computerwoche.de

Archiv

Europa ist auf dem Weg zu einheitlichen Rahmenbedingungen

Digitale Signaturen sorgen für Vertraulichkeit

10.09.1999
Viele Internet-Anwender wollen nur surfen, die meisten aber nutzen auch andere Dienste wie zum Beispiel E-Mail oder E-Commerce. Gerade im elektronischen Handel kommt es besonders auf Zuverlässigkeit und Vertrauenswürdigkeit der übertragenen Informationen an - ein ideales Einsatzgebiet für digitale Signaturen. Helmut Reimer* beschreibt das Verfahren und aktuelle rechtliche Zusammenhänge.

Digitale Signaturen sind besonders effektive kryptografische Verfahren, wenn es um die sichere Datenübertragung zwischen Sender und Empfänger (E-Mail und Dokumentenaustausch), Archivierung und den elektronischen Handel geht. Sie sollen vor allem folgende Probleme lösen:

- Verbindlichkeit: Hat die Information den Empfänger unverändert erreicht?

- Authentizität: Ist die Informa- tion "echt", stammt sie tatsächlich von dem angegebenen Absender?

Die Bildung digitaler Signaturen beruht auf asymmetrischen Verschlüsselungsverfahren, es ist also ein Schlüsselpaar notwendig. Einen der Schlüssel hält der Be- sitzer geheim ("Private Key"), mit ihm wird digital signiert ("unterschrieben"). Eine digitale Signatur kann jeder mit Hilfe des zweiten Schlüssels, dem öffent- lichen "Public Key" des Signierenden, prüfen. Das Stan- dardverfahren für digitale Signaturen besteht darin, daß verschiedene kryptografische Metho- den miteinander kombiniert werden.

Der Sender "A" nimmt zunächst seinen Klartext und generiert daraus mittels einer Hash-Funktion dessen Hash-Wert. Diese Prüfsumme codiert er anschließend mit seinem geheimen Schlüssel. Er erzeugt damit einen "Zusatz" zum ursprünglichen Text, die digitale Signatur. Beides zusammen wird an den Empfänger "B" gesandt. Die Summe aus Klartext und Signatur kann als elektronisches Dokument bezeichnet werden. Da der Empfänger "B" neben der digitalen Signatur auch die ursprüngliche Nachricht erhält und die Methode der Hash-Gewinnung kennt, kann er in seiner eigenen vertrauenswürdigen Umgebung die Generierung des Hash-Wertes aus dem Klartext nachvollziehen. Mittels des öffentlichen Schlüssels des Senders ist er (wie jeder andere beliebige Empfänger) in der Lage, aus der übermittelten digitalen Signatur wieder die ursprüngliche Prüfsumme zu entschlüsseln. Sind nun beide Hash-Werte identisch, kann der Empfänger davon ausgehen, daß der übermittelte Text vom genannten Sender stammt und unverfälscht angekommen ist.

Wollen Anwender sicher gehen, daß die von ihnen benutzte digitale Signatur auch bei gerichtlichen Streitigkeiten anerkannt wird, muß der öffentliche Schlüssel eindeutig seinem Benutzer zugeordnet werden können.

Dazu dienen Zertifikate, durch eine Zertifizierungsstelle digital signierte Datensätze, die den öffentlichen Schlüssel mit dem Namen und anderen Merkmalen (Attributen) seines Besitzers verbinden. Mit einem Attribut kann beispielsweise Ärzten der Zugriff auf medizinische Daten gestattet werden, was anderen Berufsgruppen verwehrt wird. Im Internet gibt es für die Zertifizierungs-Infrastruktur den PKIX-Standard (Public-Key Infrastructure oder X.509) der Internet Engineering Task Force (IETF).

Neben der eindeutigen Zuordnung auf seiten des Anwenders muß die digitale Signatur allerdings auch der eigenhändigen Unterschrift gleichgestellt werden. Viele Gesetze und Formvorschriften stammen noch aus dem vergangenen Jahrhundert. Sie verlangen verbindlich eine persönliche Unterschrift und müssen nun dem elektronischen Zeitalter angepaßt werden. Notwendige Voraussetzung dafür ist, daß der geheime Signaturschlüssel (Private Key) eindeutig und "sicher" dem Nutzer (meist als natürliche Person) zugeordnet werden kann und vertrauenswürdige Zertifikate für die öffentlichen Teilnehmerschlüssel (Public Key) durch eine Vertrauensinstanz, die Zertifizierungsstelle, als Teil einer Zertifizierungs-Infrastruktur bereitgestellt werden.

Die zahlreichen nationalen Si- gnaturgesetze verbinden im allgemeinen das Rechtsfolgenziel (also welche juristische Bedeutung eine elektronische Unterschrift hat) mit Regelungen zu den Rahmenbedingungen - insbesondere mit rechtlichen Vorgaben und technischen und organisatorischen Anforderungen an die Zertifizierungsinfrastruktur. Das deutsche Signaturgesetz bildet insoweit eine Ausnahme, als es ausschließlich technische und organisatorische Bedingungen für "sichere" digitale Signaturen definiert.

Am 22. April 1999 hat nun der Telekommunikationsrat der EU der "Richtlinie des europäischen Parlaments und des Rates über gemeinsame Rahmenbedingungen für elektronische Signaturen" zugestimmt und sie dem europäischen Parlament zur zweiten Lesung zugeleitet. Sie ist technikoffener als der deutsche Ansatz, läßt organisatorischen Abläufen mehr Spielraum und geht davon aus, daß auch über Haftungsregelungen zu vertrauenswürdigen Angeboten von Zertifizierungsstellen beigetragen werden kann. Beim deutschen Signaturgesetz ist vielfach der gewaltige Aufwand kritisiert worden, den die Vorschriften für Zertifizierungsstellen und Anwender mit sich bringen.

Eckpunkte der EU-Richtlinie zu "Elektronischen Signaturen" sind:

- Rechtliche Gleichstellung von elektronischer Signatur und eigenhändiger Unterschrift;

- "fortgeschrittene" elektronische Signaturen: qualifiziertes Zertifikat, sichere Signatur-Erstellungseinheit;

- andere elektronische Signaturen: keine A-priori-Diskreditierung;

- Zertifizierungsstellen: keine Lizenzierung, freiwillige Akkreditierung möglich, Haftungsregelungen, gegenseitige Anerkennung auf Policy-Basis, keine Hierarchievorgaben.

Diese Rahmenrichtlinien werden in Europa zu einem Wettbewerb zwischen unterschiedlichen Ansätzen für elektronische Signierverfahren führen. Die Anforderungen an qualifizierte Zertifikate, dafür geeignete Zertifizierungsstellen und an sichere Signatur-Erstellungseinheiten werden gemeinsam von den EU-Mitgliedsländern festgelegt. Eine Initiative der EU zur Standardisierung der elektronischen Signatur unterstützt dabei die Verbreitung interoperabler Signierverfahren. Das Bundesministerium für Justiz hat auf diese Bestrebungen reagiert und am 19. Mai 1999 einen "Entwurf eines Gesetzes zur Anpassung der Formvorschriften des Privatrechts an den modernen Rechtsgeschäftsverkehr" vorgelegt. Er sieht Änderungen des Bürgerlichen Gesetzbuchs (BGB), der Zivilprozeßordnung (ZPO) und anderer Gesetzeswerke im Sinne des Electronic Commerce vor: Die für bestimmte Geschäfte zwingend erforderliche eigenhändige Unterschrift wird eventuell ganz gestrichen oder durch die Möglichkeit einer digitalen Signatur ergänzt.

*Helmut Reimer ist Geschäftsführer des Vereins zur Förderung der Vertrauenswürdigkeit von Informations- und Kommunikationstechnik, Teletrust Deutschland e.V.

Abb: Ein verschlüsseltes Komprimat der Ursprungsdatei belegt die Unverfälschtheit des Dokuments. Quelle: Teletrust