Allgemeine informationen zu E-Invoicing, PDF - Rechnung und Digitaler Signatur

Der elektronische Rechnungsversand erfreut sich zunehmender Beliebtheit. Zum einen kann der Rechnungsversender deutliche Kosteneinsparungen durch den Wegfall von Porto und Handlingskosten erzielen, zum anderen profitiert der Rechnungsempfänger von der papierlosen Übermittlung durch kürzere Laufzeiten und die einfachere Einbindung in interne Prozesse. In der Regel wird die elektronische Rechnung im PDF Format per E-Mail versandt oder steht dem Empfänger in einem gesicherten Bereich im Internet zum Download zur Verfügung.
 
Für den elektronischen Rechnungsversand gelten EU-weit – besonders in Hinblick auf den Vorsteuerabzug – besondere Regeln und Gesetze. Diese wurden aber von den Ländern unterschiedlich streng in nationales Recht umgesetzt und daher reicht z.B. in Österreich die fortgeschrittene Signatur während in Deutschland qualifiziert digital signiert werden muss.

Formen der elektronischen Signatur

Mit Inkrafttreten des "Gesetzes über Rahmenbedingungen für elektronische Signaturen und zur Änderung weiterer Vorschriften", bekannt auch als Signaturgesetz (SigG) wird zwischen vier Formen der elektronischen Signatur unterschieden:

1. Einfache Signatur Die einfache Signatur lässt keine überprüfbaren Rückschlüsse auf die Identität des Verfassers und auf die Integrität der Daten zu. Deshalb ist sie in der Praxis nicht relevant.
2. Fortgeschrittene Signatur Die fortgeschrittene elektronische Signatur ermöglicht die Identifizierung des Signaturschlüssel-Inhabers. Diese Identität wird durch einen Dritten (z.B. einem Trustcenter) in einem Zertifikat bescheinigt. Änderungen am signierten Dokument sind erkennbar. Diese Art der Signaturen können z.B. mit der Signatur-Software PGP (Pretty Good Privacy) erzeugt werden.
3. Qualifizierte Signatur Die qualifizierte elektronische Signatur ist eine Signaturart, bei der wie bei der fortgeschrittenen Signatur die eindeutige Zuordnung zum Signaturschlüssel-Inhaber gegeben ist. Darüber hinaus ist die Überprüfung der Gültigkeit des Zertifikates möglich. Das qualifizierte Zertifikat enthält den öffentlichen Schlüssel des Unterzeichnenden und weitere Angaben, wie den Namen des Unterschreibenden und den Gültigkeitszeitraum des Schlüsselpaares. Im Unterschied zur einfachen und fortgeschrittenen Signatur erfolgt die Signaturerzeugung nicht am PC selber, sondern über eine sichere Signaturerstellungseinheit, i. d. R. einem Chipkartenleser mit PIN-Eingabe und einer Signaturkarte. Die qualifizierte elektronische Signatur hat im Rechtsgeschäft die gleiche rechtsverbindliche Wirkung wie die eigenhändige Unterschrift.
4. Qualifizierte Signatur mit Anbieter Akkreditierung Die qualifizierte elektronische Signatur mit Anbieter Akkreditierung ist technisch identisch mit der qualifizierten elektronischen Signatur. Jedoch hat der Zertifizierungsdiensteanbieter sein eigenes Zertifikat von der Regulierungsbehörde für Telekommunikation und Post (RegTP) beurkunden lassen. Im Unterschied zur qualifizierten elektronischen Signatur müssen diese Signaturen u. a. nicht nur zwei Jahre sondern mindestens 30 Jahre überprüfbar sein.

Aufbringen der elektronischen Signatur

Das technische Verfahren elektronischer Signaturen basiert auf der Verwendung zweier unterschiedlicher elektronischer Schlüssel (Signaturschlüsselpaar): dem privaten Schlüssel (Private Key bzw. Signaturschlüssel) und dem öffentlichen Schlüssel (Public Key bzw. Signaturprüfschlüssel). Der öffentliche Schlüssel wird mit einem Zertifikat verknüpft, das bestimmte Angaben zum alleinigen Inhaber enthält. Die bei der Erstellung des Schlüsselpaares verwendete mathematische Funktion stellt sicher, dass der private Schlüssel auch dann nicht berechnet werden kann, wenn der öffentliche Schlüssel bekannt ist.

Mit dem privaten Schlüssel können Dateien elektronisch unterschrieben werden. Dazu wird von dem zu signierenden elektronischen Dokument mittels einer Hash-Funktion (mathematischen Funktion) eine Prüfsumme fester Länge, genannt Hash-Wert, ermittelt. Bei unverändertem Inhalt des Dokumentes führt die Hash-Wert-Berechnung immer zum selben Ergebnis. Dieser wird mit Hilfe des Private Key verschlüsselt und zusammen mit dem Zertifikat des Unterschreibenden sowie dem Ursprungsdokument verbunden. Sie bilden gemeinsam das elektronisch unterschriebene Dokument.

Zur Prüfung der Unterschrift des Dokumentes benötigt man den mitgelieferten Public Key. Durch ihn wird die verschlüsselte Prüfsumme entschlüsselt. Aus dem elektronischen Ursprungsdokument wird unabhängig davon noch einmal ein Hash-Wert ermittelt. Nun vergleicht eine geeignete Software die beiden Hash-Werte. Stimmen sie nicht überein, dann ist das vorliegende Dokument (z.B. während des Transportes) definitiv verändert worden und stimmt nicht mehr mit dem Ursprungsdokument überein. Ansonsten kann man davon ausgehen, dass die Person, welcher der öffentliche Schlüssel gehört, auch unterschrieben hat.

Checkliste
 
Einzelsignatur:

• Siganturkarte, z.B. von D-Trust oder S-Trust 
• Chipkartenleser mit PIN-Eingabe, Klasse 2 oder 3, z.B. von Cherry, SCM oder Reinert. 
• entsprechende Software

Massensignatur:

• Signaturkarte für die Massensignatur, z.B. die Multicard von D-Trust 
• Chipkartenleser mit PIN-Eingabe, Klasse 2 oder 3, z.B. von Cherry, SCM oder Reinert. 
• entsprechende Software

Beantragung einer Signaturkarte

Die Beantragung einer Signaturkarte funktioniert i. d. R. problemlos. Das Signaturgesetz schreibt vor, dass der Antragsteller vor der Ausstellung des Zertifikats zuverlässig und persönlich anhand eines gültigen Ausweisdokumentes identifiziert wird.

Daher haben sich in der Praxis zwei Verfahren durchgesetzt:

1. Die Identität wird durch (zwei) Mitarbeiter des Zertifizierungsdiensteanbieters (z.B. S-Trust) beim persönlichen Erscheinen des Antragstellers anhand der entsprechenden Dokumente festgestellt.
2. Die Identifizierung erfolgt über das PostIdent Verfahren. Dazu muss der Antragsteller mit den erforderlichen Unterlagen in einer Postfiliale erscheinen und der Postbeamte nimmt die Identifizierung vor. Dann werden die Unterlagen an den Zertifizierungsdiensteanbieter gesandt.

Notwendige Unterlagen

• Antrag
• Ausweisdokument
• evtl. Meldebescheinigung
• PostIdent Coupon (bei Verfahren 2)
• Bescheinigung über die Firmenzugehörigkeit (bei Nutzung der Karte für dienstliche Zwecke)
• Handelsregisterauszug (bei Nutzung der Karte für dienstliche Zwecke)

Je nach Verfahren wird Ihnen nach dem Antrag vom Zertifizierungsdiensteanbieter die Signaturkarte überreicht oder zugesandt. Neben der Karte erhält der Antragsteller in einem verschlossenen Umschlag auch eine sogenannte Transport-PIN, die für den Prozess der Generierung des persönlichen Schlüssels notwendig ist.

Danach kann der Antragsteller die Karte über das Internet freischalten und nutzen.