Elektronische Signatur: Welche Stufe wann genügt

Die Ausgangsfrage klingt harmlos: Können wir Verträge digital unterschreiben? Die Antwort lautet in den meisten Fällen ja, und genau darin liegt das Missverständnis. Denn „digital unterschreiben“ bezeichnet drei sehr unterschiedliche Vorgänge mit drei sehr unterschiedlichen Folgen im Streitfall.

Den Rahmen setzt die europäische Verordnung über elektronische Identifizierung und Vertrauensdienste, die meist nach ihrem Kürzel eIDAS genannt wird. Sie gilt in allen Mitgliedstaaten unmittelbar und unterscheidet drei Stufen: die elektronische Signatur, die fortgeschrittene elektronische Signatur und die qualifizierte elektronische Signatur. Was diese Stufen bedeuten, entscheidet darüber, welches Werkzeug ein Unternehmen braucht.

Die drei Stufen und ihr Unterschied

Die einfache elektronische Signatur ist nach der Begriffsbestimmung der Verordnung nicht viel mehr als der Wille, zu unterzeichnen: Daten in elektronischer Form, die anderen elektronischen Daten beigefügt werden und die der Unterzeichner zum Unterzeichnen verwendet. Darunter fällt das eingescannte Unterschriftsbild, der Fingerstrich auf dem Tablet und in vielen Fällen die Bestätigung per Mausklick.

Die fortgeschrittene Signatur verlangt mehr. Die Verordnung stellt in Artikel 26 Anforderungen auf: Sie ist eindeutig dem Unterzeichner zuzuordnen, wird mit Daten erstellt, über die der Unterzeichner allein verfügt, und ist mit den unterzeichneten Daten so verbunden, dass jede nachträgliche Änderung erkannt wird. Praktisch bedeutet das eine kryptografische Signatur mit geprüfter Identität, aber ohne die formalen Zusatzanforderungen der höchsten Stufe.

Die qualifizierte Signatur ist nach der Verordnung eine fortgeschrittene Signatur, die von einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht. Beides setzt einen qualifizierten Vertrauensdiensteanbieter voraus, der beaufsichtigt wird. In Deutschland nimmt diese Aufsicht nach dem Vertrauensdienstegesetz die Bundesnetzagentur wahr; für Zertifikate zur Website-Authentifizierung ist das BSI zuständig.

Warum die Unterscheidung im Streitfall zählt

Die Verordnung stellt klar, dass einer elektronischen Signatur die Rechtswirkung nicht allein deshalb versagt werden darf, weil sie elektronisch ist oder weil sie die Anforderungen an qualifizierte Signaturen nicht erfüllt. Auch eine einfache Signatur ist also nicht wertlos. Die Frage ist nicht, ob sie gilt, sondern was sie beweist.

Und hier liegt der praktische Unterschied. Ein eingefügtes Unterschriftsbild lässt sich in Sekunden kopieren; wird die Unterzeichnung bestritten, muss das Unternehmen auf andere Weise belegen, wer wann was erklärt hat. Bei einer fortgeschrittenen oder qualifizierten Signatur trägt das Dokument diesen Nachweis selbst: Identität, Zeitpunkt und Unverändertheit sind im Prüfergebnis nachvollziehbar. Wer viele Verträge mit geringem Wert schließt, kann das erste Risiko tragen. Wer wenige Verträge mit großem Wert schließt, sollte es nicht.

Wo die höchste Stufe wirklich verlangt ist

Deutsches Recht knüpft die elektronische Form an die qualifizierte Signatur. § 126a BGB bestimmt: Soll die gesetzlich vorgeschriebene schriftliche Form durch die elektronische Form ersetzt werden, muss der Aussteller der Erklärung seinen Namen hinzufügen und das elektronische Dokument mit seiner qualifizierten elektronischen Signatur versehen. Bei einem Vertrag müssen die Parteien jeweils ein gleichlautendes Dokument in dieser Weise elektronisch signieren.

Daraus folgt eine schlichte Prüfreihenfolge. Erste Frage: Schreibt ein Gesetz für dieses Geschäft überhaupt eine Form vor? In der Mehrzahl der Fälle im Geschäftsverkehr lautet die Antwort nein – dann steht die Wahl frei und richtet sich nach dem Beweisbedürfnis. Zweite Frage: Ist gesetzliche Schriftform vorgeschrieben, kommt nur die qualifizierte Signatur in Betracht, und zwar von jeder Partei. Dritte Frage: Gibt es Unterlagen, für die das Gesetz die elektronische Form ausschließt? Diese Fälle existieren, und sie gehören vor der Einführung mit der Rechtsberatung geklärt, nicht danach.

Ebenso zu klären ist die vertraglich vereinbarte Schriftform, die in vielen älteren Verträgen und Allgemeinen Geschäftsbedingungen steht. Sie ist etwas anderes als die gesetzliche Form, und wie sie elektronisch erfüllt werden kann, hängt von der Formulierung der jeweiligen Klausel ab.

Eine Zuordnung für den Alltag

Für die Praxis hilft eine Einteilung der eigenen Dokumentenarten. Sie ist keine Rechtsauskunft, sondern ein Ordnungsvorschlag, der die Gespräche mit Fachbereich und Rechtsberatung verkürzt:

Siegel und Zeitstempel: die stillen Geschwister

Neben der Signatur kennen die Vertrauensdienste zwei Verfahren, die im Mittelstand seltener bedacht werden, aber oft besser passen. Das elektronische Siegel gehört nicht einer Person, sondern dem Unternehmen als juristischer Person. Es eignet sich für Dokumente, die das Haus in großer Zahl ausgibt und die keine persönliche Erklärung enthalten: Bescheinigungen, Prüfberichte, Rechnungsstapel, Kontoauszüge. Wo heute eine gescannte Unterschrift eines längst ausgeschiedenen Prokuristen unter Serienbriefen steht, ist das Siegel die sauberere Lösung.

Der elektronische Zeitstempel beantwortet eine andere Frage: nicht wer, sondern wann. Er belegt, dass ein Dokument zu einem bestimmten Zeitpunkt in dieser Fassung vorlag, und ist dort nützlich, wo Fristen, Priorität oder Unveränderlichkeit im Vordergrund stehen. Das Vertrauensdienstegesetz nennt für Signaturen, Siegel, Zeitstempel und Zustelldienste dieselbe Aufsicht, sodass die Anbieterauswahl für alle drei Verfahren nach denselben Kriterien erfolgen kann.

Praktisch werden Signaturen heute überwiegend als Fernsignatur erstellt: Der Schlüssel liegt beim Anbieter und die Unterzeichnung wird über einen zweiten Faktor ausgelöst, meist einen Code auf das Mobiltelefon. Das erspart Kartenleser und Chipkarten am Arbeitsplatz, verschiebt aber die Bedeutung des zweiten Faktors: Wer ihn verliert oder weitergibt, gibt seine Unterschrift weiter. Dieser Punkt gehört in die Unterweisung der Unterzeichnungsberechtigten.

Die Einführung in der Reihenfolge, die sich bewährt

Technisch ist die Einführung unspektakulär, organisatorisch nicht. Sinnvoll ist ein Vorgehen in fünf Schritten, das mit dem Bestand beginnt und nicht mit dem Anbieter.

Bei der Auswahl des Anbieters lohnen wenige, harte Fragen: Ist er als qualifizierter Vertrauensdiensteanbieter geführt? In welchem Land liegen die Daten, und welche Unterauftragnehmer sind beteiligt? Lässt sich ein signiertes Dokument auch nach Kündigung des Vertrags noch prüfen und ausleiten? Und lässt sich ein Prüfprotokoll erzeugen, das ein Dritter ohne Zugang zum Portal nachvollziehen kann? Die Prüfbarkeit nach dem Ende der Geschäftsbeziehung wird in Ausschreibungen regelmäßig übersehen und ist der Punkt, an dem eine Signaturlösung später wirklich bewertet wird.

Der letzte Hinweis betrifft die Erwartung. Die elektronische Signatur ersetzt nicht die Prüfung, ob eine Person zur Unterschrift berechtigt ist. Wer eine Vollmachtsordnung nicht geregelt hat, digitalisiert mit der Signatur lediglich ein bestehendes Versäumnis – nur schneller und in größerer Zahl als vorher. Die Frage, wer für welche Geschäfte und bis zu welcher Höhe unterzeichnen darf, ist deshalb der erste Punkt der Einführung und nicht der letzte.

Verwandte Themen: Wer hier weiterdenkt, liest bei Teams Telefonie, Arbeitsplatz-Standardisierung und Barrierefreiheitsstärkungsgesetz weiter.