Was ist ein QTSP und wie wählt man einen aus?

Team Signhost

December 2, 2024

Copy

Die Europäische Digitale Identität: Ein Projekt für die Zukunft der Kommunikation, des Handels und der Identitätsüberprüfung

Die Europäische Digitale Identität ist ein Projekt, das die Europäische Union (EU) ins Leben gerufen hat, um den Kontinent auf die Zukunft der Kommunikation, des Handels und der Identitätsüberprüfung vorzubereiten. Durch die Aktualisierung der eIDAS-Verordnung mit der Europäischen Digitalen Identitätsverordnung, bekannt als eIDAS 2, strebt die EU an, gleiche Wettbewerbsbedingungen für Identifikation und Authentifizierung in allen Mitgliedstaaten zu schaffen.

Hier kommt der Erfolg der qualifizierten Vertrauensdiensteanbieter (QTSPs) von eIDAS 2 ins Spiel. Sie sind autorisiert, die sichersten Vertrauensdienste wie elektronische Signaturen und elektronische Siegel zu ermöglichen. Die Sicherheit, die QTSPs bieten, wird der Union helfen, die persönlichen Daten ihrer Bürger zu schützen und es ihnen zu erleichtern, Bankkonten zu eröffnen, Autos zu mieten und mit Unternehmen in der gesamten EU zusammenzuarbeiten. Wie die Union erklärt:

Ihre persönlichen Daten erzählen Ihre Lebensgeschichte; Sie sollten die Kontrolle darüber haben und entscheiden, wann und mit wem Ihre Daten geteilt werden.

Was ist ein qualifizierter Vertrauensdiensteanbieter (QTSP)?

Ein qualifizierter Vertrauensdiensteanbieter (QTSP) ist eine Einrichtung, die befugt ist, die sichersten digitalen Vertrauensdienste zu erstellen, zu validieren und zu überprüfen. Dazu gehören:

Elektronische Signaturen
Elektronische Siegel
Zeitstempel

Im Gegensatz zu regulären Vertrauensdiensteanbietern müssen qualifizierte Anbieter eine Konformitätsbewertung durchlaufen, um ihren Status zu erreichen. Dadurch können sie das höchste Maß an Sicherheit und Vertrauen in digitalen Interaktionen bieten. Aus diesem Grund sind QTSPs beispielsweise autorisiert, Qualifizierte Elektronische Signaturen (QES) auszustellen, die im EU-Recht den gleichen Status wie handschriftliche Signaturen haben.

QTSPs werden durch die eIDAS- und eIDAS-2-Verordnungen überwacht, um die Sicherheit, Integrität und Authentizität elektronischer Transaktionen und Kommunikationen sicherzustellen. Sie erreichen dies durch strenge Identitätsprüfungen, die Einhaltung hoher Sicherheitsstandards und regelmäßige Audits durch Aufsichtsbehörden.

Warum brauchen Sie einen QTSP?

Mit der Einführung der Europäischen Digitalen Identität wird es immer wichtiger, dass Unternehmen mit einem QTSP zusammenarbeiten. Hier sind einige Gründe, warum es für Ihre Organisation entscheidend ist, einen QTSP zu finden:

Erhöhte digitale Sicherheit: QTSPs bieten fortschrittliche Verschlüsselung, sichere digitale Signaturen und elektronische Siegel, um sicherzustellen, dass Ihre digitalen Kommunikationen und Transaktionen vor Identitätsdiebstahl, unbefugtem Zugriff und Manipulation geschützt sind.
Rechtliche Konformität: QTSPs stellen sicher, dass Ihr Unternehmen die strengen Anforderungen für Vertrauensdienste erfüllt. Die vollständige Einhaltung von eIDAS und eIDAS 2 erfordert auch die Verwendung qualifizierter Geräte zur Signaturerstellung sowie die Einhaltung sicherer Verfahren gemäß den Vorschriften.
Vertrauenswürdige Interaktionen: Geschäftspartner und Kunden können sicher mit Ihnen interagieren, dank der starken digitalen Identifikationsprozesse eines QTSP.
Robuster Datenschutz: Die umfassenden Datenschutzmaßnahmen von QTSPs helfen Ihnen, die GDPR-Vorgaben einzuhalten und bieten allen Beteiligten ein gutes Gefühl der Sicherheit.
Pan-europäische Anforderungen: Die Vertrauensdienste von QTSPs erfüllen pan-europäische Anforderungen und sorgen so für Interoperabilität, die es Ihnen ermöglicht, sicher und vertrauensvoll in der gesamten EU Geschäfte zu tätigen.

Arten von Diensten, die von QTSPs angeboten werden

Hier sind die Hauptdienste, die ein QTSP bereitstellen kann:

Dienst	Erklärung
Elektronische Signaturen	Ein digitales Kennzeichen auf einem Dokument, das die Zustimmung zu dessen Inhalt anzeigt. Es gibt drei Stufen elektronischer Signaturen unter eIDAS: SES, AES und QES. QES bietet das höchste Sicherheitsniveau und kann nur von einem QTSP bereitgestellt werden.
Elektronische Siegel	Das digitale Äquivalent eines Firmenstempels, das die Integrität und Herkunft elektronischer Dokumente sicherstellt. Es überprüft, dass sie seit der Versiegelung nicht verändert wurden.
Zeitstempel	Digitale Aufzeichnungen, die bestätigen, wann ein bestimmtes elektronisches Dokument oder eine Transaktion erstellt oder unterzeichnet wurde. Sie bieten einen unveränderbaren Nachweis von Datum und Uhrzeit.
Website-Authentifizierungszertifikate	Dazu gehören qualifizierte Website-Authentifizierungszertifikate (QWAC). Sie beweisen, dass eine Website sicher ist und schützen Nutzer vor betrügerischen Websites.
Elektronische Ledger	Eine sichere und unveränderliche Methode zur Aufzeichnung finanzieller Transaktionen und Daten, die Transparenz und Rückverfolgbarkeit gewährleistet.
Archivierungsdienste	Sie helfen Unternehmen, elektronische Dokumente sicher zu speichern und dabei deren Integrität, Authentizität und Zugänglichkeit für die Zukunft sicherzustellen.

So wählen Sie den richtigen qualifizierten Vertrauensdiensteanbieter (QTSP) für Ihr Unternehmen

Überprüfen Sie den Zertifizierungs- und Akkreditierungsstatus

Aufgrund der strengen Anforderungen der EU-Verordnungen müssen QTSPs hohe Standards erfüllen, um akkreditiert zu werden und Vertrauensdienste anzubieten. Dazu gehört die Antragstellung bei der nationalen Regulierungsbehörde, damit das Unternehmen geprüft und bewertet werden kann. Nach erfolgreicher Prüfung erteilt die Behörde eine Lizenz und fügt den QTSP zur EU/EWR-Vertrauensliste hinzu.

Wenn Sie nach einem QTSP suchen, überprüfen Sie, ob er auf dieser Liste aufgeführt ist und ob seine Lizenz aktuell und gültig ist. Jedes Land verfügt über eine Konformitätsbewertungsstelle (CAB), die regelmäßige Audits bei QTSPs durchführt, um sicherzustellen, dass sie weiterhin effektive und sichere Dienstleistungen anbieten.

Beurteilen Sie die Sicherheits- und Verschlüsselungstechnologien

Prüfen Sie die Sicherheitsmerkmale des QTSP-Angebots. Verfügt der Anbieter über die notwendigen Sicherheitsvorkehrungen, und erfüllt er die Standards, die für Ihre Geschäftsprozesse erforderlich sind?

Um beispielsweise QWACs, QESs und qualifizierte elektronische Siegel auszustellen, muss der QTSP ein qualifiziertes Signaturerstellungsgerät (QSCD) verwenden. Fragen Sie potenzielle QTSPs, ob sie diesen Qualifikationsprozess abgeschlossen haben.

Erkundigen Sie sich auch nach Sicherheitszertifizierungen wie der ISO/IEC 27001-Norm, die Anforderungen für die Einrichtung, Umsetzung und kontinuierliche Verbesserung eines Informationssicherheitsmanagementsystems definiert. Diese Zertifizierung zeigt, dass der QTSP hohe digitale Sicherheitsstandards erfüllt.

Berücksichtigen Sie geografische und rechtliche Abdeckung

Überprüfen Sie, in welchen Ländern Sie tätig sein werden, und stellen Sie sicher, dass der QTSP die dortigen gesetzlichen Anforderungen erfüllt. Ziel von eIDAS 2 ist es, die Interoperabilität von Vertrauensdiensten in der gesamten EU zu verbessern, sodass beispielsweise eine gültige QES in Polen auch in Italien anerkannt wird.

Allerdings sind nicht alle QES gleichwertig. 2021 hätte ein Schweizer Zughersteller beinahe einen Vertrag über 3 Milliarden Euro mit der österreichischen Bahn verloren, weil die Schweizer QES leicht von der EU-Version abweicht und daher in der EU nicht rechtsgültig ist. Dies unterstreicht, wie wichtig es ist, mit einem QTSP zusammenzuarbeiten, der mehrere Rechtsgebiete abdeckt und den entsprechenden Vorschriften entspricht.

Überprüfen Sie die angebotenen Dienstleistungen und Skalierbarkeit

Nicht alle QTSPs bieten das volle Spektrum an Vertrauensdiensten an, was bedeutet, dass sie möglicherweise nicht alle Ihre Anforderungen erfüllen können. Stellen Sie sicher, dass der von Ihnen gewählte Partner die Dienste anbietet, die Ihr Unternehmen benötigt. Sie können dies über den EU Trust Service Browser überprüfen oder die Website des Unternehmens besuchen.

Berücksichtigen Sie auch, ob der QTSP in der Lage ist, Ihre zukünftigen Skalierungsbedürfnisse zu unterstützen. Falls nicht, müssen Sie möglicherweise später einen neuen QTSP suchen.

Analysieren Sie die Integrationsfähigkeit

Viele QTSPs verlangen, dass Sie Kunden zu einem Webportal oder einer separaten App weiterleiten, um Authentifizierung oder Validierung durchzuführen. Möglicherweise möchten Sie jedoch eine Lösung, die nahtlos in Ihr bestehendes System integriert werden kann, um den Prozess zu vereinfachen.

Prüfen Sie außerdem, ob die Lösung mit bereits verwendeter Drittanbietersoftware wie Salesforce kompatibel ist. Dies kann die Effizienz für Ihre Mitarbeiter erheblich verbessern.

Vergleichen Sie Preise und Vertragsbedingungen

Vergleichen Sie die Preisstrukturen der verschiedenen QTSPs. Berücksichtigen Sie neben den Kosten für Ihre aktuellen Bedürfnisse auch, wie sich die Preise entwickeln, wenn Sie Ihr Unternehmen erweitern und zusätzliche Dienste benötigen.

Überprüfen Sie den Vertrag des QTSPs, um sicherzustellen, dass er Ihnen alles bietet, was Sie benötigen, um qualifizierte Vertrauensdienste effektiv zu nutzen. Der Vertrag sollte auch die Sicherheitsverpflichtungen des QTSPs, Maßnahmen zur Einhaltung der Vorschriften sowie Bedingungen zur Kündigung und Vertragsbeendigung enthalten.

Bewerten Sie den Kundenservice und Support

Wie bei jedem Technologieprojekt ist es wichtig zu wissen, ob der QTSP Ihnen hilft, das Produkt optimal zu implementieren und zu nutzen. Dazu gehören erfahrene und verfügbare Kundenbetreuer sowie ein Support-Portal, das Ihnen Antworten auf häufige Fragen bietet.

Die Verfügbarkeit solcher Ressourcen kann Ihnen Sicherheit geben, dass Sie Ausfallzeiten minimieren und mögliche Einnahmeverluste begrenzen.

Häufig gestellte Fragen (FAQ)

Wie können Sie überprüfen, ob ein Anbieter ein qualifizierter Vertrauensdiensteanbieter ist?
Der EU Trust Service Browser ist ein zentrales Verzeichnis für Vertrauensdiensteanbieter. Suchen Sie dort nach dem Anbieter. Wenn er ein qualifizierter Vertrauensdiensteanbieter ist, wird er auf dieser Liste geführt.

Wie können Sie sicherstellen, dass Ihr QTSP den aktuellen Vorschriften entspricht?
QTSPs werden regelmäßig geprüft, um sicherzustellen, dass sie die neuesten Vorschriften einhalten und die erforderlichen Dienste anbieten. Wenn ein QTSP die Compliance-Anforderungen nicht erfüllt, wird er entweder von der Vertrauensdiensteliste entfernt oder als inaktiv markiert.

Welche ersten Schritte sollte ein Unternehmen unternehmen, um QTSP-Dienste zu implementieren?
Ein Unternehmen sollte zunächst festlegen, welche Dienste es seinen Kunden anbieten möchte. Anschließend sollte es einen QTSP auswählen, der diese Anforderungen erfüllt, und Preisstruktur, Reputation und Arbeitsweise prüfen. Viele Anbieter bieten kostenlose Testphasen an, um besser beurteilen zu können, ob sie zu Ihrem Unternehmen passen.

Fazit

Die Zusammenarbeit mit einem QTSP ist unerlässlich für Unternehmen, die digitale Authentifizierung und Verifizierung anbieten möchten. Dies ermöglicht es, Prozesse online statt auf Papier durchzuführen, was kosteneffizienter und umweltfreundlicher ist – unterstützt durch starke Sicherheitsmaßnahmen.

Partnern Sie mit Entrust Signhost für rechtskonforme elektronische Signaturen und digitale Identifikationsdienste, die nahtlos in Ihre bestehenden Arbeitsabläufe integriert werden können. Kontaktieren Sie uns für weitere Informationen.

Referenzen und weiterführende Informationen:

Ist eine E-Signatur rechtsverbindlich?
So signieren Sie ein PDF rechtsgültig
Elektronisches Siegel oder Unterschrift?
Wie erstelle ich eine gültige elektronische Signatur?
Technologien zur Kundenauthentifizierung

*Haftungsausschluss: Dieser Inhalt stellt keine Rechtsberatung dar. Die Eignung, Durchsetzbarkeit oder Zulässigkeit elektronischer Dokumente hängt von vielen Faktoren ab, wie dem Land oder Bundesstaat, in dem Sie tätig sind, sowie der Art des elektronischen Dokuments. Ziehen Sie geeigneten Rechtsbeistand hinzu, um potenzielle rechtliche Auswirkungen zu prüfen.