Worauf beruht eine QES — qualifiziertes Zertifikat und QSCD?

Eine qualifizierte elektronische Signatur beruht auf zwei zwingenden Komponenten: einem qualifizierten Zertifikat, das die geprüfte Identität des Unterzeichners mit einem öffentlichen Schlüssel verbindet, und einer qualifizierten Signaturerstellungseinheit (QSCD), die den zugehörigen privaten Schlüssel schützt und die Signatur auslöst.

Beide dürfen ausschließlich von einem qualifizierten Vertrauensdiensteanbieter bereitgestellt werden, der auf einer nationalen EU-Vertrauensliste geführt wird. Fehlt eine der drei Voraussetzungen — geprüfte Identität, qualifiziertes Zertifikat, QSCD —, entsteht keine QES, sondern höchstens eine fortgeschrittene elektronische Signatur.

So greifen die Komponenten ineinander:

• Identitätsprüfung nach Artikel 24 eIDAS: Der Vertrauensdiensteanbieter überprüft vor Ausstellung die Identität mit geeigneten Mitteln und im Einklang mit dem jeweiligen nationalen Recht.
• Schlüsselerzeugung: Das Schlüsselpaar wird in der QSCD erzeugt. Der private Schlüssel verlässt diese Einheit zu keinem Zeitpunkt.
• Zertifikatsausstellung: Das qualifizierte Zertifikat bescheinigt die Zuordnung von öffentlichem Schlüssel und identifizierter Person und benennt den ausstellenden Anbieter.
• Anforderungen an den Anbieter: Kapitel III der eIDAS-Verordnung legt ab Artikel 13 den Anforderungskatalog fest. Nur wer ihn erfüllt und in die Vertrauensliste aufgenommen wurde, gilt als qualifiziert.
• Lokale oder serverseitige QSCD: Als lokale QSCD dient eine Chipkarte oder ein Token; als serverseitige QSCD ein zertifiziertes Hardware-Sicherheitsmodul beim Anbieter für die Fernsignatur.
• Widerruf und Sperrung: Kompromittierte Zertifikate werden über Widerruflisten und OCSP zentral gesperrt und sind sofort nicht mehr gültig verwendbar.

Woran Sie einen qualifizierten Anbieter erkennen:

• Eintrag in der Vertrauensliste: Die EU Trusted List ist das öffentliche Verzeichnis aller qualifizierten Anbieter und ihrer Dienste. Wer nicht darauf steht, kann keine QES ausstellen.
• Konformitätsbewertung: Qualifizierte Anbieter werden regelmäßig durch eine Konformitätsbewertungsstelle geprüft; die Berichte sind Bestandteil Ihrer eigenen Nachweiskette.
• Öffentliches Trust Center: Root- und CA-Zertifikate, Widerruflisten und Dienstebeschreibungen sollten öffentlich abrufbar sein.

primesign ist als qualifizierter Vertrauensdiensteanbieter gelistet und betreibt die eingesetzten Signaturerstellungseinheiten selbst, mit Hosting in der EU. Aktuelle Root- und CA-Zertifikate, Widerruflisten und die zugehörigen Nachweise stehen öffentlich im primesign Trust Center bereit und sind damit für Ihre eigene Prüfung nachvollziehbar.