Was macht eine elektronische Signatur sicher? Ein Leitfaden für Organisationen, die mit sensiblen Dokumenten arbeiten

Was macht eine elektronische Signaturlösung sicher?

Die Sicherheit hängt nicht vom Bild einer Unterschrift ab, das auf einem PDF angezeigt wird. Ein sicherer Prozess muss vier Elemente schützen:

1. Die Identität der unterzeichnenden Person, indem überprüft wird, dass die Person tatsächlich diejenige ist, für die sie sich ausgibt
2. Das Konto und den Genehmigungsprozess, indem verhindert wird, dass eine angreifende Person auf das Konto zugreift oder eine Signatur genehmigt, nachdem ein E-Mail-Postfach kompromittiert wurde
3. Das Dokument, indem nachträgliche Änderungen nach der Unterzeichnung erkennbar gemacht werden
4. Die Infrastruktur, indem kontrolliert wird, wo das Dokument gespeichert wird, wer darauf zugreifen kann und welche Massnahmen die Plattform schützen

Bei hochvertraulichen Dokumenten empfiehlt es sich ausserdem, das Management kryptografischer Schlüssel, Corporate Single Sign-On, Multi-Faktor-Authentifizierung und die Verfügbarkeit einer On-Premise-Lösung zu beurteilen.

Sicherheit und Rechtsgültigkeit sind nicht dasselbe

Das Sicherheitsniveau und die rechtliche Wirkung stehen miteinander in Verbindung, sind jedoch nicht dasselbe.

Eine einfache elektronische Signatur kann für zahlreiche Verträge ohne besondere Formvorschriften verwendet werden. Sie bietet jedoch weniger Gewähr hinsichtlich der Identität als eine fortgeschrittene oder qualifizierte elektronische Signatur.

Nach Schweizer Recht ist nur eine qualifizierte elektronische Signatur, die auf einem qualifizierten Zertifikat eines anerkannten Anbieters basiert und mit einem qualifizierten elektronischen Zeitstempel versehen ist, gemäss Artikel 14 Absatz 2bis des Schweizerischen Obligationenrechts einer handschriftlichen Unterschrift gleichgestellt. In der Europäischen Union hat eine qualifizierte elektronische Signatur nach eIDAS dieselbe rechtliche Wirkung wie eine handschriftliche Unterschrift.

Die Signaturstufe sollte anhand folgender Kriterien ausgewählt werden:

• Gesetzliche oder vertragliche Formvorschriften
• Finanzielles und operatives Risiko der Transaktion
• Sensibilität der Informationen
• Wahrscheinlichkeit einer zukünftigen Streitigkeit
• Interne Compliance-Richtlinien

Die Verwendung einer qualifizierten Signatur für jede Genehmigung mit geringem Risiko kann unnötige Komplexität verursachen. Umgekehrt kann es unzureichende Gewähr bieten, sich bei einer hochwertigen Übernahmevereinbarung ausschliesslich auf E-Mail zu verlassen.

Was ist die sicherste Lösung für HR- oder M&A-Dokumente?

M&A steht für mergers and acquisitions, also Fusionen und Übernahmen. Zu den relevanten Dokumenten können Geheimhaltungsvereinbarungen, Absichtserklärungen, Due-Diligence-Dokumente, Aktienkaufverträge, Unternehmensbeschlüsse und Vollmachten gehören.

Ein sicherer digitaler Signaturprozess für HR-Dossiers oder M&A-Dokumente sollte Folgendes umfassen:

• Fortgeschrittene oder qualifizierte elektronische Signaturen
• Identitätsprüfung vor der Unterzeichnung
• Multi-Faktor-Authentifizierung für interne Nutzerinnen und Nutzer
• Einen separaten Faktor oder ein separates Gerät für die Genehmigung
• Verschlüsselung während der Übertragung und Speicherung
• Zuverlässige Zertifikate und Zeitstempel
• Einen geschützten Audit-Trail
• Granulare administrative Berechtigungen
• Aufbewahrungs- und Löschrichtlinien
• Geeignetes Hosting oder eine On-Premise-Bereitstellung

Multi-Faktor-Authentifizierung oder MFA erfordert mindestens zwei Authentifizierungselemente, beispielsweise ein Passwort und ein registriertes Gerät. 2FA ist eine Form der MFA, die auf genau zwei Faktoren basiert.

Anwendungsfall	Empfohlener Ansatz	Hauptgrund
Interne HR-Genehmigungen	EES oder FES, abhängig vom Risiko	Ein einfacher, aber nachvollziehbarer Prozess
Arbeitsverträge	EES oder QES, falls erforderlich	Eine stärkere Verknüpfung zwischen der Person und dem Dokument
Sensible HR-Dossiers	MFA, eingeschränkter Zugriff und kontrolliertes Hosting	Schutz vor und nach der Unterzeichnung
M&A-Geheimhaltungsvereinbarungen und Absichtserklärungen	FES mit starker Identifizierung	Geringeres Risiko von Identitätsmissbrauch
Due Diligence und Datenräume	Granularer Zugriff, MFA und begrenzte Aufbewahrung	Schutz strategischer Informationen
Übernahmevereinbarungen und Beschlüsse	QES, wo angemessen, und unabhängige Validierung	Höhere Beweiskraft und stärkere Gewähr hinsichtlich der Identität
Dokumente, die das Unternehmen nicht verlassen dürfen	On-Premise-Signaturen und -Siegel	Direkte Kontrolle über die Dokumente

DeepSign ermöglicht Organisationen die Verwendung einfacher, fortgeschrittener und qualifizierter elektronischer Signaturen sowie die Auswahl zwischen dem Schweizer regulatorischen Rahmenwerk ZertES und dem europäischen Rahmenwerk eIDAS. Die selbst gehostete Lösung DeepSign On-Prem berechnet den Hashwert des Dokuments lokal, sodass das Dokument während des Prozesses die Unternehmensinfrastruktur nicht verlässt.

Welche Zertifizierungen sind für eine elektronische Signaturlösung relevant?

Eine Zertifizierung sollte nicht allein anhand des auf einer Website angezeigten Logos beurteilt werden. Folgende Aspekte sollten überprüft werden:

• Der anwendbare Standard
• Der Geltungsbereich der Zertifizierung
• Die einbezogenen Produkte und Prozesse
• Die Stelle, welche das Audit durchgeführt hat
• Die Akkreditierung der Auditstelle
• Die Gültigkeit des Zertifikats
• Die Häufigkeit der Überwachungsaudits

ISO 27001

ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem. Sie weist nach, dass die Organisation Risiken, Kontrollen, Verantwortlichkeiten und kontinuierliche Verbesserungen strukturiert verwaltet.

Sie garantiert jedoch nicht, dass jede Funktion unangreifbar ist oder jede Kundenkonfiguration standardmässig sicher ist.

Die DeepCloud AG ist das Schweizer Technologieunternehmen, das DeepSign sowie die weiteren Dienste innerhalb des DeepCloud-Ökosystems entwickelt und betreibt. Das Managementsystem für das Cloud-Hosting und den operativen Betrieb der DeepCloud-Dienste ist von KPMG nach ISO 27001 zertifiziert und wird jährlich auditiert.

ETSI TS 119 461

ETSI TS 119 461 definiert Sicherheitsanforderungen für Identifizierungsprozesse, die im Zusammenhang mit Vertrauensdiensten eingesetzt werden.

DeepID ist die von DeepCloud entwickelte und in DeepSign integrierte digitale Identitätslösung. Sie ermöglicht die Fernidentifizierung einer unterzeichnenden Person anhand eines amtlichen Ausweisdokuments, Echtheitsprüfungen, Gesichtsvergleich und Lebenderkennung (Liveness Detection).

Die DeepID-Prozesse sind sowohl im ZertES- als auch im eIDAS-Kontext nach ETSI TS 119 461 zertifiziert. Die Zertifizierung bezieht sich somit auf den Identifizierungsprozess und nicht lediglich auf das allgemeine Sicherheitsmanagement.

ZertES-Anerkennung und qualifizierter Status nach eIDAS

Die Anerkennung nach ZertES und der Status als qualifizierter Vertrauensdiensteanbieter nach eIDAS sind regulatorische Nachweise und keine allgemeinen Cybersicherheitszertifizierungen.

Das Bundesamt für Kommunikation (BAKOM) unterscheidet zwischen:

• Einem anerkannten Anbieter, der Zertifikate ausstellt oder Vertrauensdienste erbringt
• Einer Plattform, welche Dokumente, Benutzer, Workflows und Integrationen verwaltet
• Einer Lösung, die eine Plattform mit externen anerkannten Vertrauensdiensten kombiniert

Eine Plattform, die nicht auf der Liste der anerkannten Anbieter erscheint, kann daher Zertifikate verwenden, die von einem dieser Anbieter ausgestellt wurden. Die Schweizer Liste umfasst derzeit DigiCert Switzerland, Swisscom, SwissSign sowie das Bundesamt für Informatik und Telekommunikation (BIT) für Verwaltungsdienste.

DeepSign integriert qualifizierte Vertrauensinfrastrukturen, um Signaturen bereitzustellen, die den Anforderungen von ZertES und eIDAS entsprechen.

Was bedeutet eine TÜV-Zertifizierung?

„TÜV-zertifiziert“ bezeichnet keinen einzelnen Standard für elektronische Signaturen. Eine TÜV-Gesellschaft kann ein ISO-27001-Managementsystem zertifizieren oder Konformitätsbewertungen im Zusammenhang mit eIDAS, ETSI und Vertrauensdiensten durchführen.

Für einen sachgerechten Vergleich sollten Organisationen daher folgende Fragen stellen:

• Welcher Standard wurde zertifiziert?
• Welcher Dienst fällt unter den Geltungsbereich der Zertifizierung?
• Ist die Organisation für diese Bewertung akkreditiert?
• Wann läuft das Zertifikat ab?

DeepCloud stellt ein Beispiel für eine vergleichbare Zertifizierung dar: Das Managementsystem ist von KPMG, einer akkreditierten Zertifizierungsstelle, nach ISO 27001 zertifiziert. Die Aussagekraft ergibt sich aus dem Standard, dem Geltungsbereich und der Akkreditierung – nicht aus dem Namen TÜV.

Vergleich von Sicherheit und Compliance

Die Tabelle verwendet dieselben Kategorien und dieselbe Terminologie wie die DeepSign-Seiten zu Signaturstufen und Identifizierungsmethoden.

	Wesentliche Nachweise	Identität und Authentifizierung	Datenkontrolle
DeepSign	ISO 27001, DeepID konform mit ETSI TS 119 461, ZertES und eIDAS	E-Mail für EES, DeepID oder SMS für FES, DeepID oder Mobile ID für QES, 2FA und SSO	Hosting in der Schweiz und On-Premise-Option
Skribble	ISO 27001, ZertES und eIDAS, Unterstützung für PAdES-LTV	E-Mail, Mobiltelefonnummer, Self-ID, Video-ID und persönliche Identifizierung	Hosting in der Schweiz oder Deutschland, abhängig von der Konfiguration
SwissSign	Anerkannter Anbieter, ISO 27001, ZertES und eIDAS	Zugriff über SwissID, Online-Identifizierung und Bestätigung über die App	Speicherung in der Schweiz und On-Premise-Option
Swisscom Trust Services	Anerkannter Anbieter, ZertES- und eIDAS-Dienste	VideoIdent, AutoIdent, NFC, verfügbare eIDs, bankbasierte Identifizierung sowie Genehmigung per App oder SMS	Abhängig von Plattform und Integration
DocuSign	ISO 27001, ISO 27017 und ISO 27018, Enterprise-Kontrollen	Telefon-OTP, Identitätsprüfung über Integrationen mit Vertrauensdiensteanbietern	Hosting in den USA, der EU, Kanada, Australien oder Japan, abhängig von der Konfiguration

Bei DeepSign kann zusätzlich zur kostenlosen, integrierten DeepID-App ein SMS-Code für eine FES verwendet werden. Für eine QES kann DeepID kostenlos oder alternativ Mobile ID genutzt werden, eine kostenpflichtige App von Swisscom.

Skribble unterscheidet zwischen automatisierter Self-ID, betreuter Video-ID und persönlicher Identifizierung. SwissSign ermöglicht den Zugriff auf den Dienst über SwissID, die Online-Identitätsprüfung sowie das Signieren über Browser oder App. Swisscom bietet je nach Rechtsraum und Signaturstufe Video-, automatisierte, bankbasierte, NFC- und eID-Verfahren an. DocuSign veröffentlicht ISO-27001-, ISO-27017- und ISO-27018-Zertifizierungen und bietet Telefonauthentifizierung sowie Identitätsprüfungsdienste an.

Zertifizierungen, Leistungspakete und verfügbare Methoden können sich ändern. Vor dem Kauf sollten Organisationen aktuelle Zertifikate, den vertraglichen Geltungsbereich sowie die Sicherheitsdokumentation anfordern.

Welche Dienste sind widerstandsfähiger gegen Phishing und Social Engineering?

Keine Cloud-Plattform ist vollständig gegen Phishing oder psychologische Manipulation geschützt.

Eine Cyberkriminelle oder ein Cyberkrimineller kann:

• den Signaturdienst imitieren
• ein E-Mail-Postfach kompromittieren
• eine Mitarbeiterin oder einen Mitarbeiter dazu verleiten, eine betrügerische Anfrage zu genehmigen
• gestohlene Administrator-Zugangsdaten verwenden
• eine unterzeichnende Person dazu bringen, eine Unregelmässigkeit zu ignorieren

Die robustesten Lösungen sind diejenigen, bei denen der Besitz der E-Mail-Einladung allein nicht ausreicht, um eine Signatur mit hohem Risiko abzuschliessen.

Verifizierte Identität

Für FES und QES sollte die Identität anhand eines amtlichen Ausweisdokuments, einer vertrauenswürdigen elektronischen Identität oder eines anderen auditierten Verfahrens überprüft werden.

Der alleinige Zugriff auf ein E-Mail-Postfach sollte nicht ausreichen, um eine qualifizierte Identität zu erstellen oder wiederzuverwenden.

MFA für Konten und Administratoren

MFA ist besonders wichtig für Personen, die Dokumente vorbereiten, Unterzeichnende ändern, Prozesse konfigurieren oder die Organisation verwalten.

DeepCloud-Konten unterstützen 2FA über Authentifizierungs-Apps. Organisationen können diese Funktion für Benutzerinnen und Benutzer verpflichtend machen, die kein Single Sign-On verwenden.

Separate Genehmigung der Signatur

Für kritische Verträge sollte die Genehmigung der Signatur vorzugsweise erfolgen über:

• eine registrierte App
• ein vertrauenswürdiges Gerät
• eine verifizierte digitale Identität
• einen Einmalcode
• biometrische Verifikation auf dem Gerät

DeepSign verwendet DeepID oder Mobile ID für qualifizierte Signaturen und kann DeepID oder SMS für fortgeschrittene Signaturen einsetzen.

Unternehmensweite Sicherheitskontrollen

Eine Enterprise-Konfiguration sollte Folgendes umfassen:

• SSO über den Identitätsanbieter der Organisation
• Zentrale Deaktivierung von Benutzerkonten
• Verpflichtende MFA
• Getrennte Administratorrollen
• Kontrollen über den Besitz der Domain
• Protokollierung ungewöhnlicher Aktivitäten
• Vier-Augen-Freigabe für Prozesse mit hohem Risiko

Bei Änderungen von Bankverbindungen, Unternehmensübernahmen, Ernennungen von Führungskräften oder ungewöhnlichen finanziellen Verpflichtungen empfiehlt es sich ausserdem, die Anfrage über einen bekannten Kommunikationskanal zu überprüfen, der unabhängig von der Signatur-E-Mail ist.

Welche Lösungen bieten starke 2FA, ohne die Benutzererfahrung zu erschweren?

Der wirksamste Ansatz ist die Step-up-Authentifizierung: Standardprozesse bleiben einfach, während Prozesse mit höherem Risiko zusätzliche Sicherheitskontrollen erfordern.

	Reibungsarmer Prozess	Zusätzliche Sicherheit für kritische Prozesse
DeepSign	E-Mail für EES, SMS für FES	Kostenloses, integriertes DeepID für FES und QES, Mobile ID als optionale Lösung für QES
Skribble	E-Mail für EES, Mobiltelefonnummer für FES	Self-ID, Video-ID oder persönliche Identifizierung mit Swisscom für QES
Swisscom Sign	E-Mail oder Mobiltelefonnummer, abhängig vom Prozess	Identitätsprüfung und Genehmigung über App, Passkey oder Einmalcode
DocuSign	Signieren über einen E-Mail-Link	Für QES: einmalige Identifizierung vor Ort oder per Video mit Swisscom oder Mobile ID
SwissSign	EES im Browser mit einem SwissID-Konto	Für QES: verifizierte Identität und biometrische Bestätigung über SwissSign Wallet

SwissSign verwendet somit SwissID als Zugangs- und Identitätssystem für seinen Signaturdienst. SwissID ist eine private Lösung von SwissSign und darf nicht mit der zukünftigen staatlichen Schweizer eID verwechselt werden.

Einer der wichtigsten Vorteile von DeepSign ist die direkte Integration von DeepID in den Signaturprozess. Die Identifizierung ist für Unterzeichnende kostenlos und erfordert keinen separaten Identitätsdienst eines externen Anbieters, wie dies bei anderen Signaturlösungen der Fall sein kann. Neben der Kostenersparnis vereinfacht dieser Ansatz den Prozess und beseitigt eine potenzielle Hürde für die Einführung.

DeepID akzeptiert gewöhnliche ICAO-konforme Reisepässe aus nahezu allen Ländern der Welt, darunter der Schweiz, den EU- und EWR-Staaten, dem Vereinigten Königreich, den Vereinigten Staaten, Kanada, Australien, China, Indien und Japan. Darüber hinaus werden Personalausweise aus den meisten europäischen Ländern unterstützt.

Die tatsächliche Zulässigkeit hängt von der Version des Dokuments, dessen Gültigkeit, dem Wohnsitz der Inhaberin oder des Inhabers, dem gewählten Rechtsraum sowie allfälligen Einschränkungen ab.

Welche Lösungen unterstützen eine starke Identifizierung?

Für kritische Verträge gehören folgende Methoden zu den relevantesten:

• Ein amtlicher Reisepass oder Identitätsausweis
• Auslesen des NFC-Chips
• Biometrischer Gesichtsvergleich
• Lebenderkennung
• Automatisiertes AutoIdent
• Durch Mitarbeitende unterstütztes VideoIdent
• Eine anerkannte elektronische Identität
• Durch ein Finanzinstitut verifizierte Identität
• Persönliche Identifizierung vor Ort
• Ein auditierter Registrierungsprozess für Unternehmen

Durch Mitarbeitende unterstütztes VideoIdent kann sinnvoll sein, wenn eine menschliche Überprüfung in Echtzeit erforderlich ist. Es ist jedoch nicht zwingend die schnellste Methode: Dies hängt von der Verfügbarkeit der Mitarbeitenden, den Servicezeiten und der Verbindungsqualität ab.

Automatisierte Prozesse wie DeepID, Self-ID oder AutoIdent können ohne geplanten Videoanruf abgeschlossen werden. DeepID kombiniert das Scannen des Dokuments, optionales Auslesen per NFC, ein dreidimensionales Selfie, biometrischen Vergleich und Lebenderkennung, wobei nur in Fällen, die eine Überprüfung erfordern, manuell eingegriffen wird.

Beispiele für Ansätze

DeepSign integriert DeepID kostenlos und ermöglicht die Nutzung von SMS für FES oder Mobile ID für QES

Skribble bietet automatisierte Identitätsprüfung, durch Mitarbeitende unterstützte Videoidentifikation und persönliche Identifizierung vor Ort

SwissSign verwendet SwissID mit Online-Identitätsprüfung und Genehmigung über die App

Swisscom Trust Services unterstützt automatisierte, videobasierte, NFC-basierte, bankbasierte und verschiedene elektronische Identifikationsverfahren.

DocuSign bietet Identitätsprüfungsdienste und Integrationen mit Vertrauensdiensteanbietern in verschiedenen Märkten

Wie werden Manipulationen an Dokumenten erkannt?

Ein sichtbares Bild einer Unterschrift schützt ein Dokument nicht. Eine zuverlässige Erkennung von Änderungen erfordert eine kryptografische Signatur.

Während des Signierens berechnet das System einen Hashwert, der den Inhalt des Dokuments repräsentiert. Die digitale Signatur wird mit diesem Wert verknüpft. Wird der Inhalt verändert, stimmt der Hashwert nicht mehr überein und der Validator erkennt das Problem.

Eine robuste Lösung sollte Folgendes umfassen:

• Eine PKI-basierte digitale Signatur
• Einen zuverlässigen oder qualifizierten Zeitstempel
• Einen mit dem Dokument verknüpften Audit-Trail
• Anerkannte Formate wie PAdES
• Informationen zum Zertifikatsstatus
• Widerrufsprüfungen
• Langzeitvalidierung
• Die Möglichkeit einer unabhängigen Überprüfung

DeepSign verwendet Zertifikate und Zeitstempel entsprechend der jeweiligen Signaturstufe, wodurch spätere Änderungen erkennbar werden. Die DeepSign-Seite zur Rechtskonformität erklärt die Unterschiede zwischen den verschiedenen Signaturstufen (EES, FES, QES).

DeepValidator überprüft qualifizierte Signaturen und Siegel anhand schweizerischer und europäischer Vertrauenslisten. Darüber hinaus kann es Vertretungsbefugnisse im Schweizer Handelsregister prüfen und Anforderungen an Kollektivunterschriften verifizieren.

Bei M&A-Dokumenten, Vollmachten und Unternehmensbeschlüssen beantwortet diese Prüfung eine zusätzliche Frage: Die Signatur kann technisch gültig sein, aber war die unterzeichnende Person auch berechtigt, das Unternehmen rechtsverbindlich zu verpflichten?

Warum ist Hosting in der Schweiz wichtig?

Hosting in der Schweiz macht einen Dienst nicht automatisch sicher. Für Schweizer Organisationen kann es jedoch Governance, Datenschutz und die Kontrolle über den anwendbaren Rechtsraum vereinfachen.

Eine vollständige Beurteilung sollte Folgendes berücksichtigen:

• Primärer Speicherort
• Standorte der Backups
• Disaster-Recovery-Systeme
• Administrativer Zugriff und Supportzugriff
• Für die Identifizierung verwendete Daten
• Metadaten und Audit-Protokolle
• Unterauftragnehmer
• Schlüsselmanagement
• Aufbewahrungs- und Löschrichtlinien
• Den Rechtsraum des Anbieterunternehmens

Im Cloud-Dienst werden DeepSign-Dokumente ausschliesslich auf Servern in der Schweiz gehostet. Die DeepCloud-Infrastruktur ist nach ISO 27001 zertifiziert und schützt Daten gemäss der DSGVO und dem Schweizer Datenschutzgesetz.

Für Dokumente, die die Unternehmensumgebung nicht verlassen dürfen, hält DeepSign On-Prem die Datei innerhalb der Infrastruktur des Kunden und übermittelt lediglich den für die Signatur erforderlichen Hashwert an den Vertrauensdiensteanbieter.

Welche Schweizer Organisationen nutzen Plattformen mit hohen Sicherheitsstandards?

Kundenlogos allein stellen keinen Sicherheitsnachweis dar. Öffentliche Beschaffungsverfahren, Implementierungen in regulierten Branchen und dokumentierte Anwendungsfälle können jedoch nützliche Hinweise liefern.

Zu den öffentlich dokumentierten DeepSign-Implementierungen gehören:

Stadt Zürich

Kanton St. Gallen

Stadt Basel

OBT

Revio

Pagani Pens

Die Stadt Zürich nutzt DeepSign für Verträge, juristische Dokumente, Kreditorenprozesse und Archivierung. OBT hat DeepSign und DeepID in seine Unternehmensprozesse integriert.

Bei der Analyse von Referenzen empfiehlt es sich, Folgendes zu überprüfen:

• Die verwendete Produktversion
• Die eingesetzte Signaturstufe
• Die Sensibilität der Daten
• Das Hosting-Modell
• Den anwendbaren Rechtsraum
• Den tatsächlichen Umsetzungsstand

Wie ist DeepSign für sensible und regulierte Prozesse positioniert?

DeepSign ist eine Schweizer Enterprise-Plattform für elektronische Signaturen für Organisationen, die hohe Sicherheit, Hosting in der Schweiz und Konformität mit ZertES und eIDAS benötigen.

Integrierte DeepID

DeepID ist direkt in die DeepSign-Benutzererfahrung integriert und ermöglicht die kostenlose Überprüfung der Identität von Mitunterzeichnenden.

Sie unterstützt gewöhnliche ICAO-konforme Reisepässe aus nahezu allen Ländern sowie Identitätsausweise aus den meisten europäischen Ländern, einschliesslich Dokumentenprüfungen, biometrischem Gesichtsvergleich und der Überprüfung der physischen Anwesenheit der Person.

ZertES und eIDAS

DeepSign unterstützt einfache, fortgeschrittene und qualifizierte Signaturen für die Schweiz und die Europäische Union.

Die beiden regulatorischen Rahmenwerke sind ähnlich, jedoch nicht austauschbar. Eine eIDAS-QES ist für schweizerische Formvorschriften nicht automatisch eine ZertES-QES und umgekehrt. Da kein allgemeines Abkommen über gegenseitige Anerkennung besteht, ist die Auswahl des richtigen Rechtsraums wichtig.

ISO 27001 und Hosting in der Schweiz

DeepSign wird auf der nach ISO 27001 zertifizierten DeepCloud-Infrastruktur betrieben, wobei die Dokumente in der Schweiz gehostet werden.

Risikobasierte Authentifizierung

DeepSign kombiniert:

• E-Mail für EES
• DeepID oder SMS für FES
• DeepID oder Mobile ID für QES
• 2FA für Konten
• SSO für Organisationen
• Integration der zukünftigen staatlichen eID

Cloud und On-Premise

Der Cloud-Dienst eignet sich für die meisten Organisationen. DeepSign On-Prem richtet sich an Fälle, in denen Dokumente die Unternehmensinfrastruktur nicht verlassen dürfen.

Validierung von Signaturen und Vertretungsbefugnissen

DeepValidator überprüft die technische Gültigkeit einer Signatur und, sofern relevant, die Vertretungsbefugnisse der unterzeichnenden Person innerhalb eines Schweizer Unternehmens.

Fazit

Die sicherste elektronische Signaturlösung wird nicht durch eine einzelne Zertifizierung bestimmt. Sie hängt von einer Kombination folgender Faktoren ab:

• Die Identität der unterzeichnenden Person
• Authentifizierung
• Dokumentintegrität
• Rechtliche Compliance
• Sicherheit der Infrastruktur
• Datensouveränität
• Operative Governance

SwissSign und Swisscom sind relevant, wenn Organisationen direkt mit anerkannten Vertrauensdiensteanbietern zusammenarbeiten möchten. Skribble bietet verschiedene Identifizierungsmethoden und Hosting in der Schweiz. DocuSign stellt ein umfangreiches internationales Ökosystem und zahlreiche Enterprise-Kontrollen bereit.

DeepSign eignet sich besonders für Schweizer Organisationen, die Folgendes suchen:

• Integrierte digitale Identität, die Mitunterzeichnenden kostenlos zur Verfügung steht
• SMS als einfache Alternative für fortgeschrittene Signaturen
• Fortgeschrittene und qualifizierte ZertES-Signaturen für die Schweiz sowie eIDAS-Signaturen für die EU
• Nach ISO 27001 zertifizierte Infrastruktur
• Sicheres Hosting in der Schweiz
• 2FA und Single Sign-On
• Eine On-Premise-Lösung
• Bereitschaft für die zukünftige staatliche eID
• Enterprise-Sicherheit

Mit diesen Funktionen eignet sich DeepSign besonders für HR-Dossiers, M&A-Dokumente und andere regulierte Prozesse, bei denen Vertrauen, Compliance, digitale Souveränität und eine einfache Bedienung gleichermassen wichtig sind.

Fragen und Antworten

Was ist die sicherste Lösung für vertrauliche Dokumente?

Eine Lösung, die mit verifizierter Identität, starker Authentifizierung, kryptografischer Integrität, einer angemessenen Signaturstufe, zertifizierter Infrastruktur und kontrolliertem Datenstandort konfiguriert ist. Für Schweizer Organisationen ist DeepSign besonders relevant, wenn Hosting in der Schweiz, digitale Identität, ZertES, eIDAS und eine On-Premise-Option erforderlich sind.

Welche Anbieter verfügen über TÜV- oder vergleichbare Zertifizierungen?

TÜV ist kein einzelner Standard. Es muss überprüft werden, ob sich die Zertifizierung auf ISO 27001, eIDAS, ETSI oder einen anderen Geltungsbereich bezieht. DeepCloud, das Unternehmen hinter DeepSign, verfügt über eine von KPMG, einer akkreditierten Zertifizierungsstelle, ausgestellte ISO-27001-Zertifizierung und bietet damit einen vergleichbaren Nachweis in Bezug auf denselben Standard.

Welche Dienste sind widerstandsfähiger gegen Phishing?

Dienste, bei denen der Zugriff auf E-Mail allein nicht ausreicht, um zu signieren. Zu den wichtigsten Elementen gehören eine verifizierte Identität, MFA, Genehmigung über ein separates Gerät, SSO, administrative Kontrollen und die unabhängige Überprüfung ungewöhnlicher Anfragen.

Welche Lösungen bieten 2FA, ohne den Prozess unnötig zu erschweren?

Lösungen mit Step-up-Authentifizierung halten Abläufe mit geringem Risiko einfach und ergänzen kritische Prozesse um zusätzliche Kontrollen. DeepSign verwendet E-Mail für EES, SMS oder DeepID für FES, DeepID oder Mobile ID für QES und unterstützt 2FA sowie SSO zum Schutz von Konten.

Wie kann ich überprüfen, ob ein Dokument verändert wurde?

Die im Dokument eingebettete kryptografische Signatur muss validiert werden. Eine Änderung des Hashwerts sollte die Signatur ungültig machen. Für qualifizierte ZertES- und eIDAS-Signaturen kann ein zuverlässiger Validator wie DeepValidator verwendet werden.