18. August 2025
Einführung
Betrugsrisiken bei elektronischen Signaturen lassen sich nicht mit einer einzelnen Sicherheitsmaßnahme beherrschen. Ein belastbares Verfahren kombiniert Kontrollen vor, während und nach der Signatur: Es erschwert die Nutzung einer falschen Identität, macht die Zustimmung zur konkreten Dokumentfassung nachvollziehbar und hilft, nachträgliche Veränderungen oder andere Auffälligkeiten zu erkennen.
Für Sicherheits-, Compliance- und Operations-Teams ist dabei eine Unterscheidung wichtig: Ein technisches Warnsignal ist zunächst ein Hinweis, kein Beweis für Betrug. Umgekehrt belegt eine technisch gültige Signatur allein nicht, dass der gesamte Vorgang frei von Täuschung, unberechtigtem Zugriff oder einer fehlerhaften Freigabe war. Deshalb sollte der Prüfpfad Identität, Signaturabsicht, Dokumentversion, Integrität und relevante Sicherheitsereignisse getrennt erfassen.
Dieser Leitfaden zeigt, wie Unternehmen solche Kontrollen risikobasiert aufbauen und welche Evidenz für die spätere Untersuchung eines Verdachtsfalls sinnvoll ist.
Betrugsszenarien nach Angriffspunkt strukturieren
Am Anfang steht kein möglichst langer Kontrollkatalog, sondern ein realistisches Bedrohungsbild für den jeweiligen Signaturprozess. Typischerweise betreffen die Risiken drei Bereiche:
Nicht jeder Prozess benötigt dieselben Maßnahmen. Ein internes Routineformular hat ein anderes Schadenspotenzial als ein grenzüberschreitender Vertrag mit hohen Zahlungs- oder Haftungsrisiken. Die Risikobewertung sollte deshalb festhalten, welches Szenario relevant ist, welche Kontrolle es adressiert und wann eine Abweichung eskaliert werden muss.
Identität und Berechtigung vor der Signatur absichern
Die Anmeldung an einem Benutzerkonto und die Prüfung einer Identität erfüllen unterschiedliche Zwecke. Ein Login zeigt in erster Linie, dass jemand Zugang zu einem Konto oder Authentisierungsmittel hat. Eine Identitätsprüfung soll dagegen ausreichende Evidenz dafür liefern, wer die handelnde Person ist. Zusätzlich kann eine Berechtigungsprüfung erforderlich sein, etwa wenn eine Person für ein Unternehmen oder in einer bestimmten Rolle unterzeichnet.
Welche Methode angemessen ist, hängt vom Risiko, vom Dokumenttyp, von der anwendbaren Rechtslage und von internen Vorgaben ab. Niedrigere Risiken können mit einfacheren Verfahren auskommen; für höhere Risiken kann eine stärkere Identitätsprüfung oder eine zertifikatsbasierte Signatur sinnvoll oder vorgeschrieben sein.
Für die spätere Nachvollziehbarkeit ist nicht die größtmögliche Datensammlung entscheidend, sondern eine belastbare Zuordnung. Der Prüfpfad sollte erkennen lassen, welches Identitäts- oder Authentisierungsverfahren eingesetzt wurde, ob es erfolgreich war, wann der Schritt stattfand und mit welchem Vorgang er verbunden ist. Personenbezogene Nachweise sollten nur in dem Umfang gespeichert werden, der für den vorgesehenen Zweck und die geltenden Aufbewahrungsregeln erforderlich ist.
Einwilligung an die konkrete Dokumentfassung binden
Auch eine korrekt identifizierte Person kann bestreiten, genau dieses Dokument oder genau diese Handlung bestätigt zu haben. Deshalb sollte der Signaturprozess die Signaturabsicht sichtbar und eindeutig machen.
Vor der Signatur muss die maßgebliche Fassung für den Unterzeichner erkennbar sein. Bei mehreren Dokumenten sollte klar werden, worauf sich die Bestätigung bezieht. Die eigentliche Signaturhandlung sollte bewusst ausgelöst werden und nicht durch eine bereits vorab gesetzte Zustimmung ersetzt werden.
Im Prüfpfad sind vor allem die Verbindung zwischen Unterzeichner, Vorgang, Dokumentversion und Zeitpunkt relevant. Eine eindeutige Dokument- oder Versionskennung kann dabei helfen, spätere Verwechslungen zu vermeiden. Bei besonders kritischen Prozessen kann zusätzlich ein Hashwert oder eine andere technische Referenz auf die signierte Fassung als ergänzende Evidenz dienen.
Änderungen an signierten Daten zuverlässig erkennen
Für Manipulationsrisiken ist die Integritätsprüfung der signierten Daten zentral. Bei kryptografischen elektronischen Signaturen ist die Signatur mit den Daten verknüpft, auf die sie angewendet wurde. Werden diese Daten nachträglich verändert, muss eine ordnungsgemäße Validierung die Änderung erkennen beziehungsweise anzeigen, dass die Signatur oder der signierte Inhalt nicht mehr unverändert verifiziert werden kann.
Ein separat gespeicherter Hashwert kann die Beweiskette ergänzen, ist aber kein Ersatz für die Validierung der Signatur selbst. Ebenso sollte ein gültiges Integritätsergebnis nicht mit einer vollständigen Betrugsprüfung verwechselt werden: Es sagt nichts darüber aus, ob zuvor ein Konto übernommen, eine Person getäuscht oder eine unberechtigte Person in den Workflow aufgenommen wurde.
Bei einem Warnsignal sollte die Originaldatei unverändert gesichert und die weitere Bearbeitung nach dem internen Incident- oder Prüfverfahren gesteuert werden. Für die Analyse eignet sich eine Arbeitskopie; die Originalfassung bleibt als Referenz erhalten.
Evidenz so aufbewahren, dass ein Verdachtsfall rekonstruierbar bleibt
Ein belastbarer Prüfpfad verbindet die signierte Datei mit den Ereignissen, die für ihre Entstehung relevant sind. Je nach Verfahren können dazu gehören:
- die maßgebliche signierte Originaldatei;
- Dokument- und Vorgangskennungen;
- Signatur- und Validierungsinformationen;
- Zeitangaben;
- die eingesetzte Identitäts- oder Authentisierungsmethode und deren Ergebnis;
- die dokumentierte Signaturhandlung;
- Routing- und Empfängerinformationen;
- sicherheitsrelevante Ereignisse oder Fehlversuche, soweit sie für die Untersuchung erforderlich sind.
Diese Informationen müssen nicht zwingend in einem einzigen Datensatz liegen. Entscheidend ist, dass ihre Beziehung erhalten bleibt und dass unberechtigte Änderungen am Prüfpfad erschwert beziehungsweise nachvollziehbar werden. Zugriffsrechte, Protokollierung und geeignete Aufbewahrungsregeln sind daher Teil des Kontrollkonzepts.
Eine pauschale unbegrenzte Speicherung ist dagegen keine gute Anti-Betrugs-Regel. Aufbewahrungsdauer und Datenumfang sollten sich nach der anwendbaren Rechtslage, vertraglichen Anforderungen und der internen Retention Policy richten.
Verdachtsfälle anhand von Signalen untersuchen
Ein wirksames Verfahren definiert vorab, welche Auffälligkeiten eine Untersuchung auslösen. Dazu können eine fehlgeschlagene Identitätsprüfung, ungewöhnliche Zugriffe, eine unklare Signaturhandlung, ein Integritätsfehler oder Widersprüche zwischen Empfänger, Dokumentversion und Prüfpfad gehören.
Bei der Auswertung sollten technische Fakten und Schlussfolgerungen getrennt bleiben. Der Untersuchungsdatensatz hält fest, welches Signal beobachtet wurde, welche Evidenz geprüft wurde, welche Feststellung daraus folgt und welche Entscheidung getroffen wurde. Dadurch wird aus einem bloßen Alarm ein nachvollziehbarer Incident-Prozess.
Nach Abschluss der Untersuchung sollte das Team prüfen, ob eine Kontrolle angepasst werden muss. Wiederholt sich beispielsweise dieselbe Form von Kontenmissbrauch oder Fehlrouting, ist das ein Hinweis auf eine Lücke im Prozessdesign und nicht nur auf einen isolierten Einzelfall.
Wie Nota Sign Anti-Betrugs-Kontrollen unterstützen kann
Nota Sign kann die technischen und operativen Kontrollen eines Signaturprozesses unterstützen, etwa durch nachvollziehbare Signaturworkflows, Identitäts- und Authentisierungsschritte, Signatur- und Vorgangsevidenz sowie zertifikatsbasierte Signaturverfahren. Für europäische Anwendungsfälle können – abhängig vom gewählten Verfahren und den eingebundenen Vertrauensdiensten – fortgeschrittene elektronische Signaturen (AES) und qualifizierte elektronische Signaturen (QES) nach eIDAS eingesetzt werden.
Die gewählte Signaturstufe ist jedoch nur ein Teil des Risikomodells. Sie ersetzt weder die Prüfung der Berechtigung noch die Bewertung eines konkreten Betrugsverdachts. Welche Kontrollen erforderlich sind und welche rechtliche Wirkung eine Signatur im Einzelfall hat, hängt unter anderem vom Dokument, den Parteien, der Rechtsordnung und dem konfigurierten Signaturverfahren ab.
