Was ist eine digitale Signatur: Der ultimative Leitfaden zu AES- und QES-Signaturen | Autenti

Die digitale Signatur ist eine besondere Art der elektronischen Signatur, die dank der PKI-Technologie (Public Key Infrastructure) eine erweiterte Autorisierung bietet – sie verifiziert die Identität des Unterzeichners und stellt digitale Zertifikate durch zertifizierte Vertrauensinstanzen aus.

Obwohl die vereinfachte Bezeichnung "digitale Signaturen" eine so simple Handlung wie das Unterschreiben eines Dokuments auf Papier suggerieren mag, gehen digitale Signaturen über dieses Konzept hinaus, um sicherzustellen, dass die Identität des Unterzeichners ordnungsgemäß überprüft wird und das Dokument während seiner digitalen Reise nicht manipuliert werden kann.

Zwei E-Signatur-Typen fallen in die Kategorie der digitalen Signatur: die AES (Fortgeschrittene Elektronische Signatur) und die QES (Qualifizierte Elektronische Signatur).

In diesem Artikel werden wir:

• tief in die genaue Funktionsweise digitaler Signaturen eintauchen,
• die rechtliche Geschichte digitaler Signaturen beleuchten,
• die Feinheiten der verwendeten kryptografischen Technologien entschlüsseln,
• AES- und QES-Signaturen samt Anwendungsbeispielen erklären,
• und schließlich Autenti als Beispiel eines qualifizierten Vertrauensdienstanbieters vorstellen.
  
  
  

Table of contents

1. Wie funktionieren digitale Signaturen tatsächlich?
2. Digitale Zertifikate, Dokumentenintegrität und Zertifizierungsstellen
3. Zeitstempel für zusätzliche Sicherheit
4. Digitale Signaturen: Rechtliche Geschichte und Vorschriften
5. Digitale Signatur: AES
6. Digitale Signatur: QES
7. Autenti als qualifizierter Vertrauensdiensteanbieter
8. Häufig gestellte Fragen

Wie funktionieren digitale Signaturen tatsächlich?

Auch wenn das Verständnis digitaler Signaturen aufgrund ihrer hochgradig technischen Begriffe schwierig erscheinen mag, lässt sich das gesamte Konzept bei einfacher Erklärung leicht erfassen.

Kurz gesagt funktionieren digitale Signaturen auf Basis mathematischer Algorithmen, der PKI-Technologie (Public Key Infrastructure), digitaler Zertifikate und Zertifizierungsstellen.

Public Key Infrastructure-Technologie

Zunächst veranlasst die digitale Unterzeichnung eines Dokuments den digitalen Signaturanbieter dazu, einen privaten Schlüssel auszustellen, der direkt mit der unterzeichnenden Person und dem zu unterzeichnenden Dokument verbunden ist.

Um die entsprechende Sicherheit zu gewährleisten, wird der private Schlüssel dann zur Verschlüsselung der Hash-Daten verwendet – einer generierten Zahlenfolge, die dem Dokument zugeordnet ist.

Der private Schlüssel ist nur für die Person zugänglich, die das Dokument unterzeichnet. Um zu überprüfen, ob die Signatur nach der Unterzeichnung nicht manipuliert wurde, verwenden Prüfer einen zweiten Schlüsselsatz, der gemäß PKI ausgestellt wurde – die öffentlichen Schlüssel.

Die öffentlichen Schlüssel entschlüsseln das digital signierte Dokument und prüfen im Wesentlichen, ob die eindeutigen Zahlenfolgen (Hash-Codes) des Dokuments übereinstimmen. Wenn sie nicht übereinstimmen, wird die Signatur auf dem Dokument als ungültig eingestuft.

Da die PKI-Technologie für jede Signatur eindeutige Codes generiert, die sicher verifiziert werden können, können wir sie sogar mit Fingerabdrücken vergleichen – einzigartig für jeden Unterzeichner.

Im Vergleich dazu bieten die einfachsten elektronischen Signaturen, wie das Ankreuzen eines "Ich stimme zu"-Kästchens oder die Signatur in Ihrer E-Mail-Fußzeile, diese erweiterten Verifizierungsmethoden nicht.

Das bedeutet jedoch nicht, dass alle einfachen elektronischen Signaturlösungen wie SES (Einfache Elektronische Signaturen) nicht sicher sind. Im Gegenteil, SES-Signaturen sind rechtlich bindend und sicher und gleichzeitig die universellste Form der E-Signaturen – sie ermöglichen die Unterzeichnung von 90% der Dokumente in Geschäftstransaktionen.

Digitale Zertifikate, Dokumentenintegrität und Zertifizierungsstellen

Der mit der PKI-Technologie verbundene Teil der digitalen Signaturen sind digitale Zertifikate.

Ein digitales Zertifikat ist ein elektronisches Dokument, eine tatsächliche Datei, die den über die Public Key Infrastructure (PKI) generierten öffentlichen Schlüssel enthält, der dann zur Verifizierung der Identität des Unterzeichners verwendet wird.

Digitale Zertifikate werden jedoch nicht von selbst ausgestellt. Hier kommen die Zertifizierungsstellen ins Spiel.

Zertifizierungsstellen sind vertrauenswürdige Einrichtungen oder Organisationen, die digitale Zertifikate ausstellen und sicher speichern. Sie überprüfen die Identität der Person, die das Dokument unterzeichnet, und binden diese verifizierte Identität mithilfe der zuvor erwähnten Schlüssel an das Dokument selbst.

Die Bindung der Identität an das digitale Zertifikat gewährleistet eine unzerbrechliche Dokumentenintegrität und Sicherheit vor jeglicher Fälschung oder Manipulation während der digitalen Übermittlung.

Zeitstempel für zusätzliche Sicherheit

Ein zusätzlicher, wenn auch nicht obligatorischer Bestandteil einer digitalen Signatur ist auch ein Datums- und Uhrzeitstempel – speziell qualifizierte elektronische Zeitstempel.

Es wird empfohlen, eine elektronische Signatur zusätzlich mit einem Zeitstempel zu versehen, um die Manipulationssicherheit weiter zu erhöhen.

Das liegt daran, dass ein elektronischer Zeitstempel wie ein digitales Siegel funktioniert, das bestätigt, dass ein Dokument zu einem bestimmten Zeitpunkt existierte und seitdem nicht verändert wurde. Er kann auf jede Art von elektronischen Daten angewendet werden, sei es eine Datei oder ein Dokument.

Ein qualifizierter elektronischer Zeitstempel verknüpft das Dokument mit der genauen Zeit seiner Erstellung basierend auf der zuvor mit der PKI-Technologie generierten Hash-Nummer, hat aber nicht notwendigerweise Zugriff auf den Inhalt des unterzeichneten Dokuments oder die Identität des Unterzeichners.

Jegliche Änderungen am Dokument oder der aufgezeichneten Zeit werden dank der markierten Zeit leicht erkannt, was als Integritätsschutz bezeichnet wird.

Qualifizierte elektronische Zeitstempel sind durch Vorschriften definiert und kommen mit einer starken Vermutung, dass Datum und Uhrzeit korrekt sind und die Integrität des Dokuments gewahrt wurde. Diese Zeitstempel werden in allen EU-Mitgliedstaaten universell anerkannt, was sie zuverlässig und interoperabel macht.

Digitale Signaturen: Rechtliche Geschichte und Vorschriften

Knowing how digital signatures work, we can get into the background of their legal history, focusing on the regulations in the European Union.

Both types of digital signatures, AES and QES were officially recognized by the European Union in 2014 with the eIDAS regulation being passed across the Member States.

eIDAS stands for electronic iDentification, Authentication, and Trust Services and this is the regulation that set out the standards for secure electronic and digital document signing.

The most recent addition to the eIDAS regulation was eIDAS 2.0, which officially entered into legal force in May 2024.

A quick summary for eIDAS 2.0 is that it brings significant updates, including new requirements for non-qualified trust service providers, which ultimately boosts their recognition and credibility. What’s more, to address growing cyber threats, it also enforces stricter security standards and certification processes, with trust service providers now needing to meet NIS2 Directive requirements.

For an in-depth take on eIDAS 2.0, read this article.

But electronic and digital signatures are not only regulated in the European Union. Equivalent to eIDAS, we have the E-Sign Act in the United States, the ZertES federal law in Switzerland, or the Electronic Transactions Act in Australia.

Digitale Signatur: AES

Fortgeschrittene Elektronische Signaturen sind ein hervorragendes Beispiel für digitale Signaturen, da sie die Identität des Unterzeichners auf eine etwas fortgeschrittenere Weise validieren als Einfache Elektronische Signaturen (SES).

Mit AES können Sie sicher sein, dass der Unterzeichner seine Identität durch Online-Verifizierung seines Ausweisdokuments nachweist.

Ein Beispiel: Nehmen wir an, Sie besitzen ein Unternehmen, das hauptsächlich remote arbeitet, daher unterzeichnen Sie die Arbeitsverträge oder Kooperationsverträge mit Ihren Auftragnehmern vollständig aus der Ferne.

Natürlich könnten Sie die Dokumentation an jeden Mitarbeiter per Post schicken, warten, bis sie die Papiere unterschreiben und zurücksenden oder ihre Unterschrift einscannen. Aber eine viel schnellere und deutlich sicherere Option wäre es, stattdessen auf AES-Signierung zu setzen.

Mit Autenti erhalten Sie eine Plattform, um ganz einfach AES-Signaturen von Ihren Mitarbeitern zu sammeln und dabei 100% sicher zu sein, dass ihre Identitäten überprüft wurden.

In diesem Fall würde jeder neue Mitarbeiter eine E-Mail mit der Aufforderung zur Unterzeichnung der Dokumentation erhalten. Vor der Unterzeichnung müssten sie jedoch ihre Identität mittels Ausweis bestätigen. Sobald die Überprüfung abgeschlossen ist, erhält der Unterzeichner einen SMS-Bestätigungscode und kann den Signaturprozess abschließen.

Häufige Anwendungsfälle für AES-Signaturen

Häufige Anwendungsfälle für AES-Signaturen umfassen:

- Auftrags- und Werkverträge ohne Übertragung von geistigem Eigentum
- Kooperationsvereinbarungen
- Kaufvertrag für bewegliche Sachen
- Tauschvereinbarungen
- Mietverträge (sofern sie für einen Zeitraum von bis zu einem Jahr gelten)

Digitale Signatur: QES

Nehmen wir aber an, Ihre remote unterzeichneten Arbeitsverträge sind etwas anspruchsvoller, beinhalten zum Beispiel die Übertragung von geistigem Eigentum.

In diesem Fall werden AES-Signaturen nicht ausreichen, und es entsteht die Notwendigkeit, Qualifizierte Elektronische Signaturen zu verwenden.

Wie in eIDAS festgelegt, sind QES-Signaturen gleichwertig mit tatsächlichen handschriftlichen Unterschriften und damit höchst sicher.

Bei Qualifizierten Elektronischen Signaturen kommen digitale Zertifikate voll zum Tragen und gewährleisten die ordnungsgemäße Dokumentenintegrität.

Wenn Sie den QES-Service von Autenti nutzen, erhalten Sie Zugang zu über 170 QES-Signaturanbietern in der Europäischen Union und können den wählen, der zu Ihrer Lokalisierung oder Präferenz passt.

Was den Prozess selbst betrifft, erfordert die Erstellung einer digitalen Signatur wie QES eine zusätzliche Identitätsüberprüfung durch eine vertrauenswürdige dritte Partei. Diese Überprüfung kann die Bestätigung Ihrer Identität über Electronic Banking oder die Durchführung einer Video-Verifizierung aus der Ferne umfassen.

Häufige Anwendungsfälle für QES-Signaturen

Häufige Anwendungsfälle für QES-Signaturen umfassen:

• Arbeitsvertrag mit Übertragung von geistigem Eigentum
• Wettbewerbsverbot
• Erteilung einer Vollmacht für einen Mitarbeiter
• Kündigung des Arbeitsvertrags
• Versicherungsvertrag
• Bankkontovereinbarung

Wenn Sie sich nicht sicher sind, welchen elektronischen Signaturtyp Sie wählen sollten, können Sie sie hier vergleichen.

Autenti als qualifizierter Vertrauensdiensteanbieter

Um absolut sicher zu sein, dass digitale Signaturen auf sichere Weise durchgeführt werden und den staatlichen Vorschriften entsprechen, führen Privatpersonen und Unternehmen die Signaturen nicht einfach selbst durch. Sie nutzen Vertrauensdiensteanbieter (Trust Service Provider, TSP).

Gemäß den Vorschriften müssen Vertrauensdiensteanbieter technische und organisatorische Maßnahmen implementieren, um Risiken zu managen und die Sicherheit ihrer Dienste zu gewährleisten, wobei Sicherheitsvorfälle verhindert und deren Auswirkungen minimiert werden sollen.

Anbieter sind verpflichtet, Aufsichtsbehörden innerhalb von 24 Stunden über bedeutende Verstöße oder Integritätsverluste zu informieren, betroffene Personen bei Bedarf zu benachrichtigen und bei grenzüberschreitenden Vorfällen zu kooperieren.

Darüber hinaus müssen Aufsichtsgremien jährliche Zusammenfassungen von Verstößen an ENISA melden, und die Europäische Kommission kann durch Durchführungsrechtsakte spezifische Maßnahmen und Verfahren festlegen.

Autenti ist im Register der Vertrauensdiensteanbieter eingetragen und garantiert Sicherheit und rechtliche Anerkennung. Darüber hinaus wird die Sicherheit durch vollständige Compliance mit den eIDAS-Vorschriften, DSGVO-Konformität, ordnungsgemäße Archivierung der elektronisch signierten Dokumente und PDF-Standard-Compliance gewährleistet.

Die Autenti-Plattform konzentriert sich auf eine benutzerfreundliche Erfahrung, um elektronische und digitale Signaturen wirklich mühelos zu gestalten.

Philippe Enjalbal, der Vizepräsident von Credit Agricole, sagt über ihre Partnerschaft mit Autenti:

"Der Prozess der vollständig remote durchgeführten Kontoeröffnung in unserer Bank ist eine Antwort auf die Bedürfnisse unserer Kunden und der nächste Schritt in der Entwicklung unserer Electronic-Banking-Dienste [...]. Diese neuen Lösungen werden von den Kunden begrüßt, die sie gerne nutzen."

Häufig gestellte Fragen

Was ist eine digitale Signatur?

Eine digitale Signatur ist eine besondere Art der elektronischen Signatur, die ein erhöhtes Maß an Autorisierung mit zusätzlichen kryptografischen Techniken bietet, um das signierte Dokument vor Manipulationen zu schützen. Digitale Signaturen basieren auf der PKI-Technologie mit mathematischen Algorithmen, Hash-Codes, privaten und öffentlichen Schlüsseln sowie digitalen Zertifikaten, die als echter Fingerabdruck für jedes signierte Dokument fungieren.

Wie wird die Identitätsüberprüfung bei AES-Signaturen durchgeführt?

Die Identitätsüberprüfung für AES-Signaturen erfolgt vollständig online durch Verifizierung der Ausweisdokumente des Unterzeichners. Sobald das Ausweisdokument überprüft wurde, erhält der Unterzeichner einen SMS-Code, um den Signaturprozess abzuschließen.

Wie wird die Identitätsüberprüfung bei QES-Signaturen durchgeführt?

Die Identitätsüberprüfung für QES-Signaturen wird je nach Anbieter der Qualifizierten Elektronischen Signatur auf verschiedene Arten durchgeführt. Sie kann so einfach sein wie die elektronische Anmeldung bei Ihrem Bankkonto oder etwas aufwändiger, wobei eine persönliche Videositzung mit einer Zertifizierungsstelle erforderlich ist.

Wie unterscheiden sich AES- und QES-Signaturen von SES-Signaturen?

AES- und QES-Signaturen unterscheiden sich von SES-Signaturen hauptsächlich in Bezug auf den erforderlichen Prozess zur Unterzeichnung von Dokumenten. Zum Beispiel verifizieren SES-Signaturen die Identität des Unterzeichners über einen einfachen per E-Mail gesendeten Verifizierungscode, während AES die Ausweisdokumente des Unterzeichners online verifiziert und QES sogar eine Videositzung zur Bestätigung der Identität des Unterzeichners erfordern kann.

Wie überprüfe ich die Gültigkeit einer digitalen Signatur auf einem Dokument?

Der sicherste Weg, die Gültigkeit einer digitalen Signatur auf einem Dokument zu überprüfen, ist die Verwendung eines dafür vorgesehenen Tools wie dem Autenti-Validator. Der Autenti-Validator stellt sicher, dass Ihr Dokument vollständig authentisch ist und nicht manipuliert wurde. Zusätzlich können Sie eine Validierungsbescheinigung herunterladen – einen detaillierten Überprüfungsbericht – der sich perfekt als Beweismittel in rechtlichen Angelegenheiten eignet.