Elektronische Unterschrift - Digitale Signatur

Im 21. Jahrhundert darf es schon mal digital werden. Dokumente (z.B. Verträge) können digital unterschrieben werden, die Papierform wird nicht mehr zwingend benötigt

Die eIDAS (electronic IDentification, Authentication and trust Services) Verordnung der EU definiert und unterscheidet zwischen 3 Arten von elektronischen Unterschriften (ES - Electronic Signature):

• SES: Simple Electronic Signature - Elektronische Signatur
• AES: Advanced Electronic Signature - Fortgeschrittene Elektronische Signatur
• QES: Qualified Electronic Signature - Qualifizierte Elektronische Signatur

Einer elektronischen Signatur darf die Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt oder weil sie die Anforderungen an qualifizierte elektronische Signaturen nicht erfüllt.

Schauen wir uns die Unterschiede am Beispiel von John (Wayne) und Marlene (Dietrich), die einen Vertrag eingehen wollen, und Alfred (Hitchcock), der als Zeuge/Notar dient.

In der Praxis wird Alfred's Rolle von einem online-Dienst übernommen, z.B. Docusign (kommerziell) oder Documenso (Open Source)

SES (Simple Electronic Signature)

John und Marlene unterschreiben das Dokument. Alfred unterschreibt auch, und bezeugt damit:

• dass jeweils John und Marlene unterschrieben haben (und z.B. nicht John für Beide)
• den Inhalt des Dokuments bei dessen Unterschrift durch die 2 Parteien. Das ist eine Besonderheit der elektronischen Unterschrift: aufgrund der verwendeten kryptographischen Verfahren kann überprüft werden, ob eine Veränderung des Dokuments erfolgte - ohne sagen zu können was geändert wurde

Zu bemerken bei der einfachen Unterschrift: Alfred dient hier lediglich als Zeuge dass 2 Personen, die sich als John und Marlene vorgestellt haben, das Dokument unterschrieben haben. Eine Feststellung der Identität findet nicht statt, ist bei der SES auch nicht Gegenstand des Verfahrens.

In der Praxis sieht das Verfahren folgendermaßen aus: Der online-Dienst schickt jeder Partei einen Link per Email (z.B. an john.wayne@gmail.com), mit dem sie über den Browser ihre Unterschrift eingeben können. Wer auch immer diesen Link besitzt kann unterschrieben - typischerweise derjenige der die Mail lesen konnte. Ob das der richtige John Wayne ist oder nicht spielt dabei keine Rolle.

AES (Advanced Electronic Signature)

Im Gegensatz zur SES wird hier die Unterschrift von Alfred beglaubigt. Es kann also nicht irgend jemand mit "Alfred" unterschreiben, sondern man kann Alfred Hitchcock eindeutig identifizieren.

In der Praxis wäre das verwendete kryptographische Zertifikat von einer oder mehreren anderen Zertifizierungsstellen digital unterschrieben. Damit würde z.B. ein Acrobat Reader das Zertifikat als vertrauenswürdig anzeigen. In der analogen Welt würde z.B. ein Notar sein Siegel auf seine Unterschrift setzen - das Siegel ist die Bekundung durch die Architektenkammer.

Wichtig: auch eine nicht vertrauenswürdige Signatur ist gültig. Ihr fehlt nur die Bestätigung durch eine unabhängige Stelle ("Ich, <bekannte Person>, bestätige hiermit dass das die Unterschrift von Alfred Hitchcock ist").

QES (Qualified Electronic Signature)

Die letzte Steigerung besteht darin, die Identität von John und Marlene festzustellen, um eindeutig zu belegen dass es wirklich diese zwei Personen waren, die den Vertrag unterschrieben haben. Den jeder kann sich John Wayne nennen. Und hier würde sogar auffallen dass der Herr eigentlich Marion Robert Morrisson heißt, und bei QES nur mit diesem Namen unterschreiben darf.

In der Praxis würde der online-Dienst die Identität der Personen z.B. mittels Postident oder über einen anderen online-Dienst der die Personalausweise/Reisepässe überprüft, feststellen lassen. Das hat auch einen ordentlichen Aufpreis (z.B. 10€/Person bei Docusign)

Umsetzung beim Oberlab

Wir setzen auf adminforge.de als online-Dienstleiter, und dessen SES Verfahren. Adminforge verwendet die open-source Software Documenso. Das Web-Interface ist unter https://sign.adminforge.de/ erreichbar

Das Zertifikat, welches zur Unterschrift genommen wird, ist selbst-signiert, wird daher in den PDF Viewer als nicht vertrauenswürdig angezeigt. Das ist bei SES unerheblich, AES ist damit nicht möglich.

Das Zertifikat hat folgende Eigenschaften - Mittels der Fingerprints kann man ausreichend prüfen dass das richtige verwendet wurde.