Fernsignieren erklärt: Qualifizierte Signaturen ohne Hardware

Kurz gefasst: Beim Fernsignieren bleibt der private Schlüssel des Unterzeichners in einer sicheren, zertifizierten Umgebung — typischerweise einem Hardware-Sicherheitsmodul eines qualifizierten Vertrauensdiensteanbieters. So lassen sich fortgeschrittene oder qualifizierte elektronische Signaturen von jedem Gerät erstellen, ohne Smartcard oder USB-Token.

Jahrelang waren die höchsten Signaturstufen mit einer Hardware-Hürde verbunden: Smartcard, Kartenleser, USB-Token und der zugehörige Support-Aufwand. Fernsignieren beseitigt diese Reibung. Statt einen Signaturschlüssel auf einem physischen Gerät zu halten, liegt der Schlüssel in einer sicheren Serverumgebung unter alleiniger Kontrolle des Unterzeichners, der sich aus der Ferne authentifiziert, um ihn zu nutzen. Das Ergebnis ist dieselbe Rechtskraft — einschließlich qualifizierter elektronischer Signaturen (QES) — über Browser oder mobile App.

Was ist Fernsignieren?

Fernsignieren, auch server- oder cloudseitiges Signieren genannt, ist ein Ansatz, bei dem der zum Signieren verwendete kryptografische Schlüssel in einem Hardware-Sicherheitsmodul (HSM) erzeugt und gespeichert wird statt auf einer Karte oder einem Token in der Hand des Unterzeichners. Will jemand signieren, authentifiziert er sich beim Signaturdienst, weist seine Berechtigung zur Schlüsselnutzung nach, und das HSM führt die Signaturoperation in seinem Auftrag aus. Der private Schlüssel verlässt die geschützte Hardware nie.

Wie Fernsignieren Schritt für Schritt funktioniert

• Identität wird festgestellt. Bevor jemand einen Fernsignaturschlüssel für qualifizierte Signaturen erhält, wird die Identität auf dem von eIDAS geforderten Niveau verifiziert.
• Ein Schlüssel wird im HSM bereitgestellt. Privater Schlüssel und qualifiziertes Zertifikat werden für den Unterzeichner in einem zertifizierten HSM eines qualifizierten Vertrauensdiensteanbieters erzeugt.
• Der Unterzeichner authentifiziert sich. Zum Signaturzeitpunkt weist er seine Identität nach — meist mit einem starken Multi-Faktor-Verfahren — um die Schlüsselnutzung freizugeben.
• Alleinige Kontrolle wird durchgesetzt. Der Dienst stellt sicher, dass nur der authentifizierte Unterzeichner seinen Schlüssel auslösen kann, und erfüllt damit die eIDAS-Anforderung der alleinigen Kontrolle.
• Die Signatur wird angebracht. Das HSM signiert den Dokument-Hash, und Signatur, Zertifikat und (für die Langzeitgültigkeit) ein Zeitstempel werden in das Dokument eingebettet.

Welche Signaturstufen sind aus der Ferne möglich?

Fernsignieren unterstützt das gesamte Spektrum der eIDAS-Signaturstufen. Fortgeschrittene elektronische Signaturen (AES) lassen sich problemlos im großen Maßstab umsetzen, während qualifizierte elektronische Signaturen (QES) — die der Handunterschrift rechtlich gleichgestellte Stufe — erreichbar sind, wenn der Schlüssel in einer qualifizierten Signaturerstellungseinheit (einem zertifizierten Fern-HSM) liegt und die Identität entsprechend verifiziert ist. Dieselbe Plattform kann auch qualifizierte elektronische Siegel für Organisationen erzeugen.

Die Standards für Interoperabilität

Fernsignieren ist keine proprietäre Abkürzung. Es beruht auf offenen Standards: Die API des Cloud Signature Consortium (CSC) und die ETSI-Spezifikation TS 119 432 definieren, wie Signaturanwendungen mit Vertrauensdiensteanbietern kommunizieren, während PAdES (ETSI EN 319142) regelt, wie Signaturen in PDF-Dokumente eingebettet werden. Diese Standards ermöglichen die Integration des Signierens in eigene Systeme und den Wechsel oder die Kombination von Anbietern ohne Neuentwicklung.

Warum Organisationen auf Fernsignieren umsteigen

• Keine Hardware zu verteilen oder zu supporten. Das Onboarding eines Unterzeichners bedeutet nicht mehr den Versand von Karte und Leser.
• Überall und auf jedem Gerät signieren. Browser- und Mobilsignieren beseitigen den schreibtischgebundenen Engpass.
• Skaliert auf hohe Volumina. Serverseitiges Signieren bewältigt Massen- und automatisierte Workflows, die physische Token nicht schaffen.
• Stärkerer Schlüsselschutz. Schlüssel liegen in zertifizierten HSMs, nicht auf Laptops oder in Software.
• Besseres Signaturerlebnis. Weniger Schritte und keine Treiber bedeuten höhere Abschlussraten.

Typische Anwendungsfälle

Fernsignieren passt überall dort, wo Signaturen in großem Maßstab oder unterwegs gebraucht werden: Kundenverträge und Kontoeröffnungen, Arbeits- und HR-Dokumente, Freigaben und Autorisierungen sowie hochvolumiges Back-Office-Signieren. Da es QES unterstützt, deckt es auch die Dokumente ab, bei denen das Gesetz die der Handunterschrift gleichwertige Form verlangt.

SO UNTERSTÜTZZT SIE PRIMESIGN

primesign ermöglicht rechtskonformes Fernsignieren, indem zertifizierte serverseitige Signaturerstellung mit einer nahtlosen Benutzererfahrung kombiniert wird. Als qualifizierter Vertrauensdiensteanbieter verwaltet primesign Signaturschlüssel sicher in zertifizierten HSMs, unterstützt starke Authentifizierungsverfahren und ermöglicht qualifizierte elektronische Signaturen (QES) direkt über Browser oder mobile Geräte – ganz ohne Smartcard oder USB-Token.

Möchten Sie hardwarebasiertes Signieren durch sichere Cloud-basierte QES ersetzen? Sprechen Sie mit primesign über Fernsignaturlösungen für vertrauenswürdige digitale Geschäftsprozesse.