Adobe Acrobat Sign – Methoden zur Authentifizierung der Identität

Identitätsauthentifizierung

Die Authentifizierung der Identität einer empfangenden Partei ist ein wichtiges Element des Acrobat Sign-Systems, um eine rechtsgültige Signatur zu erhalten und die Nichtabstreitbarkeit zu verbessern.

Unterschiedliche Geschäftszwecke erfordern jedoch unterschiedliche Anforderungen an die Identitätsauthentifizierung. Beachte die verschiedenen Ebenen der Identitätsfeststellung, die du für die folgenden Transaktionen verlangen würdest:

• Urlaubsantrag bei der Arbeit
• Schulzeugnis eines Kindes
• Registrierung für eine private Veranstaltung
• Mitgliedschaft in einem Fitnessstudio
• Zugriff auf Patientenakten
• CFR 21 Part 11-konforme Dokumente

Acrobat Sign bietet einen Optionssatz, mit dem Authentifizierungstypen auf Konto- und Gruppenebene mit definierbaren Standardwerten festgelegt werden können, um die Erfahrung der sendenden Partei zu optimieren und die Einhaltung der Richtlinien für Unternehmenssignaturen zu gewährleisten.

Da die Signaturprozesse bei robusteren Authentifizierungsmethoden zeitraubender sind, sollten Administrierende die Konto- oder Gruppenstandardwerte so konfigurieren, dass die gängigsten Authentifizierungsanforderungen unterstützt werden. Sie sollten sich nach Möglichkeit für die am wenigsten komplexe Option entscheiden und bearbeitbare Optionen zulassen, wenn bestimmte Transaktionen komplexere Lösungen erfordern.

Schlüsselterminologie

Interne vs. externe Empfangende

Authentifizierungsoptionen bieten spezifische Anpassungen, um Authentifizierungsmethoden für zwei Arten von Empfangenden zu konfigurieren: interne und externe Empfangende.

• Zu den internen Empfangenden gehören alle aktiven (durch die E-Mail-Adresse identifizierten) Benutzenden innerhalb des Acrobat Sign-Kontos, von dem die Vereinbarung gesendet wurde.
  
  • Eine Liste aller Benutzenden in deinem Konto ist eine Liste aller internen Benutzenden.
  • Es spielt keine Rolle, zu welcher Gruppe die empfangende Partei gehört, solange sich die benutzende Person in derselben Kontostruktur befindet.
• Externe Empfangende umfassen alle Empfangenden-E-Mail-Adressen, die keiner internen benutzenden Person zugeordnet sind.
  • Jede E-Mail-Adresse, die nicht in einer Benutzerliste auf Kontoebene enthalten ist, steht für eine externe benutzende Person.

Durch diese Abgrenzung der Empfangenden können Workflows eine sehr sichere Authentifizierungsmethode für externe Empfangende und gleichzeitig eine kostengünstigere Authentifizierung für interne Benutzende verwenden.

Ein-Faktor-Authentifizierungsmethoden für Empfangende

Acrobat Sign-Authentifizierung

Bei der Acrobat Sign-Authentifizierung werden Empfangende aufgefordert, sich beim Acrobat Sign-System zu authentifizieren.

Diese Methode wird hauptsächlich als wenig zeitaufwändige Gegensignaturoption für deine internen Empfangenden verwendet, wenn du Signaturanforderungen hast, die ein protokolliertes und authentifiziertes Ereignis erfordern.

Empfangende werden aufgefordert, sich bei Acrobat Sign zu authentifizieren, bevor sie mit dem Inhalt der Vereinbarung interagieren können:

Weitere Informationen zur Adobe Sign-Authentifizierung findest du hier >

Einmalpasswort per E-Mail

Die Authentifizierungsmethode „Einmalpasswort per E-Mail“ (OTPvEm) bietet eine Ein-Faktor-Authentifizierung, die einen gewissen Schutz mit minimalem Zeitaufwand für Benutzende bietet.

Da das Einmalpasswort an dieselbe E-Mail-Adresse gesendet wird wie der ursprüngliche Signaturlink, wird die OTPvEm-Authentifizierungsmethode als Ein-Faktor-Authentifizierungsmethode angesehen. Für OTPvEM müssen Benutzende jedoch kein Konto erstellen oder sich bei einer anderen Anwendung anmelden. Sie benötigen nur Zugriff auf ihre E-Mails, wodurch diese Methode weniger zeitaufwändig ist.

Außerdem bietet die Verwendung des OTPvEm zusätzliche Sicherheit gegenüber dem einfachen E-Mail-Link. Beispiel:

• Der Zugang zu einer E-Mail bedeutet nicht, dass das E-Mail-Postfach unerlaubt benutzt wird. Die OTMvEm-Authentifizierung sorgt für die Sicherheit der Vereinbarung, wenn ein E-Mail-Link angezeigt wird, aber das E-Mail-Postfach gesichert ist.
  
• Nehmen wir an, dass eine Vereinbarungs-E-Mail nicht ordnungsgemäß weitergeleitet wird (im Gegensatz zu einer ordnungsgemäßen Delegierung). In diesem Fall verhindert die OTPvEm-Abfrage den Zugriff auf die Vereinbarung und hält die Integrität des Audit-Berichts in Bezug auf die E-Mail der identifizierten Unterzeichnenden und der tatsächlichen Unterzeichnenden aufrecht.

Die empfangende Partei muss das Passwort innerhalb von 60 Sekunden nach der Aufforderung zur Eingabe des Passworts eingeben. Wenn das Passwort erfolgreich eingegeben wird, können Empfangende mit der Vereinbarung interagieren.

Weitere Informationen für das Einmalpasswort per E-Mail findest du hier >

Zwei-Faktor-Authentifizierung (2FA)

Acrobat Sign unterstützt mehrere Zwei-Faktor-Authentifizierungsmethoden für wichtigere Transaktionen, die mehr als eine Ein-Faktor-Verifizierung erfordern.

Die Authentifizierungsmethode wird in der Regel durch die Art des Dokuments oder die Branche der beteiligten Parteien bestimmt. Es liegt in der Verantwortung der Administrierenden, die internen Signaturrichtlinien und möglichen Compliance-Anforderungen zu verstehen.

Im Folgenden findest du eine Zusammenfassung der verfügbaren Optionen für die Zwei-Faktor-Authentifizierung mit Links zu detaillierteren Beschreibungen:

Premium-Methoden zur Unterzeichnenden-Authentifizierung

Telefon, KBA, Amtlicher Lichtbildausweis und Cloud-basierte digitale Signaturen sind Premium-Authentifizierungsmethoden.

Premium-Authentifizierungsmethoden sind eine nutzungsabhängig abgerechnete Ressource, die vor der Verwendung erworben werden muss. Weitere Informationen erhältst du von deinem Success Manager oder Vertriebsmitarbeiter.

Schwellenwerte für den automatischen Abbruch

Alle Zwei-Faktor Authentifizierungsmethoden verfügen über konfigurierbare Schwellenwerte, anhand derer die Vereinbarung abgebrochen wird, wenn eine empfangende Partei nicht innerhalb der festgelegten Anzahl der Versuche authentifiziert werden kann.

• Der Vereinbarungsbesitzer (sendende Partei ) wird darüber informiert, dass die Vereinbarung abgebrochen wird.
  • Nur die sendende Partei wird benachrichtigt.
  • Abgebrochene Vereinbarungen können nicht auf den Status „Aktiv“ zurückgesetzt werden. Es muss eine neue Vereinbarung erstellt werden.

Digitale Identitätsverifizierung

Bei der Überprüfung des Typs Digitale Identität wird ein Federated ID-Identitätsprovider (IdP) genutzt, der extern für den Acrobat Sign-Dienst lizenziert wird und konfiguriert werden muss, bevor er beim Erstellen von Vereinbarungen zugänglich wird.

Ausführliche Informationen zur Lösung Digitale Identität findest du hier >

Die Details des Empfängererlebnisses variieren je nach Identitätsanbieter, den die Sendenden verwenden. Die Empfangenden werden darüber informiert, dass die Identitätsprüfung über einen IdP-Dienst mit Federated ID aufgelöst wird, bei dem eine Schaltfläche Identität bestätigen verfügbar ist, um den Überprüfungsprozess auszulösen.

So wählen Sendende eine Authentifizierungsmethode aus

Wenn du eine Vereinbarung konfigurierst, können Sendende über das Dropdown-Menü rechts neben der E-Mail-Adresse der empfangenden Partei eine Authentifizierungsmethode auswählen.

Die meisten Authentifizierungsmethoden können als ausgewählter Standardwert konfiguriert werden, um den Sendevorgang zu vereinfachen. Nur die Optionen für Digitale Identität können nicht als Standardauthentifizierungswert konfiguriert werden.

Das Empfangserlebnis

In der Regel wird eine empfangende Partei zuerst per E-Mail über eine Vereinbarung informiert, die ihre Aufmerksamkeit erfordert.

• Wenn die Vereinbarung ohne Authentifizierung (Keine) gesendet wird, wird durch Auswahl der Schaltfläche Überprüfen und signieren in der E-Mail die Vereinbarung geöffnet, sodass Empfangende sie anzeigen und Aktionen durchführen können.
• Wenn für die Vereinbarung eine zusätzliche Authentifizierungsmethode konfiguriert ist, wird durch Auswahl der Schaltfläche Überprüfen und signieren in der E-Mail die Seite mit der Aufforderung zur Authentifizierung geöffnet.
  • Sobald diese Authentifizierungsaufforderung erfüllt wurde, wird die Vereinbarung zur Interaktion geöffnet.
    

Audit-Bericht-Ereignisse

Für jede Zwei-Faktor-Authentifizierungsmethode gibt es eine explizite Erfolgsmeldung, die die verwendete Methode identifiziert.

Wenn keine Authentifizierung (Keine) ausgewählt ist, wird im Audit-Bericht nur angezeigt, dass das Dokument signiert wurde:

Konfigurierbare Optionen und Standardwerte

Optionen für Administrierende

Du kannst auf die Einstellungen auf Kontoebene zugreifen, indem du dich als Adobe Sign-Administrierende auf Kontoebene anmeldest und zu Kontoeinstellungen > Sendeeinstellungen > Identifikationsoptionen für Unterzeichnende
navigierst.

Alle Optionen können auch auf Gruppenebene konfiguriert werden. Denke daran:

• Alle Gruppen übernehmen standardmäßig die Einstellungen auf Kontoebene.
• Konfigurationen auf Gruppenebene setzen Einstellungen auf Kontoebene außer Kraft.
• Alle auf der Seite Senden verfügbaren Optionen werden aus den Einstellungen der Gruppe abgeleitet, von der die Vereinbarung gesendet wird.

Die Optionen sind in zwei Abschnitte unterteilt:

• Identifizierungsoptionen für Unterzeichnende: Dies ist die primäre Gruppe von Einstellungen zur Identitätsauthentifizierung. Diese Werte werden mit folgenden Ausnahmen auf alle Empfangenden aller Vereinbarungen angewendet, die in der Sendegruppe erstellt wurden:
  • API-basierte Prozesse, die die Optionen der sendenden Partei einschränken können (Integrationen, Workflows, benutzerdefinierte Anwendungen).
    
  • Wenn Verschiedene Methoden zur Authentifizierung der Identität von internen Empfangenden aktivieren aktiviert ist (siehe unten).
    
• Identitätsauthentifizierung für interne Empfangende: Diese Teilmenge von Einstellungen ermöglicht der Gruppe, einen anderen Satz von Identitätsauthentifizierungsmethoden für interne Empfangende zu definieren. Dies bietet die folgenden Vorteile:
  • Weniger Frustration für interne Unterzeichnende.
  • Weniger komplexe Unterzeichnungsprozesse beschleunigen die Unterzeichnung für Empfangende, die möglicherweise viele Vereinbarungen gegenzeichnen müssen.
  • Die Kosten für Premium-Authentifizierung können für interne Empfangende vermieden werden.

Methoden zur Authentifizierung der Identität

Die primären Authentifizierungsoptionen:

• Sendende auffordern, eine der aktivierten Methoden zur Authentifizierung zu wählen: Wenn diese Option aktiviert ist, müssen Sendende eine andere Authentifizierungsmethode als Keine als Standardauthentifizierungsmethode auswählen. „Keine“ darf nicht ausgewählt werden.
  
• Acrobat Sign erlauben, die E-Mail-Adresse der Unterzeichnenden für jede Authentifizierungsanforderung automatisch auszufüllen: Diese Einstellung gilt nur für die Methode Acrobat Sign-Authentifizierung. Wenn diese Option aktiviert ist, wird die E-Mail-Adresse der empfangenden Partei bei Bedarf für die Authentifizierung automatisch eingefügt.
• Die Unterzeichnenden nicht auffordern, sich erneut zu authentifizieren, wenn diese bereits bei Adobe Sign angemeldet sind: Wenn diese Option aktiviert ist, werden die Unterzeichnenden nicht aufgefordert, sich erneut zu authentifizieren, wenn sie bereits bei Adobe Sign angemeldet sind.
• Sendenden das Herunterladen eines Identitätsberichts der Unterzeichnenden für Vereinbarungen mit verifizierten Signaturen ermöglichen: Identitätsberichte Unterzeichnende (SIR) sind für die Authentifizierungsmethoden Amtlicher Lichtbildausweis und Digitale Identität verfügbar. Wenn diese Einstellung aktiviert ist, können die Sendenden der Vereinbarung den SIR von ihrer Seite Verwalten herunterladen.
  
• Die folgenden Methoden zur Authentifizierung der Identität aktivieren: Hiermit wird die Liste der Authentifizierungsmethoden für die Sendenden eingeleitet.  Wähle je nach Sicherheits- und Konformitäts-Anforderungen eine oder mehrere Optionen aus.
• Standardmäßig folgende Methode verwenden: Legt die standardmäßige Authentifizierungsmethode fest, die beim Hinzufügen einer empfangenden Partei zu einer neuen Vereinbarung eingefügt wird.
• Sendenden das Ändern der Standardmethode zur Authentifizierung erlauben: Ist diese Option aktiviert, haben Sendende die Option, eine beliebige Methode auszuwählen, die für die Gruppe, von der gesendet wird, aktiviert ist.
  
  • Ist die Option deaktiviert, kann nur die standardmäßige Authentifizierungsmethode verwendet werden.

Authentifizierung der Identität von internen Empfangenden

Lege über die Steuerelemente für interne Empfangende die Optionen für interne Empfangende fest:

• Verschiedene Methoden zur Authentifizierung der Identität von internen Empfangenden aktivieren: Wenn diese Option aktiviert ist, werden interne Empfangende als Ausnahme zu den primären Authentifizierungsregeln behandelt und ihnen werden die Standardauthentifizierungsoptionen angezeigt, die im Abschnitt Authentifizierung der Identität von internen Empfangenden definiert sind.
  
• Die folgenden Methoden zur Authentifizierung der Identität aktivieren: Diese Option steht über der Liste der Optionen, die für die Authentifizierung von internen Empfangenden verfügbar sind.  Wähle je nach Sicherheits- und Konformitäts-Anforderungen eine oder mehrere Optionen aus.
  • Die Adobe Sign-Authentifizierung bietet eine kostengünstige, reibungsarme Authentifizierungsmethode, wenn deine Sendenden auch Gegenzeichnende sind.
    
• Verwende standardmäßig folgende Methode: Legt die Standardmethode fest, die für interne Empfangende eingefügt wird, wenn eine neue Vereinbarung erstellt wird.
  
• Sendenden das Ändern der Standardmethode zur Authentifizierung erlauben: Hiermit haben die Sendenden die Möglichkeit, die standardmäßige Authentifizierungsmethode zu einer anderen von Administrierenden aktivierten Option zu ändern.

Webformular-Ausnahme bei Identitätsauthentifizierung

Webformulare werden für verschiedenste Anwendungsfälle eingesetzt und häufig ist keine Identitätsauthentifizierung erforderlich.  

Bei Konten/Gruppen, die Webformular-Signaturen nicht authentifizieren müssen, kann die Option zur Deaktivierung der E-Mail-Verifizierung wie folgt deaktiviert werden:

• Navigiere zu Kontoeinstellungen > Globale Einstellungen > Webformulare (für Einstellungen auf Kontoebene).
  
  • Bearbeite Gruppe: {Gruppenname} > Gruppeneinstellungen > Webformulare (für Einstellungen auf Gruppenebene).
• Deaktiviere die Option Bestätigen der E-Mail-Adresse für Unterzeichnende erforderlich machen, um Webformularsignaturen ohne Überprüfung zu akzeptieren.
  • Wenn die Anforderung zur Überprüfung der Webformularsignatur aufgehoben wird, bedeutet dies nicht, dass Unterzeichnende keine E-Mail-Adresse angeben müssen.

Best Practices und Überlegungen

• Alle Authentifizierungsmethoden und -optionen können auf Konto- und Gruppenebene konfiguriert werden.
• Alle Gruppen übernehmen ihre Standardeinstellungswerte aus den Einstellungen auf Kontoebene. Entwirf deine Einstellungen auf Kontoebene so, dass die automatische Eigenschaftsvererbung optimal genutzt wird und der Aufwand bei der Gruppenkonfiguration später möglichst gering ist.
• Die Authentifizierungsoptionen von Vereinbarungen sind von der Gruppe abgeleitet, von der die Vereinbarung gesendet wird. Wenn die erwarteten Optionen nicht angezeigt werden, überprüfe deine Einstellungen auf Gruppenebene.
  
• Bestimme deine Anforderungen an die Identitätsauthentifizierung für die von dir gesendeten Dokumentarten und überprüfe, ob sie Compliance-Vorschriften unterliegen. Wenn eine Premium-Authentifizierung erforderlich ist, stelle sicher, dass ausreichend Volumen für den erwarteten Datenverkehr erworben wurde.
• Authentifizierung mithilfe eines amtlichen Lichtbildausweises: (i) ist nicht für regulierte oder hochwertige elektronische Signatur-Workflows und -Anwendungsfälle bestimmt; (ii) kann nicht alle betrügerischen oder gefälschten Ausweisdokumente identifizieren; und (iii) darf nicht die Notwendigkeit einer Überprüfung durch Menschen ersetzen.
• Bestimme, ob Signaturflüsse vorhanden sind, die eine Zwei-Faktor-Authentifizierung erfordern, wie z. B.:
  • Gehostete Signaturen
  • Benutzerdefinierte Lösungen zur Unterdrückung von E-Mail-Benachrichtigungen (z. B. Workday)
    
  • Signaturflüsse, die versuchen, rechtsgültige Signaturen von zwei oder mehr Empfangenden zu erhalten, die dieselbe (gemeinsam genutzte) E-Mail-Adresse verwenden
    
• Gib an, ob und wo es hilfreich ist, unterschiedliche Authentifizierungsstandards für interne Empfangende zu haben.
• Kundinnen und Kunden mit Zugriff auf selbstdefinierte Workflows können sehr präzise Authentifizierungsmethoden für jeden ihrer Signaturflüsse definieren, was standardmäßig weniger zeitaufwändig ist (und möglicherweise ein höheres Volumen ermöglicht), während gleichzeitig die Einhaltung kritischer Signaturprozesse gewährleistet wird.
• Beachte, dass die einzelnen Authentifizierungsmethoden aktiviert werden müssen, bevor sie für andere Dienste verfügbar werden. Wenn du eine Methode aktivierst, wird sie für Folgendes verfügbar:
  • Andere administrative Optionen, wie z. B. die Sicherheitseinstellungen für Zwei-Faktor-Authentifizierungsmethoden
    
  • Benutzende, die während des standardmäßigen Sendevorgangs ausgewählt werden sollen
  • Benutzerdefinierte Workflows wie im Workflow-Designer erstellt
  • API-gestützte Sendeereignisse
  • Integrationszugriff (Dynamics, Salesforce)