Elektronische Signatur: rechtssicher unterschreiben

Verträge ausdrucken, unterschreiben, einscannen und zurücksenden kostet Zeit und bricht jeden digitalen Prozess. Elektronische Signaturen ersetzen diesen Umweg, werfen aber eine Frage auf, die viele Betriebe zögern lässt: Hält das vor Gericht? Die Antwort hängt davon ab, welche Signaturstufe verwendet wird und welche Form das jeweilige Rechtsgeschäft verlangt. Beides ist in der eIDAS-Verordnung und im deutschen Zivilrecht geregelt und weniger kompliziert, als es zunächst wirkt. Dieser Beitrag ordnet die drei Signaturstufen ein, zeigt typische Anwendungsfälle und beschreibt, worauf bei der Auswahl einer Lösung zu achten ist. Er ersetzt keine Rechtsberatung.

Die drei Stufen der eIDAS-Verordnung

Die EU-Verordnung 910/2014, üblicherweise eIDAS genannt, gilt seit 2016 unmittelbar in allen Mitgliedstaaten. Sie unterscheidet drei Stufen elektronischer Signaturen, die sich in ihren technischen Anforderungen und in ihrer rechtlichen Wirkung unterscheiden.

Einfache elektronische Signatur (EES)

Die niedrigste Stufe umfasst praktisch jede Form elektronischer Daten, die einer Unterzeichnung dienen. Ein eingescannter Namenszug unter einer PDF, ein Klick auf eine Zustimmungsschaltfläche oder ein mit dem Finger gezeichneter Schriftzug auf einem Tablet fallen darunter. Technische Anforderungen an die Identitätsprüfung gibt es nicht.

Rechtlich ist die einfache Signatur nicht wertlos: Nach eIDAS darf ihr die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch ist. Sie taugt aber schlecht als Beweismittel, weil der Nachweis, wer tatsächlich unterschrieben hat, schwerfällt.

Fortgeschrittene elektronische Signatur (FES)

Die mittlere Stufe muss vier Bedingungen erfüllen: Sie ist eindeutig der unterzeichnenden Person zugeordnet, ermöglicht deren Identifizierung, wird mit Mitteln erstellt, die unter deren alleiniger Kontrolle stehen, und ist so mit dem Dokument verbunden, dass jede nachträgliche Änderung erkennbar wird.

In der Praxis setzen Anbieter das über kryptografische Zertifikate um, kombiniert mit einer Identifizierung per E-Mail-Bestätigung, SMS-Code oder Ausweisprüfung. Das Ergebnis ist ein Prüfprotokoll, das Zeitstempel, IP-Adresse, Authentifizierungsschritte und einen Integritätsnachweis für das Dokument enthält. Für die große Mehrheit geschäftlicher Vereinbarungen ist diese Stufe der praktikable Standard.

Qualifizierte elektronische Signatur (QES)

Die höchste Stufe erfordert ein qualifiziertes Zertifikat von einem Vertrauensdiensteanbieter, der in der EU-Vertrauensliste geführt wird, und eine qualifizierte Signaturerstellungseinheit. Die Identität wird vorab zweifelsfrei geprüft, etwa per Video-Ident, eID-Funktion des Personalausweises oder persönlicher Vorsprache.

Nur die QES ist der handschriftlichen Unterschrift rechtlich gleichgestellt. Sie erfüllt damit die gesetzliche Schriftform nach § 126a BGB und genießt im Zivilprozess eine gesetzliche Vermutung der Echtheit nach § 371a ZPO. Für alles, was zwingend Schriftform verlangt, führt kein Weg an ihr vorbei.

Merkmal	EES	FES	QES
Identitätsprüfung	keine	mittelbar	zweifelsfrei, vorab
Manipulationserkennung	nein	ja	ja
Ersetzt Schriftform	nein	nein	ja
Beweiskraft	gering	Prüfprotokoll als Indiz	gesetzliche Vermutung
Aufwand für Unterzeichner	minimal	gering	Identifizierung erforderlich

Welche Form verlangt das Gesetz?

Der entscheidende Punkt wird oft übersprungen: Die meisten Verträge in Deutschland unterliegen der Formfreiheit. Kaufverträge, Dienstleistungsvereinbarungen, Angebotsannahmen, Rahmenverträge oder Auftragsbestätigungen sind auch mündlich wirksam. Wo keine Form vorgeschrieben ist, genügt jede Signaturstufe für die Wirksamkeit; die Wahl richtet sich dann allein danach, wie gut man den Abschluss im Streitfall belegen kann.

Schriftform ist die Ausnahme, aber eine folgenreiche. Sie ist unter anderem vorgesehen bei:

• Befristungsabreden in Arbeitsverträgen nach § 14 Abs. 4 TzBfG
• Kündigungen von Arbeitsverhältnissen nach § 623 BGB, hier ist die elektronische Form sogar ausdrücklich ausgeschlossen
• Bürgschaftserklärungen von Nichtkaufleuten nach § 766 BGB
• Verbraucherdarlehensverträgen nach § 492 BGB
• Mietverträgen über Grundstücke mit einer Laufzeit von mehr als einem Jahr nach § 550 BGB

Für einige dieser Fälle schließt das Gesetz die elektronische Form vollständig aus. Dann hilft auch die QES nicht, und es bleibt bei Papier. Für andere Fälle genügt die QES als Ersatz der Schriftform. Wieder andere Geschäfte, etwa Grundstückskaufverträge, verlangen notarielle Beurkundung und liegen ohnehin außerhalb der Reichweite von Signatursoftware.

Hinzu kommt die vertraglich vereinbarte Schriftform. Steht in einem bestehenden Vertrag eine Klausel, die Änderungen nur schriftlich zulässt, sollte geklärt werden, ob damit die gesetzliche Schriftform gemeint ist oder ob eine Textform genügt. Diese Einordnung ist eine allgemeine Übersicht und ersetzt im Zweifelsfall die anwaltliche Prüfung nicht.

Typische Anwendungsfälle in kleinen Unternehmen

Die Zuordnung von Signaturstufe zu Anwendungsfall folgt einer einfachen Logik: Wie hoch ist das wirtschaftliche Risiko, und wie wahrscheinlich ist ein Streit über die Echtheit?

• Interne Freigaben, Empfangsbestätigungen, Kenntnisnahmen: einfache Signatur genügt in aller Regel.
• Angebote, Auftragsbestätigungen, Dienstleistungsverträge, Geheimhaltungsvereinbarungen, Auftragsverarbeitungsvereinbarungen: fortgeschrittene Signatur. Der Aufwand bleibt niedrig, das Prüfprotokoll liefert im Zweifel belastbare Anhaltspunkte.
• Unbefristete Arbeitsverträge ohne Befristungsabrede: fortgeschrittene Signatur ist möglich, viele Betriebe wählen dennoch die höhere Stufe.
• Befristete Arbeitsverträge, Darlehensverträge, langfristige Gewerbemietverträge: qualifizierte Signatur, sofern die elektronische Form nicht ausgeschlossen ist.
• Kündigung von Arbeitsverhältnissen: ausschließlich Papier mit eigenhändiger Unterschrift.

Ein praktischer Hinweis: Die QES verlangt eine Identifizierung des Unterzeichners. Wenn die Gegenseite ein Kunde ist, der dafür ein Video-Ident-Verfahren durchlaufen muss, entstehen Abbrüche. Diesen Reibungsverlust gegen den Sicherheitsgewinn abzuwägen, gehört zur Entscheidung.

Auswahlkriterien für eine Signaturlösung

Der Markt reicht von schlanken Werkzeugen für gelegentliche Unterschriften bis zu Plattformen mit Vertragsverwaltung und Vorlagensteuerung. Abgerechnet wird meist pro Nutzer und Monat oder nach Anzahl der Signaturvorgänge, wobei QES-Vorgänge regelmäßig zusätzlich pro Signatur berechnet werden.

Relevante Prüfpunkte:

Unterstützte Stufen. Nicht jede Lösung bietet QES an. Wer sie nur selten braucht, kann eine Lösung mit FES als Standard und QES als Zubuchoption wählen.

Vertrauensdiensteanbieter. Bei QES sollte nachvollziehbar sein, welcher qualifizierte Vertrauensdiensteanbieter dahintersteht und ob er in der EU-Vertrauensliste geführt wird.

Identifizierungsverfahren. Verfügbar sind je nach Anbieter Video-Ident, eID über den Personalausweis, Bankidentifikation oder Identifizierung in Filialen. Je mehr Optionen, desto geringer die Abbruchquote.

Datenschutz. Signaturprozesse verarbeiten personenbezogene Daten. Serverstandort, Auftragsverarbeitungsvereinbarung nach Artikel 28 DSGVO und Löschfristen für hochgeladene Dokumente gehören geklärt, bevor der erste Vertrag im System liegt.

Archivierung und Beweiswert. Signierte Dokumente behalten ihre Beweiskraft nur, wenn sie unverändert aufbewahrt werden. Kryptografische Verfahren können über lange Zeiträume an Stärke verlieren, weshalb bei sehr langen Aufbewahrungsfristen eine Nachsignatur oder Archivierung mit qualifizierten Zeitstempeln sinnvoll ist. Das signierte PDF gehört in die reguläre revisionssichere Ablage, nicht nur in das Anbieterportal.

Export und Ausstieg. Zugriff auf alle signierten Dokumente samt Prüfprotokollen muss auch nach Vertragsende möglich sein. Ein reiner Portalzugang ohne vollständigen Export ist eine Abhängigkeit.

Prüfbarkeit. Signaturen sollten sich mit unabhängigen Werkzeugen verifizieren lassen, ohne dass die Prüfung nur im System des Anbieters funktioniert.

Bedienung auf dem Smartphone. Ein erheblicher Teil der Unterschriften erfolgt mobil. Prozesse, die dort hakeln, verzögern Abschlüsse.

Einführung ohne Reibungsverluste

Sinnvoll ist der Start mit einem klar abgegrenzten Dokumententyp, etwa Angebotsannahmen oder Geheimhaltungsvereinbarungen. Dort ist das Volumen hoch genug für einen sichtbaren Effekt und das Risiko überschaubar.

Parallel lohnt eine kurze interne Festlegung, welche Dokumentart mit welcher Stufe unterzeichnet wird und wer Signaturvorgänge auslösen darf. Ohne diese Regel entscheidet im Alltag der Zufall, und die höchste Stufe wird entweder überall oder nirgends verwendet.

Wichtig ist außerdem die Ablage: Signierte Dokumente gehören mitsamt Prüfprotokoll in das reguläre Archiv des Unternehmens. Wer sie ausschließlich beim Signaturanbieter belässt, verliert im Zweifelsfall den Zugriff genau dann, wenn er gebraucht wird.

Häufige Fragen

Ist eine per Signaturtool unterschriebene Rechnung steuerlich anerkannt?

Für Rechnungen verlangt das Umsatzsteuerrecht keine Signatur. Erforderlich ist die Echtheit der Herkunft, die Unversehrtheit des Inhalts und die Lesbarkeit, was auch über ein innerbetriebliches Kontrollverfahren sichergestellt werden kann. Eine elektronische Signatur ist eine mögliche, aber keine vorgeschriebene Methode. Für die Archivierung gelten die GoBD-Anforderungen unabhängig davon, ob signiert wurde.

Genügt ein Scan meiner Unterschrift, die ich in PDFs einfüge?

Das ist eine einfache elektronische Signatur. Sie ist bei formfreien Geschäften wirksam, aber schwach im Beweis: Ein Bild lässt sich kopieren, und ohne Manipulationsschutz ist nicht erkennbar, ob das Dokument nach dem Einfügen verändert wurde. Bei Vereinbarungen mit relevantem Wert ist eine fortgeschrittene Signatur die deutlich robustere Wahl.

Gilt eine in Deutschland erstellte qualifizierte Signatur auch im EU-Ausland?

Ja. Nach der eIDAS-Verordnung wird eine qualifizierte elektronische Signatur, die auf einem in einem Mitgliedstaat ausgestellten qualifizierten Zertifikat beruht, in allen anderen Mitgliedstaaten als solche anerkannt. Bei Verträgen mit Bezug zu Drittstaaten außerhalb der EU sollte die Anerkennung gesondert geprüft werden, da dort abweichende Regeln gelten.