Die qualifizierte elektronische Signatur (QES) in der Praxis: Wie die Baloise Bank digital unterschreibt

Ein Konto eröffnen, einen Vorsorgevertrag abschliessen, ein Dokument fürs Handelsregister beglaubigen – im Bankgeschäft braucht vieles eine rechtsgültige Unterschrift. Die höchste Stufe der elektronischen Signatur, die qualifizierte elektronische Signatur (QES), ist der handschriftlichen Unterschrift gesetzlich gleichgestellt. Damit wird digital möglich, was bisher Papier, Post und Wartezeit bedeutete.

In diesem Webinar zeigt Thomas Maurer, Leiter Kundenservice der Baloise Bank AG, wie die Bank die QES in der Praxis einsetzt – von der ersten Idee über den Proof of Concept bis zum gruppenweiten Rollout. Skribble-Moderator Philipp Dick ordnet die Signaturstandards ein, führt live durch die Plattform und beantwortet zum Schluss die Fragen der Teilnehmenden.

Das nehmen Sie mit

• Wann Sie welche Signaturstufe brauchen – und warum die QES bei Schriftformerfordernis Pflicht ist
• Wie sich Rechtsgültigkeit und Beweiskraft voneinander unterscheiden
• Wie die Baloise Bank Mitarbeitende und Kunden für die QES identifiziert
• Warum die digitale Antwortquote von 45 auf 90 Prozent stieg
• Antworten auf die häufigsten Fragen zu Speicherung, Archivierung, FINMA und Kosten
• Kurz: Die QES bringt maximale Beweiskraft und volle Rechtsgültigkeit – und macht sowohl externe Kundenprozesse als auch interne Freigaben durchgängig digital.

Vollständiges Transkript

Begrüssung und Vorstellung von Thomas Maurer

Philipp Dick: Mein Name ist Philipp Dick, ich bin der Moderator vom heutigen Skribble-Webinar zum Thema «Die qualifizierte elektronische Signatur in der Praxis», mit unserem Gast Thomas Maurer, Leiter Kundenservice der Baloise Bank.

Ein paar administrative Punkte vorab: Fragen beantworten wir am Ende der Präsentation. Sie können aber jederzeit über die Chat-Funktion unten rechts Fragen stellen – am Schluss beantworten wir sie alle gerne.

Zur Agenda: zuerst Begrüssung und die Vorstellung von Thomas Maurer, dann die Einführung in die E-Signatur und warum Skribble, anschliessend die Abgrenzung der qualifizierten elektronischen Signatur von den anderen Standards. Danach eine kurze Live-Demo mit QES-Signieren – und zum Höhepunkt der Erfahrungsbericht der Baloise Bank zum Einsatz der qualifizierten Signatur. Zum Schluss dann Fragen und Antworten.

Thomas Maurer hat eine lange Karriere bei der Baloise Bank – seit über 16 Jahren ist er dabei. Er hat als Sachbearbeiter gestartet und ist heute Leiter Kundenservice. Er ist sehr digital unterwegs, ein digitaler Treiber: Er versteht es, Prozesse mit Kunden zu automatisieren und die Effizienz zu steigern – und hat auch viele interne Signatur- und Digitalisierungsprozesse vorangetrieben.

Thomas war einer der Ersten bei Skribble. Er hat sich gemeldet, kurz nachdem unsere Webseite online war und wir gezeigt haben, dass wir alle Signaturstandards anbieten. Er war sehr interessiert zu sehen, wie wir das im Bankenumfeld abdecken können. In diesem Sinne: Vielen Dank für deine Bereitschaft, uns die QES und euer Praxisbeispiel zu zeigen. Herzlich willkommen, Thomas.

Thomas Maurer: Herzlich willkommen, danke.

Warum E-Signatur?

Philipp Dick: Warum E-Signatur? Wir kennen es alle: Viele Signaturprozesse laufen immer noch auf Papier. Dieses Bild wirkt fast romantisch – ein Papiervertrag, bereit zur Unterschrift, der Kugelschreiber einfach in der Handhabung. Aber alles drumherum, bis es zum Signieren kommt, und alle Prozesse danach, um den ganzen Flow abzubilden, sind sehr umständlich.

Papier lässt sich in der digitalen Welt viel einfacher managen, wenn es digital bleibt. Heute werden fast alle Verträge elektronisch aufbereitet – aber oft ausgedruckt, von Hand unterschrieben, wieder eingescannt und dann archiviert, teils digital, teils physisch. Mit Skribble muss man das nicht mehr: Man kann durchgehend digital bleiben. Der Bruch, bei dem man beide Unterschriften ausdruckt und von Hand unterschreibt, entfällt.

Das ist zehnmal schneller, 50-mal nachhaltiger und 90 Prozent günstiger – Zahlen aus diversen Studien. Und es ist 100 Prozent rechtsgültig, wenn man die richtige Signatur wählt. Je nach Vertrag kommt die eine oder andere Signatur zum Zug, das sehen wir nachher.

Skribble im Überblick

Philipp Dick: Skribble ist in der Schweiz gehostet. Man kann in der Schweiz signieren, grundsätzlich aber auch in Europa und weltweit – Skribble ist mit über 100'000 aktiven Nutzenden aus über 140 Ländern global im Einsatz. Jeder Vertrag kann von überall signiert werden.

Skribble wurde 2018 gegründet. Über 100'000 aktive Nutzende erstellen Signatur-Einladungen und signieren selbst oder laden andere zum Signieren ein. Dazu kommen viele passive Nutzende, die Skribble nur auf Einladung nutzen, um Dokumente zu signieren. Wir zählen über 3 Millionen getätigte Signaturen (Stand Sommer) und neben Baloise weitere prominente Kunden – insgesamt über 3'000 Business-Kunden.

Die drei E-Signaturstandards

Philipp Dick: Direkt zu den E-Signaturstandards. Diese Abstufung ist in der Schweiz im ZertES und in der EU unter eIDAS definiert. Man unterscheidet grundsätzlich drei Stufen: die einfache Signatur für formfreie Verträge mit tiefer Beweiskraft; die fortgeschrittene elektronische Signatur, ebenfalls für formfreie Verträge, aber mit hoher Beweiskraft; und die qualifizierte elektronische Signatur (QES) mit maximaler Beweiskraft.

Die QES ist zudem rechtsgültig, wenn ein Schriftformerfordernis vorliegt – in der Schweiz etwa nach OR Art. 14 Abs. 2bis, wo sie der handschriftlichen Unterschrift gleichgestellt ist. Wichtig: Rechtsgültigkeit ist nicht dasselbe wie Beweiskraft.

Rechtsgültigkeit und Beweiskraft: der Unterschied

Philipp Dick: Bei der Rechtsgültigkeit kommt es darauf an, ob ein Vertrag ein Schriftformerfordernis hat oder formfrei ist. Ist die Schriftform von Gesetzes wegen gefordert, wählt man die qualifizierte elektronische Signatur.

Bei der Beweiskraft geht es eher um die Frage, bei welchen Verträgen man welche Stufe einsetzt. Projektverträge oder Auftragsbestätigungen wären formfrei – aber ab einer gewissen Grösse oder Komplexität will man sie doch mit einer fortgeschrittenen oder sogar qualifizierten Signatur absichern. Oft definieren Firmen eine Limite, etwa nach Vertragswert, ab der die QES eingesetzt wird. Wie das die Baloise definiert, hören wir nachher von Thomas.

Papier vs. elektronisch: Identität und Willensbekundung

Philipp Dick: Der Vergleich mit dem Papier ist spannend. Eine Unterschrift ist zweierlei: ein Identifikationsmerkmal und eine Willensbekundung – man will den Vertrag eingehen.

Auf Papier nimmt man an, dass nur diese eine Person diese Unterschrift zeichnen kann. Wird sie im Rechtsfall zum Thema, müssen Schrift-Experten analysieren, ob die Person tatsächlich unterschrieben hat. Und der Wille wird schlicht daraus abgeleitet, dass die Unterschrift auf dem Vertrag steht.

In der elektronischen Welt haben wir mehr Möglichkeiten. Bei der qualifizierten elektronischen Signatur wird die Identität mit einem Ausweisdokument und einer Prüfung der Person einmal festgestellt und dann mit einer starken Authentisierung gekoppelt. Beim Signieren wird die Willensbekundung so eindeutig getätigt. Wie das die Baloise Bank einsetzt, hören wir gleich.

Bei der fortgeschrittenen Signatur wird die Mobilnummer oder die Unternehmens-E-Mail-Adresse geprüft, und die Auslösung erfolgt per mTAN oder E-Mail-TAN. Bei der einfachen Signatur wird typischerweise nur die E-Mail-Adresse geprüft – hier ist die Beweiskraft entsprechend tiefer. Wird zum Beispiel eine beliebige, frei erstellte E-Mail-Adresse genutzt, ist man nicht sicher, ob wirklich die erwartete Person signiert hat.

Bei der QES sind wir dagegen sehr hoch: Die Identitätserfassung kennt man von der Bankkontoeröffnung mit dem Pass, und die Auslösung von einem E-Banking-Login mit Zwei-Faktor-Authentifizierung. Je nachdem, wen man fragt, ist die Beweiskraft damit deutlich höher als beim Papier.

Live-Demo: Selbstbeglaubigte Unterschrift mit der QES

Philipp Dick: Jetzt eine kurze Demo. So sieht die Skribble-Oberfläche aus – mit verschiedenen Tabs: Dokumente, zu denen ich eingeladen wurde («Pending»), abgelehnte Dokumente und «Completed», also fertig signierte. Ein neues Dokument lade ich per Drag-and-drop hoch.

Für die Demo verwende ich den Fall der selbstbeglaubigten Unterschrift. Ich kann meine handschriftliche Unterschrift selbst beglaubigen, indem ich dieses Formular des Handelsregisteramts Kanton Zürich mit dem Bild meiner handschriftlichen Unterschrift ausfülle und dann mit der qualifizierten elektronischen Signatur signiere.

In diesem Fall signiere nur ich – ich könnte aber auch weitere Personen einladen. Dann sehen wir die Signaturstandards: «Basic» für die einfache, dann die fortgeschrittene und «Maximum» für die QES. Bei der QES wähle ich zwischen Schweizer Recht und EU-Recht – hier Schweizer Recht, weil das Dokument in der Schweiz eingereicht wird.

Ich schaue das Dokument noch einmal an und platziere meine visuelle Signatur im vorbereiteten Feld. Weil ich der Einzige bin, wird im Hintergrund die Zwei-Faktor-Authentifizierung auf mein Handy gepingt. Ich akzeptiere sie, gebe meinen PIN – mein Geheimnis – ein und löse damit die Unterschrift aus. Die Willensbekundung ist gemacht. Weil ich bereits einmal mit einem Ausweisdokument identifiziert wurde, ging das sehr schnell.

Danach sehen wir: Am Dokument hat sich nichts verändert, ausser dass die visuelle Signatur drauf ist. Ich kann es herunterladen und beim Handelsregisteramt einreichen – und muss so nicht extra zu einem Notar, um meine Unterschrift beglaubigen zu lassen. Das war der «Happy Flow»: bereits identifiziert und direkt mit QES signiert.

Praxisbericht Baloise Bank: Das Unternehmen

Thomas Maurer: Danke, Philipp. Guten Tag an alle im Call. Kurz zur Baloise Bank: Wir sind eine Tochter der Baloise-Gruppe und stammen ursprünglich von der Solothurner Kantonalbank, die letzten Jahre bekannt als Baloise Bank SoBa und seit rund einem Jahr nur noch Baloise Bank AG. Wir sind rund 300 Mitarbeitende und über die Generalagenturen der Versicherung in der ganzen Schweiz präsent. Nichtsdestotrotz sind wir ein KMU.

Ich glaube, die Signatur und vor allem die Identifikation interessieren hier am meisten. Vor 2018 war ich unter anderem Sachbearbeiter und Teamleiter in der Bank, in der zweiten und dritten Säule als Vorsorgespezialist – tagtäglich mit Papier konfrontiert. Ich habe früh geschaut, wie man das rechtsgültig digitalisieren kann. In der Vorsorge wird das nach wie vor sehr hochgehalten, vielleicht auch nicht immer alles ganz notwendig.

Damals habe ich mir die SuisseID besorgt, diesen Stick – Philipp kennt den vielleicht noch. Der war recht teuer und umständlich, und keine Lösung, um jedem Kunden so einen Stick aufzubürden.

Der Weg zur E-Signatur: von Papier zu Guided Onboarding

Thomas Maurer: Dann wurde ich Teamleiter im Bereich Kundeneröffnung. Am Schluss erhielten wir Papier und Schwarz-Weiss-Kopien, mehr oder weniger lesbar, mit irgendeinem Beglaubigungsstempel. Das haben wir teilweise heute noch. Aber mit dem «Guided Onboarding», wie wir es heute nennen, haben wir es 2018 geschafft, einen vollständig digitalen Prozess von vorne bis hinten aufzubauen – einerseits über die Bankmitarbeitenden, andererseits über den verlängerten Arm der Aussendienstmitarbeitenden der Versicherung –, um Neukunden zu eröffnen.

Bei uns war nicht nur der Vertrag die Herausforderung. Als FINMA-beaufsichtigtes Institut müssen wir auch die Identifikation zu den Akten legen. Wir haben eine Lösung gesucht und gefunden, die beides kombiniert: den Kunden im elektronischen Prozess erfassen, dann identifizieren – im Zusammenspiel von Smartphone und Desktop. Wir fotografieren den Ausweis, machen gewisse Validierungen und holen ein Zertifikat, mit dem wir den Vertrag unterzeichnen. Das Ganze wird von der Front an den Kundenservice übergeben, wo wir noch kontrollieren, ob alles richtig gemacht wurde – unterzeichnet ist es da bereits.

Evaluation und Proof of Concept

Thomas Maurer: Wie ging es weiter? Ein Neukunde eröffnet ein Basiskonto, und je länger, je öfter wünschte er ein paar Tage oder Wochen später ein zusätzliches Produkt, etwa ein Vorsorgekonto. Dafür hatten wir keinen elektronischen Prozess, weil wir starr gebaut hatten – eine Ergänzung wäre teuer geworden.

Also haben wir eine Plattform gesucht, mit der wir ein heute noch nicht existierendes Dokument morgen digital unterzeichnen können – zum Beispiel wegen einer neuen Gesetzgebung. Genau das, was Philipp vorhin gezeigt hat. So sind wir in einem Evaluationsverfahren zu Skribble gekommen.

Zum Thema Best Practice: Ich war anfangs allein in der Bank unterwegs und suchte eine schnelle Lösung, die wir mit Kunden ausprobieren konnten. Dann musste ich mich mit der Baloise Group koordinieren – vom 300-Mann-Unternehmen zur Gruppe mit rund 4'000 Mitarbeitenden in der Schweiz, dazu Baloise Europa. Wir haben es geschafft, in der Bank ein kleines produktives Proof of Concept zu erstellen, und waren in weniger als einem Monat live.

Von 45 auf 90 Prozent: Kundenreaktion auf digitale Signaturen

Thomas Maurer: Danach haben wir direkt mit Kunden interagiert. Als Bank schicken wir Kunden nicht einfach E-Mails mit «Klick mal hier den Link an» – der Kunde muss so etwas erwarten können, weil wir es ihm gesagt haben oder er es angefordert hat.

Getestet haben wir es bei einem Produkt, das Kunden sehr häufig über das Internet angefragt haben. Der alte Prozess: Anfrage rein, Papier raus zum Zurücksenden. Der neue Prozess: über Skribble. Und die Antwortquote hat selbst mich überrascht. Auf Papier lag sie bei etwa 45 Prozent. Elektronisch bei 90 Prozent – und das innerhalb weniger Minuten.

Die Kunden haben das sofort erledigt. Ihnen hat es vielleicht keine Rolle gespielt, aber uns hat es massiv Arbeit gespart, weil wir keine Dossiers pendent halten mussten. Das floss ins Ergebnis der Gruppenevaluation ein. Rückblickend ging es relativ schnell: Nach knapp einem Jahr konnte auch die Gruppe live gehen.

Rollout in der Gruppe und interne Signaturen

Thomas Maurer: Live gehen hiess: Wir durften die Plattform in der Gruppe, respektive in der Schweiz, benutzen. Das hiess aber nicht, dass jeder wusste, wie das funktioniert – wir waren erst technisch bereit. Man musste den verschiedenen Bereichen die Signaturstufen erklären und zeigen, wie man damit umgeht.

Das Gute: Wir konnten viel Informationsmaterial von der Skribble-Website übernehmen, teils eins zu eins, und haben es bei uns in SharePoint abgelegt. Der Nachteil ist, dass wir das aktuell halten müssen – aber die Leute schauen lieber bei uns rein. Wo möglich, haben wir direkt auf Skribble verlinkt; in der Plattform selbst gibt es zudem Hilfestellungen.

Mit der Plattform konnten wir plötzlich auch intern elektronisch unterzeichnen – ein grosser Schritt. Wir mussten den Leuten zeigen: «Warum machst du das noch auf Papier? Wir haben diese Möglichkeit.» Anfangs brauchte es Hilfestellung. Wir gingen bis in die Gruppen- und die Bankgeschäftsleitung und haben die Personen einfach identifiziert, damit sie im Prozess nicht scheitern, wenn sie mit der QES unterzeichnen müssen.

Die Zahlen sprechen für sich: Wir haben mehrere tausend Signaturen pro Monat, mit steigender Tendenz. Ein wichtiger Punkt sind neue Mitarbeitende: Für Versicherung und Bank schweizweit bieten wir jedem Neuzugang eine 30- bis 45-minütige, freiwillige Schulung an, in der wir erklären, was das ist und wie es funktioniert. Das fördert auch den Austausch innerhalb der Gruppe.

Identifikation: Mitarbeitende und Kunden

Thomas Maurer: Das Wichtigste ist: Wie identifizieren wir? Bei Kundinnen und Kunden nutzen wir die «Kundenpersönliche Identifikation», die wir 2018 mit dem Guided Onboarding eingeführt haben und die heute noch läuft. Bei Mitarbeitenden nutzen wir die Inhouse-Identifikation über App – die Swisscom-App, eine RA-App (Registration Authority).

Das liess sich in wenigen Tagen aufschalten – in der Bank in vier Tagen von der ersten Kontaktaufnahme bis live. Es braucht zuerst eine verantwortliche Person, und dann rollt es sich wie ein Schneeballsystem aus: Eine Person identifiziert zwei weitere, die wiederum zwei weitere – und plötzlich können sehr viele Mitarbeitende mit der QES signieren. Das ist ähnlich wie beim Pass: Philipp hat es gesagt, dafür ist der Prozess etwas aufwendiger, man muss irgendwo hingehen.

Wer nicht in Solothurn arbeitet und in der Generalagentur Chur niemanden zum Identifizieren hat, kann in einen Swisscom-Shop gehen. Spannend: Diese Identifikation funktioniert firmenübergreifend. Innerhalb der Baloise kann die Bank jemanden von der Versicherung identifizieren und umgekehrt. Jede Firma braucht aber einen eigenen Swisscom-Vertrag. Ich kann auch jemanden von der Mobiliar oder der SBB identifizieren – sofern die Person nur unterzeichnen und nicht selbst weiter identifizieren will.

Theoretisch könnte ich auch Kunden mit dieser App identifizieren. Bei Kunden haben wir aber einen geführten Prozess gebaut, damit sie keine Fehler machen können – die Online-Identifikation. Dort kann man heute bei der Bank als Neukunde ein Konto eröffnen, ohne dass ein persönlicher Kontakt stattfindet.

Die Video-Identifikation kennt man seit Jahren. Wir hatten sie auch, mussten sie temporär abstellen, weil unser Videopartner Swisscom das nicht mehr anbietet – der Plan ist, sie 2024 wieder aufzunehmen, parallel zur Selfie-Identifikation. Als Bank müssen wir hier mehr beachten als andere Firmen. Für Interessierte: Im FINMA-Rundschreiben ist mit Randziffern geregelt, welches Verfahren wir anwenden. Wir wenden nicht jenes mit der Geldüberweisung an, sondern jenes, bei dem wir eine QES erhalten. Spannend: Diese Identität können wir danach weiterverwenden, ohne neu zu identifizieren – theoretisch bei allen Signaturanbietern, die Swisscom im Hintergrund haben.

Interne Verträge: Leitfaden und Millionen-Grenze

Thomas Maurer: Noch zu internen Verträgen: Wir haben schweizweit einen Leitfaden erstellt – die Juristen haben erklärt, was eine einfache, eine fortgeschrittene und eine qualifizierte elektronische Signatur ist, mit Anwendungsbeispielen, teils rechtlich vorgeschrieben, teils von uns für bestimmte Verträge gewünscht.

In diesem Leitfaden haben wir auch «wichtige Verträge» definiert – mit einer Aufzählung. Wo das nicht greift, gilt eine Betragslimite von einer Million Franken, respektive der äquivalente Betrag in Lokalwährung. Es geht also um sehr grosse, oft internationale Verträge. Die Schwierigkeit besteht darin, den Unterschied zwischen Identifikation und Unterschrift zu machen – gerade weil wir in der Bank ein paar Herausforderungen mehr haben als etwa eine SBB. Das wäre so mein Part gewesen, Philipp.

Philipp Dick: Vielen Dank, Thomas, für deinen Einblick ins Projekt und in die Identifikation. Ihr habt einen Leitfaden geschrieben, der definiert, welche Verträge mit welcher Signatur zu unterschreiben sind – auch interne Dokumente. Die Zahl ist eine Million; je nach Business ist das etwas anders, mal tiefer, mal höher. Aber es geht um die Beweiskraft, nicht um Rechtsgültigkeit im Sinne der Schriftform: Bei gewissen Verträgen will man die QES, auch wenn kein Gesetz sie vorschreibt.

Fragen und Antworten aus dem Webinar

Bin ich als FINMA-beaufsichtigtes Institut als Partner für die Vor-Ort-Identifikation anerkannt, beziehungsweise besteht die Möglichkeit der Zulassung?

Philipp Dick: Die Kurzantwort ist ja – aber nicht per se. Man kann Skribble in Kombination mit Swisscom nutzen; Swisscom ist unser Zertifikatslieferant und mit den entsprechenden Akkreditierungen auf der Liste der Trust Service Provider (für die Schweiz nach ZertES). Die Identität, die man im Standard-Setup erstellt, erlaubt das Signieren mit der QES. Für Banken lassen sich zusätzlich gewisse Flows aufschalten, sodass diese Identität nicht nur fürs Signieren, sondern auch für KYC- (Know Your Customer) und AML-Prozesse (Geldwäschereigesetz) genutzt und archiviert werden kann. Thomas, diese Daten werden bei euch gemäss FINMA-Vorgaben archiviert?

Thomas Maurer: Das ist korrekt. Zwei Beispiele: Die Baloise Versicherung AG ist vertraglich ein Vermittler der Baloise Bank AG. Wie mit der Versicherung können wir es auch mit anderen Vermittlern machen. Bei Drittvermittlern läuft das über das Self-Onboarding, mit einem speziellen Verfahren, das sie erkennt und ihrer Arbeit zuweist. Es braucht etwas Hirnschmalz, aber es ist möglich.

Wo sind meine Verträge gespeichert? Wer kann darauf zugreifen?

Philipp Dick: Skribble ist eine Software-as-a-Service-Plattform. Signierte Dokumente werden auf die Systeme von Skribble geladen. Zugriff hat grundsätzlich nur, wer eingeladen hat oder eingeladen wurde – die Verträge sind so verschlüsselt, dass nur diese Personen sie im Klartext sehen. Zusätzlich kann man Beobachter hinzufügen, etwa eine Assistenz, die wissen muss, wann signiert wurde. Datenhaltung ist die Schweiz, und nur die eingeladenen Personen können zugreifen.

Gibt es eine gesetzliche Richtlinie für das Gesundheitswesen, die beschreibt, wann PKI umgesetzt werden muss – oder ist es freiwillig?

Philipp Dick: Ich bin nicht sicher, ob ich die Frage direkt beantworten kann. Ich weiss aber, dass im Gesundheitswesen mit eHealth elektronisch mit der QES signiert wird. Das Onboarding ist vergleichbar: Identifikation mit Ausweis, Pass oder Identitätskarte und Personenprüfung, online per Video oder Selfie. Das ist einerseits für den Login relevant – etwa für den Zugriff auf Patientendaten – und andererseits, wenn Dokumente unterschrieben werden. Ich kann dem noch nachgehen und die Frage präzisieren.

Gibt es ein Archiv dahinter, oder liegt das beim Endkunden?

Philipp Dick: In Skribble kann man speichern, aber Skribble ist klar kein Dokumentenmanagementsystem und kein Archiv – der Fokus liegt aufs Signieren. Ziel ist, dass man schnell und einfach signiert und Skribble in bestehende Systeme anbindet, die Verträge erstellen. Über die API werden Dokumente signiert und wieder heruntergeladen. Man kann das Löschen über die API erzwingen oder Löschfristen definieren. Das Archiv managt der Kunde selbst – es gibt aber Anbindungen an SharePoint, OneDrive, Google Drive oder ein beliebiges Archiv über die API.

Wie sieht es mit den Aufbewahrungsfristen aus – wer stellt das sicher?

Philipp Dick: Grundsätzlich ist jeder selbst für die Archivierung und die Einhaltung der Aufbewahrungsfristen verantwortlich. Wichtig: Der Output von Skribble – ein signiertes PDF – ist in sich archivsicher. Man braucht Skribble nicht, um das Dokument in fünf, zehn oder fünfzehn Jahren zu öffnen und die Signaturen zu validieren. Man lädt es in sein System und bewahrt es je nach gesetzlicher Vorgabe auf.

Thomas Maurer: Bei der FINMA sind es allgemein zehn Jahre, mit ein paar Spezialfällen. Auf der Skribble-Plattform liegen unterzeichnete Dokumente nur ein paar Tage – das kann jede Firma einstellen, danach werden sie automatisch gelöscht. In dieser Zeit muss ich ein Dokument herunterladen, wenn ich es manuell mache. Bei angebundenen Prozessen wird es unmittelbar danach gelöscht und in die normale Archivierung überführt. Ein Hinweis aus meiner Erfahrung: Manche Archive drucken beim Archivieren das PDF nochmals – das wäre eine Veränderung des Dokuments, und das Zertifikat würde verschwinden. Wichtig ist, das Originaldokument mit dem Zertifikat original abzulegen.

Philipp Dick: Sehr guter Input. Das Spannende am elektronischen Signieren: Es gibt dieses eine PDF mit der Signatur, das man hundertmal kopieren kann – und trotzdem lässt sich anhand der Bits und Bytes nachweisen, ob es verändert wurde. Man braucht kein Papierarchiv mehr zusätzlich zum digitalen und spart Platz im Keller.

Wie lange ist eine QES gültig?

Philipp Dick: Mit den entsprechenden Parametern quasi unbegrenzt. Es gibt die Long-Term Validation (LTV), bei der die zum Signieren benötigten Daten direkt ins PDF eingebettet werden, sodass es 20, 30, 50 Jahre gültig bleibt. Letztlich geht es um die Schlüssellänge und die Stärke der kryptografischen Parameter – da Computer immer schneller rechnen, müssen die Schlüssel stärker werden. Das lässt sich mit entsprechenden technischen Services oder Archiven sicherstellen. Zur erfassten Identität: Je nach Verfahren kann man sie zwischen zwei und fünf Jahren immer wieder zum Signieren nutzen, ohne sich neu zu identifizieren. Entscheidend ist bei Swisscom die Gültigkeit des Ausweisdokuments – läuft der Pass ab, muss man sich mit dem neuen Pass erneut identifizieren.

Wie gross dürfen die hochgeladenen Dateien sein?

Philipp Dick: 20 Megabyte ist die Grenze, die wir definiert haben – vor allem ein Speicherthema. Grosse PDFs, etwa aus dem Bau- und Architekturwesen, lassen sich mit PDF-Optimierungstools verkleinern. Wer grössere Dateien hochladen möchte, kann gerne mit uns sprechen – es gibt Möglichkeiten.

Empfehlung: Dienstleistungsverträge mit Einfachsignatur oder Kaufverträge mit fortgeschrittener?

Philipp Dick: Das ist eine Frage, wie die Firma es definiert. Bei der Baloise Bank etwa würde man ab einer Million eine qualifizierte elektronische Signatur einsetzen.

Wie sieht es mit den Kosten aus?

Philipp Dick: Die beste Übersicht finden Sie auf der Preise-Seite auf skribble.com – dort sind die verschiedenen Abos aufgeführt. Ab etwa 20 Nutzenden oder bei grossen Signaturvolumen nehmen Sie gerne Kontakt mit uns auf, dann machen wir ein Angebot.

Kann man Skribble mit Blockchain oder Smart Contracts verbinden?

Philipp Dick: Aktuell signiert man mit Skribble PDFs. Smart Contracts sind in anderen Formaten umgesetzt. Über die API ist in dem Bereich sicher etwas möglich, und es wurde auch schon etwas gemacht – das müsste ich im Detail nachschauen und nachliefern.

Kann man einzelne Seiten paraphieren und die letzte Seite visieren?

Philipp Dick: Aktuell nicht, aber das Feature ist in Umsetzung. In der elektronischen Welt braucht es das Paraphieren eigentlich nicht: Durch die kryptografischen Verfahren kann man keine einzelnen Seiten austauschen. Wir wissen aber, dass viele Nutzende das aus der Papierwelt kennen und sich das wünschen – deshalb ist es «in the making».

Können mehrere Dokumente pro Vorgang hochgeladen werden?

Philipp Dick: Ja. Man kann direkt mehrere Dokumente hochladen. Viele Firmen binden das aber über die API an – etwa aus einem Contract-Management- oder Bankensystem, das das Dokument erstellt, an Skribble übermittelt, die signierenden Personen einlädt und das Dokument nach Abschluss automatisch zurückführt. So bringen viele mehrere Dokumente einfach in einen Signaturprozess.

Philipp Dick: Das war die letzte Frage. Vielen Dank, Thomas, für deine wertvollen Einblicke in die Baloise – wie ihr das Projekt gestartet, umgesetzt und ermöglicht habt, dass alle mit der qualifizierten Signatur signieren können, um externe wie interne Signaturprozesse end-to-end zu digitalisieren. Wir versenden im Anschluss ein Feedback-Formular und die Präsentation; die Aufzeichnung folgt in den nächsten Tagen. Vielen Dank für Ihre Zeit und Aufmerksamkeit – bei weiteren Fragen gerne per E-Mail an Skribble.

Das Transkript endet hier.

Über Thomas Maurer

Thomas Maurer ist Leiter Kundenservice der Baloise Bank AG und seit über 16 Jahren im Unternehmen – gestartet als Sachbearbeiter, mit Stationen als Teamleiter und Vorsorgespezialist in der zweiten und dritten Säule. Als digitaler Treiber hat er bei der Baloise die Digitalisierung von Signatur- und Onboarding-Prozessen massgeblich vorangetrieben – vom vollständig digitalen «Guided Onboarding» 2018 bis zum gruppenweiten Rollout der qualifizierten elektronischen Signatur. Er war einer der ersten Skribble-Kunden und teilt in diesem Webinar, wie die Bank externe wie interne Signaturprozesse end-to-end digitalisiert hat.

Über Philipp Dick

Philipp Dick begleitet bei Skribble Unternehmen beim Umstieg auf die elektronische Signatur und moderiert das Webinar. Er ordnet die drei Signaturstandards – einfach, fortgeschritten und qualifiziert – rechtlich ein, zeigt die Skribble-Plattform in einer Live-Demo und beantwortet die Fragen der Teilnehmenden zu Rechtsgültigkeit, Identifikation, Archivierung und Integration.