Eine sichere elektronische Signatur (SigG §18) ist der eigenhändigen Unterschrift auch beim Formerfordernis der Schriftlichkeit nach § 886 des Allgemeinen Bürgerlichen Gesetzbuchs zu 100% gleichgestellt. Durch eine sichere elektronische Signatur kann der Empfänger der elektronisch signierten Daten eindeutig feststellen, von wem die übermittelten Daten stammen und ob die Daten inhaltlich unverfälscht sind. Um diesen Anforderungen zu 100% zu genügen, hat der Gesetzgeber im SigG und in der SigV Rahmenbedingungen festgelegt, die ein Trust Center für qualifizierte Zertifikate zu erfüllen hat. (Signaturgesetz, Sicherheit)

Die digitale Signatur beruht auf der Beziehung zweier Schlüssel (Schlüsselpaar), dem privaten und dem öffentlichen Schlüssel. Diese Beziehung wird auch asymmetrische Verschlüsselung genannt.

Unter Schlüssel wird ein mathematischer Zahlencode verstanden, der durch einen bestimmten Algorithmus berechnet wird. Dieser Zahlencode hat eine genau definierte Länge, zur Zeit 1024 Bits.

privater Schlüssel Der private Schlüssel wird sicher gespeichert (auf Ihrem PC oder Ihrer SmartCard) und bildet den Hauptbestandteil Ihrer "digitalen Identität". der private Schlüssel wird zum Signieren verwendet.

öffentlicher Schlüssel Der öffentliche Schlüssel kann vom Sender der digitalen Signatur übermittelt werden oder er wird vom Empfänger im Verzeichnisdienst der a.trust, der mit einem elektronischen Telefonbuch vergleichbar ist, extrahiert.

Informationen über den Inhaber des Schlüsselpaares und der öffentliche Schlüssel selbst sind in einem standardisierten Format (X.509.V3) als elektronischer Ausweis (Zertifikat) zusammengefasst.

Zertifikat: Vorteile

• Authentizität
• Identität des Absenders
• Integrität
• Unveränderbarkeit
• Non-Repudiation
• Nicht-Abstreitbarkeit

Die digitale Signatur zeigt durch ihre Eindeutigkeit, ob ein Benutzer an einer Transaktion (z.B. Datenaustausch) beteiligt war.

Damit diese 3 Punkte garantiert werden können, wird die Ausstellung der elektronischen Ausweise (Zertifikate) von geschultem Personal unter strengen Auflagen in Registrierungsstellen (RAs) der a.trust durchgeführt.

Die Aufgabe eines trust centers (Zertifizierungsinstanz) ist die Zertifikat- und Schlüsselverwaltung. (Ausgabe, Widerruf). Jedes Benutzerzertifikat untersteht einem Zwischeninstanzzertifikat (intermediate CA), das wiederum einem a.trust Wurzelzertifikat (root CA) untersteht. Das Bereitstellen und Betreiben der notwendigen Infrastruktur zur Ausgabe privater und öffentlicher Schlüssel (Zertifikate) wird auch Public-Key-Infrastructure (PKI) genannt.

Funktionsweise
Ein Dokument (E-Mail, Textdatei) wird mit einer a.trust Smartcard signiert. Mit Hilfe eines bestimmten Algorithmus (SHA 1) wird aus dem Dokument ein eindeutiger Hashwert gebildet. Dieser Hashwert wird mit dem privaten Schlüssel auf Ihrer Smartcard signiert (verschlüsselt). (Signaturerstellung)

Signieren
Die gesammelten Daten (Verschlüsselter Hashwert, Dokument, Zertifikat inklusive öffentlicher Schlüssel) werden im PKCS#7 Format an den Empfänger übermittelt.

PKCS#7
Der Empfänger entschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Senders und enthält so den eindeutigen Hashwert des gesendeten Dokumentes. Danach berechnet der Empfänger der Nachricht den Hashwert des Dokumentes mit dem gleichen Algorithmus wie der Sender.

Sind beide Hashwerte ident, so konnte die Signatur erfolgreich verifiziert werden.Wurde nur ein Zeichen (1 bit) geändert, so scheitert die Überprüfung der Signatur. (Signaturprüfung)

Verifizieren
Die letzte Überprüfung gilt der Gültigkeit des Zertifikates des Senders. Das Zertifikat des Senders könnte abgelaufen sein, es wurde widerrufen oder gesperrt. Die Überprüfung, ob ein Zertifikat widerrufen wurde, findet via Verzeichnisdienst der a.trust statt, der eine Liste der widerrufenen Zertifikate enthält. (CRL - Certificate Revocation List)