Was sind digitale Signaturen?

Wenn bei der Signierung etwas schiefgeht, steht viel auf dem Spiel. Manuelle Prozesse, uneinheitliche Tools und ungeschützte Signaturschlüssel setzen viele Unternehmen dem Risiko von Schlüsseldiebstahl und Angriffen auf die Lieferkette durch „ software “ aus. Jeder dieser Vorfälle untergräbt das Vertrauen, das wir in signierten Code und Dokumente setzen. Dieser Leitfaden erklärt, was digitale Signaturen sind und wie das Signieren tatsächlich funktioniert, geht auf die Probleme ein, die sie lösen, vergleicht die wichtigsten Algorithmusfamilien von RSA bis hin zu postquantenen Algorithmen und behandelt, wie Signaturen innerhalb einer PKI verwendet und in großem Maßstab geschützt werden. Am Ende werden Sie sowohl die Kryptografie als auch die Infrastruktur verstehen, die sie vertrauenswürdig macht.

Was ist eine digitale Signatur?

Eine digitale Signatur ist ein kryptografischer Wert, der die Identität eines Unterzeichners mit einer bestimmten Datenmenge verknüpft. Sie ermöglicht es jedem, zwei Dinge gleichzeitig zu überprüfen: dass die Daten seit ihrer Signierung nicht verändert wurden und wer sie erstellt hat. Diese Kombination aus Integrität und Herkunft macht eine Signatur zu etwas Sinnvollem und nicht nur zu einer rein dekorativen Maßnahme.

Dies unterscheidet sich erheblich von einer einfachen elektronischen Signatur. Ein gescanntes Bild Ihrer Handschrift, ein getippter Name am Ende einer E-Mail oder ein Kontrollkästchen zum Bestätigen der Zustimmung dokumentieren zwar die Absicht, sind jedoch nicht kryptografisch an den Inhalt gebunden. Ändert man ein einziges Wort im Dokument, bleibt eine gescannte Signatur unverändert an Ort und Stelle. Eine (kryptografische) digitale Signatur wird in dem Moment ungültig, in dem die zugrunde liegenden Daten verändert werden – und genau darum geht es.

Das Signieren ist der Vorgang, bei dem dieser kryptografische Wert erzeugt wird. Der Unterzeichner verwendet einen privaten Schlüssel, um eine Signatur für die Daten zu generieren, und jeder, der über den passenden öffentlichen Schlüssel verfügt, kann diese überprüfen. Der Begriff „Signieren“ beschreibt somit den Vorgang, während „digitale Signatur“ das Ergebnis bezeichnet. Beides hängt davon ab, dass der private Schlüssel geheim bleibt, weshalb sich ein Großteil dieses Leitfadens mit dem Schutz von Schlüsseln befasst.

So funktionieren digitale Signaturen: Die Grundlagen

Das Herzstück jeder digitalen Signatur ist ein Schlüsselpaar. Der private Schlüssel signiert, der öffentliche Schlüssel verifiziert. Die beiden Schlüssel sind mathematisch miteinander verknüpft. Der öffentliche Schlüssel wird über einen effizienten Algorithmus aus dem privaten Schlüssel (oder aus dem privaten Startwert) abgeleitet, doch lässt sich der private Schlüssel nicht aus dem öffentlichen ableiten. Der Unterzeichner bewahrt den privaten Schlüssel sorgfältig auf. Gleichzeitig verbreitet der Unterzeichner den öffentlichen Schlüssel frei, oft in Form eines Zertifikats, sodass jeder die vom Unterzeichner erstellten Inhalte überprüfen kann, ohne sie jemals fälschen zu können.

In der Praxis signieren die Unterzeichner selten die Rohdaten selbst. Stattdessen folgen sie dem klassischen „Hash-and-Sign“-Muster: Die Daten werden zunächst durch einen kryptografischen Hash-Algorithmus geleitet – eine Funktion, die einen kurzen Digest fester Länge erzeugt – und anschließend wird dieser Digest signiert. Aus diesem Grund sehen Algorithmusnamen oft so aus wie beispielsweise „SHA256WithRSA“ und „SHA256WithECDSA“, wobei der erste Teil den Hash-Algorithmus und der zweite Teil den Signaturalgorithmus bezeichnet. Die Signatur des kompakten Hashs anstelle einer mehrere Gigabyte großen Binärdatei sorgt dafür, dass der Vorgang schnell und praktikabel bleibt.

Das clientseitige Hashing führt diesen Ansatz noch weiter. Der Hash wird auf dem Client berechnet, sodass große Dateien niemals über das Netzwerk an einen zentralen Signaturdienst übertragen werden müssen. Entwickler können schnell signieren, Teams behalten die Kontrolle über ihre Artefakte, und selbst die komplexesten, groß angelegten Umgebungen bleiben leistungsfähig, da nur ein kleiner Digest an den Signierer übertragen wird.

Dabei gilt stets eine Regel: Private Signaturschlüssel dürfen niemals den sicheren, verschlüsselten Speicher verlassen, auch nicht während des Signiervorgangs. Die sichersten Konzepte generieren und verwenden den Schlüssel innerhalb geschützter hardware, sodass der geheime Wert niemals auf einer Workstation oder einem Build-Server offengelegt wird. Die Signatur wird ausgegeben; der Schlüssel bleibt im Speicher.

Welche Probleme lassen sich mit digitalen Signaturen lösen?

Digitale Signaturen bieten eine Reihe von Vertrauensmerkmalen, die einfache Dateien allein einfach nicht bieten können.

• Integrität.
  Eine Signatur belegt, dass Code, Dokumente oder Firmware weder während der Übertragung noch im Ruhezustand manipuliert wurden. Ändert sich auch nur ein einziges Byte, schlägt die Überprüfung fehl.
• Authentizität.
  Eine Signatur bestätigt, wer unterschrieben hat, und liefert Ihnen somit einen zuverlässigen Nachweis darüber, wer die Nachricht unterzeichnet hat – und nicht nur eine nicht überprüfbare Behauptung.
• Nichtabstreitbarkeit und Nachvollziehbarkeit.
  Detaillierte, signierbare Ereignisprotokolle schaffen einen unwiderlegbaren Nachweis der Signaturaktivitäten, was für die Einhaltung von Vorschriften und die Rückverfolgbarkeit von unschätzbarem Wert ist. Ein Unterzeichner kann eine in einem signierten Protokoll erfasste Aktion vor niemandem leugnen.

Dies sind drei der fünf Säulen der Informationssicherheit, wobei Vertraulichkeit und Verfügbarkeit die beiden herausragenden sind.

Signaturen lösen weitere Probleme aus der Praxis, wie beispielsweise die Gewährleistung der Sicherheit von Lieferketten und den Schutz vor Malware. Die Codesignierung ist ein entscheidender Schritt, um die Verbreitung von Malware zu verhindern und böswillige Akteure in der Lieferkette „ software “ zu blockieren. Ganz gleich, ob Sie Anwendungen ausliefern, Skripte und Container bereitstellen oder Over-the-Air-Updates auf „ IoT “-Geräte übertragen – erst durch die Signatur können Empfänger dem Artefakt vertrauen.

Zusammen erklären diese Eigenschaften, warum digitale Signaturen überall zum Einsatz kommen – von veröffentlichten „ software “ und Container-Basis-Images bis hin zu rechtsgültigen Verträgen und von Behörden ausgestellten elektronischen Ausweisen.

Algorithmenfamilien für digitale Signaturen

Hinter den Kulissen erzeugen mehrere Algorithmenfamilien Signaturen. Das Fachgebiet befindet sich mitten in einem langwierigen Wandel: weg von den klassischen Algorithmen, die das Signieren seit Jahrzehnten sichern, hin zu neuen postquantenresistenten Algorithmen, die dafür ausgelegt sind, zukünftigen Quantencomputern standzuhalten. Wenn man zunächst die klassischen Algorithmenfamilien versteht, lässt sich der Übergang zu den postquantenresistenten Algorithmen viel leichter nachvollziehen.

RSA-Signaturen

RSA ist seit langem der Standard. Es ist seit vielen Jahren die Standardwahl für die Signierung und taucht nach wie vor ständig auf, oft in Form von Hash-und-Signatur-Kombinationen wie SHA256WithRSA. Selbst in Umgebungen, in denen mit neueren Algorithmen signiert wird, spielt RSA häufig weiterhin eine Rolle: Schlüsselwiederherstellungs-Schlüsselpaare beispielsweise basieren oft noch auf RSA mit Schlüsselängen von 1024 oder 2048 Bit. RSA ist zuverlässig und wird universell unterstützt – genau deshalb ist es so fest etabliert.

ECDSA und Signaturen auf der Grundlage elliptischer Kurven

Der Elliptic Curve Digital Signature Algorithm (ECDSA) bietet eine mit RSA vergleichbare Sicherheit bei deutlich kleineren Schlüsseln, was für Geräte mit begrenzten Ressourcen und für Signaturen in großem Umfang attraktiv ist. Im Hinblick auf die langfristige Stabilität werden die am häufigsten verwendeten Kurven empfohlen. Wählen Sie P-256, P-384 oder P-521, sofern keine spezifischen Anforderungen etwas anderes vorschreiben. Implementierungen, die auf „ BouncyCastle “ basieren, unterstützen eine breite Palette benannter Kurven aus den NIST-, SEC-, X9.62- und Brainpool-Familien.

Bei den meisten Implementierungen werden benannte Kurven direkt in Zertifikaten und Anfragen kodiert, was auch der Empfehlung der IETF entspricht. In einigen Fällen sind stattdessen explizite Parameter erforderlich – ein Ansatz, der von der Internationalen Zivilluftfahrt-Organisation (ICAO) für „Country Signing Certificate Authority“ (CSCA)- und „Document Signer“-Zertifikate vorgeschrieben ist, die in elektronischen Reisepässen verwendet werden. Explizite Parameter sollten nur aktiviert werden, wenn sie tatsächlich erforderlich sind, da sie gegen RFC 5280 verstoßen und in einigen REST-API-Abläufen zu Fehlern bei der Registrierung führen können.

EdDSA (Signaturen auf der Edwards-Kurve)

Der Edwards-Curve-Digital-Signature-Algorithmus (EdDSA) verwendet eine Variante der Schnorr-Signatur, die auf verdrehten Edwards-Kurven basiert, und ist in RFC 8032 definiert. Er wurde so konzipiert, dass er schneller ist als bestehende Signaturschemata, ohne dabei Abstriche bei der Sicherheit zu machen, was ihn zu einer beliebten modernen Wahl macht. Die beiden Varianten sind Ed25519 und Ed448, wobei Ed25519 bei weitem am häufigsten unterstützt wird. Die Unterstützung für „ hardware “ hat im Laufe der Zeit aufgeholt, und die meisten getesteten „ hardware “-Module unterstützen Ed25519, während Ed448 nach wie vor weniger verbreitet ist.

Post-Quanten-Signaturalgorithmen

Post-Quanten-Algorithmen entwickeln sich zu einer unverzichtbaren vierten Familie, doch ihre Beschreibung verdient eine ausführlichere Behandlung. Informationen zu den Standards, den operativen Kompromissen und einem konkreten Migrationsbeispiel finden Sie im folgenden Abschnitt zum Thema „Post-Quanten“.

Protokolle und Formate, die digitale Signaturen verwenden

Signaturen stehen selten für sich allein. Sie werden in standardisierte Formate verpackt, damit verschiedene Tools und Plattformen sie einheitlich erstellen und überprüfen können.

• Formate für die Codesignierung.
  Dazu gehören MS Authenticode für Windows-Ausführungsdateien, MSI-Installationsprogramme und PowerShell-Skripte; die Signierung von Java-JAR-Dateien und Android-Anwendungen; die CMS-Signierung; die OpenPGP-Signierung mit clientseitigem Hashing; die Signierung von Debian-Paketen sowie die Signierung von Microsoft AppX-Bundles.
• Signieren von Dokumenten.
  Ähnlich wie bei PKI unterstützt das Signieren von PDF-Dokumenten verschiedene Zertifizierungsstufen (abhängig von den zulässigen Änderungen am Dokument) und ermöglicht das Anfordern und Einbetten von Zeitstempelantworten.Advanced Electronic Signatures(AdES) fürelektronische Identifizierung, Authentifizierung und Vertrauensdienste(eIDAS).
   Die AdES-Familie umfasst PAdES für PDF, CAdES für die Cryptographic Messaging Syntax (CMS) und XAdES für XML.
• Zeitstempelung.
  Zeitstempel entsprechen mehreren IETF-RFCs sowie MS Authenticode. Eine Zeitstempelstelle kann eIDAS-konforme Zeitstempel ausstellen, um nachzuweisen, wann etwas signiert wurde.
• Signatur im elektronischen Reisepass.
  Maschinenlesbare Reisedokumente (MRTD) gemäß ICAO nutzen digitale Signaturen, um die Daten in elektronischen Reisepässen zu sichern.

Wie digitale Signaturen innerhalb einer PKI verwendet werden

Innerhalb einer Public-Key-Infrastruktur (PKI) kommt das Signieren in verschiedenen Rollen zum Tragen. Dieser Abschnitt konzentriert sich auf diese Signaturrollen und nicht auf die Grundlagen der PKI. Wenn Sie sich eingehender mit der PKI befassen möchten, lesen Sie unseren .

Die Signaturschlüssel der Zertifizierungsstelle (CA) bilden den Anker. Das Signaturschlüsselpaar der CA signiert jedes von der CA ausgestellte Zertifikat unter Verwendung des Signaturalgorithmus der CA, unabhängig vom Schlüsseltyp des Zertifikatsinhabers. Eine EdDSA-CA erzeugt beispielsweise EdDSA-Signaturen auf den von ihr ausgestellten Zertifikaten, selbst wenn der Client-Schlüssel RSA oder ECDSA ist.

Die Signierung durch einen OCSP-Responder (Online Certificate Status Protocol) ist eine damit verbundene Funktion. Spezielle OCSP-Signaturschlüsselpaare und -Zertifikate signieren Antworten zum Widerrufsstatus, sodass ein Client, der überprüft, ob ein Zertifikat noch gültig ist, der erhaltenen Antwort vertrauen kann. Dies wird in vielen PKI-Implementierungen verwendet, darunter auch in Teilen der Web-PKI. Die CRL-Signierung dient demselben Zweck in Batch-Form: Zertifikatswiderrufslisten werden selbst signiert. Große CRLs können bei bestimmten Algorithmen praktische Herausforderungen bei der Signierung mit sich bringen – ein Aspekt, der bei postquantenfesten Schemata besonders wichtig wird. Erfahren Sie mehr in unseren speziellen Leitfäden zuCRLundOCSP.

Schließlich wird bei der Zertifikatsausstellung ein öffentlicher Schlüssel in der Regel erst dann an eine Identität gebunden, wenn der Antragsteller nachweist, im Besitz des entsprechenden privaten Schlüssels zu sein, wobei „Besitz“ die Fähigkeit zur Nutzung und nicht die ausschließliche Kontrolle bedeutet. Bei Signaturschlüsseln ist dies nahezu kostenlos: PKCS#10 verlangt, dass der Antrag selbstsigniert ist, und die Zertifizierungsstelle überprüft diese Signatur. Dies war jedoch nie allgemein üblich. Für Schlüsselvereinbarungs- und Schlüsselübertragungsschlüssel waren seit RFC 4210 andere Mechanismen erforderlich, und RSA hat das Problem lediglich verschleiert, indem es zuließ, dass ein reiner Verschlüsselungsschlüssel trotzdem eine gültige Selbstsignatur erzeugen konnte. ML-KEM beseitigt diese Bequemlichkeit. RFC 9810 definiert die Alternativen für KEM-Schlüssel: die Archivierung des privaten Schlüssels, einen indirekten Nachweis, bei dem die Zertifizierungsstelle das Zertifikat verschlüsselt an den Zertifikatsinhaber zurücksendet, oder ein direktes Challenge-Response-Verfahren, wobei „EnvelopedData“ durchgehend den älteren „EncryptedValue“ ersetzt. Signaturinfrastruktur: Sicherung von Schlüsseln und Skalierung der Signatur

Leistungsfähige Algorithmen und Protokolle sind nur die halbe Miete. Die Infrastruktur, die die Schlüssel verwahrt und die Signaturvorgänge ausführt, ist ebenso wichtig.

• Zentralisierte Signatur-Engines.
  Eine einzige Plattform kann zahlreiche Anwendungsfälle, Unterzeichner, Organisationen und Benutzer gleichzeitig unterstützen. Die Zusammenführung verstreuter Signatur-Tools in einer einzigen Engine vereinfacht die Verwaltung, verbessert die Sicherheit und senkt die Kosten, während Entwickler und automatisierte Prozesse weiterhin schnell signieren können.
• HSM-gestützter Schlüsselschutz.
  Signaturschlüssel sollten innerhalb eines FIPS-zertifizierten Hardware-Sicherheitsmoduls ( hardware , HSM) generiert und verwendet werden, damit sie niemals auf Arbeitsstationen oder Build-Servern offengelegt werden. Verschiedene Projektmitglieder oder Systeme können sich authentifizieren und denselben geschützten Schlüssel gemeinsam nutzen, wobei jedoch stets protokolliert wird, wer was signiert hat.
• Code-Signierung als Dienst.
  Leichte Agenten lassen sich direkt in plattformnative Tools wie SignTool, Jarsigner, Cosign und OpenSSL integrieren, sodass die Signierung lokal auf dem Rechner des Entwicklers oder dem Build-Server erfolgt. Große Binärdateien müssen niemals über das Netzwerk an einen zentralen Dienst übertragen werden.
• Richtlinien, Zugriffskontrolle und Authentifizierung.
  Detaillierte Richtlinien legen fest, wer was, wann und mit welchen Tools signieren darf. Die Authentifizierung über SAML, OAuth oder ähnliche Verfahren überprüft Benutzer und Geräte, bevor eine Signierung erfolgt, und rollenbasierte Kontrollen gewährleisten die Einhaltung der Nutzungsvorschriften.
• Nachvollziehbarkeit und Skalierbarkeit.
  Detaillierte, signierbare Ereignisprotokolle liefern unwiderlegbare Nachweise über den Zugriff auf und die Nutzung von Schlüsseln. Dank integrierter Ausfallsicherung, Lastenausgleich und bedarfsgerechter Skalierung bleibt die Signaturfunktion auch bei hohem Transaktionsaufkommen verfügbar.

Post-Quanten-Digitale Signaturen

Post-Quanten-Kryptografie (PQC) ist eine Kryptografie, die der Bedrohung standhält, die ein kryptografisch relevanter Quantencomputer darstellen würde. Ein Quantencomputer, der leistungsfähig genug ist, um Kryptosysteme zu knacken, existiert zwar noch nicht, doch Regierungen und Normungsgremien treiben bereits die Abkehr von der klassischen asymmetrischen Kryptografie voran, wobei das National Institute of Standards and Technology (NIST) die führende Rolle in diesen Bemühungen spielt. Der Grund dafür liegt auf der Hand: Sobald ein ausreichend leistungsfähiger Quantencomputer verfügbar ist, können Algorithmen wie RSA und die Kryptografie auf elliptischen Kurven geknackt werden.

Das NIST hat die Kernalgorithmen standardisiert. Für Signaturen definiert FIPS 204 ML-DSA (abgeleitet von CRYSTALS-Dilithium) und FIPS 205 definiert SLH-DSA (abgeleitet von SPHINCS+); ein weiterer Signaturstandard, FN-DSA (abgeleitet von FALCON), soll folgen. Derzeit läuft ein weiterer Standardisierungsprozess, der darauf abzielt, Signaturkonstruktionen hinzuzufügen, um die zugrunde liegende Mathematik zu diversifizieren und verschiedene Anwendungsfälle abzudecken. Darüber hinaus gibt es zwei zustandsbehaftete, hashbasierte Signaturalgorithmen, LMS und XMSS, die in NIST SP 800-208 standardisiert sind. Sie sind kryptografisch sicher, jedoch in der Anwendung aufwendig, da der private Schlüssel einen Zustand enthält, der sorgfältig gehandhabt werden muss. Die Spezifikation erlaubt keinen Export des privaten Schlüsselmaterials, was einen sicheren Langzeitbetrieb und die Notfallwiederherstellung erheblich erschwert.

Um den Übergang zu überbrücken, kombinieren Hybridschlüssel und -signaturen einen klassischen Schlüssel (RSA, ECDSA oder EdDSA) mit einem postquantenresistenten Schlüssel wie ML-DSA. Ein auf diese Weise geschütztes Zertifikat bleibt vertrauenswürdig, solange mindestens eine der beiden Komponenten gültig ist. Dies ist eine sinnvolle Absicherung während der PQC-Migration, da nicht jeder volles Vertrauen in die Sicherheit der neuen PQC-Algorithmen hat. Da nicht jedes HSM jede Hybridkombination unterstützt, müssen sowohl das Modell als auch die Firmware-Version überprüft werden.

Ein technisches Problem sticht dabei besonders hervor. Viele postquantenische Algorithmen basieren nicht wie die klassischen RSA- und EC-Verfahren auf dem „Hash-and-Sign“-Prinzip, bei denen Hash-Digests verwendet werden, die ausschließlich von der Nachricht abhängen, was sie portabler macht. Das bedeutet, dass bei vielen postquantenischen Konstruktionen die gesamte Nutzlast an die Signaturfunktion gesendet werden muss und nicht nur ein kompakter Hash. Dies kann ein HSM bei der Signierung großer Objekte wie umfangreicher CRLs belasten, da die Datenmenge, die an ein HSM gesendet werden kann, in der Regel begrenzt ist. RFC 9881 begegnet diesem Problem durch die Einführung von „Externalμ-ML-DSA“ als bevorzugtem Verfahren zur Signierung großer Nutzdatenmengen; da die Unterstützung jedoch je nach HSM und Firmware variiert, sind frühzeitige Tests unter Produktionsbedingungen ratsam.

Wenn Sie sich eingehend mit dem gesamten quantenresistenten Ökosystem befassen möchten, lesen Sie unserenumfassenden Leitfaden zur Post-Quanten-Kryptografie.

Wie Keyfactor helfen Keyfactor

KeyfactorDas Signaturportfolio von … ist direkt auf die in diesem Leitfaden beschriebenen Herausforderungen zugeschnitten. SignServer ist eine vielseitige serverseitige Signatur-Engine, die software, Firmware, Container, Dokumente und mehr sicher signiert, während Signum Code-Signing als Service mit einem integrierten HSM und einem schnell einsetzbaren SaaS-Modell bereitstellt.

Beide stellen einen Zusammenhang zwischen den Problemen der Leser und konkreten Lösungen her. Sie

• Signaturschlüssel in FIPS-zertifizierten HSMs zu schützen, damit vertrauliche Daten niemals ungeschützt bleiben,
• die Signaturrichtlinie zentral durchsetzen,
• sich über native Tools und Standardschnittstellen in bestehende DevOps- und Dokumentations-Workflows integrieren lassen, und
• vollständige, signierbare Prüfpfade für jede Signaturaktion führen.
• Diese Kombination wirkt den wichtigsten Risiken im Zusammenhang mit Diebstahl und der Lieferkette, die das Vertrauen untergraben, direkt entgegen.

Zudem sind sie auf kryptografische Flexibilität und Post-Quanten-Tauglichkeit ausgelegt. Die Unterstützung umfasst RSA, ECDSA und EdDSA sowie die Post-Quanten-Signaturalgorithmen ML-DSA und SLH-DSA, dazu clientseitiges Hashing für eine hohe Leistung und bedarfsgerechte Skalierung bei hohen Volumina. So sind Teams in der Lage, bereits heute weiterhin zu signieren und auf Post-Quanten-Signaturen umzusteigen, sobald sie dazu bereit sind.

Keyfactor’s Bouncy Castle ist eine seit langem etablierte Kryptografie-Bibliothek unter open-source , die die Standardwahl für alle Anwendungen im Zusammenhang mit Zertifikaten und Signaturen darstellt. Sie unterstützt im Wesentlichen jeden derzeit verwendeten Signaturalgorithmus, einschließlich der neuen postquantenfesten Verfahren wie ML-DSA und SLH-DSA.