Was ist eine digitale Signatur und was unterscheidet sie von der elektronischen?

Was ist eine digitale Signatur, und worin unterscheidet sie sich von der elektronischen? Die elektronische Signatur ist ein Rechtsbegriff, die digitale Signatur ein technisches Verfahren. Elektronische Signatur heißt: irgendetwas Elektronisches, das jemand einem Dokument beifügt, um es zu unterzeichnen, etwa ein getippter Name, ein gezeichneter Schriftzug oder ein Häkchen bei "Ich stimme zu". Eine digitale Signatur ist ein Verfahren der Public-Key-Infrastruktur (PKI), das die Unterschrift an ein Zertifikat und an die exakten Bytes genau einer Datei bindet. Jede digitale Signatur ist deshalb eine elektronische Signatur, aber die wenigsten elektronischen Signaturen sind digitale.

Im deutschen Alltag verschwimmt das. Wer "digitale Signatur" oder "digitale Unterschrift" sagt, meint oft schlicht jedes Unterschreiben ohne Papier. Das Gesetz kennt diese Wörter nicht: eIDAS, das Vertrauensdienstegesetz, § 126a BGB und § 371a ZPO sprechen allein von der elektronischen Signatur und ihren Stufen. Der Rest dieses Ratgebers zeigt, wann der Unterschied zählt, welches Dokument welche Signatur braucht und woran Sie erkennen, was eine PDF-Datei trägt.

Müssen Sie nur ein Dokument zur Signatur verschicken? Dann können Sie aufatmen. Für die meisten Alltagsverträge genügt eine elektronische Signatur mit sauberem Prüfpfad.

Die europäische Definition steht in Art. 3 Nr. 10 eIDAS: Eine elektronische Signatur sind "Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet". Der amerikanische ESIGN Act sagt in § 7006(5) dasselbe mit anderen Worten. In beiden Texten suchen Sie das Wort "digitale Signatur" vergeblich. Anbieter nennen diese Grundstufe gern "einfache elektronische Signatur"; das ist Branchenjargon, die Verordnung kennt nur die "elektronische Signatur".

Von Schlüsseln oder Zertifikaten ist nirgends die Rede. Entscheidend ist die Absicht zu unterzeichnen, deshalb zählt alles Folgende:

• ein Name unter einer E-Mail
• eine mit dem Finger auf dem Handy gezeichnete Unterschrift
• das Häkchen bei "Ich stimme zu", bevor Sie auf "Akzeptieren" klicken
• ein eingescanntes Bild Ihrer handschriftlichen Unterschrift in einem PDF. Rechtlich zulässig, als Beweis schwach.

Beim letzten Punkt wird der Unterschied zwischen elektronischer und digitaler Signatur praktisch spürbar. Ein bloßer getippter Name beweist wenig, wenn der Absender später bestreitet, ihn geschrieben zu haben. Ein Dienst, der protokolliert, wie sich jede Person ausgewiesen hat, wann sie die Datei geöffnet hat und von welcher IP-Adresse aus, gibt Ihnen weit mehr in die Hand. Dieses Protokoll ist der Prüfpfad hinter einer elektronischen Signatur, und im Streitfall ist er oft das, was ein Gericht liest.

Eine digitale Signatur ist das trotzdem nicht. Der Nachweis steckt in den Aufzeichnungen des Dienstes, nicht in der Datei.

Eine digitale Signatur auf PKI-Basis verknüpft drei Dinge: ein Schlüsselpaar, eine Person und die exakten Bytes einer Datei. So wird eine digitale Signatur erstellt, ohne die Mathematik:

1. 1.
   Sie besitzen ein Schlüsselpaar. Der private Schlüssel bleibt bei Ihnen, auf einem Token, einer Chipkarte oder in der gesicherten Hardware eines Anbieters; der öffentliche Schlüssel kommt in ein Zertifikat.
2. 2.
   Die Software berechnet aus dem Dokument einen Hashwert, einen kurzen Fingerabdruck genau dieser Datei. Ändert sich ein Komma, ändert sich der Fingerabdruck vollständig.
3. 3.
   Ihr privater Schlüssel signiert den Hashwert. Signatur und Zertifikat werden in die Datei eingebettet (im PDF in ein PAdES-Signaturfeld).
4. 4.
   Ein Prüfprogramm berechnet den Hashwert neu, prüft die Signatur mit Ihrem öffentlichen Schlüssel und folgt Ihrem Zertifikat über die Kette bis zu einem Wurzelzertifikat, dem es vertraut.

Besteht die Datei die Prüfung, steht zweierlei fest: Dieser Schlüssel hat signiert, und die Datei hat sich seither nicht verändert. Beides hängt nicht davon ab, dass der Signaturdienst noch existiert. Anbieter nennen das Nichtabstreitbarkeit, was etwas zu viel verspricht. Ein Unterzeichner kann immer noch behaupten, sein Schlüssel sei gestohlen worden, und ein Gericht wägt weiterhin die Beweise ab.

Der US-Standard dazu ist FIPS 186-5, der Digital Signature Standard des NIST, veröffentlicht am 3. Februar 2023. Nach NIST dienen digitale Signaturen dazu, unbefugte Änderungen an Daten zu erkennen und die Identität des Unterzeichners zu authentifizieren. Kürzer lässt sich die Definition kaum fassen.

Was ein Zertifikat für die digitale Signatur ist

Das Zertifikat ist der Ausweis, die Signatur der Akt des Unterschreibens mit diesem Ausweis. Ein Zertifikat für die digitale Signatur bindet Ihren Namen an Ihren öffentlichen Schlüssel und ist selbst von der ausstellenden Stelle signiert. Auf diese Stelle kommt alles an. Ein Zertifikat, das Sie in Acrobat selbst erzeugen, liefert eine mathematisch gültige Signatur, die die meisten Prüfprogramme trotzdem beanstanden, weil niemand für den Namen darin bürgt.

Wer es ausstellt: der Vertrauensdiensteanbieter

Eine Zertifizierungsstelle prüft Ihre Identität und stellt das Zertifikat aus. Bei qualifizierten Signaturen in der EU muss das ein qualifizierter Vertrauensdiensteanbieter sein, und jeden finden Sie in der EU-Vertrauensliste. Wie das funktioniert, erklärt unser Beitrag zu qualifizierten Vertrauensdiensteanbietern in der EU-Vertrauensliste. Der Personalausweis mit Online-Ausweisfunktion kann bei manchen Anbietern als Identitätsnachweis dienen, ist als eID aber selbst keine Signatur.

Ehrlich gesagt kostet dieser Teil Zeit: Identitätsprüfung, ein Token oder eine App, eine Verlängerung, wenn das Zertifikat abläuft. Deshalb signieren nur wenige eine Routine-NDA auf diesem Weg.

USA: ein Begriff, keine Stufen

Der ESIGN Act bestimmt in § 7001(a), dass einer Signatur, einem Vertrag oder einer Aufzeichnung Rechtswirkung, Gültigkeit und Durchsetzbarkeit nicht allein deshalb abgesprochen werden dürfen, weil sie elektronisch sind. Eine zertifikatsbasierte PDF-Signatur und ein getippter Name in einer E-Mail sind nach Bundesrecht beide elektronische Signaturen. Eine Rangordnung gibt es dort nicht; wird die Echtheit bestritten, wägt das Gericht die Beweise ab, und da hilft ein Zertifikat mehr als ein dünner Prüfpfad.

Europäische Union: drei Stufen

Die Verordnung (EU) Nr. 910/2014 kennt drei Stufen:

• Die elektronische Signatur, Art. 3 Nr. 10: die Grundstufe von oben.
• Die fortgeschrittene elektronische Signatur, Art. 3 Nr. 11, die die vier Anforderungen des Art. 26 erfüllen muss. Sie ist eindeutig dem Unterzeichner zugeordnet, ermöglicht seine Identifizierung, wird mit Daten erstellt, die er unter seiner alleinigen Kontrolle halten kann, und ist so mit den unterzeichneten Daten verbunden, dass jede spätere Änderung erkennbar wird.
• Die qualifizierte elektronische Signatur, Art. 3 Nr. 12: eine fortgeschrittene Signatur, erstellt mit einer qualifizierten Signaturerstellungseinheit und beruhend auf einem qualifizierten Zertifikat.

Nach Art. 25 Abs. 1 darf keiner elektronischen Signatur allein deshalb die Rechtswirkung oder die Zulässigkeit als Beweismittel abgesprochen werden, weil sie elektronisch ist oder die Anforderungen an eine qualifizierte nicht erfüllt. Art. 25 Abs. 2 gibt nur der qualifizierten Stufe die gleiche Rechtswirkung wie einer handschriftlichen Unterschrift. Die höchste Stufe erklärt unser Ratgeber zur qualifizierten elektronischen Signatur im Detail.

Jetzt zum Fehlenden: Der Text von 2014 verwendet den Ausdruck "digitale Signatur" nirgends. In der Praxis meint er das PKI-Verfahren, auf dem fortgeschrittene und qualifizierte Signaturen meist beruhen. Die Verordnung (EU) 2024/1183, bekannt als eIDAS 2.0, hat die drei Definitionen sowie Art. 25 Abs. 1 und 2 beibehalten und die grenzüberschreitende Anerkennung in den neuen Art. 24a verlegt.

Deutschland: VDG, BGB und ZPO

Das Vertrauensdienstegesetz (VDG) führt eIDAS in Deutschland durch und hat 2017 das Signaturgesetz abgelöst. Früher stand das Wort sogar im Titel: Als der Bundestag 1997 über das Signaturgesetz beriet, hieß es "Gesetz zur digitalen Signatur" und beschrieb ein Siegel, das mit einem privaten Schlüssel zu digitalen Daten erzeugt wird (BT-Drucksache 13/7934). Im Sprachgebrauch hat sich das Wort gehalten, im geltenden Recht nicht. § 126a BGB und § 371a ZPO kennen nur die elektronische und die qualifizierte elektronische Signatur. Der Anschein der Echtheit nach § 371a ZPO lässt sich bei einer geprüften qualifizierten Signatur nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen, dass die Erklärung vom Signaturinhaber stammt.

Wer zwischen digitaler und elektronischer Signatur wählt, richtet sich nach dem Dokument und dem Recht, das dafür gilt, nicht nach Gewohnheit. Die Tabelle deckt die Fälle ab, nach denen am häufigsten gefragt wird. Eine stärkere Signatur schadet rechtlich selten, kostet aber Zeit und manchmal die Geduld der Gegenseite.

Indien ist der eine Ort, an dem der Unterschied zwischen digitaler und elektronischer Signatur im Gesetz als zwei Instrumente steht. Dieser Abschnitt gilt für Indien, nicht für Deutschland.

Der Information Technology Act, 2000 definiert die digitale Signatur in section 2(1)(p) über section 3: ein asymmetrisches Kryptosystem und eine Hashfunktion. In der Praxis ist das ein Digital Signature Certificate (DSC) einer Zertifizierungsstelle, die der Controller of Certifying Authorities (CCA) lizenziert hat, meist auf einem Hardware-Token. Die Änderung von 2008 fügte section 2(1)(ta) hinzu: Eine elektronische Signatur nutzt ein Verfahren aus der Second Schedule und schließt die digitale Signatur ausdrücklich ein.

Aadhaar eSign läuft über die zweite Route. Die CCA beschreibt eSign als Online-Signaturdienst, der über eine API aufgerufen wird: Der Unterzeichner besteht eine e-KYC-Prüfung per Biometrie oder OTP, es wird ein kurzlebiges Zertifikat ausgestellt, und der Schlüssel wird gleich nach einmaliger Nutzung vernichtet. Section 5 erkennt beide Wege an, sofern ein Portal nicht auf einem DSC besteht.

Eine Besonderheit für Prüfer außerhalb Indiens: Beide Wege führen zur Wurzel der CCA. Ein Prüfprogramm, das auf der EU-Vertrauensliste aufsetzt, liest die Kryptografie dann als intakt und die Kette als nicht aufgelöst. Das ist eine Lücke bei den Vertrauensankern, keine gefälschte Datei.

Beide Anbieter ziehen die Linie zwischen digitaler und elektronischer Signatur so wie dieser Ratgeber, was die Sache einfacher macht. Die deutsche Produktseite von DocuSign zur digitalen Signatur, gelesen am 14. Oktober 2026, beschreibt die digitale Signatur als Sonderform der elektronischen Unterschrift und hält fest, dass jede digitale Signatur ein digitales Zertifikat enthält, das ein Vertrauensdienstleister ausgestellt hat. Das deckt sich mit der Aufteilung hier: Die elektronische Signatur ist die Kategorie, das Zertifikat der Unterschied.

Adobe zieht dieselbe Linie in Acrobat. Die Hilfeseiten (auf Englisch) führen E-Signaturen wie Ausfüllen und Unterschreiben oder Signaturen anfordern getrennt von digitalen Signaturen, die Adobe als Unterschreiben mit einer zertifikatsbasierten digitalen ID beschreibt. Wer nach "Adobe digitale Signatur" sucht, landet beim zweiten Fall. Acrobat lässt Sie außerdem eine eigene digitale ID erzeugen. Das bleibt eine digitale Signatur, nur eine, der kein Prüfprogramm vertraut, bis jemand es ihm sagt.

Ganz offen, wo wir auf der Landkarte von digitaler und elektronischer Signatur stehen: Chaindoc ist keine Zertifizierungsstelle und kein Anbieter digitaler Signaturzertifikate, sondern ein Signaturdienst mit zwei Wegen.

Der Alltagsweg erzeugt fortgeschrittene elektronische Signaturen im Format PAdES-BES im Sinne von Art. 26 eIDAS: eine PKI-Signatur, die in das PDF eingebettet ist, sodass die Datei selbst zeigt, ob sie sich nach dem Signieren geändert hat. BES ist das einfache PAdES-Profil, und unseres trägt keinen vertrauenswürdigen Zeitstempel. Eine Langzeitvalidierung ist nicht eingebaut. Muss eine Datei Jahre nach Ablauf ihrer Zertifikate noch prüfbar sein, planen Sie das gesondert.

Der qualifizierte Weg ist für Dokumente, die eine QES brauchen. Chaindoc führt durch die Signatursitzung, und der Unterzeichner bringt das qualifizierte Zertifikat mit: über eine nationale eID wie Smart-ID, itsme oder ID Austria oder über jeden Anbieter, der die Schnittstelle des Cloud Signature Consortium unterstützt. Wer noch kein Zertifikat hat, kann eine einmalige QES nutzen. Das Zertifikat stammt immer vom qualifizierten Vertrauensdiensteanbieter, nie von uns.

Um beide Wege liegt der Nachweis. Der Server bildet beim Hochladen einen Hashwert jeder Datei. Veröffentlichen Sie ein Dokument, geht dessen Versions-Hashwert auf die Blockchain, und der Nachweis jedes Unterzeichners wird festgehalten, sobald die Signatur abgeschlossen ist. Namen und E-Mail-Adressen bleiben im Prüfpfad und nicht auf der Blockchain; Dateien werden per TLS übertragen. Eine optionale KYC-Prüfung fügt eine verifizierte Identität hinzu, wenn ein Geschäft sie verlangt.

Den Unterschied zwischen digitaler und elektronischer Signatur sehen Sie schnell, wenn Sie wissen, wohin Sie schauen müssen: auf ein Signaturfeld, nicht auf ein Bild. In Acrobat oder Reader erscheint eine digitale Signatur im Bereich "Signaturen" mit dem Zertifikat des Unterzeichners, einem Gültigkeitsstatus und dem Hinweis, ob sich das Dokument seither geändert hat. Eine gezeichnete oder eingefügte Unterschrift ohne Eintrag dort? Dann ist es eine elektronische Signatur, und ihr Nachweis liegt im Prüfpfad des Signaturdienstes.

Für eine zweite Meinung meldet unser PDF-Signaturprüfer Integrität, Zertifikatskette, Sperrstatus, eingebettete Zeitstempel und PAdES-Profil, jeweils als eigenes Ergebnis. Er nimmt Dateien bis 50 MB, verlangt vor der ersten Prüfung Ihre E-Mail-Adresse und einen Einmalcode und bewahrt die Datei danach nicht auf. Als Vertrauensanker dient in erster Linie die EU-Vertrauensliste.

Signaturen, die das qualifizierte Niveau beanspruchen, sind ein eigener Fall. Die Prüfung qualifizierter Signaturen gleicht sie mit den eIDAS-Regeln ab.

Und wenn Acrobat meldet, die Gültigkeit der Signatur sei unbekannt? Keine Panik, und speichern Sie die Datei nicht neu. Meist vertraut der Reader der ausstellenden Stelle nicht. Unsere Anleitung erklärt, was die Warnung "Signatur nicht verifiziert" bedeutet und welche Schritte helfen.

Die meiste Verwirrung entsteht aus ein paar Gewohnheiten. Diese fünf sehen wir am häufigsten:

• Eine eingescannte Unterschrift für digital halten. Sie ist ein Bild. Eine Prüfung findet nichts, und jeder kann sie in eine andere Datei kopieren.
• "Digital" im Produktnamen als PKI lesen. Viele Werkzeuge nennen schon die auf dem Bildschirm gezeichnete Unterschrift "digital". Fragen Sie, ob ein Zertifikat im Spiel ist, und wessen.
• Annehmen, jede digitale Signatur sei automatisch qualifiziert. Qualifiziert verlangt ein qualifiziertes Zertifikat und eine qualifizierte Erstellungseinheit; die meisten PKI-Signaturen haben beides nicht.
• Für alles die stärkste Stufe kaufen. Wer für eine Routine-NDA erst ein Zertifikat besorgen soll, unterschreibt vielleicht gar nicht. Brauchte der Vertrag das wirklich?
• Die Formvorschrift vergessen. Für manche Dokumente funktioniert in manchen Ländern gar keine elektronische Signatur; § 623 BGB ist das deutsche Standardbeispiel.

Gegen alle fünf hilft die Frage vom Anfang dieses Ratgebers. Was ist eine digitale Signatur also wert? Das hängt davon ab, was das Dokument beweisen muss und gegenüber wem. Wer das beantwortet hat, hat die Wahl meist schon getroffen.