16. Februar 2025
Einführung
Ein selbstsigniertes Zertifikat, das als Signaturzertifikat eines Unterzeichners verwendet wird, ist kein qualifiziertes Zertifikat im Sinne der eIDAS-Verordnung. Für einen Vertrag zwischen einer deutschen Partei und einer Partei aus einem anderen EU-Mitgliedstaat sollte deshalb zuerst feststehen, welches Signaturniveau für das konkrete Dokument erforderlich ist und welche Zertifikate dafür akzeptiert werden.
Deutschland und die übrigen EU-Mitgliedstaaten wenden für elektronische Signaturen denselben eIDAS-Rahmen an. Die Prüfung sollte daher nicht zwei vermeintlich unterschiedliche eIDAS-Regime gegenüberstellen, sondern den Zertifikatstyp, den Qualifikationsstatus, das erforderliche Signaturniveau und gegebenenfalls zusätzliche nationale oder branchenspezifische Formvorgaben getrennt dokumentieren.
Ein selbstsigniertes Zertifikat kann technisch identifizierbar und kryptografisch prüfbar sein. Es wird dadurch jedoch nicht zu einem qualifizierten Zertifikat und kann eine qualifizierte elektronische Signatur (QES) nicht allein aufgrund einer vertraglichen Freigabe ersetzen. Umgekehrt ist eine elektronische Signatur nicht allein deshalb ohne Rechtswirkung, weil sie nicht qualifiziert ist; die rechtliche Bewertung hängt vom Dokument, den Parteien, der vereinbarten Form und den anwendbaren Vorschriften ab.
Für die deutsch-europäische Zertifikatsrichtlinie unterstützt Nota Sign in nationalen und grenzüberschreitenden Signaturprozessen qualifizierte elektronische Signaturen (QES) und fortgeschrittene elektronische Signaturen nach der eIDAS-Verordnung. Teams können den freigegebenen Zertifikatstyp, den Prüfstatus und die Nachweise mit der jeweiligen Vertragsversion verbinden und Ausnahmen vor dem Versand gezielt freigeben.
Das Ergebnis dieses Leitfadens ist eine freigegebene Zertifikatsrichtlinie, die für jedes verwendete Zertifikat den Typ, den Prüfstatus, die Entscheidung und den zugehörigen Nachweis festhält.
Empfangenes Zertifikat bestimmen
Ausgangspunkt ist immer das Zertifikat, das tatsächlich mit der Signatur oder dem Vertrag übermittelt wurde. Erfassen Sie Quelle, Empfangsweg, Vertragskennung, betroffene Vertragspartei und den vorgesehenen Verwendungszweck. So bleibt nachvollziehbar, welches Zertifikat zu welcher Signaturentscheidung gehört.
Für die technische Identifikation sollten mindestens Seriennummer, Subject, Issuer, Gültigkeitszeitraum und ein SHA-256-Fingerabdruck dokumentiert werden. Der Fingerabdruck dient dabei der eindeutigen Zuordnung des geprüften Zertifikats; er sagt für sich genommen nichts über dessen Vertrauens- oder Qualifikationsstatus aus.
Bewahren Sie außerdem die empfangene Zertifikatsdatei und das signierte Originaldokument unverändert auf. Werden mehrere Zertifikate übermittelt, erhält jedes Zertifikat einen eigenen Prüfdatensatz, damit spätere Entscheidungen nicht auf das falsche Zertifikat bezogen werden.
Selbstsigniertes vom qualifizierten Zertifikat trennen
Artikel 3 Nummer 15 der Verordnung (EU) Nr. 910/2014 definiert ein qualifiziertes Zertifikat für elektronische Signaturen als ein Zertifikat, das von einem qualifizierten Vertrauensdiensteanbieter ausgestellt wird und die Anforderungen des Anhangs I erfüllt. Ein selbstsigniertes Zertifikat erfüllt diese Definition nicht allein dadurch, dass seine kryptografische Signatur technisch gültig ist.
Bei einem selbstsignierten Zertifikat wird die Zertifikatssignatur mit dem privaten Schlüssel erzeugt, der zu dem im Zertifikat enthaltenen öffentlichen Schlüssel gehört. Für die Prüfung reicht es deshalb nicht, nur gleiche oder ähnliche Subject- und Issuer-Angaben zu betrachten. Die Selbstsignatur sollte technisch verifiziert und anschließend getrennt bewertet werden, ob ein externer Vertrauensanker oder eine ausdrücklich genehmigte interne PKI-Vertrauenskette existiert.
Wichtig ist außerdem die Rolle des Zertifikats. Ein selbstsigniertes Root-Zertifikat kann in einer privaten PKI als bewusst gesetzter Vertrauensanker verwendet werden. Ein selbstsigniertes Endzertifikat eines Unterzeichners besitzt dagegen keine externe Vertrauenskette allein aufgrund seiner Selbstsignatur. In beiden Fällen entsteht daraus nicht automatisch der eIDAS-Status eines qualifizierten Zertifikats.
Der Prüfdatensatz sollte deshalb klar zwischen technischer Gültigkeit, Vertrauenskette und eIDAS-Qualifikationsstatus unterscheiden. So lässt sich vermeiden, dass ein technisch erfolgreich geprüftes Zertifikat fälschlich als qualifiziert eingeordnet wird.
eIDAS-Regeln grenzüberschreitend anwenden
Für eine deutsche Vertragspartei und eine Vertragspartei aus einem anderen EU-Mitgliedstaat gilt derselbe eIDAS-Rahmen. Bei einer QES-Prüfung ist daher entscheidend, ob das verwendete Zertifikat zum maßgeblichen Zeitpunkt als qualifiziertes Zertifikat für elektronische Signaturen eingeordnet werden kann und ob der ausstellende Dienst den erforderlichen qualifizierten Status besitzt.
Artikel 22 der eIDAS-Verordnung sieht Vertrauenslisten der Mitgliedstaaten für qualifizierte Vertrauensdiensteanbieter und ihre qualifizierten Dienste vor. Der Qualifikationsstatus sollte deshalb nicht aus dem Zertifikatsnamen, einer Browseranzeige oder einer Selbstauskunft des Ausstellers abgeleitet werden, sondern anhand der einschlägigen Vertrauensliste und der technischen Validierung geprüft werden.
Für die grenzüberschreitende Anerkennung ist außerdem Artikel 24a relevant: Qualifizierte elektronische Signaturen und qualifizierte Zertifikate, die den dort genannten Voraussetzungen entsprechen, werden unionsweit anerkannt. Die frühere Vorstellung, die deutsche Seite und die „EU-Seite“ nach zwei getrennten eIDAS-Regeln zu behandeln, ist daher sachlich nicht erforderlich.
Artikel 25 trennt davon die Rechtswirkung elektronischer Signaturen. Eine elektronische Signatur darf nicht allein deshalb ihre Rechtswirkung oder Zulässigkeit als Beweismittel verlieren, weil sie elektronisch ist oder die Anforderungen einer QES nicht erfüllt. Ob für das konkrete Rechtsgeschäft dennoch eine QES oder eine andere bestimmte Form erforderlich ist, muss separat geprüft werden.
Akzeptierte Zertifikate festlegen
Die Zertifikatsrichtlinie sollte nicht pauschal „selbstsigniert“ gegen „qualifiziert“ entscheiden, sondern vom erforderlichen Signaturniveau ausgehen. Ist für das Dokument eine QES erforderlich, kommt nur ein Zertifikat in Betracht, dessen qualifizierter Status und Verwendung im konkreten Signaturprozess entsprechend validiert werden können. Ein selbstsigniertes Zertifikat kann durch interne Freigabe nicht in ein qualifiziertes Zertifikat umgewandelt werden.
Ist keine QES vorgeschrieben, kann die Organisation weitere Zertifikatstypen zulassen. Dafür sollte sie vorab festlegen, welche Vertrauensanker akzeptiert werden, wie Identität und Besitz des Signaturschlüssels geprüft werden, welche kryptografischen Mindestanforderungen gelten und welche zusätzlichen Nachweise für den jeweiligen Risikofall erforderlich sind.
Eine Ausnahmeentscheidung für ein selbstsigniertes Zertifikat sollte immer ausdrücklich dokumentiert werden. Sie sollte den Zweck der Ausnahme, den verantwortlichen Entscheider, die geprüften technischen Merkmale, die Auswirkungen auf das Signaturniveau und gegebenenfalls zusätzliche Kompensationskontrollen enthalten.
Damit entsteht eine belastbare Annahmeregel: Qualifizierte Zertifikate werden nach ihrem eIDAS-Status validiert; nichtqualifizierte oder selbstsignierte Zertifikate werden nur innerhalb einer ausdrücklich definierten, risikobasierten Ausnahme behandelt.
Entscheidung aufzeichnen
Für jedes Zertifikat wird ein eigener Entscheidungsdatensatz angelegt. Er enthält mindestens Zertifikatsfingerabdruck, Vertragspartei, Signaturrolle, festgestellten Zertifikatstyp, Ergebnis der technischen Prüfung, festgestellten Qualifikationsstatus und die Entscheidung.
Die Entscheidung kann beispielsweise „akzeptiert“, „abgelehnt“ oder „weitere Prüfung erforderlich“ lauten. Entscheidend ist, dass die Begründung erkennen lässt, welcher Befund die Entscheidung trägt. Bei einer QES-Anforderung sollte insbesondere festgehalten werden, wie der qualifizierte Status des Zertifikats und des zugehörigen Vertrauensdienstes geprüft wurde.
Datum, verantwortliche Stelle und gegebenenfalls eine genehmigte Ausnahme gehören ebenfalls in das Protokoll. Der SHA-256-Fingerabdruck verbindet die Entscheidung mit genau dem Zertifikat, das geprüft wurde, während der Prüfbericht die fachliche Begründung liefert.
So bleiben technische Validierung und rechtliche oder geschäftliche Annahmeentscheidung getrennt, aber nachvollziehbar miteinander verknüpft.
Vertrag freigeben
Der Vertrag sollte erst freigegeben werden, wenn für jede betroffene Signatur das erforderliche Signaturniveau feststeht und die verwendeten Zertifikate entsprechend bewertet wurden. Offene Zertifikatsbefunde, ungeklärte Vertrauensketten oder nicht genehmigte Ausnahmen gehören vor die Freigabe, nicht in die nachträgliche Dokumentation.
Zum Abschluss werden signiertes Dokument, geprüfte Zertifikate, Validierungsergebnisse, Vertrauenslisten-Nachweise, Entscheidungsprotokoll und Freigabe miteinander verknüpft. Die Freigabe selbst enthält Datum und verantwortliche Stelle.
Der Referenzfall endet damit nicht mit der pauschalen Ablehnung eines selbstsignierten Zertifikats, sondern mit einer nachvollziehbaren Regel: Ein selbstsigniertes Zertifikat erhält keinen QES-Status; seine mögliche Verwendung außerhalb einer QES-Anforderung wird separat, dokumentiert und risikobasiert entschieden.
Nächster Schritt: Hinterlegen Sie Ihre freigegebene Zertifikatsrichtlinie in einem Nota-Sign-Pilotworkflow und prüfen Sie einen qualifizierten sowie einen dokumentierten Ausnahmefall.
