Authentifizierung des Unterzeichners: Methoden und Herausforderungen

Warum die Authentifizierung entscheidend ist

Die Authentifizierung des Unterzeichners ist das schwächste Glied in der Nachweiskette. Ohne sie ist es unmöglich zu beweisen, wer tatsächlich unterzeichnet hat. Eine moderne Signaturplattform muss mehrere abgestufte Mechanismen bieten.

Verfügbare Methoden

E-Mail-Vertrauen

Der Unterzeichner erhält einen eindeutigen Link an seine E-Mail-Adresse. Nur der Kontoinhaber kann klicken. Einfach und wirksam für die SES.

Restrisiko: E-Mail-Kontodiebstahl. Akzeptabel für Dokumente mit geringem Risiko.

OTP per SMS

Einmaliger Code, der an die Telefonnummer gesendet wird. Kombiniert mit E-Mail = AES.

Restrisiko: SIM-Swapping (selten, aber bekannt für hochwertige Ziele).

OTP per Anwendung

Code, der von einer App generiert wird (Google Authenticator, Authy, Twilio Authy). Sicherer als SMS für hohe Risiken.

Biometrie

Fingerabdruck, Gesichtserkennung. Auf Mobilgeräten verwendet, um das Erlebnis zu verbessern. Nicht auf dem Server gespeichert (DSGVO-Einhaltung).

Persönliches Zertifikat

Kryptographisches Zertifikat, das von einem QTSP ausgestellt und auf einem Gerät gespeichert wird (YubiKey, Smartcard). Erforderlich für die QES.

Video-KYC

Identitätsprüfung per Videokonferenz oder Aufzeichnung. Wird in regulierten Branchen verwendet (Bank, Versicherung).

Nationale digitale Identität

FranceConnect+, itsme (Belgien), SPID (Italien). Von eIDAS auf Stufe „substanziell" anerkannt.

Assurance-Stufen (LoA)

eIDAS definiert drei Stufen:

Stufe | Anforderung | Beispiel

Niedrig | E-Mail oder gleichwertiges | SES

Substanziell | Zwei-Faktor-Authentifizierung | AES (E-Mail + OTP)

Hoch | Strikte Identitätsprüfung | QES, Video-KYC

Abstimmung mit dem Risiko

• Internes Dokument, Bestellung: Niedrige LoA (SES) ausreichend

• Arbeitsvertrag, Mietvertrag, NDA: Substanzielle LoA (AES)

• Notariatsakt, öffentliche Ausschreibung: Hohe LoA (QES)

Häufige Fehler

• SES überall verwenden (untermaßig)

• Authentifizierungen unnötig stapeln (Reibung)

• Verwendete Methoden nicht protokollieren (Beweis geschwächt)

• Zu viele biometrische Daten erfassen (DSGVO)

Schutz vor Angriffen

• Phishing: Unterzeichner schulen, den Absender zu überprüfen

• Man-in-the-Middle: TLS 1.3 obligatorisch

• SIM-Swapping: OTP per App für sehr hohe Risiken

• Deepfake-Video-KYC: Lebenserhaltungskontrollen + Gegenprüfung

Konkretes Beispiel: Neo-Bank

Kontoeröffnungsprozess:

• E-Mail-Vertrauen

• OTP SMS

• Personalausweisupload

• Lebendigkeitsprüfung (Selfie)

• Sanktionsdatenbankabgleich

• AES-Signatur

LoA: substanziell. ACPR-konform. Prozess in 10 Minuten.

Wie Certyneo Ihnen hilft

Certyneo bietet alle gängigen Mechanismen: E-Mail, OTP SMS (über Twilio Verify), Integration qualifizierter Zertifikate für QES, optionales Video-KYC, FranceConnect+-Integration. Jede Methode wird im Audit-Trail protokolliert.

Erfahren Sie mehr über die elektronische Signaturfunktion von Certyneo

FAQ

Ist SMS sicher genug?

Für AES ja. Für sehr hohe Risiken sollten Sie OTP-App oder Biometrie bevorzugen.

Wird die Biometrie gespeichert?

Auf dem Server nein (DSGVO-Einhaltung). Vorlagen bleiben auf dem Gerät.

Können mehrere Methoden kombiniert werden?

Ja, um den Beweis zu stärken.

Wird FranceConnect+ anerkannt?

Ja, auf substanzieller Stufe. Kann AES und QES auslösen.

Was passiert, wenn die OTP abläuft?

Der Unterzeichner kann eine neue anfordern. Anti-Brute-Force-Grenzen sind vorhanden.

Fazit

Eine gute Authentifizierung ist abgestuft, nachverfolgbar und an das Risiko angepasst. Zu viel Authentifizierung erzeugt Reibung; zu wenig schwächt den Beweis. Das Gleichgewicht wird document für Document gefunden.

Probieren Sie Certyneo aus, um Ihre Dokumente online einfach, schnell und sicher zu versenden, zu signieren und zu verfolgen.