Was ist ein Audit Trail?

Ein Audit Trail ist ein nachvollziehbares Protokoll der Ereignisse innerhalb eines elektronischen Signaturprozesses. Er soll erkennen lassen, welches Dokument versendet wurde, welche Personen beteiligt waren, welche Aktionen stattgefunden haben und ob das Dokument nach der Signatur verändert wurde.

Je nach Plattform wird das Protokoll als Prüfbericht, Signaturzertifikat, Transaktionsprotokoll oder Abschlussnachweis bezeichnet. Es kann als separate PDF-Datei, als strukturierter Datensatz oder zusammen mit dem signierten Dokument bereitgestellt werden.

Der Begriff ist nicht mit einem qualifizierten Zertifikat oder einer elektronischen Signatur gleichzusetzen. Ein Audit Trail ergänzt die technischen Signaturdaten um Informationen zum Ablauf. Seine Existenz allein macht eine Signatur weder fortgeschritten noch qualifiziert.

Welche Ereignisse typischerweise protokolliert werden

Der konkrete Umfang unterscheidet sich nach Anbieter, Konfiguration und Signaturverfahren. Häufig enthält ein Audit Trail folgende Ereignisse:

• Erstellung oder Upload des Dokuments
• Start des Signaturvorgangs
• Versand einer Einladung per E-Mail oder über einen anderen Kanal
• Zustellung oder fehlgeschlagene Zustellung
• Aufruf des Signaturlinks
• Durchführung einer Authentifizierung
• Erteilung oder Ablehnung der Signatur
• Abschluss oder Abbruch des Vorgangs
• Download des signierten Dokuments
• Ablauf oder Widerruf einer Einladung

Zu jedem Ereignis können ein Zeitwert, eine Transaktionskennung und Angaben zum auslösenden Nutzer oder System gespeichert werden. Bei automatisierten Schritten sollte erkennbar sein, dass die Aktion durch das System und nicht durch eine Person ausgelöst wurde.

Ein Beispiel: Ein Prüfbericht kann ausweisen, dass eine Einladung um 09:12 Uhr versendet, der Link um 09:18 Uhr geöffnet, eine Einmal-PIN bestätigt und das Dokument um 09:21 Uhr signiert wurde. Diese Ereigniskette ist aussagekräftiger als ein isolierter Vermerk „signiert“.

Nachweise zu Identität und Authentifizierung

Welche Identitätsdaten gespeichert werden, hängt vom erforderlichen Sicherheitsniveau ab. Bei einer einfachen elektronischen Signatur können etwa Name, E-Mail-Adresse und die Bestätigung einer Checkbox dokumentiert werden. Solche Angaben belegen den Prozess, stellen aber nicht automatisch eine verlässliche Identifizierung der Person sicher.

Bei zusätzlichen Authentifizierungsschritten kommen beispielsweise folgende Nachweise infrage:

• Bestätigung eines Einmalcodes per SMS oder App
• erfolgreiche Anmeldung in einem bestehenden Benutzerkonto
• Ergebnis einer elektronischen Identifizierung
• Referenz auf eine Identitätsprüfung durch einen Vertrauensdiensteanbieter
• Zertifikatsdaten bei zertifikatsbasierten Signaturen

Ein Audit Trail sollte möglichst unterscheiden zwischen einer bloßen Angabe und einer geprüften Eigenschaft. Ein eingetragener Name ist etwas anderes als eine durch ein Identifizierungsverfahren bestätigte Identität.

Bei fortgeschrittenen elektronischen Signaturen sind die Anforderungen aus Artikel 26 eIDAS relevant. Unter anderem muss die Signatur eindeutig dem Unterzeichner zugeordnet sein, dessen Identifizierung ermöglichen und so mit den signierten Daten verbunden sein, dass nachträgliche Veränderungen erkannt werden können. Ob diese Voraussetzungen erfüllt sind, ergibt sich nicht allein aus der Bezeichnung des Prüfberichts, sondern aus dem gesamten technischen Verfahren.

Bei einer qualifizierten elektronischen Signatur gehören insbesondere das qualifizierte Zertifikat und die Verwendung einer qualifizierten Signaturerstellungseinheit zum Verfahren. Der Audit Trail kann entsprechende Zertifikats- und Validierungsinformationen dokumentieren, ersetzt sie aber nicht.

Zeitangaben, Zeitstempel und Zeitzonen

Nahezu jeder Audit Trail enthält Zeitangaben. Für ihre Einordnung sind drei Fragen wichtig:

1. Welche Systemuhr lieferte die Zeit?
2. In welcher Zeitzone wird sie dargestellt?
3. Ist es ein einfacher Protokollzeitpunkt oder ein kryptografischer Zeitstempel?

Ein Eintrag aus der Uhr des Plattformservers dokumentiert, wann das System ein Ereignis registriert hat. Ein elektronischer Zeitstempel verbindet Daten kryptografisch mit einem Zeitpunkt. Ein qualifizierter elektronischer Zeitstempel nach eIDAS bietet zusätzliche gesetzlich definierte Anforderungen und Vermutungswirkungen.

In grenzüberschreitenden Prozessen sollte die Zeitzone eindeutig angegeben werden, beispielsweise als UTC oder mit einem konkreten Offset. Andernfalls können scheinbar widersprüchliche Reihenfolgen entstehen.

Integrität des Dokuments

Ein zentraler Nachweis ist die Verbindung zwischen Audit Trail und signiertem Dokument. Dafür werden häufig kryptografische Hashwerte verwendet. Ein Hashwert ist ein aus dem Dateiinhalt berechneter Prüfwert. Schon eine kleine Änderung am Dokument führt grundsätzlich zu einem anderen Ergebnis.

Ein belastbarer Export sollte erkennen lassen:

• auf welche konkrete Datei sich der Prüfbericht bezieht,
• ob der Hashwert vor oder nach der Signatur gebildet wurde,
• welches Hashverfahren eingesetzt wurde,
• ob die eingebetteten Signaturen technisch validiert werden können.

Bei PDF-Dokumenten können elektronische Signaturen direkt in die Datei eingebettet sein. Änderungen nach dem Signieren werden dann bei der Validierung sichtbar. Für eine längerfristige Prüfbarkeit können zusätzliche Zeitstempel sowie Zertifikats- und Sperrstatusinformationen relevant sein, etwa im Rahmen geeigneter PAdES-Profile.

Der bloße Umstand, dass ein Prüfbericht als PDF vorliegt, schützt ihn nicht automatisch vor Veränderungen. Entscheidend ist, ob auch der Bericht signiert, versiegelt oder anderweitig gegen unbemerkte Änderungen abgesichert ist.

Technische Metadaten richtig bewerten

Audit Trails enthalten häufig IP-Adressen, Browserinformationen, Gerätekennungen oder Angaben zum Betriebssystem. Diese Daten können einen Vorgang plausibilisieren, müssen aber vorsichtig interpretiert werden.

Eine IP-Adresse beweist normalerweise weder die Identität noch den exakten Standort einer Person. Unternehmensnetze, Mobilfunkzugänge, VPN-Dienste und gemeinsam genutzte Geräte begrenzen ihre Aussagekraft. Ebenso belegt das Öffnen eines Signaturlinks nicht zwingend, dass eine Person das gesamte Dokument gelesen hat.

Technische Metadaten sind daher ein Baustein in einer Beweiskette. Ihre Bedeutung ergibt sich aus dem Zusammenspiel mit Authentifizierung, Dokumentintegrität, Zeitangaben und organisatorischen Abläufen.

Datenschutz und Aufbewahrung

Viele Daten im Audit Trail sind personenbezogen. Dazu können Namen, Kontaktdaten, IP-Adressen, Authentifizierungsereignisse und Zertifikatsinformationen gehören. Ihre Verarbeitung unterliegt daher regelmäßig der DSGVO.

Für die praktische Gestaltung sind insbesondere folgende Punkte zu prüfen:

• Zweck und Rechtsgrundlage der Verarbeitung
• erforderlicher statt maximal möglicher Datenumfang
• transparente Information der betroffenen Personen
• Rollenverteilung zwischen Plattformbetreiber, Kunde und weiteren Dienstleistern
• Zugriffsrechte und Schutz vor unbefugten Änderungen
• Aufbewahrungs- und Löschfristen
• Ort der Verarbeitung und etwaige Drittlandübermittlungen

Nicht jeder technisch erfassbare Wert muss dauerhaft gespeichert werden. Nach dem Grundsatz der Datenminimierung sollten nur Daten verarbeitet werden, die für den festgelegten Zweck erforderlich sind. Gleichzeitig können gesetzliche Aufbewahrungspflichten oder berechtigte Anforderungen an die Nachweisführung einer vorschnellen Löschung entgegenstehen. Die passende Frist hängt vom Dokument, dem Vertragsverhältnis und dem Nutzungskontext ab.

Was Unternehmen vor dem Einsatz prüfen sollten

Vor der Auswahl oder Konfiguration eines Signaturdienstes empfiehlt sich ein Test mit einem vollständigen Beispieldokument. Dabei sollte nicht nur die sichtbare Signatur betrachtet werden, sondern das gesamte Nachweispaket.

Praktische Prüffragen sind:

• Lässt sich der Audit Trail unabhängig vom Benutzerkonto exportieren?
• Sind Dokument, Prüfbericht und Transaktionskennung eindeutig miteinander verknüpft?
• Werden alle wesentlichen Ereignisse mit konsistenten Zeitangaben dokumentiert?
• Ist die verwendete Authentifizierung nachvollziehbar beschrieben?
• Sind Zertifikate, Signaturen und Zeitstempel mit gängigen Werkzeugen validierbar?
• Bleiben die Nachweise auch nach Vertragsende oder Kontolöschung verfügbar?
• Sind Löschfristen und Zugriffsrechte konfigurierbar?
• Werden fehlgeschlagene und abgebrochene Vorgänge ebenfalls protokolliert?

Ein Audit Trail ist besonders nützlich, wenn er nicht nur viele Daten sammelt, sondern eine verständliche, technisch prüfbare Ereigniskette liefert. Welche Signaturart und welche Nachweise für einen konkreten Vorgang angemessen sind, sollte anhand des Risikos, der gesetzlichen Formanforderungen und des benötigten Beweiswerts beurteilt werden. Diese Bewertung ist vom jeweiligen Einzelfall abhängig und ersetzt keine rechtliche Prüfung.