Hallo!

Ich bin Studentin und steige gerade in das ganze Thema Online-Banking usw. ein. Ich wollte vor kurzem bei einer Direktbank ein Tagesgeldkonto im Internet eröffnen. Dabei wurde mir gesagt, dass ich mich bei der Post vorher identifizieren muss, da ich noch kein Kunde bei der Bank bin. Jetzt habe ich auch von der digitalen Signatur gehört, die eine Person eindeutig identifiziert und mit der man im Internet einfacher einkaufen könnte. Mich würde interessieren, wie und wo man die digitale Signatur bekommt. Und ob ich dann im Internet auch Finanzkäufe damit tätigen kann, ohne mich vorher bei der Bank vorstellen zu müssen bzw. wird das überhaupt von den Banken akzeptiert? Für eine Antwort wäre ich sehr dankbar.

Milla

Hi Milla,

freut mich, dass du dich für dieses Thema interessierst. Und du bist auch "nahe dran" mit deinen Schlussfolgerungen.
Ich muss jetzt einschränkend sagen, dass ich kein "Banker" bin - mich aber dafür umso besser mit elektronischen Signaturen auskenne. Ich werde mich bemühen, keinen Vortrag zu schreiben ... . Und ich kann dir auch nichts dazu sagen, ob und inwieweit die Banken (schon) elektronische Signaturen für ihre notwendige Erst-Identifizierung anerkennen. Das Gesetzt gibt es aber her.

Für das, was du willst benötigst du eine -> qualifizierte Signatur. Nur diese sind laut -> Signaturgesetz weitestgehend einer menschlichen Unterschrift gleichgestellt. Die dafür erforderlichen Schlüssel und Zertifikate (-> X.509) befinden sich zwingend auf einer Smardcard. Benötigst also noch einen entsprechenden Kartenleser. Die Oberhoheit für qualifizierte Signaturen hat in DL die -> Bundesnetzagentur. Auf deren Webseite bekommst du neben vielen Informationen zum Thema auch eine Übersicht über -> Trustcenter, von denen du (gegen nicht gerade sehr wenig Geld) eine Smardcard mit einem entsprechenden Zertifikat kaufen kannst. In der Regel gibt es das als Set - Karte, Leser, Software.
Das, was die ganze Angelegenheit so teuer macht, ist nicht etwa die Herstellung der Karte, denn das geht mehr oder weniger automatisch. Es ist vielmehr die "Registrierung" der Antragsteller - eine eindeutige Identifizierung der Person anhand des Personalausweises oder Passes+Meldebescheinigung durch eine dafür berechtigte Person, schriftlicher Antrag mit Ausweiskopie, Unterschriftsleitung im Beisein der berechtigten Person. Und die Pflicht des -> Zertifikatsdiensteanbieters (Trustcenter) die Antragsunterlagen mit der Identifizierung der Person über 30 Jahre hochsicher aufzubewahren.
Auch Banken bieten ihren Kunden schon entsprechende Zertifikate an. Ob qualifiziert oder "nur" fortgeschritten, sagt dir der "Banker deines Vertrauens".

Jetzt die Kehrseite der Medaille: Da es ggw. kaum für die Bevölkerung nutzbringende Anwendungen gibt, kauft kaum einer eine Karte. Und weil keiner eine Karte besitzt, gibt es keine Anwendungen ... .

Nebenbei: E-Mails mit S/MIME zu verschlüsseln ist ein nettes und nützliches "Abfallprodukt" für Besitzer eins Zertifikats - wenn der Mailpartner auch eines besitzt ... .

Nun ist es doch ein kleiner Vortrag geworden, aber viel weniger geht kaum noch.

MfG Peter

Hallo Milla,

ein wenig direkter als Peter ein paar Hinwiese:
Die Qualifizierte Digitale Signatur von der Peter spricht, erlaubt es Verträge Rechtsverbindlich zu unterschreiben, für die es eine Formvorschrift gibt. Alle anderen Verträge können teilweise auch mit anderen Digitalen Signaturen abgeschlossen werden.

Wie Peter es so schön formuliert hat: Die digitale Signatur nutzt Dir nichts, wenn dein gegenüber Dir nicht die Möglichkeit bietet diese auch einzusetzen. Er ist nicht verpflichtet diese anzunehmen.

Für Dich als Endverbraucher gibt es zudem ein Pferdefuß, den man nicht verachten sollte:
Bei der qualifizierten Digitalen Signatur geht man per gesetzlicher Definition davon aus, dass der abgeschlossene Vertrag deinem Willen entsprach! Du bist also bei einer Anfechtung in einer ziemlich schlechten Ausgangssituation.
Daher sollte man auch sehr vorsichtig mit dem Einsatz der qualifizierten Signatur sein! Sie ist eine Willenserklärung!

Gruß

Holger

Dann komme ich auch noch mal:

- es heißt wirklich im Signaturgesetz "Elektronische Signatur"
- klar _kann_ ich es als Vertragspartner akzeptieren, wenn "nur" fortgeschritten signiert wird. Es gibt nur "kleine Änderungen" bei der Beweislast.
- das mit der Formvorschrift ist völlig richtig. Fiel bei mir unter "Kürzung".
- ich habe "leider" nicht Jura studiert, aber für mich war ein unterschriebener Vertrag immer der ausgedrückte Wille beider Vertragspartner. Das, was du meinst, ist die Unabstreitbarkeit einer qualifizierten elektronischen Signatur (non repudation). Hier sind wir wieder bei der Beweislast.
- Hat man nicht das gleiche Problem, wenn man etwas "Dummes" von Hand unterschreibt? Nur hier ist im Streitfall der Beweis ein klein wenig komplizierter. Aber gleich "Pferdefuß" ??

MfG Peter

Hi Peter,

ich seh schon, Du hast Dich mit dem Thema etwas beschäftigt....

Ähnlich wie Du wollte ich es nicht zu kompliziert machen. :?


Darauf wollte ich gar nicht hinaus, sondern darauf, dass es für die meisten Vereinbahrungen/Verträge gar keine Formvorschrift gibt und damit die Notwendigkeit einer qualifizierten Signatur viel zu hoch bewertet wird und wie Du schon richtig angemerkt hast, sich mit der qualifizierten Signatur die Beweislast für den Kunden zum Nachteil ändert. :?






Wenn man bei Dingen, die so hochgelobt werden wie die qualifizierte Signatur, einen ähnlichen Verfolgungswahn hat, wie ich, sieht man dieses Problem etwas differenzierter.

Beim handschriftlichen Vertrag gilt nicht die Unabstreitbarkeit vor dem Gesetzt. D.h. wenn jemand meine Unterschrift fälscht, geht man nicht per gesetzlicher Order davon aus, dass ich die Unterschrift nicht geleistet habe.

Bei der qualifizierten Elektronischen Signatur schon. Wenn ich die Karte versehentlich im Leser stecken lasse (oder jemand jubelt mir einen anderen Vertrag unter -ich weiß, dass sollen die abgenommenen Signaturkomponenten verhindern, können Sie aber auf einem normalen Computersystem nicht) und jemand anderes kauft in meinem Namen eine Waschmaschine, dann habe ich den Vertrag unterschrieben und kann es nicht abstreiten, was den Widerspruch zum Vertrag im Zweifel sehr kompliziert, wenn nicht sogar unmöglich macht. Beim handschriftlichen Vertrag muss ich nur plausibel machen, dass ich die Unterschrift nicht geleistet habe.

Auch wenn ich ein wenig schwarz male, mir geht es nur darum ein wenig die Euphoriebremse zu treten und einen kritischen Blick auf das Thema zu werfen. Die Elektronische Signatur wird über kurz oder lang kommen und sicher einige neue Vertriebswege eröffnen und damit erleichtern. Bis dahin sind dann so gesetzliche Unarten hoffentlich verschwunden.

Gruß

Holger

Hi Holger,

ich denke, wir verstehen uns schon
Ich habe ja schon mal durchblicken lassen, dass ich in einem Trustcenter arbeite. Habe mich also in den letzten Jahren nicht nur "etwas mit dem Thema beschäftigt". Allgemeine Meinung in Fachkreisen, warum sich die elektronische Signatur in D. nicht so recht durchsetzen will - ist das Signaturgesetz selbst ... . Womit wir wieder bei den "gesetzlichen Unarten" sind.

Also, lassen wir es damit bewenden.

MfG Peter

Hallo Peter! Hallo Holger!

Vielen Dank für die Antworten.

Ich verstehe nicht, warum es keine nutzbringende Anwendungen für die elektronische Signaturen gibt.

Für mich als jemand, der nicht so viel davon versteht, würde auf den ersten Blick eine digitale Signatur die Lösung für viele Probleme im Internet sein. Wie schon mein Beispiel mit der Bank zeigt: Ich möchte nicht jedes Mal, wenn ich Bankgeschäfte mache, zur Post oder zur Bank gehen, um meine Identität nachweisen zu müssen.

Ich verstehe schon, dass die qualifizierte Signatur als eine Willenserklärung gilt. Wenn ich aber einen Kaufvertrag im Internet abschließe, dann gebe ich damit eine Willenserklärung ab mit oder ohne Unterschrift. Für den Verkäufer müsste die qual. Signatur sogar von Vorteil sein, oder? Und der Verbraucher kann den Vertrag nach zwei Wochen widerrufen. Für mich bedeutet die Signatur mehr Sicherheit, für Käufer und Anbieter. Deswegen verstehe ich nicht, warum die Akzeptanz so gering ist.

Holger, wie groß ist die Wahrscheinlichkeit, dass du die Karte im Leser stecken lässt. Das machst du doch mit der EC-Karte auch nicht, oder?

Ich habe bei einem Anbieter von elektronischen Signaturen kurz die Angebote angesehen und fand die ganze Aufmachung mit vielen Angeboten ziemlich unübersichtlich. Wie soll ich als Laie wissen, was für mich das Richtige ist? Gibt es da kein einheitliches Angebot? Und wieso ist das eigentlich so teuer? Der Personalausweis kostet doch auch nicht so viel und gilt für mehrere Jahre.

Irgendwie verstehe ich vieles immer noch nicht. Vielleicht muss ich mich mit dem Thema noch näher auseinander setzen. Aber das Basiswissen habe ich ja jetzt. Vielen Dank für euere Hilfe!

Gruß
Milla

Hi Milla,

ich will dir doch ein paar Antworten darauf geben.
1. > warum es keine nutzbringende Anwendungen für die elektronische Signaturen gibt.
Korrigieren wir mal die Frage in "... für den privaten Anwender gibt." Denn dort, wo ich arbeite, gibt es sehr viele Anwendungen, wo unsere Nutzer ihre Karten benötigen (!), von der Anmeldung am Rechner, an diversen Servern, fürs VPN, Mail- und Datenverschlüsselung incl. des gesamten LAN usw. Natürlich auch Signatur von Mails und Dokumenten verschiedener Formate. Es gibt sogar Anwendungen, mit denen man beliebige Dateien qualifiziert (!) signieren kann, also neben Dokumenten auch Software und sonstige Daten usw.
Das Problem im privaten Bereich ist ein anderes. Zum einen hat der Bürger natürlich Misstrauen in alles, was er nicht durchschaut. Jemand, der Zeitung liest, versteht das ja auch ... .
Ich meine aber etwas anderes. Für den Bürger heißt es, dass er eine Chipkarte mit Zertifikaten kaufen muss. Diese gilt maximal 5 Jahre, in der Regel aber nur 3. Da der Bedarf recht gering ist, ist der Preis entsprechend hoch. Und dann noch einen Smardcardreader. Kostet noch mal 30 bis 100 €. Und jetzt vergleicht jeder mit den Vorteilen, die er davon hat. Ja, welche hat er denn? Also kauft er keine Karte.
Jetzt zu den Anwendungen. Wozu denn Anwendungen, wenn die Bürger keine Karten besitzen? Wozu da eine Infrastruktur aufbauen? Nutzt doch eh keiner ... .

Du siehst, es dreht sich alles im Kreise. Einer muss anfangen, entweder Karten unters Volk schleudern oder mit den Anwendungen beginnen.
Ich sehe eine einzige Lösung, um die Sache zu puschen: Der Anwender darf keine Nachteile (nennenswerte Anschaffungen) haben, sondern muss Vorteile verspüren. Wo? Natürlich in der Geldbörse! Beispiel: Eine "Amtshandlung", sagen wir in der Zulassungsstelle kostet 20 Euronen + Hinfahrt + Parkgebühren + Freizeit. Das gleiche Online kostet 10€ und sonst nix (+ Karte ...). Aber was wird heute schon billiger.
Du verstehst, was ich ausdrücken will. Klar, im Hinterkopf ist dann auch noch das Bewusstsein, Jobs zu killen ... .

2. > Karte stecken lassen usw.
Naja, ist alles eine Erziehungsfrage ... .
Aber sonst kein nennenswertes Problem. Der private Schlüssel ist mit einer PIN geschützt. Bei uns sind das 8 Stellen, diese Länge ist aber keine Pflicht. Die PIN wird bei jedem Zugriff auf den privaten Schlüssel benötigt, ein PIN-Caching ist bei Software für qualifizierte Signatur untersagt. Und du hast drei Versuche, bis die PIN gesperrt ist.
Reicht das?

3. > Kosten usw.
Ja, die Preise habens in sich. Versuch einer Begründung:
- alles, was die Registrierung der Personen betrifft, habe ich oben schon beschrieben.
- die erforderliche hochsichere Lagerung der Identifikationsnachweise. Bis zu 36 Jahre. Einbruch-, Brand,- Wasserschutz. Unvorstellbarer Aufwand, den das SigG verlangt.
- Insgesamt sehr hoher Aufwand für die Gewährleistung der Sicherheit, personell, Infrastruktur usw.
- Pflicht zum Vorhalten einer ununterbrochen verfügbaren Sperrhotline zur Annahme von Sperranträgen der Nutzer, wenn denen eine Karte abhanden kommt. Und natürlich dann die sofortig wirksame Sperrung.

Wie gesagt, die extremen Anforderungen des SigG und der SigV sind auch Gründe, warum sich diese Sache in D nicht so recht durchsetzt. Aber das haben ja auch Juristen und keine Praktiker geschrieben ... .

Nebenbei: In Nachbarländern wie Österreich und Belgien gibt es schon eine Weile die "Bürgerkarte". Vielleicht haben die mehr Techniker und weniger Juristen

MfG Peter

Genau das ist die Crux. Wenn alle wüssten, wie unsicher die Handunterschrift ist, dann würde sie keiner mehr nutzen. Eine elektronische Signatur zu fälschen und zu stehlen bedeutet schon einen Heiden-(Mehr)aufwand. Dem gegenüber stehen allerdings tausende von Jahren mit täglicher Umgangserfahrung, dagegen hat´s sowas brandneues wie das Internetz einfach schwer.

Ich stell mir vor, dass es so einen technischen Wechsel vor Jahrhunderten auch schon gab, allerdings nicht so dramatisch, weil nicht so rasant schnell. Es war ja nicht immer selbstverständlich, dass Normalbürger (unter)schreiben können, auch die Hardware, sprich Schreibfeder, Tinte und Papier - oder auch Brief und Siegel - waren in vergangenen Jahrhunderten verglichen mit der damaligen Kaufkraft luxuriöse und teure Dinge.

Wie hat man sich seinerzeit beholfen? Mit Zeugen, oft Geistliche, also den altertümlichen Trustcentern, die die drei X unter einem Vertrag bestätigten. Das war natürlich auch ein immenser Aufwand, der nicht bei einem einfachen Kuhhandel nötig war. Hier reichte der Handschlag und dahin müssen wir imo mit der elektronischen, mehr oder weniger qualifizierten Signatur noch hinkommen.

Gruß
Raimund

......herrlich......

Aber ein sehr interessantes Thema, man beschäftigt sich nur zu wenig damit.

Ich finde den Vergleich so richtig gut.
Er trifft imho genau ins Schwarze.

Vielleicht noch eine Ergänzung:
Wer könnte denn nur das mit dem "Schleudern der Karten unters Volk" übernehmen?
Die sichere Infrastruktur dürfte vorhanden sein. Die Kunden sind registriert (wenn sich mir persönlich bei dem lt. Gesetz zugelassenen Verfahren auch eine Feder krümmt: vor 15 Jahren mal persönlich als Kunde angemeldet und jetzt wird diese Anmeldung als Registrierung genutzt ...), der Kartenleser könnte für HBCI genutzt und somit gesponsert werden, ebenso ist eine Mehrfachnutzung des Chips denkbar.
Wer könnte das nur sein? Vorschläge ?

Klar finden die kommerziellen Trustcenter diese Idee tödlich. Aber mann muss auch Opfer bringen.

Fakt ist aber: Es darf "dem Volk" nicht wehtun, es müssen im Gegenteil Vorteile zu spüren sein.

MfG Peter

Auch vielen Dank für die interessante Diskussion.

Seit ein paar Jahren beschäftige ich mich mit dem Thema "elektronische Signatur". Das Dilemma ist wirklich, dass es keine Killer-Applikation dafür gibt. Klar, ich kann bei Behörden elektronisch unterschreiben, aber wann melde ich schon mal mein Auto um usw. Das kommt so selten vor.

Wenn jetzt Banken als Unterschrift im Online-Banking akzeptieren, sind wir auf genau dem gleichen Stand wie bei der FinTS-Chipkarte. Der Kunde braucht die Karte fast nur für die Bank ...

Ob das der Durchbruch wird? Keine Ahnung. Wir können nur hoffen, dass mit der Zeit weitere (sinnvolle) Anwendungen für Privatverbraucher dazukommen.

Im Geschäftsbereich macht die Karte heutzutage schon viel Sinn. Ist nur die Frage: Kann ich mit der Signatur meines Trust-Centers bei allen Plattformen unterschreiben? Da herrscht auch noch einiger Wildwuchs.

So gut ich die Idee finde, so skeptisch bin ich bei der derzeitigen Art der Einführung und Vertrieb.

Genau, solange z.B. das Finanzamt mit Elster das Betriebssystem Linux vollkommen ignoriert, wird das noch ein langer und steiniger Weg, für Privatleute allemal.

Auch hier gebe ich dir völlig Recht.
Das mit dem Finanzamt ärgert mich mächtig. Nur deswegen habe ich auf meiner Kiste noch eine virtuelle Maschine mit einer WinDOSe zu laufen.

Etwas anderes ist es mit dem Signieren mittels Karten verschiedener Trustcenter.
Alle (deutschen) Herausgeber von Zertifikaten welche für eine qualifizierte Signatur geeignet sind ("angezeigte" oder "akkreditierte" ZDA), befinden sich unter der root der Bundesnetzagentur. Das heißt, von all diesen (wenigen) Zertifikatsdiensteanbietern (ZDA) ist das eigene root-Zertifikat von der Bundesnetzagentur signiert worden. Da dein eigenes Zertifikat eben wieder vom root-Z. deines ZDA signiert wurde bedeutet das, dass alle, die damit unter der gemeinsamen root der BNA stehen, sich gegenseitig akzeptieren und vertrauen.
Es spielt in diesem Fall also keine Rolle, ob du deine Karte von ZDA1 oder ZDA2 gekauft hast.
Eine derartige gemeinsame root gibt es bei den fortgeschrittenen Z. allerdings (per Gesetz) nicht. Aber niemand hindert das Trustcenter der Sparkasse, die root der X-Bank anzuerkennen und natürlich auch umgekehrt. Theoretisch könnten das zum Beispiel alle Banken, alle Versicherungen usw. gegenseitig machen. Aber sie müssten sich vertrauen ... . (Bei den qualifizierten Z. wird das zwingend notwendige Vertrauen durch eine äußerst strenge, ich möchte aus der Deckung des Incognito sogar sagen: LÄSTIGE Überprüfung durch die BNA ersetzt.)

MfG Peter

Ich glaub eigentlich schon, dass die Anwendungen bereits da sind, wenn ich alleine überlege, um wieviel sicherer der Internethandel (ebay, etc.) werden würde, wenn auf breiter Basis elektronische Sigs genutzt werden könnten.

Gruß
Raimund

Hallo Reimund,

du verwechselst die qualifizierte Signatur mit einer elektronischen Signatur. Den größten Teil der Geschäfte kannst Du mit "minderwertigeren" Signaturen als einer qualifizierten Signatur abschließen und mit der Vermutung sicherer wäre etwas sparsamer!
@MIlla:
Natürlich wäre es viel bequemer, sich daheim elektronisch ausweisen zu können um z.B. ein Konto bei einer Bank eröffnen zu können. Nur wie oft machst Du das? Für mich kein wirklicher Grund für einer elektronischen Signatur. Im Übrigen wie erwähnt, dient die qualifizierte Signatur der eindeutigen Willenserklärung, die Authentifizierung geht auch mit einfacheren Signaturen.
Mein Beispiel mit der eingesteckten Karte sollte die Problematik nur vereinfachen. Die Angriffsmöglichkeiten sind durchaus vielfälltiger! Und da kommen wir zum echten Problem:

1. Die elektronische Signatur zu fälschen ist in der Tat derzeit praktisch unmöglich. Aber genau das muss der Angreifer nicht machen! Mit heutigen Angriffstechniken ist es möglich, dass ein Angeifer deine orginal Signatur verwendet, womit wir wieder beim Pferdefuß der Unabstreitbarkeit sind. Du hast damit das Geschäft rechtsverbindlich abgeschlossen, ob gewollt oder nicht!
2. Ein Papierunterschrift ist in der Tat einfacher zu fälschen (siehe 1) aber wenn die elektronische Signatur etabliert ist, lohnen sich die gleichen Mechanismen wie aktuell beim Phishing und wenn ich täglich 60 Millionen Mails verschicke, reicht es mir wenn jeder 1.000.000 te darauf rein fällt. Solange die Digitale Signatur keine Massenanwendung ist, ist sie sicher. Danach, haben wir hoffentlich eine für den Anwender bessere Gesetzeslage und weitere Mechanismen um Manipulationen zu verhindern.

Gruß

Holger

nönö, ich verwechsel da schon nix, Holger. Ich glaube, dass die qualifizierte Signatur durch den dahinterstehenden Aufwand zu sehr über das Ziel hinausschießt, ich vermisse mir so eine Art billiges verfügbares Zwischending, das zu einer breiteren Akzeptanz der "neuen Techniken" führen würde.

Wie eine echte Unterschrift halt, man rennt ja auch nicht für jedes Geschäft zum Notar, um seine Handsignatur bestätigen zu lassen und der Aufwand ist ja auch nicht nötig.

Die Unverfälschbarkeit ist mir bei der Chipkartentechnik schon ausreichend genug für das, was Ottonormalverbraucher im täglichen Leben so braucht.

Gruß
Raimund

Ok, dann ist wahrscheinlich noch zu wenig beim Internethandel passiert ist. Denn viele (zu viele) handeln noch sehr blauäugig.

Eine tolle und anregende Diskussion:

Nun kommen meine two Cents

Für Privatkunden ist die BFA bzw. deutsche-rentenversicherung-bund.de mit der Karte zu erreichen. U.a. kann das Rentenkonto online verwaltet werden. Es hat aber nur ca. 4-5 Monate gedauert, bis ich mit meiner S-Trust Karte Zugriff erhielt. Ich war nachher soweit, dass ich regelmässig mit einem dortigen Entwickler in Kontat stand, und seine Anwendung vorab testen durfte, bevor er diese auf die echten Kunden losgelassen hat. Letztendlich läuft es aber.

Elster ist der Witz in Tüten, spätestens dann, wenn ich trotz qualf. Sig. noch Papieranträge ausfüllen muss, und 3 Wochen warten darf, hört der Spass für mich auf.

Spätestens, wenn alle S- bzw. Voba Bankkarten für die Signatur vorbereitet sind, und die Marketing Gurus mal ein gemeinsames Süppchen kochen, könnte der Zug ins Rollen kommen.

Womit wir aber eigentlich wieder bei der Frage der Sicherheit der Anwendungen sind. Denn wie leicht ist es einem Normaluser auf einem ungesichertem Win98 Rechner falsche Inhalte auf einer Internetseite vorzugaukeln.

Ich denke bevor wir über die elSig im Internet sprechen sollte das Sicherheitsempfinden bei jedem Normaluser geschärft werden. Erst dann macht auch die Absicherung per elSig Sinn.