Unternehmen und Behörden möchten von den Vorteilen der globalen Vernetzung profitieren. Das papierlose Büro bietet Chancen, um Zeit und Geld zu sparen und erhöht die Verfügbarkeit der angebotenen Dienstleistungen drastisch – der virtuelle Schalter ist 24 Stunden geöffnet und von überall her erreichbar. Das Streben nach vollständig digitalisierten Prozessen ist daher nicht neu. Oft ist die Dematerialisierung aber am Umstand gescheitert, dass es Prozessschritte gibt, die eine verbindliche «Zeichnung» erfordern.
Solche Prozessschritte sind allgegenwärtig: In Abläufen zur Qualitätssicherung müssen Prüfprotokolle unterschrieben werden, bei Online-Diensten sind Nutzungsbedingungen verbindlich zu akzeptieren, Verträge mit Dienstleistern oder Kunden müssen abgeschlossen werden, Steuerdeklarationen müssen unterschrieben werden.
Die Unterschrift erfolgt bei solchen Prozessen in der Regel auch heute noch auf Papier. Dabei wird bei der weit-, jedoch nicht durchgehenden Dematerialisierung nur ein Bruchteil der Vorteile ausgeschöpft, die möglich wären. Selbst wenn das Gesetz in vielen Fällen nicht zwingend eine qualifizierte Unterschrift erfordert, lässt sich praktisch niemand auf eine Lösung ohne qualifizierte Unterschrift ein – das rechtliche Terrain scheint zu unsicher. Zuweilen wird auch gänzlich auf den Prozessschritt zur Unterschrift verzichtet, was in der Folge eine noch grössere rechtliche Unsicherheit schafft.
Probleme beim «lokalen» Erstellen der Signatur
In der Schweiz ist die qualifizierte elektronische Signatur bereits seit 2003 der handschriftlichen Unterschrift rechtlich gleichgestellt. Geregelt wird dies im ZertES, dem Bundesgesetz über die elektronische Signatur (ZertES; SR 943.03) und der zugehörigen Verordnung (VZertES; SR 943.032).
Die Bestimmungen stellen dabei eng gesteckte Anforderungen, damit eine erstellte Signatur als qualifiziert gilt. Es bestehen Anforderungen an die Identifikation des Benutzers: Er muss sich persönlich und mit entsprechenden Papieren bei einer Registrationsstelle ausweisen. Weiter muss der Aussteller der Zertifikate auch offiziell berechtigt sein, dies zu tun. Die erstellten Schlüssel zur Unterschrift müssen elektronisch auf einem sicheren Chip (Smartcard) aufbewahrt werden. Und schliesslich darf zur Signatur auch nur beglaubigte Software eingesetzt werden.
Die grösste Einschränkung war in der Vergangenheit jedoch, dass sich die zur Unterschrift genutzten Zertifikate ausschliesslich im Besitz des Benutzers befinden dürfen. Diese Einschränkung liess aus technischer Perspektive nur den Ansatz zu, die Signaturen auf dem lokalen Rechner des Benutzers zu erstellen, was jedoch eine Fülle an Problemen mit sich bringt: Wie werden die Benutzer bezüglich der Signatur-Software geschult? Wie wird die Kompatibilität der Software und der Abläufe auf den Rechnern der Endbenutzer sichergestellt? Wie bindet man den Signaturschritt in den serverseitigen Businessprozess ein? Wie wird die Sicherheit gewährleistet, wenn der Vorgang auf Systemen ausserhalb des eigenen Einflussbereichs stattfindet? Wie lassen sich Geräte ohne Smartcard-Schnittstelle wie Tablets und Smartphones verwenden? Soll man sich tatsächlich all diesen Widrigkeiten stellen, nur um eine Unterschrift zu erhalten, deren Echtheit vom Endbenutzer dann auch nur aufwändig zu überprüfen ist?
Der Weg zum Signaturdienst ist geebnet
Angesichts der Hürden mit der lokalen Signatur drängt sich folgende Frage auf: Ist es tatsächlich zwingend notwendig, die qualifizierte elektronische Signatur lokal auf dem Rechner des Benutzers zu erstellen? Nein. Auch der Gesetzgeber hat die Problematik erkannt, seit August 2011 ist dies kein Muss mehr. Gemäss der Änderung der Verordnung zum ZertES muss der Benutzer zwar noch die vollständige Kontrolle über seine Mittel zur Unterschrift haben, diese müssen aber nicht zwingend in seinem Besitz sein.
Warum also nicht einen professionellen Dienstleister mit der Bereitstellung eines Signaturdienstes betrauen? Denn: Ein solcher Dienstleister kennt die bestehenden Gefahren und Risiken und ist dafür gerüstet. Eine Signature-as-a-Service-Lösung lässt sich nahtlos in einen Prozess einbinden, ohne Transfer der Dokumente zum Benutzer. Der Prozess – inklusive Unterschrift – kann vollumfänglich in einem Web-Browser abgearbeitet werden. Die Installation von Software auf dem Benutzerrechner entfällt, und auch Smartphones und Tablets sind unterstützt.
In Anbetracht der Probleme bei der Ausbreitung und dem Betrieb von Signaturlösungen auf den Rechnern der Endbenutzer und den damit verbundene Sicherheitsrisiken ist es also höchste Zeit, von den neuen Möglichkeiten zu profitieren.
Herausforderungen der «Signature as a Service»
Benutzerakzeptanz: Zunächst muss der Signaturdienst vom Benutzer einfach zu bedienen sein, um sich etablieren zu können. Dies ist mit der Integration eines Online-Zahlungsverfahrens in einen Web-Shop vergleichbar: Je kleiner der Integrationsbruch aus Sicht des Benutzers ist, umso verständlicher ist der gesamte Bestellvorgang. Das Gleiche muss für den Signaturdienst gelten.
Integrität und Vertraulichkeit: Der Benutzer muss darauf vertrauen können, dass er tatsächlich – und damit rechtlich bindend – unterschreibt, was er unterschreiben will. Eine Möglichkeit zur Irreführung darf nicht bestehen. Zudem kann es hohe Ansprüche an die Vertraulichkeit der signierten Dokumente geben: Wie kann der Signaturdienst ein Dokument signieren und dabei garantieren, dass der Inhalt vertraulich bleibt? Muss der Signaturdienst das Dokument zwingend sehen?
Authentifikation: Die grösste Herausforderung bleibt die Authentifikation des Unterzeichners. Wie kann der Signaturdienst sicherstellen, dass die unterzeichnende Person auch die ist, die sie zu sein vorgibt? Um dazu überhaupt in der Lage zu sein, muss die Identität jedes Benutzers bei der Registrierung zuverlässig festgestellt werden: Von Angesicht zu Angesicht und mit offiziellen Ausweisen. Dann wird ein Mittel benötigt, das den Benutzer bei der Verwendung des Dienstes sicher identifiziert. Nur durch Feststellung und Garantie der Identität genügt die resultierende Signatur den gesetzlichen Anforderungen. Mit der SuisseID steht dazu bereits heute ein adäquates Mittel bereit.
Altlasten und Früchte des Fortschritts
Über die Landesgrenze hinaus gesehen, bestehen regionale Unterschiede in den Bestimmungen für elektronische Signaturen. Diese widerspiegeln jeweils die Initiativen, aus denen sie erwachsen sind, wobei der Fokus meist auf lokal erstellte Signaturen gerichtet war. In den aktuellen europäischen Richtlinien wird beispielsweise die Empfehlung abgegeben, eine Signatur nur dann als «qualifiziert» einzustufen, wenn für jede Unterschrift eine PIN-Abfrage vorgenommen wird. Dieses Verfahren ist sicher sinnvoll, um den Benutzer bei Verlust oder Diebstahl der Smartcard zu schützen. Ob es aber ein probates Mittel gegen interne Gefahren beim Signaturdienst darstellt, ist mehr als fraglich.
Ein Signaturdienst, wie hier skizziert, überzeugt durch mindestens drei wichtige Argumente:
1. Einfache Bereitstellung: Die Integration ist vergleichbar mit der Integration eines Bezahlsystems in einen Web-Shop. Auch die Mittel zur Identifikation der Benutzer können einfach bereitgestellt werden. Die Prozesse rund um die SuisseID bestehen und sind etabliert. Es fällt nur ein minimaler Bedarf an Benutzersupport an.
2. Hohe Akzeptanz und Vertrauenswürdigkeit: Ein Dokument zu signieren ist aus Benutzersicht denkbar einfach, das stärkt die Akzeptanz. Der sensible Vorgang des Unterschreibens wird zudem auf der sicheren Website eines vertrauenswürdigen Anbieters durchgeführt.
3. Sicherheit und Beweiskraft: Die Übertragung der Dienstleistung an eine vertrauenswürdige Drittpartei, die auf dieses Geschäft spezialisiert ist, ist der Gesamtsicherheit zuträglich. Dies steigert de facto die Beweiskraft der erstellten Signatur.
Aufgrund dieser Argumente und dank der rechtlich geregelten Verbindlichkeit der qualifizierten elektronischen Signatur hat ein solcher Dienst das Potential, auch jene Prozesse vollständig papierlos zu gestalten, in denen heute noch mit Unterschriften auf Papier gearbeitet wird: Mitarbeiter können damit auch mobil – und ohne Zeitverlust – an internen Entscheidungs- und Zertifizierungsprozessen teilnehmen. Verträge zwischen Parteien können abgeschlossen werden, ohne dass eine physische Präsenz notwendig ist. Auch dies steigert die Effizienz und reduziert den Zeitaufwand auf ein Minimum. Und: Behörden können am virtuellen Schalter elektronische Bescheinigungen von amtlicher Gültigkeit ausstellen, und die Anträge für solche Bescheinigungen können auch gleich online gestellt werden.
Reto Fankhauser ist Security-Architect bei Elca Informatik, Jean-Marc Bost Head der Security Division. Elca bietet seit einigen Jahren eine Signature-as-a-Service-Lösung an und arbeitet derzeit mit der Schweizerischen Post an einem Dienst für qualifizierte elektronische Signaturen.
