Rolle der digitalen Signatur im E-Business

secunet Euroforum-Kongress IT-Sicherheit 2001 19.09.2001 Frankfurt “Rolle der digitalen Signatur im E-Business” Britta Brisch, Rechtsanwältin Bereichsleitung seculaw secunet Security Networks AG www.secunet.de brisch@secunet.de (c) RA Britta Brisch; Brisch@secunet.de secunet Gliederung • Sicherheit im E-Business – technisch – rechtlich • Rechtliche Ausgangssituation • Digitale Signatur – Rechtsgrundlagen – Signatur-Verfahren • Anwendungen in Wirtschaft und Verwaltung (c) RA Britta Brisch; Brisch@secunet.de 2 secunet Technische Sicherheit ? -Bedrohung einer E-Mail - Verändern Abhören Anwender A Anwender B Internet Verleugnen des Maskerade Versendens (c) RA Britta Brisch; Brisch@secunet.de 3 secunet Rechtssicherheit ? Keine Rechtssicherheit bei Anwendung elektronischer Formen (FAX, E-Mail pp.) (c) RA Britta Brisch; Brisch@secunet.de 4 secunet Rechtliche Ausgangssituation • Das Internet ist kein rechtsfreier Raum • Verträge können auch im Internet abgeschlossen werden • Die Gestaltung der Verträge muß den besonderen Erfordernissen des Neuen Mediums gerecht werden (z.B. Integration AGB, Zugang von Willenserklärungen, Verbraucherschutzvorschriften, etc.) • ABER: Rechtssicherheit ? (c) RA Britta Brisch; Brisch@secunet.de 5 secunet Rechtssicherheit ? I. Unsicherheit der Kommunikation • Keine sichere Identifikation der Kommunikations- partner • Keine sichere Übermittlung von Daten II. Problem der Formgebundenheit von Rechtsgeschäften • Grundsatz der Formfreiheit • Formzwang ( gesetzlich / vertraglich) (c) RA Britta Brisch; Brisch@secunet.de 6 secunet Formgebundenheit von Rechtsgeschäften • Wann ? • Bei gesetzlicher Regelung z.B: Grundstückskauf, Bürgschaft, Testament • Bei vertraglicher Vereinbarung • Warum ? • Warnfunktion: Notarielle Beurkundung z.B. bei besonderem Wert (Grundstückskauf) • Besondere Bedeutung: Eheschluß durch Standesbeamten • Beweisbarkeit: Sichere Identifikation des Vertragspartners; Gewißheit über Vertragsinhalt (c) RA Britta Brisch; Brisch@secunet.de 7 secunet Digitale (elektronische) Signatur = Lösung des Problems • Schaffung eines einheitlichen Rahmens für den sicheren Einsatz digitaler Signaturen im offenen Rechts-und Geschäftsverkehr (SigG in der Fassung vom Juli 1997) • Regelung der notwendigen Sicherheitsinfrastruktur für elektronische Signaturen, die der eigenhändigen Unterschrift gleichgestellt werden (Novellierung SigG) (c) RA Britta Brisch; Brisch@secunet.de 8 secunet Gesetz zur Anpassung der Formvorschriften des Privat- rechts an den modernen Rechtsverkehr (1.8.2001): • Elektronische Form, § 126 a BGB • qualifizierte elektronische Signatur i.S.d. SigG zzgl. Namensangabe • ersetzt Schriftform, vorbehaltlich anderer gesetzlicher Regelungen • Textform, § 126 b BGB • Text in Schriftzeichen lesbar unter Angabe des Erklärenden • ersetzt nicht die eigenhändige Unterschrift • Einsatzgebiet: Massenhaft gleichlautende Erklärungen (c) RA Britta Brisch; Brisch@secunet.de 9 secunet Rechtsgrundlagen • SignaturGesetz (SigG): 1.8.1997 (Art. 3 IuKDG) • erste nationale Signaturgesetz weltweit • SignaturVerordnung (SigV): 1.11.1997 • 2 Maßnahmenkataloge 1998: • für technische Komponenten • für Zertifizierungsstellen • Novellierung des SigG: 22.05.2001 • Umsetzung EU-Richtlinie zu elektronischen Signaturen • Exkurs: USA • Regelungen nur auf Bundesstaatlicher Ebene • keine nationale Regelung (c) RA Britta Brisch; Brisch@secunet.de 10 secunet EU-Signaturrichtlinie Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. 12.1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen • ZIEL: Einheitlicher Rechtsrahmen für elektr. Signaturen • 13.12.1999 Verabschiedung durch das Parlament • 13.01.2000 In Krafttreten der Richtlinie • Pflicht der Umsetzung innerhalb von 18 Monaten in nationales Recht • Frist zur Umsetzung in Mitgliedsstaaten: 13.7.2001 • Konsequenz: Novellierung des bundesdeutschen SigG (c) RA Britta Brisch; Brisch@secunet.de 11 secunet Europäische Union • In den Mitgliedstaaten der EU existiert eine inhaltlich gleiche Gesetzeslage zur Verwendung elektronischer Signaturen • Automatische Anerkennung von ausländischen Signaturen in allen EU-Mitgliedsstaaten, falls die Voraussetzungen der EU-RiL erfüllt sind • Deutsche Novellierung des Signaturgesetz ist bereits von EU als richtlinienkonform notifiziert worden (c) RA Britta Brisch; Brisch@secunet.de 12 secunet Änderungen durch EU-Richtlinie: Verschiedene Signaturverfahren: • elektronische Signatur = § 2 Nr. 1 SigG-E • fortgeschrittene elektronische Signatur = § 2 Nr. 2 SigG-E • qualifizierte elektronische Signatur = § 2 Nr. 3 SigG-E • qualifizierte elektronische Signatur mit Anbieter- akkreditierung = §§ 2 Nr. 3, 15 Abs. 1 S.4 SigG-E (c) RA Britta Brisch; Brisch@secunet.de 13 secunet • Begriffsänderung von digitaler zu elektronischer Signatur • Wegfall der Genehmigung: dafür Akkreditierung • zusätzlich Haftungsvorschrift § 11 SigG-E = schuldhaftes Handeln Vor • zusätzlich Deckungsvorsorgepflicht § 13 SigG-E = Mindestsumme pro Schadensfall 500.000,- DM • zusätzlich Bußgeldvorschriften § 21 Sig-E • zusätzlich Kosten und Beiträge § 22 SigG-E = Amtshandlungen der Behörden (c) RA Britta Brisch; Brisch@secunet.de 14 Digitale Signatur secunet • Authentizität, daß die Nachricht vom Absender stammt • Integrität, daß die Nachricht inhaltlich nicht verändert worden ist • Nachweis, daß - der Absender identifiziert werden kann (für Empfänger relevant) - der Absender die Botschaft nicht leugnen kann (für Empfänger wichtig) - der Dritte die Botschaft nicht unbemerkt manipulieren können (für Sender und Empfänger von Interesse) (c) RA Britta Brisch; Brisch@secunet.de 15 secunet Digitale Signatur • asymmetrisches kryptographisches Verfahren: privater und dazugehöriger öffentlicher Schlüssel • Keine Verschlüsselung • Keine Schriftlichkeit • alle Signaturverfahren in Deutschland erlaubt • unterschiedliche Signaturverfahren mit unterschied- lichen technischen Anforderungen und Rechtsfolgen (c) RA Britta Brisch; Brisch@secunet.de 16 Verfahren und Voraussetzungen secunet Digitale Signatur - Signieren Das ist eine x-beliebige Datei. Jeder könnte ohne die Das ist eine “Digitale Unterschrift” x-beliebige Datei. diese Datei mani- pulieren! Jeder könnte ohne die “Digitale Unterschrift” diese Datei mani- pulieren! Private-Key *Prüfsumme* (c) RA Britta Brisch; Brisch@secunet.de 17 secunet Digitale Signatur - Verifikation Das ist eine x-beliebige Datei. Jeder könnte ohne die “Digitale Unterschrift” *Prüfsumme* diese Datei mani- pulieren! Vergleichen Public-Key *Prüfsumme* (c) RA Britta Brisch; Brisch@secunet.de 18 secunet Antragsverfahren 3. Übermittlung der Daten an die Zertifizierungsstelle 2. Registrierung Zertifizierungsstelle 4. Übergabe Smart-Card und PIN-Brief 1.