Signatur ist nicht gleich Signatur
Elektronische Signatur: Der Schlussstein des papierlosen Büros
Der juristische Begriff elektronische Signatur wird definiert durch Artikel 3 Nr. 10 bis 12 der eIDAS-Verordnung der EU
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Kai Schwenkler, Team Lead d.velop sign und Manager Product Marketing & Sales bei d.velop, stellt die Technologie vor und zeigt, worauf Unternehmen achten sollten – und welche Stolperfallen es zu beachten gilt.
Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Aber auch das muss nicht sein. Mit elektronischen Signaturen steht inzwischen ein digitales Pendant zur händischen Unterschrift zur Verfügung, das (rechts-)sicher, als qualifizierte elektronische Signatur staatlich anerkannt und zudem leicht verfügbar ist. Nicht umsonst erkennen immer mehr Unternehmen die Vorteile papierloser Verträge und stellen auf die durchgängig digitale Bearbeitung bis hin zur Unterschrift um. Bei anderen überwiegen hingegen noch Vorbehalte. Diese lassen sich aber leicht ausräumen, wenn man sich näher mit der Technologie hinter der Signatur sowie den verfügbaren Lösungen für Anwendende befasst.
Der juristische Begriff elektronische Signatur wird definiert durch Artikel 3 Nr. 10 bis 12 der eIDAS-Verordnung der EU. Dort sind drei Abstufungen vorgesehen, die einfache elektronische Signatur (EES), die fortgeschrittene (FES) und die qualifizierte (QES). Die EES ist nicht weiter reguliert und sieht keine Identifikation der Unterzeichnenden vor. Bei der FES wird eine Identifikation verlangt und die Integrität des Dokuments muss durch ein Zertifikat gesichert sein. Auf der höchsten Stufe, der QES, müssen Unterzeichnende eindeutig identifiziert werden (durch eID, VideoIdent o.ä.) und jede Signatur durch eine 2-Faktor-Authentifizierung bestätigt werden. Die Integrität des Schriftstücks wird bei der QES durch ein qualifiziertes Personenzertifikat garantiert. Solche Zertifikate dürfen nur von zugelassenen "Vertrauensdiensteanbietern", sogenannten "Trust Service Providern", die strengen Regularien und regelmäßigen Audits unterliegen, ausgestellt werden. Aufgrund dieser hohen Anforderungen und Sicherheitsmaßnahmen erfüllt die QES die gesetzliche Schriftform.
Damit ist sie einer händischen Unterschrift in fast allen Belangen gleichgestellt und muss im Zweifelsfall vor Gericht widerlegt und nicht bewiesen werden. EES und FES hingegen unterliegen der freien richterlichen Beweisführung. Wo immer die Schriftform oder ein hohes Maß an Vertrauen verlangt wird und/ oder hohe Haftungsrisiken vorliegen, sollte die QES gewählt werden.
Vom juristischen Begriff elektronische Signatur ist noch der technische Begriff digitale Signatur abzugrenzen. Letzterer bezieht sich auf das kryptografische System hinter der QES. Das bedeutet: EES und FES können zwar auch digitale Signaturen sein, müssen es aber nicht. Vorgeschrieben ist dies lediglich bei der der QES.
Asymmetrische Kryptographie – die Technologie im Hintergrund
Was macht qualifizierte elektronische Signaturen so sicher? Hier müssen wir ein wenig technisch werden: Sie werden mithilfe asymmetrischer Kryptografie und auf Basis einer Public Key Infrastructure (PKI) erstellt. Dabei wird ein Hash-Wert (der einzigartige "Fingerabdruck" des Dokuments) des zu signieren Schriftstücks erstellt, anschließend mit einem privaten Schlüssel verschlüsselt und an das Dokument angeheftet.
Der öffentliche Schlüssel wird über schwer umkehrbare mathematische Operationen (z.B.: Primfaktorzerlegung großer Zahlen) aus dem privaten abgeleitet. Mit diesem öffentlichen Schlüssel kann nun jeder die Authentizität der Signatur prüfen. Allerdings ist es praktisch nicht möglich, aus dem öffentlichen Schlüssel den privaten zu errechnen – zumindest nicht in reeller Zeit. Ein weiterer positiver Effekt: Durch diese Methode lassen sich Manipulationen erkennen: Sollte nach der Signatur etwas am Dokument verändert werden, ändert sich dadurch auch der Hash-Wert und die Signatur wird ungültig.
Integration von Signaturen
Auf der technischen Ebene sind qualifizierte elektronische Signaturen also äußerst komplex. Wer sie regelmäßig im Berufsleben nutzt, merkt davon allerdings nichts. Die Front Ends von Signaturlösungen sind sehr nutzerfreundlich aufgebaut und die Freigabe nach der eigentlichen Unterschrift kann inzwischen ganz einfach per Smartphone erfolgen – ähnlich, wie man es vom Onlinebanking zur Bestätigung einer Transaktion kennt. Alternativ sind auch Signaturkarten und Hardware-Token, beispielsweise auf einem USB-Stick, als zweiter Faktor für eine Authentifizierung einsetzbar. Unternehmen haben die Wahl.
Auch wenn die Bedienung sehr einfach ist, ist eine separate Signaturlösung meist nicht ideal. Schließlich sind Signaturen kein Selbstzweck, sondern in der Regel Teil eines Gesamtprozesses. Betrachten wir den Lebenszyklus eines Dokuments, ist die digitale Signatur nur ein Puzzleteil für einen kompletten papierlosen Ablauf. Perfekt eingesetzt ist die Signatur genau dann, wenn der gesamte Prozess digital abgebildet ist und die einzelnen Prozessschritte automatisch mit der Signaturlösung kommunizieren (lückenlose Integration). Eingebunden in ein Dokumentenmanagement-System (DMS) sorgt eine elektronische Signatur so dafür, dass verschiedene Geschäftsprozesse vollständig digital ablaufen können. Lästige Workarounds wie Faxgeräte oder das Ausdrucken, Unterschreiben und erneute Einscannen von Unterlagen entfallen. Das schont nicht nur die Nerven der Mitarbeitenden, sondern spart Papier- und Druckkosten. Jedoch sollten interessierte Unternehmen darauf achten, dass ein Anbieter derartige Lösungen im Idealfall aus einer Hand oder integriert in die eigenen Produkte anbieten kann. (d.velop: ra)
eingetragen: 05.05.25
d.velop: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.