Handy-Signatur

Die Handy-Signatur ist in Österreich eine Technologie zur rechtsgültigen elektronischen Unterschrift mit dem Mobiltelefon (mobile Signatur/Mobile-ID). Die Handy-Signatur ist der qualifizierten elektronischen Signatur gleichgestellt und wird im Rahmen des österreichischen E-Governments bei der Bürgerkarte als Äquivalent zur eigenhändigen Unterschrift behandelt. Mit der technischen Betreuung der Handy-Signatur wurde A-Trust beauftragt, eine Firma, die als Kooperation österreichischer Kammern und Banken tätig ist.

Am 5. Dezember 2023 wird die Handy-Signatur durch die „ID Austria“ abgelöst. Neben der bisherigen Unterschrifts- und Identitätsnachweisfunktion dient die ID Austria auch als digitale Ausweisplattform, z. B. für den digitalen Führerschein oder den digitalen Altersnachweis. Die ID Austria kann in zwei Funktionsstufen genutzt werden:

• Die ID Austria mit Basisfunktion (auch: ID Austria Basic) entspricht der Handy-Signatur. Das Zwei-Faktor-Authentisierungsverfahren via SMS-TAN sowie das Nutzen eines einfachen Mobiltelefons bleiben dabei weiterhin möglich. Die ID Austria mit Basisfunktion kann allerdings nicht verlängert werden.
• Die ID Austria mit Vollfunktion bietet erweiterte Fähigkeiten wie die digitale Ausweisplattform. Für den digitalen Ausweis sind ein nicht-entsperrtes Smartphone mit Internetzugang und die Mobile App „Digitales Amt“ nötig, weiters muss das Smartphone mit Fingerabdrucksensor oder Gesichtserkennung ausgestattet sein und bestimmte Betriebssystemversionen erfüllen. Die App „Digitales Amt“ lässt sich nicht auf Smartphones mit freien Betriebssystemen wie LineageOS bzw. nicht auf Mobilgeräten, die dem Benutzer am eigenen Gerät einen Root-Zugang ermöglichen, verwenden. Es ist für die Installation der App zwingend ein Google- bzw. Apple-Konto nötig. SMS-TAN wird bei der ID Austria mit Vollfunktion nicht mehr unterstützt, dafür besteht bei Verzicht auf die Mobile App die Möglichkeit zur Nutzung eines FIDO2-Tokens mit der Zertifizierungsstufe 2. Herkömmliche FIDO2-Token wie der YubiKey 5 sind allerdings nur mit Stufe 1 zertifiziert und lassen sich nicht mit der ID Austria mit Vollfunktion nutzen.

Die Gültigkeitsdauer der von Handy-Signatur und ID Austria im Hintergrund genutzten digitalen Zertifikate beträgt für österreichische Staatsbürger fünf Jahre. Um deren Nutzbarkeit aufrechtzuerhalten, müssen Handy-Signatur bzw. ID Austria jeweils vor Ablauf der Gültigkeit online verlängert werden; ansonsten ist eine persönliche Neuregistrierung bei einer Registrierungsstelle nötig.

Funktionsweise und Sicherheit

Die Handy-Signatur ist als Umsetzung des Konzepts Bürgerkarte eine qualifizierte elektronische Signatur im Sinne der EU-Richtlinie 1999/93/EG, und damit sowohl ein gültiger amtlicher Ausweis als auch rechtswirksam der Unterschrift im Sinne des § 886 ABGB gleichgestellt. Die Funktion ermöglicht beispielsweise den passwortgeschützten Zugang zu Einrichtungen der öffentlichen Verwaltung. Auch das Signieren von PDF-Dateien, elektronischen Dokumenten nach dem System der Firma Adobe, die heute allgemeiner Standard sind, ist so möglich.

Man loggt sich bei einer Webanwendung mit Telefonnummer und einem Passwort ein, bekommt dann eine Transaktionsnummer (TAN) als SMS von A-Trust zugesendet, mit der man seine Identität bestätigt. Die TAN ist ein Einmalcode, der für fünf Minuten gültig ist. Mit dieser TAN bestätigt man das Einloggen.

Der Vorzug dieser Signierungsmethode gegenüber einer Chipkarte (etwa der e-card der Krankenversicherung) als Bürgerkarte ist, dass das Vorhandensein eines Chipkartenlesers respektive Installation einer speziellen Software am Computer entfällt.

Zentraler Nachteil mobiler Signierung im Allgemeinen gegenüber einer Chipkarte dürfte aber im Alltagsleben liegen. Während man amtliche Ausweise sonst gewohnheitsmäßig sicher verwahrt, ist das Handy ein Alltagsgegenstand, der in vielfältigsten Lebenssituationen verwendet wird. Präziser ist nicht das Handy als Gerät aktiviert, sondern die Mobiltelefonnummer, die beim SMS-Dienst-Betreiber hinterlegt ist. Diese wird ebenfalls allgemein weitergegeben. Daher gewinnt das Passwort eine besonders hohe Bedeutung. Wer Zugriff auf das registrierte Mobiltelefon (exakter: dessen SIM-Karte mit registrierter Telefonnummer) und gleichzeitig das Signatur-Passwort erlangt, kann im Namen des Besitzers rechtsgültige Verträge schließen. Der Besitz des Handys ist eine der grundlegenden Authentifizierungskriterien im System als Bürgerkarte (Personenbindung der elektronischen Signatur im Sinne des § 4 Abs. 2 E-Government-Gesetz). Daher sollte das Passwort – als zweite Instanz der Personenbindung, Faktor „Wissen“ – keinesfalls auf dem Handy selbst gespeichert sein.

Bei Abhandenkommen des Handys reicht jedenfalls eine Benachrichtigung, die Nummer zu sperren. Dazu steht eine Hotline bei A-Trust zur Verfügung. Problematischer zu sehen ist Malware auf dem Handy, daher sind eigene Schutzmaßnahmen auf dem Handy (wie vom Computer bekannt: Sichere Konfiguration, Sicherheitsupdates, Firewalls und Virenscanner, Umsicht bei Downloads und Installationen, und ähnliches) wichtig.

Von den drei derzeit etablierten Technologien der mobilen Signatur, der Lösung mit einem Kryptographiemodul auf der SIM-Karte oder auf einer microSD-Karte, wie auch einer fest implementierten On Board Key Generation (die alle dem Standard ETSI Mobile Signature Services, MSS basieren), und der österreichischen SMS-basierten PIN-TAN-Lösung wird die letztere als die sicherste beurteilt. Sie beruht auf einer Trennung der lokalen und der webserverseitigen Verifizierung, sodass ein Angreifer beide Nachrichten abfangen müsste. Prinzipiell sind alle Verfahren auf Phishing gefährdet, bei der Handysignatur dort, wo man die Telefonnummer angibt, dabei müsste der Angreifer aber noch das zurückgesendete SMS auslesen, und auch dafür sorgen, dass er die TAN schneller eingibt, indem er die SMS vor dem Empfänger versteckt.

Eine qualifizierte Signatur entsteht jedoch nur dann, wenn man vorschriftsgemäß zwei verschiedene Endgeräte verwendet, also indem man etwa auf einem normalen Computer die TAN-SMS anfordert, sie auf das Handy gesendet bekommt und diese manuell auf den Computer wieder eingibt. Wenn man das Handy als Sende- und Empfangsgerät benutzt, also sich direkt mit dem Browser des Smartphones einloggt – was bei internetfähigen Smartphones im Prinzip die komfortablere Lösung darstellt – ergeben sich wie bei den MSS-Verfahren gewisse zusätzliche Angriffspunkte.

Zwar entsteht durch die zentrale Datenbank und Verschlüsselung eine weitere Angriffsstelle, aber auch dann müsste der Angreifer zumindest das Webinterface oder das Handy ebenfalls unter Kontrolle gebracht haben. Dass die Stammzahl der Person, der österreichweite eindeutige Identifikator einer Person zum Nachweis der Personenbindung, der etwa bei den SmartCart-Lösungen der Bürgerkarte (verschlüsselt zusammen mit Name, Geburtsdatum und öffentlichem Schlüssel der asymmetrischen Verschlüsselung) auf die Chipkarte geschrieben wird, bei der Handy-Signatur eben nicht auf die SIM-Karte eingetragen wird, sondern beim Authentifizierer hinterlegt ist, kann sicherheitstechnisch als Vorteil gesehen werden, was den Verlust und die Datensicherheit des Handys betrifft, aber auch als Nachteil, weil die Registrierungsstelle (Registration Authority) mit dem Zertifizierungsdienstanbieter (Certification Authority) im Sinne der MMS identisch ist. Der SMS-Dienst-Betreiber hat also eine besondere Verantwortung. Daher betreibt die A-Trust ein Hochsicherheitsrechenzentrum.

Ein weiterer Vorteil der österreichischen Lösung ist, dass die anderen Technologien von der Hardware wie auch der Plattform (Betriebssystem) des Smartphones abhängig sind, und an diese hohe Anforderungen stellt, weil das Kryptographiemodul am Endgerät läuft, während die österreichische Lösung, wo die Rechenlast der Zertifikatbetreiber trägt, auch für einfache Handys älterer Generationen tauglich ist. Außerdem lässt sie sich einfach zwischen Mobilfunkanbietern portieren und roamen, weil die Evaluierung über den zentralen Datenserver einzig die Telefonnummer des Unterzeichnenden erfordert, und nicht mit der SIM-Karte oder einem providergebundenen Handy verknüpft ist.

Geschichte

Ursprünglich hatte 2003 die mobilkom Austria die Technologie A1-Signatur eingeführt, diese wurde aber per 16. Oktober 2007 wieder eingestellt.

Ende 2009 wurde mit der Handysignatur der A-Trust wieder eine Bürgerkarte am Mobiltelefon gestartet. Diese wurde im Rahmen des EU-Programms STORK (Secure idenTity acrOss boRders linKed) entwickelt.

Im Jahr 2012 waren erst etwa 60.000 Handysignaturen aktiviert, das sind unter 1 % der Bürger, und etwa ein Drittel aller Bürgerkarten in verschiedenen Formen. Wie auch die Bürgerkarte insgesamt wurde die Anmeldung als recht aufwändig beurteilt, und sie galt als in der Bevölkerung weitgehend unbekannt, oder es gibt Vorbehalte wegen der Sicherheit. Versuche, sie über die Mobilfunkbetreiber zu propagieren, waren bisher relativ erfolglos.

Anfang 2014 gab es schon 300.000 registrierte Personen, mit monatlich um die 20.000 Neuanmeldungen. Damit ist die Handysignatur die zur Zeit verbreitetste Form der Bürgerkarte: von den für die Funktion aktivierten SmartCards gibt es um die 150.000 Stück. Nach einer Studie Mitte 2014 besitzen inzwischen 18 % der Online-Bevölkerung eine kartenlesertaugliche Bürgerkarte und 21 % die Handy-Signatur. Nach dieser Studie wird auch die Zukunft der Bürgerkarte in der Handysignatur gesehen (69 % der Befragten), da das Mobiltelefon inzwischen in einer breiten Bevölkerungsschicht zum Alltag gehört, und gerade von sozial schwächeren Schichten, für die die Einrichtung eines Kartenlesers für zuhause eine zusätzliche Hemmschwelle ist, intensiv genutzt wird.

Seit März 2014 betreibt das Außenministerium als Pilotprojekt Registrierungsstellen an den Österreichischen Botschaften in London, in Madrid und in Deutschland (Berlin und München), um auch Auslandsösterreichern den Zugang zu bieten. Zulässig sind österreichische, deutsche wie auch englische beziehungsweise spanische Telefonnummern. Bei guter Akzeptanz ist eine Ausweitung auf alle Vertretungen Österreichs im Ausland geplant.

Seit 1. Jänner 2018 können auch Volksbegehren mittels Handy-Signatur oder Bürgerkarte unterschrieben werden. Dies gilt sowohl für die Abgabe einer Unterstützungserklärung als auch für die Unterzeichnung eines Volksbegehrens.

Im Oktober 2018 nutzen mehr als 1,05 Millionen Benutzer die Handy-Signatur.

Einen großen Ansturm erlebt die Aktivierung der Handy-Signatur mit Einführung des Grünen Passes im Zuges der Covid-19-Pandemie. So stiegen die Neuaktivierungen im Mai 2021 noch knapp vor der Einführung des Covid-Nachweises auf 170.000 von üblicherweise 30.000 bis 40.000. Aber auch die Verwendungen verdoppelte sich in dieser Zeit auf rund 200.000.

Die ID Austria, der Nachfolger von Handy-Signatur und Bürgerkarte, wird seit 2021 in einer Pilotphase getestet. Seit Sommer 2022 ist der Umstieg auf die ID Austria möglich. Der Parallelbetrieb von Handy-Signatur und ID Austria soll am 5. Dezember 2023 enden, und die ID Austria wird die bisherige Handy-Signatur ab dann ersetzen. Seit 2023 ist die ID Austria EU-weit nutzbar.

Literatur

• Thomas Zefferer, Peter Teufl: Evaluierung mobiler Signaturlösungen auf Smartphones. Version 1.4, 24. April 2012 (PDF, egiz.gv.at).

Weblinks

• Das kann die Handy-Signatur, www.buergerkarte.at – Informationen zur Bürgerkarte auf der Webseite des A-SIT Zentrum für sichere Informationstechnologie – Austria
• Handy-Signatur und kartenbasierte Bürgerkarte, Informationsportal, oesterreich.gv.at
• Handy‑Signatur als qualifiziertes Signaturservice, A-Trust
• ID Austria, Informationsportal, oesterreich.gv.at
• ID Austria als qualifiziertes Signaturservice, A-Trust
• Bürgerkarte, auf HELP.gv.at;
• www.a-trust.at – A-Trust
• www.a-sit.at – A-SIT
• Experten-Informationen: Was passiert bei der Aktivierung der Bürgerkarte?, buergerkarte.at – Webseite zur Technologie der Verschlüsselung (abgerufen am 3. Dezember 2014).
• eid.egiz.gv.at – technische Informationen zur ID Austria

Einzelnachweise

1. A-Trust | News. Alle Fakten zum Umstieg von der Handy-Signatur auf die ID Austria im Überblick. In: A-Trust. 10. Oktober 2023, abgerufen am 12. Oktober 2023. 
2. ID Austria | A-Trust. Qualifizierte Signaturservices, ID Austria. In: A-Trust. Abgerufen am 12. Oktober 2023. 
3. ID Austria. In: oesterreich.gv.at. Abgerufen am 12. Oktober 2023. 
4. FAQ: Kontoverwaltung, Passwort, Verlust. In: oesterreich.gv.at. 26. Juni 2023, abgerufen am 14. Oktober 2023. 
5. Systemanforderungen App Digitales Amt. Abgerufen am 16. November 2023. 
6. Systemanforderungen App Digitales Amt - Offener Root-Zugang. Abgerufen am 16. November 2023. 
7. Digitales Amt. In: App Store (iOS). Abgerufen am 12. Oktober 2023. 
8. Digitales Amt – Apps bei Google Play. In: Google Play. Abgerufen am 12. Oktober 2023. 
9. FAQ: Allgemeines zu ID Austria. Wie funktioniert die Nutzung der ID Austria mit FIDO-Sicherheitsschlüssel? In: oesterreich.gv.at. 10. Oktober 2023, abgerufen am 12. Oktober 2023. 
10. FAQ: Allgemeines zu ID Austria. Welche FIDO-Sicherheitsschlüssel sind mit ID Austria kompatibel und wo sind sie erhältlich? In: oesterreich.gv.at. 8. November 2023, abgerufen am 19. November 2023. 
11. Austrian government adds YubiKeys to its electronic ID system. Yubico, abgerufen am 16. November 2023. 
12. A-Trust – Willkommen beim Handy-Signatur Verlängerungsservice der A-Trust. In: A-Trust. Abgerufen am 14. Oktober 2023. 
13. FAQ: Registrierung. In: oesterreich.gv.at. 28. Juni 2023, abgerufen am 14. Oktober 2023. 
14. A-Trust – Registrierungsstellen suchen. In: A-Trust. Abgerufen am 19. November 2023. 
15. Peter Kustor, Bundeskanzleramt: (Memento vom 14. Juli 2014 im Internet Archive), Präsentation, 28. Januar 2014, Folie 33 E-Kommunikation birgt Risiken in sich: Lösung in Österreich: Bürgerkarte/Handy-Signatur und 35 Funktionen der Bürgerkarte (§ 4 Abs. 1 E-GovG) (PDF, bka.gv.at, abgerufen am 12. Dezember 2014).
16. PDF-Signatur mit der Handy-Signatur, buergerkarte.at, abgerufen am 3. Dezember 2014.
17. So funktioniert's mit der Handy-Signatur, buergerkarte.at, abgerufen am 3. Dezember 2014.
18. Aktivieren der Handy-Signatur: Sicherheit, buergerkarte.at.
19. Vergl. Peter Kustor, Bundeskanzleramt: (Memento vom 14. Juli 2014 im Internet Archive), Präsentation, 28. Januar 2014, Folie 37 Personenbindung und 38 Stammzahl (SZ) Erzeugung (§ 6 Abs. 2 E-GovG) (PDF, bka.gv.at, abgerufen am 12. Dezember 2014).
20. Handy-Signatur, tugraz.at – Informationsseite mit Sicherheitshinweisen zur Verwendung
21. Häufige Fragen zur Handy-Signatur: Wie kann ich meine Handy-Signatur sperren bzw. widerrufen? bzw. Mein Handy ist gestohlen/verloren, buergerkarte.at
22. Vergl. Internet und Handy – sicher durch die digitale Welt, help.gv.at – mit zahlreichen weiterführenden Links.
23. Lit. Zefferer, Teufl: Evaluierung mobiler Signaturlösungen auf Smartphones. 2012, insb. 5.1 Vergleich vorhandener Lösungen, S. 33 ff, und 5.3.2 Evaluierung, S. 39 ff.
24. In Estland, Finnland und der Türkei sind Angebote von Mobilfunkbetreibern und/oder der finnischen Firma Valimo Wireless erfolgreich etabliert; vergl. Lit. Zefferer, Teufl 2012, Kapitel 4 Mobile Signaturlösungen in Europa, S, 23 ff; und → en:Mobile signature.
25. Lit. Zefferer, Teufl 2012, 5.4 Schlussfolgerungen, S. 43.
26. Lit. Zefferer, Teufl 2012, 5.41/42.
27. Vergl. hierzu Lit. Zefferer, Teufl: Evaluierung mobiler Signaturlösungen auf Smartphones. 2012, 3.6.2 Mobile Signature Service (MSS): Architektur und Funktionalität
28. Digitale Signatur wird durch Handy zum Kinderspiel: Dokumente können von überall elektronisch unterschrieben werden, Presseaussendung, 11. September 2010, auf pressetext.com
29. A-Trust Handy Signatur. Abgerufen am 8. Februar 2021. 
30. (Memento vom 16. Dezember 2014 im Internet Archive), Pressemitteilung, Bundeskanzleramt, 15. Dezember 2010, auf bka.gv.at;
    Vergl. eid-stork.eu
31. Handy-Signatur im Test: Mühsam zum Ziel, futurezone.at, 3. November 2012, abgerufen am 7. Dezember 2014.
32. Die Bürgerkarte hat ein Henne-Ei-Problem, Gregor Gruber in futurezone.at, 3. November 2010, abgerufen am 7. Dezember 2014.
33. Österreicher vertrauen Bürgerkarte nicht: Studie zeigt Skepsis gegenüber E-Government und digitaler Identität, futurezone.at, 3. August 2012, abgerufen am 7. Dezember 2014.
34. A1 will Handysignatur pushen. derStandard online, 27. Jänner 2014, abgerufen am 7. Dezember 2014.
35. [1], 27. März 2014; zitiert in BRZ-Presseservice: (Memento vom 15. Dezember 2014 im Internet Archive), S. 54 (PDF, brz.gv.at)
36. eGovernment MONITOR 2014, Studie der Initiative D21 und ipima, durchgeführt von TNS Infratest;
    E-Government MONITOR 2014 präsentiert, Presseaussendung APA OTS0108, 29. September 2014;
    Download der Studie via egovernment-monitor.de ( (Memento vom 11. Dezember 2014 im Internet Archive), auf initiatived21.de; abgerufen am 9. Dezember 2014);
    Auszüge und Interpretation der Ergebnisse für Österreich: (Memento vom 11. Dezember 2014 im Internet Archive), gemeindebund.at, 7. Oktober 2014;
    Der Ausdruck „Online-Bevölkerung“ bezieht sich auf die Auswahl der Befragten aus dem Online-Panel, das im Allgemeinen eine Internet-affinen Bevölkerungsteil repräsentiert; Angabe nach eGovernment MONITOR 2014, Abschnitt Studiensteckbrief: Auswahl, S. 5.
37. (Memento des Originals vom 13. Dezember 2014 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.bmeia.gv.at, bmeia.gv.at → Leben im Ausland.
38. HELP.gv.at: Volksbegehren. Abgerufen am 12. Februar 2018.
39. A-Trust: Handy-Signatur Statistik. A-Trust, 13. Oktober 2018, abgerufen am 13. Oktober 2018. 
40. Grüner Pass: Ansturm auf Handysignatur auf ORF vom 11. Juni 2021, abgerufen am 11. Juni 2021.