Die Stadt Iserlohn setzt im externen Mailverkehr die elektronische Signatur und bei Bedarf auch die elektronische Verschlüsselung ein. Sie erhalten in dieser Zusammenstellung Informationen zu folgenden Fragen:

Es ist notwendig geworden, ein elektronisches Äquivalent zur manuellen Unterschrift zu schaffen. Immer häufiger fällt in diesem Zusammenhang der Begriff "elektronische Signatur".

Als elektronische Signatur wird die Verknüpfung von elektronischen Daten mit einem privaten (personifizierten) Schlüssel bezeichnet. Dadurch wird die Identität des Signierenden und die Integrität der signierten Daten gewährleistet. Die Gewährleistung dieser Eigenschaften beruht auf einem komplexen mathematischen Verfahren.

Es kann die Situation entstehen, dass sich die an einer elektronischen Transaktion beteiligten Kommunikationspartner nicht kennen. In diesem Fall können diese sich nicht sicher sein, dass der jeweilige Partner auch tatsächlich die Person ist, für die er sich ausgibt.

Ebenfalls ist nicht sichergestellt, dass die übertragenen Daten beim Empfänger in der Form ankommen, in der sie vom Sender verschickt worden sind.

Hier hilft die elektronische Signatur weiter. Sie ist das elektronische Äquivalent einer eigenhändigen Unterschrift und garantiert die Identität eines Anwenders. Sie ermöglicht darüber hinaus die sichere Authentifizierung aller an einer elektronischen Transaktion beteiligten Kommunikationspartner.

Zusätzlich kann mithilfe der elektronischen Signatur auch die Integrität der übertragenen Daten garantiert werden, da etwaige Datenmanipulationen für die Kommunikationspartner ersichtlich werden.

Das Verfahren basiert auf der Verwendung zweier unterschiedlicher elektronischer Schlüssel (Signaturschlüsselpaar): dem privaten Schlüssel (Private Key bzw. Signaturschlüssel) und dem öffentlichen Schlüssel (Public Key bzw. Signaturprüfschlüssel). Der öffentliche Schlüssel wird mit einem Zertifikat verknüpft, das bestimmte Angaben zum Inhaber enthält. Die bei der Erstellung des Schlüsselpaares verwendete mathematische Funktion stellt sicher, dass der private Schlüssel auch dann nicht berechnet werden kann, wenn der öffentliche Schlüssel bekannt ist.

Mit dem privaten Schlüssel können Dateien elektronisch unterschrieben werden. Dazu wird von dem zu signierenden elektronischen Dokument mittels einer mathematischen Funktion (sog. Hash-Funktion) eine Prüfsumme fester Länge, genannt Hash-Wert, ermittelt. Bei unverändertem Inhalt des Dokumentes führt die Hash-Wert-Berechnung immer zum selben Ergebnis. Dieser wird mithilfe des Private Key verschlüsselt und zusammen mit dem Zertifikat des Unterschreibenden sowie dem Ursprungsdokument verbunden. Sie bilden gemeinsam das elektronisch unterschriebene Dokument.

Zur Prüfung der Unterschrift des Dokumentes benötigt man den mitgelieferten Public Key. Durch ihn wird die verschlüsselte Prüfsumme entschlüsselt. Aus dem elektronischen Ursprungsdokument wird unabhängig davon noch einmal ein Hash-Wert ermittelt. Nun vergleicht Ihr Mail-Programm bzw. Ihr Internet-Browser die beiden Hash-Werte. Stimmen sie nicht überein, ist das vorliegende Dokument (z.B. während des Transportes) verändert worden und stimmt nicht mehr mit dem Ursprungsdokument überein. Ansonsten kann man davon ausgehen, dass die Person, welcher der öffentliche Schlüssel gehört, auch unterschrieben hat.

Setzen Sie bei Ihrem Mail-Programm oder Ihrem Internet-Browser noch eine ältere Version ein, kann es sein, dass die o.g. Prüffunktionen nicht zur Verfügung stehen. Dann müssen Sie selbst entscheiden, ob Sie dem Absender des so signierten Dokumentes vertrauen.

Elektronische Signaturen haben zwei wichtige Eigenschaften: Zum einen sichern sie die Identität des Signierenden und zum anderen die Integrität der zwischen Sender und Empfänger übertragenen elektronischen Daten.

Sie können sich beim Empfang von elektronisch signierten Daten also sicher sein, dass Ihr Kommunikationspartner auch tatsächlich die Person ist, für die er sich ausgibt und dass die zwischen Ihnen und Ihrem Kommunikationspartner übertragenen Daten auf dem Weg durch das Internet nicht unbefugt verändert worden sind.

Elektronische Signaturen stellen die technische Grundlage für eine sichere und rechtsverbindliche Durchführung von elektronischen Transaktionen dar. In der qualifizierten Form hat die elektronische Signatur im Rechtsgeschäft die gleiche rechtsverbindliche Wirkung wie Ihre Unterschrift. Dabei ist die elektronische Signatur noch genauer und fälschungssicherer als eine manuelle Unterschrift.

Mit Inkrafttreten des "Gesetzes über Rahmenbedingungen für elektronische Signaturen und zur Änderung weiterer Vorschriften", bekannt auch als Signaturgesetz (SigG) wird zwischen vier Formen der elektronischen Signatur unterschieden:

1. Einfache Signatur
Die einfache Signatur lässt keine überprüfbaren Rückschlüsse auf die Identität des Verfassers und auf die Integrität der Daten zu. Deshalb ist sie in der Praxis nicht relevant.

2. Fortgeschrittene Signatur
Die fortgeschrittene elektronische Signatur ermöglicht die Identifizierung des Signaturschlüssel-Inhabers. Diese Identität wird durch einen Dritten (z.B. ein Trustcenter) in einem Zertifikat bescheinigt. Das Zertifikat enthält den öffentlichen Schlüssel des Unterzeichnenden und weitere Angaben, wie den Namen des Unterschreibenden und den Gültigkeitszeitraum des Schlüsselpaares. Diese Art der Signatur setzt die Stadt Iserlohn für alle abgehenden Mails ein.

3. Qualifizierte Signatur
Die qualifizierte elektronische Signatur ist eine Signaturart, bei der wie bei der fortgeschrittenen Signatur die eindeutige Zuordnung zum Signaturschlüssel-Inhaber gegeben ist. Ebenfalls ist die Überprüfung der Gültigkeit des Zertifikates möglich. Das Zertifikat enthült den öffentlichen Schlüssel des Unterzeichnenden und weitere Angaben, wie den Namen des Unterschreibenden und den Gültigkeitszeitraum des Schlüsselpaares. Im Unterschied zur einfachen und fortgeschrittenen Signatur erfolgt die Signaturerzeugung nicht am PC selber, sondern über eine sichere Signaturerstellungseinheit, i. d. R. einem Chipkartenleser mit PIN-Eingabe und einer Signaturkarte. Die qualifizierte elektronische Signatur hat im Rechtsgeschäft die gleiche rechtsverbindliche Wirkung wie die eigenhändige Unterschrift.

4. Qualifizierte Signatur mit Anbieter Akkreditierung
Die qualifizierte elektronische Signatur mit Anbieter Akkreditierung ist technisch identisch mit der qualifizierten elektronischen Signatur. Jedoch hat der Zertifizierungsdiensteanbieter sein eigenes Zertifikat von der Regulierungsbehörde für Telekommunikation und Post (RegTP) beurkunden lassen. Im Unterschied zur qualifizierten elektronischen Signatur müssen diese Signaturen u. a. nicht nur zwei Jahre sondern mindestens 30 Jahre überprüfbar sein.

Es wurde ein Zertifikat benutzt, das nicht mehr gültig ist oder der Aussteller des Zertifikats ist Ihrer E-Mail-Applikation nicht als vertrauensvoll bekannt. Das heißt, die entsprechenden Root-Zertifikate sind nicht in Ihrem Browser installiert.
Kann dies ausgeschlossen werden, bleibt als wahrscheinliche Ursache nur eine Veränderung der E-Mail während der Übertragung.
Dies kann verschiedene Ursachen haben: entweder wurde die Mail auf dem Übertragungsweg bewusst manipuliert. Es kann aber auch sein, dass eine der beteiligten E-Mail-Applikationen z.B. einen Zeilenumbruch einfügt oder ein Sonderzeichen geändert darstellt. Setzen Sie sich im Zweifel mit dem Absender der E-Mail in Verbindung.

Die elektronische Verschlüsselung gewährleistet die Vertraulichkeit der übertragenen Daten. Sie stellt sicher, dass die Daten tatsächlich nur von den dafür vorgesehenen Kommunikationspartnern eingesehen werden können.
Um die eingeschränkte Sicherheit einer unverschlüsselten E-Mail-Übertragung zu veranschaulichen, ein Vergleich mit einer normalen Postbeförderung: In diesem Fall hätte eine E-Mail etwa dieselben Sicherheitseigenschaften wie eine mit Bleistift beschriebene Postkarte. Diese ist auf dem Weg vom Absender zum Empfänger von jedermann lesbar und manipulierbar.

Mithilfe der elektronischen Verschlüsselung kann dieser Mangel behoben werden. In Kombination mit elektronischer Signatur wird eine insgesamt hochsichere elektronische Kommunikation ermöglicht.

Die elektronische Verschlüsselung stellt sicher, dass die E-Mail-Inhalte auch tatsächlich nur für diejenigen sichtbar werden, für die diese Informationen bestimmt sind.

Die traditionelle Art ist die symmetrische Verschlüsselung: Derselbe Schlüssel zum Ver- und Entschlüsseln wird zwischen bekannten Kommunikationspartnern ausgetauscht.

Die zuverlässigere Form ist die asymmetrische Verschlüsselung, die über ein Schlüsselpaar erfolgt. Die Schlüssel zum Ver-und Entschlüsseln sind verschieden, aber mathematisch verwandt:

    ein Schlüssel - der sog. public key - für das Verschlüsseln einer Nachricht,
    ein anderer - der sog. private key - für das Entschlüsseln.

Der öffentliche Schlüssel sollte frei verfügbar sein, z.B. durch Veröffentlichung auf der Website. Der Absender einer Nachricht kann diese nun mit dem öffentlichen Schlüssel des Empfängers verschlüsseln. Die Kenntnis des öffentlichen Schlüssels allein reicht aber nicht aus, um die Nachricht wieder zu entschlüsseln. Der Empfänger entschlüsselt die Nachricht mit dem nur ihm bekannten geheimen Schlüssel.

Zertifikate sind ein wesentlicher Bestandteil einer Public-Key-Infrastruktur und ermöglichen es, das altbekannte Konzept der Unterschrift auf elektronische Daten zu übertragen. Eine elektronische Unterschrift, die digitale Signatur, wird erst durch das zugehörige Zertifikat überprüfbar.

Zertifikate enthalten im wesentlichen:
- den öffentlichen Schlüssel (public key) des Besitzers
- den eindeutigen Namen des Besitzers
- einen Gültigkeitszeitraum
- die elektronische Unterschrift (digitale Signatur)
- einen Verwendungszweck

Anwendungsprogramme (Mail-Programme bzw. Internet-Browser) sollten bei der Überprüfung eines Zertifikats die gesamte zugehörige Kette von Zertifikaten überprüfen. Wenn es dabei zu Fehlern, Lücken oder Widersprüchen kommt, sollten alle Anwendungsprogramme eine entsprechende Warnung geben.

Ruft man eine verschlüsselte Website über einen Link auf, der mit https:// beginnt (verschlüsselte Verbindung, im Gegensatz zur http-Verbindung), darf es keine Warnmeldung geben. Gibt es dennoch eine Warnmeldung, sollte man deren Ursache klären, denn es könnte sich um einen Betrugsversuch handeln. Fragen Sie ggf. bei dem Anbieter der Website oder Ihrem zuständigen Systemadministrator nach.

In den gängigen Webbrowsern findet sich am unteren Fensterrand ein Schloss-Symbol. Über dieses Symbol erhalten Sie weitere Informationen zur verschlüsselten Verbindung und den Zertifikaten.

Während die Gültigkeit eines Zertifikats klar überprüfbar ist, hängt das Vertrauen in ein Zertifikat auch vom weiteren Umfeld ab.

Der wichtigste Punkt dabei ist, ob die ausstellende Zertifizierungsstelle vertrauenswürdig und sicher arbeitet. Es gibt in Deutschland keine staatliche Einrichtung, die solche Zertifikate ausstellt. Es sind also private und/oder kommerzielle Einrichtungen, die z.T. gegen eine Gebühr solche Zertifikate ausstellen.

Die Vertrauenswürdigkeit einer Zertifizierungsstelle kann nach den organisatorischen und technischen Maßnahmen beurteilt werden, die zum Betrieb der Zertifizierungsinstanz getroffen wurden. Je höher der Aufwand, desto vertrauenswürdiger sind die Zertifikate. Jede Zertifizierungsinstanz sollte schriftlich die Regeln festlegen, nach denen die Zertifikate ausgegeben werden. Die Zertifikate, mit denen die Stadt Iserlohn arbeitet, sind von der Firma TC TrustCenter GmbH ausgestellt.

Ein anderer wichtiger Punkt ist der sichere Betrieb des Servers. Zu jedem Zertifikat gehört ein privater Schlüssel, der sicher vor unbefugtem Zugriff geschützt werden muss. Gelangt der private Schlüssel in falsche Hände, ist das Zertifikat nicht mehr vertrauenswürdig.

Für diese Fälle ist ein Verfahren mit so genannten Sperrlisten vorgesehen, die alle Zertifikate enthalten, die nicht mehr vertrauenswürdig sind. Im Idealfall überprüfen die Anwendungsprogramme wie z.B. die Browser diese Listen vor jeder verschlüsselten Verbindung.

Damit ein Zertifikat überprüft werden kann, enthält dieses einen Verweis auf das Zertifikat der Zertifizierungsstelle, die das Zertifikat ausgestellt hat. Technisch gesprochen handelt es sich bei diesen Verweisen um eine digitale Signatur (Unterschrift) der Zertifizierungsstelle. Die Anwendungsprogramme können mit dem Zertifikat der Zertifizierungsstelle die Gültigkeit eines Zertifikates überprüfen.

Aus technischen oder organisatorischen Gründen kann es sein, dass das Zertifikat einer Zertifizierungsinstanz seinerseits wieder einen Verweis auf ein Zertifikat einer übergeordneten Zertifizierungsinstanz enthält.

Auf diese Weise hat man eine Kette oder eine Hierarchie von Zertifikaten, die überprüft werden müssen, um die Gültigkeit eines Zertifikats zu überprüfen.

Am oberen Ende der Hierarchie bzw. Kette von Zertifikaten steht ein Wurzelzertifikat (top-level certificate). Wurzelzertifikate werden von keiner anderen Zertifizierungsinstanz ausgestellt und enthalten keinen nachprüfbaren Verweis auf ein anderes Zertifikat. Die Zertifizierungsinstanz "unterschreibt" vielmehr ihr eigenes Zertifikat. Man nennt diese Zertifikate auch selbst-signiert.

Wurzelzertifikate müssen in den Anwendungsprogrammen (z.B. in Ihrem Browser) installiert sein, damit die Anwendungsprogramme die Hierarchie/Kette von Zertifikaten überprüfen können.

Die meisten Anwendungsprogramme bringen bereits vorintegrierte Wurzelzertifikate für kommerzielle Zertifizierungsinstanzen mit.

Wurzelzertifikate sollten Sie allerdings nur dann importieren/installieren, wenn Sie der entsprechenden Zertifizierungsinstanz vertrauen. Bei den vorintegrierten Wurzelzertifikaten haben Sie diese Entscheidungsfreiheit nicht mehr.

Hinweise zur Installation von Zertifikaten finden Sie in den Online-Hilfen des von Ihnen genutzten Browsers.

Die Stadt Iserlohn setzt zur Absicherung des allgemeinen Mailverkehrs ein sog. Class3-Zertifikat der Firma Sectigo ein.

Der mit dem Zertifikat verbundene öffentliche Schlüssel der Stadt Iserlohn steht hier zum Download bereit.

Das Sectigo Rootzertifikat steht hier zum Download bereit.

Das Sectigo Zwischenzertifikat steht hier zum Download bereit.