Die Informationstechnologie weist neben zahlreichen betriebswirtschaftlichen Anwendungsmöglichkeiten, ebenfalls verschiedene Risiken auf. Diese zeigen sich insbesondere in der Flüchtig- und Manipulierbarkeit elektronischer Daten. Nach verschiedenen Einschätzungen stellt derzeit z. B. das in einem gerichtlichen Verfahren kaum nachweisbare Zustandekommen elektronisch geschlossener Verträge, eine erhebliche Behinderung des elektronischen Handels dar.
Durch verschiedene Rechtsanpassungen auf europäischer und nationaler Ebene wurde ein elektronischer Signaturtyp geschaffen, der in Analogie zur eigenhändigen Unterschrift, die Integrität und Authentizität von elektronischen Daten ermöglichen soll. Die Regelungen des Signaturgesetzes beschränken sich hierbei im wesentlichen auf infrastrukturelle und informationstechnische Spezifikationen. Durch Formanpassungen in verschiedenen Bereichen des Privat- und öffentlichen Rechts wurde die qualifizierte elektronische Signatur teilweise zu einem vollwertigen rechtlichen Substitut der eigenhändigen Unterschrift. Die Regelung zur dauerhaften Überprüfbarkeit sowie die Beweiswirkung ist jedoch nicht durchgängig stringent geregelt.
Als Basiskonzept dient die Public-Key-Kryptographie unter Einbeziehung einer vertrauenswürdigen Instanz. Hierdurch ist die qualifizierte elektronische Signatur im Vergleich zur Unterschrift deutlich fälschungssicherer. Die Sicherheit der verwendeten Verfahren und Algorithmen ist unter Verwendung entsprechender Parameter sehr hoch. Im Vergleich zu den ausgeprägten Anforderungen an Infrastrukturanbieter existieren im Bereich der Anwender dagegn kaum Sicherheitsbestimmungen, wodurch sich gerade private Nutzer einem gewissen Bedrohungspotential durch sogenannte Trojaner ausgesetzt sehen müssen.
Inhaltsverzeichnis
1 Vorbemerkungen
2 Rechtliche Aspekte der Signatur
2.1 Rechtliche Grundlagen
2.1.1 Richtlinie der Europäischen Union
2.1.2 Deutscher Gesetzgeber
2.2 Anforderungen an eine qualifizierte elektronische Signatur
2.2.1 Definition und Abgrenzung
2.2.2 Produkte für qualifizierte elektronische Signaturen
2.2.2.1 Sichere Signaturerstellungseinheiten
2.2.2.2 Signaturanwendungskomponenten
2.2.2.3 Technische Komponenten für Zertifizierungsdienste
2.2.3 Qualifizierte Zertifikate und Wurzelzertifikate
2.2.4 Dynamische Aspekte des Sicherheitsgehalts von qualifizierten elektronischen Signaturen
2.3 Die qualifizierte elektronische Signatur als „Substitut“
2.3.1 Privatrechtsbereich
2.3.2 Öffentlich-rechtlicher Bereich
2.4 Besonderheiten im Zusammenhang mit akkreditierten Zertifizierungsdiensteanbietern
3 Die informationstechnische Realisierung
3.1 Das kryptographische Konzept
3.2 Das Funktionsprinzip des Signierens und Verifizierens
3.2.1 Das Signieren
3.2.2 Das Verifizieren
3.3 Geeignete Kryptoalgorithmen und Sicherheitsparameter
3.3.1 Hashfunktionen
3.3.2 Signaturalgorithmen
3.3.2.1 Das RSA-Verfahren
3.3.2.2 DSA und DSA-Varianten (ECC)
3.3.3 Gefahrenpunkte und Schwachstellen der Kryptosysteme
3.4 Produkte und ihre Anwendung
3.4.1 Die Signatur-Produkte des Anwenders
3.4.1.1 Sichere Signaturerstellungseinheiten
3.4.1.2 Signaturanwendungskomponenten
3.4.2 Die Gefahrenpotentiale sogenannter Trojaner für die Signaturerstellung
3.5 Die Public-Key-Infrastruktur
3.5.1 Interoperabilität
3.5.2 Zertifizierungs-Infrastruktur
3.5.3 Gültigkeitsmodell
4 Ökonomische Gegenwart und Perspektiven
4.1 Die Ökonomische Vertragstheorie
4.1.1 Implizite Verträge
4.1.2 Relationale Verträge
4.2 Die Stellung von Verbraucher und Bürger
4.2.1 Kauf-, Dienstleistungs-, Reise- und Mietverträge
4.2.1.1 Fernabsatzverträge, Internetauktionen
4.2.1.2 Reise- und Mietverträge
4.2.2 Finanz- und Versicherungsgeschäfte
4.2.2.1 Finanzgeschäfte und –transaktionen
4.2.2.2 Versicherungsgeschäfte
4.2.3 „Behördengänge“
4.3 Unternehmerische Potentiale der qualifizierten elektronischen Signatur
4.3.1 Grundsätzliche ökonomische Potentiale
4.3.2 Besondere Aspekte im E-Commerce
4.4 E-Government
5 Fazit
Zielsetzung und thematische Schwerpunkte
Die Arbeit analysiert die rechtlichen, informationstechnischen und ökonomischen Rahmenbedingungen der qualifizierten elektronischen Signatur, um zu untersuchen, warum sich diese Technologie trotz ihrer hohen Sicherheit bisher nicht als breites Substitut für die eigenhändige Unterschrift durchsetzen konnte.
- Rechtliche Grundlagen und Substitutionsfähigkeit der qualifizierten elektronischen Signatur.
- Technische Funktionsweise der Public-Key-Infrastruktur und kryptographische Sicherheitsmechanismen.
- Herausforderungen durch IT-Sicherheitsrisiken wie Trojaner-Programme bei Endanwendern.
- Ökonomische Nutzanalyse aus Sicht von Verbrauchern, Unternehmen und dem Staat.
- Untersuchung von Barrieren wie dem „Henne-Ei-Problem“ und mangelnder Interoperabilität.
Auszug aus dem Buch
Die Gefahrenpotentiale sogenannter Trojaner für die Signaturerstellung
Unabhängig vom Einsatz einzelner angesprochener Software- und Hardwareprodukte bestehen für Trojaner-Programme schlechthin eine Reihe von Möglichkeiten, um in das Verfahren des Signierens einzugreifen (s. Abbildung 17). Hierbei lassen sich drei wesentliche Angriffsszenarien explizieren: Ausspähen der PIN, Manipulation der zu signierenden Daten und Eingriff in die Kommunikation zwischen der Signieranwendung und der Signaturkarte.
Für ein Ausspähen der PIN besteht z. B. die Gefahr, wenn die PIN nicht über ein gesichertes Pin Pad erfolgt und die Signatursoftware für die Eingabe ein Standard-Dialog-Element (insbesondere des Betriebssystems Microsoft® Windows®) verwendet, wobei lediglich die Bildschirmanzeige der eingegebenen Zeichen durch ein Sternchen ersetzt wird. Zwar ist die PIN hierbei optisch verborgen, sie wird durch das Standard-Dialog-Element jedoch intern nicht besonders geschützt. Diese Tatsache lässt sich von jedem Anwender auch ohne spezielle Programmierkenntnisse, z. B. durch einfachste Freeware-Produkte nachvollziehen (die eine solche „geschützte“ Kennwort-Eingabe problemlos und synchron zur Eingabe sichtbar machen, sog. „Password-Viewer“). Entsprechend wäre es auch für einen Trojaner möglich die PIN-Eingabe aus dem Dialog auszulesen und bei der nächsten Verbindung mit dem Internet an einen entfernten Rechner zu übermitteln. Ist ein Dritter erst im Besitz der PIN, so könnte er sich im ungünstigsten Fall – wiederum bei bestehender Internet-Verbindung und wenn sich die Karte im Lesegerät befindet – gegenüber der Signaturkarte legitimieren und mehr oder weniger beliebig Daten signieren.
Für die Manipulation zu signierender Daten bieten sich grundsätzlich verschiedene Schnittstellen an: zwischen der Standard- und der Signatursoftware, innerhalb der Signatursoftware selbst oder als aktiver Inhalt von Dokumenten innerhalb der Standard-Software – die für die eigentliche Datenbearbeitung genutzt wird (vgl. Abbildung 17).
Zusammenfassung der Kapitel
1 Vorbemerkungen: Einführung in die Verlagerung von Kommunikationsprozessen hin zum Internet und die daraus resultierende Notwendigkeit digitaler Sicherheitslösungen.
2 Rechtliche Aspekte der Signatur: Analyse der rechtlichen Rahmenbedingungen und der Qualifizierung der elektronischen Signatur als Substitut der handschriftlichen Unterschrift.
3 Die informationstechnische Realisierung: Darstellung der kryptographischen Konzepte, Signaturalgorithmen und der Public-Key-Infrastruktur.
4 Ökonomische Gegenwart und Perspektiven: Untersuchung der ökonomischen Vertragstheorie und der Nutzenpotentiale der Signatur für Unternehmen und Verbraucher.
5 Fazit: Zusammenfassende Bewertung der Barrieren für eine breite Anwendung der Signatur unter Berücksichtigung rechtlicher und technischer Erkenntnisse.
Schlüsselwörter
Qualifizierte elektronische Signatur, Public-Key-Infrastruktur, Signaturgesetz, Kryptographie, RSA-Verfahren, Signaturkarte, IT-Sicherheit, Trojaner, E-Business, E-Government, Interoperabilität, Rechtswirksamkeit, Beweissicherung, Transaktionskosten, Vertragsökonomie.
Häufig gestellte Fragen
Worum geht es in dieser Arbeit grundsätzlich?
Die Arbeit untersucht, warum die qualifizierte elektronische Signatur als hochsicheres Substitut der handschriftlichen Unterschrift trotz gesetzlicher Anpassungen bisher keine breite Akzeptanz im privaten und unternehmerischen Bereich erreicht hat.
Was sind die zentralen Themenfelder?
Im Fokus stehen die rechtliche Gleichstellung der Signatur, die informationstechnische Realisierung durch PKI-Systeme sowie die ökonomische Sinnhaftigkeit ihres Einsatzes unter Berücksichtigung von Kosten und Nutzen.
Was ist das primäre Ziel der Untersuchung?
Das Ziel ist die Identifizierung der Barrieren, die einer nachhaltigen Durchsetzung der Signatur im elektronischen Geschäftsverkehr entgegenstehen.
Welche wissenschaftliche Methode wird verwendet?
Die Arbeit basiert auf einer interdisziplinären Analyse, die juristische Rechtsnormen, informationstechnische Sicherheitsstandards und ökonomische Vertragstheorien kombiniert.
Was wird im Hauptteil der Arbeit behandelt?
Der Hauptteil gliedert sich in rechtliche Grundlagen, technische Spezifikationen (kryptographische Konzepte) und eine ökonomische Betrachtung der Anwendungsfelder (Kauf, Finanzen, E-Government).
Welche Schlüsselwörter charakterisieren die Arbeit?
Wichtige Begriffe sind qualifizierte elektronische Signatur, Public-Key-Infrastruktur, Signaturgesetz, Interoperabilität und ökonomische Vertragstheorie.
Welche Rolle spielen Trojaner in der Sicherheit der Signaturerstellung?
Trojaner stellen ein latentes Gefahrenpotential dar, da sie durch Manipulationen an Endgeräten die PIN abgreifen oder die zu signierenden Daten verfälschen können, wodurch die Sicherheit der gesamten Signaturkette gefährdet wird.
Warum wird im Fazit von einem „Henne-Ei-Problem“ gesprochen?
Das „Henne-Ei-Problem“ beschreibt die wechselseitige Abhängigkeit, bei der Unternehmen zögern, Signaturverfahren zu implementieren, solange die Nutzerzahlen gering sind, während Anwender erst bei breiter Verfügbarkeit und Nutzen von einem Einstieg überzeugt werden können.
- Quote paper
- Heiko Heibel (Author), 2003, Die digitale Signatur - rechtliche, informationstechnische und ökonomische Aspekte eine digitalen Verifizierung nach dem Gesetz über Rahmenbedingungen für elektronische Signaturen, Munich, GRIN Verlag, https://www.grin.com/document/16057
