Die digitale Signatur ist ein Prüfmerkmal, das anzeigt, ob eine Nachricht tatsächlich vom angegebenen Absender stammt (Authentizität) oder ob sie nachträglich verändert wurde (Integrität). Aus dem Inhalt eines Dokumentes wird mittels eines geheimen Schlüssels des Absenders eine scheinbar zufällige Folge von Zeichen berechnet und der Nachricht hinzugefügt. Der Empfänger kann dann mit dem öffentlichen Schlüssel des Absenders prüfen, ob die Nachricht und die Unterschrift zusammenpassen, also nicht verändert wurden. Der Inhalt der Nachricht selbst ist für jeden lesbar und zugänglich.

Die Signatur ist also ein Prüfmerkmal, das anzeigt, ob die Nachricht seit der „digitalen” Unterschrift verändert wurde und ob sie tatsächlich von demjenigen stammt, der als Absender angegeben ist. Die digitale Signatur ist damit ein Mittel, ein Dokument gegen Verfälschungen zu sichern, auch dann, wenn der Empfänger selbst keinen eigenen Sicherheitsschlüssel besitzt. Sie ist zu unterscheiden von der „elektronischen” Signatur (s. unten), die durch das Signaturgesetz bei vielen Rechtsgeschäften einer Unterschrift gleichgestellt wurde.

Symmetrische Verschlüsselungsverfahren (auch Private Key-Verfahren genannt) verwenden einen einzigen Schlüssel zur Ver- und Entschlüsselung. Dieser Schlüssel muss zuvor zwischen Sender und Empfänger ausgetauscht werden.

Bei der asymmetrischen Verschlüsselung wird mit einem Schlüsselpaar gearbeitet. Jeder Kommunikationsteilnehmer erzeugt für sich ein eigenes, individuelles Schlüsselpaar, bestehend aus dem geheimen Schlüssel (private oder secret key) und dem öffentlichen Schlüssel (public key). Die beiden Schlüssel sind einzig und allein zueinander kompatibel, mit Schlüsseln anderer Schlüsselinhaber funktionieren sie nicht.

Wie der Name schon sagt, ist ein Schlüssel aus dem erzeugten Schlüsselpaar öffentlich für jeden zugänglich (vergleichbar der postalischen Anschrift einer Person). Der andere hingegen wird geheim gehalten (vergleichbar dem Haustürschlüssel zur eigenen Wohnung) und ist nur seinem Besitzer bekannt. Den öffentlichen Schlüssel kann man in sogenannten Schlüsselservern hinterlegen und/oder auf seiner Webseite hinterlegen, damit er für alle anderen Internetnutzer stets abrufbereit ist.

Der Versender einer Email verschlüsselt seine Nachricht mit dem öffentlichen Schlüssel des Empfängers. Die Nachricht kann dann nur mit dem geheimen Schlüssel des Empfängers (also auch nur von diesem) entschlüsselt werden. Umgekehrt funktioniert es bei der Signatur. Hier erstellt der Versender mit dem geheimen Schlüssel des Versenders eine Prüfsumme, die der Empfänger mit dem öffentlichen Schlüssel des Versenders überprüfen kann. Immer ist für die Entschlüsselung das Schlüsselpaar eines Schlüsselinhabers notwendig.

Die asymmetrische Verschlüsselung bedient sich eines mathematisches Verfahrens, das unter der Verwendung von Primzahlen komplexe Schlüssel erstellt. Während die Erstellung von Schlüsseln von Personalcomputern relativ einfach bewältigt werden kann, bedeutet der umgekehrte Weg, die Zerlegung des Schlüssels in seine Basisfaktoren (auch Knacken genannt), einen - nach dem heutigen Stand der Technik - schlicht unlösbaren Aufwand. Die benötigte Rechenzeit, selbst des leistungsfähigsten Großrechners, ist schlicht zu lang.

Als Public Key Infrastruktur bezeichnet man ein System, das die Erstellung, Verteilung und Prüfung digitaler Zertifikate vornimmt. Für die rechtliche Gültigkeit von Schlüsseln hat der Gesetzgeber mit dem Signaturgesetz Richtlinien für die Zulassung und den Betrieb von Certificate Authorities (CA), die Zertifikate ausstellen, und von Registration Authorities (RA), die die Identität der Schlüsseleigner und der Zuordnung der öffentlichen Schlüssel prüfen, erlassen.

Besonderes Merkmal der Public Key Infrastructure ist die Zertifizierungstelle. Dabei handelt es sich um eine allgemein anerkannte Stelle, deren Aufgabe es ist, die Schlüsselpaare (privater und öffentlicher Schlüssel) natürlichen Personen fest zuzuordnen und dies den Benutzern mittels Zertifikaten zu bestätigen. Ein Verzeichnis der Zertifizierungsstellen kann bei der Bundesnetzagentur (ehemals Regulierungsbehörde für die Telekommunikation und Post RegTP) eingesehen werden.

Zertifikate kommen bei S/MIME (Secure/Multipurpose Internet Mail Extensions) zum Einsatz. S/MIME ist ein Standard für die Verschlüsselung und Signatur von MIME-gekapselter E-Mail durch ein hybrides Verschlüsselungsverfahren.

Beim Web of Trust erzeugt sich jeder Kommunikationspartner sein eigenes Schlüsselpaar. Das Vertrauen in die Zuordnung der Schlüssel zu einer Person wird durch wechselseitige Beglaubigungen realisiert. Dadurch entsteht ein "Netz des Vertrauens", über das auch indirekte Vertrauensbeziehungen hergestellt werden können.

Glaubt ein Computernutzer, dass ein öffentlicher Schlüssel tatsächlich zu der Person gehört, die ihn veröffentlicht, so signiert er dessen öffentlichen Schlüssel mit seinem geheimen Schlüssel. Andere Nutzer können aufgrund dieser Signatur (anhand des öffentichen Schlüssels des Signierers) entscheiden, ob auch sie darauf vertrauen wollen, dass der Schlüssel zum angegebenen Benutzer gehört oder nicht. Je mehr Signaturen an einem Schlüssel hängen, desto sicherer kann man sich sein, dass dieser Schlüssel tatsächlich dem angegebenen Eigentümer gehört.

Der Vorteil dieses Verfahrens besteht in den geringen Voraussetzungen an den einzelnen Benutzer, da keine, meist kostenpflichtige, Zertifizierungstelle erforderlich ist. Bekannte Anwendungen, die dieses Verfahren unterstützen, sind die auf Open Source Software OpenPGP und das kommerzielle PGP.

Nachteil des Web of Trust ist die fehlende juristische Bindung, wie sie die mit dem PKI-Verfahren erzeugte
Qualifizierte elektronische Signatur entfaltet.

Fingerprint - digitaler Fingerabdruck

Die Echtheit eines Schlüssels lässt sich mit dem digitalen Fingerabdruck (Fingerprint) feststellen. Mit jedem Schlüsselpaar wird von den Schlüsselprogrammen eine Zahlreihe aus dem Inhalt der Schlüssel erstellt, der sogenannte Fingerprint.

Um ganz sicher zu sein, dass ein Schlüssel "echt" ist, muss man entweder den Fingerprint persönlich auf einem geeigneten Datenträger vom Schlüsselbesitzer erhalten (etwa auf einer Diskette) oder man muss den Inhaber des Schlüssels anrufen und sich den "Fingerabdruck" am Telefon vorlesen lassen. Ein Vergleich dieses Fingerprints mit dem per Email empfangenen Fingerprint ergibt, ob der verwendete Schlüssel tatsächlich der angegebenen Person gehört.

Ist dies der Fall kann man den erhaltenen öffentlichen Schlüssel mit dem eigenen privaten Schlüssel "signieren" und damit die Echtheit bestätigen. Der öffentliche Schlüssel wird dann von der Software dem eigenen Schlüsselbund zugefügt und für künftige Nachrichten automatisch zum Entschlüsseln verwendet.