Qualifizierte Elektronische Signatur: Der vollständige Leitfaden 2026

Eine qualifizierte elektronische Signatur (QES) ist eine fortgeschrittene elektronische Signatur, die mit einer qualifizierten Signaturerstellungseinheit erzeugt und durch ein qualifiziertes Zertifikat eines akkreditierten Vertrauensdiensteanbieters abgesichert wird. Das ist die formale Definition direkt aus dem EU-Recht, und jedes Wort darin hat Gewicht. "Fortgeschritten" bedeutet, dass die Signatur eindeutig mit Ihnen verknüpft und manipulationssicher ist. "Qualifizierte Einheit" bedeutet, dass Ihr privater Signaturschlüssel an einem Ort liegt, aus dem er sich tatsächlich nur schwer extrahieren lässt, nicht bloß in einer passwortgeschützten Datei. "Qualifiziertes Zertifikat" bedeutet, dass ein geprüfter Dritter Ihre Identität vor der Ausstellung kontrolliert und diese Prüfung veröffentlicht hat, damit sie später jeder nachvollziehen kann.

Hier der Teil, den die meisten Erklärungen auslassen: QES ist keine Marke und kein Produkt. Es ist ein Rechtsstatus. Jede Signatur, die die technische Messlatte aus der Verordnung (EU) 910/2014, gemeinhin eIDAS genannt, erfüllt, gilt als qualifiziert. Dutzende Anbieter in ganz Europa stellen QES-konforme Zertifikate aus, und die EU führt eine öffentliche Liste jedes einzelnen von ihnen.

Warum sollte Sie das interessieren? QES ist das einzige elektronische Signaturformat, das ein Gericht nach EU-Recht exakt wie eine handschriftliche Unterschrift behandeln muss. Nicht "vergleichbar". Gleichwertig. Genau diese Tatsache ist der Grund, warum Banken, Notare und Behörden ganze Arbeitsabläufe darauf aufbauen, und warum es sich lohnt, das Thema zu verstehen, selbst wenn Ihr Unternehmen nur gelegentlich mit EU-Papierkram zu tun hat.

Wenn Sie unseren verständlichen Leitfaden zu eIDAS 2.0 gelesen haben, kennen Sie bereits das dreistufige Signatursystem (SES, AES, QES), das sich unter der neueren Verordnung nicht verändert hat. Dieser Leitfaden konzentriert sich ausschließlich auf QES: was es ist, wie es sich von den darunterliegenden Stufen unterscheidet und wann Sie es tatsächlich brauchen.

Jede E-Signatur in der EU fällt in eine von drei Stufen, und die Unterschiede sind nicht kosmetisch. Es geht darum, wie viel Identitätsnachweis und Manipulationssicherheit hinter dem Klick stehen, genau der kryptografische Unterschied zwischen digitaler Signatur und elektronischer Signatur. Die einfache elektronische Signatur (SES) ist die niedrigste Stufe: ein getippter Name, ein Häkchen, eine eingescannte handschriftliche Unterschrift, die in ein PDF eingefügt wird. Sie ist rechtsgültig (Artikel 25 Absatz 1 besagt, dass keiner Signatur die Rechtswirkung allein deshalb abgesprochen werden darf, weil sie elektronisch ist), aber landet ein Streitfall vor Gericht, gibt eine SES einem Richter am wenigsten an die Hand.

Die fortgeschrittene elektronische Signatur (AES) legt die Messlatte höher. Sie muss eindeutig mit dem Unterzeichner verknüpft sein, ihn identifizieren können, mit Daten erstellt werden, die ausschließlich er kontrolliert, und jede nachträgliche Änderung erkennen können. Die meisten gängigen E-Signatur-Plattformen, Chaindoc eingeschlossen, liefern standardmäßig Signaturen auf AES-Niveau: Identitätsprüfung vor dem Dokumentenzugriff, ein bei der Signatur erzeugter kryptografischer Hash und ein manipulationssicherer Prüfpfad.

QES fügt zwei Dinge hinzu, die AES nicht hat: ein qualifiziertes Zertifikat eines akkreditierten Vertrauensdiensteanbieters und eine qualifizierte Signaturerstellungseinheit, die den privaten Schlüssel verwahrt. Diese Kombination verschafft QES den Status der Gleichwertigkeit mit der handschriftlichen Unterschrift.

Ehrlich gesagt reicht AES für die übergroße Mehrheit der B2B-Verträge völlig aus. Es ist keine Kompromissstufe, sondern die Stufe, auf die die meisten Unternehmen standardmäßig setzen sollten, sofern nicht ein konkretes Gesetz oder eine Vertragspartei mehr verlangt.

Das ist die Klausel, die den zusätzlichen Aufwand für QES rechtfertigt. Artikel 25 Absatz 2 der Verordnung 910/2014 legt fest, dass eine qualifizierte elektronische Signatur "die einer handschriftlichen Unterschrift gleichwertige Rechtswirkung" hat. Nicht vergleichbar. Nicht zulässig. Gleichwertig. Diese Formulierung zählt im Gerichtssaal, denn ein Richter muss die Beweiskraft einer QES nicht separat einschätzen, wie er es bei einer AES oder SES tun könnte; das Gesetz hat diese Entscheidung bereits getroffen.

Es gibt einen zweiten, leiseren Vorteil, der in derselben Verordnung verankert ist: die grenzüberschreitende Anerkennung. Eine QES, die von einem Vertrauensdiensteanbieter in Polen ausgestellt wurde, muss von einem Gericht oder Unternehmen in Portugal anerkannt werden, ganz ohne separates Rechtsgutachten. Das gilt nicht automatisch für AES, wo die Anerkennung stärker von den konkreten Umständen und den Beweisregeln des Empfängerlandes abhängen kann.

Nichts davon bedeutet, dass AES rechtlich schwach wäre. Artikel 25 Absatz 1 schützt jede elektronische Signatur, SES eingeschlossen, davor, ihre Rechtswirkung allein deshalb zu verlieren, weil sie elektronisch ist. QES entzieht dieses Argument nur vollständig. Will der Anwalt einer Vertragspartei die Gültigkeit einer Signatur anfechten, gibt ihm QES an dieser Front nichts in die Hand, er müsste stattdessen den zugrunde liegenden Sachverhalt der Vereinbarung angreifen.

Eine QES zu erhalten ist ein vierstufiger Prozess, und die Reihenfolge zählt, weil jeder Schritt vom vorherigen abhängt.

1. 1
   Identitätsprüfung durch einen QTSP. Ein qualifizierter Vertrauensdiensteanbieter überprüft, wer Sie sind, historisch über einen persönlichen Termin, heute häufiger über Video-Identifikation oder zunehmend über einen EUDI-Wallet-Nachweis. Dieser Schritt lässt sich nicht abkürzen. Die gesamte Rechtswirkung von QES beruht darauf, dass ein Dritter Ihre Identität tatsächlich bestätigt.
2. 2
   Schlüsselpaar-Erzeugung in einer QSCD. Sobald die Identität bestätigt ist, wird ein kryptografisches Schlüsselpaar erzeugt, und die private Hälfte liegt in einer qualifizierten Signaturerstellungseinheit: einer zertifizierten Chipkarte, einem USB-Token oder einer zertifizierten serverseitigen (Remote-)QSCD, die der QTSP selbst betreibt. Sie können diesen privaten Schlüssel nie exportieren oder kopieren. Das ist der Sinn der Sache.
3. 3
   Der QTSP stellt ein qualifiziertes Zertifikat aus. Laut Anhang I der Verordnung 910/2014 muss dieses Zertifikat Ihre verifizierte Identität an Ihren öffentlichen Schlüssel binden und den ausstellenden QTSP namentlich ausweisen.
4. 4
   Der Zertifikatsstatus wird veröffentlicht. Der Gültigkeitsstatus jedes qualifizierten Zertifikats wird über OCSP oder eine Sperrliste veröffentlicht, sodass jeder, der eine Signatur später prüft, bestätigen kann, dass das Zertifikat zum Signaturzeitpunkt gültig war, nicht nur, dass es existierte. Erneuerungszyklen liegen je nach Anbieter typischerweise bei 1 bis 3 Jahren.

Remote-QES hat diesen Prozess dramatisch weniger mühsam gemacht, als er früher war. Statt einen Notar oder ein Trust-Center persönlich aufzusuchen, schließen Sie einmalig eine Video-Identifikation oder wallet-basierte Authentifizierung ab, und eine serverseitige QSCD übernimmt das eigentliche Signieren, autorisiert bei jeder Signatur über eine App-Bestätigung oder einen Einmalcode. Sie erhalten dieselbe Rechtswirkung, nur ohne physisches Token, das in einer Schublade herumliegt.

Die Kosten variieren je nach QTSP und Volumen: Einzelne qualifizierte Zertifikate kosten üblicherweise ab €20 und bis zu €100 pro Jahr für einen einzelnen Nutzer, und Staffelpreise im Business-Segment können die Kosten pro Nutzer bei höheren Volumina deutlich unter €10 drücken. Es gibt keinen einzigen veröffentlichten EU-weiten Satz, prüfen Sie die aktuellen Preislisten daher direkt bei einem QTSP auf der Trusted List, statt mit einem festen Betrag zu kalkulieren.

Chaindocs Signatur-Workflow liefert derzeit standardmäßig für jedes Dokument Signaturen auf AES-Niveau (Identitätsprüfung, kryptografisches Hashing, blockchain-verankerter Prüfpfad). Wenn Ihr konkreter Vertrag oder Ihre Rechtsordnung eine vollständige QES verlangt, kombinieren Sie diesen Workflow mit einem QTSP-ausgestellten qualifizierten Zertifikat; die darunterliegende Prüfpfad-Architektur bleibt gleich, die Zertifikatsebene darüber ändert sich.

Hier werden viele Leitfäden ungenau, seien wir also präzise: Es gibt keine einzige EU-weite Liste von "Verträgen, die QES erfordern". Ob eine konkrete Vereinbarung QES, AES oder SES benötigt, entscheidet nationales Recht und manchmal auch, was die interne Richtlinie der Vertragspartei verlangt. eIDAS legt die technischen Definitionen und die Regeln zur grenzüberschreitenden Anerkennung fest; die Verordnung schreibt QES nicht einheitlich für bestimmte Vertragsarten in allen 27 Mitgliedstaaten vor.

Dennoch zeigen sich in Ländern des kontinentaleuropäischen Rechtskreises mit formalen "Schriftform"-Anforderungen einige durchgängige Muster. Deutschland ist das klarste Beispiel: § 126a BGB erlaubt es, die elektronische Form an die Stelle der gesetzlichen Schriftform treten zu lassen, allerdings nur, wenn die verwendete Signatur eine QES ist. Bestimmte Verbraucherkreditverträge, arbeitsrechtliche Mitteilungen und notariell geprägte Vorgänge in EU-Mitgliedstaaten stützen sich auf ähnliche QES-oder-nichts-Regeln.

Für alles außerhalb dieser konkreten gesetzlichen Ausnahmen, also für die meisten Handelsverträge, NDAs, Lieferantenvereinbarungen und Dienstleistungsverträge, ist AES rechtlich ausreichend und für alle Beteiligten deutlich reibungsloser. QES existiert für Fälle, in denen das Gesetz ausdrücklich Gleichwertigkeit mit der Handschrift verlangt, nicht als Standard-Upgrade, zu dem man vorsichtshalber greifen sollte.

Kurzfassung: QES selbst ändert sich unter eIDAS 2.0 nicht. Der vierstufige Ausstellungsprozess von oben, die Rechtswirkung nach Artikel 25 Absatz 2, die QTSP-/QSCD-Architektur, nichts davon hat sich bewegt. Was eIDAS 2.0 (Verordnung 2024/1183) hinzufügt, ist ein neuer Weg, um Schritt eins zu erledigen: Identitätsprüfung über einen EUDI-Wallet-Nachweis statt über eine eigenständige Video-Identifikationssitzung oder einen persönlichen Termin.

In der Praxis deutet das auf eine Zukunft hin, in der Sie sich einmal über Ihre Wallet authentifizieren und diese verifizierte Identität bei mehreren QES-Ausstellungsanfragen wiederverwenden, statt Ihre Identität jedes Mal von Grund auf neu nachzuweisen. Das ist ein echter Effizienzgewinn, aber Stand Mitte 2026 ist es noch ein aufkommender Weg, kein universeller Standard. Die Durchführungsrechtsakte und ETSI-Standards, die die wallet-gebundene QES-Ausstellung regeln, werden noch bis 2026 finalisiert, betrachten Sie die "wallet-ausgestellte QES" also als die Richtung der Entwicklung, nicht als etwas, das bereits jeder QTSP unterstützt.

Wenn Sie das vollständige regulatorische Bild wollen, einschließlich des Zeitplans für den Wallet-Rollout und welche Branchen sie bis wann akzeptieren müssen, behandelt unser eIDAS-2.0-Leitfaden das im Detail. Dieser Artikel konzentriert sich weiterhin darauf, was QES selbst heute erfordert.

QES ist ein Konstrukt des EU-Rechts, seine Garantie der Gleichwertigkeit mit der Handschrift nach Artikel 25 Absatz 2 ist also eine Aussage des EU-Rechts, keine globale. Das heißt nicht, dass ein QES-signiertes Dokument wertlos wird, sobald es eine Grenze überschreitet, aber die Rechtssicherheit verändert ihre Form.

Innerhalb der EU ist die grenzüberschreitende Anerkennung automatisch: Eine in einem Mitgliedstaat ausgestellte QES muss in jedem anderen akzeptiert werden. Außerhalb der EU hängt die Anerkennung vom eigenen Recht des Empfängerlandes ab und häufig von bilateralen Abkommen. Länder mit engen regulatorischen Beziehungen zur EU gewähren tendenziell eine ähnliche Anerkennung; andere erkennen die QES-Bezeichnung formal nicht an, wobei die zugrunde liegende Signatur nach deren eigenen allgemeinen Gesetzen zu elektronischen Signaturen typischerweise trotzdem als gültiger, manipulationssicherer elektronischer Nachweis zählt.

Die USA arbeiten mit einem grundlegend anderen Modell. Der ESIGN Act und die einzelstaatliche Übernahme des UETA schaffen kein Stufensystem wie SES/AES/QES; sie erklären umfassend jede elektronische Signatur für gültig, die durch eine klare Signaturabsicht gedeckt ist, unabhängig von der eingesetzten Technologie. Es gibt kein US-Rechtskonzept, das eins zu eins auf "qualifizierte elektronische Signatur" abbildet. Eine Signatur, die in der EU als QES gelten würde, ist nach US-Recht einfach eine gültige elektronische Signatur. Das ist gut zu wissen, wenn Sie ein US-Unternehmen sind und sich fragen, ob Sie im Inland eine QES nach EU-Vorbild brauchen: In der Regel nicht, ESIGN und UETA geben Ihnen bereits ohne sie starke Durchsetzbarkeit.

Für Unternehmen, die tatsächlich grenzüberschreitend tätig sind, besteht der praktische Ansatz darin, das Signaturformat an den Ort anzupassen, an dem eine Durchsetzung am wahrscheinlichsten stattfindet, statt vorsichtshalber überall standardmäßig auf QES zu setzen.

Eine QES ist nur so nützlich wie Ihre Fähigkeit, ihre Echtheit später zu beweisen, und genau hier kommt die Verifizierung ins Spiel. Der Status jedes qualifizierten Zertifikats wird vom ausstellenden QTSP veröffentlicht, Verifizierung bedeutet also, drei Dinge zu prüfen: Der kryptografische Hash stimmt exakt mit dem Dokument überein, wie es signiert wurde, das Zertifikat war zum Signaturzeitpunkt gültig (nicht abgelaufen oder widerrufen), und das Zertifikat lässt sich auf einen akkreditierten QTSP auf der EU Trusted List zurückführen.

Dieser letzte Punkt wird leicht übersehen. Der von der Europäischen Kommission geführte Trusted-List-Browser lässt jeden nachschlagen, welche Anbieter in welchem Mitgliedstaat akkreditiert sind. Wenn eine Signatur den QES-Status beansprucht, ihr Aussteller aber nicht auf der Liste erscheint, ist das ein Warnsignal, das sich zu untersuchen lohnt, bevor Sie sich auf das Dokument verlassen.

Sie brauchen keine spezialisierte Software, um das selbst zu prüfen. Chaindocs kostenloses PDF-Verifizierungstool lässt jeden die kryptografische Integrität und den Prüfpfad eines signierten Dokuments in Sekunden bestätigen, ganz ohne Konto. Für das umfassendere Compliance-Bild über eIDAS, DSGVO und NIST-Rahmenwerke hinweg geht unser Leitfaden zur Compliance digitaler Signaturen darauf ein, wie Verifizierung in eine breitere Audit-Haltung passt.

Die richtige Signaturstufe zu wählen, zählt weniger, als die meisten annehmen, und sie ordnungsgemäß zu verifizieren, zählt mehr. Eine QES, die niemand zu verifizieren sich die Mühe macht, trägt praktisch dasselbe Risiko wie eine unverifizierte SES: technisch konform, praktisch unbeweisbar, sollte sie je angefochten werden.