Die elektronische Signatur basiert auf einem technischen Dreiklang, den die meisten Leitfäden nur streifen: Authentifizierung des Unterzeichners, kryptografische Versiegelung des Dokuments und qualifizierte Zeitstempelung. Das Verständnis dieses Mechanismus ermöglicht es, das richtige Sicherheitsniveau zu wählen, ohne das System zu überdimensionieren oder die regulatorischen Anforderungen im Zusammenhang mit der eIDAS-Verordnung zu unterschätzen.
Kryptografische Infrastruktur hinter einer zuverlässigen elektronischen Signatur
Jede sichere elektronische Signatur stützt sich auf ein Paar asymmetrischer Schlüssel: einen privaten Schlüssel, der ausschließlich vom Unterzeichner gehalten wird, und einen öffentlichen Schlüssel, der in einem Zertifikat integriert ist. Wenn ein Dokument signiert wird, wird ein Hash des Dokuments mit dem privaten Schlüssel verschlüsselt. Der Empfänger überprüft die Integrität des Dokuments, indem er diesen Hash mit dem öffentlichen Schlüssel entschlüsselt.
Ebenfalls empfehlenswert : Praktischer Leitfaden für den einfachen Zugang zum CAFC online und zur Verwaltung Ihrer Anträge
Dieser Prozess garantiert gleichzeitig zwei Dinge: die Identität des Unterzeichners und die Integrität des signierten Dokuments. Wenn auch nur ein Zeichen des Dokuments nach der Signatur geändert wird, stimmt der Hash nicht mehr überein. Der Nachweis einer Fälschung ist dann sofort gegeben.
Das Signaturzertifikat, das von einer Zertifizierungsstelle (CA) ausgestellt wird, ist das zentrale Glied. Für fortgeschrittene und qualifizierte Signaturen im Sinne der eIDAS-Verordnung muss dieses Zertifikat von einem qualifizierten Vertrauensdienstanbieter (QTSP) ausgestellt werden, der auf der europäischen Vertrauensliste eingetragen ist. Wir empfehlen, diese Eintragung systematisch zu überprüfen, bevor Sie sich für eine Lösung entscheiden, da mehrere kommerzielle Angebote eine eIDAS-Konformität beanspruchen, ohne diesen Status zu haben.
Wer eine elektronische Signatur mit Ideelogique erstellen möchte, beginnt den Prozess mit der Auswahl des passenden Signaturniveaus im rechtlichen Kontext des betreffenden Dokuments.
eIDAS-Niveaus: Wahl zwischen einfacher, fortgeschrittener und qualifizierter Signatur
Die eIDAS-Verordnung definiert drei Niveaus elektronischer Signaturen. Jedes Niveau fügt im Vergleich zum vorherigen technische und rechtliche Anforderungen hinzu.
- Die einfache elektronische Signatur deckt die Mehrheit der gängigen Anwendungen ab (Kostenvoranschläge, Bestellformulare, Standardgeschäftsverträge). Es sind keine formalen Identitätsüberprüfungen erforderlich. Ein per SMS gesendeter OTP-Code reicht oft als Authentifizierungsfaktor aus.
- Die fortgeschrittene Signatur erfordert eine eindeutige Verbindung zum Unterzeichner, ihre Erstellung unter dessen ausschließlicher Kontrolle und die Erkennung jeder späteren Änderung des Dokuments. Sie eignet sich für Arbeitsverträge, Mietverträge oder bedeutende finanzielle Verpflichtungen.
- Die qualifizierte Signatur ist die einzige, die im europäischen Recht eine Vermutung der Zuverlässigkeit genießt. Sie erfordert ein qualifiziertes Zertifikat, das nach einer persönlichen Identitätsüberprüfung (physisch oder qualifiziert per Video) ausgestellt wird, sowie ein qualifiziertes Signaturerstellungsgerät (QSCD). Sie ist erforderlich für öffentliche Urkunden, elektronische Ausschreibungen und bestimmte regulierte Dokumente.
Wir beobachten, dass die Mehrheit der französischen TPE und PME, die elektronische Signaturen einführen, auf dem einfachen Niveau bleiben, was tatsächlich die meisten ihrer täglichen Bedürfnisse abdeckt. Die Falle besteht darin, eine einfache Signatur dort zu verwenden, wo die branchenspezifische Regulierung ein fortgeschrittenes oder qualifiziertes Niveau erfordert, was das Unternehmen im Falle eines Streits der Gültigkeit des Dokuments aussetzt.
Starke Authentifizierung und MFA in sicheren Signaturlösungen
Ein Punkt, den die allgemeinen Leitfäden vernachlässigen: Das Signaturniveau reicht nicht aus, um die Sicherheit des Prozesses zu gewährleisten. Die Robustheit der zum Zeitpunkt der Signatur angewendeten Mehrfaktorauthentifizierung (MFA) bestimmt die tatsächliche Widerstandsfähigkeit des Systems gegenüber Identitätsdiebstahl.
Neuere Lösungen kombinieren mindestens zwei Faktoren aus drei Kategorien: Wissen (Passwort, PIN-Code), Besitz (Smartphone, kryptografischer USB-Stick) und Inhärenz (biometrische Gesichtserkennung, Fingerabdruck). Für eine fortgeschrittene Signatur bleibt die Verwendung eines einzigen Faktors (typischerweise ein SMS-Code) toleriert, schwächt jedoch den Beweiswert des Systems.
Wir empfehlen, systematisch eine Zwei-Faktor-Authentifizierung zu verlangen, selbst für einfache Signaturen, sobald das Dokument das Unternehmen finanziell bindet. Die Mehrkosten sind im Vergleich zum Risiko der Anfechtung vernachlässigbar.
Qualifizierter Zeitstempel: Ein Detail, das alles im Streitfall ändert
Der qualifizierte Zeitstempel verknüpft ein Datum und eine Uhrzeit, die von einem vertrauenswürdigen Dritten zertifiziert sind, mit jeder Signatur. Ohne ihn kann ein Unterzeichner den Zeitpunkt seines Engagements anfechten. Mit einem qualifizierten Zeitstempel wird das Datum der Signatur rechtlich verbindlich.
Nicht alle Plattformen integrieren diesen Service standardmäßig. Überprüfen Sie, ob Ihre Lösung einen Zeitstempeldienst verwendet, der der Norm ETSI EN 319 421 entspricht, die von einem Anbieter ausgestellt wurde, der auf einer europäischen Vertrauensliste eingetragen ist.
Auswirkungen von eIDAS 2 und dem europäischen digitalen Identitätsportfolio auf die Signatur
Die Überarbeitung der Verordnung, bekannt als eIDAS 2, führt das europäische digitale Identitätsportfolio (European Digital Identity Wallet) ein. Diese Änderung wird die Erstellung qualifizierter Signaturen aus der Ferne transformieren.
Das Prinzip: Jeder europäische Bürger kann in einem digitalen Wallet seine einmal verifizierten Identitätsattribute speichern und sie dann verwenden, um Dokumente mit wenigen Klicks zu signieren, ohne bei jedem Akt erneut eine Identitätsüberprüfung durchlaufen zu müssen. Die derzeitige Reibung bei der qualifizierten Signatur (Videoüberprüfung, Einsendung von Identitätsdokumenten) wird erheblich reduziert.
Für Unternehmen bedeutet diese Entwicklung, dass es einfacher wird, ein qualifiziertes Niveau zu verlangen, wo sie zuvor aus Bequemlichkeit mit einer einfachen Signatur zufrieden waren. Wir erwarten eine schrittweise Erhöhung der Praktiken, insbesondere in den Bereichen Banken, Immobilien und öffentliche Aufträge.
Technische Kriterien zur Bewertung einer elektronischen Signaturlösung
Die Wahl eines Tools beschränkt sich nicht auf den Vergleich der Tarife pro Signaturhülle. Mehrere technische Kriterien verdienen besondere Aufmerksamkeit:
- Die Konformität des Vertrauensdienstanbieters (überprüfbar auf der europäischen Trusted List), die die rechtliche Zulässigkeit der erzeugten Signaturen bestimmt.
- Das unterstützte Signaturformat: PAdES für PDFs, XAdES für XML-Dokumente, CAdES für Binärdateien. Ein Tool, das nur PAdES anbietet, kann bestimmte Geschäftsabläufe blockieren.
- Die Fähigkeit, einen konfigurierbaren MFA-Prozess zu integrieren, der dem Risikoniveau jedes Dokumenttyps entspricht.
- Die Archivierung mit Beweiswert und der qualifizierte Zeitstempel, die nativ enthalten sind, ohne kostenpflichtiges Zusatzmodul.
Ein letzter Punkt, der oft ignoriert wird: die kryptografische Langlebigkeit. Die heute verwendeten Hash- und Verschlüsselungsalgorithmen (SHA-256, RSA 2048) müssen sich angesichts zukünftiger Rechenkapazitäten weiterentwickeln. Eine seriöse Lösung hat bereits einen Fahrplan für post-quanten Algorithmen vorgesehen.
Die elektronische Signatur ist kein einfaches Komfortwerkzeug. Sie ist ein Baustein der dokumentarischen Infrastruktur, deren technische Solidität die rechtliche Wertigkeit aller Verpflichtungen bestimmt, die sie trägt. Es ist besser, einige Stunden in die Bewertung des Systems zu investieren, als seine Schwächen vor Gericht zu entdecken.