Elektronische Signaturen „ Viel Lärm um fast nichts? “ Dr. iur. Lutz Gollan

1. Elektronische Signaturen „Viel Lärm um fast nichts?“ Dr. iur. Lutz Gollan 7. Konferenz der IuK-Initiative, 11.-14. März 2001, Trier

2. Überblick • Grundsätzliches zu (elektronischen) Signaturen • Rechtlicher Rahmen • Praxis/Auswirkungen

3. Unterschriften I Zwecke der Unterschrift • Warnung • Dauerhaftigkeit • Abschluss („Unter-Schrift“) • Identifikation • Beweiskraft • Echtheit • Gesetzlich erforderlich (z.B. längerfristiger MietV)

4. Unterschriften II „Elektronische Unterschriften“ • Verfahren zur elektronischen Verknüpfung von Daten mit anderen Daten • Zum Zweck der Authentifizierung und Identifizierung • Elektronische Äquivalent zur händischen Unterschrift • Ergebnis an Ausgangsdaten gebunden • Keine bestimmte Infrastrukturen, Algorithmen oder Anwendungen per definitionem nötig

5. Elektronischevs.DigitaleUnterschriften

6. Digitale Signaturen • Untergruppe elektronischer Unterschriften • Menge von Protokollen auf Basis der „asymmetrischen Verschlüsselung“ • zur Sicherstellung der Authenzität und Integrität elektronischer Daten • Bestimmte Technologie (z.B. PGP)

7. Elektronische Unterschriften Elektronische Signaturen Scan Biometrie Digitale Signaturen ...

8. Public-Key-Infrastrukturen(PKI) • Infrastruktur für den Einsatz von digitalen Signaturen • Gesamtheit der Rollen und Kompetenzen der Beteiligten (Trust Center, Root CA, Teilnehmer)

9. Bsp.: Hierarchische PKI Root CA TC A TC B TC C Teilneh-mer Teilneh-mer Teilneh-mer

10. Rechtlicher Rahmen

11. Geplante Gesetze • Auf Grundlage der Richtlinie der EU über elektronische Signaturen 1999 • Signaturgesetz 2001 • Signaturverordnung 2001 • Anpassungsgesetz für Privatrecht 2001 • Vereinzelte Anpassungen (z.B. UStG)

12. Signaturgesetz 2001 • Rahmen, Definitionen, Rechtsgrundlage für SigVO • Von Bundestag und Bundesrat verabschiedet • Anforderungen an: • digitale Signaturen • Infrastruktur (hierarchische PKI) • Zertifizierungsdiensteanbieter • Keine Rechtsfolgen von digitalen Signaturen hier geregelt

13. Signaturverordnung 2001 • Nachfolger der SigVO 1997; Sommer 2001 ? • Details zur Ergänzung des SigG • Details bzgl. Anbieter, Infrastruktur, Komponenten, Versicherung, Kundenbetreuung • ...

14. Anpassungsgesetz 2001 • Regelt die gesetzlichen Rechtsfolgen im Privatrecht bei Verwendung digitaler Signaturen • Anpassungen von • BGB, ZPO, Verbraucherkredit-Gesetz etc. • weiterhin Ausnahmen (z.B. Kündigung des Arbeitsvertrages) • “Die schriftliche Form kann durch die elektronische Form ersetzt werden, wenn sich nicht aus dem Gesetz etwas anderes ergibt“ (§ 126 III BGB-E) • Erwartet für Sommer 2001

15. „Qualifizierte elektronische Signaturen“ = Digitale Signaturen

16. Qualifizierte elektronische Signaturen • SigG regelt nur qualifizierte elektronische Signaturen • Nur diese werden handschriftlichen Unterschriften grundsätzlich gleichgestellt • Prozessrecht: Q.e.S. werden als echt angesehen, biserhebliche Tatsachen dagegen vorgelegt werden (§ 292a ZPO-E)

17. Übersicht„Digitales Signieren“

18. Trust Center Trust Center Verzeichnisdienst Zertifikat Name, Land, öffentl. Schlüssel, Gültigkeits- dauer ... Registrierung (Name, Perso.-Nr. ...) Schlüsselerzeugung privat öffentlich privater Schlüssel

19. Signier-Prozess Dokument Sender Empfänger + Signieren Privater Key des Senders Hash-Wert Signatur Signatur

20. Hash-Wert Match ? Hash-Wert Überprüfungs-Prozess Entschlüsseln des Hash-Werts Entschlüsselt Empfänger Public Key des Senders Generierung Hash-Wertes Dokument

21. Zertifizierungsdiensteanbieter • Meldepflicht bei RegTP • Sichere Infrastruktur, verlässliches + ausgebildetes Personal und zertifizierte Komponenten • Kundenbelehrung • Dokumentation • Versicherung • ...

22. Wie sieht die Praxis aus?

23. Ideal • Mittel für einfachen, kostengünstigen elektronischen Geschäfts- und Rechtsverkehr • SigG-Konformität • Kompatibilität: deutschlandweit, europaweit, weltweit • Kostengünstig

24. Stand der Dinge • Derzeit nur drei Anbieter von q.e.S. • Telesec, Signtrust, Bundesnotarkammer (mit Signtrust) • Technische Anforderungen werden durch neue Gesetze nur zum Teil geringer • Techniken nicht kompatibel (Telesec vs. Signtrust) • Anwender auf Signieren von E-Mails mit bestimmten Programmen beschränkt • Was ist bspw. mit formatierten Texten?

25. Mittelfristige Szenarien Offene, aber nicht kompatible PKIs gemäß SigG Offene PKIs ohne SigG-Konformität Geschlossene Benutzergruppen (vgl. HBCI)

26. Offene (nicht kompatible)PKIs gemäß SigG • Heutiger Stand • + einige nicht nicht gesetzes-konforme PKIs

27. Offene PKIsohne SigG-Konformität • Nachteile • Keine gesetzlich/vertraglich • geregelte Rechtssicherheit • Geringere technische • Sicherheit Vorteile • Jedermann kann teilnehmen • Leichter Zugang • Kostengünstig z.B. Pretty-Good-Privacy

28. Geschlossene Benutzergruppen • Nachteile • Keine gesetzlich geregelte • Rechtssicherheit • fehlende Kompatibilität • nach außen • Proprietäre Anwendungen • Geschlossen Gruppen Vorteile • Vertragliche Absicherung • Leichter Zugang • Kostengünstig z.B. HBCI-Banking

29. Konsequenzen • Konvergenz von Kompatibilität und Gesetzes-Konformität nötig • Standardisierungen nötig • Einheitliche Anwendungen • Akzeptanzstärkung in Wirtschaft, Verwaltung und bei Verbrauchern

30. Alternativen? • Haftung bei Kreditkartensystem als Modell? • Verbraucherfreundlichkeit durch Haftungs-beschränkung • Aber nicht für B-2-B und Verwaltung tauglich • De-Regulierung? • EU-Richtlinie zu elektronischen Signaturen • Sicherheit als Maßstab

31. Herzlichen Dank! Dr. iur. Lutz Gollan gollan@ti.fhg.de