19. Januar 2025
Einführung
Wer in Deutschland elektronische Signaturen einsetzen will, sollte nicht mit der pauschalen Frage beginnen, ob „eine elektronische Signatur“ ausreicht. Entscheidend ist, welches Dokument signiert wird, welche Anforderungen für diesen Vorgang gelten und welches Signaturniveau sowie welche Nachweise dazu passen.
Die eIDAS-Verordnung unterscheidet die elektronische Signatur, die fortgeschrittene elektronische Signatur und die qualifizierte elektronische Signatur. Die qualifizierte elektronische Signatur ist dabei eine fortgeschrittene elektronische Signatur mit zusätzlichen Anforderungen. Der im Markt häufig verwendete Begriff „einfache elektronische Signatur“ ist dagegen keine eigene Definition in Artikel 3 der eIDAS-Verordnung.
Für Compliance- und Rechtsteams ergibt sich daraus ein klarer Prüfpfad: Dokument und Parteien bestimmen, die passende eIDAS-Stufe einordnen, das konkrete Signaturverfahren zuordnen und festlegen, welche Nachweise für den Vorgang erhalten bleiben sollen. Erst wenn diese Punkte zusammenpassen, sollte die Entscheidung für den ersten Einsatz freigegeben werden.
Was eIDAS unter elektronischer Signatur versteht
Artikel 3 Nummer 10 der Verordnung (EU) Nr. 910/2014 definiert die elektronische Signatur weit: Gemeint sind elektronische Daten, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet.
Die fortgeschrittene elektronische Signatur nach Artikel 3 Nummer 11 muss zusätzlich die Anforderungen des Artikels 26 erfüllen. Dazu gehören insbesondere die eindeutige Zuordnung zum Unterzeichner, die Möglichkeit seiner Identifizierung, ein hohes Maß an Kontrolle über die Signaturerstellungsdaten und eine Verbindung mit den signierten Daten, durch die nachträgliche Änderungen erkennbar werden.
Die qualifizierte elektronische Signatur nach Artikel 3 Nummer 12 baut auf der fortgeschrittenen elektronischen Signatur auf. Sie wird mit einer qualifizierten elektronischen Signaturerstellungseinheit erstellt und beruht auf einem qualifizierten Zertifikat für elektronische Signaturen.
Damit sind die Stufen nicht bloß unterschiedliche Bezeichnungen für denselben Vorgang. Sie stellen unterschiedliche Anforderungen an Verfahren, Zertifikate und technische Ausgestaltung. Für die Auswahl bleibt trotzdem das konkrete Dokument der Ausgangspunkt.
Welche Signaturstufe passt zum Dokument?
Eine QES sollte nicht vorsorglich für jedes Dokument zum Standard erklärt werden. Prüfen Sie zunächst, welche Formanforderungen für den Vorgang gelten, welche Anforderungen die Gegenpartei oder eine interne Richtlinie stellt und welches Beweisniveau das Unternehmen für den konkreten Prozess benötigt.
Hilfreich ist eine kurze dokumentbezogene Entscheidung, die mindestens den Dokumenttyp, die beteiligten Parteien, das vorgesehene Signaturniveau und die Begründung für diese Auswahl enthält. So bleibt später nachvollziehbar, warum ein bestimmtes Verfahren gewählt wurde.
Die Rechtswirkung darf dabei nicht allein aus dem Namen des Signaturverfahrens abgeleitet werden. Artikel 25 Absatz 1 der eIDAS-Verordnung stellt klar, dass einer elektronischen Signatur Rechtswirkung und Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil sie elektronisch ist oder die Anforderungen an eine QES nicht erfüllt. Für die QES bestimmt Artikel 25 Absatz 2 ausdrücklich die gleiche Rechtswirkung wie für eine handschriftliche Unterschrift.
Diese eIDAS-Regeln beantworten jedoch nicht jede dokumentbezogene Formfrage. Ob ein konkreter Vertrag, eine Erklärung oder ein anderer Vorgang mit einem bestimmten elektronischen Signaturniveau abgeschlossen werden kann, ist gesondert anhand der anwendbaren Vorschriften zu prüfen.
Verfahren und Signaturniveau sauber zuordnen
Nach der rechtlichen und fachlichen Einordnung folgt die technische Zuordnung. Das Team sollte dokumentieren, welches Verfahren tatsächlich eingesetzt wird und welche Eigenschaften dieses Verfahren für die gewählte eIDAS-Stufe bereitstellt.
Bei einer fortgeschrittenen elektronischen Signatur ist insbesondere zu prüfen, wie der Unterzeichner identifiziert wird, wie die Signatur ihm zugeordnet bleibt und wie Änderungen an den signierten Daten erkennbar werden. Bei einer QES kommen die Anforderungen an das qualifizierte Zertifikat und die qualifizierte Signaturerstellungseinheit hinzu.
Signaturniveau und Produktbezeichnung sollten deshalb getrennt betrachtet werden. Eine Identitätsprüfung allein macht ein Verfahren nicht automatisch zu einer fortgeschrittenen oder qualifizierten elektronischen Signatur. Ebenso genügt ein Zertifikat für sich genommen nicht, um aus jedem Signaturvorgang eine QES zu machen.
Für die interne Dokumentation reicht meist eine kompakte Zuordnung aus: Dokument, Signaturniveau, eingesetztes Verfahren, verantwortliche Stelle und Datum der Prüfung. Wird das Verfahren später geändert, sollte die Zuordnung erneut geprüft werden.
Welche Nachweise sollten erhalten bleiben?
Die Nachweisführung sollte zum eingesetzten Verfahren und zum Risiko des Dokuments passen. Sinnvoll ist vor allem, den signierten Dokumentstand eindeutig mit dem Signaturvorgang verbinden zu können.
Je nach Signaturverfahren können dazu die finale Dokumentversion, Angaben zum Unterzeichner, relevante Zeitpunkte, Ereignisse des Signaturprozesses sowie Zertifikats- und Validierungsinformationen gehören. Bei zertifikatsbasierten Verfahren ist besonders wichtig, dass später erkennbar bleibt, welches Zertifikat und welche Validierungsinformationen dem konkreten Signaturvorgang zugeordnet waren.
Diese Nachweise sind von der eIDAS-Stufe selbst zu unterscheiden. Nicht jedes Verfahren erzeugt dieselben Informationen, und nicht jeder Anwendungsfall benötigt dieselbe interne Aufbewahrung. Die Organisation sollte deshalb festlegen, welche Nachweise sie je Dokumenttyp benötigt und wo sie diese auffindbar ablegt.
Entscheidung vor dem ersten Einsatz freigeben
Vor dem ersten produktiven Signaturvorgang sollten Dokument, Signaturniveau, Verfahren und Nachweisführung gemeinsam geprüft werden. Eine solche Freigabe verhindert, dass eine technische Konfiguration nachträglich als rechtliche Entscheidung interpretiert wird.
Die freigegebene Fassung sollte mindestens den Anwendungsfall, die gewählte eIDAS-Stufe, das eingesetzte Verfahren, die erwarteten Nachweise, das Prüfdatum und die verantwortliche Stelle enthalten. Ändern sich Dokumenttyp, Rechtsrahmen oder Signaturverfahren wesentlich, ist eine erneute Prüfung sinnvoll.
Für die technische Umsetzung unterstützt Nota Sign qualifizierte elektronische Signaturen (QES) und fortgeschrittene elektronische Signaturen (AES) nach der eIDAS-Verordnung in deutschen und grenzüberschreitenden Signaturprozessen. Teams können die freigegebene eIDAS-Stufe, das Verfahren und die erwarteten Nachweise direkt mit der jeweiligen Dokumentklasse verbinden.
So entsteht keine abstrakte „Definition der elektronischen Signatur“, die für jeden Fall gelten soll, sondern eine belastbare Entscheidungsgrundlage für den konkreten Prozess.
Nächster Schritt: Überführen Sie Ihre erste freigegebene Dokumentklasse in einen Nota-Sign-Pilotworkflow und prüfen Sie, ob Signaturniveau und Abschlussnachweise wie vorgesehen zusammenpassen.
