Rechtsgrundlagen

Aufgrund der Tatsache dass der elektronische Handel und damit auch die Notwendigkeit nach gültigen digitalen Signaturen zunehmend an Bedeutung gewinnen, steigt auch die Notwendigkeit einer Anpassung der jeweiligen Gesetze (Signaturgesetze SigG bzw. Signaturverordnungen SigV), um die Rahmenbedingungen zu schaffen, unter denen digitale Signaturen als sicher gelten und Fälschungen digitaler Signaturen oder Verfälschungen von signierten Daten zuverlässig festgestellt werden können.

Diese Verordnungen mögen zwar in verschiedenen Staaten im Wesentlichen die gleichen Inhalte haben, unterscheiden sich jedoch in Einzelheiten. Außerdem stehen in einigen Staaten (z.B. Deutschland) diesbezügliche Veränderungen an, deren Folgen noch nicht genau abgesehen werden können. Aus diesem Grund wird hier auf kein Signaturgesetz spezifisch eingegangen. Vielmehr soll ein Bild des gesetzlichen Rahmens, in dem sich die gesamte elektronische Geschäftsabwicklung und damit auch die Technik der digitalen Signatur bewegt, vermittelt werden.

Gesetzlich verankert gilt seit langer Zeit das mit eigener Hand unterschriebene Schriftstück als Urkunde, es gilt als "Verkörperung einer Gedankenäußerung in Schriftzeichen" als das stärkste Beweisstück. Demnach sind Aufzeichnungen auf elektronischen Datenträgern schon mangels Schriftform keine Urkunde, da diesen Daten (bzw. den Ausdrucken) die handschriftliche Unterschrift fehlt.

Daraus folgt aber auch, dass bei bestimmten Rechtsvorgängen, bei denen die Schriftform oder die notarielle Beglaubigung vorgeschrieben werden, derzeit keine digitalen Signaturen zugelassen sind. Während in bestimmten Staaten dieser Missstand bereits gesetzlich eliminiert worden ist, arbeiten die meisten Staaten an diesbezüglichen Reformen. Das deutsche Justizministerium etwa beschreibt die Notwendigkeit von Reformen folgendermaßen:

Diese Bemerkungen fußen auf folgenden Überlegungen:

Elektronische Daten können durch technische oder menschliche Fehler oder auch gezielte Manipulation beliebig und ohne Spuren verändert werden. Auch ist unter Umständen der Urheber eines digitalen Dokuments nicht festzustellen. So ist es auch möglich, das Abbild einer eigenhändigen Unterschrift in elektronische Daten einzufügen, beispielsweise durch Einscannen. Es bleibt also immer die Frage offen, ob das vorliegende Dokument mit diesem Inhalt tatsächlich von einer bestimmten Person stammt. Daher haben derartige digitale Dokumente grundsätzlich keine Beweiskraft, auch herkömmliche papierene Unterlagen können verändert werden, speziell durch den Einsatz moderner Technologien.

Eine gesetzlich anerkannte digitale Signatur für elektronische Dokumente würde hier eine weitaus höhere Fälschungssicherheit darstellen. Anhand einer solchen digitalen Signatur kann folgendes zuverlässig festgestellt werden:

• Dass das Dokument von einer bestimmten Person signiert wurden (Urheberschaft, Non-Repudiation) und
• nach erfolgter Signatur in keiner Weise verändert wurden (Integrität und Authentizität)
• Möglichkeit der Empfangsbestätigung bei Erhalt einer Nachricht.

Die digitale Signatur schützt dabei nicht die Vertraulichkeit des Inhaltes. Dies kann nur mit einer speziellen Verschlüsselung geschehen, welche zwar meist auf den selben mathematischen Grundlagen basiert, jedoch mit der Signatur nicht zu tun hat.

Der Anwender einer digitalen Signatur ist von der komplexen Realisierung der Fälschungssicherheit kaum betroffen. Er muss eigentlich nur sicherstellen, dass sein digitaler Signaturschlüssel nicht unberechtigt benutzt werden kann.

Die konzeptionelle Schwierigkeit ist hierbei die Übergabe der Schlüssel über einen sicheren Kanal. Die kann auf verschiedene Weisen geschehen.

Bei Personen, die man persönlich kennt, gibt es eine einfache Möglichkeit die Schlüssel zu übergeben, nämlich die persönliche Übergabe. Wohnt man entfernt voneinander so kann man den öffentlichen Schlüssel per Email versenden, beide ermitteln die Hash-Funktion (auch oft als Fingerprint bezeichnet) und tauschen diese über einen alternativen Kommunikationsweg aus.

Die Nachteile dieser Methoden liegen auf der Hand.

Weitaus eleganter und auch praxisrelevanter (da mit ihnen auch die Kommunikation mit Fremden funktioniert) sind folgende Methoden:

Die erste ist die Methode über eine zentrale Verwaltung des öffentlichen Schlüssels, wobei eine Zentrale die Identitätsprüfung vornimmt.

Der zweite Lösungsweg ist ein sogenanntes Web of Trust. Ein Benutzer A erzeugt einen eigenen Schlüssel, unterschreibt den öffentlichen Schlüssel und bittet einen Freund B, diesen Schlüssel ebenfalls zu unterschreiben. Wenn nun eine dritte Person C den Schlüssel von A bekommt, ohne A persönlich zu kennen, die Person C aber den Freund B persönlich kennt und von diesem den öffentlichen Schlüssel hat, so überprüft C, mit den öffentlich Schlüsseln von B, ob er den Schlüssel von A unterschrieben hat. Wenn das wirklich der Fall ist, so vertraut C darauf, dass der Schlüssel von A der echte ist.

Untersuchungen haben ergeben, dass ein solches Web of Trust einen weitaus höheren Effekt hat, als es auf den ersten Blick erscheinen mag.

Zur einfacheren Darstellung der Grundideen der digitalen Signatur seien folgende Szenarien erwähnt:

Authentifizierung von Dokumenten

A will B eine unterschriebene Nachricht k senden. Er signiert k mit seinem geheimen Schlüssel und verschlüsselt dies mit dem öffentlichen Schlüssel von B, damit kein Dritter etwas damit anfangen kann. Er sendet also c = Vb(Da(k)) an B. B packt c mit seinem geheimen Schlüssel aus und erhält das unterschriebene Dokument c' = Da(k). Mit dem öffentlichen Schlüssel von A kann er es dekodieren und k = Va(Da(k)) lesen (wozu die Vertauschbarkeit (Symmetrie) von V und D erforderlich ist), und er weiß, dass es von A stammt.

Wenn A später abstreitet, dass k von ihm ist, kann B das unterschriebene Gebilde c' vor Gericht vorweisen und es zum Beweis mit Va entschlüsseln. B kann umgekehrt kein anderes Dokument so manipulieren, dass es sich mit Va zu etwas sinnvollem dekodieren lässt.

Der Sender kann sich dagegen schützen, dass der Empfänger später leugnet eine Nachricht erhalten zu haben, indem er verlangt, dass dieser eine Empfangsbestätigung (Quittung) in der Form Va(Db(k)) ausstellt. A kann sich davon überzeugen, dass die Quittung von B stammen muss und kann dies auch vor Gericht beweisen.