Entscheidend für die Sicherheit beim elektronischen Datenaustausch ist zum einen die Nachweisbarkeit der Identität der Kommunikationspartner. Digitale Signaturen ermöglichen genau das. Durch eine digitale Signatur kann sich der Unterzeichner zweifelsfrei ausweisen und außerdem kann die Integrität der Daten sichergestellt werden. Der zweite Eckpfeiler der sicheren Kommunikation ist die Vertraulichkeit. Sie wird über Verschlüsselungsverfahren hergestellt, die den Inhalt der Nachrichten für Unbefugte unzugänglich machen.
Eine persönliche Unterschrift ist stets einmalig und untrennbar mit der Person verbunden, die sie leistet. Mit einer Unterschrift kann eine Person ihre Identität belegen. Die Unterschrift bestätigt gleichzeitig, dass der Unterzeichnende mit dem Inhalt des Dokumentes einverstanden ist.
Diese Eigenschaften einer persönlichen Unterschrift lassen sich auch auf den elektronischen Datenverkehr übertragen - mit Hilfe digitaler Signaturen.
Auch die digitale Signatur ist einmalig und untrennbar an eine Person gebunden. Mit ihr lässt sich, wie bei einer handschriftlichen Unterschrift, die Identität einer Person überprüfen. Die digitale Signatur ist zudem inhaltsbezogen. Das heisst, sie bezieht sich bei der Unterzeichnung auf jedes einzelne Bit der Datei und damit auf das gesamte elektronische Dokument. Eine nachträgliche Veränderung des Inhaltes ist nicht möglich, ohne dass die Signatur zerstört wird.
Außerdem lässt sich die digitale Signatur nicht kopieren oder nachahmen. Das Erzeugen und das Überprüfen einer digitalen Signatur erfolgt elektronisch und ist sicher gegen Beeinflussung.
Grundlage für die vertrauliche Übertragung von Informationen in der digitalen Welt sind Verschlüsselungsverfahren. Mit modernen Verschlüsselungsverfahren können Sie Nachrichten in Form von E-Mails ebenso ver- und entschlüsseln wie auch eine Online-Verbindung im World Wide Web.
Vertraulichkeit ist die Basis jeder Kommunikation. Für jeden Vertrag, jede Transaktion oder jeden elektronischen Brief gilt - solange er mit einem starken Verschlüsselungsverfahren verschlüsselt wurde -, dass der Inhalt nur dem Empfänger zugänglich ist, an den er adressiert ist.
Für die vertrauliche Übertragung der Daten im Internet wird auf elektronische Verschlüsselungsverfahren zurückgegriffen. Sie bieten mehrere Vorteile:
Nur der vom Absender bestimmte Empfänger kann die
Nachricht entschlüsseln und lesen.
Das Abhören der Informationen ist nicht möglich.
Die Verschlüsselung ist einfach und hat keine relevanten Auswirkungen auf die
Übertragungsgeschwindigkeit.
Moderne Web-Browser unterstützen verschlüsselte Online-Verbindungen. Dazu wird
das von Netscape entwickelte Protokoll "Secure Socket Layer" (SSL)
verwendet. Das SSL-Zertifikat, welches die Grundlage für die Verschlüsselung
zwischen dem Web-Server und dem Nutzer darstellt und mit dem sich der Server
ausweist, basiert auf dem sogenannten X.509-Format.
Certification Authorities
Ein Zertifikat eignet sich als eindeutiges Merkmal zur Identifizierung in der digitalen Welt. Voraussetzung für die vertrauenswürdige Überprüfung der Identität über das Internet ist es, dass der öffentlichen Schlüssel auch wirklich zu der angegebenen Person gehört.
Also muss es auch in der digitalen Welt Einrichtungen geben, die überprüfen, ob derjenige, der gerne einen Ausweis hätte, auch der ist, der er vorgibt zu sein. Diese Einrichtung muss neutral und vertrauenswürdig sein. Sogenannte Certification Authorities (CA) oder Trustcenter schaffen diese Voraussetzung. Betreiber anerkannter Trustcenter erfüllen eine Reihe strenger Auflagen. Sie legen Verfahren und Zertifizierungsrichtlinien offen. So stellen sie Transparenz und Offenheit gegenüber ihren Kunden und Nutzern her.
Nach der Identitätsprüfung wird ein digitales Zertifikat ausgestellt, welches bestätigt, dass die Angaben im Zertifikat mit den tatsächlichen Daten (z.B. E-Mail-Adresse, Name, Anschrift) übereinstimmen und dass der öffentliche Schlüssel wirklich der Person gehört.
Die Zertifikate werden mit einem privaten Schlüssel digital unterschrieben und so fälschungssicher gemacht. Jede kleinste Veränderung macht den Ausweis ungültig.
Das Standardformat für Zertifikate ist X.509. Es wird von den gängigen Browsern und E-Mail-Programmen unterstützt. X.509-Zertifikate beinhalten den Namen des Ausstellers, üblicherweise eine Certification Authority, Informationen über die Identität des Inhabers sowie die digitale Signatur des Ausstellers. Für Anwendungen von X.509-Zertifikaten ist beim Nutzer neben dem Web-Browser keine zusätzliche Software erforderlich. Dies unterscheidet den Standard auch von PGP-Zertifikaten (Pretty Good Privacy), die auch den Austausch von sicherer E-Mail sowie die Verschlüsselung von Dateien ermöglichen, dafür aber die PGP-Software benötigen. Es werden sowohl X.509- als auch PGP-Zertifikate angeboten.