Digitale Signatur

Hi Milla,

freut mich, dass du dich für dieses Thema interessierst. Und du bist auch "nahe dran" mit deinen Schlussfolgerungen.
Ich muss jetzt einschränkend sagen, dass ich kein "Banker" bin - mich aber dafür umso besser mit elektronischen Signaturen auskenne. Ich werde mich bemühen, keinen Vortrag zu schreiben ... . Und ich kann dir auch nichts dazu sagen, ob und inwieweit die Banken (schon) elektronische Signaturen für ihre notwendige Erst-Identifizierung anerkennen. Das Gesetzt gibt es aber her.

Für das, was du willst benötigst du eine -> qualifizierte Signatur. Nur diese sind laut -> Signaturgesetz weitestgehend einer menschlichen Unterschrift gleichgestellt. Die dafür erforderlichen Schlüssel und Zertifikate (-> X.509) befinden sich zwingend auf einer Smardcard. Benötigst also noch einen entsprechenden Kartenleser. Die Oberhoheit für qualifizierte Signaturen hat in DL die -> Bundesnetzagentur. Auf deren Webseite bekommst du neben vielen Informationen zum Thema auch eine Übersicht über -> Trustcenter, von denen du (gegen nicht gerade sehr wenig Geld) eine Smardcard mit einem entsprechenden Zertifikat kaufen kannst. In der Regel gibt es das als Set - Karte, Leser, Software.
Das, was die ganze Angelegenheit so teuer macht, ist nicht etwa die Herstellung der Karte, denn das geht mehr oder weniger automatisch. Es ist vielmehr die "Registrierung" der Antragsteller - eine eindeutige Identifizierung der Person anhand des Personalausweises oder Passes+Meldebescheinigung durch eine dafür berechtigte Person, schriftlicher Antrag mit Ausweiskopie, Unterschriftsleitung im Beisein der berechtigten Person. Und die Pflicht des -> Zertifikatsdiensteanbieters (Trustcenter) die Antragsunterlagen mit der Identifizierung der Person über 30 Jahre hochsicher aufzubewahren.
Auch Banken bieten ihren Kunden schon entsprechende Zertifikate an. Ob qualifiziert oder "nur" fortgeschritten, sagt dir der "Banker deines Vertrauens".

Jetzt die Kehrseite der Medaille: Da es ggw. kaum für die Bevölkerung nutzbringende Anwendungen gibt, kauft kaum einer eine Karte. Und weil keiner eine Karte besitzt, gibt es keine Anwendungen ... .

Nebenbei: E-Mails mit S/MIME zu verschlüsseln ist ein nettes und nützliches "Abfallprodukt" für Besitzer eins Zertifikats - wenn der Mailpartner auch eines besitzt ... .

Nun ist es doch ein kleiner Vortrag geworden, aber viel weniger geht kaum noch.

MfG Peter

Dann komme ich auch noch mal:

- es heißt wirklich im Signaturgesetz "Elektronische Signatur"
- klar _kann_ ich es als Vertragspartner akzeptieren, wenn "nur" fortgeschritten signiert wird. Es gibt nur "kleine Änderungen" bei der Beweislast.
- das mit der Formvorschrift ist völlig richtig. Fiel bei mir unter "Kürzung".
- ich habe "leider" nicht Jura studiert, aber für mich war ein unterschriebener Vertrag immer der ausgedrückte Wille beider Vertragspartner. Das, was du meinst, ist die Unabstreitbarkeit einer qualifizierten elektronischen Signatur (non repudation). Hier sind wir wieder bei der Beweislast.
- Hat man nicht das gleiche Problem, wenn man etwas "Dummes" von Hand unterschreibt? Nur hier ist im Streitfall der Beweis ein klein wenig komplizierter. Aber gleich "Pferdefuß" ??

MfG Peter

Hi Holger,

ich denke, wir verstehen uns schon
Ich habe ja schon mal durchblicken lassen, dass ich in einem Trustcenter arbeite. Habe mich also in den letzten Jahren nicht nur "etwas mit dem Thema beschäftigt". Allgemeine Meinung in Fachkreisen, warum sich die elektronische Signatur in D. nicht so recht durchsetzen will - ist das Signaturgesetz selbst ... . Womit wir wieder bei den "gesetzlichen Unarten" sind.

Also, lassen wir es damit bewenden.

MfG Peter

Hi Milla,

ich will dir doch ein paar Antworten darauf geben.
1. > warum es keine nutzbringende Anwendungen für die elektronische Signaturen gibt.
Korrigieren wir mal die Frage in "... für den privaten Anwender gibt." Denn dort, wo ich arbeite, gibt es sehr viele Anwendungen, wo unsere Nutzer ihre Karten benötigen (!), von der Anmeldung am Rechner, an diversen Servern, fürs VPN, Mail- und Datenverschlüsselung incl. des gesamten LAN usw. Natürlich auch Signatur von Mails und Dokumenten verschiedener Formate. Es gibt sogar Anwendungen, mit denen man beliebige Dateien qualifiziert (!) signieren kann, also neben Dokumenten auch Software und sonstige Daten usw.
Das Problem im privaten Bereich ist ein anderes. Zum einen hat der Bürger natürlich Misstrauen in alles, was er nicht durchschaut. Jemand, der Zeitung liest, versteht das ja auch ... .
Ich meine aber etwas anderes. Für den Bürger heißt es, dass er eine Chipkarte mit Zertifikaten kaufen muss. Diese gilt maximal 5 Jahre, in der Regel aber nur 3. Da der Bedarf recht gering ist, ist der Preis entsprechend hoch. Und dann noch einen Smardcardreader. Kostet noch mal 30 bis 100 €. Und jetzt vergleicht jeder mit den Vorteilen, die er davon hat. Ja, welche hat er denn? Also kauft er keine Karte.
Jetzt zu den Anwendungen. Wozu denn Anwendungen, wenn die Bürger keine Karten besitzen? Wozu da eine Infrastruktur aufbauen? Nutzt doch eh keiner ... .

Du siehst, es dreht sich alles im Kreise. Einer muss anfangen, entweder Karten unters Volk schleudern oder mit den Anwendungen beginnen.
Ich sehe eine einzige Lösung, um die Sache zu puschen: Der Anwender darf keine Nachteile (nennenswerte Anschaffungen) haben, sondern muss Vorteile verspüren. Wo? Natürlich in der Geldbörse! Beispiel: Eine "Amtshandlung", sagen wir in der Zulassungsstelle kostet 20 Euronen + Hinfahrt + Parkgebühren + Freizeit. Das gleiche Online kostet 10€ und sonst nix (+ Karte ...). Aber was wird heute schon billiger.
Du verstehst, was ich ausdrücken will. Klar, im Hinterkopf ist dann auch noch das Bewusstsein, Jobs zu killen ... .

2. > Karte stecken lassen usw.
Naja, ist alles eine Erziehungsfrage ... .
Aber sonst kein nennenswertes Problem. Der private Schlüssel ist mit einer PIN geschützt. Bei uns sind das 8 Stellen, diese Länge ist aber keine Pflicht. Die PIN wird bei jedem Zugriff auf den privaten Schlüssel benötigt, ein PIN-Caching ist bei Software für qualifizierte Signatur untersagt. Und du hast drei Versuche, bis die PIN gesperrt ist.
Reicht das?

3. > Kosten usw.
Ja, die Preise habens in sich. Versuch einer Begründung:
- alles, was die Registrierung der Personen betrifft, habe ich oben schon beschrieben.
- die erforderliche hochsichere Lagerung der Identifikationsnachweise. Bis zu 36 Jahre. Einbruch-, Brand,- Wasserschutz. Unvorstellbarer Aufwand, den das SigG verlangt.
- Insgesamt sehr hoher Aufwand für die Gewährleistung der Sicherheit, personell, Infrastruktur usw.
- Pflicht zum Vorhalten einer ununterbrochen verfügbaren Sperrhotline zur Annahme von Sperranträgen der Nutzer, wenn denen eine Karte abhanden kommt. Und natürlich dann die sofortig wirksame Sperrung.

Wie gesagt, die extremen Anforderungen des SigG und der SigV sind auch Gründe, warum sich diese Sache in D nicht so recht durchsetzt. Aber das haben ja auch Juristen und keine Praktiker geschrieben ... .

Nebenbei: In Nachbarländern wie Österreich und Belgien gibt es schon eine Weile die "Bürgerkarte". Vielleicht haben die mehr Techniker und weniger Juristen

MfG Peter

......herrlich......

Aber ein sehr interessantes Thema, man beschäftigt sich nur zu wenig damit.

Auch vielen Dank für die interessante Diskussion.

Seit ein paar Jahren beschäftige ich mich mit dem Thema "elektronische Signatur". Das Dilemma ist wirklich, dass es keine Killer-Applikation dafür gibt. Klar, ich kann bei Behörden elektronisch unterschreiben, aber wann melde ich schon mal mein Auto um usw. Das kommt so selten vor.

Wenn jetzt Banken als Unterschrift im Online-Banking akzeptieren, sind wir auf genau dem gleichen Stand wie bei der FinTS-Chipkarte. Der Kunde braucht die Karte fast nur für die Bank ...

Ob das der Durchbruch wird? Keine Ahnung. Wir können nur hoffen, dass mit der Zeit weitere (sinnvolle) Anwendungen für Privatverbraucher dazukommen.

Im Geschäftsbereich macht die Karte heutzutage schon viel Sinn. Ist nur die Frage: Kann ich mit der Signatur meines Trust-Centers bei allen Plattformen unterschreiben? Da herrscht auch noch einiger Wildwuchs.

So gut ich die Idee finde, so skeptisch bin ich bei der derzeitigen Art der Einführung und Vertrieb.

Auch hier gebe ich dir völlig Recht.
Das mit dem Finanzamt ärgert mich mächtig. Nur deswegen habe ich auf meiner Kiste noch eine virtuelle Maschine mit einer WinDOSe zu laufen.

Etwas anderes ist es mit dem Signieren mittels Karten verschiedener Trustcenter.
Alle (deutschen) Herausgeber von Zertifikaten welche für eine qualifizierte Signatur geeignet sind ("angezeigte" oder "akkreditierte" ZDA), befinden sich unter der root der Bundesnetzagentur. Das heißt, von all diesen (wenigen) Zertifikatsdiensteanbietern (ZDA) ist das eigene root-Zertifikat von der Bundesnetzagentur signiert worden. Da dein eigenes Zertifikat eben wieder vom root-Z. deines ZDA signiert wurde bedeutet das, dass alle, die damit unter der gemeinsamen root der BNA stehen, sich gegenseitig akzeptieren und vertrauen.
Es spielt in diesem Fall also keine Rolle, ob du deine Karte von ZDA1 oder ZDA2 gekauft hast.
Eine derartige gemeinsame root gibt es bei den fortgeschrittenen Z. allerdings (per Gesetz) nicht. Aber niemand hindert das Trustcenter der Sparkasse, die root der X-Bank anzuerkennen und natürlich auch umgekehrt. Theoretisch könnten das zum Beispiel alle Banken, alle Versicherungen usw. gegenseitig machen. Aber sie müssten sich vertrauen ... . (Bei den qualifizierten Z. wird das zwingend notwendige Vertrauen durch eine äußerst strenge, ich möchte aus der Deckung des Incognito sogar sagen: LÄSTIGE Überprüfung durch die BNA ersetzt.)

MfG Peter

Hallo Reimund,

du verwechselst die qualifizierte Signatur mit einer elektronischen Signatur. Den größten Teil der Geschäfte kannst Du mit "minderwertigeren" Signaturen als einer qualifizierten Signatur abschließen und mit der Vermutung sicherer wäre etwas sparsamer!
@MIlla:
Natürlich wäre es viel bequemer, sich daheim elektronisch ausweisen zu können um z.B. ein Konto bei einer Bank eröffnen zu können. Nur wie oft machst Du das? Für mich kein wirklicher Grund für einer elektronischen Signatur. Im Übrigen wie erwähnt, dient die qualifizierte Signatur der eindeutigen Willenserklärung, die Authentifizierung geht auch mit einfacheren Signaturen.
Mein Beispiel mit der eingesteckten Karte sollte die Problematik nur vereinfachen. Die Angriffsmöglichkeiten sind durchaus vielfälltiger! Und da kommen wir zum echten Problem:

1. Die elektronische Signatur zu fälschen ist in der Tat derzeit praktisch unmöglich. Aber genau das muss der Angreifer nicht machen! Mit heutigen Angriffstechniken ist es möglich, dass ein Angeifer deine orginal Signatur verwendet, womit wir wieder beim Pferdefuß der Unabstreitbarkeit sind. Du hast damit das Geschäft rechtsverbindlich abgeschlossen, ob gewollt oder nicht!
2. Ein Papierunterschrift ist in der Tat einfacher zu fälschen (siehe 1) aber wenn die elektronische Signatur etabliert ist, lohnen sich die gleichen Mechanismen wie aktuell beim Phishing und wenn ich täglich 60 Millionen Mails verschicke, reicht es mir wenn jeder 1.000.000 te darauf rein fällt. Solange die Digitale Signatur keine Massenanwendung ist, ist sie sicher. Danach, haben wir hoffentlich eine für den Anwender bessere Gesetzeslage und weitere Mechanismen um Manipulationen zu verhindern.

Gruß

Holger

Ok, dann ist wahrscheinlich noch zu wenig beim Internethandel passiert ist. Denn viele (zu viele) handeln noch sehr blauäugig.

Womit wir aber eigentlich wieder bei der Frage der Sicherheit der Anwendungen sind. Denn wie leicht ist es einem Normaluser auf einem ungesichertem Win98 Rechner falsche Inhalte auf einer Internetseite vorzugaukeln.

Ich denke bevor wir über die elSig im Internet sprechen sollte das Sicherheitsempfinden bei jedem Normaluser geschärft werden. Erst dann macht auch die Absicherung per elSig Sinn.