Vertrauen als Bestandteil der Sicherheit im elektronischen ...

Kapitel:2 Die elektronische Signatur
hinterlegt werden, wo sie jeder abrufen kann. Das Verteilungsproblem der öffentlichen
Schlüssel wäre so gelöst. Nutzt man zur Verschlüsselung erst den eigenen privaten
Schlüssel und dann noch einmal den öffentlichen Schlüssel des Empfängers, ist
sichergestellt, dass die Daten nur vom Empfänger gelesen werden können und dass der
Empfänger sicher feststellen kann, wer der Absender der Daten ist. Ein oft genutztes
asymmetrisches Verschlüsselungsverfahren ist der so genannte RSA Algorithmus. Eine
leicht verständliche Erklärung des Algorithmus findet sich auf den WWW Seiten von Pro
Privacy (http://www.pro-privacy.de/pgp/tb/de/rsa.htm), die in den Anhang dieser Arbeit
übernommen wurde (siehe Abschnitt 9.1.).
Auf der Nutzung von asymmetrischer in Verbindung mit symmetrischer Verschlüsselung
beruht das von den wichtigsten Web-Browsern unterstützte SSL-Verfahren, das im
Abschnitt 2.3 kurz vorgestellt wird.
2.2. Gesetzliche Grundlagen – das Signaturgesetz
Im Jahre 1997 wurde in Deutschland das erste Signaturgesetz Europas verabschiedet. Es
setzte die „rechtlichen Rahmenbedingungen für die Anbieter von Zertifizierungsdienstleistungen
digitaler Signaturen“. Im Jahr 2001 wurde das Gesetz novelliert, um es
an die EU-Richtlinie über gemeinschaftliche Rahmenbedingungen für elektronische
Signaturen vom 13.12.1999 anzupassen.
Die Regelungen des Signaturgesetzes entsprechen den Anforderungen für die Nutzung
einer asymmetrischen Verschlüsselung, ohne ein solches Verfahren explizit
vorzuschreiben. Die öffentlichen Schlüssel der asymmetrischen Verschlüsselungsverfahren
entsprechen den Prüfschlüsseln im Gesetz und die privaten Schlüssel den
Signaturschlüsseln des Gesetzes.
Es werden drei Arten von elektronischen Signaturen unterschieden [SigG 2001, §2]:
Die einfachste Art sind die „elektronischen Signaturen“, wobei es sich um „Daten in
elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen
verknüpft sind und die zur Authentifizierung dienen“ handelt.
Höhere Anforderungen werden an „fortgeschrittene elektronische Signaturen“ gestellt.
Dies sind elektronische Signaturen, die ausschließlich dem Signaturschlüsselinhaber
zugeordnet sind und diesen eindeutig identifizieren. Sie müssen außerdem mit den Daten,
auf die sie sich beziehen, so verknüpft sein, dass eine Veränderung an den Daten nach der
Signierung erkennbar ist. Genauso müssen die Mittel, mit denen die fortgeschrittenen
elektronischen Signaturen erzeugt werden, unter der alleinigen Kontrolle des
Signaturschlüsselinhabers haltbar sein.
Die höchsten Anforderungen werden an „qualifizierte elektronische Signaturen“ gestellt.
Auch sie müssen ausschließlich dem Signaturschlüsselinhaber zugeordnet sein, diesen
eindeutig identifizieren und mit den Daten, auf die sie sich beziehen, so verknüpft sein,
dass eine Veränderung an den Daten nach der Signierung zuverlässig erkennbar ist. Sie
Vertrauen als Bestandteil der Sicherheit im elektronischen Geschäftsverkehr 10