E-Siegel: was ein elektronisches Siegel beweist, die drei Stufen und wie Sie es prüfen

Ein E-Siegel ist die kryptografische Marke eines Unternehmens auf einer Datei. Es zeigt, welche Organisation das Dokument ausgestellt hat und dass seither niemand etwas verändert hat. Die eIDAS-Verordnung (EU) Nr. 910/2014 definiert das elektronische Siegel in Artikel 3 Nummer 25 als "Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verbunden werden, um deren Ursprung und Unversehrtheit sicherzustellen". Eine Nummer davor legt Nummer 24 fest, wer es erstellt: Der Siegelersteller ist "eine juristische Person". Ein Unternehmen, ein Verein, eine Behörde. Nie ein Mensch.

Dieses eine Wort bestimmt alles Weitere in diesem Leitfaden.

Anbieter kürzen den Begriff gern zu eSeal ab, manche sagen auch "digitales Siegel". Gemeint ist dasselbe, und ein Bild auf dem PDF ist es nicht. Wer an den Firmenstempel denkt, liegt halb richtig: Die Bundesnetzagentur beschreibt das qualifizierte Siegel selbst als digitales Gegenstück zu Unternehmensstempel und Behördensiegel. Technisch läuft es wie eine digitale Signatur: ein privater Schlüssel, ein Zertifikat, das den Schlüssel an eine Identität bindet, und ein Hashwert des Dokuments, der sich bei jedem geänderten Byte ändert. Der Unterschied liegt darin, wessen Identität im Zertifikat steht und was der Vorgang behauptet.

Eine Signatur sagt: Eine Person hat zugestimmt. Ein Siegel sagt: Eine Organisation hat ausgestellt. Viele regulierte Dokumente tragen beides. Eine Prokuristin unterschreibt den Bericht, danach siegelt das Unternehmen die fertige Datei, bevor sie rausgeht.

Die meisten E-Signatur-Tools erwähnen Siegel nie, deshalb lohnt sich die saubere Trennung.

Eine Signatur trägt Willen. Jemand hat das Dokument gelesen und sich gebunden, und genau diese Zustimmung interessiert das Recht. Ein Siegel trägt Herkunft: Diese Datei hat unser Haus in genau diesem Zustand verlassen. Dass jemand irgendwem zugestimmt hätte, sagt es nicht.

Die Zertifikate zeigen den Unterschied. Ein Signaturzertifikat nennt eine Person. Ein Siegelzertifikat enthält nach Anhang III der eIDAS-Verordnung mindestens den Namen des Siegelerstellers und, wo es sie gibt, die Registernummer aus der amtlichen Eintragung. Im Feld für den Inhaber steht kein Mensch, und das ist Absicht.

Bei großen Mengen zahlt sich ein Siegel aus. Kein Mitarbeiter kann ehrlich 40.000 Gehaltsabrechnungen unterschreiben; so zu tun, erfindet eine Zustimmung, die es nie gab. Ein Siegel stellt die ehrliche Behauptung auf: Das Unternehmen hat diese Dokumente ausgestellt und steht dafür ein.

Auch Personalwechsel übersteht es. Verlässt die Inhaberin eines Signaturzertifikats die Firma, braucht jedes künftige Dokument eine neue Unterschrift, während das Siegel des Unternehmens weiterläuft. Welche Signaturstufe ein Vertrag verlangt, ist eine andere Frage, die unser Leitfaden zur QES und den Signaturstufen beantwortet.

Siegel gibt es in denselben drei Stufen wie Signaturen, und die Begriffe bedeuten dasselbe.

Elektronisches Siegel. Alles, was die Definition in Artikel 3 Nummer 25 erfüllt. Artikel 35 Absatz 1 schützt es trotzdem: Ein Gericht darf ihm Rechtswirkung und Zulässigkeit als Beweismittel nicht allein deshalb absprechen, weil es elektronisch ist oder die Anforderungen an ein qualifiziertes Siegel nicht erfüllt.

Fortgeschrittenes elektronisches Siegel. Artikel 36 fügt vier Bedingungen hinzu. Das Siegel ist eindeutig dem Siegelersteller zugeordnet, es ermöglicht dessen Identifizierung, es entsteht mit Siegelerstellungsdaten, die der Siegelersteller "mit einem hohen Maß an Vertrauen unter seiner Kontrolle" verwenden kann, und es ist so mit den Daten verbunden, dass jede nachträgliche Änderung erkennbar wird.

Qualifiziertes elektronisches Siegel. Ein fortgeschrittenes Siegel, das mit einer qualifizierten Siegelerstellungseinheit erstellt wird und auf einem qualifizierten Zertifikat für elektronische Siegel beruht (Artikel 3 Nummer 27). Das Zertifikat stellt ein qualifizierter Vertrauensdiensteanbieter (QTSP) nach den Anforderungen des Anhangs III aus. Die Einheit erfüllt die Anforderungen des Anhangs II, die Artikel 39 sinngemäß auf Siegel überträgt, und seit der Änderung von 2024 darf ein QTSP sie im Auftrag des Unternehmens auch aus der Ferne betreiben (Artikel 39a).

Was bringt die qualifizierte Stufe? Artikel 35 Absatz 2: Für ein qualifiziertes elektronisches Siegel gilt "die Vermutung der Unversehrtheit der Daten und der Richtigkeit der Herkunftsangabe". Die Beweislast verschiebt sich. Behauptet ein Kunde, Ihre gesiegelte Abrechnung sei verändert worden, muss er das belegen; bei einem fortgeschrittenen Siegel müssten Sie beweisen, dass sie es nicht wurde.

Die grenzüberschreitende Anerkennung stand früher in Artikel 35 Absatz 3. Die Verordnung (EU) 2024/1183 hat den Absatz gestrichen und die Regel in den neuen Artikel 24a verschoben: Ein qualifiziertes Siegel aus einem Mitgliedstaat gilt in allen anderen als qualifiziert. Was die Änderung von 2024 sonst noch bringt, ist eine längere Geschichte.

Behörden nutzen außerdem eine Zwischenstufe, das fortgeschrittene Siegel auf Grundlage eines qualifizierten Zertifikats. Artikel 37 nennt sie, Artikel 40a gibt ihr eine eigene Validierungsregel.

Die meisten Unternehmen brauchen keins. Das gehört vorweg gesagt, bevor die Liste Sie zu etwas überredet: Sind Ihre Dokumente Verträge, die zur Zustimmung einer Person hinausgehen, reichen Signaturen, und ein Siegel kostet nur zusätzlich.

Siegel passen in vier Lagen:

• Dokumente, die niemand unterschreibt. Zeugnisse, Kontoauszüge, Gehaltsabrechnungen, Registerauszüge. Die Organisation stellt sie aus ihren Datenbeständen aus; keine benannte Person stimmt irgendetwas zu.
• Systemausgaben in großer Zahl. Tausende Dateien im Monat, von Software erzeugt, oft nachts. Ein Siegel passt zu dieser Form, ein persönliches Zertifikat nicht.
• Behörden und automatisierte Entscheidungen. Hier ist das deutsche Recht am deutlichsten: Nach § 371a Absatz 3 ZPO gelten für ein elektronisches Dokument, das eine Behörde innerhalb ihrer Amtsbefugnisse in der vorgeschriebenen Form erstellt hat, die Regeln über die Beweiskraft öffentlicher Urkunden entsprechend, und trägt es eine qualifizierte Signatur oder ein qualifiziertes Siegel der Behörde, gilt zusätzlich § 437 ZPO, also die Vermutung der Echtheit. Für private Dokumente nennt Absatz 1 dagegen nur die qualifizierte Signatur, kein Siegel.
• Unterlagen, die jahrelang beweisbar bleiben müssen. Menschen wechseln den Job, die Identität des Unternehmens überdauert sie.

Rechnungen sind eine Grauzone. § 14 Absatz 3 UStG verlangt, dass Echtheit der Herkunft, Unversehrtheit des Inhalts und Lesbarkeit gewährleistet sind, und überlässt das Wie dem Unternehmer: Jedes innerbetriebliche Kontrollverfahren, das einen verlässlichen Prüfpfad zwischen Rechnung und Leistung schafft, genügt. Als anerkannte Verfahren für elektronische Rechnungen nennt das Gesetz die qualifizierte elektronische Signatur und den elektronischen Datenaustausch (EDI), ein Siegel nennt es nicht. Auf EU-Ebene sagt Artikel 233 der Mehrwertsteuerrichtlinie dasselbe und nennt als technische Beispiele die fortgeschrittene elektronische Signatur und EDI, kein Siegel. Eine Siegelpflicht für Rechnungen gibt es deshalb nicht. Ein Siegel verkürzt nur die Diskussion bei einer Prüfung, weil es eine Eigenschaft der Datei ist und kein Verfahren, das Sie erst beschreiben müssen. Wie gesiegelte und signierte E-Rechnungen validiert werden, erklärt die Formate.

Es gibt auch einen Ausweg. Wo eine Vorschrift ein qualifiziertes Siegel verlangt, akzeptiert laut den FAQ der EU-Kommission zur elektronischen Signatur auch eine qualifizierte Signatur des bevollmächtigten Vertreters des Unternehmens.

Normale B2B-Verträge stehen nicht auf dieser Liste. Sie wollen Signaturen.

Die eIDAS-Verordnung gilt in jedem EU-Mitgliedstaat unmittelbar, ihre Siegelregeln brauchen also kein deutsches Gesetz. Das nationale Recht regelt meist nur, wer die Anbieter beaufsichtigt und wie Gerichte das Ergebnis würdigen. Außerhalb der EU sieht es anders aus: Das Vereinigte Königreich hat die Siegelartikel in seiner übernommenen Fassung der eIDAS behalten, die USA haben nie ein Siegel geschaffen. Die Tabelle fasst die Texte zusammen, die dieser Leitfaden zitiert. Sie ist keine Rechtsberatung für ein konkretes Geschäft.

Gesiegelt wird mit einem Vertrauensdienst, den Sie einkaufen, nicht mit Software, die Sie installieren. Der übliche Ablauf:

1. 1.
   Einen für Siegel qualifizierten Anbieter wählen. Für ein qualifiziertes elektronisches Siegel muss der Anbieter in der EU-Vertrauensliste mit einem Dienst für qualifizierte Zertifikate für elektronische Siegel stehen. Ein Eintrag für Signaturen genügt nicht, prüfen Sie also die Dienstart. Die Bundesnetzagentur führt auf ihrer Seite zum qualifizierten Siegel die deutschen Anbieter auf, darunter D-Trust, die Deutsche Telekom und die Bundesnotarkammer. Wie Sie einen Eintrag der Vertrauensliste lesen, zeigt unser Beitrag zur Vertrauensliste und zum QTSP.
2. 2.
   Nachweisen, dass das Unternehmen existiert und Sie für es handeln dürfen. Hier unterscheiden sich Siegel wirklich von persönlichen Zertifikaten. Nach Artikel 24 Absatz 1 und 1a eIDAS prüft der Anbieter die Identität und gegebenenfalls Attribute der juristischen Person, etwa über einen bevollmächtigten Vertreter vor Ort oder eine andere von einer Konformitätsbewertungsstelle bestätigte Methode. Wie weit das gehen kann, zeigt Spaniens Ley 6/2020 in Artikel 7 Absatz 4: Der Anbieter prüft Gründung, Rechtspersönlichkeit und Vertretungsmacht anhand öffentlicher Urkunden oder des Handelsregisters, und Artikel 9 Absatz 3 Buchstabe a verpflichtet ihn festzuhalten, wer das Zertifikat erhalten hat. Planen Sie mehr Kalenderzeit ein.
3. 3.
   Entscheiden, wo der private Schlüssel liegt. Entweder in einem zertifizierten Gerät, das Sie selbst betreiben, meist ein Hardware-Sicherheitsmodul, oder in einer Fernsiegel-Einheit, die der Anbieter für Sie nach Artikel 39a betreibt. Für automatisierte Abläufe passt oft die Fernvariante, weil das Siegeln nachts in einem Job läuft und nicht an einem Schreibtisch.
4. 4.
   Das Siegeln in das System einbauen, das die Dokumente erzeugt. Ihre Buchhaltung oder Ihr Archivsystem stößt es pro Datei an. Wie das technisch geht, klären Sie mit dem Anbieter.

Hinter jedem qualifizierten Siegelzertifikat stehen ETSI-Normen, die die Durchführungsverordnung (EU) 2025/1943 benennt: EN 319 411-2 für die Richtlinie des Anbieters, die Familie EN 319 412 für das Zertifikatsprofil. Lesen werden Sie sie ehrlich gesagt nicht, aber die Zertifikatsrichtlinie Ihres Anbieters sollte sie nennen.

Beim Preis kann Ihnen niemand die Antwort abnehmen. QTSPs setzen ihre Preise selbst, eine EU-weite Liste gibt es nicht. Holen Sie zwei oder drei Angebote ein.

Für Siegel gibt es kein eigenes Verfahren. Artikel 40 der eIDAS-Verordnung wendet die Signaturregeln der Artikel 32 bis 34 sinngemäß auf qualifizierte elektronische Siegel an, und die Durchführungsverordnung (EU) 2025/1945 nennt für beide dieselben Normen: ETSI TS 119 172-4 für die Validierungsrichtlinie, TS 119 102-2 für den Bericht.

Was die Validierung eines E-Siegels prüft

Mit Blick auf Siegel gelesen, ist Artikel 32 Absatz 1 Ihre Checkliste. Ein Validator bestätigt, dass:

• das zugrunde liegende Zertifikat beim Anbringen ein qualifiziertes Zertifikat für elektronische Siegel nach Anhang III war;
• ein QTSP es ausgestellt hat und es in genau diesem Moment gültig war, nicht erst heute;
• die Validierungsdaten zu dem passen, was Sie erhalten haben, und die Identität der Organisation richtig angezeigt wird;
• das Siegel mit einer qualifizierten Siegelerstellungseinheit erstellt wurde;
• die gesiegelten Daten seither nicht verändert wurden;
• die Anforderungen an ein fortgeschrittenes Siegel nach Artikel 36 zum Anbringen erfüllt waren.

Ohne die Prüfung der Einheit bleibt der Test für ein fortgeschrittenes Siegel auf Grundlage eines qualifizierten Zertifikats (Artikel 32a und 40a).

Rechnen Sie mit drei Ergebnissen, nicht mit zwei. "Unbestimmt" (INDETERMINATE) heißt, dass die Beweislage unvollständig war, etwa weil Sperrdaten fehlten, und das ist nicht dasselbe wie ungültig. Ein Siegel einer seriösen kommerziellen CA, die nicht in der Vertrauensliste steht, kann sauber validieren und trotzdem nicht qualifiziert sein.

Welcher Prüfer welche Datei liest

• Ein gesiegeltes PDF ist eine PAdES-Datei, die die Prüfung von PDF-Signaturen liest.
• Strukturierte Rechnungen und Behördeneinreichungen sind meist XAdES. Dafür gibt es die XAdES-Prüfung.
• CAdES-Dateien (.p7m, .p7s) und ASiC-Container (.asice) laufen durch denselben Dienst wie der Rest.

Sie wissen nicht, was Sie vor sich haben? Chaindocs Signaturprüfung liest alle vier Formate, Siegel eingeschlossen, und prüft das Zertifikat gegen die EU-Vertrauensliste. Vor der ersten Prüfung bestätigen Sie Ihre E-Mail-Adresse mit einem Einmalcode.

Sobald ein Validierungsbericht offen ist, erkennen Sie in Sekunden, ob ein Siegel oder eine Signatur vorliegt, wenn Sie wissen, wo Sie hinsehen müssen.

Der Inhaber ist eine Organisation

Ein Signaturzertifikat enthält Vor- und Nachnamen. Ein Siegelzertifikat enthält den Rechtsnamen der Organisation, ihr Land und eine Organisationskennung. Anhang III verlangt mindestens den Namen und, falls vorhanden, die Registernummer aus der amtlichen Eintragung, und die Durchführungsverordnung 2025/1943 ergänzt, dass das Feld organizationIdentifier diese Registernummer tragen muss, wann immer es eine gibt.

Die Kennung hat eine feste Struktur

ETSI EN 319 412-1 legt sie in Abschnitt 5.1.4 fest: drei Buchstaben für die Art, zwei Buchstaben für das Land, ein Bindestrich, dann die Nummer. VAT steht für eine Umsatzsteuer-Identifikationsnummer, NTR für einen Eintrag im nationalen Handelsregister, PSD für die Zulassungsnummer eines Zahlungsinstituts und LEI für die Legal Entity Identifier, die den Ländercode XG trägt. Das Beispiel der Norm selbst lautet VATBE-0876866142.

Vergleichen Sie diesen Wert mit dem Unternehmen, das Sie erwartet haben. Ein makelloses Siegel der falschen Firma bleibt die falsche Firma.

Der qualifizierte Status steht im Zertifikat

Anhang III verlangt eine maschinenlesbare Angabe, dass das Zertifikat als qualifiziertes Zertifikat für elektronische Siegel ausgestellt wurde, und eine zweite, wenn der Schlüssel in einer qualifizierten Einheit liegt. Validatoren lesen diese Kennzeichen zusammen mit der Vertrauensliste. Fehlt eines, kann das Siegel trotzdem gültig sein, ohne qualifiziert zu sein.

Direkt gesagt: Chaindoc stellt keine elektronischen Siegel aus. Es ist kein qualifizierter Vertrauensdiensteanbieter, und nichts hier soll den Eindruck erwecken. Braucht Ihr Unternehmen ein eigenes E-Siegel, kommen Zertifikat und Siegelerstellungseinheit von einem QTSP aus der Vertrauensliste.

DocuSign ist hier weiter. Die französische Website nennt einfache, fortgeschrittene und qualifizierte elektronische Siegel im Angebot und beschreibt DocuSign als qualifizierten Vertrauensdiensteanbieter. Wer ein DocuSign eSeal braucht, hat damit einen guten Grund, dort zu suchen.

Chaindoc deckt die andere Hälfte der Arbeit ab. Menschen unterschreiben in Chaindocs Signatur-Ablauf: Der Server bildet beim Hochladen den Hash jeder Datei, der Hash der Version geht beim Veröffentlichen auf die Blockchain, und der Nachweis jedes Unterzeichners wird festgehalten, sobald das Signieren abgeschlossen ist. Die PDF-Signatur selbst ist PAdES-BES, ohne Zeitstempel einer Zeitstempelstelle. Landet eine gesiegelte Datei in Ihrem Postfach, prüft der Verifizierungsdienst sie gegen die EU-Vertrauensliste und zeigt jede einzelne Prüfung.

Die Aufteilung bleibt also einfach. Signieren Sie, wozu eine Person einwilligt, siegeln Sie, was Ihre Organisation ausstellt, und prüfen Sie ein E-Siegel, bevor Sie sich darauf verlassen.