[de] eidas: elektronisches unterschreiben | dr. ulrich kampffmeyer | project consult | bankingclub

PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH

www.PROJECT-CONSULT.com© PROJECT CONSULT 2016

Postfach 20 25 5520218 Hamburg

© PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 2011 / Autorenrecht: <Vorname Nachname> 3. Mai 2023 / Quelle: PROJECT CONSULT 1

1

Neue EU-Verordnung eIDAS: Was sie jetzt über elektronisches

Unterschreiben wissen sollten

Dr. Ulrich KampffmeyerKOFAX Webinar im BANKINGCLUB


BANKINGCLUB Kofax Webinar Ulrich Kampffmeyer eIDAS & Elektronisches Unterschreiben 10.06.2016 © PROJECT CONSULT 2016 Seite2

Agenda

1. Einführung

Elektronische Unterschrift/Digitale Signatur als Baustein der

Digitalen Transformation

2. eIDAS EU-Verordnung 910/2014

Entwicklung und Inhalte

3. Konkrete Änderungen durch eIDAS

Nationale Sonderlocken und andere Formen von Signaturen

4. Bedeutung in und außerhalb der öffentlichen Verwaltung

Wie steht es im Finanzsektor?

5. Ausblick

Handlungszwänge



1. EINFÜHRUNG

Elektronische Unterschrift / Digitale Signatur als Baustein der

Digitalen Transformation



Einführung | Wofür den Aufwand?

Rechtlich werden personengebundene elektronische Signaturen der manuellen Unterschrift und damit einer Willenserklärung gleichgesetzt.

Elektronische Signaturen in der Kommunikation haben das Ziel, Rechtssicherheit zu erzeugen in dem Ersteller von Nachrichten eindeutig identifizierbar und die Inhalte der Nachrichten nachweislich authentisch und unverändert abzusichern.

Die Vielfalt der Arten von Signaturen und deren unterschiedlichen Anwendungen machen eine Differenzierung notwendig.



Einführung | Digital und elektronisch

• Digitale Signatur definiert das technische Verfahren, mittels kryptografischer Techniken eine Sicherung eines Datensatzes, einer Nachricht oder eines Dokumentes erzeugt wird.

• Elektronische Signatur definiert den rechtlichen Kontext und Wert. Elektronische Signaturen können unterschiedliche Digitale-Signatur-Techniken nutzen – müssen aber nicht.



Einführung | Unterschiedliche Typen

Unterschiedliche Typen mit unterschiedlicher Qualität• Persönliche Signaturen

haben die gleiche rechtliche Qualität wie eine Unterschrift. Jedoch sind auch dort zu unterscheiden Willenserklärungen oder Bestätigungen eines Sachverhaltes.

• Technische Signaturen wie Zeitstempel und andere sind keine Willenserklärungen sondern Bestätigung von Sachverhalten oder Transaktionen.



Einführung | EU-Richtlinie RLES von 1999

RICHTLINIE 1999/93/EG DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen • Wurde in den europäischen Mitgliedstaaten zum

Teil abweichend in nationales Recht umgewandelt.

• In Deutschland blieben die Vorgaben für die qualifizierte elektronische Signatur mit Anbieterakkreditierung von 1997 bis zum Jahr 2004 erhalten und wurden auch danach nur geringfügig angepasst



Einführung | Formen

Auf europäischer Ebene wurde bisher in der RLES unterschieden zwischen:• Einfachen Signaturen

zum Beispiel der Footer in einer E-Mail, eine eingefügte gescannte manuelle Unterschrift, u.a.

• Fortgeschrittenen Signaturen zum Beispiel biometrische Signaturen, nicht-zertifizierte digitale Signaturen u.a.

• Qualifizierte elektronische Signaturenzum Beispiel Signaturkarte mit qualifizierter Signatur und Zertifikat, sicherer Signaturerstellungseinheit und Prüfbarkeit im Trustcenter (qeS)



Einführung | Deutsches Signaturgesetz

Signatur-Gesetz SigG, 1997, zuletzt aktualisiert 2013In Deutschland gilt im offiziellen Rechtsverkehr die qualifizierte elektronische Signatur, die zu dem eine Anbieterakkreditierung aufweisen muss.

Signatur-VerordnungSigV, 2001, zuletzt aktualisiert 2010

E-Government-GesetzEGovG, 2014Positioniert eID und De-Mail parallel zur qualifizierten elektronischen Signatur mit Anbieter-Akkreditierung



2. EIDAS

EU-VERORDNUNG 910/2014

ENTWICKLUNG UND INHALTE



eIDAS | EU-Verordnung 910/2014

Electronic identification and trust services (eIDAS)

Verordnung (EU) Nr. 910/2014 des europäischen Parlaments und des Rates vom 23. Juli 2014über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG




Aus der Einleitung zur Richtlinie:• eIDAS gibt rechtssichere Vorgaben, welche

Identifikations- und Vertrauensdienste qualitativ genügen und Rechtssicherheit bieten

• eIDAS gibt die gegenseitige Anerkennung verschiedener elektronischer Identifikations- und Vertrauensdienste zwischen Staaten zur Stärkung des Binnenmarktes vor

• eIDAS löst die alte EU Richtlinie 1999/93/EG, mit dem Ziel mehr Rechtssicherheit und somit Vertrauen in elektronische Zertifizierungssysteme aufzubauen

Quellen:http://www.project-consult.de/files/eIDAS%20EU%20Richtlinie%20deutsch.pdf

http://www.project-consult.de/files/eIDAS%20EU%20Richtlinie%20deutsch.pdf





Unterschiede: eIDAS löst RLES ab

Neu definiert wird zumindest für Online-Dienste öffentlicher Stellen:1. Fortgeschrittene elektronische Signatur, zertifikatsfrei oder

zertifikatsbasierend2. Fortgeschrittene elektronische Signatur mit qualifiziertem

Zertifikat3. Qualifizierte elektronische Signatur basierend auf einem

qualifiziertem Zertifikat und erstellt mit einer qualifizierten Signaturerstellungseinheit

Die deutsche qualifizierte elektronische Signatur qeS fällt dann unter Punkt 3.




Die ehemaligen ZDA Zertifikatsdiensteanbieter werden jetzt begrifflich VDA Vertrauensdienstanbieter, allerdings unter zentraler Aufsicht.

Bisherigen TrustCenter in Deutschland können weiterarbeiten. Allerdings müssen sie sich auch um die Prüfung, Validierung und Bewahrung ausländischer qualifizierter Signaturen aus anderen europäischen Staaten kümmern.

eIDAS sieht ferner „Bewahrungsdienste„ vor. Hierunter fallen Dienstleistungen für Anwendungen wie z.B. BSI TR 03125 TR-ESOR. Anwendungsgebiet dieser Paragraphen sind aber nur die zertifikatsbasierten Signaturen und nicht die ebenfalls zugelassenen fortgeschrittenen Signaturen wie z.B. biometrische Signaturen.




Definitionen

16. „Vertrauensdienst“ ist ein elektronischer Dienst, der in der Regel gegen Entgelt erbracht wird und aus Folgendem besteht: a) Erstellung, Überprüfung und Validierung von elektronischen

Signaturen, elektronischen Siegeln oder elektronischen Zeitstempeln, und Diensten für die Zustellung elektronischer Einschreiben sowie von diese Dienste betreffenden Zertifikaten

oder b) Erstellung, Überprüfung und Validierung von Zertifikaten für die

Website-Authentifizierung oder c) Bewahrung von diese Dienste betreffenden elektronischen

Signaturen, Siegeln oder Zertifikaten.

17. „Qualifizierter Vertrauensdienst“ ist ein Vertrauensdienst, der die einschlägigen Anforderungen dieser Verordnung erfüllt.




RechtssicherheitWichtig sind die mehrfach aufgeführten Formulierungen zur geforderten rechtlichen Anerkennung von elektronischen Signaturen, bereits in der Begründung (Gründe, Absatz (49)) heißt es: "Diese Verordnung sollte den Grundsatz festlegen, dass einer elektronischen Signatur die Rechtswirkung nicht deshalb abgesprochen werden darf, weil sie in elektronischer Form vorliegt oder nicht alle Anforderungen einer qualifizierten elektronischen Signatur erfüllt."




eIDAS regelt eine Reihe von unterschiedlichen Vertrauensdiensten und Signaturen:

• „Traditionelle“ elektronische Signaturen• Siegel und Zeitstempel• Spezielle Kommunikationsdienste



3. KONKRETE ÄNDERUNGEN DURCH EIDAS

NATIONALE SONDERLOCKEN UND ANDERE FORMEN VON

SIGNATUREN



Signaturen

„Traditionelle“ elektronische Signaturen

• Einfache Signaturen (spielen kaum noch eine Rolle)

• Fortgeschrittene Signaturen• Einschließlich biometrische Verfahren• Mit oder ohne Zertifikat

• Qualifizierte elektronische Signaturen

Die deutsche Variante der qeS bleibt bestehen. Es müssen aber auch andere europäische Signaturen anerkannt werden.



Siegel

Elektronische Siegel für Behörden und andere offizielle Rechtsträger der öffentlichen Verwaltung

• Zwei Qualitäten• Fortgeschrittene elektronische Siegel• Qualifizierte elektronische Siegel

Anstelle personengebundener Signaturen können diese Siegel serverbasiert verwendet werden.Sie können im Behördenverkehr wie auch zu Bürgern und Unternehmen die personengebundene Signatur aber auch andere Kanäle wie z.B. De-Mail ersetzen.



Zeitstempel

Elektronische Zeitstempel

Zeitstempel können für das Signieren und Sichern von Übertragungen, Protokollen, elektronischen Posteingangsbüchern, Journalen und anderen elektronischen Objekten verwendet werden. Bei internen Anwendungen sind keine personengebundenen Signaturen mehr notwendig (in Deutschland noch „Auslegungssache“). Zeitstempel oder Siegel können auch Verfahren wie das ersetzende Scannen vereinfachen.



Sichere E-Mail

„Dienst für die Zustellung elektronischer Einschreiben“• Zu sicheren elektronischen

Kommunikationsdiensten gehören z.B. in Deutschland De-Mail

• De-Mail muss im europäischen Ausland anerkannt werden, aber auch ausländische sichere Dienste müssen in Deutschland anerkannt werden

Die Umsetzung und Akzeptanz von De-Mail stagniert. Es gibt bisher kaum technische Umsetzungen, wie ausländische Einschreiben beim Empfang verarbeitet werden können.



Zwischenfazit

• Die Bandbreite der Optionen für Vertrauensdienste und Signaturen hat sich erweitert.

• Auch Nicht-qualifizierte elektronische Signaturen erhalten einen höheren Stellenwert vor Gericht.

• Die deutschen Verfahren wie die qualifizierte elektronische Signatur qeS und De-Mail geraten durch einfachere, ebenfalls anzuerkennende Verfahren unter Druck.



4. BEDEUTUNG IN UND AUẞERHALB DER ÖFFENTLICHEN

VERWALTUNG

WIE STEHT ES IM FINANZSEKTOR?



Zielgruppen

• eIDAS gilt bindend für die öffentliche Verwaltung, wird für die freie Wirtschaft empfohlen

• In der Finanzdienstleistungsbranche gibt es bereits zahlreiche Anwendungen, die Signaturen nutzen, aber deren rechtlicher Stellenwert bisher nicht gesichert war:• Manuelle biometrische Unterschriften von

Unterschriftenpads & Tablets• Authentifizierung über Video (zulässig bei

Kontoeröffnungen seit 2015)



Neue Anwendungen

eIDAS fördert auch neue Formen und Anwendungen der Signatur:• „Handy“-Signatur (Mobilgräte, z.B. bereits in

Österreich)• „Fern-Signatur“ (Signatur durch

vertrauenswürdige Dritte)• „Token-Signatur“ (Abfrage von Einmaltokens

für Identifizierung und Authentifizierung)• „Biometrische Erkennung“ (Gesicht, Iris,

Fingerprint u.a. Kombinationen verschiedener) • „Cloud-Service-Signatur“ (beim Cloud-Provider

oder Zahlungsdienstleistern hinterlegte personengebunden digitale Signatur)

• u.a.



Neue Anwendungen

• Die neuen Formen sind für die Finanzdienstleistungsbranche im Kundenverkehr interessanter als die bisherigen personengebundenen Signaturen mit Signaturkarte.

• „Block Chain“, „moderner Kunden-Service“ und andere Herausforderungen der Digitalisierung erfordern den sichere, durchgängige und dokumentierte elektronische Prozesse ohne den Medienbruch papiergebundener Unterschriften.



Beispiel: Fernsignatur

Bei der Fernsignatur wird nicht vom Unterzeichner des Dokumentes, sondern von einem Vertrauensdienst automatisch signiert.Hierfür können zum Einsatz kommen:• Trusted Server „Siegel“ in der öffentlichen

Verwaltung• Trusted Server „Zeitstempel“ in allen Bereichen

Die Fernsignatur stellt zwar keine eigenhändige Willenserklärung dar, dokumentiert jedoch Identitäten und Transaktionen unabstreitbar.



5. AUSBLICK

Handlungszwänge



Ausblick

In der globalen digitalen Transformation kommt der Authentifizierung sowie rechtlichen Sicherung von Transaktionen und Dokumenten besondere Bedeutung zu.eIDAS stellt durch seine neuen Möglichkeiten unterschiedlicher Formen von Signaturen neue komfortable Anwendungsszenarien bereit.Hierdurch lässt sich in Deutschland die Zurückhaltung beim Einsatz elektronischer Signaturen überwinden, wenn denn seitens des Gesetzgebers noch alte, nicht adäquate Regelungen aus Gesetzen und Verordnungen entfernt werden.



Ausblick

eIDAS muss in Deutschland als Chance für öffentliche Verwaltung und Privatwirtschaft begriffen werden, um bisherige veraltete Konzepte abzulösen und neue, komfortable Anwendungen zu schaffen:

Ab mit den alten Zöpfen, rein in die digitale Transformation!

U n t e r n e h m e n s b e r a t u n gD r . U l r i c h K a m p f f m e y e r G m b H

PROJECT CONSULT

PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH

www.PROJECT-CONSULT.com© PROJECT CONSULT 2014 32Postfach 20 25 55

20218 Hamburg

Bis zum nächsten Mal!

Dr. Ulrich KampffmeyerE-Mail: [email protected]

Präsentation, weitere Informationen...www.PROJECT-CONSULT.com

Die Unterlagen sind ausschließlich zur persönlichen, privaten, nicht-kommerziellen Nutzung vorgesehen.

[de] eidas: elektronisches unterschreiben | dr. ulrich kampffmeyer | project consult | bankingclub

Business