Die neue eIDAS-Verordnung – Chance und Herausforderung für die öffentliche Verwaltung in Deutschland

Elektronisches Siegel

Eine der größten Veränderungen mit Folgen für den Handlungsspielraum einer deutschen Behörde bewirkt die Einführung des qualifizierten elektronischen Siegels als technisches Pendant zur qualifizierten elektronischen Signatur (QES). Durch das Inkrafttreten der Verordnung wird in Deutschland erstmals die Vergabe von Organisationszertifikaten für juristische Personen ermöglicht. Aktuell ist es gemäß dem Signaturgesetz (SigG) nur natürlichen Personen als Signaturschlüssel-Inhaber möglich, eine QES im Sinne des SigG zu erzeugen.^[7]

Damit wird die rechtliche Schieflage bereinigt, bei der Verwaltungsmitarbeiter meist Bescheide der Behörde mit ihrer eigenen QES versehen, obwohl sie damit nicht ihren eigenen Willen belegen, sondern im Namen der Organisation handeln. Es liegt keine persönliche Willenserklärung des Signierenden vor, obwohl dies durch das Anbringen einer QES suggeriert wird.^[8] Das Nachweisen der Authentizität eines Behördenschreibens durch die QES eines Mitarbeiters ist eine organisatorische Behelfslösung. Diese muss bei der elektronischen Kommunikation genutzt werden, da es durch das SigG rechtlich keine Entsprechung der QES für juristische Personen gibt.

Ein qualifiziertes elektronisches Siegel im Sinne der eIDAS wird zwar als Beweis für die Unversehrtheit und der korrekten Herkunftsangabe der Daten eingesetzt. Es kann jedoch keine persönliche Willenserklärung entsprechend einer handschriftlichen Unterschrift ausdrücken, wie dies bei einer QES der Fall ist.^[9] Dennoch oder gerade weil das qualifizierte elektronische Siegel nicht die persönliche Willenserklärung einer natürlichen Person ausdrückt, bietet sich für dessen Nutzung im behördlichen Umfeld ein umfassendes Handlungspotential. Konkrete Einsatzmöglichkeiten werden später in diesem Artikel vorgestellt.

Serversignatur

Nach Art. 2 der Signaturrichtlinie muss der Signierende die Signaturerstellungsdaten unter seiner alleinigen Kontrolle halten.^[10] In der deutschen Umsetzung wird dies durch die Verpflichtung zur Verwendung einer Signaturkarte sichergestellt. Dagegen ergibt sich durch die neuen Regelungen der eIDAS-Verordnung, dass private Signaturschlüssel nicht mehr ausschließlich auf der Signaturkarte sondern ebenso beim qualifizierten VDA selbst gespeichert und entsprechend verwaltet werden können.^[11][12]

Die gedrosselten Anforderungen an die Signaturerstellung ermöglichen die Erzeugung von Serversignaturen, auch Remote- oder Fernsignaturen genannt. Bei dieser Variante der Signaturerzeugung sind die Signaturerstellungsdaten beim VDA gespeichert, die Signatur selbst wird direkt auf dem Server erzeugt und anschließend an den Anwender ausgegeben. Dieser Server muss durch ein Hardware-Sicherheitsmodul sicherstellen, dass der private Schlüssel nur für die berechtigte Person abrufbar ist. Von dieser Möglichkeit zur Erzeugung von Serversignaturen und deren Anerkennung als QES erhofft sich die Europäische Union eine erhöhte Verbreitung der Technologie, da es eine Vereinfachung des Verfahrens und damit einen wirtschaftlichen Vorteil bietet. Zusätzlich wird gefordert, dass die Erzeugung und Übertragung über einen sicheren Kommunikationskanal erfolgen und eine entsprechend sichere Systemumgebung eingesetzt wird. Um dies zu gewährleisten, können diese Dienste nur von qualifizierten VDA erbracht werden.^[13]

Von besonderer Wichtigkeit bei jeglicher Art von Serversignaturen ist, dass die signierende Person sich über ein sicheres Verfahren identifiziert, bevor sie den privaten Schlüssel abrufen und eine QES erzeugen kann. Durch die eIDAS wird hierfür kein Sicherheitsniveau explizit vorgeschrieben. Kügler (2015, S. 23–25) verweist in seinem Vortrag auf die Formulierung wonach die Signaturerstellungsdaten „mit einem hohen Maß an Vertrauen“ unter der alleinigen Kontrolle des Signierenden stehen müssen.^[14]

Haftungsregelung

Eine weitere Neuerung ergibt sich bei den Haftungsregelungen bezogen auf Vertrauensdiensteanbieter. Aktuell haftet der Zertifizierungsdiensteanbieter nach Signaturgesetz bzw. Signaturverordnung grundsätzlich für Schäden von Personen, wenn diese dadurch entstehen, dass der Anbieter die Vorschriften des Gesetzes bzw. der Verordnung missachtet. Durch die EU-Verordnung wird es künftig eine Unterscheidung zwischen qualifizierten und nichtqualifizierten VDA bezüglich der Beweislast geben. Nimmt eine Person Schaden und legt diese dem VDA zu Lasten, so muss nach Artikel 13 folgendermaßen vorgegangen werden:

1. Bei einem qualifizierten VDA liegt die Beweislast beim Anbieter selbst. Es wird hier grundsätzlich von Fahrlässigkeit oder Vorsatz ausgegangen. Diese Annahme muss vom VDA widerlegt werden.

2. Bei einem nichtqualifizierten VDA liegt die Beweislast bei der Person, die den Schaden anzeigt. Diese natürliche oder juristische Person muss dem nichtqualifizierten VDA ein fahrlässiges oder vorsätzliches Verhalten nachweisen.^[15]

In der konkreten Umsetzung bedeutet es, dass der qualifizierte VDA stets den Beweis erbringen muss, dass er rechtmäßig im Sinne der Verordnung gehandelt hat. Damit steigt für Anbieter das Risiko aufgrund des angenommenen Vorsatzes bzw. der Fahrlässigkeit, in einem möglichen Gerichtsverfahren zu unterliegen. Um dieses Risiko zu minimieren, müssen die Anbieter großen Wert auf korrekte Durchführung der Dienste und eine umfassende Dokumentation legen. Für den vertrauenden Beteiligten dagegen wird, durch den erhöhten Druck zur fehlerfreien Durchführung der Dienstleistungen, das Vertrauen in die Anbieter gestärkt. Insofern kann die Verschiebung der Beweislast zu Lasten des VDA durchaus zu einer Steigerung der Zuverlässigkeit und damit der Sicherheit von Vertrauensdiensten führen.

Ersetzendes Scannen

Auch weiterhin wird ein Teil des Schriftverkehrs über den postalischen Weg und in Papierform erfolgen. Die eIDAS-Verordnung enthält keine Angaben zum Scannen von Papierdokumenten. Folglich wird in diesem Fall das E-Government-Gesetz weiter Anwendung finden. Es besagt, dass das ersetzende Scannen und die anschließende Vernichtung der Originaldokumente bei der Einhaltung bestimmter Bedingungen zulässig sind. Diese Bedingungen werden in Deutschland von der technischen Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (TR-RESISCAN) vorgegeben. Demnach kann die technische Richtlinie weiterhin angewendet werden. Um den Beweiswert zu erhöhen, ist es laut TR-RESISCAN möglich eine QES an das gescannte Dokument anzubringen. Dies ist momentan sehr umständlich, da in der Praxis jeder signierende Mitarbeiter mit einer Signaturkarte und dem entsprechenden Lesegerät ausgestattet werden muss. Mit Inkrafttreten der eIDAS-Verordnung ist es nun denkbar, dass alle gescannten Dokumente mit einem fortgeschrittenen oder qualifizierten elektronischen Siegel versehen werden. Dieser Arbeitsvorgang ist damit unabhängig von bestimmten Mitarbeitern und die Behörde muss nur ein einziges Zertifikat beantragen, welches dann allen elektronischen Siegeln zugrunde liegt.

Stellvertretersignatur

Durch den Einsatz von Serversignaturen ergibt sich die Möglichkeit zur Vergabe von sogenannten Stellvertretersignaturen als neues Handlungsfeld für Behörden. Die Verwendung einer Stellvertretersignatur gestaltet sich wie folgt: Die zu vertretende Person muss sich bei der jeweiligen Behörde identifizieren und ihr eine Vertretungsvollmacht ausstellen. Daraufhin erzeugt die Behörde mit ihrem privaten Schlüssel ein qualifiziertes elektronisches Siegel und trägt dort ein, dass der Bürger durch das Siegel vertreten wird. Die Behörde bestätigt durch das besiegelte Dokument, dass der Bürger seine Willenserklärung ihr gegenüber deutlich gemacht hat und dass sie zur Besiegelung in Vertretung berechtigt ist. Die Identifizierung kann über ein elektronisches Formular in Verbindung mit einem elektronischen Identifizierungsmittel erfolgen. Wichtig ist die Festlegung klarer Haftungsbeschränkungen, um die Risiken für die anbietende öffentliche Stelle so gering wie möglich zu halten.^[16] Das Angebot von Stellvertretersignaturen bedeutet für den Bürger die Möglichkeit ohne eigene technische Infrastruktur und ohne die Inanspruchnahme der Dienste eines VDA, einen elektronischen Herkunftsnachweis zu erbringen. Die Behörde kann dadurch einen neuen Bürgerservice anbieten, der durch geringen Aufwand zu verwirklichen wäre.

Mobile Signatur

Eine Variante der Serversignatur ist die Handy-Signatur, welche bereits in Österreich praktiziert wird. Hierbei dienen die Mobilnummer, ein Passwort und ein TAN-Code, welcher an den Signierenden gesendet wird und nur kurze Zeit gültig ist, als Identifizierungsdaten. Die Signaturerzeugung auf dem Server wird direkt über das mobile Gerät angestoßen. Die Ausgabe der mTAN muss dabei über ein unabhängiges System erfolgen, um etwaige Sicherheitslücken zu schließen und Betrug zu verhindern. Konkrete Anwendungsbeispiele finden sich in der österreichischen Verwaltung. Dort können Bürger zahlreiche E-Government-Angebote, wie z. B. eine Meldebestätigung oder einen Strafregisterauszug über die mobile Signatur nutzen. Der Entfall des Behördengangs und die für den Bürger praktische Erledigung von unterwegs hat dort zu einer erhöhten Verbreitung der mobilen Signatur und einer Lösung des typischen Henne-Ei-Problems der Signaturanwendungen geführt.^[17]

Stärken

Als eine große Stärke ist die Einführung eines EU-weiten Rechtsverständnisses in Bezug auf Vertrauensdienste zu nennen. Die unterschiedlichen nationalen Gesetzgebungen werden unter einem allgemeingültigen EU-Gesetz vereinheitlicht. Für Behörden bedeutet dies eine gesteigerte Rechtssicherheit bei der Verwendung solcher Dienste. Zudem werden die rechtlichen Vorgaben durch europaweite Standards spezifiziert, sodass die Harmonisierung auf der technischen Umsetzungsebene fortgeführt wird.

Durch eIDAS ist es möglich Signaturen mit deutlich geringerem Aufwand zu erzeugen. Statt lokale Signaturen mithilfe einer Signaturkarte zu erstellen, können nun Serversignaturen und mobile Signaturen genutzt werden. In diesem Zusammenhang ist die Einführung von Organisationszertifikaten und damit die Möglichkeit elektronische Siegel zu erzeugen, ebenfalls als Stärke zu werten. Die Erzeugung und Validierung von elektronischen Siegeln können Behörden von qualifizierten VDA durchführen lassen. Diese sind zu regelmäßigen Konformitätsprüfungen verpflichtet und werden entsprechend mit dem EU-Vertrauenssiegel gekennzeichnet. Für den Anwender bietet das einen eindeutigen und klaren Hinweis darauf, dass der Anbieter die erforderlichen Sicherheitsbedingungen erfüllt.

Schwächen

Zwar ist die Möglichkeit zur Erstellung von Serversignaturen grundsätzlich als eine Stärke zu werten. Die Tatsache, dass die Signaturerstellungsdaten nicht mehr unter der alleinigen Kontrolle des Signierenden auf einer Signaturkarte gespeichert sind, bringt jedoch eine Abschwächung beim Identifizierungsvorgang mit sich. Der Identifizierungsfaktor Besitz fällt weg, wenn die Signaturerstellungsdaten auf einem Server des VDA liegen. Dabei ist es zusätzlich von Nachteil, dass kein festgelegtes Sicherheitsniveau für die Identifizierung zur Erzeugung von Serversignaturen vorliegt.

Auch bei den Zertifikaten, die QES und qualifizierten elektronischen Siegeln zugrunde liegen, gibt es Schwächen. So werden in der eIDAS-Verordnung keinerlei Angaben zu deren Gültigkeitsdauer gemacht. In diesem Fall greifen die bereits vorhandenen nationalen Vorgaben. Die Möglichkeit zur Festlegung einer EU-weit einheitlichen Gültigkeit ist versäumt worden. Weiterhin fehlt den Organisationszertifikaten ein Berechtigungsnachweis. Hier wäre es sinnvoll gewesen ein Attribut vorzuschreiben, welches die natürlichen Personen benennt, die berechtigt sind das qualifizierte elektronische Siegel im Namen der Institution zu vergeben.

Chancen

Durch die EU-weite Vereinheitlichung und die vereinfachte Handhabung von Signaturen ist es absehbar, dass sich diese weiter verbreiten und vermehrt von Behörden und Bürgern verwendet werden. Gerade da sich die Nutzung in Deutschland noch nicht flächendeckend durchgesetzt hat, bietet sich hier ein hohes Potential diesen Markt auszubauen. Grundsätzlich wird nicht nur die Kommunikation zwischen Behörde und deutschem Bürger vereinfacht und beschleunigt, sondern auch die Kommunikation auf internationaler Ebene. Durch die verpflichtende grenzübergreifende Anerkennung von Vertrauensdiensten ist es möglich EU-weite beweissichere Kommunikation zu betreiben. Im Gegensatz zum Papierdokument bietet dies eine Zeit- und Kosteneinsparung.

Es ist zudem zu erwarten, dass eine erhöhte Sicherheit durch standardisierte Signaturformate und die regelmäßige Überprüfung der qualifizierten VDA erreicht wird. Die einheitlichen Standards bezüglich der Formate und der Umsetzung der Vertrauensdienste bieten eine erhöhte EU-weite Interoperabilität. Sie ermöglicht eine intensivere Zusammenarbeit und einen reibungslosen Datenaustausch über Landesgrenzen hinweg.

Durch die einheitlichen Anforderungen, die an VDA gestellt werden, ist es für eine Behörde problemlos möglich die Dienste eines VDA aus einem anderen EU-Land zu nutzen. Dies bringt eine erhöhte Flexibilität mit sich. Es ist anzunehmen, dass sich die Marktlage durch die EU-weite Anerkennung von VDA zugunsten des Endanwenders und somit für Behörden verschieben wird. Dieser wird von günstigeren Konditionen bei der Inanspruchnahme von Vertrauensdiensten profitieren können.

Risiken

Speziell durch die Einführung des elektronischen Siegels und den teilweise zu vagen Regelungen diesbezüglich, ergibt sich Handlungsbedarf, um drohende Risiken abzuwenden. Das Siegel kann von mehreren Mitarbeitern vergeben werden. Diese sind jedoch nicht offiziell im Organisationszertifikat genannt, wie bereits bei den Schwächen dargelegt. Daher ist es für eine Behörde von größter Wichtigkeit, die Berechtigungen für die Siegelvergabe genau zu dokumentieren und dafür Sorge zu tragen, dass es Unbefugten nicht gelingt dennoch ein Siegel im Namen der Behörde zu erzeugen.

Zwar wird die Zertifizierung der qualifizierten VDA basierend auf den festgelegten Standards vorgenommen. Sie wird jedoch nicht EU-übergreifend, sondern national abgewickelt. Es ist daher nicht auszuschließen, dass Abweichungen bei den Ansprüchen an die VDA und deren Vertrauensdiensten auftreten. In Deutschland wurden die Regelungen zur elektronischen Signatur bisher sehr streng gehandhabt, was z. B. die Verpflichtung zur Verwendung einer Signaturkarte zeigt. Doch auch wenn in anderen EU-Ländern – im Rahmen der Durchführungsrechtsakte – möglicherweise geringere Anforderungen für eine Zertifizierung als qualifizierter VDA genügen, haben die Vertrauensdienste dennoch den entsprechenden Beweiswert nach eIDAS, und jede öffentliche Stelle ist verpflichtet diese anzuerkennen. Dadurch können Sicherheitsmängel bei den entsprechenden Vertrauensdiensten entstehen, die das Betrugsrisiko erhöhen.