Verwenden von digitalen Signaturen in Office 2016

Zusammenfassung: Erläutert die Unterstützung von XML Advanced Electronic Signatures (XAdES) in Excel, PowerPoint und Word Dokumenten. Legen Sie außerdem fest, wie die entsprechenden Zertifikate für Ihre Bereitstellung ausgewählt werden sollen.

Benutzer können ein Excel-, PowerPoint oder Word-Dokument aus ähnlichen Gründen digital signieren, aus denen sie ein gedrucktes Dokument handschriftlich unterzeichnen würden. Eine digitale Signatur hilft bei der Authentifizierung der Identität eines Erstellers. Es überprüft den Autor digitaler Informationen, einschließlich Dokumenten, E-Mail-Nachrichten und Makros. Bei diesem Prozess werden kryptografische Algorithmen verwendet.

Die Zertifizierungsstelle stellt digitale Zertifikate aus, die als Identitätsprüfer dienen. Diese Zertifikate bilden die Grundlage für digitale Signaturen. Dies funktioniert ähnlich wie bei der Verwendung von gedruckten Ausweisdokumenten. Beispielsweise stellt eine Regierungsstelle oder ein Arbeitgeber Identitätsdokumente wie Führerscheine, Pässe und Mitarbeiterausweise aus. Andere Personen verlassen sich auf diese Dokumente, um zu überprüfen, ob eine Person die person ist, die sie zu sein vorgibt.

Dieser Artikel enthält Registrierungsschlüssel für digitale Signaturen, die neu in Office 2016 sind.

Einführung in digitale Signaturen und deren Verwendung in Office

Digitale Signaturen unterstützen die Einrichtung folgender Authentifizierungsmaßnahmen:

• Authentizität Die digitale Signatur und das zugrunde liegende digitale Zertifikat tragen dazu bei, dass der Signierer die Person ist, die er vorgibt zu sein. Dadurch kann verhindert werden, dass andere Personen vorgeben, das Dokument erstellt zu haben, ähnlich der Fälschung eines gedruckten Dokuments.

• Integrität Die digitale Signatur stellt sicher, dass sich der Inhalt nicht ändert oder manipuliert wird, nachdem er digital signiert wurde. Diese digitale Signatur verhindert, dass Dokumente ohne Wissen des Dokumentautors abgefangen und geändert werden.

• Unleugbarkeit Die digitale Signatur hilft dabei, für alle Beteiligten den Ursprung des signierten Dokuments zu belegen. Bei einer „Leugnung" bestreitet der Signaturgeber jegliche Verbindung zum signierten Inhalt. Durch die digitale Signatur kann unabhängig von den Behauptungen des Signaturgebers leichter nachgeprüft werden, wer der wirkliche Herausgeber des Dokuments ist. Ein Signaturgeber kann seine Signatur auf diesem Dokument nicht zurückweisen, ohne auch seinen digitalen Schlüssel zu verleugnen, was sich auf andere Dokumente auswirkt, die mit diesem Schlüssel signiert wurden.

Anforderungen für digitale Signaturen in Office 2016

Um dies zu ermöglichen, muss der Autor den Inhalt digital signieren und dazu eine Signatur erstellen, die folgende Kriterien erfüllt:

• Die digitale Signatur ist gültig. Das Betriebssystem muss der Zertifizierungsstelle vertrauen, die das digitale Zertifikat signiert, das die digitale Signatur untermauert.

• Das Zertifikat, das der digitalen Signatur zugeordnet ist, ist nicht abgelaufen oder enthält einen Zeitstempel, der angibt, dass das Zertifikat zum Zeitpunkt der Signatur gültig war.

• Das Zertifikat, das der digitalen Signatur zugeordnet ist, wird nicht widerrufen.

• Der Empfänger vertraut der signierten Person oder organization (als Herausgeber bezeichnet).

Word 2016, Excel 2016 und PowerPoint 2016 diese Kriterien erkennen und den Benutzer warnen, wenn ein Problem mit der digitalen Signatur vorliegt. Informationen können einfach in einem Zertifikataufgabenbereich angezeigt werden, der in der Office 2016-Anwendung erscheint. Bei Office 2016-Anwendungen können Sie demselben Dokument mehrere digitale Signaturen hinzufügen.

Digitale Signaturen in der Office 2016-Geschäftsumgebung

Das folgende Szenario zeigt, wie Sie in einer Geschäftsumgebung digitale Signaturen auf Dokumente anwenden können:

1. Eine Mitarbeiterin verwendet Excel 2016 zur Erstellung eines Spesenabrechnung. Der Mitarbeiter erstellt dann drei Signaturzeilen: eine für sich selbst, eine für seinen Vorgesetzten und eine für die Buchhaltungsabteilung. Die Signaturen haben folgende Funktion:

   • die Mitarbeiterin als Herausgeberin des Dokuments identifizieren

   • gibt an, dass keine Änderungen am Dokument auftreten, wenn es zum Vorgesetzten und zur Buchhaltungsabteilung wechselt

   • nachweise, dass sowohl der Manager als auch die Buchhaltungsabteilung das Dokument erhalten und überprüft haben.

2. Der Vorgesetzte empfängt das Dokument und fügt dem Dokument seine digitale Signatur hinzu, um zu bestätigen, dass er es überprüft und genehmigt hat. Sie wird dann zur Zahlung an die Buchhaltungsabteilung weitergeleitet.

3. Ein Mitarbeiter der Buchhaltungsabteilung empfängt das Dokument und signiert es, um den Empfang des Dokuments zu bestätigen.

Dieses Beispiel demonstriert die Möglichkeit, einem Office 2016-Dokument mehrere digitale Signaturen hinzuzufügen. Zusätzlich zur digitalen Signatur kann der Signaturgeber des Dokuments eine Grafik der tatsächlichen Signatur hinzufügen oder einen Tablet-PC verwenden, um eine Signatur tatsächlich in die Signaturzeile des Dokuments zu schreiben.

Kompatibilitätsprobleme mit Office-Dokumenten vor Office 2016

Office 2016 sowie Office 2013, Office 2010 und Office 2007 verwenden das XML-DSig-Format für digitale Signaturen. Darüber hinaus unterstützt Office 2016 XAdES (XML Advanced Electronic Signatures). XAdES stellt eine Reihe mehrstufiger Erweiterungen zu XML-DSig dar, deren Ebenen auf den vorhergehenden Ebenen aufbauen und so zuverlässigere digitale Signaturen bieten. Weitere Informationen zu den Ebenen von XAdES, die in Office 2016 unterstützt werden, finden Sie unter Planen von digitalen Signaturebenen in Office 2016-Dokumenten weiter unten in diesem Artikel. Weitere Informationen zu den Details von XAdES finden Sie in der Spezifikation für XML Advanced Electronic Signatures (XAdES).For more information about the details of XAdES, see the specification for XML Advanced Electronic Signatures (XAdES).

Digitale Signaturen, die in Office 2016 erstellt werden, sind nicht mit Versionen von Office kompatibel, die älter als 2007 Office System sind. Betrachten Sie beispielsweise ein Dokument, das mit einer Anwendung in Office 2016, Office 2013, Office 2010 oder Office 2007 signiert wurde. Wenn ein Benutzer dieses Dokument in Office 2003 mit dem Office Compatibility Pack öffnet, wird er vom System benachrichtigt. Sie informiert darüber, dass das Dokument in einer neueren Version von Office signiert wurde. Dadurch geht die digitale Signatur verloren.

Die folgende Abbildung zeigt die Warnung, wenn ein Dokument in einer Office-Version vor Office 2007 geöffnet wird.

Warnung bei digitalen Signaturen für Dokumente, die ursprünglich in Office 2003 oder älteren Versionen signiert wurden.

Wenn Sie XAdES für eine digitale Signatur in Office 2016 verwenden, ist die digitale Signatur nicht mit Office 2010 oder 2007 Office System kompatibel, es sei denn, Sie konfigurieren die Gruppenrichtlinie Einstellung XAdES-Verweisobjekt nicht in das Manifest einschließen und auf Aktiviert festlegen. Weitere Informationen zu Gruppenrichtlinieneinstellungen für digitale Signaturen finden Sie unter Planen von Signatureinstellungen für Office 2016 weiter unten in diesem Artikel.

Wenn digitale Signaturen, die Sie in Office 2016 erstellen, mit Office 2003 und früheren Versionen kompatibel sein sollen, können Sie die Gruppenrichtlinieneinstellung Vorversions-Formatsignaturen konfigurieren und auf Aktiviert setzen. Diese Gruppenrichtlinie Einstellung befindet sich unter Benutzerkonfiguration\Richtlinien\Administrative Vorlagen\Microsoft Office 2016\Signing. Nachdem Sie diese Einstellung auf Aktiviert gesetzt haben, verwenden die Office 2016-Anwendungen dasOffice 2003-Binärformat, um Binärdokumente aus Office 97-2003, die Sie in Office 2016 erstellt haben, mit digitalen Signaturen zu versehen.

Auswählen von digitalen Zertifikattypen für Office 2016

Zertifizierungsstellen können digitale Zertifikate ausstellen oder selbstsigniert sein. Innerhalb eines organization kann der Prozess einen Windows Server 2012 Computer umfassen, auf dem Active Directory-Zertifikatdienste ausgeführt werden. Alternativ kann eine öffentliche Zertifizierungsstelle, z. B. VeriSign oder Thawte, sie ausstellen. Selbstsignierte Zertifikate werden häufig von Einzelpersonen und kleinen Unternehmen verwendet. Sie wählen diese Option, wenn sie keine Public Key-Infrastruktur (PKI) für ihre Organisationen einrichten oder ein kommerzielles Zertifikat erwerben möchten.

Der Hauptnachteil von selbstsignierten Zertifikaten liegt in ihrem begrenzten Nutzen. Sie sind nur dann effektiv, wenn Sie Dokumente mit Personen austauschen, die Sie persönlich kennen. Einzelpersonen müssen auch sicher sein, dass Sie der tatsächliche Urheber des Dokuments sind. Wenn Sie selbstsignierte Zertifikate verwenden, gibt es keine externe Validierungsauthentizität Ihres Zertifikats. Jede Person, die Ihr signiertes Dokument erhält, muss manuell entscheiden, ob sie Ihrem Zertifikat vertrauen soll.

Für größere Organisationen gibt es vor allem zwei Methoden zum Erhalt digitaler Zertifikate: Zertifikate, die mithilfe einer Organisations- oder Unternehmens-PKI erstellt werden, und gewerbliche Zertifizierungsstellen. Organisationen, die signierte Dokumente nur für die eigenen Mitarbeiter bereitstellen wollen, bevorzugen wahrscheinlich eine Unternehmens-PKI, um Kosten zu reduzieren. Für Organisationen, die signierte Dokumente mit Personen außerhalb der Organisation teilen wollen, eignen sich eher Zertifikate von gewerblichen ZS.

Zertifikate, die mithilfe einer Organisations- oder Unternehmens-PKI erstellt werden

Organisationen können ihre eigene PKI erstellen. In diesem Szenario richtet das Unternehmen eine oder mehrere Zertifizierungsstellen ein (ZS), die digitale Zertifikate für Computer und Benutzer im ganzen Unternehmen erstellen können. Wenn ein Unternehmen Active Directory Directory Services (AD DS) mit seinen Systemen kombiniert, kann es eine vollständige PKI-Lösung einrichten. Diese Integration stellt sicher, dass auf allen organization oder vom Unternehmen verwalteten Computern die erforderliche Zertifizierungsstellenkette installiert ist. Darüber hinaus ermöglicht das System die automatische Zuweisung digitaler Zertifikate an Benutzer und Computer. Diese Zertifikate sind für die Dokumentsignatur und -verschlüsselung von entscheidender Bedeutung. Dieser Prozess ermöglicht es allen Mitarbeitern in einem Unternehmen, automatisch digitalen Zertifikaten (und damit gültigen digitalen Signaturen) von anderen Mitarbeitern im selben Unternehmen zu vertrauen.

Gewerbliche Zertifikate

Sie können digitale Zertifkate von darauf spezialisierten kommerziellen Anbietern erwerben. Der Hauptvorteil von kommerziellen Zertifikaten besteht darin, dass das Stammzertifizierungsstellenzertifikat des kommerziellen Zertifikatanbieters automatisch auf den Windows-Betriebssystemen der Organisation installiert wird. Dadurch können diese Computer die ZS automatisch als vertrauenswürdig einstufen. Im Gegensatz zur organization- oder Unternehmens-PKI-Lösung können Sie mit kommerziellen Zertifikaten Ihre signierten Dokumente für Benutzer freigeben, die nicht zu Ihrem organization gehören.

Es gibt drei Arten von kommerziellen Zertifkaten:

• Klasse 1 Zertifikate der Klasse 1 werden an Personen ausgestellt, die über eine gültige E-Mail-Adresse verfügen. Zertifikate der Klasse 1 eignen sich für digitale Signaturen, Verschlüsselung und elektronische Zugriffssteuerung für nicht kommerzielle Transaktionen, bei denen kein Identitätsnachweis erforderlich ist.

• Klasse 2 Zertifkate der Klasse 2 werden für Personen und Geräte ausgestellt. Einzelne Zertifikate der zweiten Klasse eignen sich für digitale Signaturen, Verschlüsselung und elektronische Zugriffssteuerung in Transaktionen, in denen ein Identitätsnachweis, der auf Informationen in der überprüfenden Datenbank basiert, ausreicht. Gerätezertifikate der Klasse 2 eignen sich zur Geräteauthentifizierung und zur Gewährleistung von Nachrichten-, Software und Inhaltsintegrität sowie Datenvertraulichkeit.

• Klasse 3 Zertifikate der Klasse 3 werden für Personen, Organisationen, Server, Geräte und Administratoren für ZS und Hauptaussteller (HA) ausgestellt. Einzelne Zertifikate der Dritten Klasse eignen sich für digitale Signaturen, Verschlüsselung und Zugriffssteuerung in Transaktionen, bei denen der Identitätsnachweis gesichert werden muss. Serverzertifikate der Klasse 3 eignen sich zur Serverauthentifizierung und zur Gewährleistung von Nachrichten-, Software und Inhaltsintegrität sowie Datenvertraulichkeit.

Weitere Informationen zu kommerziellen Zertifikaten finden Sie unter Suchen von Diensten für digitale ID oder digitale Signaturen.

Planen von digitalen Signaturebenen in Office 2016-Dokumenten

Benutzer können Dokumente mit Excel 2016, PowerPoint 2016 und Word 2016 digital signieren. Sie können auch Excel 2016, InfoPath 2016 oder Word 2016 verwenden, um eine Signaturzeile oder einen Signaturstempel hinzuzufügen. Das digitale Signieren eines Dokuments, das über ein digitales Zertifikat verfügt, aber nicht über eine Signaturzeile oder einen Stempel verfügt, wird als Erstellen einer unsichtbaren digitalen Signatur bezeichnet. Sowohl sichtbare als auch unsichtbare digitale Signaturen verwenden ein digitales Zertifkat zum Signieren des Dokuments. Der Unterschied liegt in der grafischen Datrstellung im Dokument, wenn eine sichtbare digitale Signaturzeile verwendet wird. Weitere Informationen zum Hinzufügen einer digitalen Signatur finden Sie unter Hinzufügen oder Entfernen einer digitalen Signatur in Office-Dateien.

Standardmäßig erstellt Office 2016 digitale XAdES-EPES-Signaturen, wenn entweder ein selbstsigniertes Zertifikat oder ein von einer ZS signiertes Zertifikat bei der Erstellung der digitalen Signatur verwendet wird.

Die Signaturebenen der digitalen XAdES-Signatur, die auf dem XML-DSig-Standard für digitale Signaturen basieren und in Office 2016 verfügbar sind, sind in der folgenden Tabelle aufgeführt. Jede der Ebenen baut auf der vorhergehenden Ebene auf und umfasst alle Funktionen der vorangegangenen Ebenen. So umfasst XAdES-X beispielsweise neben den neuen Funktionen in XAdES-X auch die Funktionen von XAdES-EPES, XAdES-T und XAdES-C.

Signaturebenen für digitale XAdES-Signaturen in Office 2016

Planung für digitale Signaturen in Office 2016

Indem Benutzer einer digitalen Signatur einen Zeitstempel hinzufügen, helfen sie dabei, die Lebensdauer des dieser Signatur zu verlängern. Betrachten Sie beispielsweise ein Szenario mit einem widerrufenen Zertifikat, das zum Erstellen einer digitalen Signatur verwendet wurde. Die Aufnahme eines Zeitstempels von einem vertrauenswürdigen Zeitstempelserver wird in einem solchen Fall kritisch. Der Schlüsselfaktor ist das Timing des Zeitstempels: Wenn er angewendet wurde, bevor das Zertifikat widerrufen wurde, kann die digitale Signatur weiterhin als gültig betrachtet werden. Um die Zeitstempelfunktion bei digitalen Signaturen zu verwenden, müssen Sie Folgendes tun:

• Richten Sie einen Zeitstempelserver ein, der mit RFC 3161 kompatibel ist.

• Verwenden Sie die Gruppenrichtlinieneinstellung Servernamen angeben, um die Adresse des Zeitstempelservers in Ihrem Netzwerk einzugeben.

Sie können auch andere Zeitstempelparameter konfigurieren, indem Sie eine oder mehrere der folgenden Gruppenrichtlinie Einstellungen konfigurieren:

• Zeitstempel-Hashalgorithmus konfigurieren

• Zeitstempelserver-Timeout festlegen

Wenn Sie den Hashalgorithmus für Zeitstempel konfigurieren nicht konfigurieren und aktivieren, wird der Standardwert SHA1 verwendet. Wenn Sie timeout für Zeitstempelserver festlegen nicht konfigurieren und aktivieren, wartet Office 2016 5 Sekunden, bis der Zeitstempelserver auf eine Anforderung antwortet.

Planen von Signatureinstellungen für Office 2016

Gruppenrichtlinie stellt Einstellungen zum Konfigurieren von Zeitstempeleinstellungen bereit. Darüber hinaus bietet es Einstellungen zum Verwalten und Steuern digitaler Signaturen innerhalb eines organization. Die Bezeichnungen und Beschreibungen der EInstellungen sind in der folgenden Tabelle aufgeführt.

Gruppenrichtlinienkonfigurationseinstellungen für digitale Signaturen

Die folgenden Gruppenrichtlinie Einstellungen beziehen sich auf digitale Signaturen:

• Standardbildverzeichnis festlegen

• EKU-Filterung

• Vorversions-Formatsignaturen

• Office-Signaturanbieter unterdrücken

• Befehl für externe Signaturdienste unterdrücken

Registrierungseinstellungen für digitale Signaturen

Die folgende Tabelle zeigt Windows-Registrierungseinstellungen, die sich auf digitale Signaturen und die Zertifikate zu ihrer Verschlüsselung beziehen. Diese Registrierungseinstellungen befinden sich unter „HKEY_CURRENT_USER\software\policies\Microsoft\Office\16.0\common\signatures". Es gibt keine entsprechende Gruppenrichtlinie.

Registrierungseinstellungen für digitale Signaturen

Verwandte Artikel

XML Advanced Electronic Signatures (XAdES)

Gruppenrichtlinie Administrative Vorlagendateien (ADMX/ADML) für Office

Suchen von Diensten für digitale ID oder digitale Signaturen

Hinzufügen oder Entfernen einer digitalen Signatur in Office-Dateien