Die Bedeutung digitaler Signaturen und qualifizierter Zertifikate verstehen

In diesem Artikel erläutern wir, warum die ordnungsgemäße Aufbewahrung digitaler Signaturen und Siegel in vielen Fällen unerlässlich ist. Zunächst jedoch eine Erläuterung zu den verschiedenen Arten von Signaturen. 

1. Was ist eine digitale Signatur?

Eine digitale Signatur ist eine wertvolle Sicherheitstechnik, die auf einem mathematischen Verfahren basiert und mit der digitale Nachrichten oder Dokumente überprüft werden können. Sie ermöglicht den Nachweis:

• Wer hat die Informationen freigegeben oder genehmigt (Benutzerauthentifizierung)?
• Dass sich die Informationen seit der Unterzeichnung nicht geändert haben (Datenintegrität)

Aus technischer Sicht ist eine digitale Signatur ein Code, der mithilfe einer Public-Key-Infrastruktur (PKI) erstellt wird – einem asymmetrischen Kryptosystem mit zwei Schlüsseln, das ein hohes Maß an Vertraulichkeit und Verschlüsselung von Informationen gewährleistet. Die beiden Schlüssel – ein privater und ein öffentlicher – sind die beiden wesentlichen Komponenten, die diese sichere Datenverwaltung ermöglichen.

Es gibt drei Arten von digitalen Signaturen:

• Einfach—erfordert keine Identitätsprüfung des Unterzeichners
• Fortgeschritten—die von Zertifizierungsstellen ausgestellt werden, um eine Identitätsprüfung des Unterzeichners zu verlangen
• Qualifizierte elektronische Signaturen—ideal für Umgebungen mit hohem Risiko, in denen die Folgen eines Sicherheitsversagens verheerend sein könnten

2. Probleme mit digitalen Signaturen und deren Aufbewahrung

Von Behörden, Unternehmen und Privatpersonen wird erwartet, dass sie Briefe, Geschäftsunterlagen, Rechnungen, Verträge und sonstige Dokumente, die ihre Rechte belegen, aufbewahren. 

Diese können später als Beweismittel herangezogen werden, falls es zu Streitigkeiten über eine Transaktion kommt, beispielsweise im Zusammenhang mit Datenverlust oder Versuchen, die in den Aufzeichnungen enthaltenen Informationen zu ändern.

Aufgrund des technologischen Fortschritts kann die Speicherung jedoch nicht länger als etwa zehn Jahre als zuverlässig angesehen werden. 

Theoretisch gilt also: Ganz gleich, wie lang und komplex eine digitale Signatur heute auch sein mag – es wird der Tag kommen, an dem es möglich sein wird, den ihr zugrunde liegenden ‘Code zu knacken’ und somit diese Signatur – und das Dokument – zu ‘fälschen’.

 Diese Tatsache bringt eine Reihe von Herausforderungen im Zusammenhang mit der Aufbewahrung digitaler Dokumente und Signaturen mit sich:

• Befristete Überprüfung. 

• Einfache digitale Signaturen werden nur für die Gültigkeitsdauer des Zertifikats – in der Regel ein oder zwei Jahre – als gültig angezeigt (und akzeptiert). Daher reichen sie für Geschäftsdokumente, deren Echtheit über mehrere Monate oder Jahre hinweg nachweisbar sein muss, nicht aus. 

• Dazu gehören die Lebensdauer des Speichermediums, der verwendeten Schlüssel und Zertifikate, die Signaturmethode sowie die Formate von Dokumenten, Signaturen und Zertifikaten und die Lebensdauer der beteiligten (vertrauenswürdigen und sonstigen) Akteure.

• Digitale Zertifikate, deren Gültigkeitsdauer abgelaufen ist. 

• Nehmen wir an, ein Benutzer hat ein Dokument mit seinem gültigen Zertifikat signiert. Sobald das digitale Zertifikat des Unterzeichners jedoch abgelaufen ist, kann es nicht mehr validiert werden = es ist nicht mehr vertrauenswürdig.

• Technologischer Fortschritt. 

• Eine digitale Signatur hängt in hohem Maße von der Technologie ab, mit der sie erstellt wurde. Da sich die Technologie rasch weiterentwickelt, ist es unvermeidlich, dass sich digitale Signaturen ebenso schnell ändern. Andernfalls würden sie ihre Funktionalität verlieren.

Die Überprüfung einer digitalen Signatur sollte sich nach dem Zeitpunkt der Unterzeichnung des Dokuments richten und nicht nach der aktuellen Uhrzeit. 

War das Zertifikat zum Zeitpunkt der Signatur gültig, so bleibt die Signatur gültig, auch wenn das spätere Zertifikat abgelaufen oder widerrufen wurde. 

Es reicht jedoch nicht aus, sich allein auf die Angaben des Unterzeichners zum Zeitpunkt der Unterzeichnung zu verlassen. Um dieses Problem der Überprüfung von Signaturen nach einigen Monaten oder Jahren zu lösen, muss die einfache Signatur zu einer sogenannten langfristigen digitalen Signatur erweitert werden.

3. Rechtlicher Rahmen

Die Lösung für die oben genannten Probleme besteht darin, die Authentizität und Integrität aller aufbewahrten Unterlagen zu gewährleisten und damit Vertrauen zu schaffen. 

Wichtig ist, dass dies wesentlich kostengünstiger ist als die erneute Erstellung und Aktualisierung der digitalen Signaturen im Zuge der Weiterentwicklung der digitalen Technologie.

Die Notwendigkeit einer langfristigen Aufbewahrung wird unter anderem in der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt [i.2] anerkannt, wie aus Erwägungsgrund (61) hervorgeht:

“Diese Verordnung soll die langfristige Aufbewahrung von Informationen gewährleisten, um die Rechtsgültigkeit elektronischer Signaturen und elektronischer Siegel über längere Zeiträume hinweg sicherzustellen und zu garantieren, dass diese unabhängig von künftigen technologischen Veränderungen validiert werden können.“

Im Allgemeinen ist die qualifizierte Aufbewahrung digitaler Signaturen in den Gesetzen, Normen und Vorschriften der EU sowie weltweit geregelt. Die gängigsten und bewährtesten Normen sind die folgenden:

1. ETSI TS 119 511
   Richtlinien und Sicherheitsanforderungen für Vertrauensdienstleister, die die langfristige Aufbewahrung digitaler Signaturen oder allgemeiner Daten unter Verwendung digitaler Signaturverfahren gewährleisten.
2. ETSI EN 319 401
   Elektronische Signaturen und Infrastrukturen (ESI); Allgemeine politische Anforderungen an Vertrauensdienstleister.
3. eIDAS-Verordnung
   Artikel 34: Qualifizierter Aufbewahrungsdienst für qualifizierte elektronische Signaturen
   Artikel 40: Validierung und Aufbewahrung qualifizierter elektronischer Siegel

Die Stärke und Eignung der kryptografischen Mechanismen, auf denen die digitalen Signaturen basieren, ist zeitabhängig.

 Es müssen geeignete Mechanismen zur Aufbewahrung eingesetzt werden, die in der Lage sind, den Gültigkeitsstatus eines signierten Objekts über lange Zeiträume hinweg aufrechtzuerhalten. 

Um das Vertrauen in digitale Vorgänge – wie beispielsweise die digitale Signatur – zu gewinnen und zu erhalten, arbeiten Vertrauensdienstleister mit weltweit anerkannten Zertifizierungen und Standards.

4. Die wichtigsten Vorteile und Funktionen der Aufbewahrung digitaler Signaturen

Durch die Aufbewahrung digitaler Signaturen bewahren wir nicht nur die Signatur selbst auf, sondern – was noch wichtiger ist – auch den Inhalt des Signaturcontainers. Dieses Hauptziel wird durch die folgenden Funktionen erreicht und bietet die folgenden Vorteile.

Funktionen:

• Beweis für die Existenz allgemeiner Daten
• Aufbewahrung von Signaturen und den dazugehörigen signierten Daten
• Erweiterung der an den Archivierungsdienst übermittelten Nachweise (nützlich für die Übertragung von Daten von einem Dienst zu einem anderen)

Vorteile:

• Verlängerung der Vertrauenswürdigkeit der qualifizierten elektronischen Signatur über die technologische Gültigkeitsdauer hinaus
• Sicherheit durch Public-Key-Kryptografie, Validierung durch Zertifizierungsstellen und Validierung durch Vertrauensdienstleister
• Weltweite Akzeptanz in der Wirtschaft – immer mehr Unternehmen akzeptieren digitale Signaturen oder arbeiten sogar ausschließlich damit
• Zeitstempel – sind entscheidend für die Klärung der Abfolge von Ereignissen

Die digitale Langzeitarchivierung stellt sicher, dass digitalisierte und/oder von Anfang an digital vorliegende Objekte und Unterlagen auch im Laufe der Zeit und trotz des technologischen Fortschritts auffindbar, zugänglich und nutzbar bleiben. Dies ist der wesentliche Unterschied zwischen Datensicherung und Datenarchivierung. Bei der Langzeitarchivierung steht die Gewährleistung eines langfristigen Zugangs zu digitalen Objekten im Vordergrund.

5. Arten der Lagerung

Es gibt drei Haupttypen (Modelle) zur Aufbewahrung digitaler Signaturen, die in offiziellen Normen anerkannt sind.

1. Konservierungsdienstleistungen mit Lagerung. Die Daten werden vom Archivierungsdienst gespeichert, während die Beweismittel und die archivierten Daten auf Anfrage vom Archivierungsdienst an den Archivierungskunden übermittelt werden.
2. Konservierungsdienstleistungen mit Zwischenlagerung. Die Daten werden auf der Seite des Kunden gespeichert. Der Aufbewahrungsdienst speichert die Daten nur vorübergehend. Sobald die Beweismittel vorgelegt wurden, werden sie für einen bestimmten Zeitraum gespeichert, damit der Kunde sie abrufen kann.
3. Konservierungsdienstleistungen ohne Lagerung. Die Daten werden auf der Client-Seite gespeichert. Der Aufbewahrungsdienst bewahrt lediglich Spuren seiner Handlungen auf, um Nachweise über seine Aktivitäten vorlegen zu können.

6. Schlussfolgerung

Eine digitale Signatur ist ein allgemein anerkanntes Verfahren zur Überprüfung von Dokumenten, Transaktionen und Online-Vorgängen, bei dem die Datenintegrität und die Authentifizierung des Nutzers nachgewiesen werden. Ihr Unternehmen oder Ihre Organisation setzt digitale Signaturen (oder eine Form elektronischer Signaturen) wahrscheinlich bereits in Ihrem Tagesgeschäft ein.

Ohne eine ordnungsgemäße Aufbewahrung digitaler Signaturen ergeben sich jedoch mehrere Herausforderungen: Der technologische Fortschritt macht es unmöglich, Signaturen auf veralteten Technologien zu lesen; außerdem können Signaturzertifikate ablaufen oder widerrufen werden.

Eine Lösung für diese Herausforderungen ist die Aufbewahrung digitaler Signaturen unter Nutzung der Dienste von Drittanbietern, die mit weltweit anerkannten Zertifizierungen und Standards arbeiten. Auf diese Weise bleiben digitale Signaturen auch langfristig auffindbar, zugänglich und nutzbar. Darüber hinaus – und das ist das Wichtigste – können sie den Gültigkeitsstatus eines signierten Objekts über einen längeren Zeitraum hinweg aufrechterhalten.