Digitale Signatur und Sicherheit mit efsta

Die digitale Signatur im Rahmen der Registrierkassensicherheitsverordnung (RKSV) in Österreich ist ein zentrales Element, um die Manipulationssicherheit von Registrierkassen zu gewährleisten. Sie dient dazu, jede Transaktion in einer Kasse fälschungssicher zu erfassen und zu dokumentieren.

Sie ist eine elektronische Signatur, die auf kryptografischen Verfahren basiert. Sie stellt sicher, dass die Inhalte eines Dokuments wie zB. ein Beleg oder einer Transaktion unverändert und authentisch sind. Im Rahmen der RKSV wird jede Kassentransaktion mit einer eindeutigen digitalen Signatur versehen, die nicht nachträglich geändert werden kann.

Der Prozess der digitalen Signierung in einem österreichischen Kassensystem funktioniert wie folgt:

Kassentransaktion: Sobald ein Geschäftsvorfall (z. B. ein Verkauf) über die Kasse abgeschlossen wird, erstellt die Registrierkasse eine Transaktionsdatenstruktur. Diese enthält alle relevanten Informationen der Transaktion, wie den Betrag, die Uhrzeit und eine fortlaufende Transaktionsnummer.
Erstellung des Signaturwerts: Bevor die Transaktionsdaten in der Kasse gespeichert werden, wird ein Signaturwert gebildet. Dazu wird ein Hash-Wert (eine Art kryptografische Prüfsumme) über die Daten der Transaktion berechnet. Dieser Hash-Wert stellt eine eindeutige Repräsentation der Transaktion dar.
Signierung mit einem privaten Schlüssel: Der Hash-Wert der Transaktion wird mit einem privaten Schlüsselsigniert. Dieser private Schlüssel gehört zu einem Zertifikat, das der Registrierkasse eindeutig zugeordnet ist und von einer anerkannten Zertifizierungsstelle ausgestellt wurde. Die digitale Signatur wird durch Verschlüsselung des Hash-Werts mit dem privaten Schlüssel erzeugt.
Prüfbarkeit mit öffentlichem Schlüssel: Die signierten Transaktionsdaten werden zusammen mit der digitalen Signatur gespeichert. Bei einer späteren Prüfung kann mit dem zugehörigen öffentlichen Schlüssel (der im Zertifikat enthalten ist) die Gültigkeit der digitalen Signatur überprüft werden. Dies stellt sicher, dass die Daten seit ihrer Signierung nicht verändert wurden.

Jede Registrierkasse muss über eine Signaturerstellungseinheit (SEE) verfügen, die den Prozess der digitalen Signierung übernimmt. Diese Einheit arbeitet entweder als:

Hardwarekomponente

z. B. in Form eines Signaturmoduls in der Kasse oder als Smartcard

Cloudbasierte Lösung

die, die Signaturdienste üder das Internet anbietet

Software basierende Lösungen

Die Signaturerstellungseinheit sorgt dafür, dass jede Transaktion sicher und fälschungssicher signiert wird.

Verkettung der Belege

Jeder Beleg enthält eine Signatur, die mit der vorhergehenden Transaktion verknüpft ist. Dadurch wird eine Verkettung (Kette von Signaturen) erstellt, die Manipulationen sofort erkennbar macht. Wenn eine Transaktion nachträglich geändert würde, würde diese Verkettung unterbrochen, was die Manipulation sichtbar macht.

Die digitalen Signaturen basieren auf Zertifikaten, die von einer staatlich anerkannten Zertifizierungsstelle ausgestellt werden. Jedes Unternehmen muss für seine Registrierkassen ein solches Zertifikat beantragen. Diese Zertifikate:

Identifizieren das Unternehmen und die zugehörige Registrierkasse.
Beinhalten den öffentlichen Schlüssel, mit dem die Signaturen überprüft werden können.
Müssen nach gesetzlichen Vorgaben regelmäßig erneuert werden.