Digital Signature
Was ist eine Digital Signature?
Eine Digital Signature (digitale Signatur) ist ein kryptografischer Mechanismus zur Gewährleistung der Authentizität, Integrität und Nichtabstreitbarkeit elektronischer Dokumente oder Nachrichten. Sie basiert auf asymmetrischer Verschlüsselung und ermöglicht es Empfängern, nachzuprüfen, ob eine Nachricht unverändert vom ausgewiesenen Absender stammt.
Technischer Aufbau & Varianten
Grundprinzipien der digitalen Signatur:
-
Hash-Bildung – Das Dokument wird mit einer kryptografischen Hashfunktion (z. B. SHA-256) gehasht.
-
Verschlüsselung des Hashes – Der Hash wird mit dem privaten Schlüssel des Absenders verschlüsselt.
-
Verifikation – Der Empfänger entschlüsselt den Hash mit dem öffentlichen Schlüssel und vergleicht ihn mit dem neu berechneten Hash.
Häufig genutzte Verfahren:
-
RSA – am weitesten verbreitetes Signaturschema
-
ECDSA – effizientere Variante auf Basis elliptischer Kurven
-
EdDSA – moderne Alternative mit hoher Performance
Ergänzende Mechanismen:
-
Zeitstempel (Time Stamping) – schützt vor nachträglicher Signatur-Manipulation
-
Qualifizierte elektronische Signaturen (QES) – rechtlich gleichwertig zur handschriftlichen Unterschrift (z. B. gemäß eIDAS-Verordnung)
Relevanz in der Praxis
Digitale Signaturen werden eingesetzt für:
-
PDF-Dokumente – rechtssichere elektronische Unterzeichnung von Verträgen, Rechnungen, Bescheiden
-
Code Signing – Sicherstellung der Herkunft und Integrität von Software
-
E-Mail-Kommunikation (S/MIME) – Schutz vor Spoofing und Manipulation
-
Blockchain – Transaktionsauthentifizierung durch Signatur der Datenblöcke
Standards & regulatorische Anforderungen
-
eIDAS (EU 910/2014) – europäischer Rechtsrahmen für elektronische Signaturen
-
ISO/IEC 14888 – internationale Standardreihe zu digitalen Signaturen
-
X.509 – Standard für digitale Zertifikate
-
BSI TR-03137 – technische Anforderungen für qualifizierte elektronische Signaturen
Verwandte Begriffe
-
Hashfunktion
-
eIDAS
-
Code Signing
-
Public Key Infrastructure
Beispiel aus der Praxis
Ein Softwareunternehmen signiert seine Installationspakete mit einem Code Signing-Zertifikat.
Ein Kunde meldet, dass beim Download eine Signaturprüfung fehlschlägt.
Die IT-Abteilung entdeckt einen Angriff auf den Verteilserver – die manipulierte Datei hatte keine gültige digitale Signatur.
Durch die Verifikation konnte die Kompromittierung frühzeitig erkannt und gestoppt werden.