Elektronisch signieren mit dem PDA
© Fraunhofer/Vierthaler & Braun - Die mobile Signierstation kommuniziert drahtlos mit dem PC.
Am 16. April 2002 sorgte ein "Skandalurteil" des Bundesgerichtshofs für Unruhe bei deutschen Kreditkartenunternehmen und Internethändlern. Wenn Kunden bei Internetkäufen bestreiten, Waren bestellt zu haben, müssen künftig nicht mehr die Händler das Ausfallrisiko tragen, sondern die Kreditkartenunternehmen. Dabei geht es um eine Summe von rund 10 Millionen Euro. Und der Missbrauch bei Kaufgeschäften per Telefon oder Internet nimmt zu. Allein im vergangenen Jahr um 13 Prozent. Müssten alle Kunden eine elektronische Signatur benutzen, statt die Kreditkartennummer einzugeben, wäre das Problem gelöst. Bisher weisen die meisten Produkte, die elektronische Signaturen ermöglichen, noch Schwachstellen auf. Aus dem Internet drohen Angriffe auf Daten. Trojanische Pferde oder Viren könnten die Software auf dem PC verändern. Außerdem ist das Handling bisher noch nicht optimal. Mit dem Förderprogramm "VERNET - Sichere und verlässliche Transaktionen in offenen Kommunikationsnetzen" will das Bundesministerium für Wirtschaft und Technologie BMWA das Vertrauen in die neuen Medien stärken. Eines der sieben Projekte ist der Trusted Pocket Signer.
"PCs sind mit zu vielen Sicherheitsrisiken behaftet, wenn es um das Signieren von Dokumenten geht. Die Software für die elektronische Signatur könnte leicht manipuliert werden", erläutert Projektleiter Bruno Struif vom Fraunhofer-Institut für Sichere Telekommunikation SIT in Darmstadt. Zusammen mit Kollegen des Fraunhofer-Instituts für Biomedizinische Technik IBMT und den IT-Sicherheitsfirmen Kobil Systems GmbH und SRC Security Research & Consulting GmbH entwickeln die SIT-Experten deshalb eine mobile Signierstation. Damit lässt sich die elektronische Signatur schnell und missbrauchssicher unter Dokumente setzen.
Der TPS besteht aus einem Taschencomputer und einer Signaturkarte, die in das flache Pocket-Gerät eingesteckt wird. Er basiert komplett auf offenen Standards: Linux, Java und XML. Wegen der verwendeten Java-Engine lassen sich zusätzliche Anwendungen wie Terminplaner auf den TPS laden. Die biometrische Handschrifterkennung bietet Sicherheit und optimalen Benutzerkomfort. Der TPS kommuniziert drahtlos mit PCs, die über eine entsprechende Schnittstelle verfügen.
Für erste Tests haben die Experten Arztpraxen ins Auge gefasst. Mit dem neuen System muss der Arzt vor Beginn der Sprechstunde seine Signaturkarte in den TPS einstecken und einmalig seine PIN eingeben. Will er ein Rezept unterschreiben, klickt er kurz "Signieren" auf dem PC an. Das Dokument wird an den TPS übermittelt und auf dem Display des TPS angezeigt. Anschließend löst der Arzt am TPS einfach durch Eingabe von Unterschrift oder Paraphe die elektronische Signaturerzeugung aus. Das unterschriebene elektronische Rezept wird entweder auf die Patientenkarte geschrieben oder zu einem Server übertragen. Von dort kann es in der Apotheke abgerufen werden. Der Patient erhält einen Beleg. "Die Ärzte profitieren von dieser Lösung gleich mehrfach: Sie werden bei der Behandlung nicht gestört, weil sie Rezepte, Krankschreibungen oder Atteste gegenzeichnen müssen. Sie sehen die Dokumente auf dem PC und signieren auf dem TPS. Wechseln sie das Zimmer, nehmen sie das Gerät mit. Das lästige Karten-Ein- und Ausstecken entfällt. Die Karte wird nur einmal eingesteckt und die PIN nur einmal eingegeben und bleibt den ganzen Tag gültig", fasst Struif die Vorteile zusammen. Ein Missbrauch ist wegen der biometrischen Verriegelung nahezu ausgeschlossen. "Wir gehen davon aus, dass die datentechnische Sicherheit in nicht vernetzten medizinischen Einrichtungen hoch ist. Sonst dürften de jure personenbezogene Daten dort nicht verarbeitet und gespeichert werden", sagt Bertram Bresser von IBMT.
Die mobile Signierstation eignet sich außerdem für Anwaltskanzleien, Notare und Behörden. Struif glaubt, dass der TPS zudem ein wichtiger Schritt auf dem Weg zum sicheren elektronischen Scheck ist. Jeder, der im Internet etwas bestellt oder ersteigert hat, könnte sofort online ein Scheckformular signieren und diesen mit Einlösegarantie seiner Bank an den Anbieter mailen. Für derartige Zahlungsvorgänge sind sichere Signatur-Plattformen unverzichtbar. Zusammen mit der Firma SRC Security Research & Consulting, die als Sicherheitsberater und Gutachter für die deutsche Kreditwirtschaft tätig ist, erarbeiten die Wissenschaftler derzeit auf Basis des Trusted Pocket Signers auch dafür eine sichere Lösung.
Ansprechpartner:
Bruno Struif
Telefon 0 61 51/8 69-2 06
Fax 0 61 51/8 69-2 24
bruno.struif@sit.fraunhofer.de
Levona Eckstein
Telefon 0 61 51/8 69-2 05
Fax 0 61 51/8 69-2 24
Levona.Eckstein@sit.fraunhofer.de
