Wissen, wer unterschreibt.

Was bedeutet Identitätsprüfung bei elektronischen Signaturen?

Standardmäßig identifizieren die meisten E-Signatur-Tools, auch eSignSimple heute, einen Unterzeichner über die E-Mail-Adresse, an die der Link geschickt wurde, gestützt durch einen Audit-Trail mit Zeitstempeln, IP-Adressen und Geräten. Das ist eine einfache elektronische Signatur, und für die meisten Geschäftsdokumente ist sie rechtlich ausreichend und praktisch.

Eine Identitätsprüfung ergänzt vor der Unterschrift eine stärkere Kontrolle: einen SMS-Code, die Prüfung eines amtlichen Ausweisdokuments oder eine Verifizierung über eine Bank oder ein nationales eID-Verfahren. Die Identitätsprüfung kommt demnächst zu eSignSimple und ist noch nicht verfügbar.

Was planen wir?

Nichts, was in diesem Abschnitt beschrieben wird, ist heute verfügbar. Wir wollen mit Prüfungen beginnen, die echte Sicherheit bringen, ohne das Unterschreiben mühsam zu machen: ein Einmalcode an das Telefon des Unterzeichners als zweiter Faktor zusätzlich zur E-Mail. Falls und sobald das kommt, würde das Ergebnis jeder Prüfung im Audit-Trail und im Abschlusszertifikat festgehalten, damit es später nachgewiesen werden kann.

Außerdem prüfen wir Ausweisprüfungen über spezialisierte Anbieter für Dokumente mit höherem Risiko. Diese starten wir erst, wenn wir vom Anbieter, den Datenschutzbedingungen und den Kosten für unsere Kunden überzeugt sind.

Wie gehen Wettbewerber mit der Identitätsprüfung um?

DocuSign, Adobe Acrobat Sign und andere bieten SMS-Authentifizierung, wissensbasierte Fragen und Ausweisprüfung an, meist als kostenpflichtige Zusatzoptionen pro Prüfung oder gebündelt in höheren Tarifen. In der EU bieten manche Anbieter über Vertrauensdiensteanbieter auch fortgeschrittene und qualifizierte elektronische Signaturen an, die eine formelle Identitätsfeststellung voraussetzen.

Unsere Meinung: Identitätsprüfung ist wertvoll, wird aber oft überverkauft. Wissensbasierte Fragen auf Grundlage von Kreditdaten sind schwach, und eine aufwendige Prüfung bei einer routinemäßigen NDA nervt Unterzeichner nur. Passen Sie die Prüfung an das Risiko des Dokuments an.

Wann brauchen Sie wirklich eine stärkere Prüfung?

Erwägen Sie stärkere Prüfungen bei Darlehens- und Bürgschaftsverträgen, hochwertigen Verkäufen, Dokumenten von Personen, die Sie nie getroffen haben, und in Situationen, in denen Sie damit rechnen, dass der Unterzeichner die Unterschrift später bestreiten könnte. Bei alltäglichen Verträgen mit bekannten Kunden ist der E-Mail-Link plus Audit-Trail meist angemessen.

Manche Dokumente brauchen mehr als eine Prüfung. Wo ein Gesetz oder ein Vertragspartner eine qualifizierte elektronische Signatur (QES) verlangt, brauchen Sie einen qualifizierten Vertrauensdiensteanbieter. eSignSimple bietet einfache elektronische Signaturen und keine QES an.

Was können Sie heute ohne Identitätsprüfung tun?

Senden Sie Dokumente nur an E-Mail-Adressen, die Sie mit dem Unterzeichner über einen anderen Kanal bestätigt haben, etwa in einem Telefonat oder einem bestehenden E-Mail-Verlauf. Nutzen Sie die Signaturreihenfolge, damit Sie zuletzt gegenzeichnen, nachdem Sie geprüft haben, wer unterschrieben hat. Bewahren Sie das Abschlusszertifikat auf, das IP-Adresse, Gerät und Zeitstempel jeder Unterschrift festhält.

Jeder kann auf unserer öffentlichen Prüfseite anhand des SHA-256-Fingerabdrucks bestätigen, dass ein fertiges PDF nicht verändert wurde. Das beweist für sich allein keine Identität, ergibt aber zusammen mit dem Audit-Trail einen soliden Nachweis für die meisten Geschäftsdokumente.

Was wird geprüft, und was können Sie heute tun?