ADMIN

2021

03

2021-03-01T12:00:00

IT-Automatisierung

PRAXIS

039

Dokumentenmanagement

Compliance

Elektronische Signatur mit OneSpan Sign

E-Bund schließen

von Thomas Zeller

Veröffentlicht in Ausgabe 03/2021 - PRAXIS

Mithilfe elektronischer Signaturen lassen sich unterschriftsbasierte Geschäftsprozesse vollständig digital abbilden – gerade in Pandemiezeiten ein enormer Vorteil. In einem früheren Beitrag haben wir die verschiedenen Arten von elektronischen Signaturen vorgestellt. Nun zeigen wir, wie Sie mit OneSpan Sign traditionell papiergebundene Vereinbarungen unter Einhaltung der erforderlichen Sicherheits- und Compliance-Vorgaben elektronisch abschließen.

OneSpan Sign [1] ist eine Plattform für das Organisieren und Abwickeln elektronischer Signaturprozesse aller Art. So lassen sich Standardverträge wie Kaufverträge, Bestellungen oder Vertraulichkeits- und Datenschutzvereinbarungen ohne längere Einarbeitungszeit mit elektronischen Signaturen verbunden mit einer hohen Rechtssicherheit ausstatten. Organisationen, die Verträge derzeit noch als Word- oder PDF-Dokument per E-Mail versenden und erwarten, dass der Vertragspartner diese ausdruckt, unterschreibt, einscannt und wieder per E-Mail zurücksendet, können mit OneSpan Sign ohne viel Aufwand analoge in digitale Vorgänge umwandeln – auf Wunsch auch mit eigenem Branding.
Produktiv- und Sandbox-Accounts
Ein OneSpan-Sign-Konto können Sie entweder direkt bei OneSpan oder bei einem der Vertriebspartner [2] eröffnen. Im Professional-Plan erfolgt die Lizenzierung auf User-Basis. Für jeden Account, mit dem der Benutzer Transaktionen erstellt, fällt eine Lizenz an. Der Enterprise-Plan eignet sich dagegen vor allem für automatisiert generierte Signaturprozesse. Die Abrechnung erfolgt in diesem Fall auf Volumenbasis, also der Anzahl geleisteter Unterschriften. Im Enterprise-Plan steht darüber hinaus eine Programmierschnittstelle zur Verfügung, um die E-Signing-Funktionen in eigene Webanwendungen oder mobile Apps zu integrieren.
Für einen unverbindlichen Test der Signaturplattform bietet OneSpan sogenannte Sandbox-Accounts an [3]. Mit der Sandbox stehen Ihnen – bis auf die qualifizierte elektronische Signatur – alle Funktionen zur Verfügung. Das Konto läuft allerdings grundsätzlich in der nordamerikanischen Cloud, während sich die Produktiv-Accounts in fünf verschiedenen Regionen anlegen lassen (US1 + 2, Kanada, Europa, Australien). Wir beschreiben nachfolgend, wie der Onboarding-Prozess und Transaktionen mit einem Produktiv-Account in der EU-Region ablaufen. Da Verträge meist personenbezogene Daten enthalten und damit unter die Regelungen der DSGVO fallen, sollten Sie Ihren Produktiv-Account unbedingt in der korrekten Region (EU) anlegen.
OneSpan Sign [1] ist eine Plattform für das Organisieren und Abwickeln elektronischer Signaturprozesse aller Art. So lassen sich Standardverträge wie Kaufverträge, Bestellungen oder Vertraulichkeits- und Datenschutzvereinbarungen ohne längere Einarbeitungszeit mit elektronischen Signaturen verbunden mit einer hohen Rechtssicherheit ausstatten. Organisationen, die Verträge derzeit noch als Word- oder PDF-Dokument per E-Mail versenden und erwarten, dass der Vertragspartner diese ausdruckt, unterschreibt, einscannt und wieder per E-Mail zurücksendet, können mit OneSpan Sign ohne viel Aufwand analoge in digitale Vorgänge umwandeln – auf Wunsch auch mit eigenem Branding.
Produktiv- und Sandbox-Accounts
Ein OneSpan-Sign-Konto können Sie entweder direkt bei OneSpan oder bei einem der Vertriebspartner [2] eröffnen. Im Professional-Plan erfolgt die Lizenzierung auf User-Basis. Für jeden Account, mit dem der Benutzer Transaktionen erstellt, fällt eine Lizenz an. Der Enterprise-Plan eignet sich dagegen vor allem für automatisiert generierte Signaturprozesse. Die Abrechnung erfolgt in diesem Fall auf Volumenbasis, also der Anzahl geleisteter Unterschriften. Im Enterprise-Plan steht darüber hinaus eine Programmierschnittstelle zur Verfügung, um die E-Signing-Funktionen in eigene Webanwendungen oder mobile Apps zu integrieren.
Für einen unverbindlichen Test der Signaturplattform bietet OneSpan sogenannte Sandbox-Accounts an [3]. Mit der Sandbox stehen Ihnen – bis auf die qualifizierte elektronische Signatur – alle Funktionen zur Verfügung. Das Konto läuft allerdings grundsätzlich in der nordamerikanischen Cloud, während sich die Produktiv-Accounts in fünf verschiedenen Regionen anlegen lassen (US1 + 2, Kanada, Europa, Australien). Wir beschreiben nachfolgend, wie der Onboarding-Prozess und Transaktionen mit einem Produktiv-Account in der EU-Region ablaufen. Da Verträge meist personenbezogene Daten enthalten und damit unter die Regelungen der DSGVO fallen, sollten Sie Ihren Produktiv-Account unbedingt in der korrekten Region (EU) anlegen.
Schnittstelle zwischen TSP und OneSpan Sign
Nachdem Sie sich registriert haben, erhalten Sie eine E-Mail mit Anweisungen, um das initiale Passwort für Ihr Konto zu setzen. Anschließend können Sie im Portal bereits erste Transaktionen erstellen. Da Sie zu diesem Zeitpunkt aber noch nicht über ein Zertifikat für die qualifizierte elektronische Signatur (QES) verfügen, sind Transaktionen zunächst auf einfache beziehungsweise fortgeschrittene elektronische Unterschriften begrenzt. Einfache, fortgeschrittene und qualifizierte elektronische Signaturen unterscheiden sich aus juristischer Sicht vor allem in ihrer Beweiskraft. Eine Übersicht der verschiedenen elektronischen Signaturen finden Sie in der Ausgabe 11/2020 des IT-Administrator [4].
Um im OneSpan-Sign-Portal auch Transaktionen mit einer qualifizierten elektronischen Signatur zu versehen, benötigen Sie zunächst noch ein Zertifikat einer offiziellen Zertifizierungsstelle, eines sogenannten Trust Service Providers (TSP). OneSpan arbeitet mit verschiedenen Trust Service Providern zusammen und unterstützt qualifizierte elektronische Signaturen beziehungsweise Zertifikate verschiedener TSPs, zum Beispiel von asseco (Polen), GOVTECH (Singapur) und TrustPro (Italien/Irland).
Das Unternehmen Validated ID [5] stellt als Schnittstelle zwischen dem Trust Service Provider und dem OneSpan-Sign-Portal eine virtuelle Smartcard namens "VIDsigner" zur Verfügung. Mit dieser lässt sich das Zertifikat des Trust Service Providers im OneSpan-Sign-Portal zur Leistung qualifizierter elektronischer Unterschriften nutzen. Im Zuge des On-
boarding-Prozesses erhalten Sie deshalb parallel zur Einrichtung des Portalzugangs auch die Aufforderung, Ihre Daten zur Identitätsprüfung an Validated ID zu senden. Dafür tragen Sie die Daten aller Personen, die später qualifizierte elektronische Signaturen mit OneSpan Sign leisten sollen, in jeweils einer eigenen Zeile in eine Excel-Tabelle mit dem folgenden Feldaufbau ein: Lfd.Nr., Name, Vorname, E-Mail-Adresse, Mobilfunknummer, Land und ID-Nummer. Im letzten Feld ist die Nummer des verwendeten Ausweisdokuments (Personalausweis oder Reisepass) der jeweiligen Person einzutragen. Die Excel-Tabelle versenden Sie anschließend per PGP verschlüsselt an "admin@validated-id.com". Den zugehörigen öffentlichen Schlüssel und eine Anleitung für die PGP-Verschlüsselung erhalten Sie während des Onboarding-Prozesses von OneSpan.
Bild 1: Für den Einsatz der qualifizierten elektronischen Signatur (QES) kommt ein personengebundenes Zertifikat einer Zertifizierungsstelle (Trust Service Provider) zum Einsatz.
Identitätsprüfung und Ausstellung des QES-Zertifikats
Nachdem Sie die persönlichen Daten verschlüsselt an Validated ID übermittelt haben, erhalten Sie per E-Mail eine Aufforderung der Zertifizierungsstelle (TSP), die Identitätsprüfung durchzuführen, in unserem Fall von TrustPro. Dieser Anbieter setzt auf ein Offline-Video-Ident-Verfahren mit Zwei-Faktor-Authentifizierung. Klicken Sie auf den Link in der E-Mail und ergänzen Sie zunächst Ihre persönlichen Daten um weitere Informationen wie zum Beispiel dem Ablaufdatum des Ausweisdokuments. Für die eigentliche Identitätsprüfung gewähren Sie Ihrem Browser danach Zugriff auf Webcam und Mikro, klicken auf den Aufnehmen-Button und lesen den im Validierungsfenster eingeblendeten Text laut und deutlich vor. Im Text ist ein Platzhalter für eine PIN vorgesehen. Diese erhalten Sie parallel per SMS auf Ihr Mobiltelefon und fügen sie in den gesprochenen Text ein. Zusätzlich halten Sie das Ausweisdokument gut sichtbar mit Vorder- und Rückseite in die Kamera. Das Trust Team des TSP überprüft dann zeitversetzt die Übereinstimmung von Person, Ausweisdokument und PIN. Wenn es dabei keine Unstimmigkeiten feststellt, erhalten Sie ein digitales Zertifikat für Ihre Person.
Zum Abschluss fordert Sie TrustPro auf, die App "OathMobile" [6] zu installieren. Tun Sie das auf einem iOS- oder Android-Smartphone und scannen Sie zur Inbetriebnahme den bei Abschluss der Zertifikatsausstellung angezeigten QR-Code. Die App generiert Einmalpassworte nach dem HOTP-Verfahren (HMAC-based One-Time Password) und dient später zur Authorisierung Ihrer Signaturvorgänge unter Einsatz des QES-Zertifikats. Zusätzlich erhalten Sie einen Revocation Code. Mit diesem können Sie Ihr Zertifikat jederzeit für ungültig erklären, beispielsweise wenn Verdacht besteht, dass Ihr Zertifikat kompromittiert wurde.
Bevor sich das Zertifikat für qualifizierte Signaturen im OneSpan-Sign-Portal benutzen lässt, müssen Sie es noch in der virtuellen Smartcard VIDsigner (auch TSP-Portal genannt) aktivieren. Dazu loggen Sie sich unter der URL "https://centralized.vidsigner.net" mit den Zugangsdaten ein, die Sie per E-Mail von OneSpan erhalten haben. Klicken Sie auf Ihren Benutzernamen rechts oben und wählen Sie aus dem Untermenü die Option "Zertifikate". Hier autorisieren Sie Ihr QES-Zertifikat von TrustPro nun für den Einsatz in VIDsigner. Bei dieser Gelegenheit sollten Sie auch gleich Ihr Passwort für den Zugriff auf das VIDsigner-Portal ändern.
Kontoeinstellungen vornehmen
OneSpan Sign nennt den gesamten eSignatur-Workflow "Signatur Zeremonie"; die webbasierende Plattform selbst wird auch als "Signing Hub" bezeichnet. Loggen Sie sich mit den von OneSpan erhaltenen Zugangsdaten im EU-Portal oder alternativ in Ihren Sandbox-Account ein. Nach erfolgreichem Login befinden Sie sich im Dashboard. Über das Globus-Symbol oben rechts passen Sie gegebenenfalls die Spracheinstellungen an, um die Menüsprache im Portal umzustellen. Die Übersetzung ist hier und da nicht ganz perfekt und sorgt zuweilen für Erheiterung. Daher belassen wir die Spracheinstellungen für diesen Workshop auf Englisch. Über das User-Icon direkt neben den Spracheinstellungen ändern Sie im Bedarfsfall Ihre
Kontaktdaten und Ihr Passwort. Die E-Mail-Adresse ist fest mit Ihrem OneSpan-Account verdrahtet und lässt sich nicht selber ändern; dafür ist der Weg über den Support unumgänglich. Beachten Sie aber dabei, dass auch Ihr QES-Zertifikat an die E-Mail-Adresse gebunden ist.
In den Kontoeinstellungen haben Sie die Option, eine Grafik mit Ihrer Unterschrift hochzuladen. Diese fügt OneSpan Sign dann später an der entsprechenden Position als sichtbare Signatur in Ihre Dokumente ein, ansonsten erscheint dort einfach ein Text oder Ihre Initialen. Als "Account Owner" verfügen Sie darüber hinaus über Admin-Rechte und können im Admin-Menü beispielsweise die Vorgaben für die Passwort-Policy und die Aufbewahrungszeit von Dokumenten im Portal verändern. Weiterhin haben Sie in diesem Menü auch Zugriff auf Ihre gewählte Subskription (Lizenz) und auf die Gruppenverwaltung. Letzteres sehen wir uns später noch genauer an.
Transaktion anlegen
Für unsere erste Transaktion wollen wir eine Vertraulichkeitsvereinbarung (NDA) mit einem Dienstleister abschließen. Für diesen Zweck haben wir uns eine kostenfreie Vorlage aus dem Internet besorgt [7]. Klicken Sie auf "New Transaction" und vergeben Sie im folgenden Feld einen Namen und bei Bedarf einen Kommentar. Optional können Sie für jede Transaktion ein Ablaufdatum vergeben, dann müssen alle Beteiligten sie innerhalb des hier angegebenen Zeitfensters abgeschlossen haben, da sie sonst verfällt. Aktivieren Sie den Schalter "Review before completion", lässt sich die Transaktion inklusive aller Dokumente und Attachments nochmals einsehen, bevor sie nach der Unterzeichnung durch alle Beteiligten als "Complete" gilt. Innerhalb der Signatur-Zeremonie haben Sie zudem die Möglichkeit, von Beteiligten weitere Dokumente in Form von "Attachments" anzufordern. Mit einem Klick auf "Create" gelangen Sie nun zum Upload der zu unterzeichnenden Dokumente.
Dokumente hochladen und Felder hinzufügen
OneSpan Sign fügt jeder Transaktion das Dokument "Einverständnis zu Bekanntgaben und Unterschrift" hinzu, um die Einwilligung der Empfänger für das Nutzen des Signatur-Portals und den Versand der Dokumente einzuholen. Über ein Drei-Punkte-Symbol lässt sich eine Vorschau für das Dokument aufrufen und dieses im Bedarfsfall auch löschen. Per Drag & Drop oder per Klick auf "Add document" laden wir nun unsere Vertragsvorlage auf das Portal hoch. Diese Dokumente können auch direkt aus einem Cloudspeicher oder anderen verbundenen Applikationen stammen, weitere Informationen finden Sie im Abschnitt "Konnektoren, API & SDK". Für den Upload akzeptiert OneSpan Sign die folgenden Dokumenttypen: PDF, DOC(X), ODT, TXT oder RTF. Ein einzelnes Dokument darf dabei die Dateigröße von 16 MByte nicht überschreiten, insgesamt sind Transaktionen mit einer maximalen Anzahl von zehn Dokumenten möglich. Für die hochgeladenen Dokumente steht eine Vorschau zur Verfügung und natürlich lassen sich Dokumente im Portal auch umbenennen oder löschen.
Fügen Sie nun die Empfänger für Ihre Transaktion hinzu. Dazu klicken Sie im Bereich "Recipient" auf das User-Icon, wählen "Recipient" und füllen die Felder Vorname, Name, E-Mail Adresse und optional auch Titel und Company aus. Je genauer die Angaben über den Empfänger sind, desto mehr Informationen können Sie später in den Formularfeldern nutzen. Nachdem Sie den oder die Empfänger eingetragen haben, fügen Sie über "Add Recipient" nun sich selbst als Unterzeichner hinzu. Dazu wählen Sie im Kontextmenü die Option "Myself". OneSpan Sign befüllt das entsprechende Signer-Feld dann mit jenen Daten, die Sie unter "My Account" im Hauptmenü angegeben haben. Mithilfe des Schalters "Set signing order" legen Sie hier optional die Reihenfolge fest, in der die Beteiligten das Dokument unterzeichnen müssen.
Authentifizierung auswählen
Am Ende jeder Empfängerzeile finden Sie wieder das Drei-Punkte-Symbol, über das Sie das Kontextmenü aufrufen. Hier können Sie bei Bedarf die Daten des Empfängers nochmal korrigieren und unter dem Reiter "Authentication" festlegen, wie sich der Empfänger der Transaktion gegenüber dem OneSpan-Portal ausweisen soll.
Zur Auswahl stehen drei Methoden:
- None: keine Authentifizierung erforderlich. Der Empfänger muss nur den Link in der Benachrichtigungs-E-Mail anklicken, um auf die Dokumente zuzugreifen.
- SMS: Portal sendet dem Empfänger eine SMS, sobald er auf den "Unterschreiben"-Link in der E-Mail klickt.
- Q&A: ein Verfahren, bei dem Sender und Empfänger ein gemeinsames Geheimnis teilen. Hier legen Sie zwei Fragen mit entsprechenden Antworten fest. Der Empfänger muss die Antworten dann vor der Unterschrift korrekt angeben.
In unserer Transaktion benutzen wir SMS für die Authentifizierung des Vertragspartners/Unterzeichners und geben daher zusätzlich dessen Mobilrufnummer an. Sofern Sie für ihn oder für sich selbst bereits ein Zertifikat für die qualifizierte elektronische Signatur hinterlegt haben, können Sie die QES unter "Signing Method" auswählen. Für den Empfänger unserer Transaktion wählen wir hier "None". Wir selbst wollen das Dokument aber mit unserem Zertifikat qualifiziert gegenzeichnen. Für unseren eigenen Benutzer wählen wir aus dem Signing-Method-Menü daher den Eintrag "ValidatedID" aus.
Attachments anfordern
Wie bereits oben erwähnt, können Sie während des Signaturprozesses auf Wunsch auch weitere Dokumente vom Empfänger anfordern wie zum Beispiel die Kopie eines Führerscheins oder einen ausgefüllten Personalfragebogen. Für unser NDA benötigen wir keine weiteren Dokumente, daher lassen wir das Feld im Reiter "Attachment" frei. Im Bereich "Advanced" lässt sich noch eine persönliche Nachricht an den Empfänger aufnehmen und festlegen, ob der Empfänger nach Abschluss des Signaturverfahrens die unterschriebenen Dokumente per E-Mail erhalten soll. Alternativ bekommt jeder Unterzeichner nach Abschluss der Transaktion einen Download-Link für die Dokumente.
Eine Besonderheit stellt das "Change Signer"-Feld dar. Wenn Sie diese Option aktivieren, kann der Empfänger das Dokument einer anderen Person zur Unterschrift zuweisen. Das ist beispielsweise sinnvoll, wenn der Urheber einer Transaktion sich nicht sicher ist, ob der Empfänger über eine entsprechende Zeichnungsberechtigung seines Unternehmens verfügt. Speichern Sie die vorgenommenen Änderungen mit "Save" und bereiten Sie mit einem Klick auf "Next" nun das Dokument für die Unterschriften vor.
Whitelabeling
Mit dem Whitelabeling lässt sich die OneSpan-Plattform komplett vor den am Unterschriftsprozess beteiligten Personen verbergen. Kunden, die OneSpan Sign unter eigenem Namen betreiben möchten, erhalten im Zuge des Onboarding-Prozesses ein editierbares Dokument (Branding Form). In dieses trägt der Kunde alle gewünschten Änderungen ein: Texte für die unterstützten Sprachen, Logos, URLs, E-Mail-Adressen et cetera. OneSpan Sign passt dann auf Basis dieser Informationen die Oberfläche an.
Platzhalter für Unterschriften und weitere Felder definieren
Unsere zuvor hochgeladene Word-Datei wurde von OneSpan Sign inzwischen intern mit der "eSigning Erklärung" zu einem PDF-Dokument verschmolzen. Mit dem Formular-Editor legen wir nun die Elemente und Positionen für die Unterschrift auf dem Dokument fest. Auf der linken Seite sind die Empfänger aufgelistet, die das Dokument unterschreiben sollen. Klicken Sie die Namen nacheinander an und ziehen Sie zunächst das Feld "Signature" auf die Position im Dokument, die für die Unterschrift vorgesehen ist. Auf dieselbe Weise lassen sich weitere Felder wie Datum, Firmenname oder Name und Titel des Empfängers auf das Dokument ziehen. Diesen Vorgang wiederholen Sie nun mit dem zweiten Empfänger beziehungsweise mit den Daten des Urhebers der Transaktion. Die eingeblendeten Hilfslinien unterstützen Sie dabei, die Felder in Ihrem Dokument optimal zu platzieren. Optional können Sie das Dokument noch um klassische Formularelemente wie Text- und Checkboxen oder Radio-Buttons ergänzen, falls Sie zusätzliche Informationen beim Unterzeichner einholen möchten. Für unser NDA ergänzen wir das Vertragsformular noch um eine Checkbox und ein "Label Field" mit dem Text "gelesen und akzeptiert". Die Checkbox setzen wir in den Einstellungen auf "Is Required". Der Unterzeichner kann die Transaktion damit erst beenden, wenn er das Häkchen in der Checkbox aktiv gesetzt hat.
Bild 2: Mithilfe des Editors kann der Benutzer Unterschrifts- und Formularfelder im Dokument hinterlegen und ausrichten.
Signaturtyp festlegen
Sobald Sie das Unterschriftfeld des Empfängers in das Dokument eingefügt haben, können Sie in den Einstellungen auch den Signaturtyp ändern. Per Default steht dieser auf "Click-to-Sign", der Benutzer muss zur Unterschrift also lediglich mit der Maus in das entsprechende Feld klicken. Wenn Sie stattdessen im Kontextmenü "Capture Signature" auswählen, erscheint auf Seiten des Empfängers eine Textbox, in der er seine Unterschrift händisch beispielsweise via Apple Pencil oder mit dem Finger auf einem Tablet leisten kann. Als dritte Option steht noch "Click-to-Initial" zur Verfügung. In diesem Fall erscheinen auf dem Dokument nach erfolgreicher Signatur statt des vollständigen Namens lediglich die Initialen des Unterzeichners. Die Transaktion ist damit vorbereitet und fertig zum Versand. Klicken Sie auf "Send to sign", um den Vorgang jetzt an die beteiligten Personen zu verteilen.
Unterschriften leisten und Transaktion abschließen
Sofern Sie es unter "Signing Order" so festgelegt haben, muss zunächst der externe Vertragspartner unser NDA-Dokument gegenzeichnen. Er erhält eine E-Mail-Benachrichtigung, dass ein neues Dokument zur Unterzeichnung vorliegt. Klickt der Empfänger auf den in der E-Mail enthaltenen Link, versendet das OneSpan-Portal eine SMS, mit der er sich vor der Unterzeichnung am Portal authentifizieren muss. Nach Eingabe der SMS-PIN muss der Empfänger zunächst den eSign-Bedingungen zustimmen, erst dann sieht er das eigentliche Dokument. Wie von uns vorgesehen, muss der Empfänger hier zunächst noch das Häkchen in der Checkbox "Gelesen und akzeptiert" setzen, damit er mit einem Klick auf das Feld "Unterschreiben" unterzeichnen kann.
Wurde das NDA gegengezeichnet, fehlt nun noch unsere eigene Unterschrift als Initiator beziehungsweise Eigentümer. Dazu rufen wir die Transaktion erneut im Dashboard des Portals auf und wählen "Start" aus. Wie bereits unser Vertragspartner zuvor unterschreiben wir als Eigentümer ebenfalls per Klick auf das Feld "Sign". Da wir in den Einstellungen aber festgelegt haben, die Transaktion mit unserem QES-Zertifikat gegenzeichnen zu wollen, ist noch ein weiterer Schritt erforderlich. Ein Klick auf "Confirm" bringt uns zur Anmeldemaske für die virtuelle Smartcard, wo wir nach Eingabe unserer Credentials den Einsatz unseres QES-Zertifikats nun per OTP (One-Time Password) aus der OATH-Mobile-App autorisieren. Erst nach diesem Schritt ist das Dokument mit unserer qualifizierten elektronischen Signatur unterzeichnet.
Um die Transaktion abzuschließen, rufen Sie diese im Portal erneut auf und klicken auf "Complete". Daraufhin erhalten alle Unterzeichner eine E-Mail-Benachrichtigung über den erfolgreichen Abschluss der Transaktion.
Transaktionen überprüfen
Wie eingangs erwähnt, unterscheiden sich einfache, fortgeschrittene und qualifizierte elektronische Signaturen aus juristischer Sicht vor allem in ihrer Beweiskraft. OneSpan Sign bietet mit dem "Audit Trail" eine äußerst leistungsfähige Überprüfbarkeit der durchgeführten Transaktionen. Beim Audit-Trail handelt es sich um eine mehrseitige PDF-Datei, die detaillierte Informationen über die Transaktion enthält. Für jede abgeschlossene finden Sie im Portal unter dem Begriff "Summary" einen eigenen Audit-Trail zum Herunterladen. Jede Unterschriftszeremonie erhält dabei eine eindeutige ID und alle Einzelschritte der Beteiligten werden aufgezeichnet und in einer übersichtlichen Tabelle aufbereitet. Die einzelnen Transaktionsschritte erhalten dabei zusätzliche Informationen wie zum Beispiel die beim Portalzugriff genutzte IP-Adresse, Mobilfunknummern für die SMS-PINs, eingesetzte Zertifikate et cetera. Auch das Setzen des Häkchens im Formular "Gelesen und akzeptiert" aus unserem Beispiel lässt sich hier genau nachvollziehen.
Darüber hinaus signiert OneSpan Sign die Dokumente jeder Transaktion mit der eindeutigen Transaktions-ID aus dem Audit-Trail. Das PDF-Dokument und die Audit-Trails sind damit kryptographisch miteinander verbunden, spätere Änderungen am Dokument würden die digitale Signatur daher ungültig machen. Die Signaturen in den PDF-Dokumenten lassen sich mit jedem PDF-Reader überprüfen. Der Acrobat Reader führt eine Prüfung der digitalen Unterschriften im Dokument durch und bestätigt deren Gültigkeit.
Bild 3: Die digitale Unterzeichnung kann entweder per Mausklick oder mithilfe eines Digipads, Apple Pencil et cetera erfolgen.
Templates und mobile App
OneSpan Sign beinhaltet ein Vorlagensystem, mit dem Sie häufig benötigte Dokumente einfach in Form einer immer wieder verwendbaren Konserve bereitstellen können. Dafür laden Sie im Bereich Templates ein entsprechendes Dokument hoch und erstellen die gewünschten Unterschrifts- und Formularfelder. So lassen sich beispielsweise für Verträge auch die Vertragspartner als Variable im Kopf des Dokuments hinterlegen ("Signer Company"). Für die – derzeit ja noch unbekannten – Empfänger legen Sie einen Recipient vom Typ "Placeholder" an. Erstellen Sie nun eine Transaktion aus einer Vorlage, müssen Sie lediglich noch den oder die Empfänger mit vollständigen Kontaktdaten definieren – die Variablenfelder im Dokument werden dann automatisch aus der Empfängerdatenbank befüllt.
Darüber hinaus steht für Templates auch eine "Bulk sending"-Option zur Verfügung. Bulk sending eignet sich besonders, wenn Sie ein Dokument an sehr viele Empfänger zur Unterschrift versenden möchten. Die Daten der Empfänger laden Sie in diesem Fall in Form einer CSV-Datei auf das Portal hoch, OneSpan Sign erzeugt dann die benötigten Transaktionen und kümmert sich um den Versand.
On-Premises- und Hybrid-Betrieb
Ein Alleinstellungsmerkmal von OneSpan Sign ist, dass besonders sicherheitsbewusste Kunden die Plattform auf eigener Hardware/Infrastruktur (on-premises auf Windows oder Linux) hinter der eigenen Unternehmens-Firewall betreiben können. Auch der Wechsel vom Cloud- in das On-Premises-Modell und zurück sowie der Hybrid-Betrieb mit Amazon Web Services ist nach Informationen von OneSpan jederzeit möglich.
Konnektoren, API & SDK
OneSpan Sign bietet Schnittstellen (Connectors) zu Box, Salesforce, SharePoint und Microsoft Dynamics sowie zu einigen weiteren, hierzulande aber eher unbekannten Herstellern von ERP/CRM/DMS-Systemen an. Mittels der Konnektoren können Unternehmen, die eines oder mehrere der genannten Produkte einsetzen, eigene Workflows aufbauen. Auf diese Weise lassen sich beispielsweise in Box oder SharePoint lagernde Dokumentvorlagen direkt in OneSpan Sign weiterverarbeiten. Noch mehr Flexibilität haben Entwickler, da sie beispielsweise mithilfe von Java-SDK, NET-SDK beziehungsweise über die REST-API von OneSpan Sign eigene Applikationen erstellen und dort einzelne Funktionen oder komplette Workflows der OneSpan-Sign-Plattform integrieren können. Für Android und iOS stehen unter [8] eigene Software Development Kits (SDK) bereit. Entwickler haben die Möglichkeit, Codebestandteile über die Entwickler-Community beziehungsweise die Codesharing-Plattform [9] auszutauschen und so auf bestehende Ressourcen anderer Entwickler aufzubauen.
Fazit
Vor allem in Zeiten von vermehrter Telearbeit sind elektronische Unterschriften nicht mehr wegzudenken. OneSpan Sign ist eine mächtige Plattform für das Management elektronischer Signaturverfahren. Unternehmen können ihre Dokumente mit dem Tool rechtssicher und ohne großen Aufwand aus der Ferne unterzeichnen. OneSpan Sign begleitet den Benutzer durch das Signaturverfahren, angefangen von der Einrichtung der Plattform bis hin zum Abschluss der E-Signatur. Wer die Plattform ausprobieren möchte, dem stehen mit dem kostenlosen Sandbox-Account – bis auf die qualifizierte elektronische Signatur – alle Funktionen zur Verfügung.
(jm)
Link-Codes
[2] OneSpan-Vertriebspartner: https://partners.onespan.com/directory
[9] Codesharing-Plattform für OneSpan Sign: https://community.onespan.com/documentation/onespan-sign/codeshare/