Hinter jeder zuverlässigen digitalen Signatur verbirgt sich ein elektronisches Zertifikat: eine Datei, die eine Identität (eine Person, ein Unternehmen) überprüfbar an einen öffentlichen Schlüssel bindet. Dieses Zertifikat, ausgestellt von einer vertrauenswürdigen Zertifizierungsstelle (CA), ermöglicht es jedem, die Authentizität einer Signatur zu überprüfen und die geringste Änderung des Dokuments zu erkennen. Dieser Leitfaden erklärt, was ein digitales Signaturzertifikat ist, wie die Vertrauenskette funktioniert (PKI, Zertifizierungsstelle, Wurzelzertifikat), was ein eIDAS-qualifiziertes Zertifikat von einem gewöhnlichen Zertifikat unterscheidet, und wie eine Signatur überprüfbar bleibt, selbst nachdem das Zertifikat widerrufen oder abgelaufen ist.
Ein digitales Signaturzertifikat (oder elektronisches Zertifikat) ist eine Datei, die von einer Zertifizierungsstelle ausgestellt wird und einen öffentlichen Schlüssel mit der Identität seines Inhabers verknüpft. In der Praxis wird das Dokument mit seinem privaten Schlüssel versiegelt, wenn ein Unterzeichner seine Signatur anbringt; jeder, der über das entsprechende Zertifikat verfügt, kann dann mit dem darin enthaltenen öffentlichen Schlüssel zwei Dinge überprüfen: dass die Signatur wirklich vom identifizierten Inhaber stammt, und dass das Dokument seit der Unterzeichnung nicht geändert wurde.
Ein Zertifikat entspricht dem X.509-Standard und enthält die Identität des Inhabers, seinen öffentlichen Schlüssel, die Identität der ausstellenden Zertifizierungsstelle, einen Gültigkeitszeitraum und die Signatur der CA, die alles garantiert. Seine Zuverlässigkeit beruht nicht nur auf dem Zertifikat allein, sondern auf der Vertrauenskette, die bis zu einer anerkannten Stammstelle führt. Diese Kette – die PKI (Public Key Infrastructure) – verwandelt eine einfache Datei in einen durchsetzbaren Identitätsnachweis.
Ein Zertifikat funktioniert niemals allein: es ist Teil einer Infrastruktur, deren wesentliche Komponenten hier dargestellt sind.
X.509 ist das Standardformat eines elektronischen Zertifikats. Es beschreibt die Dateistruktur: Seriennummer, Identität des Inhabers (Antragsteller), öffentlicher Schlüssel, Identität des Ausstellers, Gültigkeitsdaten, zulässige Verwendungen und Signatur der CA. Es ist das universelle Format, das für Signaturen, Verschlüsselung und TLS-Zertifikate von Websites verwendet wird.
Eine Zertifizierungsstelle (CA – Certificate Authority) ist eine vertrauenswürdige Organisation, die Zertifikate ausstellt und sich nach Überprüfung für die Identität ihrer Inhaber verbürgt. Qualifizierte CAs werden von nationalen Behörden (in Frankreich die ANSSI) beaufsichtigt und stehen auf der EU-Vertrauensliste. Eine CA kann eine Stamm-, Zwischen- oder ausstellende Stelle sein.
Die PKI (Public Key Infrastructure) ist die Gesamtheit der Hardware, Software, Verfahren und Behörden, die den Lebenszyklus von Zertifikaten verwalten: Ausstellung, Erneuerung, Widerruf, Veröffentlichung. Sie organisiert die Vertrauenskette von der Stammstelle bis zum Zertifikat des Endbenutzers.
Ein qualifiziertes Zertifikat wird von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt, der auf der Vertrauensliste eines EU-Mitgliedstaats eingetragen ist. Es bietet die höchste in Europa anerkannte Gewährleistungsstufe und ist die Voraussetzung für die Ausstellung einer qualifizierten elektronischen Signatur (QES), der einzigen elektronischen Signatur, die rechtlich einer handschriftlichen Signatur gleichwertig ist.
Ein Zertifikat kann vor seinem Ablauf widerrufen werden (Schlüssel gefährdet, Mitarbeiter hat das Unternehmen verlassen, Ausstellungsfehler). Zwei Mechanismen ermöglichen die Überprüfung, dass ein Zertifikat noch gültig ist: die CRL (von der CA veröffentlichte Liste widerrufener Zertifikate) und das OCSP-Protokoll (Echtzeitabfrage des Zertifikatstatus).
Ein Zertifikat ist nur so wertvoll wie das Vertrauen, das der ausstellenden Behörde entgegengebracht wird. Vier Säulen garantieren dieses Vertrauen in Europa.
Jedes Zertifikat wird von einer ausstellenden CA signiert, die selbst von einer zwischengeschalteten CA zertifiziert ist, bis hin zu einer Root-CA, deren Zertifikat selbst signiert und von Betriebssystemen und Browsern anerkannt ist. Die Überprüfung einer Signatur besteht darin, diese Kette bis zu einer vertrauenswürdigen Wurzel zu verfolgen.
Jeder Mitgliedstaat veröffentlicht eine Vertrauensliste (Trusted List), die seine qualifizierten Anbieter und die von ihnen erbrachten Dienste auflistet. Die Europäische Kommission aggregiert diese Listen. Ein Zertifikat, das von einem QTSP ausgestellt wird, der auf dieser Liste aufgeführt ist, wird in der gesamten Europäischen Union vollständig anerkannt.
In Frankreich beaufsichtigt die ANSSI qualifizierte Anbieter und veröffentlicht das Allgemeine Sicherheitsreferenzwerk (RGS), das die Anforderungen an Zertifikate definiert, die in der Kommunikation mit der Verwaltung verwendet werden. Sie erteilt Qualifizierungen, die die Konformität einer CA mit diesen Referenzen bestätigen.
Die europäischen Normen ETSI EN 319 411 definieren die Richtlinien und Sicherheitsanforderungen, die eine Zertifizierungsstelle einhalten muss, um anerkannte Zertifikate auszustellen, unabhängig davon, ob sie qualifiziert sind oder nicht. Nach diesen Normen prüft eine akkreditierte Stelle einen QTSP vor seiner Eintragung in der Trusted List.
Die Stufe des Zertifikats bestimmt die erreichbare Signaturstufe und seinen rechtlichen Wert. Hier sind die sechs Dimensionen, die sie unterscheiden.
| Dimension | Einfaches Zertifikat | Fortgeschrittenes Zertifikat | Qualifiziertes Zertifikat |
|---|---|---|---|
| Aussteller | Jede CA ohne besondere Aufsicht. | CA, die verschärfte Sicherheitsanforderungen erfüllt (ETSI). | Qualifizierter Anbieter (QTSP) in der eIDAS Trusted List eingetragen. |
| Identitätsprüfung | Schwach — oft nur eine einfache E-Mail-Adressvalidierung. | Verstärkte Identitätsprüfung des Kontoinhabers. | Überprüfung vor Ort oder gleichwertig (zertifizierte Videoidentifikation). |
| Zulässige Signaturstufe | Einfache Signatur (SES). | Fortgeschrittene Signatur (AES). | Qualifizierte Signatur (QES). |
| Rechtlicher Wert | Zulässig, aber Beweislast beim Aussteller. | Starke Vermutung der Zuverlässigkeit. | Vollständige Gleichwertigkeit mit handschriftlicher Unterschrift. |
| EU-Anerkennung | Keine harmonisierte Anerkennung. | Unter Bedingungen anerkannt. | Vollständig anerkannt in der gesamten Europäischen Union. |
| Typische Verwendung | Interne Validierung, Empfangsbestätigungen. | Handelsverträge, Personalwesen, Angebote. | Notarielle Urkunden, öffentliche Aufträge, Anwaltsschriftsätze. |
ISO 27001, eIDAS, ETSI… Die Zertifizierungen von Anbietern elektronischer Signaturen sind zu einem unverzichtbaren Auswahlkriterium geworden. Erfahren Sie, wie Sie diese effektiv vergleichen können.
Die PKI ist die kryptographische Grundlage jeder zuverlässigen elektronischen Signatur. Entdecken Sie deren Funktionsweise, ihre Komponenten und ihre Verbindung mit X.509-Zertifikaten und der eIDAS-Verordnung.
Die Verordnung eIDAS 2 stellt neue Anforderungen an Anbieter von Vertrauensdiensten. Entdecken Sie den vollständigen Zertifizierungspfad, um 2026 konform zu bleiben.
Das qualifizierte elektronische Zertifikat ist die Rechtsgrundlage für jede digitale Signatur mit hohem Beweiswert. Entdecken Sie, wie Sie es beschaffen, einführen und 2026 konform bleiben.
Was ist ein elektronisches Zertifikat, wozu dient es und in welchem Zusammenhang steht es mit der digitalen Signatur?
Certyneo stützt sich auf Zertifikate, die von qualifizierten Vertrauensdienstanbietern ausgestellt werden, die in der europäischen Trusted List aufgeführt sind. SES und AES eingeschlossen, QES zu 9,90 €/Urkunde.
Wir verwenden Cookies um Ihr Erlebnis auf unserer Website zu verbessern. Cookies, die für die Funktionalität des Dienstes unbedingt erforderlich sind, sind immer aktiv. Mehr über unsere Cookie-Richtlinie erfahren