Glossar Vertrauensdienstegesetz

Vertrauensdienstegesetz

Das Vertrauensdienstegesetz

Das Vertrauensdienstegesetz (VDG) bildet den rechtlichen Rahmen für elektronische Signaturen, Siegel und andere Vertrauensdienste in Deutschland. In der Schweiz übernimmt dies das ZertES.

Laut einer Marktanalyse von Mordor Intelligence wird die Marktgröße für digitale Signaturen im Jahr 2024 auf 10,18 Milliarden US-Dollar geschätzt. Bis 2029 wird mit einem jährlichen Wachstum von 30,88 % gerechnet. Der Trend ist deutlich: Unternehmen wechseln zunehmend zu sichereren digitalen Signaturen.

Was besagt das Vertrauensdienstegesetz?

Das Vertrauensdienstegesetz ergänzt die europäische eIDAS-Verordnung (EU) Nr. 910/2014 und setzt deren Vorgaben auf deutscher Ebene um. Damit löste es seinen Vorgänger, das Signaturgesetz (SigG), ab und schuf einen neuen rechtlichen Rahmen für elektronische Vertrauensdienste. Das Vertrauensdienstegesetz trat am 29. Juli 2017 in Deutschland in Kraft.

Konkret regelt das VDG folgende Aspekte:

• Es definiert die Anforderungen an qualifizierte elektronische Signaturen, Siegel und Zeitstempel.
• Es legt die Voraussetzungen für die Anerkennung von Vertrauensdiensteanbietern fest.
• Es bestimmt die Rechtsfolgen der Verwendung elektronischer Vertrauensdienste.
• Es regelt die Haftung von Vertrauensdiensteanbietern.
  
  

Was ist das ZertES?

Das ZertES ist das Schweizer Bundesgesetz über Zertifizierungsdienste im Bereich elektronischer Signaturen. Es regelt:

• Die elektronische Signatur
• Das elektronische Siegel
• Den elektronischen Zeitstempel

Beim ZertES handelt es sich um das Schweizer Pendant zur eIDAS-Verordnung. Da aber nicht alle Punkte übereinstimmen, ist beispielsweise eine elektronische Signatur nach ZertES nicht automatisch in der EU rechtsgültig. Genauso wird eine E-Signatur nach der eIDAS-Verordnung nicht unbedingt in der Schweiz akzeptiert.

Was war das Signaturgesetz?

Das Signaturgesetz (SigG) war der Vorläufer des heutigen Vertrauensdienstegesetzes. Es regelte erstmals die rechtliche Anerkennung und Verwendung elektronischer Signaturen in Deutschland.

Der Bundestag verabschiedete das SigG am 22. Juli 1997. Es trat im August desselben Jahres in Kraft. Im Laufe seiner Geltungsdauer wurde das Gesetz mehrfach angepasst. Eine wesentliche Novellierung erfolgte im Jahr 2001. Nach 20 Jahren wurde das SigG schließlich 2017 durch das Vertrauensdienstegesetz abgelöst.

Hauptzweck des Signaturgesetzes war es, eine rechtliche Basis für die Digitalisierung von Prozessen zu schaffen, die zuvor eine handschriftliche Unterschrift erforderten. Das SigG trug zur Modernisierung der Geschäftsprozesse bei und förderte die Entwicklung neuer digitaler Dienstleistungen. Es legte damit die Grundlage für die heutige digitale Infrastruktur in Wirtschaft und Verwaltung.

Der Zusammenhang zwischen dem deutschen Vertrauensdienstegesetz VDG und eIDAS

Das deutsche Vertrauensdienstegesetz (VDG) und die europäische eIDAS-Verordnung sowie das Schweizer ZertES regeln gemeinsam die Nutzung digitaler Identitäten und elektronischer Transaktionen in Deutschland, der Schweiz und der Europäischen Union. Die eIDAS-Verordnung legt den EU-weiten Rahmen fest, das VDG die nationale Umsetzung in Deutschland, und das ZertES die Umsetzung in der Schweiz. In Österreich gibt es beispielsweise ebenfalls ein eigenes, auf der eIDAS-Verordnung basierendes, nationales Gesetz für die Anwendung elektronischer Signaturen und Vertrauensdienste: das Bundesgesetz über elektronische Signaturen.

Die eIDAS-Verordnung trat 2014 in Kraft und gilt seit 2016. Sie regelt:

• Elektronische Signaturen und Siegel
• Elektronische Identifizierung
• Elektronische Zeitstempel
• Dienste für elektronische Einschreiben
• Zertifikate für Website-Authentifizierung

Das Vertrauensdienstegesetz und elektronische Signaturen

Das Vertrauensdienstegesetz (VDG) definiert in Deutschland verschiedene Stufen elektronischer Signaturen. Es unterscheidet 3 Hauptlevel:

1. Die einfache elektronische Signatur.
2. Die fortgeschrittene elektronische Signatur.
3. Die qualifizierte elektronische Signatur.

Die Stufen passen sich an die jeweiligen Sicherheitsanforderungen an.

Einfache elektronische Signatur

Die einfache elektronische Signatur stellt die grundlegendste Form dar. Sie umfasst jede Art von elektronischen Daten, die einem Dokument beigefügt oder logisch mit ihm verknüpft sind und zur Authentifizierung dienen.

Beispiele hierfür sind eine eingescannte Unterschrift in einer E-Mail oder der Name unter einer E-Mail. Diese Signaturform bietet das geringste Maß an Sicherheit und rechtlicher Verbindlichkeit. Sie findet hauptsächlich bei alltäglichen, formlosen elektronischen Kommunikationen Anwendung

Fortgeschrittene elektronische Signatur

Die fortgeschrittene elektronische Signatur erfüllt höhere Sicherheitsanforderungen. Sie muss laut VDG folgende Kriterien erfüllen:

• Eindeutige Zuordnung zum Unterzeichner
• Identifizierungsmöglichkeit des Unterzeichners
• Erstellung mit Mitteln, die der Unterzeichner unter seiner alleinigen Kontrolle halten kann
• Verknüpfung mit den Daten so, dass nachträgliche Änderungen erkennbar sind

Diese Signaturform bietet eine erhöhte Sicherheit und findet Anwendung in Bereichen, die eine zuverlässigere Authentifizierung erfordern, ohne die höchste Stufe der Rechtssicherheit zu benötigen.

Beispiele dafür sind:

• Unterzeichnung von Arbeitsverträgen in Unternehmen
• Abschluss von Versicherungsverträgen online
• Digitale Unterschrift bei Mietverträgen
• Elektronische Unterschrift bei Kreditanträgen bei Banken
  
  

Qualifizierte elektronische Signatur

Die qualifizierte elektronische Signatur stellt die höchste Sicherheitsstufe dar. Sie erfüllt alle Anforderungen der fortgeschrittenen Signatur und zusätzlich:

• basiert sie auf einem qualifizierten Zertifikat für elektronische Signaturen.
• wird sie mittels einer qualifizierten elektronischen Signaturerstellungseinheit erstellt. 

Das VDG legt fest, dass die qualifizierte elektronische Signatur die gleiche Rechtswirkung wie eine handschriftliche Unterschrift hat. Sie kommt bei besonders sensiblen oder rechtlich bindenden Dokumenten zum Einsatz, bei denen höchste Sicherheit und Nachweisbarkeit erforderlich sind.

Beispiele dafür sind:

• Unterzeichnung von notariellen Urkunden
• Abschluss von Verträgen im öffentlichen Dienst
• Digitale Signatur bei Gerichtsdokumenten
• Unterzeichnung von Patentanmeldungen
• Abschluss von Verträgen mit hohem finanziellen Volumen im B2B-Bereich
• Elektronische Unterschrift bei medizinischen Dokumenten, die höchste Vertraulichkeit erfordern
  
  

Was ist ein Signaturzertifikat?

Ein Signaturzertifikat ist ein elektronisches Dokument, das die Identität des Inhabers einer elektronischen Signatur bestätigt. Es dient als digitaler Ausweis und ist ein wesentlicher Bestandteil der Infrastruktur für elektronische Signaturen.

• Es wird von einer vertrauenswürdigen Stelle, einem sogenannten Zertifizierungsdiensteanbieter oder Trust Service Provider (TSP), ausgestellt.
• Das Zertifikat enthält Informationen wie den Namen des Inhabers, den öffentlichen Schlüssel, das Ausstellungsdatum und die Gültigkeitsdauer.
• Das Zertifikat selbst ist vom Aussteller digital signiert, um seine Echtheit zu gewährleisten.
• Es wird bei der Erstellung einer elektronischen Signatur eingesetzt, um die Identität des Unterzeichners zu verifizieren.
• Die Ausstellung und Verwendung von Signaturzertifikaten wird durch das Vertrauensdienstegesetz und die eIDAS- bzw. ZertES-Verordnung geregelt.

So wird das Vertrauensdienstegesetz angewendet

Das Vertrauensdienstegesetz (VDG) findet seine praktische Anwendung hauptsächlich in Signaturprozessen. Die Umsetzung erfolgt in mehreren Schritten:

1. Ein Signaturzertifikat kann nur von einem Trust Service Provider (TSP) ausgestellt werden. Es muss also zunächst ein zugelassener Trust Service Provider (TSP) ausgewählt werden, beziehungsweise wird der User in der Regel vom Vertragspartner direkt an einen TSP verwiesen.
   
   
2. Eine fortgeschrittene als auch eine qualifizierte Signatur erfordert eine Identifikation. Die Identifikation bei Trust Service Providern wird in der Regel über Identity Proofing Service Provider abgewickelt. Lösungen wie PXL Ident for QES können auf den Plattformen der TSPs integriert werden, um den Endkundinnen und Endkunden die zertifizierte Identifikation zu ermöglichen.
   
   
3. Nachdem dieses Verfahren abgeschlossen ist, kann der eigentliche Signaturprozess durchgeführt werden. Wobei der Vorgang des Signierens keine echte Unterschrift ist, sondern eher eine Willensbekundung in Form einer Bestätigung. Am Ende erhält der User das signierte Dokument mit allen Zertifikaten. Das Dokument ist nun unveränderbar und verschlüsselt. Je nach Einstellung wird auch ein Prüfbericht mitgeschickt.