Elektronisches Siegel nach eIDAS: Was es ist und wann Ihr Unternehmen eines braucht

Ein elektronisches Siegel ist das organisatorische Gegenstück zur Signatur: Es belegt, dass ein Dokument von einem bestimmten Unternehmen oder einer bestimmten Behörde stammt und dass es seither niemand verändert hat. Die Verordnung (EU) 910/2014, besser bekannt als eIDAS, definiert es als "Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verbunden werden, um deren Ursprung und Unversehrtheit sicherzustellen". Artikel 3 Nummer 24 trägt den Teil, auf den es am meisten ankommt: Siegelersteller ist eine juristische Person. Kein Mensch. Ein Unternehmen, ein Verein, ein Ministerium.

Aus dieser einen Unterscheidung folgt alles Weitere auf dieser Seite.

Der Name hilft ehrlich gesagt nicht. Nichts an einem elektronischen Siegel, oder E-Siegel, wie die meisten Anbieter es kürzen, erinnert an Wachs oder einen Stempel, und ein Bild Ihres Firmenlogos auf einem PDF ist es schon gar nicht. Darunter läuft ein Siegel auf derselben Kryptografie wie eine digitale Signatur: ein privater Schlüssel, ein Zertifikat, das diesen Schlüssel an eine Identität bindet, und ein Hash über das Dokument, der bricht, sobald sich ein einziges Byte ändert. Anders ist, wessen Identität im Zertifikat steht und was der Vorgang behaupten soll.

Eine Signatur sagt, dass ein Mensch zugestimmt hat. Ein Siegel sagt, dass eine Organisation etwas ausgestellt hat. Beides kann auf derselben Datei liegen, und in vielen regulierten Abläufen ist genau das üblich: Ein Compliance-Verantwortlicher signiert einen Bericht, dann siegelt das Unternehmen ihn, bevor er das Haus verlässt.

Fragen Sie ein Compliance-Team, wo Siegel hingehören, und Sie ernten meist ein Achselzucken, weil die meisten Anbieter elektronischer Signaturen das Thema nie ansprechen. Hier die praktische Trennlinie.

Eine Signatur trägt einen Willen. Jemand hat die Sache gelesen und sich damit einverstanden erklärt, daran gebunden zu sein, und dem Recht kommt es auf diese Zustimmung an. Ein Siegel trägt Herkunft. Es sagt, dass diese Datei unsere Systeme in genau diesem Zustand verlassen hat, und über die Zustimmung von irgendjemandem sagt es überhaupt nichts.

Deshalb sehen die Zertifikate unterschiedlich aus. Ein Signaturzertifikat nennt eine Person, mit Vor- und Nachnamen und häufig einer nationalen Kennung. Ein Siegelzertifikat nennt eine Einheit: den rechtlichen Namen, das Land und eine Organisationskennung wie eine Umsatzsteuer-Identifikationsnummer oder eine Handelsregisternummer. Im Inhaberfeld steht kein Mensch, und das ist Absicht und kein Versäumnis.

Nützlich wird der Unterschied bei Masse. Niemand kann sinnvoll vierzigtausend Gehaltsabrechnungen unterschreiben, und so zu tun als ob, baut eine Fiktion auf, die beim ersten genaueren Hinsehen zusammenfällt. Ein Siegel geht damit ehrlich um. Die Organisation hat diese Dokumente ausgestellt, die Organisation steht dafür ein, und der persönliche Wille von niemandem wird behauptet.

Ein weiterer Unterschied überrascht Teams regelmäßig. Ein Siegel übersteht Personalwechsel. Verlässt die Person mit dem Signaturzertifikat das Unternehmen, geht das Zertifikat mit, und jedes künftige Dokument braucht jemand Neues. Ein Organisationssiegel arbeitet weiter, weil die Identität, die es bescheinigt, das Unternehmen ist.

Wenn Sie abwägen, welche Signaturstufe ein Vertrag braucht, ist das eine eigene Frage mit einer eigenen Antwort. Unser Leitfaden zur qualifizierten elektronischen Signatur geht die Leiter von SES über AES bis QES im Detail durch, und diese Seite wiederholt das nicht. Siegel steigen eine parallele Leiter mit denselben Vokabeln hinauf.

Siegel gibt es in denselben Stufen wie Signaturen, und die Wörter bedeuten dasselbe.

Ein fortgeschrittenes elektronisches Siegel muss vier Bedingungen aus Artikel 36 erfüllen. Es ist eindeutig der Organisation zugeordnet, die es erstellt hat, es ermöglicht deren Identifizierung, es wird mit Siegelerstellungsdaten erzeugt, die die Organisation mit hohem Maß an Vertrauen unter ihrer eigenen Kontrolle hält, und es ist so mit den Daten verbunden, dass jede spätere Änderung erkennbar wird.

Ein qualifiziertes elektronisches Siegel ist ein fortgeschrittenes Siegel plus zwei Dinge: Der private Schlüssel liegt in einer qualifizierten elektronischen Siegelerstellungseinheit, und das Zertifikat ist ein qualifiziertes Zertifikat für elektronische Siegel, ausgestellt von einem qualifizierten Vertrauensdiensteanbieter auf der EU Trusted List. Dieselbe Architektur wie bei einer QES, nur mit einem anderen Inhaber im Zertifikat.

Was Sie mit der qualifizierten Stufe kaufen, steht in Artikel 35 Absatz 2, und der lohnt langsames Lesen. Ein qualifiziertes elektronisches Siegel genießt die Vermutung der Unversehrtheit der Daten und der Richtigkeit der Herkunft dieser Daten. Eine Vermutung verschiebt, wer was beweisen muss. Bei einem fortgeschrittenen Siegel sind Sie derjenige, der Belege zusammensucht, wenn ein Vertragspartner behauptet, Ihre Rechnung sei verändert worden. Bei einem qualifizierten Siegel sucht er die Belege dafür, dass sie es wurde. In einem Streit, der sich über Monate zieht, ist genau diese Umkehr das ganze Produkt.

Zwei weitere Absätze runden das ab. Artikel 35 Absatz 1 verhindert, dass jemand ein Siegel allein deshalb abtut, weil es elektronisch oder weil es nicht qualifiziert ist. Ein fortgeschrittenes Siegel bleibt also echtes Beweismittel. Artikel 35 Absatz 3 sorgt dafür, dass ein in einem Mitgliedstaat ausgestelltes qualifiziertes Siegel in allen anderen automatisch anerkannt wird, ganz ohne bilaterale Absprache.

Die meisten Unternehmen brauchen keines, und das gehört klar gesagt, bevor der Rest dieses Abschnitts Ihnen etwas einredet.

Besteht Ihr Dokumentenfluss aus Verträgen, die Menschen zur Freigabe vorgelegt bekommen, decken Signaturen Sie ab und ein Siegel kostet Geld, ohne viel hinzuzufügen. Siegel verdienen sich ihren Platz in vier Situationen. Prüfen Sie kurz, ob eine davon auf Sie zutrifft.

Dokumente, die niemand unterschreibt. Bescheinigungen, Zeugnisse, Kontoauszüge, Richtlinien, Gehaltsabrechnungen, Registerauszüge. Eine Organisation stellt so etwas auf Grundlage ihrer Aufzeichnungen aus und nicht, weil ein namentlich genannter Mensch irgendetwas zugestimmt hätte. Ein Siegel ist der ehrliche Weg, dafür einzustehen.

Ausstoß in Masse. Sobald Sie Tausende Dokumente im Monat aus einem System heraus erzeugen statt vom Schreibtisch aus, ergeben persönliche Zertifikate betrieblich keinen Sinn mehr. Für genau diese Form von Problem wurden Siegel entworfen.

Der dritte Fall ist die öffentliche Verwaltung, und dort ist die Rechtslage am klarsten. Artikel 37 behandelt Siegel in öffentlichen Diensten, und mehrere Mitgliedstaaten haben darauf ausdrückliche nationale Regelungen gesetzt. Spanien ist das schärfste Beispiel: Nach Gesetz 40/2015 darf sich eine Behörde für automatisiertes Verwaltungshandeln mit einem sello electrónico ausweisen, also für Entscheidungen, die ein System ohne Zutun eines Bediensteten erzeugt. Es gibt niemanden zum Unterschreiben, also siegelt die Einheit.

Der vierte Fall ist die Archivierung. Muss ein Dokument ein Jahrzehnt lang beweisbar bleiben, hat die Person, die gesiegelt hat, längst die Stelle gewechselt. Identität auf Ebene der Einheit altert besser als persönliche Identität.

Beachten Sie, was nicht auf dieser Liste steht: gewöhnliche B2B-Verträge. Die wollen Signaturen.

In fast jedem Gespräch über Siegel kommt die Rechnungsstellung auf, meist mit einem Missverständnis im Gepäck.

Artikel 233 der EU-Mehrwertsteuerrichtlinie verlangt, dass Sie die Echtheit der Herkunft und die Unversehrtheit des Inhalts einer Rechnung gewährleisten, von der Ausstellung bis zum Ende der Aufbewahrungsfrist. Wie Sie das tun, bleibt Ihnen überlassen. Die Richtlinie nennt die fortgeschrittene elektronische Signatur und EDI als Beispiele, und sie stellt innerbetriebliche Kontrollverfahren, die einen verlässlichen Prüfpfad schaffen, genau gleichrangig daneben. Also nein, EU-Recht verlangt nicht, dass Sie Ihre Rechnungen siegeln. Viele Unternehmen arbeiten regelkonform und haben das nie getan.

Was ein Siegel Ihnen kauft, ist eine kürzere Diskussion. Innerbetriebliche Kontrollverfahren sind vollkommen vertretbar, aber sie sind ein Prozess, den Sie in einer Prüfung beschreiben und belegen müssen. Ein qualifiziertes Siegel ist eine Eigenschaft der Datei, die ein Prüfer in ungefähr zehn Sekunden nachvollzieht, und es bringt die Vermutung aus Artikel 35 Absatz 2 gleich mit.

Die nationale Praxis schwankt stärker, als die Richtlinie vermuten lässt. Italiens Austauschsystem erwartet auf bestimmten Rechnungswegen seit Langem qualifizierte Signaturen oder Siegel, während die deutsche B2B-E-Rechnung sie überhaupt nicht vorschreibt. Prüfen Sie das Land, nicht den Kontinent.

Der Zeitplan bewegt sich allerdings. Mit dem Paket VAT in the Digital Age wird die E-Rechnung nach der Norm EN 16931 ab dem 1. Juli 2030 für innergemeinschaftliche Umsätze verpflichtend. Diese Norm ist strukturiertes XML, womit das passende Siegelformat eher bei XAdES liegt als bei PAdES. Wenn Sie so weit vorausplanen, ist die XAdES-Prüfung die Prüfung, bei der Sie am Ende landen.

Siegeln ist ein Vertrauensdienst, den Sie einkaufen, und keine Software, die Sie installieren. Wer ein elektronisches Siegel erstellen will, geht ungefähr diesen Weg.

1. 1
   Anbieter von der Trusted List wählen. Für ein qualifiziertes Siegel muss es ein QTSP auf der EU Trusted List sein. Ein Zertifikat kann Ihnen zwar jeder ausstellen, und technisch mag es solide sein, qualifiziert ist es dann trotzdem nicht, und die Vermutung aus Artikel 35 Absatz 2 gilt dafür nicht.
2. 2
   Nachweisen, dass die Organisation existiert und dass Sie für sie handeln dürfen. Hier unterscheidet sich die Ausgabe eines Siegels wirklich von der eines persönlichen Zertifikats. Der Anbieter prüft die Einheit gegen ein Handelsregister und danach separat, ob die antragstellende Person die Einheit überhaupt verpflichten darf. Rechnen Sie mit Registerauszügen und Nachweisen der Vertretungsbefugnis, und planen Sie mehr Kalenderzeit ein als bei einem persönlichen Zertifikat.
3. 3
   Entscheiden, wo der private Schlüssel liegt. Entweder in Hardware, die Sie selbst betreiben, also einem HSM mit Zertifizierung als qualifizierte Siegelerstellungseinheit, oder in einer Ferneinheit beim Anbieter. Die meisten Teams nehmen die Fernvariante, weil üblicherweise nachts um drei innerhalb eines automatisierten Prozesses gesiegelt wird und nicht an jemandes Schreibtisch.
4. 4
   In das System einbinden, das die Dokumente erzeugt. Anbieter stellen das Siegeln über eine API bereit, damit Ihr Abrechnungs- oder Dokumentensystem pro Datei danach fragen kann. Damit wird daraus eine Integrationsaufgabe und keine Schreibtischprozedur.

Die Preisbildung funktioniert anders als bei persönlichen Zertifikaten. Siegelzertifikate werden meist pro Organisation verkauft, mit einem inbegriffenen Volumen, die Kosten skalieren also mit der Menge und nicht mit der Kopfzahl. Die Sätze legen die Anbieter selbst fest und ändern sie auch, holen Sie also Angebote von zwei oder drei QTSP ein, statt mit einer Zahl zu kalkulieren, die Sie irgendwo gelesen haben.

Jetzt der Teil, der Leute überrascht: Für Siegel gibt es kein eigenes Verfahren. Artikel 40 sagt, dass die Artikel 32, 33 und 34 für die Validierung und Bewahrung qualifizierter elektronischer Siegel entsprechend gelten. Im Klartext zeigt das Gesetz auf die Regeln zur Validierung qualifizierter Signaturen und sagt: genau so. Das technische Verfahren darunter ist ETSI EN 319 102-1, dasselbe, das jede ernsthafte Prüfung auch für Signaturen umsetzt.

Ein Prüfbericht zu einer gesiegelten Datei beantwortet also dieselben Fragen:

• Passt der kryptografische Hash noch zu den Bytes vor Ihnen, oder hat sich das Dokument seit dem Siegeln geändert?
• Erreicht die Zertifikatskette eine Wurzel, die die Prüfung kennt?
• War das Zertifikat im Moment des Siegelns aktiv und nicht bloß heute gültig? Sperrdaten über OCSP oder eine CRL klären das.
• Gibt es einen vertrauenswürdigen Zeitstempel, und passt er zum angegebenen Siegelzeitpunkt?
• Ist der Aussteller ein QTSP auf der EU Trusted List, und wurde das Zertifikat als qualifiziertes Zertifikat für Siegel ausgestellt?

Die letzte Prüfung trennt ein gültiges Siegel von einem qualifizierten, und diese beiden Urteile sind nicht austauschbar. Ein Siegel einer angesehenen kommerziellen Zertifizierungsstelle, die nicht auf der Trusted List steht, validiert sauber und ist trotzdem nicht qualifiziert.

Welches Tool Sie greifen, entscheidet der Dateityp und nicht die Tatsache, dass ein Siegel darin steckt. Ein gesiegeltes PDF ist eine PAdES-Datei und geht durch die PDF-Signaturprüfung. Strukturierte Rechnungen und Einreichungen im öffentlichen Sektor sind meistens XAdES. Italienische .p7m-Dateien sind CAdES, .asice-Container sind ASiC. Die Signaturprüfung von Chaindoc deckt alle vier Formate ab und gleicht die Zertifikate der Unterzeichner mit der EU Trusted List ab. Sie prüfen in Masse statt Datei für Datei? Dafür gibt es die API.

Eine praktische Warnung zu Siegeln, die Sie aufheben wollen. Ein Siegel auf Stufe B trägt keinen Zeitstempel, Jahre später beweist also nichts mehr, wann es angebracht wurde, und ein abgelaufenes Zertifikat wird dann zum echten Problem statt zur Nebensache. Was ins Archiv geht, sollte auf Stufe LT oder LTA gesiegelt sein, wo die Validierungsdaten in der Datei selbst mitreisen.

Liegt erst einmal ein Prüfbericht vor Ihnen, unterscheiden Sie ein Siegel von einer Signatur in etwa fünf Sekunden, sofern Sie wissen, wohin Sie schauen müssen.

Ein Siegelzertifikat nennt eine Einheit, keine Person

Ein Signaturzertifikat trägt Vor- und Nachnamen, oft daneben eine nationale Personenkennung. Ein Siegelzertifikat trägt nichts davon. Sie finden stattdessen den rechtlichen Namen der Organisation, ihr Land und eine Organisationskennung.

Die Organisationskennung hat eine Struktur

Diese Kennung ist kein Freitextfeld. ETSI EN 319 412-1 legt ein dreibuchstabiges Präfix für die Semantik fest, dann den Ländercode, dann den eingetragenen Wert. Drei begegnen Ihnen ständig: VAT für eine Umsatzsteuer-Identifikationsnummer, NTR für einen Eintrag im nationalen Handelsregister und LEI für einen Legal Entity Identifier. Das Siegelzertifikat eines deutschen Unternehmens trägt also womöglich VATDE-123456789, während ein niederländischer Registereintrag als NTRNL- gefolgt von der Nummer der Handelskammer erscheint.

Gleichen Sie diesen Wert mit der Einheit ab, von der Sie das Dokument erwarten. Ein kryptografisch makelloses Siegel der falschen Firma bleibt die falsche Firma.

Siegel und Signatur können nebeneinander liegen

Nichts hindert ein Dokument daran, beides zu tragen, und in regulierten Abläufen ist es üblich: Ein namentlich genannter Verantwortlicher signiert, dann siegelt die ausstellende Stelle die fertige Datei. Ein Prüfbericht führt beide getrennt auf, jeweils mit eigenem Zertifikat und eigenem Urteil, lesen Sie also jeden Eintrag statt nur der Überschrift. Zwei gültige Einträge heißen, dass zwei verschiedene Behauptungen aufgestellt werden: eine über die Zustimmung eines Menschen und eine über die Ausstellung durch eine Organisation.

Die Fehlermuster wiederholen sich, und fast keines davon ist technisch.

Gesiegelt, wo eine Signatur nötig gewesen wäre

Der teure Fehler. Ein Siegel belegt, dass Ihre Organisation ein Dokument ausgestellt hat. Über die Zustimmung irgendeiner Person zu dessen Bedingungen sagt es nichts. Braucht eine Aufsichtsbehörde oder ein Gericht den Nachweis, dass eine benannte Person zugestimmt hat, liefert ein Siegel ihn nicht, und das merken Sie üblicherweise im denkbar schlechtesten Moment.

Qualifiziert gekauft, wo fortgeschritten gereicht hätte

Qualifiziert kostet mehr und braucht länger in der Einrichtung, und die Vermutung aus Artikel 35 Absatz 2 zahlt sich nur dort aus, wo Dokumente tatsächlich angegriffen werden. Interne Aufzeichnungen und Ausstellungen ohne großes Risiko rechtfertigen das selten. Fortgeschrittene Siegel bleiben nach Artikel 35 Absatz 1 echtes Beweismittel.

Zwei kleinere Punkte verdienen eine Erwähnung. Teams siegeln auf Stufe B, archivieren das Ergebnis und stellen Jahre später fest, dass nichts mehr belegt, wann gesiegelt wurde. Und Organisationen behandeln das Siegelzertifikat wie gewöhnliche Infrastruktur und lassen den privaten Schlüssel für jeden erreichbar, der Produktionszugang hat. Damit hebeln sie still den Sinn einer Einheit aus, die nach der Verordnung unter der Kontrolle der Organisation bleiben soll.

Wenn Sie eine Sache mitnehmen, dann diese: Passen Sie das Instrument der Behauptung an. Ein elektronisches Siegel ist ein schmales Instrument, das eine Aufgabe gut erledigt, nämlich zu belegen, dass Ihre Organisation genau diese Datei unverändert ausgestellt hat. Unterschreiben Sie, wozu ein Mensch zustimmt, siegeln Sie, was Ihre Organisation ausstellt, und prüfen Sie beides, bevor Sie sich auf eines davon verlassen. Sie haben gerade eine gesiegelte Datei vor sich? Schicken Sie sie durch die Prüfung und lesen Sie den ausführlichen Bericht statt des Kurzurteils.