Was ist BSI TR-RESISCAN genau?
BSI TR-RESISCAN ist die gebräuchliche Kurzbezeichnung für die Technische Richtlinie TR-03138 des Bundesamts für Sicherheit in der Informationstechnik (BSI). Sie beschreibt, wie Papierdokumente so gescannt, verarbeitet und archiviert werden müssen, dass das entstehende Digitalisat das Original mit hohem oder sehr hohem Beweiswert ersetzen kann. Die aktuelle Fassung der Richtlinie liegt in Version 1.2 vor und wird vom BSI in unregelmäßigen Abständen aktualisiert.
Anders als die GoBD, die primär auf steuerliche und handelsrechtliche Pflichten zielen, adressiert TR-RESISCAN die grundsätzliche Frage: Wie muss ein Scanprozess organisiert sein, damit ein Digitalisat im Streitfall als verlässlicher Ersatz für das Papieroriginal gelten kann? Die Richtlinie richtet sich an Behörden, öffentliche Stellen und Unternehmen, die Dokumente mit besonderer rechtlicher oder wirtschaftlicher Bedeutung digitalisieren.
In welchem Verhältnis steht TR-RESISCAN zu den GoBD?
Die beiden Regelwerke schließen sich nicht aus, sondern ergänzen sich:
- GoBD erlauben ersetzendes Scannen grundsätzlich und definieren die Mindestanforderungen für steuerrelevante Unterlagen: bildliche und inhaltliche Übereinstimmung, Verfahrensdokumentation, Unveränderbarkeit nach der Erfassung.
- TR-RESISCAN setzt darauf auf und liefert ein detailliertes technisch-organisatorisches Anforderungsprofil, wenn ein besonders hoher Beweiswert benötigt wird – etwa weil ein Dokument später als Urkundsbeweis in einem Gerichtsverfahren dienen soll.
In der Praxis heißt das: Ein Unternehmen, das nur steuerliche Belege digitalisiert, kommt in aller Regel mit einer GoBD-konformen Verfahrensdokumentation aus. Wer dagegen Verträge, Bauakten, Personalakten oder Unterlagen mit hohem Streitwert digitalisiert und das Original anschließend vernichten will, sollte sich an TR-RESISCAN orientieren, um im Zweifelsfall die Beweiskraft des Digitalisats belegen zu können.
Welche Schutzklassen definiert die Richtlinie?
TR-RESISCAN unterscheidet drei Schutzklassen, die sich am Schutzbedarf der zu digitalisierenden Dokumente orientieren:
| Schutzklasse | Typische Dokumente | Anforderungsniveau |
|---|---|---|
| Normal | Standardgeschäftskorrespondenz, Rechnungen ohne besonderen Streitwert | Basisanforderungen an Bildqualität und Prozessdokumentation |
| Hoch | Verträge, Personalakten, Bauakten, Unterlagen mit erhöhtem wirtschaftlichem Interesse | Zusätzliche technische Sicherung, strengere Vollständigkeitsprüfung, Vier-Augen-Kontrollen |
| Sehr hoch | Urkunden, Unterlagen mit besonderer rechtlicher Bedeutung, sensible Verwaltungsakten | Höchste Anforderungen an Protokollierung, technische Absicherung und organisatorische Trennung der Rollen |
Die Wahl der Schutzklasse liegt in der Verantwortung der scannenden Stelle und sollte auf Grundlage einer Risikobewertung der jeweiligen Dokumentenart getroffen und dokumentiert werden. Je höher die Schutzklasse, desto umfangreicher die geforderten Kontroll- und Sicherungsmaßnahmen.
Welche Rollen sieht der Scanprozess vor?
TR-RESISCAN verlangt eine klare organisatorische Trennung von Verantwortlichkeiten im Scanprozess:
- Scan-Verantwortlicher: Legt Verfahren, Schutzklasse und Kontrollmechanismen fest und trägt die Gesamtverantwortung für die Konformität des Prozesses.
- Scan-Operator (Bediener): Führt den eigentlichen Scanvorgang durch, prüft Bildqualität und Vollständigkeit gemäß den festgelegten Vorgaben.
- Auditor (optional, je nach Schutzklasse): Prüft den Prozess unabhängig vom operativen Betrieb, meist bei hoher oder sehr hoher Schutzklasse vorgesehen.
Diese Rollentrennung soll verhindern, dass eine einzelne Person unbemerkt Manipulationen am Scanprozess vornehmen kann. Bei kleineren Organisationen wird die Trennung oft durch klar dokumentierte Vier-Augen-Prinzipien statt separater Stellen umgesetzt.
Welche technischen und organisatorischen Anforderungen stellt die Richtlinie?
Zentrale Anforderungsbereiche von TR-RESISCAN sind:
- Bildqualität: Auflösung, Farbtiefe und Lesbarkeit müssen definierten Mindeststandards entsprechen und für die jeweilige Dokumentenart geeignet sein.
- Vollständigkeitsprüfung: Jede Seite wird gezählt und mit dem Original abgeglichen; fehlende oder doppelte Seiten müssen erkannt und dokumentiert werden.
- Protokollierung: Jeder Schritt des Scanprozesses – von der Übernahme des Papierdokuments bis zur Freigabe des Digitalisats – wird nachvollziehbar protokolliert.
- Transportsicherung: Bei externer Digitalisierung müssen Transport und Aufbewahrung der Originale bis zur Vernichtung gegen Verlust und unbefugten Zugriff abgesichert sein.
- Technische Absicherung: Je nach Schutzklasse werden qualifizierte elektronische Signaturen, Zeitstempel oder Hashwerte eingesetzt, um die Unveränderbarkeit und Zuordnung des Digitalisats zum Scanvorgang nachweisbar zu machen.
Diese Anforderungen greifen ineinander: Eine lückenlose Protokollierung ohne technische Absicherung des Endergebnisses hat wenig Beweiswert, ebenso wenig eine Signatur ohne nachvollziehbaren Erfassungsprozess.
Ist eine Zertifizierung nach TR-RESISCAN möglich?
Ja. Akkreditierte Prüfstellen können den Scanprozess einer Organisation oder eines Dienstleisters gegen die Anforderungen von TR-03138 prüfen und eine Konformitätsbestätigung ausstellen. Eine solche Zertifizierung ist keine gesetzliche Pflicht, schafft aber zusätzliche Rechtssicherheit, weil sie unabhängig belegt, dass der Prozess den Anforderungen der Richtlinie entspricht. Für Behörden ist die Konformitätsbestätigung in einzelnen Verwaltungsbereichen faktisch Voraussetzung für den Einsatz des ersetzenden Scannens.
Für wen ist TR-RESISCAN in der Praxis relevant?
Besonders relevant ist die Richtlinie für:
- Behörden und öffentliche Verwaltung, die im Rahmen der Aktenführung auf hohen Beweiswert angewiesen sind und teils an entsprechende Vorgaben gebunden sind.
- Unternehmen mit streitanfälligen Dokumenten, etwa Verträgen, auf die sich spätere Auseinandersetzungen stützen könnten.
- Architektur- und Ingenieurbüros bei Bauakten, die im Streitfall als Nachweis für Planungs- und Ausführungsentscheidungen dienen können.
- Personalabteilungen, die Personalakten mit hohem Schutzbedarf digitalisieren und Originale danach vernichten wollen.
Wer unsicher ist, welche Schutzklasse für den eigenen Dokumentenbestand angemessen ist, sollte dies vorab mit einem erfahrenen Scandienstleister klären. Informationen zu Digitalisierungsprojekten für Behörden finden sich unter Lösungen für Behörden und Verwaltung, eine individuelle Einschätzung zum eigenen Fall gibt es über die Kontaktseite.