Ersetzendes Scannen TR-Resiscan: Nicht ins Bockshorn jagen lassen!

Anbieter zum Thema

itellent

FREIHAFEN IT GmbH

Kodak Alaris Germany GmbH

Governikus GmbH & Co. KG

xSuite Group GmbH

Die TR-Resiscan sorgt angesichts des Aufwands für die Implementierung für Sorgenfalten in Behörden und Unternehmen. Doch sie bringt langfristig einen großen Mehrwert – wenn man sie pragmatisch umsetzt und die wesentlichen Aspekte berücksichtigt.

Die Technische Richtlinie BSI TR-03138 Ersetzendes Scannen (RESISCAN) – kurz: TR-Resiscan – ist ein wichtiger Baustein für den Prozess, wie aus Papier verlässliches Digitalisat wird. Sie ist der Prozessrahmen, der dafür sorgt, dass wir gescannten Dokumenten und dem Scanprozess selbst vertrauen können. Sie löst damit die elementare Herausforderung in Zeiten der Digitalisierung und Verwaltungsmodernisierung, nämlich elektronischen Prozessen und ihren Dokumenten ein Vertrauensmerkmal mitzugeben, das geprüft und von unbeteiligten Dritten jederzeit nachvollzogen werden kann. Nur so traut sich die Gesellschaft, sich langsam von der Welt des Papiers zu lösen.

Ein analoges Originaldokument lässt sich leicht überprüfen: etwa mit Blick auf die Tinte, das Papier oder die Biometrie des Geschriebenen oder Gedruckten. All das zahlt ein in das Vertrauen in die Echtheit und Unversehrtheit des Dokuments. Mit der TR-Resiscan wird ein technisches und organisatorisches Mindestmaß definiert, wie ein Dokument zu scannen ist, damit trotz fehlender Eigenschaften – wie eben Tinte, Papier und Schrift – die Echtheit und Unversehrtheit eines digitalen Dokuments überprüft werden kann.

Das funktioniert einerseits über Transfervermerke, die jedem ein- oder mehrseitigen Digitalisat mitgegeben werden und den jeweiligen Scandurchlauf dokumentieren und nachvollziehbar machen und kann – je nach Schutzbedarf des Digitalisats – um das automatisierte elektronische Signieren und Siegeln der Belege ergänzt werden. Dann kommen eIDAS-konforme kryptografische Sicherungsmittel zum Einsatz, die dafür sorgen, dass nachträgliche Manipulationen am gescannten Dokument und am Transfervermerk sofort auffallen werden.

Wer nach TR-Resiscan scannt, scannt nach BSI-Terminologie ‚nach Stand der Technik‘ – und kann im Falle der Beweisführung vor Gericht davon ausgehen, dass der Richter die Beweislast umkehrt: dann müsste die Gegenseite beweisen, dass ein gescanntes Dokument nicht echt ist. Das ist neben dem grundsätzlichen Vorteil mit beweiskräftigen, gerichtsverwertbaren elektronischen Dokumenten zu arbeiten das zweite Hauptargument pro-Resiscan: nicht grundsätzlich angreifbar zu sein, wenn man mit gescannten Dokumenten zu Gerichte zieht.

Worauf kommt es bei der Umsetzung der TR-Resiscan an?

Viele Behörden und Unternehmen scheuten bisher die Einführung der TR-Resiscan im eigenen Haus – aus Angst vor dem Aufwand bei der Umsetzung. Dabei ist die TR-Resiscan gar nicht so schwer zu realisieren, wenn man grundlegende Aspekte berücksichtigt – und nicht höher springt als man muss.

Für die schnelle Implementierung der TR-Resiscan ist eine Zertifizierung nach BSI-IT-Grundschutz oder ISO 27001 hilfreich. Wer sie vorweisen kann, hat auf weiten Teilen bewiesen, dass Informationssicherheit, ein wesentlicher Aspekt der TR-Resiscan, im eigenen Haus bereits umgesetzt wird. So lassen sich viele Erkenntnisse und Belege, die für eine erfolgreiche TR-Resiscan-Zertifizierung nötig sind, aus vorhandener Dokumentation ableiten. Kurzum: wer über eines der beiden Zertifikate verfügt, spart bei der TR-Resiscan-Einführung spürbar Geld und Zeit.

Nicht immer müssen beim Scannen die höchsten Sicherheits- und Schutzziele erfüllt werden. So werden häufig und fälschlicherweise viel zu hohe Anforderungen an das Scangut beraten oder angenommen – was im Ergebnis die Akzeptanz schmälert und die Umsetzung der an sich guten TR-Resiscan in der Breite verhindert. Eine Poststelle, die nur Eingangsrechnungen digitalisiert, wird so deutlich geringere Anforderungen an die TR-Resiscan erfüllen müssen als ein Scanbüro für die Erfassung von Krankenakten. Nur weiß das nicht jeder. Wichtig ist, auf wirklich erfahrene Berater zu setzen, die ihr Handwerk verstehen und das auf die Kundenanforderungen übertragen können. Also: Nicht höher springen, als man muss!

Weiterhin sollte es Ziel sein, die „echte“ TR-Resiscan-Konformitätsbestätigung des BSI zu erhalten. Denn das Siegel mit dem Bundesadler zeigt Wirkung – und wenn es nur eine Frage der Marke offizieller Stellen ist. Das Siegel schafft zusätzliches und wichtiges Vertrauen in den Scanprozess und die darüber digitalisierten Belege – es belegt das rechtssichere Scannen nach Stand der Technik. Kurzum: Andere Siegel sind wenig hilfreich. Oft gaukeln sie vor, was nicht ist. Hier ist eine gründliche Analyse hilfreich, was sie versprechen und leisten können. Sonst kommt das böse Erwachen vor Gericht.

Fazit: Mehr Chancen als Risiken – wenn man’s richtig macht

Ja, die Implementierung der TR-Resiscan ist mit Aufwand verbunden. Und eine IT-Grundschutz- oder ISO 27001-Zertifizierung ist zwar nicht Pflicht, aber in jeder Hinsicht hilfreich. Denn sie dokumentiert die erbrachten Mühen um die TR-Resiscan durch behördliche Stellen – und schafft Klarheit vor Gericht. Mit Augenmaß umgesetzt, rechtfertigt der hohe Nutzen den Aufwand der Umsetzung, nämlich mit gerichtsverwertbaren, beweiskräftigen Digitalisaten – und nicht nur mit Kopien – zu arbeiten.

Dokumentenmanagement

DMS-Einführung in der Verwaltung – Teil 1

Dokumentenmanagement

DMS-Einführung in der Verwaltung – Teil 2

(ID:49576454)