Verschiedenen Niveaus der digitalen Signatur und wann digitale Unterschriften rechtsgültig sind

Digitale Signaturen – unverzichtbar für die Digitalisierung

Elektronische Signaturen sind ein wichtiges Instrument für die Digitalisierung von Geschäftsprozessen. Sie verhindern den Medienbruch, der durch eine händische Unterschrift entsteht: Dokumente werden ausgedruckt, per Hand unterzeichnet und anschließend wieder digital erfasst. Das verursacht Kosten und ist zeitaufwendig, da es bei vielen Kunden den Prozess aufhält und verlangsamt. Hier helfen elektronische Signaturen, indem sie durchgängig digitale Workflows unterstützen.

Was sind digitale Unterschriften? 

Digitale Unterschriften, im Markt auch als digitale Signaturen bezeichnet, sind ein elektronisches Verfahren, das für die Authentizität und die Integrität eines Vertrags oder eines Dokuments sorgt. Die Identität der Signatur innehabenden Person lässt sich eindeutig nachvollziehen, und eine nachträgliche Änderung oder Manipulation der Daten ist erkennbar. Digitale Signaturen mit höheren Sicherheitsniveaus basieren auf Verschlüsselungstechniken und mathematischen Algorithmen, um diese Eigenschaften sicherzustellen.

Wie steht es um die Rechtsgültigkeit digitaler Unterschriften?

Eine elektronisch signierte Datei, beispielsweise ein Kaufvertrag, besitzt dieselbe rechtliche Verbindlichkeit wie ein per Hand unterzeichnetes Papierdokument. Die Stufe der rechtlichen Anerkennung hängt jedoch von verschiedenen Faktoren ab: Dazu gehört, welche Technologie verwendet wird, ob bestimmte Sicherheitsstandards eingehalten werden und welche gesetzlichen Vorgaben zu erfüllen sind.

Die drei Signatur-Niveaus

Die gesetzliche Grundlage für digitale Signaturen legt die europäische eIDAS-Verordnung. Sie schafft im gesamten EU-Raum einen einheitlichen rechtlichen Rahmen für sogenannte Vertrauensdienste, darunter auch die elektronische Signatur.

Die Verordnung unterscheidet drei Niveaus digitaler Signaturen:

• die einfache elektronische Signatur (EES),
• die fortgeschrittene elektronische Signatur (FES),
• die qualifizierte elektronische Signatur (QES).

Einfache elektronische Signatur (EES)

Bei der einfachen elektronischen Signatur sind Daten in digitaler Form anderen digitalen Daten beigefügt oder logisch mit ihnen verbunden. Dies ist zum Beispiel bei der E-Mail-Signatur der Fall. Zu einfachen elektronischen Signaturen zählen auch eingescannte Unterschriften, die als Grafiken in Dokumenten eingefügt werden.

Auch wenn einfache elektronische Signaturen nach wie vor sehr weit verbreitet sind, sind diese durch die Empfängerseite oder Dritte nicht validierbar und bieten keine Sicherheit in digitalen Prozessen.

Fortgeschrittene elektronische Signatur (FES)

Die fortgeschrittene elektronische Signatur besitzt ein höheres Sicherheitsniveau. Sie muss folgende Anforderungen erfüllen:

• Sie ist eindeutig der unterzeichnenden Person zugeordnet und ermöglicht deren Identifizierung.
• Sie ist mit elektronischen Mitteln erstellt und wird durch eine Freigabe (beispielsweise Authentifizierung mittels eines Faktors) ausgelöst.
• Sie ist so mit den unterzeichneten Daten verbunden, dass eine nachträgliche Änderung oder Manipulation der Daten erkennbar ist.

In der Praxis kommen bei der fortgeschrittenen elektronischen Signatur moderne kryptografische Verfahren zum Einsatz. Diese schützen die Inhalte der Dokumente vor nachträglichen Manipulationen (Integrität). Zudem wird die Identität des Signatur-Inhabers geprüft (Authentizität). Für die Empfängerseite oder Dritte ist die Identität bei der FES entsprechend nachvollziehbar und kann validiert werden.

Qualifizierte elektronische Signatur (QES)

Das höchste Sicherheitsniveau und die stärkste Rechtswirkung weist die qualifizierte elektronische Signatur auf. Die Identität des Signatur-Inhabers wird in diesem Fall von einem Vertrauensdiensteanbieter bestätigt – beispielsweise der D-Trust GmbH, einem Unternehmen der Bundesdruckerei-Gruppe – und ist jederzeit für die Empfängerseite oder Dritte validierbar (Authentizität). Das signierte Dokument kann nicht unbemerkt verändert oder die Signatur auf ein anderes Dokument übertragen werden (Integrität).

Qualifizierte elektronische Signatur: maximale Sicherheit und höchster Beweiswert

Für viele Verträge und Dokumente ist in deutschen Gesetzen die Schriftform vorgeschrieben. Von allen drei Signatur-Niveaus entspricht ausschließlich die qualifizierte elektronische Signatur dem gesetzlich vorgeschriebenen Schriftformerfordernis und kann damit das persönliche Unterschreiben in diesen Fällen ersetzen.

Was ist der Unterschied zwischen fortgeschrittener und qualifizierter elektronischer Signatur?

Fortgeschrittene und qualifizierte elektronische Signaturen unterscheiden sich bei der Zertifikatsausstellung, dem Authentifizierungsverfahren sowie der Rechtswirkung.

Qualifizierte elektronische Zertifikate dürfen laut eIDAS-Verordnung nur von sogenannten qualifizierten elektronischen Vertrauensdiensteanbietern (frühere Bezeichnung: Trustcenter) ausgestellt werden. Diese unterliegen besonders strengen Vorgaben für Datenschutz und IT-Sicherheit. Sie werden regelmäßig durch nationale Aufsichtsbehörden geprüft, in Deutschland durch die Bundesnetzagentur. Bei der fortgeschrittenen elektronischen Signatur kann auch eine unternehmenseigene Stelle die Zertifikate ausstellen, verwalten und verteilen.

Zweites Unterscheidungsmerkmal ist das eingesetzte Authentifizierungsverfahren. Die qualifizierte elektronische Signatur sieht hierbei zwingend eine Zwei-Faktor-Authentifizierung vor, zum Beispiel per App oder SMS-TAN.

Und drittens gilt rechtlich bei der qualifizierten elektronischen Signatur die Beweislastumkehr: Unterliegen fortgeschrittene elektronische Signaturen vor Gericht einer freien richterlichen Beweiswürdigung, so gilt bei einem Rechtsstreit über eine QES die weitreichende Beweiskraft, was die Annahme sowohl zur Echtheit des Inhalts als auch zur geprüften Identität angeht. Um diesen erhöhten Beweiswert gegebenenfalls auch bei hohen Haftungsrisiken zu erreichen, kann für alle elektronischen Dokumente unabhängig von gesetzlichen Vorschriften immer auf eine QES zurückgegriffen werden. Zugespitzt gilt hier im doppelten Sinne: Im Zweifel für die QES.

Wie unterscheiden sich die einfache, die fortgeschrittene und die qualifizierte Signatur aus rechtlicher Sicht? 

Zunächst ist es wichtig, zwischen Formfreiheit und Schriftform zu unterscheiden. Bei vielen Verträgen und Dokumenten gilt per Gesetz die Formfreiheit: Ein Rechtsgeschäft oder eine Willenserklärung muss keine besondere Form haben, um wirksam zu sein. Bei der Schriftform hingegen muss ein schriftliches Dokument vorliegen, das von beiden Vertragsparteien unterzeichnet ist. Grundsätzlich können formfreie Dokumente mit allen drei Signaturarten rechtsgültig unterschrieben werden. Im Fall der Schriftform ist nur die digitale Unterschrift mit dem höchsten Sicherheitsniveau zulässig, die qualifizierte elektronische Signatur. Eine einfache elektronische Signatur ist zwar rechtsgültig, besitzt jedoch vor Gericht nur eine schwache Beweiskraft, denn die Identität der unterzeichnenden Person lässt sich nicht sicher nachweisen. Die fortgeschrittene elektronische Signatur weist eine hohe Beweiskraft auf, da die digitale Unterschrift der unterzeichnenden Person eindeutig zugeordnet werden kann. Die höchste Beweiskraft in Gerichtsprozessen bietet die qualifizierte elektronische Signatur.

Anwendungsgebiete

Die Einsatzmöglichkeiten der elektronischen Signatur umfassen die unterschiedlichsten Branchen und Anwendungen:

• In Behörden und öffentlichen Einrichtungen werden Signaturen beispielsweise bei Förderanträgen, Baugenehmigungen, öffentlichen Ausschreibungen oder im elektronischen Abfallnachweisverfahren (eANV) eingesetzt.
• Im Gesundheitswesen lassen sich Krankenkassenabrechnungen, Rezepte, OP-Einwilligungserklärungen oder Entlassungsbriefe elektronisch unterschreiben.
• Unternehmen der freien Wirtschaft profitieren bei Arbeitsverträgen oder der elektronischen Rechnungsverarbeitung.

Wie oben erwähnt muss überall dort, wo das Gesetz die Schriftform vorsieht, zwingend die qualifizierte elektronische Signatur eingesetzt werden. Sie besitzt das höchste Sicherheitsniveau und die stärkste Rechtswirkung. Die Verwendung der QES kann jedoch auch an anderer Stelle sinnvoll sein, insbesondere wenn Organisationen sich in geschäftskritischen Fällen absichern wollen oder gerichtliche Auseinandersetzungen nicht auszuschließen sind.

Sind digitale Signaturen technisch ausgereift und rechtssicher?

Alle drei digitalen Signatur-Niveaus können die per Hand geleistete Unterschrift durch eine elektronische Alternative ablösen. Die Technologien sind ausgereift und vielfach im Einsatz. Eine hohe Rechtswirksamkeit ist für die FES und insbesondere bei der QES sichergestellt. Impulsgeber für eine schnelle Verbreitung ist die eIDAS-Verordnung: Sie setzt einen einheitlichen, europaweit gültigen Rechtsrahmen für digitale Signaturen und definiert die heute angewandten Signatur-Verfahren.

Eines der Verfahren ist die Fernsignatur: Mit dieser wird die elektronische Unterschrift auch mobil, etwa per Tablet oder Smartphone, ermöglicht. Wie das in der Praxis funktioniert, zeigt das Produkt sign-me von D-Trust. D-Trust, als Anbieter für qualifizierte elektronische Signaturen, bietet außerdem Signaturkarten an. Beide Produkte können sich je nach Anwendungsbereich ergänzen und sind auf die jeweiligen Anforderungen der Kunden zugeschnitten. 

Was sind besonders vertrauenswürdige Stellen? 

Um den Einsatz elektronischer Kommunikationswerkzeuge zu fördern, führt die eIDAS-Verordnung den Begriff des qualifizierten Vertrauensdiensteanbieters (qVDA) ein. Diese Organisationen genießen den höchsten Vertrauensstatus und unterliegen strengen Sicherheitsvorschriften sowie Haftungsregelungen. Darunter fallen die Gewährleistung von Datenschutz und Datensicherheit, damit verbunden auch der Einsatz vertrauenswürdiger IT-Systeme und -Infrastrukturen sowie die sofortige Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden. Für vorsätzlich und fahrlässig verursachte Schäden, die durch ihre Tätigkeit entstehen, haften qualifizierte VDAs. Dabei gilt die Beweislastumkehr: Grundsätzlich wird von Vorsatz und Fahrlässigkeit ausgegangen – es sei denn, die qVDAs können das Gegenteil beweisen. Die qualifizierte elektronische Signatur ist nur bei Qualifizierten Vertrauensdiensteanbietern erhältlich. Die qVDA werden alle zwei Jahre in einem unabhängigen Audit überprüft, und ihr Status ist europaweit über eine Vertrauensliste und ein Gütesiegel nachprüfbar. Die EU-Vertrauensliste ist im Internet auf der eIDAS-Webseite der Europäischen Kommission abrufbar.