Moin,
Am Sonntag 12 Dezember 2021 18:45:52 schrieb Thomas Doczkal:
das Problem ist, dass es kein etabliertes Verfahren des Signierens des Schlüssels und damit der Gewährleistung der Identität des Schlüsselinhabers gibt.
genau.
Am 07.12.21 um 19:15 schrieb Wolfgang Romey:
Kann mir sagen wie rechtssicher eine PGP-Signatur ist? Kann ich sie beispielsweise im Verkehr mit Behörden oder Gerichten verwenden?
Vermutlich meinst Du auch eine OpenPGP Signatur, da 'PGP' eine Marke eines Unternehmens ist, dass eine proprietäre Anwendung zur Erstellung von OpenPGP Kryptofunktionen verkauft. (Gibt es vielleicht sogar nicht mehr für Privatnutzende https://knowledge.broadcom.com/external/article/180213/how-to-license-symant...)
Der offene Standard heißt OpenPGP https://de.wikipedia.org/wiki/OpenPGP (hauptsächlich RFC4880 mit Ergänzungen) Der Wikipediaartikel hat auch einen Abschnitt zur Rechtsgültigkeit und sagt grob: technisch ginge es, wenn es einen Vertrauensanbieter gibt und Du ein Gerät für die Schlüsselspeicherung verwendest (wie eine OpenPGP Smartcard).
Governikus ist zumindest kein anerkannter Vertrauensdienstanbieter https://esignature.ec.europa.eu/efda/tl-browser/#/screen/tl/DE insofern wird es wohl keine qualifizierte Signatur darüber werden können. ;)
Als Schriftform wird eine OpenPGP Signatur dann bei Behörden nicht angesehen. Allerdings hilft eine solche Signatur natürlich, um im Zweifel etwas leichter im Einzelfall beweisen zu können. Es muss dann im Fall der Fälle argumentiert werden. Im Privatsektor können sich Vertragspartner vermutlich frei einigen, was sie akzeptieren.
OpenPGP mit Behörden erscheint mit zusätzlich sehr sinnvoll, wenn es darum geht, die Vertraulichkeit über Verschlüsselung hoch zu halten oder die Prüfen, dass eine bestimmte Info wirklich von der Behörde kommt (zum Beispiel bei IT-Sicherheitsinformationen).
Gruß, Bernhard