretisch überflüssig.

Seit letztem Jahrtausend gibt es bereits eine signaturgestützte Anwendung für Online-Banking, eben die HBCI-Karte. Nur hat zu der Zeit noch keine öffentliche Stelle auch nur irgendwie an elektronische Signaturen gedacht, daher haben sich Banken ihre eigenen Anwendungen und Trust-Center geschaffen.

Nur weil die Öffentlichen Stellen aufwachen, heisst das nicht das das alte System auf einmal durch das neue ersetzt wird. Die Kosten möchte kein Kunde tragen, dazu fehlt der Zusatznutzen auf der Gegenseite.

Aber Neuentwicklungen werden sicher auf Basis des SigG stattfinden.

ist ja auch kein Problem, die Homebankingsoftware erzeugt ja nicht die qualifizierte digitale Sig. - sie nutzt sie nur.

Hallo Matthias,


Naja, für mich schliesst sich aus dem Signaturgesetz jede Homebanking Software eher aus!


U.a. genau aus dem Grund schliessen sich Homebankingprodukte aus.
Hinzu kommt, dass die qualifizierte Signatur für Homebankingprodukte und den typischen Geschäftsvorfällen so sinnvoll wie ein Kropf ist.

Die qualifizierte Signatur dient als Ersatz für die händische Unterschrift, damit dann auch Vorgänge rechtsverbindlich elektronisch unterzeichnet werden können, für die heute die händische Unterschrift vorgeschrieben ist. Da dies bei den heutigen Aufträgen nicht der Fall ist, brauch ich die qualifizierte Signatur hierfür nicht!
Wenn man sich dann das SigG genauer anschaut und verstanden hat, welche Anforderungen da an den Signiervorgang gestellt werden, erübrigt sich das für den normalen ZV über Bankingprodukte.

Gruß

Holger