Was ist eine elektronische Signatur? Einfach erklärt

Eine elektronische Signatur ist die elektronische Entsprechung der Unterschrift: Daten, mit denen eine Person ein digitales Dokument unterzeichnet. Das kann ein Häkchen mit einem Klick sein oder eine kryptografische Signatur mit Zertifikat. Hier lesen Sie, wie das Gesetz sie definiert, was beim Unterschreiben online passiert, worin sie sich von der digitalen Signatur unterscheidet und wie Sie ein signiertes PDF selbst prüfen.

Die rechtliche Definition

In der EU steht die Definition in Art. 3 Nr. 10 der eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014). Als elektronische Signatur gelten dort „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet“. In diesem Satz stecken drei Elemente:

• Daten in elektronischer Form: ein Name, ein Bild, ein Code, eine kryptografische Signatur.
• Mit dem Dokument verbunden: beigefügt oder logisch verknüpft, zum Beispiel über ein Protokoll, das festhält, welches Dokument bestätigt wurde.
• Zum Unterzeichnen verwendet: Die Person will damit zustimmen, so wie mit einer Unterschrift auf Papier.

Unterzeichner kann nach Art. 3 Nr. 9 nur eine natürliche Person sein. Für Organisationen gibt es das elektronische Siegel.

Beispiele für elektronische Signaturen

• der getippte Name unter einer E-Mail;
• ein Häkchen und ein Klick auf „Akzeptieren“ oder „Unterschreiben“;
• eine mit dem Finger oder der Maus gezeichnete Unterschrift;
• ein eingescanntes Bild der eigenen Unterschrift in einem PDF;
• die Bestätigung mit einem Einmalcode, der per SMS oder E-Mail eintrifft;
• eine Signatur mit Zertifikat, erstellt mit einer Signaturkarte oder über einen Vertrauensdiensteanbieter.

Alle sind elektronische Signaturen. Sie unterscheiden sich darin, wie gut sie zeigen, wer unterschrieben hat und ob das Dokument danach verändert wurde.

Elektronische oder digitale Signatur?

Im Alltag werden die Begriffe oft gleichbedeutend verwendet, und wer nach einer „digitalen Unterschrift“ sucht, meint meist dasselbe. Genau genommen ist „elektronische Signatur“ der Rechtsbegriff aus eIDAS. „Digitale Signatur“ bezeichnet dagegen meist eine Technik: Aus dem Dokument wird ein Fingerabdruck berechnet (ein Hash), der mit einem privaten Schlüssel signiert wird. Mit dem passenden öffentlichen Schlüssel kann jeder prüfen, dass das Dokument seitdem nicht verändert wurde, und ein Zertifikat verbindet diesen Schlüssel mit einer Person. Fortgeschrittene und qualifizierte Signaturen beruhen in der Regel auf dieser Technik. Nicht jede digitale Signatur ist aber eine qualifizierte.

So funktioniert das Unterschreiben online, Schritt für Schritt

1. Der Absender lädt das Dokument hoch, legt die Unterschriftsfelder fest und gibt an, wer unterschreiben soll.
2. Jeder Unterzeichnende erhält einen Link und öffnet das Dokument im Browser, auch auf dem Smartphone.
3. Er bestätigt seine Identität, zum Beispiel mit einem Einmalcode per SMS; bei höheren Stufen auch mit der Prüfung seines Ausweises.
4. Er liest das Dokument und unterschreibt. Die Plattform berechnet den Fingerabdruck des Dokuments, sodass jede spätere Änderung erkennbar wird.
5. Das fertige Dokument kann ein elektronisches Siegel und einen Zeitstempel erhalten; ein Protokoll, der Audit-Trail, hält fest, wer wann und von wo aus unterschrieben hat.
6. Alle Beteiligten erhalten das unterzeichnete PDF.

Was eine elektronische Signatur vertrauenswürdig macht

• Identität: Wie wurde festgestellt, wer unterschreibt? Ein Einmalcode bindet die Signatur an ein Telefon oder ein E-Mail-Postfach, eine Ausweisprüfung an eine Person.
• Integrität: Lässt sich zeigen, dass das Dokument seit der Unterschrift unverändert ist?
• Zeitpunkt: Für einen qualifizierten Zeitstempel gilt die Vermutung der Richtigkeit von Datum und Uhrzeit (Art. 41 Abs. 2 eIDAS).
• Nachweise: Ein Audit-Trail, den Sie im Streitfall vorlegen können.

Die drei Stufen in Kürze

• Einfache elektronische Signatur (EES): jede elektronische Signatur im Sinne der Definition oben.
• Fortgeschrittene elektronische Signatur (FES): eindeutig dem Unterzeichner zugeordnet, ermöglicht seine Identifizierung, unter seiner alleinigen Kontrolle erstellt und so mit dem Dokument verbunden, dass Änderungen erkennbar sind (Art. 26).
• Qualifizierte elektronische Signatur (QES): eine FES mit qualifiziertem Zertifikat und qualifizierter Signaturerstellungseinheit; sie hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift (Art. 25 Abs. 2).

Wann welche Stufe passt, zeigt unser Vergleich der einfachen, fortgeschrittenen und qualifizierten Signatur mit Beispielen aus dem deutschen Recht.

Ist eine elektronische Signatur rechtsgültig?

Ja: Nach Art. 25 Abs. 1 eIDAS darf ihr die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden, weil sie elektronisch oder nicht qualifiziert ist. Für die meisten Verträge schreibt das deutsche Recht keine Form vor. Verlangt ein Gesetz aber die Schriftform, braucht es elektronisch eine QES (§ 126a BGB), und manche Erklärungen, etwa die Kündigung eines Arbeitsverhältnisses (§ 623 BGB), schließen die elektronische Form ganz aus. Die Einzelheiten stehen in unserem Beitrag darüber, wann eine elektronische Signatur rechtsgültig ist.

Was ist ein Signaturzertifikat?

Ein Zertifikat für elektronische Signaturen ist nach Art. 3 Nr. 14 eIDAS eine elektronische Bescheinigung, die die Daten zur Validierung einer Signatur mit einer natürlichen Person verknüpft und mindestens deren Namen oder Pseudonym bestätigt. Ein qualifiziertes Zertifikat stellt ein qualifizierter Vertrauensdiensteanbieter aus, und es muss die Anforderungen des Anhangs I erfüllen (Art. 3 Nr. 15). Wenn Sie in einem PDF-Reader eine Signatur öffnen, sehen Sie ihr Zertifikat: für wen es ausgestellt wurde, von wem und wie lange es gilt.

Wie prüfe ich ein signiertes PDF?

1. Im PDF-Reader: Ein Programm, das Signaturen anzeigt, listet sie in einem eigenen Bereich auf und meldet, ob das Dokument nach der Signatur verändert wurde.
2. Mit dem DSS-Validator der Europäischen Kommission: Er prüft Signaturen, Siegel und Zeitstempel nach europäischen Regeln. Es ist ein Demonstrationsdienst, und die Kommission rät, keine Dokumente mit sensiblem Inhalt hochzuladen.
3. In den EU-Vertrauenslisten: Über den Trusted List Browser sehen Sie, ob der Anbieter eines qualifizierten Zertifikats, Siegels oder Zeitstempels qualifiziert ist.

Unterschreiben mit DOCUJET

Bei DOCUJET laden Sie ein PDF hoch, legen fest, wo unterschrieben wird, und versenden es. Wer es erhält, öffnet es auf dem Handy, ohne ein Konto zu erstellen oder etwas zu installieren. Ab dem Tarif Starter bestätigen Unterzeichnende mit einem Einmalcode per SMS, und das unterzeichnete Dokument erhält ein qualifiziertes elektronisches Siegel und einen qualifizierten Zeitstempel von Namirial, einem qualifizierten Vertrauensdiensteanbieter. Das Siegel schützt das Dokument; es ist nicht die Signatur des Unterzeichners. Ab dem Tarif Business kommt die fortgeschrittene elektronische Signatur (FES) mit Identitätsprüfung hinzu. Eine QES bietet DOCUJET nicht an.

Am Ende jedes unterzeichneten PDFs steht ein Abschlussprotokoll von DOCUJET: wer unterzeichnet hat, mit welcher Kontaktangabe, an welchem Tag und um welche Uhrzeit, und der SHA-256-Fingerabdruck des Originaldokuments. Zusätzlich wird der Fingerabdruck des Dokuments in der Bitcoin-Blockchain verankert; auf unserer Prüfseite kann jeder ihn abgleichen. Dieser öffentliche Nachweis ergänzt die rechtlichen Nachweise, er ersetzt sie nicht. Welcher Tarif was enthält, zeigt die Preisseite im Überblick.

Quellen: Verordnung (EU) Nr. 910/2014 (eIDAS), Art. 3, 25, 26, 41; BGB § 126a, § 623; Europäische Kommission, DSS-Demonstrationsdienst; EU/EEA Trusted List Browser.

Bereit zum Ausprobieren?Eröffnen Sie ein kostenloses Konto: 3 Dokumente pro Monat, für immer, mit vollständigem Audit-Trail.Kostenlos starten →