Was ist eine elektronische Signatur, und wann erkennt das Recht sie an?

Was ist eine elektronische Signatur? Fragt man Juristen, fällt die Antwort weiter aus, als die meisten erwarten. Artikel 3 Nr. 10 der eIDAS-Verordnung nennt dafür Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet. Mehr steht nicht drin. Ein getippter Name genügt dem Wortlaut, ein Klick auf «Ich stimme zu» ebenso, eine mit dem Finger gezogene Linie, ein Code per SMS oder ein zertifikatsbasiertes Verfahren.

Das US-Recht sagt dasselbe in anderen Worten. Der ESIGN Act spricht von einem elektronischen Ton, Symbol oder Verfahren, das mit einem Dokument verbunden ist und in der Absicht gewählt wurde, es zu unterzeichnen (15 U.S.C. §7006(5)). Wer über die Grenze hinweg Verträge schließt, muss sich also nicht zwischen zwei Definitionen entscheiden.

Zwei Gedanken stecken in beiden Texten:

• Unterzeichnungswille. Ihr Name im Feld «An» einer E-Mail ist keine Signatur. Derselbe Name unter «Einverstanden» ist es sehr wahrscheinlich.
• Der Bezug zu einem bestimmten Dokument. Das Foto Ihrer Handschrift, lose verschickt, hängt an nichts.

Jetzt kommt, was Anbieterseiten gern auslassen. Die Definition sagt, was zählt. Ob Ihre Signatur einen Streit übersteht, sagt sie nicht, und das ist eine Beweisfrage, um die es im größten Teil dieses Artikels geht. Wenn Sie vor allem wissen wollen, wann trotzdem Tinte nötig ist, hilft der Beitrag zur handschriftlichen Unterschrift.

Fast alles, was Sie am Bildschirm tun, um zu sagen «Ich bin mit diesem Dokument einverstanden», kann eine elektronische Signatur sein. Alle Verfahren in der Tabelle erfüllen die Definition der eIDAS. Sie unterscheiden sich darin, wie viel Beweismaterial sie hinterlassen.

Ist ein getippter Name eine elektronische Signatur? Ja, wenn Sie ihn getippt haben, um zu unterschreiben. Die Schwäche liegt in der Zuordnung: Einen Namen unter eine E-Mail kann jeder setzen, der Zugriff auf Ihr Postfach hat. Ein Alltagsfall: Die Geheimhaltungsvereinbarung per Klick ist unproblematisch, ein Dienstleistungsvertrag zwischen zwei Unternehmen mit einfacher Signatur meistens auch, solange kein Gesetz eine Form vorschreibt.

Am häufigsten falsch eingeschätzt wird die eingescannte Unterschrift. Das Bild Ihrer Handschrift in einem PDF ist rechtlich eine Signatur, nur eine dürftige. Es sagt nichts darüber, wer es eingefügt hat und ob Seite vier danach noch dieselbe war.

Eine Signatur zu setzen dauert eine Minute: Dokument im Signaturdienst öffnen, Namen tippen oder zeichnen, bestätigen. Das Zeichen ist der leichte Teil. Wenn Sie Dokumente mit Chaindoc signieren und versenden, arbeitet später das Protokoll, wer wann geöffnet und unterschrieben hat.

Das Gesetz entscheidet, ob eine Signatur erlaubt ist. Die Beweislage entscheidet, ob Ihre gewinnt. Bei der qualifizierten Signatur stärkt § 371a Abs. 1 ZPO den Unterzeichner: Der Anschein der Echtheit lässt sich nur durch Tatsachen erschüttern, die ernsthafte Zweifel begründen. Alles darunter würdigt das Gericht nach freier Überzeugung (§ 286 ZPO). Sagt jemand «Das habe ich nie unterschrieben», kommen deshalb vier Fragen auf den Tisch, ungefähr in dieser Reihenfolge.

Wille: Wollte die Person unterschreiben?

Der Unterzeichner muss etwas tun, das sich als Zustimmung lesen lässt: ein Kästchen «Ich stimme den obigen Bedingungen zu» anklicken, auf «Unterzeichnen» drücken, den Namen unter «Einverstanden» tippen. Schweigen zählt nicht. Ein Häkchen, das jemand anderes vorab gesetzt hat, ebenso wenig.

Vereinbarung: Haben beide Seiten das Verfahren akzeptiert?

Niemand muss Ihr Signaturverfahren hinnehmen, solange es nicht vereinbart ist. Haben die Parteien für ihren Vertrag nur eine elektronische Form vereinbart, hilft § 127 Abs. 3 BGB: Im Zweifel genügt dann auch eine andere als die qualifizierte Signatur. Im Geschäftsverkehr ergibt sich die Zustimmung oft aus dem Verhalten. Eine Klausel im Vertrag ist trotzdem billiger als der Streit danach.

Zuordnung und Unversehrtheit: Wer hat unterschrieben, und ist es dasselbe Dokument?

Die Zuordnung verknüpft die Signatur mit einer Person: bestätigte E-Mail-Adresse, Einmalcode, Ausweisprüfung, IP-Adresse und Gerät. Die Unversehrtheit belegt, dass die Datei sich seither nicht verändert hat. Ein kryptografischer Hash leistet das zuverlässig. Ändert sich ein einziges Byte, kommt ein völlig anderer Wert heraus. Das ist Mathematik, kein Anbieterversprechen, und jeder kann nachrechnen.

Aufbewahrung: Können Sie das Dokument noch vorlegen?

Das vergessen die meisten. Ein signierter Vertrag, der nur im Konto eines Anbieters liegt, das Sie inzwischen gekündigt haben, ist ein schwacher Vertrag. Entscheidend ist, was Sie dem Gericht auf den Tisch legen können, und zwar vollständig und unverändert.

Wille und Vereinbarung ergeben sich in der Praxis aus der Gestaltung des Signaturablaufs. Zuordnung und Aufbewahrung sind die Stellen, an denen echte Streitigkeiten verloren gehen.

Das deutsche Recht kennt keine einzelne Signaturpflicht, sondern eine Treppe aus Formvorschriften. Gibt es für ein Geschäft keine, gilt Formfreiheit, und eine einfache elektronische Signatur reicht völlig.

1. 1.
   Textform nach § 126b BGB ist die unterste Stufe: eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, abgegeben auf einem dauerhaften Datenträger. Eine E-Mail erfüllt das, eine Signatur braucht es nicht.
2. 2.
   Schriftform nach § 126 BGB verlangt die eigenhändige Unterschrift. Soll sie elektronisch ersetzt werden, muss der Aussteller nach § 126a BGB seinen Namen hinzufügen und das Dokument mit seiner qualifizierten elektronischen Signatur versehen. Bei einem Vertrag signieren beide Parteien je ein gleichlautendes Dokument. Ein einziges, das nur eine Seite signiert, genügt nicht.
3. 3.
   Vereinbarte Form nach § 127 BGB: Haben die Parteien nur eine elektronische Form vereinbart, genügt im Zweifel auch eine andere Signatur als die des § 126a.

Gültigkeit und Beweiskraft regelt das Gesetz getrennt. Die Beweisregel des § 371a ZPO knüpft an die qualifizierte Signatur an. Für einfache und fortgeschrittene Signaturen bleibt es bei der freien Würdigung.

Das Vertrauensdienstegesetz (VDG) ergänzt die eIDAS im Inland, vor allem bei der Aufsicht und den Vertrauenslisten. Eine eigene Signaturdefinition führt es nicht ein.

Die eIDAS-Verordnung ordnet elektronische Signaturen drei Stufen zu, und alle drei sind gültig. Art. 25 Abs. 1 verbietet, einer Signatur Rechtswirkung und Zulässigkeit als Beweismittel nur deshalb abzusprechen, weil sie elektronisch ist oder die Anforderungen an eine qualifizierte nicht erfüllt. Die Stufen entscheiden, wie viel Sie beweisen müssen, nicht, ob Sie signieren dürfen.

Eine fortgeschrittene elektronische Signatur erfüllt die vier Bedingungen des Art. 26: Sie ist dem Unterzeichner eindeutig zugeordnet, ermöglicht seine Identifizierung, wird mit Daten erstellt, die er unter alleiniger Kontrolle halten kann, und ist so mit den signierten Daten verbunden, dass jede spätere Änderung erkennbar wird.

Die qualifizierte Stufe kommt mit einer qualifizierten Signaturerstellungseinheit und einem qualifizierten Zertifikat dazu. Nur sie ist der Handschrift gleichgestellt (Art. 25 Abs. 2), und jeder Mitgliedstaat erkennt eine in einem anderen ausgestellte an (Art. 24a, der 2024 den früheren Art. 25 Abs. 3 abgelöst hat). Wie man sie bekommt und wann sie sich lohnt, steht im Leitfaden zu qualifizierten Signaturen.

Österreich folgt der eIDAS und ergänzt sie im Signatur- und Vertrauensdienstegesetz: Nach § 4 Abs. 1 SVG erfüllt die qualifizierte Signatur das Erfordernis der Schriftlichkeit im Sinn des § 886 ABGB. Ein Testament lässt sich nicht elektronisch errichten, und einige familien- und erbrechtliche Erklärungen sowie Bürgschaften von Privatpersonen gelten elektronisch nur, wenn ein Notar oder Rechtsanwalt die Belehrung bestätigt (§ 4 Abs. 2 SVG). Die Schweiz gehört nicht zur EU, die eIDAS gilt dort nicht. Nach Art. 14 Abs. 2bis OR steht der Handunterschrift nur die qualifizierte Signatur mit qualifiziertem Zeitstempel gleich.

Im Deutschen verschwimmen die Begriffe besonders: «digitale Signatur» und «elektronische Signatur» halten viele für dasselbe, und selbst Behörden springen hin und her. Rechtlich ist die elektronische Signatur der Oberbegriff: der Wille, gebunden zu sein, elektronisch erklärt. Die digitale Signatur ist ein technisches Verfahren dafür. Die Software des Unterzeichners signiert mit einem privaten Schlüssel, gedeckt durch das Zertifikat einer Zertifizierungsstelle, einen Hash des Dokuments. Wer den öffentlichen Schlüssel hat, kann prüfen, welches Zertifikat unterschrieben hat und ob sich die Datei seither geändert hat.

Diese Kombination nennen Sicherheitsleute Nichtabstreitbarkeit: Der Unterzeichner kann die Signatur schwer glaubhaft bestreiten, weil der Beweis in der Datei steckt und nicht in der Datenbank eines Dritten. Genau genommen belegt sie nur, dass der Schlüssel benutzt wurde. Ob die richtige Person ihn in der Hand hatte, bleibt eine Tatsachenfrage.

Jede digitale Signatur ist eine elektronische. Die meisten elektronischen sind nicht digital, und für gewöhnliche Verträge verlangt das Recht das auch nicht. Die technische Seite behandelt der Vergleich von digitaler und elektronischer Signatur.

Elektronisch signieren lässt sich fast jedes Geschäftsdokument. Die Ausnahmen sind kurz, speziell und lokal, und gerade deshalb stolpert man über sie. In Deutschland sind das die Klassiker:

• Kündigung und Aufhebungsvertrag im Arbeitsverhältnis. Schriftform, die elektronische Form ist ausgeschlossen (§ 623 BGB)
• Bürgschaftserklärung: schriftlich erteilt, die elektronische Form ist ausgeschlossen (§ 766 BGB)
• Nachweis der wesentlichen Arbeitsbedingungen. Elektronische Form ausgeschlossen, Textform unter Bedingungen möglich (§ 2 Abs. 1 NachwG)
• Grundstückskaufvertrag, der notariell beurkundet werden muss (§ 311b Abs. 1 BGB)
• Das eigenhändige Testament, handschriftlich geschrieben und unterschrieben (§ 2247 BGB)
• Mietvertrag über mehr als ein Jahr: Mit einer einfachen Signatur fehlt die Schriftform, und der Vertrag gilt auf unbestimmte Zeit (§ 550 BGB)

Beim Mietvertrag platzt nichts, nur die feste Laufzeit kippt. Und «ausgeschlossen» heißt nicht überall dasselbe. Bei § 126a BGB rettet die qualifizierte Signatur die Schriftform, bei § 623 BGB rettet gar keine Stufe etwas. Eine Kündigung per PDF ist unwirksam, egal wie aufwendig signiert wurde. Papier oder gar nichts.

Prüfen Sie den Dokumenttyp gegen die Formvorschrift, bevor Sie versenden. Das kostet fünf Minuten und erspart oft ein Dokument, das noch einmal auf Papier gehen muss.

Eine abgelehnte Signatur ist selten eine gefälschte. Meist passen das, was Sie geschickt haben, und das, was die Gegenseite oder das Gesetz brauchte, nicht zusammen.

Falsche Stufe. Die Gegenseite brauchte eine qualifizierte Signatur, meist weil ein Gesetz Schriftform verlangt, und Sie haben einfach signiert. Erneut senden hilft nicht. Sie brauchen ein Zertifikat eines qualifizierten Vertrauensdiensteanbieters.

Verfahren nicht vereinbart. Niemand muss Ihr Signaturverfahren akzeptieren, solange es nicht vereinbart ist. Banken, Versicherer und Behörden schreiben oft ihr eigenes vor.

Datei nach dem Signieren verändert. PDF glätten, Kommentar einfügen, in einem anderen Editor speichern: Jedes davon kann den Hash brechen.

Nachweis nicht vorzeigbar. Wer keine Kopie hat, die alle Beteiligten aufbewahren und unverändert wiedergeben können, bietet der Gegenseite im Streit einen Ansatzpunkt.

Abgelaufenes oder widerrufenes Zertifikat. Eine Signatur, die gültig erstellt wurde, kann bestehen bleiben. Später brauchen Sie Belege dafür, wann sie entstanden ist.

Ein Fall aus der Praxis

Ein Lieferant schickt einen unterzeichneten Rahmenvertrag. Die Rechtsabteilung öffnet ihn, fügt einen Kommentar ein, speichert und leitet ihn an die Buchhaltung weiter. Dort läuft eine Prüfung und meldet einen Fehler. Kurz Panik.

Gefälscht wurde nichts. Der Kommentar hat die Datei neu geschrieben, der Hash passt nicht mehr zu dem, der beim Signieren festgehalten wurde, und die Prüfung hat getan, was sie soll. Das Original war in Ordnung, die weitergereichte Kopie nicht. Wissen Sie nicht, welche Kopie Sie in der Hand halten, sagt Ihnen eine PDF-Signaturprüfung, ob die Signatur noch zur Datei passt.

Nicht viel, ehrlich gesagt. Was ist eine elektronische Signatur also, wenn man die Juristensprache abzieht? Ein Etikett für einen Willen, den das Recht bereitwillig anerkennt und den ein Gericht an der Beweislage dahinter misst.

Das ist auch der Maßstab für ein Signaturtool. Beurteilen Sie es nach dem Protokoll, das es hinterlässt, nicht nach dem Aussehen der Unterschrift:

• Ein zeitgestempeltes Prüfprotokoll der Signatur: wer geöffnet, unterschrieben oder abgelehnt hat, mit E-Mail und IP-Adresse je Schritt
• Ein Hash der Datei, damit sich spätere Änderungen zeigen
• Ein Export, den Sie behalten und ohne die App des Anbieters öffnen können
• Eine Ablage, die so lange hält wie die Aufbewahrungsfrist des Dokuments, nicht so lange wie Ihr Abo

Hier, was Chaindoc tut, weil Sie das auf unserem Blog lesen: Beim Hochladen wird jede Datei gehasht. Veröffentlichen Sie ein Dokument, geht der Hash dieser Version in eine öffentliche Blockchain, und der Nachweis jedes Unterzeichners wird festgehalten, sobald das Signieren abgeschlossen ist. Prüfprotokoll und Prüfbericht lassen sich als PDF exportieren, Dateien laufen über TLS. Eine normale Anfrage lädt alle gleichzeitig ein, eine feste Signaturreihenfolge gibt es über Freigabeabläufe im Business-Tarif.

An der Rechtslage ändert das nichts. Es ändert, was Sie vorzeigen können, wenn jemand fragt.