Erläuternder Bericht

allerdings nicht das gleiche Zertifikat für beide Anwendungen, weil sonst Angriffe durch Dritte und somit Missbräuche möglich wären. Die einschlägige Wirtschaft wünscht sich daher schon lange auch für bestimmte Fälle der Authentifikation ein vom Staat geregeltes Zertifikat, das durch seinen offiziellen Charakter und eine geregelte Qualität eine Art «Vertrauens-Anker» und damit zusätzliche Sicherheit in die Verhältnisse bringen könnte.

Das bisherige qualifizierte Zertifikat ist dafür prädestiniert, für elektronische Signaturen, insbesondere die qualifizierte elektronische Signatur mit ihren besonderen Wirkungen, eingesetzt zu werden. Aus technischen Gründen, bzw. weil sonst gewisse Angriffe gegen die sichere Signierung geöffnet würden, wird es aber auch auf die Verwendung für die elektronische Signatur eingeschränkt.

Das neue, leicht weniger anspruchsvolle Zertifikat, das geregelte Zertifikat, soll – als Typus – dieser Spezialisierung nicht unterliegen. Dieser Typ von Zertifikat lässt sich aus rechtlicher Sicht sowohl für elektronische Signaturen aller Art wie auch für die Authentifikation oder auch andere Sicherheits-Anwendungen wie das SSL-Zertifikat verwenden.

Gesetzgebungstechnisch werden daher neu alle Formulierungen, die bisher auf die Anwendung des Zertifikats für die Signatur ausgerichtet waren, anwendungs-neutral formuliert. So wird z.B. nicht mehr von Signatur- oder Signaturprüfschlüssel gesprochen, sondern von öffentlichen und privaten kryptografischen Schlüsseln.

Dabei ist zu beachten, dass mit diesen neuen, offeneren Formulierungen für das qualifizierte Zertifikat, das nur zu Signatur-Zwecken eingesetzt wird, sich materiell nichts ändert.

1.3.4 Zeitstempel als obligatorischer Bestandteil der elektronischen Signatur

In den letzten Jahren wurde in der einschlägigen Branche mehrfach die Forderung laut, die qualifizierte elektronische Signatur obligatorisch mit einem sicheren Zeitstempel anzureichern. Ein Zeitstempel signiert die Quersumme einer Datei zusammen mit einer offiziellen Zeit, womit – sofern der Zeitstempel vertrauenswürdig ist – bewiesen werden kann, dass eine bestimmte Datei zu einem bestimmten Zeitpunkt existierte, bzw. dass eine Signatur zu einem bestimmten Zeitpunkt erstellt worden ist. Ohne Zeitstempel hat der Zeitpunkt bzw. das Datum einer Signatur streng genommen nur den Wert einer unbestätigten Behauptung. Gewisse Angriffe, bzw. Betrugsszenarien lassen sich nur mit der Integration eines Zeitstempels in die elektronische Signatur verhindern. Im Hinblick auf diesen Sachverhalt sind schon heute nach Artikel 12 des geltenden ZertES die anerkannten Anbieterinnen von Zertifizierungsdienstleistungen verpflichtet, einen Zeitstempel-Dienst anzubieten.

Heutige Signatur-Programme bieten normalerweise die Integration eines Zeitstempels in die Signatur an. Meist kann diese Variante auch als Standard-Vorgabe eingestellt werden.

Für die Einbettung eines Zeitstempels in die elektronische Signatur muss man zum Zeitpunkt des Signierens mit dem Internet verbunden sein. Dies war zum Entstehungszeitpunkt des heutigen ZertES ganz klar noch eine zu hohe Hürde. Als Beispiel dafür wurde oft der Notar genannt, der anlässlich einer Gründungsversammlung vor Ort Statuten oder Protokolle mit seiner Unterschrift beglaubigen sollte. Inzwischen ist diese Bedingung wesentlich einfacher einzuhalten, in wenigen Jahren dürfte sie in fast jeder Situation selbstverständlich erfüllt sein.

Im Rahmen der Revisionsarbeiten zum Gesetz wurden drei Ansätze für eine Einbindung von Zeitstempeln geprüft:

1. Zu einer qualifizierten elektronischen Signatur gehört per definitionem zwingend der Zeit-

stempel einer anerkannten Anbieterin von Zertifizierungsdiensten.

2. Es werden zwei Subtypen von qualifizierten elektronischen Signaturen vorgesehen, einer

mit und der andere ohne Zeitstempel.