Digitale Unterschriften nutzen üblicherweise die sogenannte asymmetrische Verschlüsselung. Hierbei wird ein Paar aus zwei Codeschlüsseln erzeugt, mit denen beliebige Daten ver- und entschlüsselt werden können. Das Besondere an diesen Codeschlüsseln: Jede Nachricht, die mit einem der beiden Schlüssel verschlüsselt wurde, kann nur mit dem jeweils anderen Schlüssel wieder entschlüsselt werden. Dies funktioniert in beide Richtungen. Es werden somit nacheinander immer beide Schlüssel benötigt, um eine Nachricht erst zu ver- und dann wieder zu entschlüsseln. Diese Besonderheit der asymmetrischen Verschlüsselung macht sich die digitale Unterschrift zunutze. So wird beim Erzeugen einer digitalen Unterschrift ebenfalls ein solches asymmetrisches Schlüsselpaar erstellt. Dabei ist einer der beiden Schlüssel, der „private Schlüssel“, im digitalen Zertifikat enthalten und wird in das E-Mail-Programm übernommen. Der andere Schlüssel verbleibt als „öffentlicher Schlüssel“ bei der Zertifizierungsstelle und wird zusammen mit dem Namen des:der Schlüsselinhaber:in auf einem Schlüsselserver im Internet veröffentlicht.
Verschlüsselt nun eine Person eine E-Mail mit ihrem privaten Schlüssel, kann diese Nachricht nur mithilfe des zugehörigen öffentlichen Schlüssels wieder entschlüsselt werden. Funktioniert also die Entschlüsselung einer E-Mail mit einem öffentlichen Schlüssel, ist damit auch nachgewiesen, dass die E-Mail tatsächlich von der entsprechenden Person stammt.
Hier dient die Verschlüsselung also nicht dem Verstecken der Nachrichteninhalte, sondern allein zum Identitätsnachweis für den:die Absender:in. Daher wird die eigentliche Nachricht auf dem Transportweg meist noch einmal zusätzlich mit einem weiteren Algorithmus per symmetrischer Verschlüsselung kryptographiert. Zu den bekanntesten Zertifizierungsverfahren gehören PGP („Pretty Good Privacy“) und S/MIME („Secure/Multipurpose Internet Mail Extensions“). Beide basieren auf einer asymmetrischen Authentifizierung und einer nachfolgenden symmetrischen Verschlüsselung für den eigentlichen E-Mail-Inhalt. Bei der Authentifizierung neuer Schlüsselinhaber arbeiten einige Dienste wie PGP und OpenPGP mit einem Vertrauensnetzwerk, einem sogenannten „Web of Trust“. Dabei kennen sich die Teilnehmer:innen untereinander persönlich und stellen sich gegenseitig die Schlüsselpaare aus.
Da Cyberkriminelle mittlerweile mehrere Web-of-Trust-Verfahren kompromittiert haben und gefälschte Nutzerzertifikate im Darknet verfügbar sind, gelten andere Verfahren als sicherer. So verlangen viele Zertifizierungssysteme erst die Vorlage eines Identitätsnachweises, bevor sie einen persönlichen Schlüssel ausstellen.
Um einen eigenen S/MIME-Schlüssel zu erstellen, brauchen Sie in der Regel ein Zertifikat einer S/MIME-Zertifizierungsstelle. Zertifikate für gewerbliche Nutzer sind üblicherweise kostenpflichtig. Mit entsprechenden technischen Spezialkenntnissen können Sie ein Zertifikat auch selbst erstellen.
Qualifizierte elektronische Signatur
Die Europäische Union hat bestimmte Zertifizierungsverfahren für digitale nach der eIDAS-Richtlinie zertifiziert. Die so erzeugten digitalen Unterschriften erfüllen den höchsten Sicherheitsstandard einer „qualifizierten elektronische Signatur“ (QES). Das bedeutet, dass sie rechtlich einer händischen Unterschrift gleichgestellt sind.
Solche Verfahren kommen beispielsweise beim Online-Banking zum Einsatz; aber üblicherweise nicht in E-Mail-Programmen, da sie deutlich aufwändiger sind. Grundsätzlich gibt es aber auch von S/MIME inzwischen bei einigen Anbietern ein Subformat namens S/MIME QES, das die Anforderungen an eine QES erfüllt und entsprechend teurer ist.
