Vollständige Digitalisierung von Prozessen: eIDAS-Vertrauensdienste sollen Rechtssicherheit schaffen

Die fortschreitende Digitalisierung der Geschäftsprozesse im B2C- und B2B-Bereich, bei der in Deutschland erheblicher Aufholbedarf besteht, erhöht den Bedarf an verbindlichen und rechtsgültigen elektronischen Unterschriften deutlich. Die Chance dazu heißt: eIDAS-Verordnung für Fernsignatur. Mit dem eIDAS-Vertrauensdienst habe nun der Bank-Verlag ein System entwickelt, mit dem sich Geschäftsprozesse mit Schriftformerfordernis einfach und wirtschaftlich digitalisieren lassen sollen. Das Produkt ist ab Ende Q2 2018 verfügbar.

Banken können nun auf Basis der eIDAS-Verordnung der qualifizierten Signatur endlich zum Durchbruch verhelfen. Denn im Gegensatz zu anderen Wettbewerbern sind Banken und ihre Kunden bereits heute mit der notwendigen Infrastruktur zur Nutzung von Fernsignaturen ausgestattet.

Damit wird die Signaturerstellung, so der Bank-Verlag, aus Sicht des Kunden so einfach wie eine Online-Banking-Transaktion. Da die Erstellung der rechtsgültigen eIDAS-Signatur sowie die Generierung und Verwaltung der notwendigen Signaturschlüssel und Zertifikate in der hochsicheren Umgebung des Bank-Verlag-Trustcenters erfolgen, kann die Fernsignatur mit geringem Aufwand in bestehende Portale und mobile Anwendungen integriert werden, verspricht das Unternehmen.

Neben eIDAS-Fernsignaturen für Bankkunden werde der Bank-Verlag auch eIDAS-konforme qualifizierte elektronische Siegel, sowie im Rahmen der PSD 2 auch Client-Zertifikate, die zur Authentifizierung eines Unternehmens gegenüber der Bank bei der Nutzung der PSD 2-Drittdienstleisterschnittstelle dienen, unterstützen.

Für diese Services strebt der Verlag im Jahr 2018 die Zulassung durch die Bundesnetzagentur (BNetzA) bzw. das Bundesamt für Sicherheit in der Informationstechnik (BSI) als qualifizierter Vertrauensdiensteanbieter (VDA) gemäß eIDAS an.

Durch den modularen Ansatz bei der Konzeption und Umsetzung des eIDAS-Vertrauensdienstes bleiben die Einsatzmöglichkeiten nicht auf den Bankbereich beschränkt. Der Vertrauensdienst ermöglicht Plattform-Geschäftsmodelle, die über den eigenen bestehenden Markt von Banken, Unternehmen und Behörden hinausgehen. Dank der einfachen Integration der Lösung können z. B. Digital-Identity-Plattformen ihren Nutzern nicht nur die Identität bestätigen, sondern auch verbindliche und rechtsgültige Abschlüsse ermöglichen.

Neben Lösungen für Endkunden haben Unternehmen damit die Möglichkeit, auch interne Prozesse und Abläufe zu digitalisieren sowie die Geschäftsvorfälle zwischen Unternehmen zu optimieren. Somit eröffnen sich neue, für den Kunden Nutzen stiftende Kooperationen.

Die Lösung ist über alle Branchen hinweg einsetzbar und kann auch die Digitalisierung im öffentlichen Bereich vorantreiben. Einsatzmöglichkeiten sind z. B.

1. Bankgeschäfte,
2. Abschluss und Verwaltung von Versicherungen,
3. eGovernment,
4. eHealth,
5. Kommunikation mit Steuer- und Finanzbehörden,
6. Digital-Identity-Plattformen.

Bei der Konzeption des eIDAS-Vertrauensdienstes hätte neben dem hohen Sicherheitsstandard insbesondere die Flexibilität der Nutzung bei Serviceanbietern und bei Endnutzern im Vordergrund gestanden.

Hier galt es, die Umsetzung der eIDAS-Fernsignatur so zu gestalten, dass sie einerseits gemäß den eIDAS-Anforderungen zulassungsfähig ist und andererseits medienbruchfrei mit beim Endnutzer bereits vorhandenen Authentifizierungsverfahren einfach und sicher genutzt werden kann. Nur so können zukünftig rechtsgültige, elektronische Signaturen massenhaft im Rahmen der Digitalisierung zum Einsatz kommen.

Ausgehend von dem vom Bank-Verlag entwickelten und betriebenen Fern-Signaturserver, den u. a. eine deutsche Großbank zu Freigabe von EBICS-Firmenkundenzahlung mit der photoTAN nutzt, wurde Ende 2016 ein Projekt zum Aufbau eines eIDAS-konformen Vertrauensdienstes für Fernsignaturen und elektronische Siegel gestartet. Ziel war es, diesen Vertrauensdienst (VDA) in die bestehende Rechenzentrums- und Sicherheitsinfrastruktur des Bank-Verlags zu integrieren, um den entstehenden Aufwand für den laufenden Betrieb des VDA zu minieren.

Entgegen der bisher im Rahmen des Signaturgesetzes von den Trustcentern als Sicherheitskomponente genutzten Signatur-Chipkarten, verwendet der eIDAS-Vertrauensdienst des Bank-Verlags für die Fernsignaturen und die Erstellung der zugehörigen Zertifikate Hochsicherheitsmodule (HSM). Diese HSMs werden nach den eIDAS-Protection Profils PP2 und PP5 evaluiert.

Zusammen mit einem speziellen, eigenentwickelten BV-Modul, welches ebenfalls evaluiert und in das jeweilige HSM geladen wird, kann so durch das Hochsicherheitsmodul selbst die Prozesssicherheit des gesamten Vertrauensdienstes garantiert werden. Dadurch kann weitestgehend auf die sonst für ein SigG-Trustcenter üblichen hohen baulichen und organisatorischen Sicherheitsmaßnahmen verzichtet werden, was den Betriebsaufwand des VDA deutlich reduziert.

Das Projekt wurde bereits ab der Konzeptionsphase sehr eng von einer eIDAS-Konformitätsbewertungs- und einer CC-Evaluierungsstelle begleitet. Mit der BNetzA als Aufsichtsbehörde wurde das Umsetzungskonzept ebenfalls ausführlich diskutiert. Hierdurch kann zu jedem Zeitpunkt des Projekts die eIDAS-Konformität der Prozesse und der eingesetzten Sicherheitskomponenten gewährleistet werden. Damit sollte einer Zulassung des Bank-Verlags als eIDAS-Vertrauensdiensteanbieter für Fernsignaturen in 2018 nichts mehr im Wege stehen.aj