Elektronische Signatur Version 1.0 Oktober 2007 - APV

APV-Empfehlung: Elektronische Signaturen, Version 1.0
4.3.10 Sicherheit und Notfallkonzept
Auch in Bezug auf die Integrität elektronischer Signaturen sind Regelungen zu treffen zur Sicherung von Systemen gegen:
Informationsabfluss
Manipulation
Zerstörung
Ausfall durch Nachlässigkeit
Sabotage
Defekte
Unglücksfälle
Zusätzlich ist für den Notfall (definiert als länger dauernder Systemausfall) ein adäquates Konzept zu erstellen. Mit Blick auf
elektronische Signaturen sollte dies auch eine Aussage beinhalten, ob und wie während der Ausfallzeit alternativ ggf. handschriftlich
zu unterschreiben ist.
4.3.11 Periodische Überprüfungen
Im Rahmen periodischer Überprüfungen wird der Validierungsstand eines Systems bewertet.
Hinsichtlich der elektronischen Signatur wird empfohlen, in diesem Zusammenhang die Aktualität der entsprechenden
Unterschriftenberechtigungen zu prüfen.
4.4 Außerbetriebnahme
Soll ein System außer Betrieb genommen werden, z. B. weil aufgrund der technischen Weiterentwicklung die bestehende
Technologie zukünftig nicht mehr verfügbar sein wird, sind hinsichtlich signierter Daten u. a. folgende Varianten denkbar:
Valide Migration auf ein Nachfolgesystem
Valide Migration auf ein Hilfssystem (z. B. nur für Recherche- und Berichtszwecke)
Ausdrucken und „notariell beglaubigen“
Nachsignieren und Zertifikat erneuern
Dabei sind folgende Aspekte zu beachten:
Einhaltung der gesetzlichen Aufbewahrungsfristen für Daten und Dokumente
Dauer der Archivierung vs. Gültigkeitsdauer von elektronischen Signaturen
Ggf. Regelung zur Schlüsselverwaltung (z. B. falls Zertifikate vor Ablauf der Archivierungsdauer ungültig werden)
5 Erläuterungen zur Public-Key-Infrastruktur (PKI)
Mittels der asymmetrischen Verschlüsselung können Nachrichten im Internet digital signiert und verschlüsselt werden.
Allerdings wird hierzu der „öffentliche Schlüssel“ (Public-Key) des Absenders benötigt.
Damit sichergestellt ist, dass es sich tatsächlich um den öffentlichen Schlüssel des Absenders handelt und nicht um die
Fälschung eines Betrügers, wird eine vertrauenswürdige Stelle (Trust Center) benötigt. Diese arbeitet als Certification
Authority (CA) und stellt hierzu Zertifikate („Echtheitsbescheinigungen“) von öffentlichen Schlüsseln aus.
Die Verwaltung der Zertifikate durch eine CA wird in einer organisatorisch-technischen Umgebung, einer Public-Key-Infrastruktur
(PKI), durchgeführt. Sie besteht aus Technologie, Standards und definierten Sicherheitsanforderungen (Policy).
Die Policy definiert u. a. Haftung, Gewährleistung, Organisation, Standards, einzusetzende Technologie und deren Handhabung.
Eine PKI stellt Dienstleistungen wie Schlüssel-Management (Schlüsselerstellung, Aktualisierung, Wiedergewinnung, ...), Zertifikat-Management
(Erzeugung, Bereitstellung, Erneuerung, Sperrung, ...) oder Zeitstempeldienste zur Verfügung. Zu einer
PKI gehören folgende Komponenten:
Die Zertifizierungsstelle (Certification Authority – CA) erstellt die digitalen Zertifikate für den Nutzer und verwaltet sie.
Die Registrierungsstelle (Registration Authority – RA) verifiziert die Identität und Angaben des Antragstellers. Sie organi -
siert die Zertifikatsausgabe im Namen der CA.
Der Verzeichnisdienst stellt eine öffentliche Datenbank zur Verfügung, in der Zertifikate geführt werden. Gesperrte Zertifikate
werden über eine Sperrliste (Certificate Revocation List – CRL) gekennzeichnet.
Eine Alternative zur CRL ist das „Online Certificate Status Protocol“ (OCSP), mit dem der Status eines Zertifikates online
überprüft werden kann.
Der Zeitstempeldienst bestätigt die Vorlage von digitalen Daten zu einem bestimmten Zeitpunkt – dies ist von besonderer
Bedeutung bei Verträgen und Urkunden.
Jede Organisation oder jedes Unternehmen, das den internen und/oder externen Datenaustausch sicher gestalten möchte
und sich entscheidet, mit Zertifikaten zu arbeiten, kann seine eigene PKI aufbauen und einsetzen. Dabei kann die
28 APVnews 04/07 copyright apv