Wissenswertes zur Digitalen Signatur

Die elektronischen Medien werden für den Datentransfer immer wichtiger. Der Kontakt zwischen Menschen, die sich nicht persönlich kennen, sollte in einem rechtssicheren Raum stattfinden. Deshalb ist es essentiell zu wissen, ob die Person, mit der wir kommunizieren, tatsächlich diejenige ist, für die sie sich ausgibt. Relevant ist auch, dass Daten beim Empfänger so ankommen, wie sie abgeschickt wurden, unverfälscht, nicht manipuliert, weder verkürzt noch mit Zusätzen versehen.

Ohne diese beiden Grundvoraussetzungen ist rechtsverbindliches Handeln im Internet nicht möglich. Die digitale Signatur stellt die Identität des Kommunikationspartners genauso wie die Integrität der Inhalte sicher.

Die Technik der digitalen Signatur beruht auf zwei elektronischen Schlüsseln, einem öffentlichen und einem privaten (sogen. "asymmetrisches Verfahren"). Inhalte, die mit dem privaten Schlüssel verschlüsselt werden, können nur mit dem öffentlichen Schlüssel entschlüsselt werden. Der private Schlüssel bleibt immer geheim, der öffentliche ist jedermann zugänglich. Der private kann durch den öffentlichen Schlüssel nicht errechnet werden.

Die digitale Signatur kann mit einem Siegel verglichen werden. Für das Erzeugen einer digitalen Signatur kann einer Person ein einmaliger geheimer privater Signaturschlüssel eindeutig zugeordnet werden. Dieser private Schlüssel befindet sich auf einer Chipkarte und kann nur zusammen mit einer PIN-Nummer verwendet werden. Damit kann der Inhaber des Schlüssels immer wieder Dokumente signieren. Mit einem öffentlichen Schlüssel kann die Signatur jederzeit überprüft werden.

Von vorhandenen Daten wird zunächst basierend auf einem mathematischen Verfahren die Quersumme gebildet, der sog. Hash-Wert. Nun wird nur diese Quersumme mit dem privaten Signaturschlüssel verschlüsselt.

Mit dem öffentlichen Schlüssel kann die Signatur überprüft werden, indem dieser die ursprüngliche Quersumme wieder herstellt. Parallel wird von den signierten Daten erneut eine Quersumme gebildet und diese dann mit der vorliegenden entschlüsselten Quersumme verglichen. Bei der Übereinstimmung ist das der Beweis für die Authentizität der Daten. Das Zertifikat, ein kurzes elektronisches Dokument, das den öffentlichen Schlüssel dem privaten zuordnet, bestätigt die Zuordnung des Signaturschlüssels zu einer natürlichen Person. Das Zertifikat wird bei einer behördlich genehmigten Zertifizierungsstelle beantragt und muss bei jedem elektronischen Datenaustausch vorgewiesen werden. Neben den Pflichtfeldern werden bei der DECODA-Chipkarte  auch die Registrierungsstelle, die Firma und ihre Ident-Nummer aufgenommen.

Wie werden digitale Signaturen erzeugt?

Sie haben ein Dokument vorliegen, das Sie digital signieren wollen. Sie führen Ihre SmartCard in Ihr Smart-Card-Lesegerät ein. Bevor Sie das Dokument absenden, aktivieren Sie die Signaturfunktion Ihrer SmartCard und geben Ihre geheime PIN ein, senden das Dokument wie gewohnt - und das war alles! Übrigens können Dokumente und Dateien unterschiedlichsten Typs digital signiert werden, wie beispielsweise Texte, Bilder, Sprachdokumente, Musik, Software oder auch Filme.

Ihre SmartCard ist ein sicheres Instrument zum elektronischen bzw. digitalen Unterschreiben. Überprüfen Sie vor Versand immer den Inhalt ihrer Dateien, die signiert werden sollen. Stellen Sie sicher, dass sämtliche Hard- und Software in ordnungsgemäßem Zustand sind, nicht von Dritten manipuliert werden konnte und gesetzeskonform sind. Stellen Sie ebenso sicher, dass alle Geräte zuverlässig und gemäß Ihrer Spezifikationen installiert wurden. Nur so kann die durch die digitale Signatur erreichte Rechtssicherheit zuverlässig erhalten bleiben.

Wie werden digitale Signaturen geprüft?

Wenn Sie Daten und Nachrichten von anderen erhalten, die von diesen digital signiert wurden, wollen Sie natürlich sichergehen, dass die Absenderangaben korrekt und der Inhalt der Nachricht unverfälscht bei Ihnen angekommen ist. Zertifikate können ungültig werden oder auch gesperrt werden und Sie müssen sicher sein können, dass alle relevanten Zertifikate zum Zeitpunkt des Signierens gültig waren.

Wenn der öffentliche Schlüssel des Absenders von diesem für den öffentlichen Verzeichnisdienst freigegeben ist (was grundsätzlich zu empfehlen ist), so kann er unter folgendem Link abgerufen werden. Falls dies nicht der Fall ist, sind Sie dennoch in der Lage, eine Signatur zu prüfen, indem Sie mit D-TRUST Kontakt aufnehmen.

Wer kann Ihre digital signierten Nachrichten und Daten lesen?

Die digitale Signatur ist keine Verschlüsselung, sondern bestätigt nur die Authentizität und die Integrität des Dokuments! Ein Ausspähen des Dokuments kann jedoch allein mit der digitalen Signatur nicht verhindert werden. Denken Sie an eine Postkarte: Diese ist in Klarsichtfolie eingeschweißt, sie ist für jedermann lesbar, aber nicht fälschbar. Erst wenn die Postkarte in einem Briefumschlag versandt wird, könnte sie auch nicht gelesen werden. Deshalb wird zusammen mit der digitalen Signatur auch meistens noch eine Verschlüsselung zusätzlich eingesetzt! Dieses verschlüsselte Dokument kann dann aber nur von einem Berechtigten wieder entschlüsselt werden , d.h. er benötigt ebenfalls eine Signaturausstattung .

Was sind die Bedingungen dafür, dass Ihnen eine digitale Signatur im Rechtsverkehr zugeordnet wird?

Alle mit Ihrem privaten Signaturschlüssel erzeugten digitalen Signaturen werden Ihnen grundsätzlich zugeordnet, wenn das Zertifikat gültig war. Es muss vermutet werden, dass die jeweils erzeugte digitale Signatur mit Ihrem Willen erzeugt wurde. Nur, wenn diese Vermutung durch Fakten widerlegt werden kann, wird eine digitale Signatur NICHT dem Inhaber des privaten Signaturschlüssels zugeordnet.

Was muss man im Umgang mit Chipkarte und PIN beachten?

Die SmartCard mit dem dazugehörigen Zertifikat ist drei Jahre gültig. Die Karte muss diebstahlgeschützt in persönlichem Besitz verwahrt werden und darf nicht an andere übergeben werden. Sollten Sie die Karte verlieren, müssen Sie diese umgehend sperren lassen. Die Sperrung kann bei D-TRUST telefonisch vorgenommen werden. Sie brauchen dafür lediglich Ihr Sperrpasswort anzugeben. Benutzen Sie alle Geräte und Programme nur gemäß ihrer Spezifikationen und Dokumentation.

Wenn Sie Ihre Signaturkarte nicht mehr benötigen, sollten Sie sie durch Zerschneiden oder Lochen unbrauchbar machen. Sie können das Zertifikat  telefonisch unter Angabe des von Ihnen gewählten Passworts sperren lassen.

Geben Sie Ihre PIN nicht an andere weiter. Wer im Besitz der PIN und Ihrer Chipkarte ist, kann digital signieren. Sie müssen die PIN in jedem Falle geheim halten. Sollte dennoch jemand Kenntnis von Ihrer PIN erhalten, lassen Sie Ihr Zertifkat sperren. Ihre PIN wird Ihnen in zwei Teilen mit getrennter Post zugesandt, um Mißbrauch zu erschweren. Bitte denken Sie daran: Nach dreimaliger Eingabe einer falschen PIN sperrt Ihre Chipkarte automatisch den Zugang zu Ihrem privaten Schlüssel und zwar unwiderruflich. Sie können dann mit Ihrer Karte nicht mehr digital signieren. Vermeiden Sie deshalb Fehler bei der Eingabe!

Wer verwaltet die persönlichen Daten?

Ein Trustcenter, in unserem Falle D-TRUST, erzeugt unter strengsten Sicherheitsvorkehrungen Zertifikate und Chipkarten. Es verwaltet Daten von Personen, die auf der Chipkarte gespeichert sind. Es bestätigt durch Zertifikate, das die Daten zu einer bestimmten Person gehören und unterrichtet den Antragsteller zum Beispiel durch die Registrierungsstelle (also Ihre IHK) über erforderliche Maßnahmen zur Gewährleistung der Sicherheit der digitalen Signatur. Trustcenter leisten auch Zeitstempeldienste, wenn der Zeitpunkt der Erzeugung oder Versendung eines Dokuments relevant ist.

Welche Funktionen und Aufgaben hat Ihre Registrierungsstelle?

Die Registrierungsstelle, also Ihre IHK, nimmt die Anträge zur Zertifizierung auf, identifiziert die Antragssteller und unterrichtet die Antragsteller über alle Fragen rund um die digitale Signatur.

Die IHKs sind verpflichtet, die Identität eines Antragstellers eindeutig festzustellen, bevor ein Antrag auf digitale Signatur angenmnehmen können. Der Antragsteller muss sich durch Vorlage eines gültigen Personalausweises oder Reisepasses ausweisen, der in der IHK kopiert wird. Die Kopie wird zusammen mit den anderen Antragsunterlagen an D-TRUST gesandt.

Wie sieht es mit dem Datenschutz aus?

Die IHK-Registrierungsstellen und unser Trustcenter D-TRUST unterliegt im Umgang mit Kundendaten dem Datenschutzgesetz. Wenn vom Kunden gewünscht, können persönliche Daten in den Verzeichnisdienst des Trustcenters aufgenommen und von andern eingesehen werden. D-TRUST ergreift die erforderlichen Maßnahmen, um Kundendaten vor dem Zugriff Dritter zu sichern. Nur auf gerichtliche Anordnung kann eine Weitergabe von Daten erfolgen. Eine kommerzielle Nutzung der Daten findet nicht statt.

Seit dem 01.08.2001 ist die elektronische Signatur der Unterschrift von Hand privatrechtlich grundsätzlich gleichgestellt. Bislang galt: Wenn der Gesetzgeber für ein Rechtsgeschäft die Schriftform vorschrieb, so war damit die Papierform und ergänzend die Unterschrift von Hand gemeint. Obwohl also mittlerweile fast alle Texte am PC erstellt werden, mussten sie ausgedruckt werden, um volle Rechtswirkung zu haben. Nun wurde als Alternative zur Schriftform die elektronische Form eingeführt. Hierbei entspricht die sogenannte "qualifizierte elektronische Signatur" - diesen Status erfüllt die Signatur im IHK-Startpaket - der Unterschrift von Hand. Dabei ist zu berücksichtigen, dass die qualifizierte elektronische Signatur in Verbindung mit einem elektronischen Dokument nur dann gültig ist, wenn der Unterzeichner auch seinen Namen unter das elektronische Dokument gesetzt hat.

Das heißt: Willenserklärungen mit Schriftformerfordernis können ab sofort ebensogut in elektronischer Form mit qualifizierter elektronischer Signatur abgegeben werden - wenn nicht ausdrücklich etwas anderes festgeschrieben wurde. (Solche Ausnahmen gelten z.B. bei der Beendigung von Arbeitsverhältnissen einschließlich der Zeugniserteilung, der Erteilung einer Bürgschaftserklärung, eines Schuldversprechens und eines Schuldanerkenntnisses. Auch notariell zu beglaubigende Unterschriften können nur von Hand abgegeben werden. Dies sind Fälle, in denen der Gesetzgeber eine erhöhte Rechtssicherheit gewährleisten will.)

Auch die Zivilprozessordnung lässt die elektronische Form als Ersatz für die Schriftform zu. Soweit für vorbereitende Schriftsätze, Anträge und Erklärungen der Parteien sowie für Auskünfte, Aussagen, Gutachten und Erklärungen Dritter die Schriftform vorgesehen ist, genügt dieser Form die Aufzeichnung als elektronisches Dokument, wenn diese für die Bearbeitung durch das Gericht geeignet ist. Die verantwortende Person soll das Dokument mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehen. Allerdings sollen die Bundesregierung und die Landesregierungen für ihren Bereich durch Rechtsverordnungen den Zeitpunkt bestimmen, von dem an elektronische Dokumente bei den Gerichten eingereicht werden können.

Der Abschluss eines Rechtsgeschäftes in elektronischer Form und mit elektronischer Signatur ist nur eine Alternative zur Unterschrift von Hand. Um ein Rechtsgeschäft in elektronischer Form abzuschließen ist es erforderlich, dass alle Beteiligten diesem Vorgehen zustimmen und über die notwendige technische Ausstattung verfügen. Unter dieser Voraussetzung können  gerade Unternehmen von der elektronischen Signatur profitieren: digitale Geschäftsprozesse werden auf eine rechtlich und technisch sichere Basis gestellt. Hierdurch entstehen beträchtliche Einsparpotentiale, denn der Versand per Post und der Papierausdruck sind nicht mehr erforderlich.

Signaturanwendungen der IHK
 
Die Signatur kann bereits in Standard- Software wie bspw. Microsoft Outlook eingesetzt werden. Auch in der IHK-Landschaft gibt es bislang  erfolgreiche Anwendungen für die digitale Signatur. Eine dieser Anwendungen wurde bereits mit einem angesehenen Innovationspreis ausgezeichnet.
 
Ursprungszeugnisse (UZ)
Das Ursprungszeugnis ist eines der wichtigsten Exportdokumente im Handel. Den IHKs in Deutschland obliegt per IHK Gesetz die Ausstellung dieses Zeugnisses. Das Projekt "UZ" erlaubt die elektronische Einreichung von Ursprungszeugnissen, die anschließend - bei Bewilligung - in den Kammern ausgedruckt und den Unternehmen zugesandt werden. Für die Unternehmen besteht die Möglichkeit, am Bearbeitungsprozess teilzunehmen, indem die Bearbeitungsanmerkungen eingesehen und auf diese direkt reagiert werden kann.

Die Industrie- und Handelskammer Südthüringen  bietet als Registrierungsstelle zusammen mit der DE-CODA GmbH und der D-TRUST GmbH das speziell für kleine und mittelständische Unternehmen entwickelte Startpaket zur elektronischen Signatur an.

Persönlich vor Ort sein
Zur Beantragung Ihres individuellen Startpaketes ist es nötig, dass Sie persönlich in unserem Hause erscheinen. Vereinbaren Sie hierzu am besten einen Termin mit dem zuständigen IHK-Mitarbeiter.

Was Sie mitbringen sollen
Für die Antragstellung müssen Sie Ihren Personalausweis mitbringen, der noch mindestens sechs Wochen gültig sein muss. Wenn die Signaturausstattung für dienstliche Zwecke eingesetzt werden soll, dann wird der Arbeitgeber mit in das Zertifikat aufgenommen. Sofern der Antragsteller z.B. als Geschäftsführer oder Prokurist offiziell zeichnungsberechtigt ist, muss er dieses per Handelsregisterauszug nachweisen.

Überprüfung muss sein
Der Registrierungsmitarbeiter in der IHK ist bei einer Antragstellung gesetzlich verpflichtet, Ihre Identität anhand des Personalausweises sowie die Firmenangaben zu überprüfen.

Wir informieren wie's funktioniert
Während der Registrierung erhalten Sie die gesetzlich vorgeschriebenen Unterrichtungsunterlagen zur elektronischen Signatur und die AGB´s der Firma D-TRUST. In den Unterrichtungsunterlagen finden Sie wichtige Informationen über die Nutzung der elektronischen Signatur.

Ihr individuelles Startpaket aus Berlin
Nachdem Ihr Antrag aufgenommen wurde, werden Ihre Daten an die Zertifizierungsstelle, der D-TRUST GmbH in Berlin, übermittelt. Dort wird unter strengsten Sicherheitsauflagen Ihre individuelle Signaturkarte erzeugt. Zwei bis drei Wochen nach der Antragstellung erhalten Sie zunächst einen Brief mit Ihrer PIN-Nummer und zwei bis drei Tage später Ihr Startpaket mit Ihrer persönlichen Signaturkarte.

PostIdent-Verfahren
Neben der persönlichen Beantragung vor Ort bei der IHK besteht auch die Möglichkeit, die Signaturkarte über ein sogenanntes PostIdent-Verfahren zu beantragen. Hier liegt der Vorteil darin, dass Sie nicht direkt zu einer IHK gehen müssen, sondern alles über Ihre Post in der näheren Umgebung abwickeln können. Nähere Informationen hierzu erhalten Sie auf der Internetseite von D-Trust. Den Link haben wir links in der Servicespalte unter "Externe Links" für Sie hinterlegt.

In ihrem Merkblatt „Elektronische Kommunikation für öffentlich bestellte und vereidigte Sachverständige“, siehe Download, erläutert die DE-CODA das Verfahren für elektronische Gutachten. Dies betrifft zum einen die elektronischen Gerichtsgutachten, einschließlich der Übermittlung ans Gericht und der elektronischen Akteneinsicht. Zum anderen wird das elektronische Privatgutachten erklärt. Die für die Sachverständigen zuständigen Bestellungskörperschaften sehen für elektronische Gutachten die Absicherung per qualifizierter elektronischer Signatur vor. Daher beschreibt das Merkblatt auch die Beschaffung und Nutzung der Signaturkarte für Sachverständige.

Der Elektronische Rechtsverkehr wird für die deutschen Gerichte zum 1. Januar 2022 verbindlich.

Quelle: DE-CODA