Genau hier kommen elektronische Vertrauensdienste und Vertrauensdiensteanbieter ins Spiel.
Was sind elektronische Vertrauensdienste?
Elektronische Vertrauensdienste sorgen für überprüfbares Vertrauen in digitale Transaktionen. Sie unterstützen beispielsweise dabei, digitale Identitäten überprüfbar zu machen, die Herkunft elektronischer Daten nachzuweisen oder nachträgliche Veränderungen an diesen Daten erkennbar zu machen.
Die eIDAS-Verordnung schafft dafür einen gemeinsamen europäischen Rechtsrahmen.
Zu den von eIDAS geregelten Vertrauensdiensten zählen unter anderem:
- elektronische Signaturen,
- elektronische Siegel,
- elektronische Zeitstempel und
- elektronische Zustelldienste.
Was ist ein Vertrauensdiensteanbieter?
Ein Vertrauensdiensteanbieter ist eine natürliche oder juristische Person, die einen oder mehrere elektronische Vertrauensdienste bereitstellt. Das können beispielsweise Dienste für elektronische Signaturen, Siegel, Zeitstempel oder elektronische Zustellungen sein.
Der Anbieter stellt dabei die technischen und organisatorischen Verfahren bereit, die für den jeweiligen Vertrauensdienst erforderlich sind. Je nach Dienst kommen dabei beispielsweise digitale Zertifikate, kryptografische Schlüssel und Verfahren einer Public Key Infrastruktur (PKI) zum Einsatz.
Was ist ein qualifizierter Vertrauensdiensteanbieter?
Neben Vertrauensdiensteanbietern kennt die eIDAS-Verordnung auch qualifizierte Vertrauensdiensteanbieter. Sie erfüllen zusätzliche Anforderungen der Verordnung und erbringen qualifizierte Vertrauensdienste.
Um den qualifizierten Status zu erhalten, muss ein Anbieter nachweisen, dass er die dafür geltenden Anforderungen erfüllt. Dazu gehören unter anderem Vorgaben an Sicherheit, Zuverlässigkeit sowie den Schutz der eingesetzten Systeme und Verfahren. Qualifizierte Vertrauensdiensteanbieter unterliegen außerdem der Aufsicht durch die zuständigen nationalen Stellen; in Deutschland ist das die Bundesnetzagentur (BNetzA).
Dazu gehören beispielsweise qualifizierte elektronische Zeitstempel oder Dienste zur Ausstellung qualifizierter Zertifikate für elektronische Signaturen und elektronische Siegel.
Wie qualifiziert sich ein Vertrauensdiensteanbieter?
Ein Vertrauensdiensteanbieter erhält den qualifizierten Status nicht automatisch. Er muss nachweisen, dass er die besonderen Anforderungen der eIDAS-Verordnung an qualifizierte Vertrauensdiensteanbieter und den jeweiligen Vertrauensdienst erfüllt.
Dazu lässt der Anbieter seine Verfahren und Systeme von einer Konformitätsbewertungsstelle prüfen. Den daraus hervorgehenden Konformitätsbewertungsbericht legt er der zuständigen Aufsichtsstelle vor – der Bundesnetzagentur in Deutschland.2
Erfüllen Anbieter und Vertrauensdienst die vorgeschriebenen Anforderungen, erhält der Vertrauensdienst den qualifizierten Status. Qualifizierte Vertrauensdienste werden in einer nationalen Vertrauensliste, der sogenannten Trusted List, veröffentlicht. So lässt sich überprüfen, welcher Anbieter für welche Vertrauensdienste einen qualifizierten Status besitzt.
Qualifizierte Vertrauensdiensteanbieter überprüfen – aber wie?
Ob ein Anbieter tatsächlich qualifizierte Vertrauensdienste erbringt, lässt sich über die nationalen Vertrauenslisten (Trusted Lists) überprüfen. Diese werden in einem standardisierten, maschinenlesbaren Format bereitgestellt und führen die Vertrauensdiensteanbieter sowie den Status ihrer jeweiligen Vertrauensdienste auf.
In Deutschland veröffentlicht die Bundesnetzagentur die entsprechende Trusted List.
Entscheidend ist dabei nicht nur, ob ein Anbieter in der Liste erscheint. Es sollte auch geprüft werden, für welchen konkreten Vertrauensdienst der qualifizierte Status gilt. Die nationalen Vertrauenslisten der EU-Mitgliedstaaten sind miteinander verbunden. Dadurch lässt sich der qualifizierte Status eines Vertrauensdienstes auch über Landesgrenzen hinweg überprüfen.
DA:VE: Vertrauensdienste langfristig überprüfen
Eine Trusted List zeigt, welche Vertrauensdienste einen qualifizierten Status besitzen.
Doch was passiert, wenn ein qualifizierter Vertrauensdiensteanbieter seinen Betrieb einstellt oder Zertifikate und andere für die Prüfung erforderliche Informationen langfristig nicht mehr verfügbar sind?
Hier setzt DA:VE, das Dauerhafte Verzeichnis für elektronische Vertrauensdienste der Bundesnetzagentur, an. Stellt ein deutscher qualifizierter Vertrauensdiensteanbieter seinen Betrieb ein, stellt DA:VE weiterhin die für die Prüfung erforderlichen Auskünfte bereit. Bereits erstellte qualifizierte elektronische Signaturen, Siegel und Zeitstempel können dadurch weiterhin auf ihre Gültigkeit geprüft werden.
Trusted List & DA:VE erfüllen unterschiedliche Aufgaben
Die beiden Verzeichnisse sollte man deshalb nicht miteinander verwechseln:
- Trusted List: Welcher Anbieter besitzt aktuell für welchen Vertrauensdienst einen qualifizierten Status?
- DA:VE: Wie lassen sich Vertrauensinformationen langfristig verfügbar und überprüfbar halten?
Vertrauensdiensteanbieter schaffen damit eine wichtige Grundlage für nachvollziehbare und überprüfbare digitale Transaktionen. eIDAS gibt dafür den europäischen Rechtsrahmen vor, qualifizierte Vertrauensdienste erfüllen zusätzliche Anforderungen. Trusted Lists machen ihren Status transparent und DA:VE sorgt dafür, dass qualifizierte elektronische Signaturen, Siegel und Zeitstempel auch langfristig überprüfbar bleiben können.
