Signed in Europe Wie sicher sind digitale Signaturen?

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mit der eIDAS-Verordnung hat die EU 2014 einen einheitlichen Rahmen für die elektronische Identifizierung geschaffen. Eine Novelle der Verordnung zielt nun darauf ab, die Nutzung der Identifizierungsverfahren, worunter auch digitale Signaturen fallen, in der EU noch sicherer und benutzerfreundlicher zu gestalten. Aber wie sicher sind die digitalen Signaturen made in Europe?

Im Idealfall sollte eine E-Signatur, egal unter welchem Dokument sie getätigt wird, die eIDAS-Verordnung einhalten, auf der Verwendung eines elektronischen Zertifikats beruhen, die Identität des Unterzeichners überprüfen und nachweisen können, dass das Dokument seit der Unterzeichnung nicht verändert wurde.

Aber es gibt Fälle, in denen keine Identitätsprüfung stattfinden kann, beispielsweise beim schnellen Unterzeichnen einer Datenschutzerklärung. Die eIDAS-Verordnung erkennt daher die unterschiedlichen Nutzungssituationen für digitale Signaturen an und definiert drei Stufen der Signatur: die einfache elektronische Unterschrift, die fortgeschrittene elektronische Unterschrift und die qualifizierte elektronische Unterschrift. Die drei Formen unterscheiden sich hinsichtlich ihres Sicherheitsniveaus.

Die Einfache Elektronische Unterschrift

Für Einfache Elektronische Unterschriften gibt es keinen festgeschriebenen Anforderungskatalog. Dokumente können ohne, dass die Identität des Unterzeichnenden verifiziert wurde, unterzeichnet werden – das klassische JPEG-Einfügen der eigenen eingescannten Unterschrift in Word. Um Unternehmen vor Betrug zu schützen, haben einige digitale Signaturen-Anbieter daher auch für diese Form der Unterschrift einen Authentifizierungsschritt integriert – was aus der einfachen streng genommen eine fortgeschrittene Signatur macht. Sie bieten beispielsweise die Nutzung eines Einmalpasswortes an, das dem Unterzeichnenden per SMS zugesendet wird. Dokumente für die einfache elektronische Unterschrift sind Unterlagen, die routinemäßig oder mit einem begrenzten rechtlichen oder finanziellen Risiko verbunden sind. Zum Beispiel: Auftragsbestätigungen, Kostenvoranschläge oder Datenschutzerklärungen.

Fortgeschrittene Elektronische Signatur

Die nächsthöhere Sicherheitsstufe ist mit der Fortgeschrittenen Elektronischen Unterschrift verbunden. Sie wird für Dokumente empfohlen, bei denen erhebliche rechtliche Risiken bestehen können.

Daher muss die Fortgeschrittene Elektronische Signatur

• zweifelsfrei auf den Unterzeichnenden zurückzuführen sein,

• mit Mitteln erstellt werden, die unter der alleinigen Kontrolle des Unterzeichnenden stehen, wie beispielsweise Telefon, Tablet oder PC

• und garantieren, dass das Dokument – also der Rechtsakt – im Nachhinein nicht verändert werden kann.

In der EU können SIM-Karten nur noch gekauft werden, wenn zuvor eine Ausweis- bzw. Identitätskontrolle stattgefunden hat. Die Authentifizierung über ein SMS-Einmalpassworts kann also bereits die Anforderung an eine Fortgeschrittene Elektronische Signatur erfüllen. Aufgrund der erheblichen rechtlichen Risiken, die mit Dokumenten wie Gesellschaftsverträgen (GbR, OHG, KG), Beschlüssen von Geschäftsführern einer GmbH oder Patent-, Marken und Urheberrechtsverträgen einhergehen, empfiehlt sich dennoch die Kombination aus Ausweisüberprüfung und SMS-Einmalpasswort.

Qualifizierte Elektronische Signatur

Die Qualifizierte Elektronische Signatur (kurz: QES) ist die sicherste Form der elektronischen Unterschrift. Aus rechtlicher Sicht ist der Unterschied zwischen der Qualifizierten Elektronischen Signatur und der Fortgeschrittenen größer als zwischen Fortgeschrittener und Einfacher – auch wenn das auf den ersten Blick nicht plausibel erscheinen mag, da für die Einfache Elektronische Signatur ja gar keine Verifizierungsprozesse festgeschrieben sind. Das Alleinstellungsmerkmal der QES liegt in der Beweislastumkehr. Kommt es beispielsweise zu einer rechtlichen Auseinandersetzung muss die Person, die eine Qualifizierte Unterschrift geleistet hat, beweisen, dass sie es nicht war, die unterschrieben hat. Daher finden sich in der eIDAS-Verordnung sehr präzise Vorgaben an die Identitätsüberprüfung und die Verwahrung eines Signaturschlüssels. Ein elektronisches Signaturverfahren gilt als Qualifiziert, wenn es eine von einer Zertifizierungsbehörde ausgestellte QES verwendet. Diese Zertifizierungsstellen werden vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland und von gleichwertigen Stellen im europäischen Ausland kontrolliert.

Für die Identitätsüberprüfung im Rahmen einer QES gibt es verschiedene Möglichkeiten, wie beispielsweise Video- und Auto-Identifizierungsverfahren.

AutoIdent

AutoIdent ist eine fortschrittliche Technologie zur automatisierten Identitätsverifizierung, die Algorithmen und künstliche Intelligenz einsetzt, um die Authentizität von Identitätsdokumenten zu prüfen. Dieses Verfahren unterstützt nicht nur die Einhaltung gesetzlicher Vorgaben wie des Geldwäschegesetzes, sondern auch die Datenschutz-Grundverordnung, indem es eine sichere und effiziente Überprüfung der Identität gewährleistet.

So läuft eine AutoIdent-Verfahren ab: Der Nutzer startet das Identifizierungsverfahren über eine mobile App oder eine Webanwendung. Dies geschieht oft im Rahmen eines Registrierungsprozesses. Dieser wird dann aufgefordert, ein gültiges Ausweisdokument auszuwählen, wie beispielsweise einen Personalausweis, einen Reisepass oder Führerschein. Anschließend wird er angewiesen, dieses Dokument mit der Kamera seines Smartphones oder Computers zu fotografieren oder zu scannen. Das System analysiert das hochgeladene Bild des Dokuments mithilfe von Bildverarbeitungsalgorithmen. Es überprüft Merkmale wie Hologramme, Wasserzeichen und andere Sicherheitsmerkmale, um die Echtheit des Dokuments zu bestätigen. Die Technologie extrahiert automatisch relevante Daten aus dem Dokument, wie Name, Geburtsdatum, Ausweisnummer und Ablaufdatum. Diese Daten werden gegen die maschinenlesbare Zone (MRZ) des Dokuments validiert, um Konsistenz und Authentizität zu gewährleisten. Außerdem wird der Nutzer aufgefordert, ein Selfie aufzunehmen. Die KI vergleicht das Selfie mit dem Foto auf dem Identitätsdokument durch Gesichtserkennungssoftware. Diese biometrische Verifizierung stellt sicher, dass der Nutzer der rechtmäßige Besitzer des Dokuments ist.

Zur Vermeidung von Betrug führt das System meist auch einen Lebendigkeitstest durch, bei dem der Nutzer aufgefordert wird, bestimmte Bewegungen zu machen oder Mimik zu zeigen. Dies stellt sicher, dass es sich um eine echte Person und nicht um ein Foto oder Video handelt.

VideoIdent

Bei VideoIdent-Verfahren werden die Algorithmen durch die Urteilskraft eines echten Menschen ersetzt. Mit einem Videoanruf verifiziert ein Mitarbeiter die Echtheit des Ausweisdokuments. Obwohl die Intuition eines Menschen vermutlich gegen jeden Algorithmus gewinnen kann, hat dieses Verfahren ein paar Nachteile: Dazu gehören die Notwendigkeit einer stabilen Internetverbindung, Datenschutzbedenken, mögliche Identitätsdiebstahlrisiken und die Tatsache, dass VideoIdent nicht für jede Person geeignet ist. Unternehmen müssen zum Beispiel sicherstellen, dass die bei der Identitätsprüfung erhobenen persönlichen Daten gemäß den geltenden Datenschutzgesetzen, wie der Datenschutz-Grundverordnung (DSGVO), verarbeitet und geschützt werden. Dies umfasst Maßnahmen wie die Verschlüsselung der Datenübertragung, die Speicherung von Daten auf sicheren Servern und die Begrenzung des Zugriffs auf autorisierte Personen.

Video-zertifizierte Identifikation

Yousign hat sich für ein hybrides Modell entschieden, eine sogenannte Video-zertifizierte Lösung. Obwohl die Nutzer mit einem automatisierten, KI-gestützten Prozess interagieren, wird die Verifizierungsentscheidung von mindestens einem unabhängigen menschlichen Betrugsexperten innerhalb weniger Minuten getroffen. Yousign erfüllt zudem die Anforderungen der Bundesnetzagentur und bietet eine qualifizierte remote Signatur mit einem von der französischen Aufsichtsbehörde ANSSI zertifizierten Identifizierungssystem, das neben der automatischen Kontrolle auch die menschliche Kontrolle einschließt.

Um zur eingangs gestellten Frage „Wie sicher sind digitale Unterschriften made in Europe?” zurückzukehren: Die eIDAS-Verordnung der EU hat eindeutige Standards für digitale Signaturen definiert. Je nach Sicherheitsniveau bzw. Ausmaß der rechtlichen Konsequenzen einer Unterschrift stehen unterschiedliche Unterschriftsarten zur Verfügung – wobei die qualifizierte elektronische Signatur den Königsweg darstellt.

Über den Autor: Alban Sayag ist CEO von Yousign, einem französischen Anbieter für elektronische Signaturen und Vertragsautomatisierung. Seit 2020 treibt Alban das Wachstum und den Erfolg des Unternehmens maßgeblich an, indem er die digitale Transformation und die Automatisierungsprozesse von Dokumenten auch für den Mittelstand nahbar macht.

(ID:50115185)