Ersetzendes Scannen - Kommpakt zusammengefasst

Hilfreiche Infos und kommpakte Zusammenfassung zur Bedeutung, Definition, Verfahrensdokumentation und Schutzbedarfsanalyse für BSI TR-03138 Ersetzendes Scannen. Diese Technische Richtlinie (TR) zielt auf eine Steigerung der Rechtssicherheit und Beweiswerterhaltung ab.

Als Ihr Scandienstleister digitalisieren wir konform gemäß BSI TR Resiscan.

Zum Thema Scanprozess "Ersetzendes Scannen" verwenden wir als Informationsquelle, die Dokumente, Hinweise und Anmerkungen auf der Webseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) mit Quellangabe. Zusätzlich geben wir den Link zum entsprechenden Dokument bzw. zur Webseite von BSI an, damit Sie auf die vollständigen entsprechenden Informationen (Dokumente) zugreifen können. Indirekte Zitate werden mit „Vgl.“ sowie Quellangaben versehen.

Wichtige Hinweise:
Bitte beachten Sie, dass wir keine Rechtsberatung erteilen. Die nachfolgenden Informationen sollen lediglich unverbindlich einen vereinfachten Überblick vermitteln.

Zielsetzung und der Zweck von "Ersetzendes Scannen"

Die TR Resiscan zielt darauf ab, die Lücke zwischen abstrakten und uneinheitlichen rechtlichen Anforderungen und der technischen Umsetzung des Scannens zu schließen. Sie basiert auf bestehenden Empfehlungen wie DOMEA und GdPDU, deren Gültigkeit durch die TR nicht beeinträchtigt wird. Die TR definiert einen strukturierten Scanprozess und vereint dabei wichtige technische und organisatorische Sicherheitsmaßnahmen für das Ersetzendes Scannen. Die Ziele der Informationssicherheit als auch der Rechtssicherheit werden dabei gleichermaßen berücksichtigt.

Diese Technische Richtlinie (TR) erleichtert zum einen die Auswahl von Scan-Lösungen Anwender wie für Behörden und Unternehmen, indem sie einheitliche Anforderungen und Sicherheitsmaßnahmen anstrebt. Zum anderen gibt sie gleichzeitig Herstellern und Dienstleistern klare Vorgaben, um TR-konforme Produkte und Dienstleistungen anzubieten.

Vgl. BSI TR-03138 Ersetzendes Scannen (RESISCAN), Stand Juli 2023
Quelle: https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Moderner-Staat/Ersetzendes-ScannenTR-Resiscan/ersetzendes-scannentr-resiscan_node.html#doc455930bodyText

Weiterhin erläutert BSI in der Veröffentlichung des Dokumentes -BSI Technische Richtlinie 03138 Ersetzendes Scannen vom 23.04.2020, Version: 1.4.1, Seite 5:

„Während in manchen Anwendungsbereichen, wie etwa dem kaufmännischen oder steuerlich relevanten Umfeld nach Abgabenordnung (AO) und Handelsgesetzbuch (HGB) seit 1995 Grundsätze zur ordnungsgemäßen Ausführung der elektronischen Aufbewahrung existieren, nach denen bereits ersetzend gescannt wird, fehlen konkrete Umsetzungsvorgaben für die meisten anderen, aber zunehmend betroffenen Bereiche (Ausnahme: Sozialversicherungsrecht). Darüber hinaus gibt es auch in den bereits von unterschiedlich detaillierten Regelungen betroffenen Bereichen zunehmend davon nicht erfasste Dokumente (zum Beispiel solche, die nicht nur nach AO/HGB sondern auch zur zivilrechtlichen Beweissicherung aufbewahrt werden sollen), die vor allem aus Gründen der Wirtschaftlichkeit zukünftig ebenfalls ersetzend gescannt werden sollen. Um dies auf einer möglichst sicheren technisch-organisatorischen Grundlage tun zu können, wurden die Empfehlungen in dieser TR erarbeitet. Ziel ist es, die mit einer Vernichtung des Originaldokuments stets einhergehende Verringerung des Beweiswerts für den jeweiligen Anwender durch einen an das Original möglichst weit angenäherten Beweiswert des – in einem nachweisbar ordnungsgemäßen Prozess erstellten - Scanproduktes selbst auszugleichen, zu minimieren oder sichtbar zu machen. Schließlich kann die TR im Rahmen künftiger Regelungsvorhaben als Referenz dienen, wenn es z.B. konkret um die Schaffung weiterer Zulässigkeitstatbestände für das Ersetzendes Scannen insbesondere im Bereich der elektronischen Aktenführung geht.“

Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03138/TR-03138.pdf?blob=publicationFile&v=5

Anwendung und Umsetzung TR Ersetzendes Scannen

Um die Nachvollziehbarkeit und leichte Anwendung der TR Resiscan zu gewährleisten, wurden sie in drei Schritte unterteilt: Strukturanalyse, Schutzbedarfs analyse und Sicherheitsmaßnahmen.

Diese Schritt-für-Schritt-Vorgehensweise erleichtert die Umsetzung der Richtlinie und sorgt für eine klare und nachvollziehbare Anwendung, indem sie klare Anleitungen für die Umsetzung bietet.

Strukturanalyse

In diesem Schritt werden die bestehenden Strukturen und Prozesse analysiert. Dadurch wird eine grundlegende
Kenntnis der organisatorischen und technischen Aspekte geschaffen, um eine solide Basis für die Umsetzung der Richtlinie zu schaffen.
Das für den Digitalisierungsprozess eingesetzte Scansystem (vom Dienstleister zu erfüllen) und alle IT-Systeme, Anwendungen und Netze werden auf Basis von IT-Grundschutz-Bausteinen modelliert und für das sichere Ersetzendes Scannen geprüft.

Schutzbedarfsanalyse

Hier erfolgt die Bewertung und Relevanz aus technischer und fachlicher Perspektive des Schutzbedarfs (Sicherheitszeile) der zu digitalisierenden Papierdokumente. Es werden die Anforderungen (BSI IT-Grundwerte) Vertraulichkeit, Integrität und Verfügbarkeit bewertet, um angemessene Sicherheitsmaßnahmen zu identifizieren und umzusetzen.

Mithilfe der Bedrohungsanalyse und Risikoanalyse können Schwachstellen für die zu schützenden Datenobjekte ermittelt werden. Durch diese Analyseverfahren werden potenzielle Gefährdungen und Risiken identifiziert, die die Sicherheit der Objekte beeinträchtigen könnten. Dadurch können gezielte Sicherheitsmaßnahmen ergriffen werden, um die Schwachstellen zu beheben und die Sicherheit der Objekte zu erhöhen.

Sicherheitsmaßnahmen

Basierend auf den Ergebnissen der Schutzbedarfsanalyse werden geeignete Sicherheitsmaßnahmen definiert und implementiert. Dies umfasst technische, organisatorische und administrative Maßnahmen, die darauf abzielen, die Informationssicherheit und den Schutz der digitalisierten Dokumente zu gewährleisten, um das Risiko der Beweismanipulation bei der Digitalisierung von Dokumenten zu minimieren.

Die BSI TR-03138 definiert verschiedene technische, organisatorische und personelle Sicherheitsmaßnahmen in Form von Modulen, um den festgestellten Schutzbedarf zu erfüllen.

Diese Module sind in unterschiedliche Aufbaumodule unterteilt und ermöglichen einen angemessenen Schutz entsprechend des erhöhten Schutzbedarfs und des Kosten-Nutzen-Verhältnisses. Das Basismodul stellt den Mindeststandard dar, während erweiterte Aufbaumodule zusätzlichen Schutz bieten.

Die Richtlinie BSI TR-03138 RESISCAN empfiehlt ein dreistufiges Verfahren, um die technischen, organisatorischen und personellen Strukturen zu schaffen, die eine angemessene und sichere Gestaltung des Scanprozesses ermöglichen:

Durch die gezielte Implementierung dieser Maßnahmen wird das Risiko von Manipulationen oder Verfälschungen der digitalen Dokumente deutlich reduziert und somit ihre Verwendbarkeit als rechtssicherer Beweis gestärkt. Durch diese dreistufige Vorgehensweise werden auch die individuellen Gegebenheiten und Sicherheitsanforderungen berücksichtigt.

Unterschiede zwischen Ersetzendem Scannen und Kopierendem Scannen?

Beim ersetzenden Scannen gibt es im Vergleich zur einfachen Digitalisierung (kopierend Scannen) von papierbasierten Belegen und Dokumente zwei wesentliche Besonderheiten.

6.1 Transfervermerk

Der Transfervermerk ist eine protokollarische Aufzeichnung, die das ordnungsgemäße Scannen gemäß TR Resiscan dokumentiert. Er enthält üblicherweise folgende Informationen:

• Namen des Scanoperators (Personal ID)
• Technisches und organisatorisches Umfeld des Erfassungsvorgangs
• Eventuelle Auffälligkeiten während des Scanprozesses
• Zeitpunkt der Erfassung
• Ergebnis der Qualitätssicherung
• Die Tatsache, dass das Scanprodukt bildlich und inhaltlich dem Papierdokument übereinstimmt

Die Scansoftware erzeugt den Transfervermerk in der Regel als XML-Datei oder als PDF- Datei. Dadurch wird gewährleistet, dass wichtige Informationen zum Scanvorgang gesammelt und für weitere Schritte verfügbar sind, um die Verlässlichkeit der digitalisierten Dokumente sicherzustellen.

6.2 Integritätssicherung

Integritätssicherung durch qualifizierte digitale Signierung/ Siegel

Die Integritätssicherung erfüllt zwei wichtige Funktionen im Zusammenhang mit dem ersetzenden Scannen. Einerseits dient sie der Bestätigung, dass das Scannen ordnungsgemäß durchgeführt wurde und andererseits schützt sie vor Manipulationen, während sie die Integrität des Scanprodukts und des Transfervermerks nachweist.

Die Maßnahmen zur Integritätssicherung des Scanprodukts entsprechen dabei auch zur Sicherung des Transfervermerks. Beide werden mit geeigneten Sicherheitsmaßnahmen geschützt, um sicherzustellen, dass die digitalisierten Dokumente und die zugehörigen Vermerke unverändert und zuverlässig bleiben.

Durch die Integritätssicherung wird die Vertrauenswürdigkeit der digitalen Dokumente gestärkt und die Beweiswerterhaltung gewährleistet, was für eine rechtssichere Nutzung der elektronischen Unterlagen von großer Bedeutung ist.

Durch die Verwendung des (qualifizierten) elektronischen Siegels gemäß eIDAS-Verordnung, welches auf Organisationszertifikaten basiert, konnte der Aufwand für kryptographische Sicherungsmittel erheblich reduziert werden. Gleichzeitig wird die Verkehrsfähigkeit der gesiegelten Scanprodukte und Transfervermerke gewährleistet und ein hoher Beweiswert sichergestellt.

Durch die Anwendung des elektronischen Siegels wird die Sicherheit und Integrität der digitalisierten Dokumente gewährleistet, was ihre rechtliche Gültigkeit und Verwendbarkeit als rechtsgültige Beweismittel stärkt.