„Auf dem Gebiet von Datensicherheit und Datenschutz gibt es beständig Weiterentwicklungen. Die Europäische Kommission hat erst kürzlich die Anerkennung des Schweizer Datenschutzgesetzes als gleichwertig zur DSGVO verlängert. Damit kann der Datenverkehr zwischen der Schweiz und EU-Ländern weiterhin frei bestehen bleiben und Bürger können sich sicher sein, dass die Übermittlung personenbezogener Daten angemessenen Datenschutzgesetzen unterliegt.

Trotz aller Bemühungen für mehr Cybersicherheit und stärkeren Schutz persönlicher Daten lauern im Netz aber immer noch altbekannte Gefahren. Passwörter sind eine der wichtigsten Schwachstellen, die Kriminelle nutzen, um an sensible Daten zu gelangen. Besonders Phishing und Social Engineering bleiben ernst zu nehmende Bedrohungen, da sie für Cyberkriminelle der einfachste Weg sind, um sich Zugriff auf Nutzerkonten zu verschaffen. Mit etwa 40 Prozent sind Datendiebstähle wie diese die häufigste Art der Cyberattacke. Das mag unter anderem daran liegen, dass weder Phishing noch Social Engineering nennenswerte IT-Kenntnisse erfordern und die Tore zur Cyberkriminalität damit fast jedem offenstehen.

Und obwohl Experten, seit es Log-Ins mit Nutzername und Passwort gibt, wieder und wieder darauf hinweisen, wie sichere Passwörter aussehen sollen, wie lang sie sein müssen, dass man sie regelmäßig wechseln und nicht mehrfach verwenden soll, läuft ihr Rat häufig ins Leere. Nach wie vor wählen viele Nutzer aus Bequemlichkeit simple Passwörter, die den Sicherheitsanforderungen nicht genügen. Damit sind das klassische Passwort-System und seine Defizite oftmals die Ursache für Cyber-Vorfälle.

Es ist an der Zeit für neue und innovative Ansätze zur Nutzerverifizierung im Internet. Konzepte, die sich nicht so leicht kompromittieren lassen und Nutzer sicher und einfach verwenden können, sind gefragt. Bereits seit 2013 setzt sich dafür die FIDO-Allianz ein und arbeitet auf eine Passwort-lose Zukunft hin. Die Alternative zu Nutzername und Passwort sehen sie in asymmetrischer Kryptografie, bei der Anwender ihrer Identität über einen privaten Schlüssel, der auf einem Gerät gespeichert ist, verifizieren. Dabei kann es sich etwa um einen USB-Stick handeln oder auch direkt um die Hardware eines Mobiltelefons. Bei der Authentifizierung muss der Schlüssel das Gerät nicht verlassen. Stattdessen wird eine sogenannte Challenge an das entsprechende Gerät gesendet, die nur mithilfe des privaten Schlüssels gelöst werden kann und so die Identität des Nutzers nachweist. Dieses Vorgehen macht die Methode besonders sicher.

Doch damit das auch so funktioniert, ist die initiale Identifikation des Nutzers entscheidend. Hierbei muss garantiert werden, dass sich hinter dem privaten Schlüssel tatsächlich die angegebene Person verbirgt. Dafür können BankIdent oder KI-unterstützte Videoidentifikation als sehr effiziente und benutzerfreundliche Methoden eingesetzt werden.

Zusätzlich bietet sich das weitgreifende Konzept der Self-Sovereign-Identity oder kurz SSI an. Damit können Nutzer in einem Wallet dezentral eine Art digitales Abbild ihrer Identität erschaffen und sich hierüber im digitalen Raum zweifelsfrei identifizieren. So müssen sie beispielsweise nicht bei jedem Online-Shop ein eigenes Benutzerkonto erstellen und können sogar den Bezahlvorgang über die digitale Identität abwickeln. Das erleichtert das Leben in einer digitalisierten Welt in vielerlei Hinsicht.

Es gibt damit keinen Grund, sich 2024 nicht endgültig von Passwörtern zu verabschieden.

Cyberangriffe sind für Unternehmen aller Branchen eine elementare Gefahr. Im selben Takt der wachsenden Bedrohungslage erlässt die EU neue Verordnungen, Richtlinien und Regularien. Für die Finanzwelt spannend sind aktuell vor allem NIS2 und DORA. Zwar helfen solche Vorgaben, die Resilienz zu stärken, allerdings erhoffen sich betroffene Parteien, wie Banken und ihre Software-Zulieferer häufig mehr gegenseitige Absprachen zwischen den Parteien, die die verschiedenen Gesetze und Richtlinien ausarbeiten, beziehungsweise mehr Abstimmung zwischen den einzelnen Mitgliedsstaaten der europäischen Union.

Was unterscheidet die Rechtsvorschriften?

NIS2 (Network and Information Security 2) soll die Cybersecurity-Anforderungen für viele Bereiche der Grundversorgung und lebenswichtigen Infrastrukturen der EU harmonisieren. Sie stellt grobe Anforderungen, hohe Strafen bis auf Geschäftsleitungsebene, Meldungswege und Einrichtungen für die Cybersecurity in den Vordergrund. Sie ist eine Richtlinie, die bis Oktober 2024 in nationales Recht umzusetzen ist. Jedes Land der EU kann diese Umsetzung allerdings anders realisieren, was multinationalen Unternehmen wie Banken häufig Probleme bereitet. Auch die Wettbewerbssituation kann dadurch in den verschiedenen EU-Ländern verzerrt werden.

DORA (Digital Operational Resiliance Act) ist eine Verordnung, das heißt ein direkt gültiges, europäisches Gesetz und tritt 2025 in den Mitgliedsstaaten unmittelbar und unverändert in Kraft. Stellt NIS2 noch das Risikomanagement in den Vordergrund, konzentriert sich DORA mehr auf die Betriebsstabilität im Finanzsektor, sodass diese einem Cyberangriff standhalten kann und Finanzdienstleistungen weiter verfügbar sind. Die Ausgestaltung von Strafen wird hierbei den nationalen Behörden überlassen.

Beide Rechtsvorschriften setzen einen besonderen Schwerpunkt auf die Supply Chain. Software-Zulieferer müssen eng in das Riskmanagement und in die Betrachtung der Betriebsstabilität einbezogen werden. DORA legt hierbei Wert auf Pen-Tests und Sicherheitsüberprüfungen (alle drei Jahre), NIS2 erfordert zumindest in Deutschland alle zwei Jahre ein Sicherheitsaudit.

Zu viele Zuständigkeiten

Schwierig wird es dann wieder bei den Zuständigkeiten: Für NIS2 entfällt die Prüfkompetenz in Deutschland auf das BSI bzw. die BaFin. Artikel 46 von DORA enthält eine ganze Reihe von Behörden, die darüber hinaus die Einhaltung der Regularien garantieren sollen – bestenfalls die EZB bzw. auch die BaFin.

Für den Bereich der Vertrauensdienste erarbeitet das Europäische Institut für Telekommunikationsnormen (European Telecommunications Standards Institute; ETSI) gerade Anforderungen, die auch NIS2 mit beinhalten, sodass bestenfalls das Auditschema und auch die Meldekette eines Vertrauensdienstes dieselben bleiben könnte. Ein ähnliches Vorgehen wäre auch im Finanzsektor wünschenswert. Nichts verlangsamt die Maßnahmen gegen eine Cyberbedrohung mehr, als wenn Vorfälle im Dickicht der unterschiedlichen behördlichen Zuständigkeiten untergehen und Unternehmen ganze Meldeorganisationen aufrechterhalten müssen, um im Fall der Fälle aktiv zu werden. Die damit einhergehenden erhöhten Kosten für die geforderte Cyber-Resilienz werden Finanzinstitute und andere NIS2-Betroffene letztlich an ihre Kunden weitergeben müssen. Eine Zusammenführung und Vereinfachung der Zuständigkeiten und Harmonisierung der Audits bzw. Zertifizierungen wäre also auch im Interesse der Verbraucher.

KanzleiDrive gehört zur fino Group und bündelt verschiedene digitale Funktionen in einer Plattform, um den Austausch zwischen Mandanten und Kanzlei sowie die Arbeit der Berater so effizient wie möglich zu gestalten. Dazu gehören der digitale Dokumentenaustausch, ein intelligentes Aufgabenmanagement und elektronische Signaturen. Um die strengen DSGVO-Auflagen zu erfüllen und höchste Sicherheitsmaßstäbe zu garantieren, werden Daten ausschließlich mit zertifizierten Cloud-Partnern in Deutschland verarbeitet und verschlüsselt. Schnittstellen unter anderem mit DATEV sorgen dafür, dass Mitarbeiter weiterhin in ihren gewohnten Systemen arbeiten können. KanzleiDrive agiert als intuitive Benutzeroberfläche gegenüber dem Mandanten. Die Lösung lässt sich mit Kanzleilogo und konfigurierbaren Farben für den Mandaten-Log-in individualisieren.

Zu den Angeboten innerhalb von KanzleiDrive gehören auch elektronische Signaturen, die für die Zielgruppe Steuerberater enorme Arbeitserleichterungen und sicherheitsrelevante Aspekte bedeuten. Je nach Bedarf kann der Kunde zwischen drei Signaturstufen auswählen: einfach, fortgeschritten und qualifiziert. Die qualifizierte Signatur wird mit Zertifikaten von Swisscom Trust Services ausgeführt und erfüllt das Schriftformerfordernis. Anders als bei den anderen elektronischen Signaturarten greift bei ihr im Gerichtsfall keine Beweislastumkehr: Das heißt, wer die Echtheit einer qualifizierten Signatur anzweifelt, muss dies beweisen. Mit fino.sign ist zudem eine Signatur-API im Portfolio. Diese Headless-Lösung können Kunden wie Versicherungen oder Banken ganz einfach in ihre eigenen Anwendungen integrieren.

„Dank der Partnerschaft mit Swisscom Trust Services ermöglichen wir unseren Kunden einen einfachen Zugang zu allen Signaturstufen – auch der qualifizierten elektronischen Signatur. Wir bieten eine ganzheitliche Lösung für Kanzleien: ohne Plattformsprung, mit selbsterklärenden Prozessen und in wenigen Minuten zum signierten Dokument. Und das mit höchster Rechtssicherheit“, erklärt Jakob Stuby, Gründer und Geschäftsführer von KanzleiDrive.

„Unsere Services kommen bereits in streng regulierten Bereichen, wie beispielsweise der Finanzbranche, zum Einsatz. Als Trust Service Provider, der sowohl nach Schweizer als auch nach EU-Recht zertifiziert ist, erfüllen wir höchste Sicherheitsmaßstäbe und gehen teilweise über die gesetzlichen Anforderungen hinaus. So werden unsere Dienste beispielsweise in zwei georedundanten Rechenzentren in der Schweiz gehostet, um unseren Kunden Revisionssicherheit zu bieten“, sagt Mario Voge, Head of Growth Management bei Swisscom Trust Services. „Wir freuen uns, dass wir mit KanzleiDrive nun einen weiteren Partner gewonnen haben, der sich für reibungslose und sichere Digitalisierung einsetzt.“

Über Kanzleidrive
KanzleiDrive ist der DocTech-Experte, wenn es um den intelligenten und DSGVO-konformen Daten- und Informationsaustausch zwischen Kanzleien und Mandanten geht. Als All-in-One-Platttform bietet KanzleiDrive eine einzigartige digitale Dokumenten-Drehscheibe und so einen garantierten Mehrwert im Kanzleialltag.

Über KanzleiDrive interagieren Steuerberater mit ihren Mandanten. Dabei begleitet die Plattform die Kanzlei in den verschiedenen Arbeitsschritten mit praktischen Lösungen – für weniger Dokumente in Papierform, mehr elektronische Signiervorgänge und praktisches Aufgabenmangement. Durch die Nutzung von KanzleiDrive arbeiten Kanzleien ressourcenschonend hinsichtlich Arbeitsaufwand und -zeit.

Abgerundet wird das Angebot von KanzleiDrive mit praktischen Integrationen. So werden Daten einfach und sicher zwischen dem gewohnten Kanzleisystem DATEV und KanzleiDrive ausgetauscht – die ideale Ergänzung zum DATEV-System mit moderner und benutzerfreundlicher Oberfläche. Ganz ohne Medienbruch. Dank der KYC-Integration werden Mandanten in nur wenigen Schritten geonboardet und Stammdaten automatisch aktualisiert.

Die fino kanzleidrive GmbH ist Teil der fino-Gruppe, einem europäischen FinTech im B2B-Bereich mit über 150 Mitarbeitern an drei Standorten.

Passwörter sind der größte Frustrationsgrund bei Online-Anmeldungen. 65 Prozent der Verbraucher fühlen sich durch die Verwaltung von unzähligen Nutzername-Passwort-Kombinationen überfordert, so eine aktuelle Studie im Auftrag von Okta. 75 Prozent wünschen sich mehr Kontrolle und Selbstverwaltung ihrer persönlichen Daten. Die Aufforderung zu Erneuerung von Passwörtern und hohe Anforderungen an Länge und Komplexität sorgen für zusätzlichen Frust. Der beliebteste Ausweg der Nutzer ist laut der Okta-Umfrage ein Login über Social Accounts.

Dadurch ergibt sich einerseits die Gefahr, dass die großen Anbieter bestehende quasi-Monopole im Netz noch weiter ausbauen können, andererseits wird ein solcher Account zu einer Art Master-Schlüssel für verschiedenste Online-Anwendungen eines Nutzers. Erbeuten Kriminelle einmal diese Credentials, können sie damit großen Schaden anrichten. Eine alternative Möglichkeit, die komfortabel für Nutzer, aber dennoch sehr sicher ist, sind Passkeys.

Was sind Passkeys?

Ganz allgemein handelt es sich um ein Verfahren der passwortlosen Authentifizierung. Anstelle eines Shared Secret zwischen Dienst und Nutzer, wie es das Passwort darstellt, kommt hier asymmetrische Kryptografie zum Einsatz. Der Nutzer verwahrt auf seinem persönlichen Gerät einen privaten Schlüssel und der Dienstanbieter erhält im Rahmen der Anmeldung für einen neuen Account den dazugehörigen öffentlichen Schlüssel. Die Authentifizierung läuft nun so ab, dass der Nutzer vom Anbieter ein Datenpaket, eine sogenannte Challenge, zur Signatur erhält. Diese wird dann automatisch mit dem privaten Schlüssel des Nutzers signiert. Kann der Anbieter sie wiederum entschlüsseln, heißt das, das Schlüsselpaar gehört zusammen und der Nutzer ist somit authentifiziert.

Diese Passkeys haben viele Vorteile – der offensichtlichste: Für Nutzer ist die Lösung wesentlich einfacher und komfortabler als Passwörter. Alle Vorgänge laufen automatisiert im Hintergrund ab und Anwender müssen dabei gar nicht selbst aktiv werden. Sie müssen keine Passwörter und Nutzernamen mehr eintippen, sich folglich auch keine Passwörter mehr merken und sich diese regelmäßig neu ausdenken. Dies vereinfacht Anmeldevorgänge überall im Netz ungemein. Damit haben Passkeys auch einen Vorteil für Online-Anbieter. Bisher schreckt viele Nutzer die Anlage immer neuer Nutzerkonten mit neuen Passwörtern oft ab. Wer weder auf Passwortmanager noch auf eine Anmeldung mit Google und Co zurückgreifen möchte, hat mit Passkeys eine einfache und sehr sichere Alternative.

Daneben bedeutet das Fehlen des Shared Secret aber auch, dass bei einem Angriff auf den Server des Anbieters keine wertvollen Passwörter erbeutet werden können, sondern höchstens wertlose, weil öffentliche Schlüssel. Der Zusammenhang zwischen öffentlichem und privatem Schlüssel wird über komplexe, schwer umkehrbare mathematische Fragestellungen hergestellt. Die Komplexität wird dabei so hoch gesetzt, dass es selbst mit leistungsfähigen Computern nicht möglich ist, in reeller Zeit aus einem öffentlichen einen privaten Schlüssel zu errechnen. Nicht zuletzt sind Passkeys der beste Schutz vor Phishing. Für die Kriminellen gibt es hier nichts zu holen. Ihre Angriffe zielen schließlich darauf ab, das Shared Secret zu erbeuten, das bei der Verwendung von Passkeys entfällt.

Fragen der Praxistauglichkeit

In der Theorie klingt das Verfahren sehr einleuchtend. Doch denkt man an die Nutzung im Alltag, tauchen schnell Fragen auf. Mit Nutzername und Passwort kann man sich beispielsweise aus jedem Internetcafé der Welt in den eigenen E-Mail-Account einloggen. Ob das aus Sicherheitsaspekten empfohlen wäre, sei dahingestellt – möglich ist es aber ohne Probleme. Bei einem gerätegebundenen Verfahren wie den Passkeys geht dies nicht in der Form. Doch es gibt einen ziemlich einfachen Workaround: Man nutzt einfach ein Smartphone als zentrale Ablage für die Schlüssel. Natürlich muss dieses dann mit starken Sicherheitsmechanismen versehen sein, beispielsweise Fingerabdrucksensor oder andere biometrische Merkmale. Die Authentifizierung an einem beliebigen Gerät funktioniert dann, indem der Nutzer bei der Anmeldung einen QR-Code vom Screen des Geräts mit seinem Telefon scannt, dieses entsperrt und damit den Passkey-Prozess auslöst.

Natürlich können Mobiltelefone verloren gehen, gestohlen oder zerstört werden. Für diesen Fall braucht es auch Wiederherstellungsverfahren, beziehungsweise ein Zurücksetzen des Kontos muss möglich sein. Das kann beispielsweise über einen anderen Account funktionieren, ähnlich wie wenn man heute ein Passwort vergessen hat. Google und Apple haben auf ihren Systemen dafür noch Synchronisationsmechanismen aufgebaut, die alle Smartphones und Tablets synchron halten in Bezug auf die einzusetzenden Passkeys, ohne dass dabei Google oder Apple in den Besitz dieser gelangen. Der private Schlüssel verbleibt immer auf dem Gerät.

Die Verbindung von realer und digitaler Identität

Fast überall im Netz, wo heute neue Accounts angelegt werden, entsteht dadurch eine neue digitale Identität, die nicht mit der realen Identität des Nutzers verknüpft ist. Auf technischem Wege sind natürlich Rückschlüsse darauf möglich, wer hinter einem bestimmten Nutzernamen steckt. Eine initiale Verknüpfung von realer und digitaler Identität findet in der Regel im Netz aber nicht statt. Für einige Fälle ist allerdings genau das vorgeschrieben, beispielsweise bei der Eröffnung eines Online-Banking-Kontos oder zur Nutzung von qualifizierten elektronischen Signaturen. Können Passkeys auch hier zum Einsatz kommen?

Prinzipiell ja, denn das Authentifizierungsverfahren spielt auf der technischen Ebene für diese Verknüpfung keine Rolle. Anbieter wie Banken oder Trust Service Provider müssen in diesen Fällen nach bestimmten gesetzlich geregelten Verfahren die Identität neuer Nutzer prüfen und eine daran gekoppelte, sichere digitale Evidenz erstellen. Mit welchem Verfahren (Passwort + Multi-Faktor-Authentifizierung oder eben Passkey) sich die Anwender anschließend beim Dienst anmelden oder eine Signatur freigeben, ist unerheblich. Soweit die Theorie. Swisscom Trust Services hat dieses Verfahren bereits für die Nutzung ihrer Signaturen zugelassen und bereits mit dem ersten Partner im Einsatz. Für die Aktivierung des Passkeys reicht dann einfach ein Fingerprint, Face Recognition oder eine PIN, die auch sonst zum Entsperren eines Smartphones oder PCs genutzt wird.

Interessant wäre der Einsatz von Passkeys beispielsweise zum Auslösen von Signaturen in Umgebungen, in denen Mobiltelefone aus Gründen der Datensicherheit verboten sind oder SMS nicht zugestellt werden können. Bei den heute gängigen Verfahren wird das Mobiltelefon als zweiter Faktor zur Auslösung der Signatur verwendet. Diese Methode ist dementsprechend in kritischen Bereichen wie hochsicheren Rechenzentren, abgeschirmten Produktionsanlagen oder ähnlichen Umgebungen problematisch. Mit Passkeys, die sich entweder direkt auf Geräten oder auf separaten Datenträgern (z.B. USB-Stick) befinden, könnten Anwender auch dort qualifiziert signieren.

Der europäische E-Signaturmarkt könnte sich bis 2030 auf etwa 10,5 Milliarden US-Dollar versiebenfachen, ausgehend von knapp 1,5 Milliarden im Jahr 2023. Allein der deutsche Markt könnte in diesem Zeitraum von ca. 270 Millionen auf etwa 2,1 Milliarden wachsen. Zu diesen Ergebnissen kommt eine Marktanalyse und Prognose, die Deloitte im Auftrag von Swisscom Trust Services durchführte*.  

Der gesamte Signaturmarkt wurde weiter aufgegliedert in Identifikationen, Signing-Plattformen und Signaturzertifikate. In Deutschland ist dabei das Segment Signing-Plattformen besonders dominant, mit 78 Prozent Anteil am gesamten E-Signaturmarkt. Dagegen ist der Marktanteil für die Identifikationslösungen vergleichsweise gering und liegt bei lediglich sechs Prozent – für Zertifikate verbleiben demnach noch 16 Prozent Wertschöpfungsanteil.  

Gerade der große Bereich „Signing-Plattform“ ist für Unternehmen interessant, die mit digitalen Signaturen zusätzlichen Umsatz erzielen wollen. Nach der Deloitte-Studie beläuft sich dieses Marktsegment in Deutschland bereits heute auf ein Volumen von mehr als 200 Millionen US-Dollar und könnte bis 2027 bereits auf 790 Millionen anwachsen. Hier besteht also großes Potential für Unternehmen, die neu in den Markt eintreten möchten. Anbieter von DMS und ähnlichen Lösungen können E-Signaturen beispielsweise relativ leicht in ihre bestehenden Angebote integrieren und so selbst zu einer Signaturplattform werden. Für Bestandskunden dieser Firmen ist dieser Weg sehr komfortabel, da sie sich nicht mit einem neuen Anbieter auseinandersetzen müssen, um elektronische Unterschriften in ihre Prozesse zu integrieren. Dabei müssen Dienstleister allerdings auf das Level der Signatur achten, wie wir später sehen werden. Doch zunächst einmal die Frage: Was treibt diese Entwicklung und ist die optimistische Markteinschätzung realistisch?  

Trust wird zentrale Rolle in zukünftiger Digitalökonomie spielen  

Je weiter sich die Wirtschaft digitalisiert, desto wichtiger werden Themen wie Identifizierung, Authentisierung und Authentifizierung – kurz Trust oder eben Vertrauen, da man gesichert verstehen will, wer im online Space sein Gegenüber ist. Um auch sensible Geschäfte über das Internet abwickeln zu können und die Daten der Bürger bestmöglich zu schützen, werden innovative Sicherheitslösungen benötigt. Im Kontext von digitaler Verwaltung, User Experience-Fokus und papierlosem Büro aber auch CO2-Reduktion nimmt besonders die digitale Signatur als oft letzte Hürde bei der Beseitigung von Medienbrüchen eine wichtige Rolle ein. Softwarehäuser und andere Digitaldienstleister, die ein entsprechendes Angebot in ihre Services integrieren, können damit einen Mehrwert für ihre Kunden schaffen. Diese können dann Verträge besser, schneller und günstiger abschließen als auf dem analogen Weg. Dank der durchgängigen Digitalisierung werden auch das Vertragsmanagement und die Nachverfolgbarkeit erheblich vereinfacht. All das führt zu einer optimierten UX für Kunden und ermöglicht Unternehmen gleichzeitig Kosteneinsparungen und beschleunigte Prozesse.  Dementsprechend wird nicht nur  die Nachfrage steigen und sondern es entstehen auch neue Geschäftschancen für Anbieter von Signaturlösungen. Vor diesem Hintergrund ist eine positive Entwicklung des Marktes mit hohen Wachstumsraten naheliegend.  

Signatur ist nicht gleich Signatur  

Elektronische Unterschriften werden vom Gesetzgeber in verschiedene Abstufungen unterteilt: es gibt die einfache, die fortgeschrittene und die qualifizierte Signatur. Nach der eIDAS-Verordnung der EU ist nur die qualifizierte elektronischen Signatur (QES) einer händischen Unterschrift prinzipiell gleichgestellt und damit für Vertragsinhalte geeignet, die dem deutschen Recht nach der Schriftformerfordernis unterliegen. Das können beispielsweise Kredit- oder Leasingverträge, aber auch befristete Arbeitsverträge sein. Darüber hinaus bringt die QES auch an anderer Stelle Vorteile: Im Zweifelsfall muss ihre Echtheit vor Gericht nicht bewiesen, sondern widerlegt werden. Unternehmen, die rechtssichere digitale Alternativen auch für sensible Bereiche der Wirtschaft anbieten möchten, sollten also unbedingt auf qualifizierte Signaturen setzen.  

Allerdings steckt hinter den dafür benötigten qualifizierten Signaturzertifikaten eine komplexe Regulatorik (eIDAS Regulierung mit Tausenden Seiten). Zudem muss die Compliance laufend und – zu erheblichen Kosten – über zugelassene offizielle Auditoren geprüft werden. Daher ist im Markt eine Konzentration auf vergleichsweise wenige Trust Service Provider zu beobachten, die sich auf die Ausstellung der anspruchsvollen Zertifikate spezialisieren. Unternehmen, die eigene Signaturlösungen umsetzen möchten, können die benötigten Zertifikate von dieser Stelle beziehen und dabei auch von der Expertise der Dienstleister profitieren.  

*Methodik: Deloitte schätzte basierend auf einer Marktstudie sowie mittels Annahmen und Triangulation die Größen und das Wachstum der Sub-Märkte pro Land. Zudem wurden mehr als 20 Experteninterviews geführt, um Annahmen zu validieren und qualitative Datenpunkte zu generieren. Für die untersuchten 12 Länder (Deutschland, Großbritannien, Frankreich, Niederlande, Italien, Spanien, Belgien, Polen, Rumänien, Schweden, Dänemark und Norwegen) wurden lokale Deloitte Legal Abteilungen für regulatorische Abklärungen herangezogen. 

• Es gibt kleine, lokale Player, die sich auf die Kundenanforderungen und rechtlichen Vorgaben eines regionalen Zielmarktes spezialisiert haben.
• Es gibt aber auch – allerdings nur ganz wenige- Anbieter, die ihren Kunden ermöglichen, länderübergreifend elektronisch zu signieren. Andernfalls muss bei länderübergreifenden Aktivitäten pro Land mühsam eine spezifische Lösung aufgesetzt werden.
• Dann gibt es spezielle Partnerschaften, manchmal auch zwischen direkten Mitbewerbern, um Kunden-Needs in einem bestimmten Segment oder Zielmarkt zu erfüllen, oder um durch die Kombination von Technologien die länder- oder branchenspezifischen Regularien zu erfüllen.
• Es gibt einfache digitale Signaturen, fortgeschrittene elektronische Signaturen und qualifizierte elektronische Signaturen. Jeder Signatur-Typ hat unterschiedliche rechtliche und technische Anforderungen und wird in verschiedenen Ländern unterschiedlich anerkannt. Die Einhaltung der regulatorischen Anforderungen kann komplex sein und die Auswahl einer geeigneten Lösung zusätzlich herausfordern, zumal dem Internet das Konzept von geographischen Grenzen fremd ist und das Aktivitätsfeld per se immer "worldwide" ist.

Kurz: Der Markt für elektronische Signaturen ist komplex.

Dafür adressiert der E-Signatur Markt aber auch akute Bedürfnisse:

• Die beschleunigte Digitalisierung von Geschäftsprozessen, in denen der digital-first Ansatz immer mehr zur Handlungsmaxime für Unternehmen wird.
• Die Notwendigkeit von effizienten, sicheren und nachhaltigen digitalen Transaktionen, bei denen E-Signaturen die zentralen Werte der Authentizität und Unveränderbarkeit versprechen und in Zeiten von Cyberbedrohungen ein wichtiges Sicherheitsdispositiv werden.

Diese treiben die Nachfrage nach elektronischen Signaturen kontinuierlich voran. Als Resultat sehen wir: Der Markt ist in den letzten Jahren stark gewachsen und wird auch in Zukunft weiterwachsen. Das belegen zahlreiche Studien und Prognosen.

Dabei könnte der weltweite Markt für elektronische Signaturen bis 2030 auf 25 Milliarden Dollar anwachsen – ausgehend von 1,9 Milliarden im Jahr 2020, so die Prognose einer von Swisscom Trust Services in Auftrag gegebenen Deloitte Marktstudie*. 10,5 Milliarden sollen davon allein auf Europa entfallen – davon z.B. wiederum mehr als zwei Milliarden auf den größten EU-Markt Deutschland. Die Zahlen verdeutlichen, dass e-Signaturen sich zur geschäftskritischen Infrastruktur entwickelt haben.

Klar, dass diese Aussichten viele Unternehmer anlocken. Allein in der EU-zählen wir aktuell über 300 offizielle Trust Service Provider. Zusätzlich gibt es zusehends anspruchsvollere regulatorische und Compliance Anforderungen (z.B. eIDAS 2.0, NIS etc.) und den schon erwähnten grenzenlosen Charakter des Internets.

Man muss kein Prophet sein, um zu erkennen, dass eine Konsolidierung in diesem Wachstumsmarkt unumgänglich sein wird. Dabei geht es in die Richtung hochspezialisierte vs. geographisch breit aufgestellte one-stop-shop Player. Dies wird dazu führen, dass Anbieter ihre Lösungen aktualisieren oder erweitern, strategische Partnerschaften eingehen oder sich von Marktsegmenten verabschieden müssen, um wettbewerbsfähig zu bleiben – auch der komplette Rückzug aus dem Geschäft wird mit Sicherheit zum Thema.

In a Nutshell: Der E-Signaturen Markt wächst, aber die Auswahl der richtigen und nachhaltigen Lösungen und Trust Service Provider wird auf Basis der Marktkonsolidierung stark an Relevanz gewinnen. Von Beginn an auf die richtigen Trust-Pferde zu setzen und stetig neu zu evaluieren, wird zu einer immer wichtigeren Aufgabe.

*Methodik: Deloitte schätzte basierend auf einer Marktstudie sowie mittels Annahmen und Triangulation die Größen und das Wachstum der Sub-Märkte pro Land. Zudem wurden mehr als 20 Experteninterviews geführt, um Annahmen zu validieren und qualitative Datenpunkte zu generieren. Für die untersuchten 12 Länder (Deutschland, Großbritannien, Frankreich, Niederlande, Italien, Spanien, Belgien, Polen, Rumänien, Schweden, Dänemark und Norwegen) wurden lokale Deloitte Legal Abteilungen für regulatorische Abklärungen herangezogen.

NIS2 – Die große Unbekannte mit Hammerpotenzial?

„Die Richtlinie der Europäischen Union zur Netzwerk- und Informationssicherheit 2 oder kurz NIS 2 regelt zukünftig unter anderem, welche Unternehmen zur kritischen Infrastruktur (KRITIS) gehören. Deren Anzahl könnte sich durch verschärfte Regularien in Zukunft drastisch erhöhen. Bisher gehören z.B. in Deutschland etwa 4.000 Unternehmen diesem Sektor an. Durch die neue Richtlinie könnte sich diese Zahl nun um den Faktor 10 erhöhen, wobei die Aussage auch in anderen EU-Mitgliedstaaten gelten wird. Den meisten davon dürfte das noch gar nicht bewusst sein. Dennoch bleibt nur noch ein Jahr zur Vorbereitung.

Bisher denkt man bei KRITIS wohl eher an Dinge wie Wasser- und Stromversorgung. Zukünftig können darunter aber auch Unternehmen aus Sektoren wie Post- und Kurierdiensten, der Abfallwirtschaft oder Lebensmittelverarbeitung gehören. Auch der sehr weit gefasste Begriff ‚Anbieter digitaler Dienste‘ wird im Anhang der Richtlinie aufgeführt. Unternehmen, die zu den 18 insgesamt aufgeführten Sektoren zählen und auf mehr als 50 Mitarbeitende oder zehn Millionen Euro Jahresumsatz kommen, müssen dann verbindliche Cyber-Security-Pflichten umsetzen. Wichtig, Anbieter digitaler Infrastrukturen, wie auch Trust Services, werden unabhängig von ihrer Größe reguliert.

Die größten Herausforderungen, werden sein, dass die betroffenen Firmen ihre operative Infrastruktur aufwerten, Cyber-Sicherheitsbeauftragte ernennen, ggfs. ein Risiko Management System  einführen oder ausweiten  und IT-Security-Notfallteams mit Meldebereitschaft bilden müssen. Mit dem ohnehin schon leergefegten Markt für IT-Spezialisten wird das keine leichte Aufgabe werden. Außerdem müssen die Unternehmen, mehr noch als bisher, auf die Auswahl ihrer Partner achten. Verantwortliche müssen sicherstellen, dass auch Dienstleister, mit denen sie zusammenarbeiten, reguliert sind und entsprechende Zertifikate vorweisen können. Auch diese Partner müssen regelmäßig auditiert und in das zu schaffende Meldesystem einbezogen werden. Es empfiehlt sich daher die Zusammenarbeit mit Firmen, die bereits Erfahrungen im hochregulierten Umfeld haben.

Doch das allein reicht natürlich nicht und NIS2-regulierte Unternehmen müssen Lösungen finden, wie sie trotz Fachkräftemangel auf die neuen Anforderungen im Bereich IT-Sicherheit reagieren können. Auf die leichte Schulter nehmen sollte man die neuen Regularien keinesfalls, denn es drohen ähnlich hohe Strafen, wie sie auch im Rahmen der DSGVO verhängt werden können. Außerdem ist eine direkte Haftung der Geschäftsführung für Verstöße vorgesehen.

Es wird also höchste Zeit für alle Unternehmen zu prüfen, ob sie eventuell unter die neue Richtlinie fallen und die strengen Anforderungen ab 2024 erfüllen müssen. Falls ja, sind die strategischen Überlegungen umgehend anzustellen – insbesondere die Frage Build oder Buy – und sind entsprechende Roadmaps zu entwickeln und Maßnahmen umzusetzen. Ansonsten könnten ab dem nächsten Sommer böse Überraschungen auf sie warten.“

Rechtssicherheit bei internationalen Geschäften

DocuSign Kunden profitieren durch die neue Kooperation, indem sie jetzt in der EU und in der Schweiz noch einfacher rechtssicher signieren können. Swisscom Trust Services ist der einzige Vertrauensdienstanbieter weltweit, der sowohl nach dem Schweizerischen ZertES als auch nach dem EU-Pendant eIDAS zertifiziert ist. Somit können Kunden, die geschäftlich mit der Schweiz agieren, mit einer Lösung beide Rechtsräume abdecken. Ein weiterer Vorteil: Banken, Versicherungen sowie Grosskunden diverser Branchen in der EU und der Schweiz können die DocuSign Lösung mit dem Vertrauensanker der Swisscom Trust Services ihren Nutzern als digitale Lösung zur Signatur anbieten und so den gesteigerten regulatorischen Anforderungen im internationalen Austausch mit einer integralen Lösung entsprechen. Die Daten der Nutzer bleiben dabei jederzeit in der EU und werden nicht in Drittländern gespeichert.

Die vertiefte Partnerschaft bringt auch für Swisscom Trust Services und DocuSign Vorteile, da die Partner ihren Vertrieb nun fokussierter gestalten können. Es gibt einen zentralen Kanal und Ansprechpartner. Kunden profitieren von der Bereitstellung qualifizierter und fortgeschrittener Zertifikate und Siegel für ganz Europa und die Schweiz sowie innovativer und kostenfreier Authentifizierungsmethoden. Nahtlose Schnittstellen verhindern Medienbrüche und sorgen für Convenience, rechtliche Compliance und die Sicherstellung von Datenschutz.

Erweiterter Funktionsumfang

Kunden, die sich speziell für die führende paneuropäische Signatur von Swisscom Trust Services interessieren, können diese jetzt eingebettet in das umfassende Angebot des Marktführers für digitale Verträge beziehen. Vorteile der DocuSign-Swisscom Trust Services Lösung sind unter anderem:

• Qualifizierte oder fortgeschrittene elektronische Signatur des jeweiligen Rechtsraumes EU, EWR oder Schweiz aus einer Hand
• Einfacher Zugang innerhalb der DocuSign Anwendung vor Zusammenstellung des Workflows
• Face2Face-Registrierung durch den Kunden möglich mittels kostenfreier RA-App (regulatorischer Vertrag zur Erfüllung der Pflichten und des Datenschutzes notwendig)
• Alternativ Erwerb einer Fernidentifikationsmöglichkeit (z.B. Video-, Autoident, eID oder Bankident) auf der Identifikationsseite der Swisscom Trust Services gegen Kreditkarte/Voucher
• Direkte Signaturfreigabe mit dem Signaturfreigabemittel in der DocuSign Applikation ohne jegliches Login bei Swisscom Trust Services.

„Indem wir unsere Partnerschaft mit DocuSign auf eine nächste Stufe heben, helfen wir Unternehmen mit einer Lösung in der Schweiz rechtssicher zu signieren. Die direkte Integration in das Portfolio von DocuSign unterstreicht und stärkt zudem unsere Bekanntheit und Position auf dem Markt“, sagt Mario Voge, Head of Growth Management bei Swisscom Trust Services.

„Als erfahrener und innovativer Vertrauensdienstanbieter ermöglicht uns Swisscom Trust Services, die gesteigerten regulatorischen Anforderungen im internationalen Austausch mit einer einfachen integralen Lösung zu erfüllen. Durch diese vertrauensvolle Partnerschaft können wir unsere Kunden bei der neuen, digitalen Art des Arbeitens weiter unterstützen und es ihnen ermöglichen, in der Schweiz noch einfacher rechtssicher signieren zu können“, sagt Mihály Gündisch, Area Vice President Sales bei DocuSign.

Über DocuSign

DocuSign unterstützt Unternehmen bei der Verknüpfung und Automatisierung aller Prozesse zur Vorbereitung, Unterzeichnung, Umsetzung und Verwaltung von Verträgen und Vereinbarungen. Als Teil der DocuSign Agreement Cloud bietet DocuSign eSignature an – die weltweit führende Lösung für elektronische Signaturen, um von praktisch jedem Gerät, von fast überall und zu jeder Zeit elektronisch zu signieren. Heute nutzen mehr als eine Million Kunden und mehr als eine Milliarde Anwender in über 180 Ländern die DocuSign Plattform, um Geschäftsprozesse zu beschleunigen und den Alltag vieler Menschen zu vereinfachen. Weitere Informationen finden Sie hier:  http://www.docusign.com