Signatur Niveaus
Das Signaturportal unterstützt alle gängigen Signaturtypen sowie alle eIDAS-konformen Signatur Niveaus, von der einfachen Signatur bis zur qualifizierten Signatur und dem Siegel. Die dem Nutzer zur Verfügung gestellten Optionen an Signaturtypen kann in der Signaturportal/Workflow-Konfiguration eingestellt werden.
Diese Optionen können dann vom Workflow-Ersteller bei der Konfiguration des Workflows ausgewählt werden. Je nach Signaturtyp muss der Nutzer unterschiedliche Level an Identifikationen durchlaufen, bevor er den Workflow signieren kann. Für eine qualifizierte Signatur muss der Nutzer beispielweise zuvor bei einem Fernsignaturdienst identifiziert werden.
Signaturtypen im Signaturportal
Im Signaturportal kann mit unterschiedlichen Signaturtypen signiert werden. Eine Übersicht bietet die folgende Einstellung im Signatur-Portal/Workflow-Menü (Bild 1). Die erforderte Signatur kann dann bei der Workflow-Erstellung (Bild 2) oder Workflow-Template Erstellung (Bild 3) angegeben werden, oder es kann direkt über das Menü eine Fortgeschrittene Signatur oder Fernsignatur angefragt werden. Wird in einem Workflow die Aktion "Prüfen" angefragt, muss der Workflowteilnehmer in diesem Schritt das Dokument sowie die Workfloweinstellungen und -freigaben prüfen.
Überblick
Kombinationsmöglichkeiten
Man kann bestimmte Signaturmethoden miteinander kombinieren, um das gewünschte Schutzpotential und somit auch den Beweiswert und die Nichtabstreitbarkeit sicherzustellen.
Es gibt einen Workflow, den zwei Personen (A und B) unterzeichnen sollen. Dieses Dokument muss dann manipulationssicher geschützt werden. Die Personen A und B unterzeichnen mit einer einfachen Signatur. Person B muss seine Signatur mit einer SMS OTP bestätigen, ähnlich wie bei einer Überweisung beim Online Banking. Im Anschluss wird das Dokument dann vom Server gesiegelt. Zusätzlich wird ein Audit Protokoll über diesen Workflow angelegt und auch dieses wird gesiegelt. Damit wurden folgende sicherheitsrelevanten Faktoren sichergestellt:
- Es gibt eine visuelle Unterschrift von A und B
- B hat zusätzlich zu seinem Login am Signatur Portal eine SMS OTP eingeben. Dadurch wird es für B wesentlich schwerer abzustreiten, dass B diese Signatur erstellt hat (da ein Angreifer Kontrolle über B´s Passwort und Handy zu dieser Zeit gehabt haben müsste).
- Das Dokument ist durch das Siegel vor Manipulation und Veränderung geschützt.
- Es ist eindeutig, dass das Dokument mit dem Server des Unternehmens signiert wurde
- Durch das Audit Workflow Protokoll (welches auch nicht verändert werden kann) kann bewiesen werden, welche Person welches Dokument unterschrieben hat, und wie sich die Personen authentifiziert haben
Es gibt einen Workflow, in dem zwei Dokumente unterschrieben werden sollen: Anweisung.pdf und Vertrag.pdf. Anweisung.pdf soll von zwei internen Benutzern unterschrieben werden. Erst wenn die Anweisung.pdf unterschrieben ist, soll Vertrag.pdf von einem internen Prokuristen unterschrieben werden und danach von einem externen Nutzer. Die beiden internen Unterschriften auf Anweisung.pdf sind einfache Signaturen. Der Prokurist, der dann Vertrag.pdf unterzeichnen soll, muss dies mit einer qualifizierten Signatur tun. Auch die Unterschrift des externen Nutzers soll qualifiziert sein. Damit wurden folgende sicherheitsrelevanten Faktoren sichergestellt:
- Der Vertrag.pdf wird erst unterschrieben, wenn Anweisung.pdf von den internen Kollegen unterschrieben/freigeben wurde
- Die qualifizierten Signaturen stellen sicher, dass beide Unterzeichner des Vertrag.pdf wissen, dass er wirklich von der Person unterschrieben wurde und es keine Manipulation der Datei gab
- Das Audit-Workflow-Protokoll für den gesamten Prozess wird gesiegelt und sichert somit die Korrektheit des gesamten Verfahrens ab
Alle Signatur Niveaus auf einen Blick erklärt
Einfache Signatur
Ein Bild der visuellen Unterschrift wird in das PDF integriert. Hier gibt es keinen durch kryptographische Signaturen gesicherten Manipulationsschutz (Integritätsschutz) des PDFs. Diese können z.B. für sogenannte formfreie Vereinbarungen verwendet werden, also freiwillige, zum Zwecke der Beweisführung schriftlich verfasste und signierte Absprachen. Der Unterzeichner ist hier ein Nutzer, der zuvor im Nutzerverzeichnis angelegt wurde.
Qualifizierte Signatur
Hier kann es eine einfache Signatur, also visuelle Signatur, im PDF geben. Zusätzlich dazu wird aber mithilfe moderner Verschlüsselung die Datei vor Manipulation geschützt (Integritätsschutz). Darüber hinaus ist sichergestellt, dass die unterzeichnende Person stark identifiziert wurde, und dass der Empfänger sich darauf verlassen kann, dass die im Zertifikat angegeben Person auch wirklich die Person ist. Dies wird durch das Trustcenter bestätigt. Eine Qualifizierte Signatur kann in der EU nur mithilfe von Signaturkarten oder der Fernsignatur erstellt werden. Nur hiermit kann eine für ein bestimmtes Dokument gesetzlich erforderliche Schriftform ersetzt werden. Der Unterzeichner ist hier ein Nutzer, der zuvor im Nutzerverzeichnis angelegt wurde.
Fortgeschrittene Signatur
(Eigene CA - der SecPKI Server erstellt und verwaltet die Zertifikate)
Hier kann es eine einfache Signatur, also visuelle Signatur, im PDF geben. Zusätzlich dazu wird aber mithilfe moderner Verschlüsselung die Datei vor Manipulation geschützt (Integritätsschutz). Darüber hinaus kann durch die eingesetzte PKI der Empfänger durch seinen Public Key identifiziert werden.
Im Fall eines Rechtsstreits muss hier – wie auch bei der einfachen elektronischen Signatur – nachgewiesen werden, dass die Signatur und das Identifizierungsmerkmal (z.B. eine Personalnummer) echt sind. Der Unterzeichner ist hier ein Nutzer, der zuvor im Nutzerverzeichnis angelegt wurde.
Mehr Info
Qualifiziertes elektronisches Siegel
Hier verhält es sich wie bei der qualifizierten Signatur, nur dass hier im Zertifikat keine natürliche Person (Max Mustermann) steht, sondern eine juristische Person (beispielsweise ein Unternehmen). Signierte Dateien sind aber mit dem selben Sicherheitsniveau geschützt wie bei einer QES oder fortgeschrittenen Signatur. Ein qualifiziertes Siegel kann in der EU nur mithilfe von Signaturkarten oder der Fernsignatur erstellt werden. Der wichtige Unterschied zur qualifizierten Signatur ist, dass beim qualifizierten Fernsiegel keine Interaktion und keine 2FA durch den Benutzer erfolgen muss. Der Siegelprozess beim Fernsiegel und mit der Signaturkarte kann somit komplett automatisiert in Workflows und Prozesse integriert werden. Mit einem elektronischen Siegel ist es möglich, dass eine Personengruppe eIDAS-konform (und damit in ganz Europa gültig) einen Firmenstempel oder ein behördliches Siegel auf einem elektronischen Dokument anbringen kann. Bei dem qualifizierten Siegel wird also das Zertifikat für das qualifizierte elektronische Siegel auf eine juristische Person ausgestellt - im Gegensatz zu einer qualifizierten Signatur, wo es auf eine natürliche Person ausgestellt ist. Ein qualifiziertes Siegel kann als Smartcard (Siegelkarte) , HSM oder als Fernsiegel mit unserer Software genutzt werden. Der Vorteil des Siegels ist hierbei, dass der Server, der zum Siegeln genutzt wird, über sein Berechtigungsmanagement regeln kann und regeln sollte, wer wie auf das Siegel zugreifen kann. Somit muss auch kein Benutzer länger eine PIN für die Karte eingeben (mehr zum Berechtigungs- management weiter unten). Natürlich kann auch mit Client-Software (SecSigner) direkt mit dem Siegel am Arbeitsplatz signiert werden.
Fortgeschrittene Fernsignatur
Im Fall eines Rechtsstreits muss hier – wie auch bei der einfachen elektronischen Signatur – nachgewiesen werden, dass die Signatur und das Identifizierungsmerkmal (z.B. eine Personalnummer) echt sind. Der Unterzeichner ist hier ein Nutzer, der zuvor im Nutzerverzeichnis angelegt wurde.
Qualifizierte Fernsignatur
Bei der qualifizierten Fernsignatur wird für eine qualifizierte Signatur keine Signaturkarte benötigt.