Was ist eine elektronische Signatur, und wann hält sie stand

Eine elektronische Signatur sind Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet. So steht es in Artikel 3 Nummer 10 der eIDAS-Verordnung 910/2014.

Das ist bewusst weit gefasst. Ein getippter Name fällt darunter. Ein angeklicktes Kästchen auch. Und ein kryptografisches Zertifikat ebenfalls.

Viele erwarten hier eine engere Definition. Es gibt keine.

Warum die Definition so weit ist

Der europäische Gesetzgeber wollte technologieneutral bleiben. Eine Verordnung, die eine bestimmte Technik vorschreibt, ist nach zehn Jahren veraltet.

Die eigentliche Frage lautet deshalb nie, ob eine elektronische Signatur zulässig ist. Sie lautet, ob Sie im Streitfall beweisen können, was passiert ist. Und welches Niveau das jeweilige Dokument verlangt.

Das sind zwei verschiedene Fragen. Verwechselt werden sie ständig.

Was eine elektronische Signatur nicht ist

Sie ist kein Passwort und keine Zwei-Faktor-Anmeldung. Beides authentifiziert einen Zugang, erklärt aber keinen Rechtsbindungswillen.

Sie ist auch nicht dasselbe wie ein elektronisches Dokument. Das Dokument ist der Inhalt, die Signatur ist der Akt der Zustimmung dazu.

Und sie ist nicht automatisch eine digitale Signatur. Der Unterschied klingt akademisch, entscheidet aber darüber, was Sie später beweisen können.

Die eIDAS-Verordnung kennt drei Stufen. Sie unterscheiden sich nicht in der Gültigkeit, sondern in der Beweislast.

Einfache elektronische Signatur. Der getippte Name, das Häkchen, die mit der Maus gezogene Linie. Für den allergrößten Teil geschäftlicher Vereinbarungen völlig ausreichend.

Fortgeschrittene elektronische Signatur. Artikel 26 nennt vier Bedingungen. Sie muss eindeutig dem Unterzeichner zugeordnet sein, seine Identifizierung ermöglichen, mit Mitteln erstellt werden, die der Unterzeichner unter seiner alleinigen Kontrolle halten kann, und so mit den Daten verbunden sein, dass jede nachträgliche Änderung erkennbar ist.

Qualifizierte elektronische Signatur. Eine fortgeschrittene Signatur, erstellt mit einer qualifizierten Signaturerstellungseinheit und beruhend auf einem qualifizierten Zertifikat. Artikel 25 Absatz 2 gibt ihr die entscheidende Wirkung: Die Rechtswirkung einer qualifizierten elektronischen Signatur ist der einer handschriftlichen Unterschrift gleichgestellt.

Nur diese Stufe stellt die Verordnung der Tinte gleich. Wann sich der Aufwand lohnt, steht im Leitfaden zur qualifizierten elektronischen Signatur.

Welche Stufe brauchen Sie wirklich

Fangen Sie beim Dokument an, nicht bei der Technik. Drei Fragen genügen fast immer.

Schreibt ein Gesetz für dieses Dokument eine Form vor? Dann entscheidet das Gesetz und Sie haben keinen Spielraum. Verlangt die Gegenseite etwas Bestimmtes? Banken, Versicherer und Behörden tun das regelmäßig und dürfen das. Steht so viel auf dem Spiel, dass jemand tatsächlich klagen würde?

Dreimal nein bedeutet: einfache Signatur mit ordentlichem Protokoll. Eine qualifizierte Signatur für eine Standard-Geheimhaltungsvereinbarung kostet Geld und Reibung und bringt nichts.

Ein Wort zur Grenze

Eine Stufe bedeutet etwas innerhalb der Rechtsordnung, die sie definiert. Die Gleichstellung aus Artikel 25 Absatz 2 gilt in allen Mitgliedstaaten der Union, und darauf können Sie sich verlassen.

Außerhalb der Union sieht es anders aus. Dort wird eine qualifizierte Signatur wie jedes andere Beweismittel gewürdigt, nach den Regeln des dortigen Rechts. Sie verliert nichts, sie gewinnt aber auch keinen Sonderstatus.

Für Verträge mit Gegenparteien außerhalb der Union heißt das: Schauen Sie zuerst darauf, welches Recht gelten soll, und richten Sie die Signaturstufe danach aus. Wer umgekehrt vorgeht, kauft eine teure Signatur für eine Rechtsordnung, die sie gar nicht kennt.

Hier wird es für deutsche Verträge konkret, und hier liegt der häufigste Irrtum. Das BGB kennt nämlich nicht eine Form, sondern eine Staffel.

Textform ist die niedrigste Stufe. § 126b BGB verlangt eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, abgegeben auf einem dauerhaften Datenträger. Ein dauerhafter Datenträger ist danach jedes Medium, das dem Empfänger erlaubt, die an ihn gerichtete Erklärung für einen angemessenen Zeitraum zugänglich aufzubewahren, und das geeignet ist, die Erklärung unverändert wiederzugeben.

Eine E-Mail erfüllt das. Eine Signatur braucht es dafür nicht.

Schriftform ist die Stufe darüber, und sie ist der Grund, warum viele Projekte scheitern. Wenn das Gesetz Schriftform vorschreibt, reicht keine beliebige elektronische Signatur. § 126a BGB regelt den Ersatz und lässt keinen Spielraum: «Soll die gesetzlich vorgeschriebene schriftliche Form durch die elektronische Form ersetzt werden, so muss der Aussteller der Erklärung dieser seinen Namen hinzufügen und das elektronische Dokument mit seiner qualifizierten elektronischen Signatur versehen.»

Name hinzufügen und qualifiziert signieren. Beides, nicht eines von beiden.

Absatz 2 ergänzt für Verträge, dass die Parteien jeweils ein gleichlautendes Dokument in dieser Weise elektronisch signieren müssen. Ein einzelnes Dokument, das nur eine Seite signiert, genügt also nicht.

Und wo gar nichts geht

Es gibt Fälle, in denen auch die qualifizierte Signatur nicht hilft. § 623 BGB betrifft die Beendigung von Arbeitsverhältnissen und schließt die Sache in fünf Worten ab: «die elektronische Form ist ausgeschlossen».

Eine Kündigung per PDF ist damit unwirksam, egal wie aufwendig signiert wurde. Papier oder nichts.

Prüfen Sie den Dokumenttyp gegen die Formvorschrift, bevor Sie versenden. Diese fünf Minuten haben schon viele Kündigungsschutzprozesse verhindert.

Gültigkeit und Beweiskraft sind zwei verschiedene Dinge. Die Zivilprozessordnung behandelt sie getrennt.

§ 371a Absatz 1 ZPO ordnet an, dass die Vorschriften über die Beweiskraft privater Urkunden entsprechend auf private elektronische Dokumente anzuwenden sind, die mit einer qualifizierten elektronischen Signatur oder mit einer notariell beglaubigten elektronischen Unterschrift versehen sind.

Das ist der eigentliche Vorteil der obersten Stufe. Ein qualifiziert signiertes Dokument wird wie eine Privaturkunde behandelt, und der Anschein der Echtheit lässt sich nur mit Tatsachen erschüttern, die ernstliche Zweifel begründen.

Darunter gilt freie Beweiswürdigung. Das Gericht schaut sich an, was Sie vorlegen können, und gewichtet es.

Genau deshalb ist das Protokoll bei einfachen und fortgeschrittenen Signaturen kein Nebenprodukt, sondern der Kern. Zeitstempel, verifizierte E-Mail-Identität, IP-Adresse, Reihenfolge der Handlungen und ein Integritätsnachweis, den die Gegenseite selbst nachrechnen kann.

Wer eine einfache Signatur verwendet und kein Protokoll führt, hat rechtlich eine gültige Signatur und praktisch nichts in der Hand.

Ein eingescanntes Bild der eigenen Unterschrift ist keine elektronische Signatur im technischen Sinn, auch wenn es so aussieht.

Das Bild beweist nichts darüber, ob Seite vier nachträglich ausgetauscht wurde. Es lässt sich außerdem aus jedem anderen Dokument herauskopieren, und niemand merkt es.

Eine kryptografisch erzeugte Signatur beweist genau das. Sie bildet beim Signieren einen Hash des Dokuments. Ändert sich ein einziges Byte, passt der Hash nicht mehr.

Der Unterschied ist kein Marketingargument. Er ist Arithmetik, und jeder kann sie nachrechnen. Was in einer signierten Datei tatsächlich steckt, zeigt die PDF-Prüfung.

Elektronische Signatur und digitale Signatur

Auch diese beiden Begriffe werden ständig vertauscht. Die elektronische Signatur ist der Rechtsbegriff und meint den Willen, gebunden zu sein. Die digitale Signatur ist das kryptografische Verfahren dahinter, mit Schlüsselpaar, Zertifizierungsstelle und Hash.

Die digitale Signatur ist also eine Art, eine elektronische Signatur umzusetzen. Nicht die einzige, und für die meisten Verträge auch nicht die vorgeschriebene.

Was sie liefert, heißt Nichtabstreitbarkeit: Der Unterzeichner kann später nicht glaubhaft behaupten, er sei es nicht gewesen, weil der Nachweis in der Datei steckt und nicht in der Datenbank eines Anbieters.

Eine abgelehnte Signatur ist selten kaputt. Meistens passt etwas nicht zusammen, und die Lösung hängt davon ab, welcher der vier Fälle vorliegt.

Falsche Stufe. Der Empfänger verlangt qualifiziert, Sie haben einfach signiert. Erneutes Senden hilft nicht. Sie brauchen ein Zertifikat von einem qualifizierten Vertrauensdiensteanbieter.

Keine Vereinbarung. Unter Privaten muss niemand Ihr Signaturverfahren akzeptieren, wenn es nicht vereinbart wurde. Eine Bank darf auf einem bestimmten Zertifikat bestehen, und sie tut es auch.

Integrität verletzt. Die Datei wurde nach dem Signieren verändert. Schon ein erneutes Speichern im falschen Programm genügt dafür.

Zertifikat abgelaufen. Jedes Zertifikat hat ein Enddatum. Danach schlagen neue Signaturvorgänge fehl, während alte Signaturen historisch gültig bleiben können.

Ein Fall aus der Praxis

Ein Lieferant schickt einen signierten Rahmenvertrag. Die Rechtsabteilung öffnet ihn, setzt einen Kommentar hinein, speichert und leitet weiter. Die Buchhaltung prüft die Signatur und bekommt eine Fehlermeldung.

Niemand hat etwas falsch gemeint. Der Kommentar hat die Datei neu geschrieben, der Hash passte nicht mehr zu dem beim Signieren erfassten Wert, und die Prüfung hat genau das getan, was sie soll. Das Dokument war in Ordnung. Die weitergereichte Kopie nicht.

Die Abhilfe ist organisatorisch, nicht technisch. Das signierte Original bleibt unangetastet an einem Ort liegen, Kopien wandern zum Lesen herum. Wer wirklich kommentieren muss, kommentiert ein Duplikat und sagt dazu, dass es eines ist.

Gegen die übrigen Fälle hilft eine unspektakuläre Klausel: Schreiben Sie in den Vertrag, welches Signaturverfahren die Parteien akzeptieren, bevor jemand unterschreibt. Die Vertragsvorlagen enthalten sie bereits.

Eine Signatur, die im ersten Jahr sauber geprüft hat, nützt im sechsten nichts mehr, wenn die Datei fehlt. Aufbewahrungsfristen richten sich nach Dokumentart und Rechtsgebiet, und sie überdauern regelmäßig die Software, die den Nachweis erzeugt hat.

Drei Regeln reichen für den Anfang.

Bewahren Sie das signierte Original auf, nicht einen neu exportierten Nachdruck. Der Nachdruck sieht identisch aus und hat einen anderen Hash.

Bewahren Sie das Protokoll zusammen mit der Datei auf, nicht getrennt davon in einem anderen System. Getrennte Ablagen driften auseinander, und zwar immer in dem Moment, in dem es darauf ankommt.

Und prüfen Sie einmal aktiv, ob sich beides ohne laufendes Abonnement öffnen lässt. Diese Frage stellt sich sonst zum ersten Mal an dem Tag, an dem der Vertrag mit dem Anbieter ausgelaufen ist.

Ein kurzer Test genügt: eine ältere signierte Datei herunterladen, in einem unabhängigen Werkzeug öffnen und die Prüfung laufen lassen. Wenn das klappt, hält der Nachweis auch später.

Für den weitaus größten Teil des Geschäftsalltags reicht die einfache Stufe.

Angebote, Auftragsbestätigungen, Geheimhaltungsvereinbarungen, Rahmenverträge ohne gesetzliche Formvorschrift, interne Freigaben: hier gilt Vertragsfreiheit. Was die Parteien vereinbaren, zählt.

Was Sie stattdessen brauchen, ist ein Nachweis, den die Gegenseite selbst prüfen kann, ohne auf das Wohlwollen Ihres Anbieters angewiesen zu sein. Ein Protokoll mit Zeitstempeln, verifizierter E-Mail-Identität und einem Integritätsnachweis, der nicht davon abhängt, dass ein Anbieter in zehn Jahren noch existiert.

Drei Fragen an jeden Anbieter

Was passiert mit dem Nachweis, wenn Sie kündigen? Liegt das Protokoll nur in der Datenbank des Anbieters, verschwindet mit dem Vertrag auch der Beweis.

Kann ein Dritter ein signiertes Dokument ohne Konto prüfen? Unabhängige Prüfbarkeit ist der Unterschied zwischen einem Nachweis und einer Behauptung.

Und was macht der Preis bei steigendem Volumen? Abrechnung pro Umschlag wirkt im Pilotprojekt günstig und wird teuer, sobald das Verfahren angenommen wird.

Wenn Sie nur eine saubere Unterschriftsgrafik für ein Dokument brauchen, erledigt das der Unterschriften-Generator in einer Minute. Für vollständige Signaturabläufe mit mehreren Beteiligten lohnt der Blick auf die Chaindoc-Preise.

Und falls die Frage eigentlich lautet, ob die handschriftliche Unterschrift überhaupt noch nötig ist: Das behandelt der Beitrag zur handschriftlichen Unterschrift.