Vorschriften - OTP Service

IT • EN

eIDAS (Electronic Identification, Authentication and Trust Services) definiert drei Arten von elektronischen Signaturen

Einfache elektronische Signatur (ES)

„Einfache“ elektronische Signatur ist ein häufig verwendeter Begriff, der alle elektronischen Signaturen umfasst, mit Ausnahme der fortgeschrittenen und qualifizierten Signaturen.

Mehr erfahren

Fortgeschrittene elektronische Signatur (FES)

Sie besteht aus elektronischen Daten, die mit einem elektronischen Dokument verbunden sind und die Identifizierung des Unterzeichners ermöglichen.

Mehr erfahren

Qualifizierte elektronische Signatur

Wird für Dokumente zwischen gesetzlichen Vertretern eines Unternehmens und der öffentlichen Verwaltung oder für notarielle Urkunden verwendet, die höchste Sicherheitsanforderungen erfordern.

Mehr erfahren

Der Unterschied zwischen den drei Signaturarten liegt hauptsächlich im Sicherheitsniveau und der Komplexität des Systems zur Überprüfung der Identität des Unterzeichners. Die Stärke der Signatur liegt also im Grad des Vertrauens in die Identifizierung des Unterzeichners und im Nachweis, dass das Dokument tatsächlich das unterzeichnete ist, sowie natürlich in einer zunehmenden Beweiskraft vor Gericht.

Für eine bewusste Wahl der Vor- und Nachteile jeder Signaturart erläutern wir im Folgenden die Unterschiede zwischen den verschiedenen Arten elektronischer Signaturen.

Oft neigen Menschen instinktiv dazu, die stärkste Signaturart zu wählen. Man muss jedoch immer das Kosten-Nutzen-Verhältnis berücksichtigen, wobei die Kosten nicht nur eine wirtschaftliche Frage sind, sondern auch die Praktikabilität und Geschwindigkeit der Nutzung sowohl für den Antragsteller (der ein Dokument zur Unterschrift vorlegt) als auch für den Unterzeichner (der das vorgelegte Dokument unterschreiben muss) betreffen.

Der Antragsteller muss daher das tatsächlich erforderliche Signaturniveau abwägen und sich bewusst sein, dass mit steigenden Sicherheitsanforderungen der Prozess immer komplexer und kostspieliger wird, besonders in Bezug auf den Zeitaufwand, sowohl für den Antragsteller als auch für den Unterzeichner.

Wir von OTP Service bieten die ersten beiden Signaturniveaus an, die einfache (ES) und die fortgeschrittene elektronische Signatur (FES).

Es folgt eine Beschreibung der einfachen elektronischen Signatur und der fortgeschrittenen elektronischen Signatur, die beide über diese Website erworben werden können. OTP Service ist der erste und einzige Signaturanbieter, der keine wiederkehrende Abonnementgebühr verlangt, sondern sowohl einen vollständig kostenlosen Service (mit begrenzter Anzahl von Signaturen) als auch ein verbrauchsbasiertes Modell anbietet, das von einem vorausbezahlten Guthaben abgebucht wird und sowohl über unsere Weboberfläche als auch integriert in Ihr eigenes Managementsystem über unsere APIs genutzt werden kann.

Einfache elektronische Signatur (ES)

„Einfache“ elektronische Signatur ist ein häufig verwendeter Begriff, der alle elektronischen Signaturen umfasst, mit Ausnahme der fortgeschrittenen und qualifizierten Signaturen. Obwohl dieser Begriff von den meisten digitalen Signaturanbietern verwendet wird, wird er in eIDAS nicht verwendet. Um das Verständnis dieses Dokuments zu erleichtern, verwenden wir jedoch den Begriff „einfache Signatur“ für die erste der drei Stufen der elektronischen Signatur.

Heute ist die überwiegende Mehrheit der im Handel erhältlichen elektronischen Signaturen sogenannte „einfache“ Signaturen, da sie für jeden zugänglich sind und sich durch einfache und schnelle Handhabung auszeichnen. Die einfache Signatur entspricht der ersten Sicherheitsstufe hinsichtlich der rechtlichen Gültigkeit eines remote signierten Dokuments.

Sicherheitsniveau für die einfache elektronische Signatur

Es gibt also keine festgelegte Liste von Anforderungen für diese Art der Signatur. Man kann daher ohne konkreten Identitätsprüfungs- oder Zustimmungsprozess ein Dokument sehr schnell unterschreiben lassen. In diesem Fall wäre es für den Unterzeichner jedoch sehr einfach, die Unterschrift zu bestreiten. Nach dieser Definition sind eine gescannte Unterschrift oder eine einfache digitale Signatur, wie Sie sie beispielsweise auf dem Terminal des Paketboten leisten, sogenannte einfache Signaturen.

Gerade weil bei der einfachen elektronischen Signatur der Richter von Fall zu Fall entscheidet, hat sich otpservice.io entschieden, diese zu verstärken und damit einen höheren rechtlichen Wert zu erzielen, durch eine Reihe von Maßnahmen, die wir direkt aus den strengeren Vorschriften für fortgeschrittene elektronische Signaturen übernommen haben. Zum Beispiel haben wir einen zusätzlichen Authentifizierungsschritt hinzugefügt, wie das Zwei-Faktor-Authentifizierungssystem, bei dem ein OTP-Code, der per SMS oder E-Mail an den Unterzeichner gesendet wird, erforderlich ist, um das Dokument zu unterschreiben.

Ebenso haben wir, obwohl bei einfachen elektronischen Signaturen kein Kontroll-Tracking erforderlich ist, alle Informationen verstärkt, die während des Signaturprozesses erfasst werden.

Im Ereignisprotokoll werden aufgezeichnet: E-Mail des Unterzeichners, seine Telefonnummer, die IP-Adresse des Computers, der für die Unterzeichnung des Dokuments verwendet wurde, usw. Der Zweck dieses Protokolls besteht darin, Anwälten die Möglichkeit zu geben, die verschiedenen Phasen einer Transaktion Schritt für Schritt leicht nachzuverfolgen und damit im Falle einer Anfechtung der Dokumentenunterschrift eine höhere Glaubwürdigkeit zu gewährleisten.

All diese zusätzlichen Informationen werden im Signaturzertifikat aufgeführt, das otpservice.io nach der Unterschrift automatisch am Ende des Dokuments anfügt. Eine Kopie dieses Dokuments wird vom otpservice.io an den Unterzeichner geschickt und ist für den Antragsteller jederzeit über sein praktisches Kontrollpanel verfügbar.

Die einfache elektronische Signatur (ES) wird, obwohl sie nicht die Anforderungen der qualifizierten elektronischen Signaturen erfüllt, von eIDAS dennoch als eine in Gerichtsverfahren vollständig zulässige Signatur anerkannt.

Artikel 20 Absatz 1-bis des CAD (Codice dell’amministrazione digitale) legt fest, dass die Eignung des elektronischen Dokuments zur Erfüllung des Schriftformerfordernisses und sein Beweiswert vor Gericht frei bewertet werden können, und zwar in Bezug auf die Sicherheits-, Integritäts- und Unveränderlichkeitsmerkmale der gewählten elektronischen Signaturlösung.

Fortgeschrittene elektronische Signatur (FES)

Gemäß DPCM vom 22.02.2013 Artikel 55 und folgende besteht die Fortgeschrittene elektronische Signatur (FES) aus einer Reihe elektronischer Daten, die mit einem elektronischen Dokument verbunden sind und die Identifizierung des Unterzeichners ermöglichen sowie die eindeutige Verbindung zum Unterzeichner gewährleisten.

Diese müssen mit Mitteln erstellt werden, über die der Unterzeichner die ausschließliche Kontrolle behalten kann, und die Unveränderbarkeit des signierten Dokuments muss gewährleistet sein.

Die FES stellt eine stärkere Signatur dar als die einfache elektronische Signatur, da sie:

die Identifizierung des Unterzeichners und dessen eindeutige Verbindung zum unterzeichneten Dokument ermöglicht;
diese Verbindung unter Verwendung von Mitteln erstellt wird, über die der Unterzeichner die ausschließliche Kontrolle behalten kann;
es ermöglicht festzustellen, ob die Daten nach der Anbringung der fortgeschrittenen elektronischen Signatur verändert wurden.

Die FES hat die gleiche rechtliche Gültigkeit wie ein persönlich handschriftlich unterzeichnetes Dokument zwischen einem Antragsteller und einem Unterzeichner.
Der von OTP Service verwaltete FES-Prozess ist sicher, da:

der Unterzeichner kontaktiert wird, um ihn zur Unterschrift einzuladen, und eine Kopie des zu unterzeichnenden Dokuments als Anlage übermittelt wird. Auf diese Weise kann der Unterzeichner es vor seiner Zustimmung prüfen. In derselben E-Mail wird der Prozess beschrieben und erklärt, wie der Fingerabdruck der Datei mit dem zu unterzeichnenden Dokument erstellt wird;
der digitale Fingerabdruck des zu unterzeichnenden Dokuments garantiert, dass das unterzeichnete Dokument dasselbe ist, das dem Unterzeichner vor der Unterschrift zur Verfügung gestellt wurde;
vom Unterzeichner die Annahme der FES-Nutzungsbedingungen verlangt wird, damit er sich der rechtlichen Gültigkeit der Unterschrift bewusst ist, die er zu leisten im Begriff ist;
den Unterzeichner auffordert, seine persönlichen Daten und Ausweisdokumente einzugeben oder zu überprüfen
den Unterzeichner auffordert, ein Foto von sich selbst neben seinem Ausweisdokument sowie ein Foto der Vorder- und Rückseite seines gültigen Ausweisdokuments zur Verfügung zu stellen;
den Unterzeichner auffordert, alle vom Antragsteller geforderten obligatorischen Unterschriftspunkte anzukreuzen;
dem Unterzeichner per E-Mail oder SMS einen OTP-Code (One-Time-Password) übermittelt, um die Mobilfunknummer oder E-Mail-Adresse zum Zeitpunkt der Unterschriftsleistung mit der Signatur zu verknüpfen;
Fotos und Informationen sicher und verschlüsselt mit dem Antragsteller teilt, damit dieser sie validieren kann;
bei bestätigter Gültigkeit aller empfangenen Daten das System automatisch das Gesichtsfoto löscht und stattdessen die beiden Fotos des Ausweisdokuments gemäß den geltenden Vorschriften (DPCM vom 22. Februar 2013 Art. 57 Punkt 1b) aufbewahrt. Außerdem wird der Signaturprozess abgeschlossen, indem beiden Parteien das unterzeichnete Dokument übermittelt wird;
Abschließend wird in der Abschluss-E-Mail das Verfahren zur eigenständigen Überprüfung des gesamten Signaturprozesses beschrieben.

Qualifizierte elektronische Signatur

OTP Service bietet keine Qualifizierte Signatur (oder Digitale Signatur) an, da diese typischerweise für Dokumentenunterschriften zwischen gesetzlichen Vertretern eines Unternehmens und der öffentlichen Verwaltung oder für notarielle Urkunden verwendet wird, die höchste Sicherheitsanforderungen erfordern. Diese Art der Signatur erfordert normalerweise eine Hardware (USB-Token), die ihrerseits ein Zertifikat enthält, das nur für einen bestimmten Zeitraum gültig ist und von Handelskammern oder anderen akkreditierten Stellen nach einem persönlichen Identifizierungsprozess ausgestellt wird. Eine auf dem USB-Stick installierte Software ermöglicht es, Unterschrift und Zeitstempel direkt im Dokument anzubringen. Zur Anzeige der signierten Datei ist eine spezielle Software erforderlich. Wenn sowohl Unterzeichner als auch Antragsteller unterschreiben müssen, müssen beide Parteien über ihren eigenen USB-Token und das zugehörige Signaturpasswort verfügen (die streng persönlich sind und niemals an Dritte weitergegeben werden sollten, zum Beispiel: innerhalb eines Unternehmens).

Rechtliche Gültigkeit der Signaturen

Die EU-Verordnung Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014, bekannt unter dem Akronym eIDAS (Electronic IDentification Authentication and Signature), hat Normen und Verfahren für elektronische Signaturen festgelegt.

Auf europäischer Ebene basiert das System der elektronischen Signaturen auf der Richtlinie 1999/93/EG, einer Richtlinie des Europäischen Parlaments und des Rates über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen. Sie wurde am 19. Januar 2000 im Amtsblatt der Europäischen Gemeinschaften L. 13 veröffentlicht und trat am 19. Januar 2000 in Kraft. Von besonderer Bedeutung ist Artikel 5 der Richtlinie, der die Verpflichtungen der Mitgliedstaaten sowohl in Bezug auf „fortgeschrittene elektronische Signaturen, die auf einem qualifizierten Zertifikat beruhen und von einer sicheren Signaturerstellungseinheit erstellt wurden“ als auch auf andere Signatursysteme (die heute allgemein als schwach oder einfach bezeichnet werden) festlegt. Es wird auf den Begriff Teleadministration verwiesen. Italien setzte die Richtlinie 2002 um (Gesetzesdekret Nr. 10 vom 23. Januar 2002).

Lösungen