Elektronische Unterschriften

Transkript

1 Universität Paderborn Elektronische Unterschriften Anwendungen und rechtliche Grundlagen Johannes Blömer Institut für Informatik Institut für Industriemathematik

2 Überblick Warum elektronische Unterschriften? Was leisten elektronische Unterschriften? Wo können elektronische Unterschriften eingesetzt werden? Wie funktionieren elektronische Unterschriften? Was sind die rechtlichen Grundlagen für elektronische Unterschriften? Wie sieht die Infrastruktur für elektronische Unterschriften aus? Wie sieht die Zukunft elektronischer Unterschriften aus?

3 Warum elektronische Unterschriften? Gefahren der Datenmanipulation und des Datendiebstahls Weg einer via Internet von Benutzer A zu Benutzer B potentielle Gefahren A Knotenrechner Helsinki Ersetzen New York Provider von A Kopieren Sydney Kapstadt Paris Rom Berlin Verändern Provider von B Mitlesen Washington D.C. B

4 Was leistet eine handschriftliche Unterschrift? Angegebene Identität wird authentisch. Integrität (Korrektheit) des Inhalts wird bestätigt. Sowohl Authentizität als auch Integrität können überprüft werden, denn Unterschrift ist individuell und schwer zu fälschen.

5 Was leistet eine elektronische Unterschrift? Eine elektronische Unterschrift soll für elektronische Dokumente die gleichen Aufgaben erfüllen wie die handschriftliche Unterschrift für nicht elektronische Dokumente. D.h., eine elektronische Unterschrift soll dazu dienen: Die Unverfälschtheit eines Dokuments zu garantieren (Integrität). Den Unterzeichner eines Dokuments zu identifizieren und diesen an das Dokument zu binden (Authentizität und Unwiderrufbarkeit). Integrität und Identität über längere Zeiträume hin zu verifizieren (Verifizierbarkeit).

6 Was leistet eine elektronische Unterschrift? Eine Unterschrift kann nicht die Vertraulichkeit eines elektronischen Dokuments garantieren. Hierzu muss dieses zusätzlich verschlüsselt werden.

7 Wo können elektronische Unterschrift eingesetzt werden? Elektronische Unterschriften können überall dort eingesetzt werden, wo - vertrauenswürdige Kommunikation - sichere Identifikation - Integrität von Daten erwünscht oder notwendig sind. Soll eine Unterschrift rechtsverbindlich sein, muss es sich um eine qualifizierte elektronische Unterschrift handeln.

8 Anwendungen elektronischer Unterschriften 1. Gesicherte elektronische Kommunikation 2. Elektronische Rechnungen und elektronische Verträge (E-Buisiness und E-Commerce) 3. Anträge und Bescheide, z.b. Steuererklärungen und Steuerbescheide im Rahmen von ELSTER (E-Government, Bund-Online 2005, E-Government 2.0) 4. Rechtsverkehr Mahnbescheide, Einreichung von Dokumenten z.b. beim Bundesgerichtshof 5. Elektronische Archivierung, z.b. bei medizinischen Daten

9 Wie funktionieren elektronische Unterschriften? Eine elektronische Unterschrift wird in zwei Schritten erstellt: 1. Berechnen eines Hashwertes. 2. Berechnen der eigentlichen Unterschrift. Der Hashwert eines Dokuments ist ein digitaler Fingerabdruck des Dokuments.

10 Wie funktionieren elektronische Unterschriften? Der Hashwert zu einem elektronischen Dokument besitzt die beiden folgenden Eigenschaften. Berechnet man zu Dokument den Hashwert mehrmals, so ergibt sich immer derselbe Hashwert. Unterschiedliche Dokumente besitzen mit überwältigender Wahrscheinlichkeit unterschiedliche Hashwerte.

11 Schema elektronische Unterschrift

12 Wie funktionieren elektronische Unterschriften? Hashwerte können bei Einsatz geeigneter Verfahren, die Integrität von Dokumenten garantieren. Aber Hashwerte sind unpersönlich, d.h., der Hashwert ist unabhängig von der Person, die ihn berechnet, er hängt nur vom Dokument ab. Da Hashwerte unpersönlich sind, sind sie alleine nicht für die Authentisierung geeignet. Daher wird bei einer elektronischen Unterschrift aus dem Hashwert noch die eigentliche elektronische Signatur berechnet.

13 Wie funktionieren elektronische Unterschriften? Die elektronische Signatur ist eine personalisierte Version des Hashwerts und kann Integrität und Authentizität garantieren. Die elektronische Signatur wird mit Hilfe eines mathematischen Verfahrens aus dem Hashwert eines Dokuments und einem privaten Schlüssel berechnet. Der private Schlüssel ist geheim und personalisiert, d.h., unterschiedliche Personen besitzen unterschiedliche private Schlüssel. Der private Schlüssel muss (höchstens) ihrem Eigentümer bekannt. Die aus Hashwert und privatem Schlüssel berechnete Signatur wird dem Dokument als elektronische Unterschrift angehängt.

14 Schema elektronische Unterschrift

15 Wie funktionieren elektronische Unterschriften? Um eine elektronische Unterschrift zu verifizieren, wird ein zum privaten Schlüssel des angeblichen Unterzeichners passender öffentlicher Schlüssel verwendet. Öffentliche Schlüssel sind jeder (interessierten) Person bekannt. Aus dem öffentlichen Schlüssel und der elektronischen Signatur lässt sich der ursprünglicher Hashwert rekonstruieren. Verifikation erfolgt, indem rekonstruierter Hashwert und vom Verifizierer selbst berechneter Hashwert des Dokuments verglichen werden. Unterschrift wird als gültig akzeptiert, wenn rekonstruierter Hashwert und berechneter Hashwert übereinstimmen.

16 Schema elektronische Unterschrift - Verifikation

17 Sicherheit elektronischer Unterschriften Um zu garantieren, dass Unterschriften nicht gefälscht werden können, dürfen die privaten Schlüssel nur sehr schwer aus den öffentlichen Schlüsseln berechenbar sein (asymmetrisches Verfahren). Dieses ist nach heutigem Wissenstand durch Verfahren wie 1. RSA (Rivest, Shamir, Adleman) 2. DSA (digital signature algorithm) 3. EC-DSA (elliptic curve digital signature algorithm) sichergestellt.

18 Sicherheit elektronischer Unterschriften Außerdem muss sichergestellt sein, dass 1. Private Schlüssel nur einmal vergeben werden. 2. Öffentliche Schlüssel der richtigen Person zugeordnet sind. Dieses geschieht durch vertrauenswürdige Dritte (trusted third parties). In der Praxis umgesetzt durch Public-Key-Infrastruktur (PKI), insbesondere Zertifikate und Zertifizierungsdienstanbieter.

19 Rechtliche Grundlagen 1. Gesetz zur Anpassung der Formvorschriften des Privatrechts und anderer Vorschriften an den modernen Rechtsgeschäftsverkehr (Formanpassungsgesetz) (13. Juli 2001) 2. Richtlinie des europäischen Parlaments und des Rates über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen (europäische Richtlinien) (13.Dezember 1999) 3. Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz) (16.Mai.2001) 4. Verordnung zur elektronischen Signatur (Signaturverordnung) (16. November 2001)

20 Rechtliche Grundlagen 1. Formanpassungsgesetz setzt qualifizierte elektronische Unterschriften gleich mit handschriftlichen Unterschriften. 2. Aufbauend auf den europäischen Richtlinien legt das Signaturgesetz fest, was eine qualifizierte elektronische Unterschrift ist. 3. Die Signaturverordnung regelt Durchführungsbestimmungen, legt z.b. fest, was ein angezeigter bzw. akkreditierter Zertifizierungsanbieter zu leisten hat und was z.b. als sichere Signaturerstellungseinheit gilt.

21 Typen elektronischer Unterschriften elektronische Signatur fortgeschrittene elektronische Signatur qualifizierte elektronische Signatur qualifizierte elektronische Signatur mit Anbieterakkreditierung

22 Formanpassungsgesetz Änderung des Bürgerlichen Gesetzbuchs Das Bürgerliche Gesetzbuch wird wie folgt geändert: wird wie folgt geändert: a) Nach Absatz 2 wird folgender Absatz 3 eingefügt: (3) Die schriftliche Form kann durch die elektronische Form ersetzt werden, wenn sich nicht aus dem Gesetz ein anderes ergibt.

23 Formanpassungsgesetz Änderung des Bürgerlichen Gesetzbuchs Das Bürgerliche Gesetzbuch wird wie folgt geändert: 3. Nach 126 werden folgende 126a und 126b eingefügt: 126a (1) Soll die gesetzlich vorgeschriebene schriftliche Form durch die elektronische Form ersetzt werden, so muss der Aussteller der Erklärung dieser seinen Namen hinzufügen und das elektronische Dokument mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehen.

24 Signaturgesetz Im Sinne dieses Gesetzes sind 1. elektronische Signaturen fortgeschrittene elektronische Signaturen 3. qualifizierte elektronische Signaturen elektronische Signaturen nach Nummer 2, die a) auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruhen und b) mit einer sicheren Signaturerstellungseinheit erzeugt werden,

25 Zertifikate - Zertifizierungsdienstanbieter Ein Zertifikat ist die Bestätigung, dass die Unterschrift unter ein Dokument echt ist. Es wird damit bestätigt, dass das Dokument von der Person stammt, die sie unterzeichnet hat. Zertifikate für elektronische Unterschriften werden in Deutschland von so genannten Zertifizierungsdienstanbietern ausgestellt. Dieses sind bei der Bundesnetzagentur angezeigte Unternehmen.

26 Zertikate Zertifikat enthält Angaben 1. Zur Identität des Schlüsselinhabers. 2. Zur Gültigkeitsdauer 3. Zum Aussteller des Zertifikats. 4. Den öffentlichen Schlüssel des Inhabers. ZERTIFIKAT Name, Vorname ggf. Pseudonym gültig von: gültig bis: Ausgestellt vom Zertifizierungsdienstanbieter xy Öffentlicher Schlüssel (Signaturprüfschlüssel)

27 Zertikate ZERTIFIKAT Name, Vorname ggf. Pseudonym gültig von: gültig bis: Ausgestellt vom Zertifizierungsdienstanbieter xy Um das ZERTIFIKAT vor Manipulationen zu schützen, wird es vom Aussteller elektronisch mit Hilfe seines privaten Schlüssels signiert. Öffentlicher Schlüssel (Signaturprüfschlüssel)

28 Zertifikate und Verifikation Zertifikate werden an signierte Nachricht angehängt. Zertifikate können beim entsprechenden Anbieter nachgefragt werden, Zertifizierungsanbieter müssen Verzeichnisdienste anbieten.

29 Public-Key Key-Infrastruktur 1. Öffentliche Schlüssel von Zertifizierungsanbietern werden durch übergeordnete Zertifizierungsanbieter zertifiziert, diese bestätigen damit die Vertrauenswürdigkeit des ersten Anbieters. Hierarchie von Zertifikaten 2. In Deutschland in drei Ebenen: I. Bundesnetzagentur II. Angezeigte bzw. akkreditierte Zertifizierungsanbieter III. Anwender

30 Zertifikat der Netzagentur kann direkt geprüft werden. Public-Key Key-Infrastruktur Bundesnetzagentur Anwender Anwender Anwender Anwender Anwender Anwender Anwender

31 Zertifizierungsdienstanbieter Damit elektronisch unterschriebene Dokumente über lange Zeiträume überprüft werden können Müssen Verzeichnisdienste über lange Zeiträume zuverlässig arbeiten. Müssen Verzeichnisdienste unterschiedlicher Anbieter kompatibel sein. Müssen alle von Anbieter eingesetzten Verfahren und technische Komponenten einen hohen Sicherheitsstandard erfüllen.

32 Zertifizierungsdienstanbieter Signaturgesetz setzt hierfür Rahmenbedingungen. Sicherheit eingesetzter Verfahren und technischer Komponenten wird durch BSI TÜV Informationstechnik Zertifizierungsstelle der T-Systems überprüft.

33 Zertifizierungsdienstanbieter Zertifizierungsdienste Müssen nicht genehmigt werden. Müssen angezeigt werden bei der Bundesnetzagentur (mit Sicherheitskonzept). Können akkreditiert werden (Sicherheit wird vor Aufnahme des Betriebs überprüft). Bei akkreditierten Anbietern garantiert die Netzagentur, dass auch bei Betriebseinstellung Zertifikate weiterhin überprüft werden können.

34 Wie wird elektronisch unterschrieben? Sie benötigen Computer mit Internetanbindung Signaturkarte und Chipkartenleser (erhältlich bei Zertifizierungsanbieter, Teil des Sicherheitspakets, Karte speichert privaten Schlüssel) Software (z.b. Outlook und Zusatzkomponenten Zertifizierungsanbieter)

35 Wie wird elektronisch unterschrieben? Folgende Schritte müssen ausgeführt werden 1. -Programm starten und Signaturkarte einlegen, PIN eingeben.

36 Wie wird elektronisch unterschrieben? 2. verfassen.

37 Wie wird elektronisch unterschrieben? 3. signieren.

38 Wie sieht die Zukunft elektronsicher Signaturen aus? Elektronische Signaturen werden in Zukunft eine immer größere Rolle spielen. Drei Initiativen sollen das belegen: 1. Signaturbündnis 2. BundOnline 2005/ E-Government i2010

39 Signaturbündnis Initiative von Bundesregierung, Wirtschaftsverbänden und Unternehmen zur Förderung elektronischer Unterschriften. Gegründet am 3. April Beteiligt u.a.

40 Signaturbündnis Die Vision des Bündnisses ist: Der Bürger kann mit jeder beliebigen Chipkarte jedem Kartenleser eine Vielzahl - idealerweise alle der verfügbaren Applikationen aus ecommerce und egovernment nutzen.

41 BundOnline 2005 Initiative der Bundesregierung seit September Ziel dieser Initiative ist es, alle onlinefähigen Dienstleistungen der Bundesverwaltung bis 2005 elektronisch verfügbar zu machen. Dies nützt den Bürgerinnen und Bürgern, davon profitiert der Wirtschaftsstandort Deutschland. Ende 2005 waren 440 Dienste online verfügbar.

42 E-Government 2.0 Am 13. September beschlossenes Programm der Bundesregierung. Vier Handlungsfelder werden identifiziert: A. Portfolio: Bedarfsorientierter qualitativer und quantitativer Ausbau des E-Government Angebots des Bundes B. Prozessketten: Elektronische Zusammenarbeit zwischen Wirtschaft und Verwaltung durch gemeinsame Prozessketten C. Identifizierung: Einführung eines elektronischen Personalausweises und Erarbeitung von E-Identity Konzepten D. Kommunikation: Sichere Kommunikationsinfrastruktur für Bürgerinnen und Bürger, Unternehmen und Verwaltungen

43 i2010 Durch die EU Kommission am 1. Juni 2005 ins Leben Initiative: i2010 has three priorities: 1) to create a Single European Information Space, which promotes an open and competitive internal market for information society and media services. 2) to strengthen investment in innovation and research in information and communication technologies (ICT). 3) to foster inclusion, better public services and quality of life through the use of ICT.

44 Fortgeschrittene Unterschriften - PGP Sollen elektronische Unterschriften nur unternehmensintern genutzt werden, so sind qualifizierte Unterschriften mit Zertifikaten nicht notwendig. Dann genügen einfache oder fortgeschrittene Unterschriften. Software hierfür ist (frei) verfügbar z.b. über PGP (Pretty Good Privacy). Dann können auch unternehmensinterne Zertifizierungshierarchien aufgebaut werden.