Zwei BSI-Richtlinien formulieren die Anforderungen
Von Sabine Philipp
Das E-Government-Gesetz (EGovG) legt in § 6 fest: „Die Behörden des Bundes sollen ihre Akten elektronisch führen.“ Aber auch für Kommunen wird die elektronische Aktenführung immer interessanter, da sie oft wirtschaftlicher ist. „In der Regel orientieren sich kommunale Verwaltungen am Bundesgesetz. Einige Bundesländer bereiten aber bereits analog zum EGovG eigene Gesetze zum Thema E-Government vor, die auch für Kommunen gelten und die ihnen schlussendlich Rechtssicherheit bieten“, erklärt Dr. Stephan Klein, Geschäftsführer der Governikus KG.
Vom Papier zum digitalen Archiv
Der promovierte Betriebswirt unterteilt den Prozess in zwei Phasen: die Entstehungsphase, in der die Papierdokumente eingescannt werden, und die Phase der Langzeitarchivierung.
Phase 1: Scannen und stempeln
§ 7 EGovG schreibt den Bundesbehörden die Aufbewahrung der Aktendigitalisate vor und regelt die weitere Aufbewahrung bzw. Vernichtung der zugrunde liegenden Papierdokumente. Damit das eingescannte Papierdokument aber beweiswertig in die elektronische Welt übersetzt werden kann, müssen bestimmte Voraussetzungen erfüllt werden, denn hier geht es um Informationssicherheit und Rechtssicherheit gleichermaßen. Die entsprechenden Regeln fasst die technischen Richtlinie „Ersetzendes Scannen (RESISCAN)“ des Bundesamts für Informationssicherheit zusammen (BSI TR-03138); sie führt entlang eines strukturierten Scan-Prozesses die sicherheitsrelevanten technischen und organisatorischen Maßnahmen, die beim ersetzenden Scannen zu berücksichtigen sind, zusammen: „Die TR RESISCAN hält u.a. fest, wie das Personal geschult sein muss, und legt die Anforderungen an den Scanner und an die Scannersoftware fest“, erklärt Dr. Klein. „Wenn es sich bei den Scans um einen Vertrag oder um einen unterschriebenen Brief handelt, muss die Behörde zudem eine qualifizierte elektronische Signatur anfügen. Sie hat die Beweiskraft einer Unterschrift.“
Dr. Stephan Klein ist gelernter Bankkaufmann und studierter Betriebswirt. 1993 promovierte er im Bereich Technikgeneseforschung über die Entstehung des Electronic-Cash-Systems der deutschen Kreditwirtschaft. Seit 1999 ist er Geschäftsführer der Governikus GmbH & Co. Von 2003 bis 2012 war er außerdem Geschäftsführer der für das Stadtportal www.bremen.de verantwortlichen bremen.online GmbH.
Aber auch bei weniger sensiblen Dokumenten, etwa für den E-Mail-Verkehr zum jeweiligen Verwaltungsvorgang, empfiehlt der IT-Profi die Signatur sofort nach Eingang. Denn spätestens, wenn die Akte geschlossen wird und in die Langzeitaufbewahrung kommt, muss die Signatur auch bei solchen Dokumenten angebracht werden – diesmal, um die Unveränderbarkeit des Archivmaterials sicherzustellen. Nicht zuletzt gibt es auch Ausnahmen. So muss z.B. eine Bürgschaftsurkunde immer Papierform haben.
Nachdem die Akte geschlossen ist, beginnt Phase 2: Die Langzeitaufbewahrung.
Phase 2: Archivieren und nachstempeln
Ist die Akte geschlossen, gelten für die Dokumente unterschiedlich lange gesetzlich vorgeschriebene Aufbewahrungsfristen. „Bei Personenstandsurkunden oder bei Einträgen im Geburtenregister beträgt die Frist 110 Jahre“, sagt Dr. Klein. Er verweist in diesem Zusammenhang auf die BSI-Richtlinie „Beweiswerterhaltung kryptografisch signierter Dokumente“ (TR-03125); die TR ESOR beschreibt genau, wie elektronische Dokumente im Sinne eines rechtswirksamen Beweiswerterhalts vertrauenswürdig gespeichert werden können.
Ein weiterer Aspekt ist die Lesbarkeit der Daten. Sie muss auch dann gewährleistet bleiben, wenn die ursprünglich verwendete Hard- und Software nicht mehr greifbar ist. Dazu wird das digitalisierte Dokument in ein Container-Format gepackt und mit den entsprechenden Metadaten versehen. Zudem müssen laut TR-ESOR sämtliche Schnittstellen definiert sein, damit das Dokument auch mit den Produkten anderer Hersteller geöffnet werden kann.
Und man muss immer wieder nachstempeln: „Eine Signatur ist nichts anderes als eine mathematische Prozedur mit langen Zahlen, den sogenannten Schlüsseln. Da die Rechner immer schneller werden und auch diese Schlüssel einmal knacken werden, begrenzen viele Hersteller die Haltbarkeit dieser Zertifikate auf zwei oder drei Jahre“, erklärt Dr. Klein. Dann müssen die Digitalisate neu signiert werden. „Das kann man sich wie einen Briefumschlag vorstellen, der in einen größeren Briefumschlag gesteckt und neu versiegelt wird.“
Fazit: Verfassungsgerecht und beweissicher
Nun sind die genannten BSI-Richtlinien bislang nur Empfehlungen. Das E-Government-Gesetz selbst spricht von „geeignete[n] technisch-organisatorische[n] Maßnahmen nach dem Stand der Technik“ (§ 6 EGovG). „Damit ist das modernste Verfahren gemeint, das von einer nennenswerten Gruppe benutzt wird“, erläutert Dr. Klein. Er geht davon aus, dass die beiden BSI-Richtlinien spätestens 2015 gerichtlich als Stand der Technik bestätigt werden. Der Rechtsinformatiker Prof. Dr. Alexander Roßnagel am Institut für Wirtschaftsrecht der Universität Kassel hat zusammen mit der DATEV bereits eine Simulationsstudie zum Thema „Ersetzendes Scannen“ durchgeführt, in deren Verlauf Richter und Anwälte 14 fiktive Gerichtsverfahren mit echten Dokumenten durchführten. Der Studie zufolge bietet Ersetzendes Scannen nach der TR RESISCAN an hohes Maß an Beweissicherheit, wobei ein Zertifikat des BSI die Beweisführung vor Gericht erleichtert.
Nützliche Links
Die Simulationsstudie „Ersetzendes Scannen“ von Prof. Dr. Alexander Roßnagel und Maxi Nebel aus der Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Forschungszentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel gibt es kostenfrei als PDF zum Herunterladen. Eine hilfreiche Informationsquelle ist außerdem der Abschlussbericht zum Deutschland-Online-Vorhaben Personenstandswesen, der sich konkret mit der Einführung elektronischer Personenstandsregister und Sicherungsregister anstelle der bisherigen Personenstandsbücher und Zweitbücher befasst.
