Haben Sie Fragen? Wir sind für Sie da!

Dr. Uwe Wächter ist Experte im Bereich Convert & Publish Solutions. Gerne beantwortet er Ihre Fragen.

Dr. Uwe Wächter

Business Development

+49 6154 637 372

Digitale Signatur von Dateien

Nachweis des Autors erbringen und Unverändertheit des Dokuments durch eine Signatur beweisen

Digitale Signatur von Dateien

Digitale Signatur – was ist das?

Mit einer digitalen Signatur können der Absender einer Nachricht oder der Unterzeichner eines Dokuments ihre Identität nachweisen. Damit lässt sich aber auch beweisen, dass der ursprüngliche Inhalt eines versendeten Dokuments oder einer Nachricht nicht verändert wurde. Die digitale Unterschrift des Anwenders, sein Zertifikat, wird untrennbar mit einem eindeutigen Fingerabdruck des Dokuments verbunden und, bei modernen Formaten wie PDF, auch noch mit der Datei selbst. So hat man jederzeit alles zusammen, um die Echtheit des Dokuments und des Autors zu prüfen.

 

SEAL Systems hilft Ihnen…CPS---Digitale-Signatur

  • den digitalen Freigabeprozess Ihrer Dokumente durchgängig und nachvollziehbar zu gestalten – mit dem Aufbringen der digitalen Unterschrift der Freigeber auf dem Dokument.
  • Extern verteilte Dokumente mit einem eindeutigen Absender zu versehen – mit der digitalen Unterschrift, die den privaten Schlüssel des Absenders beinhaltet, und zwar überall und jederzeit online prüfbar.

 

Typische Fragen

Das Aufbringen von digitalen Signaturen, gegebenenfalls sogar einer qualifizierten digitalen Signatur auf Dokumente, ist teilweise gesetzlich vorgeschrieben. In Ihre bewährten Dokumentenverteilprozesse lassen sich dazu Signaturworkflows integrieren, mit denen Sie diese Vorschriften erfüllen können. Dazu gehören:

 

  • die qualifizierte digitale Signatur beim Rechnungsversand
  • die digitalen Unterschriften in einem Freigabeworkflow
  • die Zertifikate beim Unterlagenversand an Ihren Zulieferer

Die Ver- und Entschlüsselung kann mit unterschiedlichen Schlüsseln – d.h. mit asymmetrischen Schlüsselpaaren – durchgeführt werden. Dabei sind die Schlüssel eines Paares unbedingt zusammengehörig und nicht durch andere austauschbar. Man spricht hier von einem privaten und einem öffentlichen Schlüssel. Angenommen, der Absender einer Information ist daran interessiert, dass nur der richtige Empfänger eine bestimmte Information erhält. Dazu lässt sich der Absender zunächst den öffentlichen Schlüssel des Empfängers übertragen. Die eigentliche Information wird mit diesem öffentlichen Schlüssel des Empfängers verschlüsselt und dann versandt. Eine Entschlüsselung ist nur mit dem privaten Schlüssel des Empfängers möglich.

Ja! Moderne assymetrische Schlüsseltechniken erlauben auch die eindeutige Kennzeichnung von Urhebern. Über Zertifikate kann die Frage geklärt werden, ob der Absender des Schlüssels eines asymmetrischen Systems wirklich derjenige ist, den ich dahinter vermute. Die Zugehörigkeit eines öffentlichen Schlüssels zu einer bestimmten Person kann durch Zertifizierungsinstanzen (Organisationen, Behörden) überprüft und bescheinigt werden. Ebenso gibt es Instanzen (Truststores), die online die Gültigkeit eines Zertifikates validieren können. Bestandteile eines Zertifikats sind: Angaben zum Eigentümer, Angaben zum Aussteller, Gültigkeitszeitraum, öffentlicher Schlüssel, Angaben zu Anwendungs- und Geltungsbereich des Schlüssels und des Zertifikates. Das Zertifikat insgesamt wird auch noch einmal mit einer Signatur geschützt.

sicherheitEine digitale Signatur bedeutet nicht notwendigerweise eine Verschlüsselung des signierten Inhaltes. Die Signatur dient zur sicheren Bestimmung des Verfassers oder der das Dokument ausstellenden Organisation. Hier erfolgt die Verwendung des privaten und öffentlichen Schlüssels umgekehrt im Vergleich zur Dateiverschlüsselung: Eine Prüfsumme, die aus dem Dokument erzeugt wurde und dieses beschreibt, wird mit dem privaten Schlüssel des Signierenden codiert. Der öffentliche Schlüssel liegt dem Zertifikat bei. Gelingt die Entschlüsselung mit dem beiliegenden öffentlichen Schlüssel, so ist bewiesen, dass das Zertifikat passt und man erhält die Prüfsumme. Passt die Prüfsumme zur Datei, so ist die Signatur gültig gewesen. Nun kann ich noch den Aussteller des Zertifikats bei einer unabhängigen Stelle verifizieren lassen. Werden der Gesamtprozess der Signaturaufbringung und die Verwendung von Trustcenter für die Schlüsselvergabe und -verwaltung zusätzlich von einem unabhängigen Audit bestätigt, dann erfüllt die Signatur auch die Anforderungen an eine qualifizierte digitale Signatur.

 

Die Nutzung von Verschlüsselungsverfahren und Zertifikaten ist in zahlreichen Normen und Gesetzen geregelt. Hier spricht man dann häufig von einer elektronischen Signatur und stellt nicht den technischen, sondern den juristischen Aspekt in den Vordergrund. Dabei wird dann auch die einfache elektronische Signatur, die digital verarbeitete manuelle Unterschriften (eingescannter Schriftzug) verwendet, als einfachste Form mit eingeschlossen.

PDF hat im Gegensatz zu vielen anderen Dateiformaten den Vorteil, dass im Dateiformat ein Platz für eine eingebaute Signatur vorhanden ist; im Gegensatz zu einer sogenannten abgesetzten Signatur. Damit wird der Transport der Signatur mit der signierten Datei einfacher und sicherer. Die eineindeutige Zusammengehörigkeit von Signatur und Datei wird durch eine verschlüsselte Prüfsumme sicher gestellt. Nachträgliche Änderungen sind dann nicht mehr signiert, können aber wenigstens durch inkrementelle Änderungen der Datei beigefügt werden. Mittels Mehrfachsignatur kann man aber auch diese Änderung noch nachträglich signieren.

PDF/A schreibt bekanntlich vor, dass eine normkonforme Datei nicht verschlüsselt oder anderweitig gegen Zugriff geschützt sein darf. Wie kann ich als Besitzer einer PDF/A -Datei nun mein darin enthaltenes Know-how schützen? Hier können digitale Signaturen gute Dienste leisten. Signaturen beweisen, wenn sie als gültig verifiziert sind, dass die dazugehörige Datei seit der Signaturerstellung nicht verändert wurde. PDF/A- 2 hat dazu noch eine wichtige Funktion verbessert: es ist jetzt möglich, ein zeitlich abgelaufenes Zertifikat nachträglich zu aktualisieren ohne die PDF/A-Datei selbst zu verändern. Die Aufnahme von neuesten Signatur­techniken in die Norm machen dies möglich.

 

Signaturen verwenden Verschlüsselungstechniken. Der eigentliche Inhalt einer PDF/A-Datei bleibt aber unverändert. Daher ist diese Technologie für PDF/A zulässig und auch sehr gut genormt. Eine Verschlüsselung der gesamten Daten ist aber für PDF/A nicht erlaubt. Beim Versand über unsichere Wege kann die Datei aber über verschlüsselte Methoden verschickt werden: Beispielsweise über sichere E-Mail-Verfahren oder verpackt in einen PDF Container, der wiederum verschlüsselt ist.

Haben Sie Fragen? – Fordern Sie jetzt unverbindlich Informationen an!