Eine digitale Signatur ist ein verschlüsselter Fingerabdruck eines Dokuments: Der Absender berechnet einen Prüfwert (Hash) der Datei und verschlüsselt diesen mit seinem privaten Schlüssel. Das digitale Zertifikat bestätigt dabei, dass der dazugehörige öffentliche Schlüssel wirklich zur angegebenen Person gehört. Zusammen beweisen beide, wer signiert hat und dass danach nichts mehr verändert wurde.
Signatur und Zertifikat: der Unterschied in einem Satz
Die beiden Begriffe werden ständig vermischt, meinen aber zwei verschiedene Dinge. Die digitale Signatur ist die eigentliche Rechenoperation, die ein Dokument an eine Person und einen Zeitpunkt bindet. Das digitale Zertifikat ist eine Art elektronischer Ausweis: Es koppelt einen öffentlichen Schlüssel an eine geprüfte Identität und wird von einer Zertifizierungsstelle (englisch Certificate Authority, kurz CA) ausgestellt. Ohne Zertifikat wäre eine Signatur technisch zwar gültig, aber niemand könnte sicher sein, wem der Schlüssel gehört.
Anzeige
Wie eine digitale Signatur technisch funktioniert
Hinter dem Verfahren steckt die asymmetrische Verschlüsselung. Dabei besitzt jeder Beteiligte ein Schlüsselpaar: einen privaten Schlüssel, den nur er kennt, und einen öffentlichen Schlüssel, den jeder haben darf. Was der eine Schlüssel verschlüsselt, kann nur der jeweils andere wieder öffnen. Genau das macht das Signieren möglich.
Der Ablauf besteht aus drei Schritten:
- Hash bilden: Aus dem kompletten Dokument berechnet ein Algorithmus wie SHA-256 einen kurzen, eindeutigen Prüfwert – den Hash. Ändert sich auch nur ein Komma, sieht der Hash komplett anders aus.
- Hash signieren: Dieser Hash wird mit dem privaten Schlüssel des Unterzeichners verschlüsselt. Das Ergebnis ist die digitale Signatur, die an das Dokument angehängt wird.
- Signatur prüfen: Der Empfänger entschlüsselt die Signatur mit dem öffentlichen Schlüssel des Absenders und erhält den ursprünglichen Hash. Parallel berechnet er den Hash des erhaltenen Dokuments selbst. Stimmen beide Werte überein, ist alles echt und unverändert.
Ein anschaulicher Vergleich: Die Signatur wirkt wie ein Wachssiegel auf einem Brief. Ist das Siegel intakt, weiß der Empfänger, von wem der Brief stammt und dass ihn unterwegs niemand geöffnet hat. Wichtig ist dabei: Signieren ist nicht dasselbe wie Verschlüsseln. Ein signiertes Dokument bleibt im Klartext lesbar – die Signatur schützt nur vor Fälschung, nicht vor Mitlesen.
Wozu das Zertifikat? Vertrauen über die Zertifizierungsstelle
Ein öffentlicher Schlüssel allein ist nur eine lange Zahl. Er sagt nichts darüber aus, ob er wirklich zu „Marie Schneider“ oder zur Firma X gehört. Diese Lücke schließt die Public-Key-Infrastruktur (PKI) – das System aus Regeln, Software und Stellen, das öffentliche Schlüssel verlässlich verteilt.
Im Zentrum steht die Zertifizierungsstelle. Sie prüft zuerst die Identität einer Person oder Organisation und stellt anschließend ein digitales Zertifikat aus, das den öffentlichen Schlüssel mit dieser geprüften Identität verknüpft und das Ganze selbst signiert. Ein Empfänger vertraut einer Signatur, wenn drei Dinge stimmen:
- Das Zertifikat wurde von einer anerkannten Zertifizierungsstelle ausgestellt.
- Es ist noch gültig und wurde nicht widerrufen (etwa weil der private Schlüssel gestohlen wurde).
- Die Vertrauenskette führt lückenlos bis zu einem bekannten Wurzelzertifikat, dem das Betriebssystem oder der Browser von Haus aus vertraut.
Dasselbe Prinzip steckt übrigens hinter dem Schloss-Symbol im Browser: Auch eine HTTPS-Verbindung beruht auf einem Zertifikat, das die Echtheit einer Website bestätigt.
Welche Schutzziele eine Signatur erfüllt
Für die IT-Sicherheit und besonders für die Fachinformatiker-Prüfung ist interessant, welche der klassischen Schutzziele eine digitale Signatur abdeckt. Es sind drei:
- Integrität: Der Empfänger erkennt jede nachträgliche Änderung am Dokument, weil dann die Hash-Werte nicht mehr passen.
- Authentizität: Es ist nachweisbar, dass die Signatur tatsächlich mit dem privaten Schlüssel des angegebenen Absenders erzeugt wurde.
- Nicht-Abstreitbarkeit (auch Verbindlichkeit genannt): Der Unterzeichner kann später nicht glaubhaft behaupten, er habe nicht signiert – nur er besitzt den passenden privaten Schlüssel.
Was eine Signatur ausdrücklich nicht leistet, ist Vertraulichkeit. Wer den Inhalt geheim halten will, muss das Dokument zusätzlich verschlüsseln. Signatur und Verschlüsselung sind zwei getrennte Werkzeuge, die oft kombiniert, aber gern verwechselt werden.
Die drei Stufen nach eIDAS: einfach, fortgeschritten, qualifiziert
In der EU regelt die eIDAS-Verordnung (electronic IDentification, Authentication and trust Services), welche rechtliche Beweiskraft eine elektronische Unterschrift hat. Sie unterscheidet drei Stufen:
| Stufe | Was sie ist | Typischer Einsatz |
|---|---|---|
| Einfache elektronische Signatur (EES) | Niedrigste Stufe: getippter Name, eingescannte Unterschrift oder ein Klick auf „Zustimmen“. Keine kryptografische Absicherung. | Interne Freigaben, formlose Absprachen – geringe Beweiskraft |
| Fortgeschrittene elektronische Signatur (FES) | Kryptografisch geschützt, eindeutig einer Person zuordenbar, nachträgliche Änderungen werden erkennbar. | Verträge ohne gesetzliche Formvorschrift, Bestellungen, überschaubares Haftungsrisiko |
| Qualifizierte elektronische Signatur (QES) | Eine FES auf Basis eines qualifizierten Zertifikats, erstellt mit einer geprüften, sicheren Signaturerstellungseinheit. | Rechtlich der handschriftlichen Unterschrift gleichgestellt (§ 126a BGB) |
Die Reihenfolge der Rechtssicherheit lautet also QES vor FES vor EES. Mit eIDAS 2.0 und der geplanten EU Digital Identity Wallet soll der Zugang zur höchsten Stufe für alle EU-Bürger einfacher werden – das Ziel ist eine europaweit einheitliche, sichere digitale Identität.
Wo dir digitale Signaturen im Alltag begegnen
Das Verfahren steckt in deutlich mehr Stellen, als die meisten vermuten:
- PDF-Dokumente: Verträge oder Rechnungen lassen sich rechtssicher signieren, sodass jede spätere Änderung sichtbar wird.
- E-Mails: Mit S/MIME oder PGP signierte Nachrichten zeigen dem Empfänger, dass die Mail echt ist und nicht von einem Phishing-Absender stammt.
- Software und Treiber: Hersteller signieren ihre Programme. Windows warnt, wenn eine Installationsdatei keine gültige Signatur hat – ein wichtiger Schutz vor manipulierten Downloads.
- Updates: Betriebssysteme prüfen die Signatur eines Updates, bevor sie es installieren, damit kein untergeschobener Code durchrutscht.
Hintergrund: typische Denkfehler
Drei Missverständnisse tauchen immer wieder auf. Erstens: „Signiert heißt verschlüsselt.“ Falsch – ein signiertes Dokument kann jeder lesen, die Signatur sichert nur die Echtheit. Zweitens: „Eine eingescannte Unterschrift unter dem PDF ist eine digitale Signatur.“ Auch falsch – das ist nur ein Bild ohne kryptografischen Schutz und entspricht bestenfalls der einfachen Stufe (EES). Drittens: „Der private Schlüssel darf weitergegeben werden, wenn man jemandem vertraut.“ Auf keinen Fall – mit dem privaten Schlüssel kann jeder in deinem Namen signieren. Er gehört auf eine Chipkarte, ein Hardware-Token oder einen geschützten Schlüsselspeicher, niemals in eine E-Mail.
Häufige Fragen
Was ist der Unterschied zwischen digitaler Signatur und Zertifikat?
Die digitale Signatur ist die Rechenoperation, die ein Dokument an Absender und Zeitpunkt bindet. Das Zertifikat ist der elektronische Ausweis, der den öffentlichen Schlüssel mit einer von einer Zertifizierungsstelle geprüften Identität verknüpft.
Ist eine digitale Signatur dasselbe wie Verschlüsselung?
Nein. Eine Signatur schützt vor Fälschung und beweist Echtheit, lässt das Dokument aber im Klartext lesbar. Verschlüsselung sorgt dagegen für Vertraulichkeit. Beides sind getrennte Verfahren, die sich kombinieren lassen.
Welche Schutzziele erfüllt eine digitale Signatur?
Integrität, Authentizität und Nicht-Abstreitbarkeit. Sie macht Änderungen am Dokument erkennbar, weist den Absender nach und verhindert, dass dieser das Signieren später glaubhaft abstreiten kann. Vertraulichkeit deckt sie nicht ab.
Was bedeuten EES, FES und QES bei eIDAS?
Es sind die drei Signaturstufen der EU-Verordnung eIDAS. EES ist einfach und schwach beweiskräftig, FES kryptografisch geschützt, QES ist der handschriftlichen Unterschrift nach Paragraf 126a BGB rechtlich gleichgestellt.
Ist eine eingescannte Unterschrift eine digitale Signatur?
Nein. Ein Bild der Unterschrift im PDF hat keinen kryptografischen Schutz und entspricht höchstens der einfachen elektronischen Signatur. Eine echte digitale Signatur beruht auf Hash, privatem Schlüssel und einem Zertifikat.
