Nachsignieren: auf ein Neues!

Wer die Diskussion um die BSI TR 03125 im vergangenen Jahr verfolgt hat, war sicherlich der Meinung, dass substantielle Veränderungen der ursprünglichen TR-VELS in der neuen TR-ESOR zu einer Beschränkung der Einsatzfelder und klareren Zuordnung geführt hat. Mit der geänderten Version der Richtlinie des Bundesamtes für Sicherheit in der Informationstechnik "Beweiswerterhaltung kryptografisch signierter Dokumente" schien Ruhe in der Diskussion ( auf XING http://bit.ly/TR-03125 ) eingekehrt.

Es gibt nun mehrere Gründe, das Thema "Nachsignieren" erneut aufzugreifen.

1. Verankerung der TR-03125 im Organisationskonzept elektronische Verwaltungsarbeit
   Im Organisationskonzept elektronische Verwaltungsarbeit, Dokument "Elektronische Akte" ( http://bit.ly/E-Akte ) wird auch auf die TR-03125 eingegangen. Da es sich bei der "Elektronischen Akte" um ein Konzept für alle Behörden und Unternehmen öffentlichen Rechts handelt, wird der Eindruck erweckt, auch hier müsse generell das Nachsignieren elektronisch signierter Dokumente zur Beweiswerterhaltung vorgenommen werden. Auf die offene Frage, wie denn elektronisch signierte Dokumente, die mit De-Mail versendet wurden, nachsigniert werden sollen, wird nicht eingangen. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
2. Umsetzung in eine DIN Norm
   Der umbenannte DIN Arbeitskreis NA 009-00-15-06 "AK Beweiswerterhaltung von kryptographisch signierten Dokumenten" setzt die Umsetzung der TR-ESOR in eine DIN-Norm fort. Diese soll unter der Nummer DIN 31647 veröffentlicht werden. Hierdurch gewinnt die TR-03125 universelle Bedeutung für alle qualifiziert elektronisch signierten Dokumente. Jede Organisation, die die Berücksichtigung von DIN-Normen in ihren Systemen verlangt und außerdem auf die Sicherheitsanforderungen des BSI setzt, wird sich auch mit der DIN 31647 beschäftigen müssen.  Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
3. Nachsignieren und De-Mail
   Das De-Mail-Gesetz sieht vor, dass Behörden De-Mail als das zukünftige altgernative Medium anstelle von Papierbriefen nutzen sollen. Darüber hinaus rechenen die Anbieter von De-Mail damit, dass auch in der Wirtschaft und im geschäftlichen privaten Bereich, sich die De-Mail als Ersatz von Papierbriefen etabliert. ungeklärt ist, ob die De-Mail die qualifizierte elektronische Signatur (QES) ersetzen kann (und soll) oder ob es aus rechtlicher Sicht notwendig ist, mit QES signierte elektronische Dokumente zu versenden (die dann bei Absender und Empfänger gleichmaßen beweisfähig gehalten, d.h. nachsigniert werden müssen). Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
4. Igonieren der Prinzipien der revisionssicheren Archivierung
   Seit 20 Jahren werden in Deutschland sichere Systeme angeboten, die den Grundsätzen der Revisionssicherheit folgen, und damit den Nachweis ermöglichen, dass seit dem Zeitpunkt der Archivierung keine Veränderung am archiverten Objekt vorgenommen wurde. Dies löst die gesamte Problematik des Nachsignierens. Zusäzlich können bei Bedarf die Prinzipien von Nestor für eine vertrauenswürdige elektronische Archivierung angewendet werden. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
5. Der Zeitpunkt des Nachweises von Integrietät und Authentizität ist entscheidend
   Die qualifizierte elektronische Signatur hilft beim sicheren Dokumentenaustausch und beim Identifizieren des Absenders. Sie wird beim Empfang geprüft. Dieses Ergebnis wird festgehalten. Damit ist die weitere Absicherung im Rahmen des Workflows, im Rahmen von Collaboration, im Rahmen der Archivierung überflüssig. Man hat den Nachweis, das zum Zeitpunkt des Empfanges alles korrekt war. Dieser Nachweis wird mitarchiviert und durch Protokolle wird der Archivierungsvorgang mit der Sicherstellung der Unverändertheit nachvollziehbar. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
6. Nachsignieren ist im Prinzip eine ständige Manipulation
   Die Prinzipien des Nachsignierens, sei es über Hash-Bäume sei direkt die Objekte neu zu "verpacken" ist eine ständige Manipulation der Verwaltungsinformationen. Nachsignieren erhöht die Risiken und hat keinen wesentlichen Beitrag zur Sicherheit. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
7. Vertrauensverlust durch Argumentation "Weichwerden von Signaturen"
   Durch die Argumentation der Protagonisten des Nachsignierens wird der Wert der elektronischen Signatur in der Wahrnehmung beim Anwender untergraben. Das Nachsignieren ist kontraproduktiv für die Akzeptanz der elektronsichen Signatur. Nur Spezialisten können erkennen, dass es lediglich umd ie Gültigkeit von Zertifikaten geht. Deutschland hat eine der weltweit am besten abgesichersten elektronischen Signaturen, die qualifizierte elektronische Signatur mit Anbieterakkreditierung. Mit den Behauptungen, dass diese Signaturen "weich" oder "schwach" werden können, wird der Einsatz untergraben. Die Kombination der sicheren QES in der Übertragung mit der anschließenden Archivierung im revisionssicheren Archiv macht diese den Wert der Signatur herabsetzende Argumentation unnötig. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
8. Zusätzliche Komplexität und Kosten machen Nachsignieren unwirtschaftlich
   Verwaltungen und Unternehmen werden mit dem Nachsignieren hohe Betriebskosten und langfristige Bindung an Systemauslegungen auferlegt. Gerade bei Unternehmen sind durch die Schriftform nur ganz wenige Dokumente betroffen und diese sind auch nur zum Teil signiert. Hieraus eine Verantwortung abzuleiten, durch TR-03125, OKeVA und/oder DIN, generell in das Nachsignieren zu investieren, ist unverantwortlich. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
9. Welche Dokumente sind nach welcher gesetzlichen Grundlage überhaupt betroffen?
   Nicht alle elektronisch signierten Dokumente müssen auch nachsigniert werden. Um dies steuern zu können, müsste eine entsprechende Klassifikation und Unterscheidung vorgenommen werden. Diese kann in Abhängigkeit der Aufgaben einer Behörde oder Tätigkeit eines Unternehmens sehr unterschiedlich sein. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
    
10. Nachteile durch unterschiedliche Qualität im Archiv
    Die Nutzung signierter Dokumente mit Nachsignieren führt zu einer unterschiedlichen Qualität in den Archiven. Zum Teil sind "hochqualitative elektronisch signierte/nachsignierte" Dokumente enthalten, zum Anderen sind im gleichen Vorgang, in der gleichen elektronischen Akte, im gleichen Sachzusammenhang gescannte Dokumente, E-Mails, importierte De-Mails, Fax, SMS, Office-Dokumente usw. Die eigentlich hohe Qualität des signierten Dokuments wird durch den Kontext mit den anderen "schwächer beweisfähigen" Dokumenten stark gemindert. Da Einzeldokumente immer weniger eine entscheidende Rolle spielen sondern der Sachzusammenhang im Kontext mit anderen dazugehörigen Dokumenten wichtiger wird (siehe auch in den USA das FRCP), stellt die isolierte Nutzung des Nachsignierens einen unnötigen Overhead dar. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
     
11. Der Mythos von der Rechtssicherheit
    Gesetze können und werden sich ändern – auch nachträglich und rückwirkend. Diese haben wir gerade beim Thema "Zugriff auf Archive durch den Außenprüfer" erleben dürfen. Es ist nicht zu erwarten, dass über die Aufbewahrungsfristen, die mehr als 30 Jahre betreffen können, Technik und Gesetzeslage die dauerhafte "Rechtssicherheit" der archivierten signierten Dokumente garantieren können. Wird mit Rechtssicherheit beid er langzeitigen Aufbewahrung geworben, dann sollte sich der Anwender ein einklagbares Recht auf zukünftige rechtssichere Verfügbarkeit und Penalen vertraglich geben lassen. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber das Nachsignieren ist überflüssig.
     
12. Internationalität
    Das Nachsignieren ist fast nur in Deutschland verbreitet. Im internationalen Geschäftsverkehr spielt es keine Rolle und ist eher hinderlich (Empfang von nicht-qualifiziert aber dennoch elektronisch signierten Dokumenten aus dem Ausland; blocken von Dokumenten mit nicht identifizierbaren kryptographischen Anhängen beim Empfang auf ausländsichen Servern). Benötigt werden internationale Standards für die sichere Kommunikation, die in den Basis-Produkten der großen Anbieter wie Microsoft, Google etc. standardmäßig enthalten sein müssen. In einer globalisierten, auf Informations- und Kommunikationstechnik basierenden Wirtschaft und Gesellschaft  stellen nationale Sonderwege ein Hindernis dar und verringern deutlich die Chancen im Wettbewerb zu bestehen. Der Ansatz zur Erhöhung der Beweisfähigkeit ist ehrenwert, aber wie usn schon Shakespeare vor Augen hielt, ist "Ehrenwert" nicht immer "Ehrenwert" – und – das Nachsignieren ist einfach überflüssig.

Die Initiativen zum Nachsignieren müssen gestoppt werden!
Was technisch geht muss nicht unebdingt sinnvoll sein.
Bürgern, Wirtschaft und Verwaltung dürfen nicht durch das Nachsignieren unnötige organisatorische, finanzielle und technische Bürden aufgelegt werden.
Signaturen bei der elektronischen Kommunikation sind sinnvoll, in revisionssicheren Ablagen und Archiven müssen sie nicht durch Nachsignieren "manipuliert" werden.
Das "Schlechtmachen" der hochqualitativen elektronischen Signatur in Deutschland durch Äußerungen "die Signatur wird weich", "die Signatur wird schwach", "die Signatur ist nicht mehr beweisfähig" usw. muss unterbunden werden. Die Akzeptanz der elektronischen Signatur muss gestärkt werden, soll sie noch Erfolg haben!
Das Nachsignieren ist für Nutzung und Akzeptanz der elektronischen Signatur ein Sargnagel!

Dr. Ulrich Kampffmeyer