Elektronische Signatur in Kommunen

Antworten von Jasmina Cejvanovic & Ann-Kristin Derst | Bundesamt für Sicherheit in der Informationstechnik (BSI)

Ist es möglich, in automatisierter Form das Siegel anzubringen, also vom Server / Fachverfahren aus?

„Es ist möglich, das digitale Siegel in automatisierter Form anzubringen. Hierbei muss ggf. die Schnittstelle des Fachverfahrens angepasst werden.“

Wie kann ein digitales Siegel in einem ausgedruckten Dokument geprüft werden?

„Ein digitales Siegel in einem ausgedruckten Dokument kann mittels einer einheitlichen App verifiziert werden. Die Verifikation erfolgt mit einem Mobilgerät mit eingebauter Kamera. Dafür wird zum einen das jeweilige Profil und zum anderen das verwendete Zertifikat benötigt. Diese können über eine Zertifikats- bzw. Profilverwaltung online abgefragt oder zur Offline-Nutzung vorab heruntergeladen werden. Im Profil sind die Bezeichnungen der angezeigten Datenfelder hinterlegt. Die Inhaltsdaten sind im digitalen Siegel codiert.“

Wie sieht das Dokument (PDF) aus, auf dem das erzeugte Siegel angebracht wurde?

„Die Bescheide oder Nachweise können durch Behörden selbst gestaltet werden. Das digitale Siegel wird auf das Dokument in Form eines Barcodes hinzugefügt.“

Handelt es sich um eine von vielen möglichen Formen von digitalen Siegeln oder ist dies europaweit nutzbar standardisiert?

„Technisch ist die Form des Siegels als DataMatrix-Code schon standardisiert und wird international (ICAO) verwendet. Für die konkrete Umsetzung für Verwaltungsdokumente haben wir mit dem TR-Entwurf einen Vorschlag zur nationalen Standardisierung in der Verwaltung gemacht.“

Antworten von Heiko Logemann | Materna Information & Communications SE

Ziel der Registermodernisierung ist die Online-Abfrage von Zuständen und Daten aus Registern. Dies ersetzt viele Bescheinigungen und Bescheide. Ist das Siegeln von Dokumenten tatsächlich die Zukunft?

„Aus meiner Sicht tatsächlich ein deutliches „Nein“. Sofern die Eindeutigkeit der handelnden Akteure über ID-Verfahren und die Nutzung von Servicekonten sowie die Übermittlung von Informationen und Dokumenten über eIDAS-konforme Einschreib-/Zustelldienste gewährleistet sind, sollte auf Signaturen und Siegelungen weitest gehend verzichtet werden können. Ob dies allerdings so kommen wird, bleibt fraglich.“

Sie sprechen vom „Darstellen der Metadaten“ im Serviceportal. Wie muss man sich das vorstellen? Wie sollen die Bürger*innen erfassen, welche hoheitliche Maßnahme beispielsweise ergangen ist (z.B. die Ablehnung eines Antrags)? Ist dann eine Visualisierung und damit wieder ein Dokument erforderlich?

„Eine Visualisierung solcher Sachverhalte kann meines Erachtens nach auch ohne ein Dokument stattfinden – wenn beispielsweise die Ablehnung eines Antrages eine Information ist, die nachweislich nur aus der Fachanwendung kommen kann, findet in dieser ja bereits ein ID-Verfahren auf „normalem“ eIDAS-Vertrauensniveau statt (durch die Anwendung des Benutzers an der Fachsoftware). Auch hier wird gelten – eindeutige und nachvollziehbare Verfahrensdokumentation legalisiert den Prozess.“

Gut ist Ihr Hinweis auf die TR Resiscan und die Schwierigkeiten im Zusammenhang mit der elektronischen Aktenführung. Was können die Kommunalverwaltungen machen, um den Gesetzgeber auf diese hohen und völlig praxisfernen Hürden hinzuweisen und umsetzbare Lösungen herbeizuführen? Gerade kleiner Kommunen können die Vorgaben kaum einhalten.

„Die TR richtet sich ja nach wie vor an Bundesbehörden und ist für diese bindend. Für kommunale Verwaltungen hat Sie daher „empfehlenden Charakter“. Hier empfehle ich die Ergebnisse der Arbeitsgruppe VITAKO / KGSt: Leitlinie zum ersetzenden Scannen in Kommunen nach TR RESISCAN (kgst.de). In den meisten Fällen dürfte im Ergebnis eine „Eigenkonformitätserklärung“ ausreichend sein – ausschlaggebend ist auch hier der deklarierte Schutzbedarf der jeweiligen Dokumente. Die Leitlinie (s.o.) gibt hierzu sehr gute Empfehlungen und praxisorientierte Umsetzungsbeispiele bzw. Lösungen.“

Antworten von Dr. Henning Müller | Sozialgericht Darmstadt

Mit welchem Verfahren haben Sie die besten Erfahrung gemacht: beBPo oder DE-Mail?

„Das besondere Behördenpostfach (beBPo) ist der De-Mail auf jeden Fall vorzuziehen. Insbesondere die mögliche Dateigröße und -anzahl ist bei EGVP-basierten Systemen deutlich höher. Vor allem ist aber die Zukunft der De-Mail unklar. Es spricht einiges dafür, dass die De-Mail im Falle eines Erfolgs der OZG-Portale ein „Auslaufmodell“ sein könnte.“

Das beBPo wird als Kommunikationsweg zwischen Behörden und der Justiz angepriesen. Wenn aber alle Behörden ein beBPo haben, könnten doch auch die Behörden untereinander damit kommunizieren. Wäre das aus Ihrer Sicht zulässig? 

„Ja, die Kommunikation zwischen Behörden untereinander ist technisch möglich und ohne weiteres zulässig. Bei einer Schriftformbedürftigkeit ist darauf zu achten, dass in der Kommunikation zwischen zwei Behörden trotz beBPo-Nutzung eine qualifizierte elektronische Signatur erforderlich ist.“

Gesetzlich geregelt ist doch nur, dass es sich um einen „sicheren Übermittlungsweg“ zu den Gerichten handelt. Zwischen Behörden und Anwälten gibt es so eine Regelung nicht. Aber der OSCI-Standard ist rein technisch besonders sicher und dürfte daher auch ohne Probleme zwischen den Behörden und zu den Anwälten genutzt werden, oder?

„Richtig! Das beBPo ist – ab dem Moment der Listung im EGVP-Verzeichnis – ein Übermittlungsweg gem. § 3a Abs. 1 (L)VwVfG bzw. § 36a Abs. 1 SGB I und kann in der Kommunikation zwischen Behörde und Rechtsanwälten (oder Bürger*innen mit einem EGVP-Client) genutzt werden. Anders als in der Nutzung als sicherer Übermittlungsweg mit der Justiz ist zur Schriftformwahrung (bspw. für einen Widerspruch) aber stets eine qualifizierte elektronische Signatur erforderlich (vgl. § 3a Abs. 2 (L)VwVfG bzw. § 36a Abs. 2 SGB I).“

Weitere Informationen dazu finden Sie hier.

Öffnen wir den Zugang über das beBPo auch zwischen Behörden und Anwält*innen / Bürger*innen oder nur zu Gerichten?

„Ein beBPo ist im Moment der Einrichtung (genauer, der Listung im EGVP-Adressbuch) immer gegenüber der Justiz und gleichzeitig gegenüber Bürger*innen und Anwält*innen eröffnet. Die Listung im EGVP-Adressbuch ist die Widmung i.S.d. § 3a Abs. 1 (L)VwVfG, § 36a Abs. 1 SGB I.“

Weitere Informationen dazu finden Sie hier.

Das beBPo und die De-Mail sind quasi Briefe ohne automatisiert nutzbare Meta-Daten (bis auf Aktenzeichen vielleicht). Da sind formularbasierte Methoden oft spannender, oder?

„Das sehe ich anders. xJustiz macht auch die Übertragung von Meta-Daten ohne weiteres möglich. Selbst in PDFs können Meta-Daten gut transportiert werden (vgl. bspw. PDF-Lesezeichen etc.).“

Antworten von Dr. Fabian Grabicki | Bundesdruckerei

Wie viele User nutzen aktiv das Verfahren der Fernsignatur?

„Genaue Angaben zu unseren Usern können wir leider nicht geben. Wir haben große Unternehmen / Behörden mit noch relativ wenig Identifizierungen und Signaturen, aber auch kleinere Unternehmen / Behörden mit über 5.000 Signaturen pro Monat und mehreren 1.000 identifizierten Nutzern.“

Ist die Fernsignatur auch in den Formularserver von Form-Solutions integriert bzw. ist dies geplant?

„Die Fernsignaturlösung ist aktuell nicht im Formularserver von Form-Solutions eingebunden.“

Welche Kosten entstehen für die Bürger*innen / Antragsteller*innen?

„Die Kosten für Signaturen und Identifizierungen werden der Behörde in Rechnung gestellt. Unser Angebot basiert auf einer transparenten Preisliste, die Signaturen und Identifizierungen transaktionsbasiert abrechnet (in Abhängigkeit von der Menge gibt es eine Volumenstaffel) – es fallen keine Jahresnutzungsgebühren und Setup-Kosten an. Allerdings verlangen wir einen Mindestumsatz pro Vertragsjahr. Die Behörde kann die Kosten dann auf die Bürger*innen umlegen – da sie aber in erster Linie von der Verwendung digitaler Prozesse profitiert, wird sie in der Regel keine Zusatzkosten fordern.“

Wie lassen sich elektronisch signierte Dokumente archivieren?

„Die signierten Dokumente können einfach abgelegt werden. Eine Langzeit-Archivierungsmöglichkeit besteht aktuell mit sign-me nicht. Archivierungsoptionen existieren allerdings mit Partnerlösungen wie z.B. digiSeal archive von secrypt.“