Digitale Signatur

Einsatz der elektronischen Signatur für Testierer bei der Hinterlegung der Vollständigkeitserklärung

Worum geht es?
Die am 5. April 2008 in Kraft getretene 5. Novelle der Verpackungsverordnung verpflichtet die betroffenen Hersteller und Vertreiber ihre Vollständigkeitserklärung (VE) in elektronischer Form bei der zuständigen IHK zu hinterlegen. Die entsprechende VE-Prüfbescheinigung muss vom Testierer mit einer qualifizierten elektronischen Signatur versehen werden.
Wer darf testieren?
Als Testierer können öffentlich bestellte und vereidigte Sachverständige, Wirtschaftsprüfer, Steuerberater, vereidigte Buchprüfer oder DAU-Umweltgutachter tätig werden. Sie benötigen dazu eine individuelle Signaturausstattung. Die Hersteller und Vertreiber, die eine VE abgeben müssen, benötigen dagegen keine elektronische Signatur.
Wie ist der Ablauf im Rahmen der VerpackV?
  • Das VE-pflichtige Unternehmen meldet sich bei der Internetplattform (http://www.ihk-ve-register.de) an und gibt die geforderten Daten ein. Aus den Angaben generiert das System eine VE-Prüfbescheinigung als PDF-Datei.
  • Das Unternehmen stellt diese PDF-Datei dem Testierer elektronisch zu Verfügung.
  • Der Testierer prüft die Richtigkeit der Daten und bestätigt diese mit seiner qualifizierten elektronischen Signatur.
  • Der Testierer stellt die signierte VE-Prüfbescheinigung dem Unternehmen elektronisch zur Verfügung.
  • Das Unternehmen gibt die VE dadurch verbindlich ab, indem es sie in die Datenbank lädt. Die Gültigkeit der Signatur wird automatisch verifiziert.
Wie funktioniert die qualifizierte elektronische Signatur?
Beim elektronischen Unterschreiben benutzt der Testierer eine persönliche Signaturchipkarte. Darüber hinaus benötigt er ein Kartenlesegerät, das extern an den PC angeschlossen wird, sowie eine Anwendungssoftware zum Signieren von Daten. Innerhalb dieser Anwendungssoftware wählt der Testierer den Befehl „Signieren”, steckt seine Karte in das Lesegerät und tippt den zur Karte gehörigen PIN-Code am Lesegerät ein. Danach kann er die signierte Datei z. B. als E-Mail-Anhang versenden.

Welche Signaturausstattung benötigen die Testierer?
Die benötigte Signaturausstattung setzt sich aus drei Komponenten zusammen:
  • Individuelle Signaturchipkarte eines signaturgesetzkonformen Trustcenters. Die Karte ist nicht übertragbar und muss persönlich beantragt werden. Anbieter sind z. B. D-TRUST, S-TRUST, Signtrust, TC Trustcenter, Telesec.
  • Chipkartenlesegerät mit eigener Tastatur und PC-SC oder CT-API-Schnittstelle. Geeignete Produkte sind z. B. Reiner SCT cyberJack Pinpad, Reiner SCT cyberJack e-com, SCM Chipdrive Pinpad, Kobil KAAN advanced, Kobil KAAN professional.
  • Software zum qualifizierten Signieren von Dateien nach PKCS7-Standard. Geeignete Produkte sind z. B. SecSigner 5.0 oder OPENLiMiT SignCubes Basiskomponente 2.1.
Eine Liste aller signaturgesetzkonformen Trustcenter, Kartenlesegeräte und Signaturanwendungskomponenten ist auf der Website der Bundesnetzagentur einsehbar (http://www.bundesnetzagentur.de).
Wie ist die qualifizierte elektronische Signatur zu bekommen?
Zur Beantragung wird ein gültiges Pass- oder Ausweisdokument benötigt. Im Rahmen der VE ist es für die Testierer nicht erforderlich, eine berufsrechtliche Zulassung (z. B. als Rechtsanwalt) oder die Firmenzugehörigkeit in ihr Signaturzertifikat aufnehmen zu lassen. Sofern diese Angaben trotzdem aufgenommen werden sollen, sind sie allerdings offiziell nachzuweisen.
Zum qualifizierten Signieren von Dateien nach PKCS#7-Standard stehen u. a. folgende Softwareprodukte zur Verfügung:
  • SecSigner der SecCommerce Informationssysteme GmbH (https://seccommerce.com/signatur-tools-fuer-endanwender/)
  • digiSeal® office der secrypt GmbH (https://www.secrypt.de/produkte/digiseal-office/)
  • OpenLimit CC Sign der OpenLimit SignCubes GmbH (https://www.openlimit.com/de/produkte/cc-sign.html)

+++ WICHTIG +++
Die D-Trust GmbH hat begonnen neue Karten mit einem neuen Betriebssystem (D-TRUST Card 3.1) den Neukunden auszustellen. Diese Karten werden derzeit durch den im VE-Register eingebundenen Kryptographieadapter (ProGov-SAK) noch nicht unterstützt. Nach dem Hochladen der Signaturdatei durch das VE-pflichtige Unternehmen erscheint die Meldung „Fehler bei der OCSP Prüfung, das Ausstellerzertifikat des OCSP Zertifikats konnte nicht gefunden werden.“. Die Signatur wird daraufhin in den Zwischenspeicher (Quarantäne) für eine spätere Prüfung abgelegt.

An einem Update, der die Kompatibilität zu den neuen D-Trust-Karten herstellen wird, wird derzeit durch den Hersteller der Prüfkomponente gearbeitet. Informationen ab wann dieses dann im VE-Register implementiert werden kann, liegen aktuell noch nicht vor. Sobald dieses zur Verfügung steht, werden die Signaturen und die Vollständigkeitserklärungen zur Sichtung an die jeweils zuständige IHK weiter geleitet. In der Zwischenzeit können wir leider nur um Geduld bitten. Alternativ bietet die D-Trust allen Kunden weiterhin an, die Karten auf Nachfrage auf dem bestehenden Kartenbetriebssystem (3.0) auszustellen. Diese können ohne Einschränkungen eingesetzt werden.