Man denkt, sie wären identisch, aber hinter den beiden Begriffen verstecken sich tatsächlich unterschiedliche Definitionen. Ausgangspunkt ist der Vergleich mit der eigenhändigen Unterschrift auf Papier: Jeder könnte „Micki Maus“ unter ein Schriftstück schreiben, bei dem er im Text noch schnell eine Eins vor jede Summe schreibt, bevor es der Gegenzeichner merkt. Insofern ist die normale Unterschrift auf Papier leider ziemlich unsicher.

Eine notariell beglaubigte, eigenhändige Unterschrift ist dagegen bisher Goldstandard: Notare sind von Amts wegen über jeden Zweifel erhaben und bei einer notariellen Beglaubigung überprüfen sie sowohl die Identität der unterzeichnenden Personen anhand ihrer Personalausweise oder Pässe, als auch den zu unterzeichnenden Text: Vor dem Unterscheiben lesen Notare die Abschrift in voller Länge allen Beteiligten laut vor und diese müssen mitlesen, damit jeder sicher sein kann, dass nichts daran verändert wurde, wenn es zur persönlichen Unterschrift kommt. Deshalb ist eine notarielle Beglaubigung auch ganz schön teuer.

Berücksichtigt man allerdings den Qualifizierungsweg, den Notare absolvieren müssen, um diesen Status zu erlangen, relativiert sich der Preis für eine notarielle Beglaubigung wieder.

Gerade in den Bereichen Legal Tech und Tax Tech ist Fälschungssicherheit, bzw. Fraud Prevention unverzichtbar und deshalb nutzen wir bei 5F zwei digitale Varianten, die wesentlich sicherer sind als eine händische Unterschrift oder eine einfache elektronische Signatur. Auf die einzelnen Sicherheitsgrade der Signaturtypen sind wir bereits in unserem Blogbeitrag vom 24 März 2021 eingegangen.

Heute soll der Unterschied zwischen Digitaler Signatur und Elektronischer Signatur verdeutlicht werden, gerade weil die beiden Bezeichnungen sehr zur Verwechselung einladen.

Beginnen wir mit den Gemeinsamkeiten: Es hat sich eingebürgert, den Begriff „Elektronische Signatur“ als Oberbegriff zu benutzen: Eine elektronische Unterschrift ist im rechtlichen Sinne tatsächlich erst einmal nur die Beschreibung dafür, dass das Unterschreiben elektronisch vollzogen wird, also am Computer. Eine „digitale Signatur“ ist also logischerweise immer auch eine elektronische Signatur, aber andersherum wird es tückisch: denn „digitale“ Unterschriften können mehr…

Digitale Signatur

Der alles entscheidende Unterschied zwischen einer gewöhnlichen Elektronischen Signatur und der höherwertigen Digitalen Signatur ist der „Hashwert“, von dem die Unterzeichnenden nichts mitbekommen: ein bewährtes, recht kompliziertes Verschlüsselungsverfahren, das im Hintergrund läuft, um jede Kopie oder Abschrift eines Textes vor Manipulationen zu schützen.

Anerkannte kryptographische Verfahren allein machen aus einer schnöden Elektronischen Signatur aber noch keine “Fortgeschrittene” Digitale Signatur, denn darüber hinaus muss die unterzeichnende Person auch noch zweifelsfrei authentifiziert sein.

Dazu muss sie sich vorher einmal persönlich vorstellen bei einer Stelle, die dazu amtlich berechtigt ist [1], zum Beispiel bei der Post, entweder in der Filiale oder per „VideoIdent“-Verfahren mit ihrem Personalausweis oder Pass. Dann wird kontrolliert, ob die Person, die live erscheint, auch wirklich mit der Person im Ausweisdokument übereinstimmt. Wenn das bestätigt werden konnte, entsteht eine FORTGESCHRITTENE digitale Signatur. Sie ist also bereits sehr sicher, denn sie ahmt das Verfahren einer amtlich beglaubigten, eigenhändigen Unterschrift nach.

Die sicherste Variante nennt man Qualifizierte Digitale Signatur, weil hierfür ein ganz besonderes Zertifikat notwendig ist, nämlich eines, das von einer qualifizierten Signaturerstellungseinheit (QSCD) erstellt wurde und das selbst wiederum auf einem qualifizierten Zertifikat für elektronische Signaturen basiert. Das Zertifikat wird dabei von einer Zertifizierungsbehörde, wie z.B. der Bundesdruckerei, ausgestellt. Dieses QSCD ist quasi der Notar unter den digitalen Signaturen.

Elektronische Signatur

Dagegen entspricht die Elektronische Signatur eben nur einer eigenhändigen Unterschrift auf Papier, mit ihren Schwächen, die oben bereits geschildert wurden. Sie ist als rechtlicher Begriff zu verstehen für das elektronische Verfahren, das den Namen einer Person wiedergibt, die angeblich unterzeichnet hat – mehr nicht.

Ein E-Mail-Absendername ist beispielsweise auch eine Elektronische Signatur. Aber jeder weiß: Wenn man eine Mail von einem Account erhält, der Micki Maus genannt wurde, hat man es trotzdem nicht mit der Trickfilmmaus aus dem Wunderland zu tun und man erbt leider auch nie 35 Mio Dollar.

In unserem Blogbeitrag zu den unterschiedlichen Sicherheitsstufen hatten wir ausführlich die amtliche, europäische eIDAS-Verordnung beschrieben, die folgende Formen der Signatur unterscheidet:

• elektronische Signatur
• fortgeschrittene elektronische Signatur
• qualifizierte elektronische Signatur

Interessanterweise verwendet diese Verordnung NICHT die oben beschriebene Trennung zwischen „digitaler“ und „elektronischer“ Signatur, sondern benutzt den juristisch korrekten Begriff „elektronisch“ auch für die fortgeschrittene und die qualifizierte Signatur – da kann man wirklich durcheinanderkommen.

Die EU-Verordnung konzentriert sich auf die wichtigen drei „Sicherheitsgrade“, auf die es ankommt: unsicher, sehr sicher, supersicher.

Und warum wir auf unserer 5F-Arbeitsplattform für Kanzleien natürlich nur die „fortgeschrittene“ und die „qualifizierte“ Signatur zur Verfügung stellen, ist nun hoffentlich deutlich geworden: Die einfache elektronische Signatur ist für den TaxTech-Bereich unbrauchbar.

_____

[1] Laut eIDAS Verordnung „vertrauenswürdige Stelle“: Vgl. Whitepaper Die eIDAS-Verordnung – Die Basis für ein starkes digitales Europa, S. 11.

Mit dem Modul 5F Sign wurde im Juli 2020 die digitale Signatur vollständig in die 5F Plattform integriert. Nutzerinnen und Nutzer von 5FSoftware haben seitdem die Möglichkeit, direkt in 5F Dokumente aller Art einfach und sicher digital zu signieren – per Fernsignatur und damit ohne zusätzliche Hardware. Zur Verfügung stehen dabei sowohl die „fortgeschrittene“ als auch die „qualifizierte“ digitale Signatur.

Urlaubsanträge, Reisekostenabrechnungen, Mietverträge, Kaufverträge, Lastschriftmandate oder Steuererklärungen – die Anwendungsgebiete digitaler Signaturen können vielfältig sein. Die wohl häufigste Frage, die sich im Zusammenhang mit dem Einsatz digitaler Unterschriften stellt, lautet daher: Welcher Signaturtyp eignet sich für welches Anwendungsgebiet?

Gesetzesgrundlage: Die eIDAS-Verordnung

Die rechtlichen Anforderungen an digitale Signaturen innerhalb der EU sind in der sogenannten eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG) von 2016 geregelt.

Einfach, fortgeschritten oder qualifiziert: Was sollte bei der Auswahl beachtet werden?

Der Gesetzgeber unterscheidet grundsätzlich zwischen drei Arten der elektronischen Signatur: einfach, fortgeschritten und qualifiziert. Der Unterschied zwischen diesen drei Arten liegt hauptsächlich in der jeweiligen Sicherheitsstufe. Diese wiederum unterscheidet sich je nach der Komplexität des Systems zur Überprüfung der Identität des Unterzeichnenden sowie zur Sicherstellung der Integrität des Dokuments.

Die Herausforderung besteht darin, festzulegen, welches Ausmaß an Sicherheit für die individuellen Anwendungszwecke angemessen ist – und wie benutzerfreundlich der Signaturprozess gestaltet sein soll. Dabei sollten unbedingt auch der rechtliche Kontext des jeweiligen Anwendungsszenarios, mögliche Auswirkungen auf die Arbeitsprozesse sowie finanzielle Aspekte Berücksichtigung finden.

Unterschiede zwischen der einfachen, fortgeschrittenen und qualifizierten elektronischen Signatur

Nachfolgend findet sich ein Überblick über die konkreten Unterschiede zwischen den drei Signaturtypen. In der 5F-Arbeitsplattform stehen zwei davon zur Auswahl: die fortgeschrittene sowie die qualifizierte E-Signatur.

Einfache elektronische Signatur

Die einfache elektronische Signatur ist an keine konkreten gesetzlichen Anforderungen gebunden und lässt sich unkompliziert und schnell durchführen, ohne dabei einem konkreten Prozess der Identitätsprüfung oder Zustimmung zu folgen. Die Authentizität und Integrität der Signatur lassen sich dadurch kaum feststellen. Zur einfachen elektronischen Signatur zählen alle elektronischen Signaturen, welche die Anforderungen an fortgeschrittene oder qualifizierte Signaturen nicht erfüllen.

Die einfache elektronische Signatur eignet sich für die standardmäßige Unterschrift von Dokumenten, die mit einem niedrigen finanziellen oder rechtlichen Risiko verbunden sind. Das kann beispielsweise auf alltägliche oder unternehmensinterne Dokumente wie Anträge, Genehmigungen, Abrechnungen oder Protokolle zutreffen.

Fortgeschrittene elektronische Signatur

Die fortgeschrittene elektronische Signatur ist an zusätzliche Anforderungen gebunden: Sie muss eine Identifizierung des Unterzeichnenden ermöglichen und diesem eindeutig zugeordnet werden können. Weiter wird sie unter Verwendung von Mitteln erstellt, die unter der alleinigen Kontrolle des Unterzeichnenden stehen. Die Möglichkeit einer nachträglichen Veränderung der Daten muss dabei ausgeschlossen sein. [1]

Die fortgeschrittene digitale Signatur ist im Vergleich zur einfachen Signatur hinsichtlich der Identitätsprüfung sowie der Sicherstellung der Integrität des Dokuments an strengere Kriterien geknüpft. Die Signatur basiert auf einem digitalen Zertifikat, das den Unterzeichnenden eindeutig identifiziert. Dadurch bietet sie ein höheres Sicherheitsniveau und schützt vor Manipulation. Dies wird durch Maßnahmen erreicht, die sowohl die eindeutige Identifikation des Unterzeichnenden – z.B. durch die Verifizierung per Personalausweis – als auch dessen Zustimmung zur Signatur sicherstellen.

Die fortgeschrittene elektronische Signatur eignet sich für die Signatur von Dokumenten, die mit einem erheblichen finanziellen oder rechtlichen Risiko verbunden sind. Für viele Dokumente ist dieser Signaturtyp ausreichend. Dazu können beispielsweise Verträge und Finanztransaktionen aller Art zählen.

Qualifizierte elektronische Signatur (QES)

Die qualifizierte elektronische Signatur ist eine fortgeschrittene Signatur, die von einer qualifizierten Signaturerstellungseinheit (QSCD) erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen basiert. Das Zertifikat wird dabei von einer Zertifizierungsbehörde, wie z.B. der Bundesdruckerei, ausgestellt. [2]

Eine Zertifizierung per Videoident-Verfahren oder Online-Ausweisfunktion (eID) ist in diesem Fall üblich. Anschließend lassen sich Signaturen per Fernsignatur durchführen, z.B. unter Verwendung einer Zwei-Faktor-Authentifizierung per SMS-Token.

Die qualifizierte elektronische Signatur gilt aus juristischer Sicht als gleichwertig mit der handschriftlichen Unterschrift und eignet sich aufgrund der hohen Identifizierungs- und Zertifizierungsanforderungen zur Signatur von vertraulichen Dokumenten nach höchsten Sicherheitsstandards.

Aufgrund der strengen Sicherheitsanforderungen ist die qualifizierte elektronische Signatur mit einem höheren Aufwand verbunden und empfiehlt sich daher für kritische Einzelfälle.

In den 5F-internen Tutorials zur elektronischen bzw. digitalen Signatur finden sich zusätzliche Informationen rund um die Nutzung der digitalen Unterschrift innerhalb der 5F-Arbeitsplattform.

Weitere Informationen zu diesem Thema und unseren Partner FP Sign finden Sie hier.

Quellen und weiterführende Informationen:

[1] Vgl. Verordnung (EU) Nr. 910/2014, Artikel 26.

[2] Vgl. Verordnung (EU) Nr. 910/2014, Artikel 3, 12.

Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur eIDAS-Verordnung

Whitepaper der Bundesdruckerei zur eIDAS-Verordnung

Direktlink zur eIDAS-Verordnung

Informationen der Bundesdruckerei zur Fernsignatur

Informationen der Bundesdruckerei zum Signaturservice sign-me

Informationen der Bundesdruckerei zum Einsatz von sign-me

Die 5F Collaboration Cloud treibt die Digitalisierung in den Arbeitsprozessen von Berufsgeheimnisträgern voran. Gleichzeitig setzt die Cloud-Lösung auch neue Maßstäbe hinsichtlich der Sicherheitsstandards. Dadurch wird sie zur führenden Arbeitsplattform für Anwälte, Steuerberater und Wirtschaftsprüfer. Unser Info-Beitrag gibt einen Einblick in das grundlegende Datenschutzkonzept der 5F Collaboration Plattform.

Im Austausch mit Kanzleien zum Thema Datenschutz fällt regelmäßig das Schlagwort Instanzen. Um die Bedeutung dieses Begriffs besser zu verstehen, ist ein kurzer Ausflug in die Grundlagen der Programmierung notwendig. Instanzen stehen in der objektorientierten Programmierung (OOP) für die spezifische Realisierung eines beliebigen Objekts. Ein Objekt kann auf verschiedene Arten variiert werden. Jede Variation, die von diesem Objekt realisiert wird, ist eine Instanz.

Auf Infrastrukturebene entsprechen Instanzen einem sogenannten „On-Premise“-Ansatz. Die Bildung von Instanzen ist für eine interne Kanzlei-Software durchaus sinnvoll, da sie sich in einem geschützten Netzwerk befindet. Hier kann die Wartung dann auch in längeren Intervallen erfolgen. Da es sich bei der 5F Collaboration Plattform jedoch um eine Cloudlösung handelt, macht aber die Bildung von Instanzen wenig Sinn. Die Plattform wird zur Erweiterung der Funktionalitäten oder wegen Sicherheitsupdates kontinuierlich aktualisiert, Instanzen auf Cloudebene liefern keinen wirklichen Mehrwert.

Nachteile bei der Bildung von Instanzen auf Cloudebene

Das liegt zum Einen daran, dass Instanzen auf Cloudebene keinen tatsächlichen Sicherheitsvorteil gegenüber Internetbedrohungen liefern. Insbesondere dann, wenn diese durch den gleichen Provider zur Verfügung gestellt werden und sich also in der Regel Hardware und Netzwerke teilen.

Des Weiteren führt die Bildung von Instanzen zu einer Beeinträchtigung in der operativen Zusammenarbeit der Nutzer zwischen den verschiedenen Organisationen. Das entspricht dann nicht mehr dem 5F-Verständnis einer ganzheitlichen Collaboration Plattform.

Datenschutz – Collaboration Cloud für Berufsgeheimnisträger sicher machen: Alle Punkte, die 5FSoftware für Datensicherheit umsetzt, hier auf einen Blick!

Drittens treibt die Bildung von Instanzen den Administrationsaufwand unverhältnismäßig in die Höhe. Alle Instanzen müssen gleichzeitig gewartet werden, um die Kompatibilität untereinander und die dauerhafte Sicherheit gewährleisten zu können. Durch die Bildung von Einzel-Instanzen einen hohen Grad an Datenschutzsicherheit herzustellen ist unserer Überzeugung nach ein nicht mehr ganz zeitgemäßer Ansatz. 5F bildet daher auf Infrastrukturebene weder für Nutzer noch für Kanzleien neue Instanzen. Vielmehr sieht 5F in den nachfolgenden Punkten die wesentlichen Anforderungen zur Erfüllung höchster Sicherheitsanforderungen auf Cloudebene:

• Nutzung einer aktuellen und sicheren Infrastruktur
• Bereitstellung sicherer Authentifikations- und Autorisierungsmethode
• Verschlüsselte Verbindungen
• Regel- und rollenbasierte Zugriffe
• Service-Accounts auf Nutzer und Organisationsebene

Maßnahmen von 5F zur Erfüllung höchster Sicherheitsanforderungen

5F setzt diese Anforderungen durch verschiedene Maßnahmen in die Praxis um. So werden beispielsweise getrennte Organisationen und Administrator-Rollen erstellt. Zugriff auf Informationen erhält dann nur derjenige User, der sich innerhalb der Organisation befindet und – bei weiterführenden Rechten – ggf. Administrator ist.

Durch die Möglichkeit, Moderatorenrollen zu vergeben und Teilnehmer gezielt zu Projekten bzw. Projekträumen hinzuzufügen, können Inhalte gezielt an andere Personen übermittelt oder ihnen eben auch vorenthalten werden. Zudem kann durch die Option, Service-Accounts pro Nutzer bzw. pro Organisation einzurichten, dafür gesorgt werden, kritische Dienste und Dienste in fachspezifischen Einzelservices explizit voneinander zu trennen.

Ein weiteres Differenzierungsmerkmal der 5F Collaboration Plattform ist das Führen getrennter DMS Accounts auf Dokumentenebene. Upload, Speicherung und Austausch von Dokumenten sind zentrale Funktionen innerhalb der Plattform. Jeder Nutzer und jede Organisation besitzt daher beispielsweise bei der Anwendung “d.velop Foxdox” einen eigenständigen und unabhängigen DMS-Account bei d.velop Foxdox, der mit dem 5F- Account verknüpft ist. Die Konten von Nutzern und der Organisation sind streng voneinander getrennt und jeweils individuell verschlüsselt.

In der Konsequenz liegen Dokumente daher nicht innerhalb eines DMS, sondern in voneinander unabhängigen Accounts unseres DMS-Spezialisten d.velop. Um Dokumente mit anderen teilen zu können, müssen die Zugriffe zwischen den Konten zuvor „geshared“ werden. Diese Berechtigung lässt sich auch jederzeit wieder entziehen. Demzufolge können DMS-Konten vom 5F Account getrennt werden, so dass kein weiterer unerwünschter Zugriff auf Dokumente über 5F Collaboration Plattform möglich ist.

Collaboration Cloud: Datenschutz dank sicherer Infrastruktur

Eine grundlegende Maßnahme, die von 5F getroffen wird, ist die Bereitstellung einer sicheren Cloud-Infrastruktur. Die 5F Collaboration Plattform wird auf der Open Telekom Cloud gehosted. Das bedeutet:

• Maximaler Ausfallschutz dank Twin-Core-Technologie
• Verfügbarkeit von 99,999 Prozent
• Gehosted in Deutschland
• 100 % DSGVO-konform, bestätigt mit dem Trusted Cloud Siegel
• Als erstes Produkt zertifiziert nach Trusted Cloud Datenschutz Profil (TCDP) 1.0
• Mehrfache ISO-Zertifizierungen

Am Ende eines Projekts kommt häufig die Frage auf, wie mit den über die gesamte Projektdauer gesammelten Daten verfahren werden soll und kann. 5F gewährleistet, dass auch bei der Löschung eines Projekts alle darin enthaltenen Daten tatsächlich entfernt werden. Dies kann allerdings nur durch den Organisations-Admin und im 2-FA-Verfahren erfolgen. Zusätzlich können Dokumente und Ordner im DMS ebenso vollständig gelöscht werden, es sei denn die revisionssichere Speicherung ist aktiviert.

So gelingt mit 5F der Spagat zwischen der Digitalisierung Ihrer Geschäftsprozesse und dem Sicherstellen des Datenschutzes. Wenn Sie weitere Fragen zu unseren Sicherheitsstandards haben sprechen Sie uns an, wir nehmen uns gerne Zeit für Sie.

von Stephanie Bogendörfer

Eine Mandantin erzählte mir, dass sie im März 2020 in der Kanzlei ihrer Steuerberaterin persönlich erscheinen sollte, um ihre Steuererklärung zu besprechen und zu unterschreiben. Ein Termin, zu dem sie weder Zeit noch Lust hatte: stundenlang von Berlin nach Braunschweig hin und zurück auf der A2, dieses „Antanzen“ gefiel ihr gar nicht.

Gründe dafür, dass Kanzleichefs es ablehnen, sich mit ihren Mandanten digital auszutauschen, sind nicht etwa nur zu wenig Zeit, Fachkräftemangel oder Sicherheitsbedenken, sondern alles zusammen.

Das haben wir immer schon so gemacht

Das Handelsblatt wertete eine Studie der Bundessteuerberaterkammer (BStBK) aus, die der Branche zwar große Fortschritte bei ihrer Digitalisierung testiert, doch: „Als größte Herausforderungen gelte vielmehr der organisatorische Aufwand für die Kanzlei“, heißt es in dem Artikel.

Vor allem Einzelkanzleien, die ihre Digitalisierung endlich in Angriff nehmen wollen, fühlen mit der Unüberschaubarkeit des Marktes erschlagen. Auch Rechtsanwälte beklagen dies: „Die Vielzahl an Optionen birgt die Gefahr, in Unsicherheit zu erstarren oder wenig zielgerichtete Projekte in Gang zu setzen“, schreibt Nora Zunker.

Keine Zeit, um Zeit zu sparen

Zunker empfiehlt, für die Digitalisierung einer Kanzlei viel Zeit einzuplanen. Ein Dilemma, denn gerade während der Pandemie sind viele Steuerberater damit beschäftigt, sich schlau zu machen über Förderanträge, Soforthilfen, Überbrückungsgelder etc. Und Zeit war auch vor Corona schon ein seltenes Gut.

E-Signatur mit 5F Sign erfordert keine IT-Kenntnisse

Die E-Signatur erlebt seit Beginn des ersten Lockdowns einen enormen Aufschwung. Und seit Juli 2020 ist die Anwendung 5F Sign im 5FSoftware-System integriert. Ihre Bedienung erfordert, genau wie das gesamte restliche 5F-Kanzleikommunikationssystem, keinerlei Programmierkenntnisse: weder für Kanzleimitarbeiter noch für deren Mandanten.

Der Termin der befreundeten Mandantin wurde wegen des Lockdowns natürlich auch abgesagt. Aber sie erhielt ihr Papier-Exemplar der Steuererklärung mit neonfarbenen Post-its, die kennzeichneten, wo sie ihre Unterschrift zu platzieren hätte, per Post mit Rückumschlag. Das war noch nicht die digitale Transformation, die sie sich erhofft hatte. Sollte sie die nächste Steuererklärung nicht digital unterzeichnen können, wird sie sich eine neue Steuerberatung suchen und sie hat mich heute gefragt, welche Kanzlei in Berlin unser System verwendet…

Digitale Services sind ein Auswahlkriterium auf der Suche nach einer neuen Kanzlei. Diesen Komfort sind Mandanten von anderen Branchen längst gewöhnt und erwarten ihn auch bei der Bearbeitung ihrer Steuerunterlagen und Lastschriftmandate. Die rechtskonforme E-Signatur wird für Mandanten zu einer Selbstverständlichkeit.

_____

5F Sign verfügt über die höchste Signaturstufe entsprechend der europäischen Signaturverordnung eIDAS, der sogenannten qualifizierten elektronischen Signatur. Darüber hinaus nutzt 5F die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifizierten Rechenzentren in Deutschland. Die digitale Signaturlösung ist damit DSGVO-konform und die Datenverarbeitung von beispielsweise Verträgen, Steuererklärungen oder Prüfungsberichten in unsicheren Drittländern dadurch ausgeschlossen. Zudem ermöglicht 5F Sign die gesetzlich vorgeschriebene Langzeitarchivierung einfach, schnell und vor allem sicher.