Wenn digitale Beweismittel im Finanzwesen versagen: Warum QES und QEA von Bedeutung sind

Risikobeauftragte der zweiten Ebene in europäischen Banken und Versicherungsgesellschaften haben die Aufgabe, sicherzustellen, dass rechtliche, operative und Compliance-Risiken unter Kontrolle gehalten werden. Ein oft übersehener Bereich ist die Beweiskraft elektronisch signierter und gespeicherter Dokumente. Ohne qualifizierte elektronische Signaturen (QES) und qualifizierte elektronische Archivierung (QEA) setzen sich Finanzinstitute dem Risiko von Rechtsstreitigkeiten, behördlichen Beanstandungen und Betrug aus.

Zusammenfassung

Eine QES hat EU-weit dieselbe Rechtswirksamkeit wie eine handschriftliche Unterschrift, während andere Unterschriften zwar gültig sein können, jedoch keine automatische Gleichwertigkeit besitzen. Siehe Verordnung (EU) Nr. 910/2014 (eIDAS), Artikel 25, verabschiedet am 23. Juli 2014.
Verordnung (EU) Nr. 2024/1183 (veröffentlicht am 30. April 2024; in Kraft getreten am 20. Mai 2024) fügt hinzu Qualifizierte elektronische Archivierung als qualifizierter Vertrauensdienst und bietet eine gesetzliche Vermutung der Integrität und Herkunft der aufbewahrten Daten bzw. Dokumente.
Ohne QES und QEA sind Sie mit unmittelbaren Widerrufsrisiken, der Manipulation signierter PDF-Dateien, fehlenden Validierungsnachweisen, Formatabweichungen und Lücken in der Nachverfolgbarkeitskette konfrontiert, die jeweils zu Problemen bei Streitfällen, Audits und behördlichen Überprüfungen führen können.

Wo das Risiko bei Finanzdienstleistungen zum Tragen kommt

Kreditvergabe und Sicherheiten:
Kreditverträge, Hypothekennachträge, Sicherheitenfreigaben, Bürgschaften und Stundungserklärungen müssen oft erst Jahrzehnte später nachgewiesen werden. Können Unterschriften oder die Echtheit nicht nachgewiesen werden, drohen der Bank Einwände hinsichtlich der Nichtdurchsetzbarkeit oder kostspielige Vergleiche.
Zahlungen und Vollmachten:
SEPA-Lastschriftmandate und Daueraufträge beruhen häufig auf unterzeichneten Einwilligungen. Wenn die Gültigkeit des Mandats oder der Zeitpunkt der Einwilligung angefochten wird und Ihnen keine zuverlässige Aufbewahrung vorliegt, kommt es vermehrt zu Rückforderungen und Streitfällen.
Kapitalmärkte und Finanzwesen:
Bestätigungen, Einwilligungen und Offenlegungen im Zusammenhang mit Derivate-, Repo-, Devisen- und Anleihegeschäften stellen wertvolle Nachweise dar. Die Unfähigkeit, die Integrität und Herkunft dieser Unterlagen nachzuweisen, setzt das Unternehmen bei Streitigkeiten im Zusammenhang mit der Abwicklung oder bei Prüfungen gemäß MiFID II/EMIR einem Risiko aus.
Versicherungen und Bancassurance:
Hochwertige Versicherungspolicen und Zusatzversicherungen sind mit langfristigen Verbindlichkeiten verbunden. Die Aufbewahrung der exakten Fassung sowie der Nachweise zu deren Gültigkeit ist unerlässlich, um Streitigkeiten über Versicherungsbedingungen oder Versicherungssummen zu vermeiden.

Was geht schief, wenn QES und QEA fehlen?

Ein Widerruf kann morgen schon Folgen haben:
Wenn ein Kunde den Diebstahl einer eID bei der Polizei meldet, widerruft die ausstellende Behörde das Zertifikat unverzüglich. Jedes kurz zuvor signierte Dokument kann später angefochten werden, es sei denn, Sie können den Status des Zertifikats zum Zeitpunkt der Signatur nachweisen. Ohne eine QEA, die Widerrufsdaten und Zeitstempel speichert, ist dieser Nachweis unzuverlässig.
Signierte PDF-Dateien können verändert werden, ohne dass dies auffällt:
Die Ruhr-Universität Bochum hat “Shadow Attacks” dokumentiert, bei denen Inhalte verborgen oder ersetzt werden, ohne dass der sichtbare Signaturstatus in vielen Anzeigenprogrammen ungültig wird. Siehe Beitrag zur NDSS 2021 und Zusammenfassung zur Universität. CERT-EU warnte zudem die EU-Institutionen vor diesen Angriffen (Mitteilung aus dem Jahr 2020).
Auswirkungen in der Praxis: geänderte Rechnungen und Umleitung von Zahlungen:
Deutsche Kammern haben berichtet, bearbeitete PDF-Dateien dass sich die IBANs auf den Rechnungen geändert hatten, was zu fehlgeleiteten Zahlungen führte.
Dieses Muster steht in direktem Zusammenhang mit APP-Betrugsfällen und Zahlungsstreitigkeiten, die von Finanzinstituten bearbeitet werden.
Fehlende Validierungsnachweise Jahre später:
CRLs (Certificate Revocation Lists) und OCSP-Responder (Online Certificate Status Protocol) speichern historische Statusdaten nur selten auf unbestimmte Zeit. Wenn Sie die Validierungsdaten und vertrauenswürdigen Zeitstempel bei der Signierung bzw. dem Abruf nicht archiviert haben, können Sie möglicherweise nicht nachweisen, dass ein Zertifikat zum Zeitpunkt der Ausführung gültig war, insbesondere nach dessen Ablauf oder Widerruf.
Abweichungen bei Format und Interpretierbarkeit:
Alle digitalen Formate werden irgendwann veraltet sein, sogar PDF/A. Wenn Sie den ursprünglichen Inhalt, die Metadaten und die Nachweise in zukünftigen Systemen nicht zuverlässig wiedergeben können, sagt eine “gültige” Signatur wenig aus. Gerichte und Prüfer erwarten von Ihnen, dass Sie nachweisen, was von wem unterzeichnet wurde, und nicht nur, dass “ein” Signaturobjekt existiert.
Lücken in der Nachverfolgbarkeitskette zwischen den Systemen:
Migrationen zwischen DMS, Datenspeichern oder Cloud-Anbietern können die Nachvollziehbarkeit unterbrechen, wenn sie nicht in einem unveränderlichen, auf Standards basierenden Archiv verankert sind.

Ein qualifiziertes elektronisches Archiv begegnet diesen sechs Risiken direkt:

Es speichert Widerrufsdaten und Zeitstempel, sodass selbst dann, wenn ein Zertifikat am nächsten Tag widerrufen wird, die Gültigkeit zum Zeitpunkt der Unterzeichnung nachgewiesen werden kann.
Das System erkennt und protokolliert jegliche Manipulation von Inhalten, indem es die Nachweise getrennt vom Originaldokument speichert und so sicherstellt, dass veränderte PDF-Dateien aufgedeckt werden.
Es speichert Validierungsnachweise wie CRLs und OCSP-Antworten sicher, sodass künftige Überprüfungen weiterhin möglich sind.
Es wendet Migrations- und Formatmanagement an, um die langfristige Lesbarkeit zu gewährleisten und Formatabweichungen zu vermeiden.
Es gewährleistet eine unveränderliche Nachverfolgbarkeitskette mit Prüfprotokollen über Migrationen und Systemänderungen hinweg.
Bei der Abfrage erstellt das System einen Integritäts- und Herkunftsbericht, der rechtliche Vermutungen begründet, welche die Beweislast bei Streitfällen und Prüfungen verringern.

Auswirkungen auf Banken, Versicherer und Makler

Streitigkeiten und Rechtsstreitigkeiten:
Ohne die durch QES und QEA begründeten Vermutungen lastet auf Ihnen eine höhere Beweislast. Gutachten und forensische Untersuchungen treiben die Kosten in die Höhe, und die Vergleichssummen steigen, wenn die Gegenparteien Unklarheiten ausnutzen.
Feststellungen der Aufsichtsbehörden und Sanktionen:
MiFID II schreibt eine lückenlose Aufbewahrung und Abrufbarkeit von Unterlagen vor (siehe ESMA-Leitlinien zur Meldung von Geschäften und zur Aufbewahrung von Auftragsunterlagen).
DORA, Verordnung (EU) 2022/2554, schärft die Erwartungen hinsichtlich Integrität, Protokollierung und Nachweismöglichkeiten im Rahmen des IKT-Risikomanagements. EBA-Leitlinien Bei der Fern-Kundenanmeldung legen wir besonderen Wert auf zuverlässige Instrumente und Identitätsnachweise im Rahmen der Geldwäschebekämpfung und Terrorismusfinanzierung.
Betriebsverluste und Betrug:
Die EZB berichtet von einem erheblichen Umfang und hohen Schadenssummen bei Zahlungsbetrugsfällen in der EU/im EWR, was verdeutlicht, welche Risiken unzureichende Nachweiskontrollen und Prozesskontrollen mit sich bringen (Bericht über Zahlungsbetrug 2024)
Reputationsrisiko:
Die Unfähigkeit, einwandfreie Unterlagen vorzulegen, untergräbt das Vertrauen von Vorgesetzten, Investoren und Kunden.

Was sich durch QES und QEA ändert

QES (Artikel 25 der eIDAS-Verordnung):
Automatische Gleichwertigkeit mit einer handschriftlichen Unterschrift in allen Mitgliedstaaten, wodurch das Risiko von Streitigkeiten und die Beweislast verringert werden.
QEA (Verordnung (EU) Nr. 2024/1183):
EU-weit anerkannter qualifizierter Vertrauensdienst für die elektronische Archivierung. Bietet eine rechtliche Vermutung der Integrität und Herkunft für die gesamte Aufbewahrungsfrist und erfordert bei Abruf einen automatisch signierten/versiegelten Bericht.

Gemeinsam schaffen QES und QEA über Grenzen und Zeiträume hinweg stichhaltige Nachweise, die den aufsichtsrechtlichen Erwartungen hinsichtlich der Ausfallsicherheit und der Integrität der Aufzeichnungen entsprechen.