Vertrauen als Bestandteil der Sicherheit im elektronischen ...

Kapitel:2 Die elektronische Signatur
müssen mit einer „sicheren Signaturerstellungseinheit“ erzeugt werden, die vor der
unberechtigten Benutzung der Signaturschlüssel schützen [SigG 2001, §17]. Vor der
Signierung muss klar erkenntlich sein, dass Daten und welche Daten signiert werden
sollen. Bei der Darstellung signierter Daten muss erkennbar sein, dass die Daten nicht
nach der Signierung verändert wurden und mit wessen Signatur die Daten versehen sind
[ebenda]. Außerdem müssen qualifizierte elektronische Signaturen auf einem zum
Zeitpunkt der Signierung gültigen „qualifizierten Zertifikat“ beruhen.
Die qualifizierten Zertifikate müssen selbst eine qualifizierte Signatur tragen und
bestimmte Angaben enthalten. Qualifizierte Zertifikate dürfen nur von Zertifizierungsdiensteanbietern
ausgestellt werden, an die das Gesetz eine ganze Reihe von
Anforderungen stellt, die sicher stellen sollen, dass qualifizierte elektronische Signaturen
sicher und nachprüfbar sind [SigG 2001, §§ 4 bis 14]. Nach § 7 des Signaturgesetzes
müssen qualifizierte Zertifikate unter anderem folgende Angaben enthalten: Name oder
ein als solches erkennbares Pseudonym des Signaturschlüsselinhabers, Beginn und Ende
der Gültigkeit des Zertifikates, Name und Heimatland des Zertifizierungsdiensteanbieters,
die notwendigen Signaturprüfschlüssel. Der Nutzer eines Zertifikates muss vom
Zertifizierungsdiensteanbieter darauf hingewiesen werden, dass „Daten mit einer
qualifizierten elektronischen Signatur bei Bedarf neu zu signieren sind, bevor der
Sicherheitswert der vorhandenen Signatur durch Zeitablauf geringer wird“ [SigG 2001, §
6]. Die zeitlich befristete Gültigkeit von qualifizierten Zertifikaten und damit von
qualifizierten elektronischen Signaturen ist eine besondere Sicherheitsvorkehrung gegen
das ‚Knacken‘ qualifizierter elektronischer Signaturen. Ehe es mit vertretbarem Aufwand
gelingt den Signaturschlüssel einer Person zu bestimmen, ist diese Signatur schon keine
qualifizierte elektronische Signatur mehr. Um nachzuweisen, dass ein Dokument mit
einer gültigen qualifizierten elektronischen Signatur signiert worden ist, können die
Zertifizierungsdiensteanbieter auch qualifizierte Zeitstempel anbieten. Mit ihnen wird
nachgewiesen, dass ein Dokument zu einem bestimmten Zeitpunkt dem
Zertifizierungsdiensteanbieter vorgelegen hat [SigG 2001, §2].
Die Zertifizierungsdiensteanbieter können sich freiwillig behördlich akkreditieren lassen
[SigG 2001, §15]. Ihr Sicherheitskonzept und seine Umsetzung wird dann in regelmäßigen
Abständen geprüft. Diese akkreditierten Zertifizierungsdiensteanbieter dürfen für die
Zertifizierungstätigkeit nur geprüfte und bestätigte Produkte für qualifizierte elektronische
Signaturen verwenden. Die akkreditierten Zertifizierungsdiensteanbieter müssen auch
sicherstellen, dass Personen, denen sie qualifizierte Zertifikate ausstellen, nachweislich
geprüfte und bestätigte sichere Signaturerstellungseinheiten besitzen. Ebenso müssen sie
Signaturschlüsselinhaber über geprüfte und bestätigte sichere
Signaturanwendungskomponenten unterrichten. Akkreditierte
Zertifizierungsdiensteanbieter erhalten bei Erfüllung aller Anforderungen von der
Behörde ein Gütezeichen, mit dem sie die geprüfte Sicherheit der auf ihren qualifizierten
Zertifikaten beruhenden qualifizierten elektronischen Signaturen zum Ausdruck bringen
können.
Vertrauen als Bestandteil der Sicherheit im elektronischen Geschäftsverkehr 11