Wie funktionieren digitale Unterschriften bei Audits?

Digitale Unterschriften sind im modernen Audit-Alltag längst kein Nischenthema mehr. Wer Audits effizient, rechtssicher und nachvollziehbar abschließen möchte, kommt an der elektronischen Signatur kaum noch vorbei. Doch viele Fachleute aus Qualitätsmanagement und Compliance stellen sich berechtigte Fragen: Was genau ist eine digitale Unterschrift? Welche rechtlichen Anforderungen gelten? Und wie lässt sie sich sinnvoll in den Audit-Prozess einbinden?

Dieser Beitrag beantwortet diese Fragen Schritt für Schritt, von der technischen Grundlage über die rechtlichen Rahmenbedingungen bis hin zur praktischen Anwendung und sicheren Archivierung. Wer das Thema digitale Unterschriften bei Audits wirklich durchdringen möchte, findet hier eine strukturierte Einführung, die Grundlagen legt und darauf aufbauend in die Tiefe geht.

Was sind digitale Unterschriften und wie funktionieren sie?

Eine digitale Unterschrift ist ein elektronisches Verfahren, mit dem eine Person oder Organisation ihre Zustimmung zu einem Dokument rechtsverbindlich bestätigt. Sie erfüllt dieselbe Funktion wie eine handschriftliche Unterschrift, allerdings in digitaler Form und mit deutlich höheren Möglichkeiten zur Fälschungssicherheit.

Technisch basieren qualifizierte digitale Signaturen auf asymmetrischer Kryptografie: Dabei erzeugt ein mathematisches Verfahren zwei zusammengehörige Schlüssel, einen privaten und einen öffentlichen. Der private Schlüssel liegt ausschließlich beim Unterzeichner und erzeugt die Signatur. Der öffentliche Schlüssel erlaubt es jedem Empfänger, die Echtheit der Unterschrift zu prüfen, ohne selbst Zugriff auf den privaten Schlüssel zu benötigen.

Im Audit-Kontext kommt häufig eine vereinfachte Variante zum Einsatz: die Einfache Elektronische Signatur (EES). Dabei zeichnet der Auditor oder die geprüfte Person direkt auf einem Touchscreen oder Tablet, ähnlich wie auf einem Lieferschein beim Paketempfang. Diese Methode ist intuitiv, schnell und für viele interne Audit-Szenarien vollkommen ausreichend.

Unterschied zwischen EES, FES und QES

Es gibt drei anerkannte Signaturklassen, die sich in Sicherheitsniveau und Anwendungsbereich unterscheiden:

• Einfache Elektronische Signatur (EES): Digitale Unterschrift ohne besondere Identitätsprüfung. Geeignet für interne Prozesse wie Prozessaudits oder Lieferantenaudits, bei denen die Parteien bekannt sind.
• Fortgeschrittene Elektronische Signatur (FES): Eindeutig dem Unterzeichner zuordenbar, mit Möglichkeit zur Erkennung nachträglicher Änderungen. Häufig in regulierten Branchen eingesetzt.
• Qualifizierte Elektronische Signatur (QES): Höchste Sicherheitsstufe, gleichgestellt mit der handschriftlichen Unterschrift. Erfordert ein qualifiziertes Zertifikat und ist notwendig für rechtlich bindende Dokumente.

Für die meisten Audit-Anwendungen im industriellen Umfeld reicht die EES vollkommen aus. Entscheidend ist, die richtige Signaturklasse für den jeweiligen Anwendungsfall zu wählen.

Welche rechtlichen Grundlagen gelten für digitale Signaturen?

Die rechtliche Basis für elektronische Signaturen in der Europäischen Union ist die eIDAS-Verordnung (Electronic Identification, Authentication and Trust Services), die seit 2016 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie definiert die drei genannten Signaturklassen und legt fest, welche Anforderungen jeweils erfüllt sein müssen.

Ein häufiges Missverständnis lautet, dass digitale Unterschriften grundsätzlich rechtlich unsicher seien. Das Gegenteil ist der Fall: Die eIDAS-Verordnung erkennt elektronische Signaturen ausdrücklich als rechtswirksam an. Lediglich für bestimmte Rechtsgeschäfte, etwa notarielle Beurkundungen, schreibt das nationale Recht weiterhin die Schriftform vor.

Für den Qualitätsmanagement-Bereich und digitale Signaturen im Audit-Prozess sind außerdem branchenspezifische Normen relevant:

• ISO 9001: Verlangt nachvollziehbare Dokumentation, ohne eine bestimmte Signaturform vorzuschreiben.
• VDA 6.3 und IATF 16949: Erfordern lückenlose Nachvollziehbarkeit aller Prüfschritte und Freigaben in der Automobilindustrie.
• TISAX: Stellt Anforderungen an Informationssicherheit und Zugriffskontrollen, die auch die Signaturverwaltung betreffen.

Entscheidend ist nicht allein die Signaturklasse, sondern auch, dass der gesamte Prozess rund um die Unterschrift revisionssicher dokumentiert wird. Dazu gehören Zeitstempel, Identitätsnachweis und Unveränderlichkeit des signierten Dokuments.

Wie digitale Unterschriften in den Audit-Ablauf eingebunden werden

Aufbauend auf dem Verständnis der Signaturklassen und rechtlichen Anforderungen stellt sich die praktische Frage: An welcher Stelle im Audit-Prozess wird die digitale Unterschrift eingesetzt, und wie läuft das konkret ab?

Typischerweise schließt eine digitale Unterschrift das Audit verbindlich ab. Nachdem alle Prüfpunkte bearbeitet, Abweichungen dokumentiert und Beobachtungen erfasst wurden, bestätigen Auditor und geprüfte Partei mit ihrer Signatur, dass der Ablauf vollständig und korrekt dokumentiert ist. Dieser Abschlussschritt ersetzt die früher übliche Unterschrift auf einem Papierprotokoll.

In der Praxis sieht das bei einer digitalen Audit-Software folgendermaßen aus:

1. Der Auditor führt das Audit mit einer mobilen App durch und erfasst alle Findings direkt vor Ort.
2. Am Ende des Audits öffnet sich ein digitales Unterschriftsfeld direkt in der App.
3. Auditor und Auditierter unterzeichnen auf dem Touchscreen, optional mit Stift oder Finger.
4. Die Signatur wird mit einem Zeitstempel und den Metadaten des Audits verknüpft.
5. Nach der Synchronisierung steht das vollständige, signierte Dokument sofort im zentralen Portal bereit.

Besonders wertvoll ist die Möglichkeit, Audits auch offline durchzuführen, zum Beispiel in Produktionshallen oder an Standorten ohne Netzverbindung. Die Unterschrift wird lokal gespeichert und beim nächsten Verbindungsaufbau automatisch synchronisiert, ohne dass die Verbindlichkeit des Abschlusses verloren geht.

Häufige Fehler beim Einsatz digitaler Signaturen vermeiden

Wer digitale Unterschriften im Audit-Prozess einführt, stößt in der Praxis auf typische Stolpersteine. Diese frühzeitig zu kennen, hilft, kostspielige Fehler zu vermeiden.

Falsche Signaturklasse wählen

Ein verbreiteter Fehler ist die Annahme, dass für alle Audits eine qualifizierte elektronische Signatur (QES) notwendig sei. Für interne Audits, Produktaudits oder Compliance-Prüfungen reicht in den meisten Fällen die Einfache Elektronische Signatur aus. Der unnötige Einsatz einer QES verursacht Mehraufwand und schreckt Beteiligte ab, ohne einen rechtlichen Mehrwert zu bieten.

Fehlende Identitätszuordnung

Eine digitale Unterschrift ist nur so wertvoll wie die Zuordnung zur unterzeichnenden Person. Wenn mehrere Personen mit demselben Gerät arbeiten oder keine eindeutige Anmeldung erfolgt, verliert die Signatur ihre Beweiskraft. Jeder Nutzer sollte daher mit einem eigenen Account und sicheren Zugangsdaten arbeiten.

Unterschrift als isolierter Schritt

Ein weiterer Fehler besteht darin, die digitale Unterschrift losgelöst vom restlichen Audit-Prozess zu behandeln, etwa indem ein separates PDF nachträglich unterschrieben wird. Sinnvoller ist es, die Signatur direkt in den Workflow der Audit-Software zu integrieren, sodass sie automatisch mit den richtigen Metadaten, dem Zeitstempel und dem vollständigen Prüfprotokoll verknüpft wird.

Keine klare Regelung, wer unterschreibt

In der Praxis entsteht oft Unklarheit darüber, ob nur der Auditor, nur die geprüfte Partei oder beide Seiten unterzeichnen müssen. Diese Frage sollte vorab in der Auditplanung geregelt und in der Checkliste als Pflichtfeld hinterlegt werden, damit kein Audit ohne vollständige Signatur abgeschlossen werden kann.

Digitale Signaturen sicher und revisionsfest archivieren

Eine digitale Unterschrift entfaltet ihren vollen Wert nur dann, wenn das signierte Dokument auch langfristig nachweisbar und unveränderlich aufbewahrt wird. Revisionssichere Archivierung ist daher kein optionaler Zusatz, sondern ein integraler Bestandteil eines rechtssicheren Audit-Prozesses.

Revisionssicherheit bedeutet konkret: Das Dokument muss nach der Signatur unveränderlich gespeichert sein. Jede nachträgliche Änderung muss erkennbar und protokolliert sein. Und das Dokument muss über den gesamten gesetzlichen Aufbewahrungszeitraum auffindbar bleiben.

Für die Archivierung digitaler Signaturen im Audit-Kontext gelten folgende Grundsätze:

• Zeitstempel: Jede Signatur sollte mit einem qualifizierten Zeitstempel versehen sein, der den genauen Zeitpunkt der Unterzeichnung dokumentiert.
• Unveränderlichkeit: Das signierte Dokument darf nachträglich nicht editierbar sein. Änderungen müssen als neue Version angelegt und ebenfalls signiert werden.
• Zugriffsprotokoll: Wer wann auf ein signiertes Dokument zugegriffen hat, sollte nachvollziehbar sein, um Manipulationsversuche ausschließen zu können.
• Aufbewahrungsfristen: Je nach Branche und Norm gelten unterschiedliche Fristen. Für ISO-9001-konforme Prozesse sind es häufig mindestens drei Jahre, in der Automobilindustrie teils deutlich länger.

Cloud-basierte Audit-Software-Features können hier einen entscheidenden Beitrag leisten: Wenn Signaturen direkt in der Plattform verwaltet und mit dem Auditbericht verknüpft werden, sind Zeitstempel, Metadaten und Unveränderlichkeit automatisch gewährleistet, ohne dass ein separates Dokumentenmanagementsystem notwendig ist.

Wer außerdem auf Systemaudits vorbereitet sein möchte, sollte sicherstellen, dass die Archivierungslösung selbst den relevanten Normen entspricht und im Zweifelsfall durch ein Zertifikat, etwa TISAX, nachweisbar ist.

Wie cluetec GmbH bei digitalen Unterschriften in Audits unterstützt

Wir bei cluetec GmbH haben digitale Unterschriften von Anfang an als festen Bestandteil unseres Audit-Workflows konzipiert, nicht als nachträgliche Ergänzung. Unsere cloudbasierte Audit-Management-Software integriert digitale Signaturfelder direkt in den Prüfablauf, sodass kein Audit ohne verbindlichen Abschluss bleibt.

Konkret bieten wir folgende Funktionen rund um digitale Unterschriften:

• Integrierte Unterschriftsfelder (EES) direkt in der mobilen App für iOS und Android, nutzbar auch vollständig offline
• Automatische Verknüpfung der Signatur mit Zeitstempel, Auditor-Identität und vollständigem Prüfprotokoll
• Sofortige Synchronisierung nach dem Audit, sodass signierte Berichte zentral im Portal verfügbar sind
• Revisionssichere Speicherung in der Microsoft Azure Cloud mit höchsten Datensicherheitsstandards (TISAX-zertifiziert)
• Konfigurierbare Pflichtfelder, damit kein Audit ohne vollständige Signatur abgeschlossen werden kann
• Unterstützung für alle gängigen Auditarten: interne Audits, Lieferantenaudits, Prozessaudits, Produktaudits, Compliance-Prüfungen und mehr

Namhafte Unternehmen wie Volkswagen, Fraport und Kärcher vertrauen bereits auf unsere Lösung. Wenn Sie erfahren möchten, wie digitale Unterschriften in Ihren Audit-Prozess integriert werden können, kontaktieren Sie uns für eine unverbindliche Demo.