Prozessbezogene Anforderungen

Die TR gliedert den Scanprozess in die Scanvorbereitung, das Scannen, die Nachbearbeitung und die Integritätssicherung. Letztere bezieht sich auf Maßnahmen, die sicherstellen sollen, dass das Scanprodukt dem Papieroriginal entspricht und im Folgenden nicht manipuliert werden kann.

In Beratungsprojekten zum ersetzenden Scannen erweisen sich die Kapitel, die sich mit dem Scanprozess befassen, häufig als diejenigen, deren Bearbeitung den Beteiligten tatsächlich Freude bereitet. Die Anforderungen hier sind weniger abstrakt und lassen durchaus ein wenig Spielraum für eine kreative Beschäftigung mit den eigenen Arbeitsabläufen. Was also gibt es Neues im Bereich der prozessbezogenen Anforderungen?

Wichtig beim Scannen ist, dass alle Informationen vollständig erfasst werden. Die neue Regelung hält an der widersprüchlichen Formulierung fest, dass geeignete Maßnahmen für die Sicherstellung der Vollständigkeit getroffen werden müssen und dass bei Bedarf entsprechende Vorbereitungen für eine Vollständigkeitsprüfung im Rahmen der Nachbereitung getroffen werden sollten (ID A.DV.2). Es bleibt an dieser Stelle Interpretationsspielraum, ob beide Sätze gemeinsam nun eine Muss- oder eine Soll-Anforderung ergeben. Weiterhin wird die Ermittlung der Seitenanzahl nur als Möglichkeit dargestellt, obwohl auf der Hand liegt, dass eine andere Art der Vorbereitung einer späteren Vollständigkeitskontrolle an dieser Stelle des Prozesses gar nicht denkbar ist.

Als kleinere aber durchaus bemerkenswertere Neuerung fällt ins Auge, dass statt von Posteingangsstempeln nun die Rede von „Posteingangsnachweisen“ ist (ID A.DV.1 a). Damit wird dem Umstand Rechnung getragen, dass sich mittlerweile zunehmend modernere Verfahren zur Markierung des Posteingangs durchsetzen.

Die Anforderungen zur Verhinderung bzw. Minimierung des Zugangs zum Scansystem durch Zugangskontrollen und Besucherregelungen wurden von Soll- auf Muss-Niveau hochgestuft (ID A.SC.2). Soweit sich dies nur mit baulichen Maßnahmen realisieren lässt, können hieraus Schwierigkeiten erwachsen. Insbesondere kommunale Behörden oder Polizeidienststellen befinden sich nicht selten in beengten oder denkmalgeschützten Gebäuden historisch geprägter Innenstadtbereiche. Möglicherweise können betroffene Institutionen auf das mobile Scannen ausweichen, für das keine entsprechenden Vorgaben bestehen.

Baulich unproblematisch ist demgegenüber die Hochstufung der Anforderung in Bezug auf das Authentisierungsverfahren für Netzwerkkommunikation. Hier handelt es sich mit Blick auf die bereits beschriebenen technischen Maßnahmen um eine folgerichtige Änderung. Die teilweise Redundanz zur Maßnahme „Informationsschutz und Zugriffsbeschränkung bei netzwerkfähigen Scannern“ wurde im Zuge der Neufassung nicht geändert (IDs A.T.2 und A.SC.10)

Fast schon amüsant mutet eine Umformulierung in Zusammenhang mit Konfigurations-änderungen an. Hier darf nun nicht mehr ein „Kollege“ eine Kontrolle durchgeführter Änderungen vornehmen, sondern es muss „geschultes Personal“ sein (ID A.SC.4). Die Auswirkungen dürften sich in der Praxis in Grenzen halten.

Ein großes Thema bei der Scanprozessgestaltung waren seit jeher Art und Umfang der Qualitätskontrollen im Scanprozess (ID A.SC.8). Nach wie vor erlaubt die TR hier, den Aufwand durch stichprobenhafte Kontrollen zu begrenzen. Allerdings muss die Stichprobengröße nun vom Schutzbedarf abhängig gemacht werden. Dies war bisher eine Soll-Vorschrift. Zusätzlich muss auch die Zuverlässigkeit des Scansystems bei der Festlegung der Stichprobengröße berücksichtigt werden. Die Änderung dürfte aber vor allem auf den Schutzbedarf abzielen. Es kommt erfahrungsgemäß selten vor, dass Nutzer feststellen, ihr Scansystem sei unzuverlässig und dann mit häufigeren Kontrollen reagieren, statt die Fehlerquelle abzustellen. In der Praxis dürften unterschiedliche Stichprobengrößen je Schutzbedarfskategorie eine untergeordnete Rolle spielen. Zahlreiche Behörden scannen Dokumente pauschal nach hohem Schutzbedarf, um eine Variantenvielfalt der Scanprozesse zu vermeiden und um das Risiko im Zusammenhang mit einer korrekten Identifizierung des Schutzbedarfs in der Poststelle von vornherein zu minimieren. In der Regel wird von dem eingesetzten Personal in Post- und Scanstellen nicht erwartet, den Schutzbedarf zwischen normal und hoch in jedem Fall zuverlässig einschätzen zu können. Dokumente mit sehr hohem Schutzbedarf sind hingegen typischerweise leichter abgrenzbar.

Ein wenig verwirrend ist, dass die TR für Stichproben nun einerseits beispielhaft eine Kontrollquote von 3 Prozent vorschlägt, andererseits auf das generische Scankonzept verweist, das wiederum 4 Prozent vorschlägt. Unter statistischen Erwägungen sind pauschale Vorgaben ohnehin fragwürdig. Die Größe einer Stichprobe richtet sich nach der Fehlerrate bzw. deren Standardabweichung und dem angestrebten Sicherheitsniveau. Bei dem üblicherweise hohen Sicherheitsbedürfnis ist eher von größeren Stichproben auszugehen.

Neu ist eine Vorgabe für die Vernichtung von Dokumenten. Hier wird die Beachtung der DIN 66399 „Standard für das Vernichten von Datenträgern“ verbindlich gefordert (ID A.SC.8). Zwar tangiert es den Beweiswert eines Dokuments nicht, auf welche Weise ein Original nach dem Scannen vernichtet wird, aber mit Blick auf die Vertraulichkeit erscheint die Ausweitung des Betrachtungsbereichs über den Scanprozess hinaus durchaus sinnvoll. Es wirft allerdings die Frage auf, ob nicht auch angrenzende Schritte vor dem Scannen stärker in den Blick genommen werden müssten, etwa bei Transportvorgängen zur Scanstelle.

Die Anforderungen an die Vollständigkeitsprüfung wurden verschärft (ID A.NB.3). Leider wird es hier ein wenig unübersichtlich. Denn die Neuregelung greift die Formulierung der „bildlichen und inhaltlichen Übereinstimmung“ auf, die bereits in den Anforderungen an den Transfervermerk enthalten ist. Zudem wird gefordert, dass die Sachbearbeitung die Ergebnisse der Vollständigkeitsprüfung an die Scanstelle weitergeben muss, obwohl die hierbei vorausgesetzte Aufgabenteilung zuvor lediglich als Kann-Bestimmung genannt wurde (A.SC.8). Es wird auch in der Neuauflage nicht präzise zwischen Vollzähligkeit und Vollständigkeit unterschieden, indem für letztere ein Vergleich der Seitenzahlen von Original und Scanprodukt als Möglichkeit eingeräumt wird. Für eine kommende Version der TR-RESISCAN wäre sehr zu wünschen, dass die zentralen Aspekte Vollzähligkeits-prüfung und Qualitätskontrolle präzise, konsistent und überschneidungsfrei beschrieben werden (Maßnahmen IDs A.DV.2 inkl. zugehöriger Fußnote, A.SC.8, A.NB.3 und A.NB.4).

Der Transfervermerk stellt seit jeher eine Art „Beglaubigung“ des Scanprodukts dar. Er wird mit der Aktualisierung der TR zu einer Muss-Vorschrift aufgewertet (ID A.NB.4). Bis heute haben einige Softwarehersteller die Einbettung von Transfervermerken in ihren Produkten nicht zufriedenstellend umgesetzt. Nun nimmt an dieser Stelle der Druck zu.

Inhaltlich bleibt beim Transfervermerk grundsätzlich alles beim Alten. Neu ist, dass neben dem Ergebnis der Qualitätskontrolle auch das Ergebnis der Vollständigkeitskontrolle eingetragen werden muss. Ein Indiz dafür, dass es hier eigentlich um die Vollzähligkeit geht. Zudem muss der Transfervermerk künftig die ausstellende Person erkennen lassen. Eine Pseudonymisierung der personenbezogenen Daten der scannenden Person ist nur zulässig, soweit sie bei Bedarf unverzüglich aufgelöst werden kann. Somit ist künftig explizit ausgeschlossen, nur eine Organisationseinheit anzugeben. In der Praxis wurde bisweilen auf eine solche Lösung ausgewichen, wenn eine Nennung der Person aus technischen Gründen nicht möglich war. Mitunter wurde auch der Beschäftigten-datenschutz als Argument aufgeführt. Eine entsprechende Fußnote in der TR erwähnt den Datenschutz weiterhin als Grund, wobei aus den Datenschutzgesetzen ein Erfordernis zur Pseudonymisierung in diesem Fall wohl nicht zwingend resultiert. Aus einer ergänzten Fußnote ergibt sich außerdem, dass der/die Scanoperator/-in oder ein/e Mitarbeiter/-in der Qualitätssicherung im Transfervermerk eingetragen werden kann.

Klargestellt wurde mit der neuen Version der TR, dass Transfervermerke auch dann in das Scanprodukt einzubetten oder logisch mit diesem untrennbar zu verknüpfen sind, wenn eine Stapelverarbeitung erfolgt (d. h., wenn nicht jedes Dokument einzeln verarbeitet wird, sondern ganze Stapel). Im Übrigen wechseln Informationen zur Integritätssicherung aus einer Fußnote in den Fließtext. Der „freie Platz“ in den Fußnoten wird sogleich genutzt, um weitere technische Optionen zur Einbettung des Transfervermerks zu erwähnen (XAIP-Container, UUID).

Die Formulierung der Anforderungen an die Dienste und Systeme für den Integritätsschutz wurde umfangreich angepasst (A.IS.1) und stellt vielleicht die folgenreichste Änderung der Richtlinie dar. Zur Erinnerung: Integritätsschutz bedeutet, dass das Scanprodukt dem Papieroriginal entspricht und dass es so geschützt wird, dass man es nicht verfälschen kann. Üblicherweise werden elektronische Signaturen oder Siegel angewendet. Diese basieren auf Kryptografie. Man könnte die Änderungen in der neuen Version der TR-RESISCAN zunächst so interpretieren, als habe sich hier nichts grundlegend geändert. Bisher wurden für normalen Schutzbedarf „geeignete Mechanismen zum Integritäts-schutz” gefordert und es war ein Verzicht auf Kryptografie dann möglich, wenn alternative Möglichkeiten eine vergleichbare Sicherheit herstellten. Das heißt, auch die bisherige Formulierung forderte implizit bereits Kryptografie als Soll-Anforderung. Nun heißt es, dass kryptografische Mechanismen konkret in Form von fortgeschrittenen Signaturen, Siegeln und zusätzlichen Zeitstempeln (Letzteres als „KANN”) verwendet werden „sollten“. Bei alternativem Vorgehen ist nun ein „schriftlicher Nachweis“ darüber zwingend erforderlich, dass der alternative Mechanismus ausreichend widerstandsfähig ist. Ob dieser von externer Stelle auszustellen ist, bleibt unklar. Unabhängig davon ist der IMTB kein Fall bekannt, in dem im Rahmen eines RESISCAN-Projekts ein solcher Nachweis glaubhaft erbracht werden konnte. Dies mag daran liegen, dass keine alternativen Mechanismen zur Integritätssicherung existieren, mit denen die Widerstandsfähigkeit von elektronischen Signaturen / elektronischen Siegeln effizient erreicht werden kann. In letzter Konsequenz bedeutet das, wenn die einzig zulässige Alternative, ein vergleichbar widerstandsfähiger Mechanismus, in Wahrheit keine ist, dann wird die Soll- zur Muss-Vorschrift. Oder anders gesagt: Siegeln oder Signieren gehört künftig zu jedem Scanprozess dazu.

Die Folge ist, dass Anwender der TR-RESISCAN, die nach normalen Schutzbedarf und ohne elektronische Signaturen/Siegel scannen, aktuell nicht mehr die Vorgaben erfüllen. Eine schnelle bzw. kostengünstige Abhilfe hängt davon ab, ob die eingesetzte Scansoftware die Anbindung von Siegel-/Signaturlösungen unterstützt.

Die vorgenannten Änderungen beziehen sich auf Dokumente mit normalem Schutzbedarf. Dementsprechend werden keine Signaturen oder Siegel mit der höchsten Sicherheitsstufe verlangt, sondern „nur” fortgeschrittene Signaturen oder Siegel.

(ID:50507097)