Der Blätterkatalog benötigt Javascript.
Bitte aktivieren Sie Javascript in Ihren Browser-Einstellungen.
The Blätterkatalog requires Javascript.
Please activate Javascript in your browser settings.
2 l 2022 16 l Office KOmmuniKatiOn l Digitale Signaturen Sicherheit am PulS der Zeit elektronische Signaturen haben sich etabliert doch wie sicher sind in der Vergangenheit signierte dokumente wenn sich die technik immer weiterentwickelt? und wie bleibt die Sicherheit von Signaturen cyberangriffsmethoden einen Schritt voraus – auch vor dem hintergrund von Quantencomputern Autor Ingolf Rauh Redaktion Sabine Narloch ➤ Elektronische Signaturen kommen bereits in vielen Bereichen in Wirtschaft und Verwaltung zum Einsatz – überall dort wo Prozesse digitalisiert werden sollen die der Schriftform-Erfordernis unterliegen Bei fast allen Verträgen ist die qualifizierte elektronische Signatur mittlerweile einer händischen Unterschrift gleichgestellt ausgenommen sind aktuell noch unter anderem notarielle Dienstleistungen oder das Testament Teilweise unterliegen Dokumente sehr langen Aufbewahrungsfristen je nach Dokumenttyp können das beispielsweise sechs oder zehn Jahre sein Im Gesundheitsbereich oder bei Lebensversicherungen liegt die Aufbewahrungsfrist sogar bei Jahrzehnten Wie wird also sichergestellt dass eine Signatur die heute an einem Dokument angebracht wird auch in zehn Jahren noch als beweisbar gelten kann? Hier heißt es für Vertrauensdienstleister zertifikatsbasierte Signaturen immer wieder an die neuesten Erkenntnisse in der Kryptologie anzupassen Sicherheit durch Komplexität Eine zertifikatsbasierte Signatur beruht auf asymmetrischer Kryptografie und funktioniert ähnlich wie ein Tresor der einen privaten Schlüssel zum Öffnen hat damit eine Nachricht hineingelegt werden kann und einen anderen öffentlichen Schlüssel zur Entnahme dieser Nachricht Damit kann derjenige mit dem öffentlichen Schlüssel sicherstellen dass diese Nachricht nur von demjenigen hineingelegt wurde der den privaten Schlüssel besitzt In Analogie wird bei einer elektronischen Signatur ein Fingerabdruck Hash des Dokumentes mit dem privaten Schlüssel verschlüsselt Der Empfänger kann den Hash dann mit dem öffentlichen Schlüssel wieder entschlüsseln und vergleicht diesen mit dem Hash des Dokumentes selber Stimmen beide überein ist sichergestellt dass nur der Inhaber des privaten Schlüssels das Dokument signiert haben kann und dass das Dokument in der Zwischenzeit nicht verändert wurde Der öffentliche Schlüssel wird bei signierten Dokumenten direkt mitgeliefert er ist in Form eines Zertifikates beigefügt Im Zertifikat stehen – quasi als Schlüsselanhänger – noch die persönlichen vom Vertrauensdienstleister überprüften Personendaten wie etwa der Name Der Signierende gibt den privaten Schlüssel nie aus der Hand maximal übergibt er ihn treuhänderisch dem Vertrauensdienstleister Problematisch wäre wenn es jemand schaffen würde aufgrund der Daten des öffentlichen Schlüssels den privaten Schlüssel zu errechnen oder zu erraten Unter Zuhilfenahme großer Rechenleistung ist ein systematisches Berechnen als Angriffsmethode nicht auszuschließen man spricht von einer Brute-Force Attacke Das ist möglich weil vor der Erstellung eines Signaturzertifikates beide Schlüssel durch einen Algorithmus entstehen Dies wird als asymmetrische Verschlüsselung bezeichnet die ein mathematisches Verfahren beschreibt das in eine Richtung recht einfach zu berechnen ist in die andere Richtung jedoch nicht Es ist vergleichsweise einfach die beiden Primfaktoren 17 und 53 miteinander zu multiplizieren Das Ergebnis ist 901 Kompliziert wird es aber umgekehrt also zu bestimmen aus welchen Primfaktoren 901 „gebaut“ ist Diese kryptographischen Funktionen werden nicht nur für die Zertifikate eingesetzt sondern auch für die Bildung des Hashes aus einem signierten Dokument Sie müssen so sicher sein dass nicht zwei Dokumente den gleichen Hash bilden können zum Beispiel ein Kreditvertrag über 1 000 Euro und ein Kreditvertrag über das Zehnfache davon Re-Signieren im „Tresor“ Was passiert nun mit Dokumenten die in der Vergangenheit signiert wurden mit einem aus heutiger Sicht veralteten Algorithmus? Jeder der den Beweiswert von signierten Dokumenten langfristig erhalten will muss hierfür Vorkehrungen treffen Im Fall einer Signatur wird – bildlich gesprochen – um einen alten unsicheren Tresor ein neuer sicherer Tresor herumgebaut Das heißt das Dokument wird nach einiger Zeit mit einem aktuellen Signaturalgorithmus „übersigniert“ Damit ist die Integrität des Dokumentes inklusive seiner vorhandenen Überschrift gewährleistet Diese Übersignatur muss nicht unbedingt eine Personensignatur sein es reicht eine vom Vertrauensdienstleister geleistete Signatur mit Zeitstempel Damit wird zudem genau dokumentiert wann die letzte Sicherungsmaßnahme stattgefunden hat Inzwischen gibt es auch zu der beweiserhaltenden Langzeitspeicherung entsprechende Normen Beispielsweise hat das Bundesamt für Sicherheit in der Informationstechnik BSI in seiner TR-ESOR BSI TR-03125 -Norm hierzu einen Leitfaden verfasst der nicht nur die Algorithmik im Blick hat sondern auch Verfahren wie in Zukunft migrationsfähige Daten vorgelegt werden können und diese ohne spezielle Kenntnis auf ihren Beweiswert überprüft werden können Game Changer Quantencomputer? Ein drohendes Szenario liegt in der Luft Quantencomputer Diese Rechner basieren auf Gesetzen der Quantenmechanik die ihren ganz eigenen Regeln folgt und sich damit vielen Grundsätzen die wir für