Bei fortgeschrittenen Signaturverfahren, wird garantiert, dass ein Dokument von einer bestimmten natürlichen Person digital signiert wurde. Damit dies gewährleistet ist, muss der private Schlüssel, der für die Signatur verantwortlich ist, eindeutig einer bestimmten Person zugeordnet werden.
Verantwortung des Vertrauensdiensteanbieters
Diese Zuordnung geschieht im ersten Schritt durch die Ausstellungsprozedur des elektronischen Zertifikats durch den Zertifizierungsdiensteanbieter. Dieser stellt sicher, dass das Zertifikat nur jener Person ausgehändigt wird, die auch Inhaber des privaten Schlüssels ist. Dies kann entweder dadurch geschehen, dass Zertifikat und privater Schlüssel gemeinsam einer Person ausgehändigt werden oder ein Zertifikat nur jener Person ausgehändigt wird, die mittels eines CSR (Certificate Signing Requests) nachweist Inhaber eines privaten Schlüssels zu sein.
Die Aushändigung kann einerseits persönlich erfolgen oder andererseits durch befugte, vertrauenswürdige Dritte. Dies können Postbedienstete sein, die die Unterlagen zur digitalen Signatur nur einer Person persönlich, nach ausreichender Identitätsprüfung, aushändigen oder Zertifizierungspartner, die sich ebenfalls vertraglich verpflichten, Unterlagen nur einer ausreichend in ihrer Identität geprüften Person auszuhändigen.
Verantwortung des Signators
nach Übernahme der Signaturunterlagen (privater Schlüssel, Zertifikat) muss der Signator Sorge tragen, dass nur er diese Werkzeuge benutzt. Dies kann sowohl durch technische Maßnahmen erfolgen, als auch durch organisatorische oder vertragsrechtliche Maßnahmen.
Typische technische Maßnahmen sind etwa ein Passwortschutz des privaten Schlüssels, das Speichern des privaten Schlüssels auf einer besonders sicheren Hardware (USB-Crypto-Token, Chipkarte, High Security Modul), typische organisatorische Maßnahmen wären etwa die Verwendung in besonders geschützten Räumen, auf Computer, die nur dem Signator zugänglich sind oder in Anwendungen (Applikationen) die nur mit eigenen Zugangsberechtigungen gestartet werden können. Auch die Protokollierung jedes Signaturvorgangs wäre eine derartige organisatorische Maßnahme. Vertragsrechtliche Maßnahmen wären das Verbot, die entsprechenden Hardware- oder Softwareteile (Chipkarte, PrivatKey-Datei) oder Passwörter weiterzugeben. Auch die Verpflichtung die Zugangsdaten sorgfältig zu verwahren, Dienstanweisungen an Systembetreuer und IT-Personal bestimmte Anwendungen nicht zu verändern, aufzurufen oder zu benutzen, fallen unter diese rechtlichen Maßnahmen.
Im Gegensatz zur natürlichen Unterschrift, die als biometrische Eigenschaft an einer Person untrennbar gebunden ist, muss im Regelfall für den sicheren Signatur-Betrieb immer eine Kombination von technischen, organisatorischen und rechtlichen Maßnahmen getroffen werden.
Müssen bestimmte Techniken verwendet werden?
Bei der fortgeschrittenen Signatur müssen, im Gegensatz zur “sicheren” Signatur, keine bestimmten Techniken verwendet werden. Damit sind die Einsatzmöglichkeiten flexibler zu gestalten. So kann etwa ein Einpersonen-Unternehmen die erforderlichen Sicherheitsmaßnahmen leichter und einfacher erreichen, als ein großer Konzern mit vielen Standorten. Der Signatureinsatz kann auch besser unterschiedlichen Anwendungen und IT-Lösungen angepasst werden.
Das Sicherheitsniveau ist aber in allen Fällen gleich hochzuhalten, nämlich auf einem Niveau, bei dem der Signator nicht bestreiten kann, dass er eine Signatur durchgeführt hat.
Auch bei der “sicheren” Signatur müssen immer technische Maßnahmen (etwa Chipkartenverwendung) mit rechtlichen Maßnahmen kombiniert werden (Verbot der Weitergabe von Chipkarte, Verpflichtung zur sorgfältigen Verwahrung des Signierpassworts).
Ziel ist die Nichtbestreitung der Signatur
Welche Lösung im Einzelfall eine “sichere” und damit geeignete ist, kann nicht allgemein gesagt werden. Im Ergebnis wird es darauf hinauslaufen, dass ein Signator in einem Streitfall nur dann behaupten kann, dass eine Signatur nicht von ihm stammt, wenn er zeitgerecht seinen privaten Schlüssel und das dazugehörige Zertifikat widerrufen hat und die Signatur eines Dokuments erst nach diesem Zeitpunkt erfolgte.
Als Faustregel kann gelten, wenn jemand Bedenken hat, dass sein privater Schlüssel nicht gemäß seines Willens verwendet wird, dann sollten zusätzliche Sicherheitsvorkehrungen getroffen werden.