Beweiskraft der elektronischen Signatur: was der Audit Trail festhält und was er beweist

Jemand sagt, er habe nie unterschrieben. Der Schnörkel auf Seite vier klärt nichts, denn ein Bild von einem Namen lässt sich in jedes PDF kopieren. Die Beweiskraft einer elektronischen Signatur hängt an etwas anderem: am Audit Trail, dem zeitlich geordneten Protokoll des Signaturdienstes. Darin steht, wer das Dokument bekommen hat, wie die Person es geöffnet und sich ausgewiesen hat, wann sie unterschrieben hat und wie die Datei in diesem Moment aussah.

Die Dienste nennen das Abschlusszertifikat, Prüfprotokoll oder Nachweisdatei, auf Deutsch heißt der Audit Trail auch Prüfpfad. Der Name ist zweitrangig, der Inhalt zählt: Er ist der Nachweis, dass eine elektronische Signatur zu dieser Person und diesem Dokument gehört.

Was ist ein Audit Trail ganz allgemein? Die Audit Trail Definition liefert das Glossar des NIST: eine chronologische Aufzeichnung, aus der sich die Abfolge der Vorgänge hinter einem Ereignis rekonstruieren lässt. Das ist die Audit Trail Bedeutung in einem Satz. Bei einem unterzeichneten Vertrag besteht der Trail überwiegend aus Metadaten: Namen, E-Mail-Adressen, Zeitstempel, IP-Adressen, Hashwerte. Nichts davon ist der Vertrag. Alles davon brauchen Sie, wenn der Vertrag streitig wird.

Im Folgenden: was der Audit Trail einer elektronischen Signatur aufzeichnet, was jedes Feld für die Beweiskraft hergibt, was deutsches und europäisches Recht verlangen und was ein kalifornisches Gericht sehen wollte und nie zu sehen bekam. Wenn Sie vorher nur etwas zur Unterschrift verschicken möchten, beginnen Sie mit dem Signaturablauf.

Die meisten Signaturdienste protokollieren dieselben Ereignisse. Sie unterscheiden sich darin, wie viel sie über die Identität festhalten und ob etwas außerhalb ihrer eigenen Datenbank den Eintrag später bestätigen kann.

Die Tabelle führt die üblichen Felder in der Reihenfolge auf, in der sie entstehen, jeweils mit der ehrlichen Grenze. Lesen Sie die letzte Spalte zweimal. Dort beginnen die Streitigkeiten um die Beweiskraft.

Hier ein kurzes Audit Trail Beispiel für einen Dienstleistungsvertrag zwischen zwei Parteien, so, wie die meisten Berichte ihn ausgeben. Namen, Adressen und Hashwerte sind erfunden.

1. 1.
   2026-10-02 09:14:05 UTC. Dokument "Dienstleistungsvertrag v3" von Priya Nair (priya@agency.example) erstellt. Hash 9b1e…c07.
2. 2.
   09:15:40. Zur Signatur an Tom Weller (tom@client.example) gesendet.
3. 3.
   11:02:19. Tom Weller hat den Link geöffnet. IP 198.51.100.23, Safari auf iOS.
4. 4.
   11:03:02. Tom Weller hat die SMS-Prüfung an eine Nummer auf 4471 bestanden.
5. 5.
   11:04:47. Tom Weller hat signiert. IP 198.51.100.23.
6. 6.
   11:20:13. Priya Nair hat signiert. IP 203.0.113.9.
7. 7.
   11:20:14. Abgeschlossen. End-Hash a41d…e52.

Lesen Sie ihn so, wie ihn die Gegenseite lesen würde. Die Zeilen 3 bis 5 binden Toms Signatur an ein Postfach und ein Telefon, von einer Netzwerkadresse aus, innerhalb von drei Minuten. Das ist eine stimmige Geschichte. Die Zeilen 1 und 7 nennen zwei Hashwerte: die Datei, die rausging, und die Datei, die signiert zurückkam. Ergibt das PDF, das Sie dem Gericht vorlegen, den Hash a41d…e52, hat es nach dem Abschluss niemand verändert.

Was fehlt? Nichts hält fest, welche Fassung Tom sah, als er den Link öffnete. Ein guter Trail protokolliert entweder jede Änderung nach dem Versand oder sperrt den Entwurf, sobald er rausgeht. Fragen Sie Ihren Anbieter, was davon gilt. "Das protokollieren wir nicht" möchten Sie nicht erst in der mündlichen Verhandlung hören.

Bei einer bestrittenen elektronischen Signatur ist in Deutschland selten die Wirksamkeit das Problem, sondern die Urheberschaft: Stammt sie von dieser Person? Hier unterscheidet die ZPO zwei Fälle. Trägt das Dokument eine qualifizierte elektronische Signatur (QES), gilt § 371a Abs. 1 ZPO. Dann spricht der Anschein der Echtheit dafür, dass die Erklärung von der Person im Zertifikat stammt, und er lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen. Bei einer einfachen oder fortgeschrittenen Signatur gibt es diesen Anschein nicht. Dort liegt die Datei dem Gericht als Gegenstand des Augenscheins vor (§ 371 Abs. 1 Satz 2 ZPO), und es würdigt sie nach freier Überzeugung (§ 286 ZPO).

An dieser Stelle trägt der Audit Trail die Beweiskraft, aber nicht allein. Er gibt einem Zeugen (jemandem aus Ihrem Unternehmen, manchmal vom Anbieter) die Fakten an die Hand, mit denen sich erklären lässt, warum die Signatur nur von dieser Person stammen konnte. Ohne Zeugen bleibt er eine Liste von Zeilen, und die Beweiskraft der elektronischen Signatur hängt allein an der freien Würdigung des Gerichts.

Die weichen Stellen: Identität und Zeit

Deshalb wiegt die Authentifizierungszeile für die Beweiskraft schwerer als jedes andere Feld. Ein E-Mail-Link beweist, dass die Person dieses Postfach öffnen konnte. Ein SMS-Code fügt ein Telefon hinzu. Eine Ausweisprüfung gegen einen Reisepass fügt ein Gesicht und ein Dokument hinzu. Jede Stufe verkleinert den Kreis derer, die hätten signieren können, und keine verkleinert ihn auf eine Person. Ein gemeinsames Postfach, eine Assistenz, die für die Chefin unterschreibt, ein Handy, das auf dem Schreibtisch liegen blieb: Der Trail zeichnet die Zugangsdaten auf, und das Gericht entscheidet, was sie über die Person sagen.

Die Zeit ist die andere weiche Stelle. Die meisten Audit Trails übernehmen ihre Zeitstempel von den Servern des Anbieters. Meist ist das unproblematisch, weil niemand Grund hat, sie anzuzweifeln, aber es bleibt das Wort des Anbieters. Ein qualifizierter Zeitstempel eines Vertrauensdiensteanbieters oder ein Hash auf einer öffentlichen Blockchain stellt eine zweite Partei hinter die Zeitangabe.

Die EU fasst denselben Gedanken anders. Nach Art. 25 Abs. 1 eIDAS darf einer elektronischen Signatur die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden, weil sie elektronisch ist oder die Anforderungen an qualifizierte Signaturen nicht erfüllt. Bei einfachen und fortgeschrittenen Signaturen streiten Sie also über die Beweiskraft, und die Beweiskraft kommt aus dem Audit Trail. Die qualifizierte Signatur hat nach Art. 25 Abs. 2 die gleiche Rechtswirkung wie eine handschriftliche Unterschrift, dort rückt der Trail in den Hintergrund.

Ehrlich gesagt kommen die meisten Streitigkeiten nie so weit. Ein stimmiger Trail beendet den Streit meist, bevor jemand klagt, denn die Gegenseite liest ihn auch.

Kein Gesetz zählt auf, welche Felder ein Audit Trail enthalten muss, auch die eIDAS-Verordnung nicht. Das Recht legt das Ergebnis fest: Die Aufzeichnung ist zuverlässig und abrufbar, die Signatur lässt sich einer Person zuordnen, und bei der fortgeschrittenen Signatur ist jede Änderung der signierten Daten erkennbar. Das sind die eigentlichen Anforderungen an einen Audit Trail, und von ihnen hängt die Beweiskraft ab.

Die deutschen Regeln stehen in der Zivilprozessordnung und im BGB, die europäischen in der konsolidierten eIDAS-Verordnung; die Vertrauensdienste regelt in Deutschland das Vertrauensdienstegesetz (VDG). Die US-Regeln sind als Vergleich dabei, weil viele Anbieter nach ihnen gebaut sind. Die Tabelle ordnet jede Regel dem Feld zu, das sie beantwortet. Zu UK-Recht und DSGVO siehe was eIDAS, ESIGN und Part 11 von einem Signaturprozess verlangen.

Ein Fall, in dem der Trail nicht hilft: ein befristeter Arbeitsvertrag. § 14 Abs. 4 TzBfG verlangt die Schriftform, und nach § 126a BGB ersetzt die elektronische Form sie nur mit QES. Wer hier einfach signieren lässt, hat einen perfekten Audit Trail und eine unwirksame Befristung.

Das europäische Gegenstück zu Part 11 ist Anhang 11 des EU-GMP-Leitfadens (EudraLex Band 4) für computergestützte Systeme. Abschnitt 9 verlangt, auf Grundlage einer Risikobewertung eine systemgenerierte Aufzeichnung aller GMP-relevanten Änderungen und Löschungen vorzusehen, bei Änderungen den Grund zu dokumentieren und den Audit Trail lesbar bereitzuhalten und regelmäßig zu prüfen. Nach Abschnitt 14 müssen elektronische Signaturen dauerhaft mit ihrem Datensatz verbunden sein und Datum und Uhrzeit enthalten. In Deutschland steht der Grundsatz in § 10 Abs. 1 AMWHV: Änderungen an Aufzeichnungen dürfen nicht verschleiern, ob sie bei oder nach der ursprünglichen Eintragung erfolgt sind.

In Fabian v. Renovate America (California Court of Appeal, November 2019) sagte eine Hauseigentümerin, sie habe einen Finanzierungsvertrag mit ihrer elektronischen Signatur nie unterschrieben. Die Firma wollte ein Schiedsverfahren auf Grundlage dieses Vertrags und musste dafür beweisen, dass sie unterschrieben hatte. Das gelang nicht. Der Vertrag war über DocuSign gelaufen, doch das Gericht stellte fest, Renovate habe keinen Beweis über das Verfahren vorgelegt, mit dem Fabians elektronische Signatur über DocuSign geprüft wurde. In den Schriftsätzen kam das Wort DocuSign nicht einmal vor.

Das Urteil zählt dann auf, was niemand beantwortet hatte, und die Liste liest sich wie das Inhaltsverzeichnis eines Audit Trails. Es stützt sich außerdem auf den älteren Fall Ruiz v. Moss Bros. Auto Group: Dort behauptete ein Geschäftsführer, eine Angestellte habe signiert, erklärte aber nie, wie die Signatur nur von jemandem stammen konnte, der ihren persönlichen Login und ihr Passwort benutzte.

Beachten Sie, was Fabian nicht ist: keine Geschichte über einen schwachen DocuSign-Audit-Trail. Der Trail wurde dem Gericht nie vorgelegt. Ein Audit Trail hilft nur, wenn Sie ihn aufbewahren, vorlegen und jemanden haben, der das Verfahren dahinter erklärt. In US-Bundesgerichten kann nach Rule 902(13) die schriftliche Bescheinigung einer sachkundigen Person diese Erklärung ersetzen.

Ein deutsches Gericht stellt dieselben Fragen, nur mit anderem Gerüst. Hat die Gegenseite die Echtheit bestritten und fehlt die QES, gibt es keinen Anschein der Echtheit nach § 371a ZPO. Dann entscheidet das Gericht nach § 286 ZPO frei, und überzeugt wird es von dem, was Sie vorlegen und erklären können. Die Beweiskraft der elektronischen Signatur ist dann so groß wie Ihr Trail und Ihr Zeuge.

Ein Audit Trail, den Mitarbeitende des Anbieters unbemerkt umschreiben könnten, bleibt ein Beweismittel, aber eines mit geringerer Beweiskraft, weil es davon abhängt, dass man dem Anbieter vertraut. Drei Verfahren machen Manipulationen am Trail sichtbar und nehmen dieses Vertrauen aus der Gleichung:

• Das Dokument hashen. Ein Hash ist ein kurzer Fingerabdruck einer Datei; ändert sich ein Zeichen, ändert er sich auch. Stimmt der Hash im Trail mit der Datei überein, die Sie haben, ist es die Datei, die signiert wurde. Die Anmerkung des Ausschusses zu Federal Rule of Evidence 902(14) nennt Hashwerte als übliches Mittel, um zu zeigen, dass eine Kopie dem Original entspricht.
• Das Protokoll verketten: Jeder Eintrag trägt den Hash des vorigen, wer eine alte Zeile ändert, bricht damit jede folgende.
• Einen Hash dort ablegen, wo der Anbieter nicht drankommt, etwa auf einer öffentlichen Blockchain, sodass selbst er nichts rückdatieren kann.

Chaindoc nutzt die letzten beiden in einem bestimmten, begrenzten Umfang. Die App führt zu jeder Signatur ein hashverkettetes Ereignisprotokoll. Zwei Momente landen auf der Chain, im SKALE-Netzwerk: Wenn Sie ein Dokument zur Signatur veröffentlichen, wird sein Versions-Hash aufgezeichnet, und wenn die Signatur abgeschlossen ist, der Nachweis jeder unterzeichnenden Person. Identitäten, IP-Adressen und einzelne Ansichten bleiben im Protokoll der App, nicht auf der Chain. Mehr dazu: warum Chaindoc auf SKALE aufzeichnet.

Für das signierte PDF selbst meldet der Dienst zur PDF-Signaturprüfung, ob die Integrität der Datei hält und welches Zertifikat signiert hat. Vor der ersten Prüfung fragt er nach Ihrer E-Mail-Adresse und einem Einmalcode.

Jeder gängige Dienst erzeugt einen Audit Trail zur elektronischen Signatur; unterschiedlich ist, was er aufzeichnet, wie leicht Sie ihn herausbekommen und wie viel Beweiskraft er der Signatur verschafft.

Adobe nennt in seinem eigenen Erklärtext vier Dinge, die ein Audit Trail enthalten sollte: Datum und Uhrzeit der Signatur, die Bestätigung, dass die unterzeichnende Person verifiziert wurde, ein Protokoll der Änderungen während oder nach der Signatur und die IP-Adresse jeder Person. Das ist ein faires Minimum, an dem Sie den Audit Trail von Adobe Sign oder jedem anderen messen können. Beim DocuSign-Abschlusszertifikat erinnert Fabian daran, dass es nur wirkt, wenn jemand es vorlegt und das Verfahren erklärt.

So sieht es bei Chaindoc aus: Wenn die letzte Partei signiert hat, können Sie einen Audit-Trail-PDF herunterladen, der jede unterzeichnende Person, ihre Zeitstempel und IP-Adressen, den Dokument-Hash und die Blockchain-Transaktions-ID aufführt. Haben Sie die optionale Ausweisprüfung eingeschaltet (eine Funktion der kostenpflichtigen Tarife), landet auch ihr Ergebnis im Trail. Die qualifizierten Signaturen von Chaindoc sind PAdES-BES und tragen keinen qualifizierten Zeitstempel; die Zeitnachweise sind dort der Trail und der Block mit dem Abschlusseintrag. Chaindoc ist außerdem kein Vertrauensdiensteanbieter: Das qualifizierte Zertifikat kommt von einem Anbieter, der seine eigenen Aufzeichnungen führt. Mehr dazu: wie qualifizierte Signaturen funktionieren.

Fünf Fragen an jeden Anbieter

Sie suchen eine elektronische Signatur mit Audit Trail, der die Anforderungen der Beweisführung erfüllt? Fragen Sie:

1. 1.
   Welche Ereignisse zeichnen Sie auf, und protokollieren Sie Änderungen, die nach dem Versand an einem Dokument vorgenommen werden?
2. 2.
   Welche Authentifizierungsoptionen kann ich für ein einzelnes Dokument vorschreiben?
3. 3.
   Woher stammen Ihre Zeitstempel?
4. 4.
   Kann ich den Trail zusammen mit der signierten Datei exportieren und ohne Konto aufbewahren?
5. 5.
   Kann ein Dritter die Aufzeichnung ohne Ihre Hilfe prüfen?

Bewahren Sie den Audit Trail so lange auf wie den Vertrag und legen Sie beide zusammen ab. Ohne ihn fehlt der Signatur die Beweiskraft, wenn es darauf ankommt. Für Handelsbriefe nennt § 257 HGB sechs Jahre, für Buchungsbelege acht, für Bücher zehn; § 147 AO sieht dieselben Fristen vor. Die Regelverjährung nach § 195 BGB beträgt drei Jahre, und ein Streit kann später ausbrechen. Mit der Frist für den Vertrag selbst befasst sich unser Leitfaden zu Aufbewahrungsfristen für Dokumente. "Revisionssicher" archivieren nach den GoBD ist ein eigenes Thema. Exportieren Sie beides beim Abschluss. Verlassen Sie sich nicht auf einen Login, den Sie verlieren könnten.

Nehmen Sie einen Vertrag, der vor sechs Monaten signiert wurde, und rekonstruieren Sie seine Geschichte allein aus der Aufzeichnung. So finden Sie am schnellsten heraus, ob die Beweiskraft Ihrer elektronischen Signatur einer Prüfung standhielte.

1. 1.
   Finden. Können Sie den Trail heute herunterladen, ohne den Support zu fragen?
2. 2.
   Hash abgleichen. Stimmt der Hash im Trail mit der Datei in Ihren Unterlagen überein? Steht gar kein Hash darin, ist auch das ein Befund.
3. 3.
   Authentifizierungszeilen lesen. Nur ein E-Mail-Link oder etwas Stärkeres?
4. 4.
   Lücken suchen. Gibt es vor jeder Signatur ein Ansichtsereignis, und sind Änderungen nach dem Versand protokolliert?
5. 5.
   Uhr prüfen. Laufen die Zeiten der Reihe nach und in einer genannten Zeitzone?

Lautet eine Antwort nein, beheben Sie es für den nächsten Vertrag: Ändern Sie die Standard-Authentifizierung, exportieren Sie den Trail beim Abschluss und legen Sie ihn zum signierten PDF. Bei Chaindoc zeigt wie das Signieren in Chaindoc funktioniert, wo der Trail liegt.