Vertrauen als Bestandteil der Sicherheit im elektronischen ...

Kapitel:6 Der Vertrag mit qualifizierter elektronischer Signatur
In der Informatik wird davon ausgegangen, dass die Fälschung einer qualifizierten
elektronischen Signatur nahezu unmöglich ist, solange nicht der Signaturinhaber den
Signaturschlüssel weitergibt. Diese Annahme beruht auf dem Fehlen eines ausreichend
schnellen Verfahrens, um den privaten bzw. geheimen Signaturschlüssel aus dem
öffentlichen Prüfschlüssel oder einem signierten Dokument zu ermitteln. Ein
mathematisch exakter Beweis, dass es kein solches Verfahren gibt, konnte bisher aber
nicht erbracht werden. Das bedeutet, dass die ganze Sicherheit der qualifizierten
elektronischen Signatur auf dem Vertrauen in die Wahrheit einer nicht bewiesenen
Annahme beruht.
Die Geheimhaltung des Signaturschlüssels stellt eine mögliche Fehlerquelle dar. Das
Gesetz fordert von den sicheren Signaturerstellungseinheiten, dass sie gegen die
unberechtigte Nutzung der Signaturschlüssel schützen [SigG 2001, §17]. Da aber so eine
sichere Signaturerstellungseinheit nicht mit dem Inhaber des Signaturschlüssels eine feste
Einheit bildet, muss dieser Schutz wiederum technisch gelöst werden. Denkbar sind die
Verschlüsselung des Signaturschlüssels selbst mit einem vom Menschen einzugebenden
Code, wie einer PIN oder einem Passwort. Ebenso kann mit so genannten biometrischen
Eigenschaften des Signaturschlüsselinhabers gearbeitet werden; z.B. mittels eines
Fingerabdruckscanners oder eines Irisscanners. Passwörter und PIN‘s sind natürlich
ausspähbar und selbst Scanner von Fingerabdrücken, Augeniris oder anderen
biometrischen Daten können überlistet werden. Trotzdem werden PIN und Passwort in
sehr vielen elektronischen Anwendungen als sicher angesehen und auch mit der Nutzung
biometrischer Daten denkt man sichere Zugangskontrollen einrichten zu können, wenn die
Technik einmal ausgereift genug ist. Vertrauen in diese Techniken ist also vorhanden.
Vertrauen wird aber auch hier wieder benötigt.
Die notwendige Technik für die Nutzung von qualifizierten elektronischen Signaturen und
elektronischen Dokumenten kommt ebenfalls nicht ohne Vertrauen aus. Das Gesetz
verlangt, dass vor der Signaturerstellung das, was signiert werden soll, erkennbar ist und
auf die anstehende Signierung explizit hingewiesen wird. Genauso wird verlangt, dass
bei der Signaturprüfung klar feststellbar ist, auf welche Daten sich die Signatur bezieht,
ob diese Daten unverändert sind, wem der Signaturschlüssel zugeordnet ist und was die
Prüfung des Zertifikates erbrachte (wer ist der Zertifizierungsdiensteanbieter, ist das
Zertifikat noch gültig, usw.) [SigG 2001, §17]. Die meisten Benutzer dieser Technik
werden sich aber darauf verlassen müssen, dass diese Forderungen durch die Technik
erfüllt werden. Auch die Einsetzung von Prüf- und Bestätigungsstellen, durch die
obligatorisch die Erfüllung der Anforderungen an die Produkte für qualifizierte
elektronische Signaturen geprüft und ggf. bestätigt wird, schützt nicht vor Betrug und
Manipulation. Der Fall liegt hier ganz ähnlich, wie bei der Fälschung von Bargeld. Der
Fälscher bringt sein Produkt nicht zur Prüfung und hat auch keine Skrupel, es als ‚echt‘ zu
deklarieren. Doch der Technik (z.B. Kfz) und dem Bargeld wird immer wieder vertraut,
und die Einsetzung von Prüfstellen hat fast immer zur Erhöhung dieses Vertrauens
Vertrauen als Bestandteil der Sicherheit im elektronischen Geschäftsverkehr 71