8. August 2026
Einführung
Elektronische Signaturen können Geschäftsprozesse deutlich sicherer und nachvollziehbarer machen als eine eingesetzte Unterschriftsgrafik oder ein unkontrollierter E-Mail-Austausch. Entscheidend ist jedoch nicht allein die verwendete Technologie. Für die Sicherheit eines Signaturprozesses zählen vor allem die Identität der unterzeichnenden Person, der Schutz des Zugangs, die Integrität des Dokuments, das gewählte Signaturniveau und die Nachweise, die nach Abschluss erhalten bleiben.
Für eine Compliance-Beauftragte bedeutet das: Nicht jede Vereinbarung braucht dieselben Kontrollen. Ein standardisierter Lieferantenvertrag, eine hochvolumige HR-Vereinbarung und ein Dokument mit gesetzlicher Formvorgabe können unterschiedliche Risiken und damit unterschiedliche Anforderungen an Authentifizierung, Signatur und Nachweis haben.
Die eIDAS-Verordnung unterscheidet dabei zwischen elektronischen Signaturen, fortgeschrittenen elektronischen Signaturen und qualifizierten elektronischen Signaturen. Für fortgeschrittene elektronische Signaturen verlangt Artikel 26 unter anderem eine eindeutige Verknüpfung mit der unterzeichnenden Person und eine Verbindung mit den signierten Daten, durch die nachträgliche Änderungen erkennbar werden. Eine qualifizierte elektronische Signatur (QES) baut auf einer fortgeschrittenen elektronischen Signatur auf und muss zusätzlich mit einer qualifizierten Signaturerstellungseinheit erstellt werden sowie auf einem qualifizierten Zertifikat beruhen. Die aktuelle konsolidierte Fassung der eIDAS-Verordnung ist auf EUR-Lex abrufbar.
Nota Sign unterstützt Signaturworkflows mit fortgeschrittenen elektronischen Signaturen (FES/AES) und qualifizierten elektronischen Signaturen (QES). Welche Methode für ein bestimmtes Dokument geeignet oder erforderlich ist, richtet sich nach dem konkreten Geschäftsvorgang, den Parteien, internen Vorgaben und dem anwendbaren Recht.
Was bedeutet „sicher“ bei einer elektronischen Signatur?
Bei elektronischen Signaturen umfasst Sicherheit mehrere Ebenen. Ein Verfahren kann technisch gut geschützt sein und trotzdem organisatorische Schwächen haben, etwa wenn Empfängeradressen falsch zugeordnet, Konten gemeinsam genutzt oder signierte Dateien ohne Zugriffskontrolle abgelegt werden.
Für die Praxis lassen sich fünf Fragen unterscheiden:
- Wer signiert? Wie zuverlässig wurde die Person dem Signaturvorgang zugeordnet?
- Wer kann auf den Vorgang zugreifen? Welche Authentifizierungs- und Zugriffskontrollen schützen das Konto und den Signaturprozess?
- Was wurde signiert? Ist eindeutig feststellbar, welche Dokumentfassung der Signatur zugrunde lag?
- Kann eine Änderung erkannt werden? Unterstützt das Signaturverfahren eine nachvollziehbare Integritätsprüfung?
- Was bleibt als Nachweis erhalten? Können Unterzeichner, Dokument, Zeitpunkte und Prüfergebnisse später noch rekonstruiert werden?
Diese Ebenen sollten gemeinsam bewertet werden. Eine starke Identitätsprüfung kompensiert beispielsweise keine unklare Dokumentversion, und ein detailliertes Auditprotokoll hilft nur begrenzt, wenn der Zugriff auf das Signaturkonto selbst nicht ausreichend geschützt ist.
Risikostufe am Dokument und Geschäftsvorgang ausrichten
Ein Sicherheitsraster sollte mit dem konkreten Dokument beginnen, nicht mit einer pauschalen Vorgabe für alle Signaturen. Relevant sind unter anderem wirtschaftlicher Wert, mögliche Folgen einer Fehlzuordnung, regulatorische Anforderungen, Anzahl und Rolle der Unterzeichner sowie die Frage, ob besondere Formvorschriften gelten.
Für Dokumente mit geringem Risiko kann ein schlanker Signaturprozess angemessen sein. Bei höherem Risiko können stärkere Authentifizierung, zusätzliche Identitätsprüfung, zertifikatsbasierte Signaturen oder eine QES sinnvoll beziehungsweise rechtlich erforderlich sein. Die Entscheidung über das Signaturniveau sollte deshalb aus der Risiko- und Rechtsbewertung hervorgehen und nicht allein aus dem Dateiformat oder der Bezeichnung des Dokuments.
Im Sicherheitsraster sollten Unternehmen festhalten, welche Kontrollstufe für welche Dokumentklasse gilt und wer Änderungen an dieser Einstufung freigeben darf. Dadurch wird aus einer allgemeinen Sicherheitsrichtlinie eine anwendbare Entscheidungshilfe für konkrete Signaturprozesse.
Identität und Zugriff schützen
Die Sicherheit beginnt vor der eigentlichen Signatur. Ein Signaturprozess sollte verhindern, dass eine andere Person ohne ausreichende Kontrolle auf den Vorgang zugreift oder im Namen des vorgesehenen Unterzeichners handelt.
Welche Identitäts- und Authentifizierungsmethode angemessen ist, hängt vom Risiko und vom gewählten Signaturverfahren ab. Möglich sind beispielsweise kontrollierte E-Mail-Zugänge, zusätzliche Authentifizierungsfaktoren, Identitätsprüfungen oder zertifikatsbasierte Verfahren. Bei einer QES gelten zusätzlich die Anforderungen der eIDAS-Verordnung an das qualifizierte Zertifikat und die qualifizierte Signaturerstellung.
Ebenso wichtig ist die interne Zugriffskontrolle. Gemeinsame Benutzerkonten, weitergeleitete Zugangsdaten oder zu weit gefasste Administratorrechte erschweren später die Zuordnung von Handlungen. Rollen, Berechtigungen und administrative Eingriffe sollten deshalb so gestaltet sein, dass nachvollziehbar bleibt, wer einen Vorgang erstellt, geändert, versendet oder geprüft hat.
Dokumentintegrität und Signaturvalidierung
Vor der Signatur muss eindeutig sein, welche Dokumentfassung freigegeben wurde. Nach Abschluss sollte überprüfbar bleiben, ob die signierten Daten seit dem Signaturvorgang verändert wurden.
Für fortgeschrittene elektronische Signaturen verlangt Artikel 26 Buchstabe d der eIDAS-Verordnung eine Verbindung mit den unterzeichneten Daten, sodass eine nachträgliche Veränderung erkannt werden kann. In zertifikatsbasierten Verfahren wird diese Integritätsprüfung typischerweise über kryptografische Signatur- und Validierungsmechanismen unterstützt.
Ein gespeicherter Hashwert kann zusätzlich helfen, eine bestimmte Datei eindeutig zu referenzieren. Er ersetzt jedoch weder die Signaturvalidierung noch die übrige Beweiskette. Für die spätere Prüfung sind insbesondere die signierte Datei, das verwendete Signaturverfahren, gegebenenfalls Zertifikatsinformationen und das Ergebnis der Validierung relevant.
Zeitangaben sollten ebenfalls nicht pauschal überbewertet werden. Ein protokollierter Zeitwert dokumentiert zunächst, was das jeweilige System aufgezeichnet hat. Für qualifizierte elektronische Zeitstempel sieht Artikel 41 Absatz 2 eIDAS dagegen ausdrücklich die Vermutung der Richtigkeit von Datum und Zeit sowie der Unversehrtheit der damit verbundenen Daten vor.
Welches Signaturniveau bietet welche Absicherung?
Die Bezeichnungen „einfach“, „fortgeschritten“ und „qualifiziert“ werden im Markt häufig als Sicherheitsstufen verstanden. Rechtlich ist die Einordnung differenzierter.
In der Praxis wird oft von einer einfachen elektronischen Signatur (EES) gesprochen. Die eIDAS-Verordnung definiert jedoch zunächst allgemein die elektronische Signatur. Darunter können je nach Verfahren sehr unterschiedliche Methoden fallen, von einer bewusst ausgeführten elektronischen Zustimmung bis zu stärker abgesicherten Signaturverfahren.
Eine fortgeschrittene elektronische Signatur (FES; englisch AES) muss die Anforderungen von Artikel 26 eIDAS erfüllen. Dazu gehören die eindeutige Verknüpfung mit dem Unterzeichner, seine Identifizierbarkeit, die Kontrolle über die verwendeten Signaturerstellungsdaten und die Erkennbarkeit nachträglicher Änderungen an den signierten Daten.
Die qualifizierte elektronische Signatur (QES) erfüllt darüber hinaus die Voraussetzungen von Artikel 3 Nummer 12 eIDAS: Sie ist eine fortgeschrittene elektronische Signatur, die mit einer qualifizierten Signaturerstellungseinheit erstellt wird und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht. Nach Artikel 25 Absatz 2 eIDAS hat eine QES die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.
Das bedeutet nicht, dass jedes Unternehmen für jedes Dokument eine QES einsetzen sollte. Das erforderliche oder angemessene Niveau hängt vom Dokument, vom Risiko und von den jeweils geltenden rechtlichen oder vertraglichen Anforderungen ab.
Welche Nachweise nach der Signatur erhalten bleiben sollten
Ein sicherer Signaturprozess endet nicht mit dem letzten Klick. Für spätere interne Prüfungen, Kundenanfragen oder rechtliche Auseinandersetzungen muss nachvollziehbar bleiben, was im Vorgang passiert ist.
Welche Daten aufbewahrt werden sollten, hängt vom Prozess und den geltenden Aufbewahrungsregeln ab. Typischerweise sind die signierte Dokumentfassung, die Zuordnung der Unterzeichner, relevante Authentifizierungs- oder Identitätsnachweise, Zeitangaben, Signatur- beziehungsweise Zertifikatsinformationen und ein Audit- oder Ereignisprotokoll von Bedeutung.
Dabei gilt auch das Prinzip der Datenminimierung: Nicht jeder Identitätsnachweis muss unbegrenzt oder in vollständiger Form gespeichert werden. Datenschutzrechtliche Vorgaben, interne Löschkonzepte und branchenspezifische Anforderungen sollten gemeinsam mit dem Bedarf an Beweissicherung berücksichtigt werden.
Die Aufbewahrungsdauer lässt sich daher nicht pauschal aus dem Signaturverfahren ableiten. Sie richtet sich nach dem zugrunde liegenden Dokument, gesetzlichen oder vertraglichen Pflichten sowie der unternehmensinternen Aufbewahrungsrichtlinie.
Sicherheitsraster freigeben und regelmäßig überprüfen
Bevor ein Signaturprozess produktiv eingesetzt wird, sollte die verantwortliche Stelle prüfen, ob Dokumentklasse, Risikostufe, Signaturverfahren, Authentifizierung, Zugriffskontrollen und Nachweise zueinander passen. Diese Freigabe schafft einen dokumentierten Ausgangspunkt für den Regelbetrieb.
Danach sollte das Raster nicht statisch bleiben. Änderungen am Produkt, am Identitätsverfahren, an Trust-Service-Konfigurationen, an internen Rollen oder an rechtlichen Anforderungen können eine erneute Bewertung erforderlich machen. Auch Sicherheitsvorfälle und fehlgeschlagene Signaturvorgänge liefern Hinweise darauf, ob bestehende Kontrollen angepasst werden sollten.
So wird die Frage „Sind elektronische Signaturen sicher?“ nicht mit einer pauschalen Ja-oder-Nein-Aussage beantwortet. Sicherheit entsteht durch ein abgestimmtes System aus Signaturniveau, Identität, Zugriffsschutz, Dokumentintegrität und nachvollziehbaren Nachweisen.
Fazit
Elektronische Signaturen können ein hohes Sicherheitsniveau bieten, wenn der Signaturprozess zum Risiko des Dokuments passt und die entscheidenden Kontrollen gemeinsam betrachtet werden. Besonders wichtig sind die zuverlässige Zuordnung der unterzeichnenden Person, der Schutz des Zugangs, die Integrität der signierten Daten und eine belastbare Nachweiskette.
Nota Sign unterstützt Unternehmen dabei, unterschiedliche Signaturniveaus in strukturierte elektronische Signaturworkflows einzubinden und Dokument, Identitätskontrollen und Abschlussnachweise in einem nachvollziehbaren Prozess zusammenzuführen. Legen Sie das passende Niveau vor der Konfiguration anhand von Dokumentklasse, Risiko und anwendbaren Vorgaben fest.
Nächster Schritt: Bilden Sie Ihr risikobasiertes Sicherheitsraster in Nota Sign ab und testen Sie es mit einem repräsentativen Dokumentenworkflow.
