Stellen Sie sich vor, jemand wollte Ihnen ein Fahrzeug in einem Land verkaufen, wo gar keine Straßen existieren. Oder Sie würden versuchen, einen Investor zum Bau von Straßen zu überreden, obwohl es gar keine Fahrzeuge gibt, die diese benutzen könnten. Besonders prekär wäre die Situation, wenn zudem ein Gesetz bestünde, das nur vierspurige Autobahnen als Straßen zuließe. Auf dieser Basis hätte sich das Automobil sicher nicht durchgesetzt.

Im übertragenen Sinne ist genau dies die Situation im Bereich der digitalen Signatur: Den Fahrzeugen entsprechen die privaten Signaturkarten, den Straßen die Infrastruktur einschließlich der Anwendungen. Deshalb verwundert es nicht, wenn das volle Potenzial der Online-Welt bislang nicht ausgeschöpft wird. Während die Menschen das Internet als alltägliches Kommunikations- und Informationsmedium annehmen, stecken E-Commerce und E-Government noch immer in den Kinderschuhen.

Würde die digitale Signatur breit verwendet, so wäre es den Bürgern möglich, sich bequem über das Internet umzumelden, ihre Steuererklärung abzugeben und ein neues Fahrzeug anzumelden, Personalausweis oder Reisepass zu bestellen, Bafög oder Wohngeld zu beantragen - ja sogar online zu wählen. Verbraucher könnten im Internet rechtsverbindliche Verträge und Versicherungen oder Sparverträge abschließen, Aktien handeln, einkaufen und ihren Urlaub buchen. Verwaltungen und Behörden wären in der Lage, ihre Dienstleistungen und Prozesse mit Hilfe einer chipbasierenden Bürgerkarte wesentlich effizienter und kostengünstiger zu organisieren. Unternehmen könnten ihre Liefer- und Leistungsbeziehungen miteinander vernetzen, ihre Prozesse verschlanken und beschleunigen, neue Dienstleistungen entwickeln und sichere Zugangskontrollsysteme für Gebäude und/oder IT-Systeme einführen.

Das A und O der Datensicherheit

Konzeptionell sind solche Anwendungen vielfach diskutiert. Und in der Praxis hat die erste E-Commerce-Welle auch bereits nennenswerte Erfolge beispielsweise im Online-Brokerage oder im Versandhandel vorzuweisen. Für viele Unternehmen hat sich E-Shopping beziehungsweise E-Banking zu einer wichtigen Säule des Geschäfts entwickelt, so etwa beim Otto-Versand oder der Deutschen Bank. Allerdings findet die Autorisierung der Transaktion noch immer durch ein speziell für den jeweiligen Zweck eingeführtes Verfahren statt, etwa durch PIN/TAN.

Heute noch scheitern zu viele "E"-Anwendungen daran, dass die Identität des Kommunikationspartners nicht zweifelsfrei festgestellt werden kann. Hier liegt das A und O der Datensicherheit. Ob es sich um EC- und Bürgerkarte oder spezielle Kundenkarten handelt - noch vor einer abgesicherten Transaktion rangiert die zuverlässige Authentifizierung: Ich bin der, für den ich mich ausgebe.

Voraussetzung dafür ist eine Chipkarte mit integrierter digitaler Signatur, die die Identität des Eigentümers sicherstellt. Würde eine solche Chipkarte allen Bürgern angeboten sowie verbindlich anerkannt und allgemein akzeptiert, so ließen sich damit sämtliche Service- und Kaufangebote sicher in Anspruch nehmen. Deutschland könnte mit dieser Chipkarte international eine Vorreiterrolle ausfüllen und damit sein Image als innovatives, zukunftsoffenes Land stärken.

Schuld ist die Henne-Ei-Problematik

Im Prinzip ist diese Chipkarte da. Allerdings scheitert ihr flächendeckender Einsatz daran, dass die aktuellen Rahmenbedingungen eine standardisierte, interoperable, offene, praktikable und finanzierbare Infrastruktur bislang verhindern. Die Diskussion um die digitale Signatur ist daher im Kern kein Fachthema, sondern eines von herausragender wirtschaftlicher und politischer Bedeutung. Vom Ausgang dieser Diskussion hängt nicht unwesentlich ab, wie sich E-Commerce und E-Government entwickeln.

Ein wesentlicher Grund für die unzureichende Verbreitung digitaler Signaturen liegt in der oben skizzierten Henne-Ei-Problematik: Der Erwerb einer Chipkarte lohnt sich für den Bürger nur, wenn eine entsprechende Anzahl von Anwendungen zur Verfügung steht. Die Wirtschaft wiederum wird erst dann Anwendungen bereitstellen, wenn es eine ausreichende Anzahl von Kunden gibt, die diese auch nutzen können.

Diese Problematik ist nicht neu: Schon bei der Einführung des Telefons im späten 19. und frühen 20. Jahrhundert dauerte es lange, bis die neue Infrastruktur flächendeckend genutzt wurde. Anfangs wollte niemand einen Telefonanschluss installieren lassen, weil es keinen gab, den er hätte anrufen können.

Dementsprechend stehen verschiedene Hindernisse einer raschen Verbreitung der digitalen Signatur entgegen:

- Die zu starke Differenzierung (einfache, fortgeschrittene, qualifizierte, akkreditiert qualifizierte digitale Signatur) verunsichert den Anwender.

- Es gibt keine flächendeckende Infrastruktur, die sowohl Kunden als auch Anbieter einschließt. Der Status quo ist durch Insellösungen statt durch Interoperabilität gekennzeichnet. Die technischen Angebote sind nicht miteinander vereinbar.

- Die hohen Kosten für die Zertifizierungsservices der Trust-Center sowie den Kauf einer Chipkarte und eines Kartenlesegerätes schrecken potenzielle Nutzer ab.

- Tragfähige Geschäftsmodelle fehlen nach wie vor.

Ein Neuansatz bei der Definition und Einführungsstrategie der digitalen Signatur erscheint zwingend erforderlich: Angestrebt wird nicht mehr die theoretisch denkbar höchste Sicherheit; für eine möglichst breite Vielfalt der Anwendungen ist vielmehr ein optimales Verhältnis aus Sicherheit, Kosten und Nutzen das Ziel. Nur so kann die digitale Signatur zu einem universellen Sicherheitswerkzeug in Massenanwendungen werden.

Eigentlich ist das Common Sense. Sitzen Sie etwa mit umgeschnalltem Fallschirm im Flugzeug? Haben Sie Ihr Haus mit Flutlicht, Stacheldraht, Wachtürmen und Selbstschussanlagen zum Hochsicherheitstrakt ausgebaut? Legen Sie sich nur mit Schwimmweste in die Badewanne? Überall betreiben wir Risiko-Management, indem wir die Kosten der Vorsorge und Schadensregulierung gegen den Nutzen abwägen. Nicht mehr und nicht weniger sollten wir auch bei der digitalen Signatur tun.

Im Alltag würde eine Signaturkarte vollkommen ausreichen, die dasselbe Sicherheitsniveau wie die heutigen Bankkarten bietet. Ein und dieselbe Karte kann beispielsweise für sicheres Online-Banking genutzt werden, aber auch für den Abruf der individuellen Daten zur Rentenversicherung bei der Bundesversicherungsanstalt für Angestellte (BfA). Dies hat ein Test mit 5000 von der Deutschen Bank ausgegebenen Signaturkarten ("Websign24+") belegt.

Die vorhandenen Daten müssen reichen

Zwei Dinge sind dabei wichtig: Die mit der Karte erzeugte digitale Signatur muss rechtsverbindlich und von allen Behörden anerkannt, also qualifiziert im Sinne des Signaturgesetzes sein, damit der Bürger den Nutzen der Karte erfasst. Zudem sollten die personenbezogenen Daten, die in den Banken bereits vorliegen, für die Ausgabe der Signaturkarten reichen. Muss bei jeder Karte ein gesonderter Identifizierungsprozess in Gang gesetzt werden, kommt die digitale Signatur aufgrund zu hoher Kosten nicht zum Fliegen. Dasselbe gilt, wenn erst eine aufwändige Belehrung stattzufinden hat.

Eine Differenzierung zwischen verschiedenen Typen qualifizierter Signaturen sollte es für den Privatanwender nicht geben. Sie verwirrt den Kunden eher und könnte dazu führen, dass jede Anwendung wieder ihre eigene Signaturkarte benötigt. Die Vereinheitlichung der Signaturtypen bliebe aber wirkungslos, wenn nicht auf technischer Ebene die vorhandenen Insellösungen zu einer einheitlichen Public-Key-Infrastruktur (PKI) integriert würden. Das setzt ein einheitliches Kartendesign und klar definierte Schnittstellen voraus.

Für jeden Nutzer - Bürger wie Händler oder Behörde - muss es ohne technische Schwierigkeiten möglich sein, ein digital signiertes Dokument auf seine Gültigkeit zu prüfen. In der Praxis kann das über einen Validierungsdienst für die verwendeten Zertifikate oder über Listen widerrufener Zertifikate (Certificate Revocation Lists = CRLs) erfolgen. Bestehende Private-Public-Partnership-Initiativen wie die European Bridge-CA (siehe CW 17/01, Seite 60: "Mehr Sicherheit im E-Commerce", Anm. d. Red.) eignen sich hervorragend, um unterschiedliche Zertifizierungsinstanzen (Certification Authorities, kurz: CAs) zu vernetzen.

Daraus entstünde eine Win-win-Situation für alle Beteiligten. Die Unternehmen könnten auch intern neue Sicherheitsarchitekturen entwerfen und umsetzen - angefangen von der Zutrittskontrolle bis hin zur Vergabe von Nutzerrechten in den IT-Systemen. E-Commerce-Anwendungen ließen sich einfacher und sicherer nutzen. Auch der Staat würde damit die Voraussetzung schaffen, E-Government flächendeckend und sicher nutzbar zu machen.

Die Banken haben am Siegeszug der digitalen Signatur ein Interesse und sind bereit, aktiv daran mitzuarbeiten. Als einzige Branche verfügen sie über flächendeckende Kartenlösungen, Point-of-Sales-Terminals sowie etablierte Prozesse zum Karten-Management. Über den Zentralen Kreditausschuss (ZKA) haben sie sich bereits auf die notwendigen, Isis-MTT-konformen Standards geeinigt.

Andererseits können die Banken nicht auf eigene Kosten eine allgemein nutzbare Sicherheitsinfrastruktur bereitstellen - zumindest nicht, ohne eine klare Vorstellung darüber, wie sich daraus neue Erträge erzielen lassen. Deshalb begrüßen und fördern sie die laufenden Bestrebungen, im Rahmen einer Public-Private-Partnership-Initiative die Konzeption für tragfähige Geschäftsmodelle zu entwickeln.

Die Deutsche Bank prüft zurzeit, welche Investitionen intern für die Bereitstellung von Bankkarten mit digitaler Signatur notwendig wären und wie sich Business-Modelle mit dieser Funktion rechnen. Anwendungen gibt es genug: Im Rahmen des jetzt gestarteten Signaturbündnisses will das Geldinstitut seinen Kunden optional eine EC-Karte mit Signaturchip anbieten. Im Geschäft mit Firmenkunden setzt es bereits heute ein Chipkarten-gebundenes Verfahren ein. Mittelfristig sollen Mitarbeiterausweise hinzukommen, die konform zu den Übereinkünften des Signaturbündnisses gestaltet sind. Voraussetzung dafür ist, dass aus dessen Arbeitsgruppen tragfähige Konzepte hervorgehen. Der Aufbau einer neuen Infrastruktur wird zudem nur gelingen, wenn sich alle, die vom Einsatz der digitalen Signatur profitieren, in angemessener Weise an den Kosten beteiligen.

Darüber hinaus ließe sich mit gemeinsamem Cross-Marketing die Einführung der digitalen Signatur beschleunigen. So könnten etwa PC-Hersteller, Online-Anbieter und Banken Pakete schnüren: Der Laptop ließe sich per Chipkarte sichern, der Online-Anbieter könnte auf dieser Basis sichere E-Mail zur Verfügung stellen, und die Bank trüge zur Akzeptanz bei, indem sie ein sicheres Internet-Banking noch bequemer anbietet.

Erste Ansätze erscheinen vielversprechend

Der Aufbau einer neuen Infrastruktur bedarf der gemeinsamen Anstrengung von Staat und Wirtschaft, Banken und Händlern. Die Gründung des Signatur-bündnisses zwischen Staat und Wirtschaft ist ein wichtiger Schritt in diese Richtung. Zunächst müssen die rechtlichen Rahmenbedingungen abschließend geklärt, dann ein von allen Seiten akzeptiertes Geschäftsmodell entwickelt sowie schließlich Aufgaben und Verantwortlichkeiten verteilt werden. Die ersten Ansätze bei der Klärung der rechtlichen Fragen sind sehr vielversprechend. (qua)

*Hermann-Josef Lamberti ist Mitglied des Group Executive Committee und Chief Operating Officer der Deutschen Bank.