Wie können elektronische Signaturen in Ihrem Unternehmen sicher eingesetzt werden?

Eine gefälschte Genehmigung, ein annullierter Vertrag oder eine Unterschrift, die ein Prüfer ein Jahr später nicht verifizieren kann, kostet weitaus mehr als die Minute, die ein Klick auf „Unterschreiben“ in Anspruch nimmt. Elektronische Signaturen sind fast überall rechtsverbindlich, doch „rechtsverbindlich“ und „sicher genug für dieses spezielle Dokument“ sind zwei verschiedene Dinge. Dieser Leitfaden erklärt die Funktionsweise elektronischer Signaturen, die Anforderungen des ESIGN Act, des UETA und des eIDAS sowie die Checkliste, die Ihr Unternehmen für die Implementierung benötigt, ohne Prüfungs- oder Betrugsprobleme zu verursachen.

Wichtige Erkenntnisse

• Elektronische Signaturen sind in den USA gemäß dem ESIGN Act (2000) und dem UETA (1999) rechtsverbindlich, in der EU gemäß der eIDAS-Verordnung, Verordnung (EU) Nr. 910/2014, die seit dem 1. Juli 2016 gilt.
• Nicht jede elektronische Signatur bietet die gleiche Sicherheit oder Rechtskraft. eIDAS definiert drei Stufen: Einfache (SES), Erweiterte (AES) und Qualifizierte (QES) elektronische Signaturen.
• Eine digitale Signatur ist eine kryptografische Untermenge der elektronischen Signaturen, die auf der Public Key Infrastructure (PKI) und Standards wie PAdES, XAdES und CAdES basiert und die Grundlage für AES und QES bildet.
• eIDAS 2.0 (Verordnung (EU) 2024/1183), die seit dem 20. Mai 2024 in Kraft ist, führt die EU Digital Identity (EUDI) Wallet ein, wobei die breitere Anwendung in den Mitgliedstaaten und die aktualisierten Verpflichtungen für qualifizierte Vertrauensdienste bis 2026 schrittweise eingeführt werden.
• Schlecht implementierte Arbeitsabläufe für elektronische Signaturen bergen ein erhebliches Risiko: gefälschte Genehmigungen, abgelehnte Verträge und Prüfungsfehler – all dies lässt sich durch einen dokumentierten Verifizierungs- und Härtungsprozess verhindern.

Veröffentlicht: Mai 2022. Aktualisiert: August 2026. Geprüft vom PKI-Team von Encryption Consulting.

Was ist eine elektronische Signatur und wie unterscheidet sie sich von einer digitalen Signatur?

Eine elektronische Signatur (E-Signatur) ist jedes elektronische Geräusch, Symbol oder Verfahren, das einem Datensatz beigefügt oder logisch mit diesem verknüpft ist und von einer Person mit der Absicht, diesen zu unterzeichnen, angewendet wird. Diese Definition, die dem US-amerikanischen ESIGN Act und dem UETA entnommen ist, ist bewusst weit gefasst. Sie umfasst einen getippten Namen, ein per Klick bestätigtes Kontrollkästchen, ein hochgeladenes Bild einer handschriftlichen Unterschrift und ein vollständig PKI-gestütztes digitales Signaturzertifikat.

Eine digitale Signatur ist eine spezielle, kryptografisch gesicherte Form der elektronischen Signatur. Sie verwendet einen privaten Schlüssel des Unterzeichners und ein öffentliches Schlüsselzertifikat einer Zertifizierungsstelle ( CA) innerhalb einer Public-Key-Infrastruktur (PKI) , um die Identität des Unterzeichners zu beweisen und nachträgliche Änderungen mathematisch zu erfassen. Jede digitale Signatur ist eine elektronische Signatur, aber die meisten elektronischen Signaturen (z. B. ein eingegebener Name, ein Klick auf ein Kontrollkästchen) sind keine digitalen Signaturen.

Eine handschriftliche Unterschrift ist die traditionelle Unterschrift mit Feder und Tinte auf Papier. Sie bietet keinen eingebauten Nachweis für Manipulationen und beruht ausschließlich auf dem physischen Besitz des Dokuments und, im Streitfall, auf einer Handschriftenanalyse.

Digitale Unterschrift

• Das Dokument wird kryptografisch versiegelt; jede nachträgliche Änderung ist erkennbar.
• Unterstützt durch ein PKI-Zertifikat, das von einer Zertifizierungsstelle ausgestellt wurde.
• Implementiert durch Standards wie PAdES, XAdES und CAdES.

Elektronische Unterschrift

• Erfasst die Absicht und Zustimmung des Unterzeichners, nicht unbedingt die Integrität des Dokuments.
• Die Verwendung von PKI kann je nach gewählter Signaturstufe erfolgen oder auch nicht.
• Dazu gehören eingegebene Namen, Unterschrift per Klick, OTP-Verifizierung und biometrische Verfahren.

Welche Gesetze und Standards regeln elektronische Signaturen?

Die Gültigkeit elektronischer Signaturen ist nicht nur eine Frage der Technologie; sie wird durch Gesetze und Verordnungen geregelt, und die Anforderungen unterscheiden sich zwischen den USA und der EU.

• UETA (1999) und ESIGN Act (2000), Vereinigte Staaten: Der Uniform Electronic Transactions Act (UETA), der von nahezu allen US-Bundesstaaten übernommen wurde, und der bundesweite ESIGN Act legen gemeinsam fest, dass einem Vertrag, einer Unterschrift oder einem Datensatz nicht allein aufgrund seiner elektronischen Form die Rechtswirkung abgesprochen werden darf. Beide Gesetze setzen voraus, dass der Unterzeichner die Absicht hat, zu unterschreiben, der elektronischen Geschäftsabwicklung zustimmt, dass ein Zusammenhang zwischen der Unterschrift und dem Datensatz besteht und dass der Datensatz präzise gespeichert und reproduziert werden kann.
• eIDAS-Verordnung, Europäische Union: Die Verordnung (EU) Nr. 910/2014, die seit dem 1. Juli 2016 gilt, ersetzte die frühere Richtlinie über elektronische Signaturen von 1999 und schuf einen einheitlichen EU-weiten Rechtsrahmen. Sie definiert drei Stufen elektronischer Signaturen und benennt „qualifizierte“ Vertrauensdiensteanbieter, deren Signaturen die stärkste rechtliche Vermutung der Gleichwertigkeit mit einer handschriftlichen Unterschrift genießen.
• eIDAS 2.0, gültig seit dem 20. Mai 2024: Die Verordnung (EU) 2024/1183 erweitert den ursprünglichen Rahmen und führt die Europäische Digitale Identitäts-Wallet (EUDI-Wallet) ein. Die Mitgliedstaaten führen den Zugriff auf die Wallet und die aktualisierten Verpflichtungen zu qualifizierten Vertrauensdiensten bis 2026 schrittweise ein. Organisationen, die Dokumente mit EU-Partnern unterzeichnen, sollten diese Einführung verfolgen, da sie Auswirkungen darauf hat, welche Signaturnachweise grenzüberschreitend anerkannt werden.
• PAdES, XAdES und CAdES: Diese technischen Standards des ETSI (PAdES ist als ETSI EN 319 142 veröffentlicht) definieren, wie eine fortgeschrittene oder qualifizierte elektronische Signatur für PDF-, XML- und CMS-basierte Dokumente erstellt wird, um die AES- und QES-Anforderungen von eIDAS zu erfüllen. Es handelt sich dabei nicht um optionale Formatierungsoptionen; sie bestimmen vielmehr, ob eine Signatur auch Jahre nach der Unterzeichnung noch verifizierbar ist.

Welche Technologien und Plattformen kommen in Ihrem Unternehmen für elektronische Signaturen infrage?

Bevor Sie eine Richtlinie verfassen, sollten Sie genau wissen, was in Ihrer Umgebung unter „elektronische Signatur“ fällt. Diese Kategorie umfasst ein breites Spektrum an Sicherheitsstufen.

• Tools zum Unterschreiben per Klick und zur Namenseingabe: Ein Kontrollkästchen, ein getippter Name oder ein eingescanntes Bild einer handschriftlichen Unterschrift ohne kryptografisches Siegel. Dies ist der Bereich der einfachen elektronischen Signatur (SES).
• Kommerzielle Plattformen für elektronische Signaturen: Tools, die die Identität des Unterzeichners über E-Mail-Links, Einmalpasswörter oder biometrische Daten verifizieren und einen Prüfpfad protokollieren. Je nach Konfiguration können diese auf SES- oder AES-Ebene arbeiten.
• PKI-gestützte digitale Signaturzertifikate: Von einer Zertifizierungsstelle ausgestellte Zertifikate, die eine echte AES- oder QES-Signatur ermöglichen, einschließlich Dokumentensignaturzertifikatsformate, die mit Adobe- und Microsoft-Signatur-Workflows verwendet werden.
• Qualifizierte Geräte zur Erstellung von Signaturen (QSCDs): Zur Erstellung einer qualifizierten elektronischen Signatur gemäß eIDAS werden Smartcards, USB-Tokens oder HSM-gestützte Remote-Signaturdienste benötigt.
• Die zugrundeliegende PKI: Die Zertifizierungsstelle, das Zertifikatslebenszyklusmanagement und die Schlüsselspeicherung, die die Zertifikate ausstellen, erneuern und widerrufen, auf die jede AES- und QES-Signatur angewiesen ist.

Welche Sicherheitsrisiken ergeben sich aus einem schlecht implementierten E-Signatur-Programm?

Das Risiko bei elektronischen Signaturen liegt fast nie im Konzept selbst, sondern in einem Missverhältnis zwischen Vertrauen und Sicherheit: der Verwendung einer Signatur mit geringer Sicherheit für ein wichtiges Dokument.

• Identitätsfälschung: Bei einem hochkarätigen Vertrag ohne Identitätsprüfung ermöglicht SES jedem, der Zugriff auf den Link hat, im Namen einer anderen Person zu „unterschreiben“.
• Zurückweisung: Ein Unterzeichner bestreitet die Unterzeichnung, weil die Plattform nicht genügend Beweise (Einwilligungsbildschirm, IP-Adresse, Zeitstempel, Authentifizierungsmethode) erfasst hat, um das Gegenteil zu beweisen.
• Unentdeckte Manipulation: Ohne ein kryptografisches Siegel kann ein Dokument nach der Unterzeichnung verändert werden, ohne dass es eine eingebaute Möglichkeit gibt, dies zu beweisen.
• Kompromiss beim Signaturschlüssel: Ein gestohlener privater Schlüssel oder ein unzureichend gesichertes Signaturzertifikat ermöglicht es einem Angreifer, Signaturen zu fälschen, die die volle rechtliche Bedeutung haben, die die Technologie normalerweise bietet.
• Compliance- und Auditversagen: Aufsichtsbehörden oder Wirtschaftsprüfer lehnen unterzeichnete Aufzeichnungen ab, wenn die Organisation die von ESIGN, UETA oder eIDAS geforderten Einwilligungserklärungen oder Aufbewahrungsnachweise nicht vorlegen kann.

Wie überprüft man die Gültigkeit und Integrität einer elektronischen Signatur?

1. Öffnen Sie das signierte Dokument in einem Validierungsprogramm, das den entsprechenden Standard unterstützt (Adobe Acrobat oder Reader für PAdES-signierte PDFs oder ein spezielles XAdES- oder CAdES-Validierungstool) und vergewissern Sie sich, dass der Signaturstatus „gültig“ lautet und nicht nur „vorhanden“.
2. Verfolgen Sie die Zertifikatskette hinter der Signatur zurück zu einer vertrauenswürdigen Stammzertifizierungsstelle und bestätigen Sie mithilfe von CRL- oder OCSP-Daten, dass das Signaturzertifikat zum Zeitpunkt der Signierung nicht abgelaufen oder widerrufen war.
3. Stellen Sie sicher, dass die Signatur das gesamte endgültige Dokument abdeckt und nicht nur einen Signaturblock, damit jede nachträgliche Änderung die Signatur ungültig macht.
4. Überprüfen Sie den eingebetteten Zeitstempel einer vertrauenswürdigen Zeitstempelstelle, um genau festzustellen, wann die Signatur angebracht wurde, unabhängig von der lokalen Geräteuhr des Unterzeichners.
5. Bei SES-Level-Signaturen ohne kryptografisches Siegel sollte man sich anstelle des Dokuments selbst auf den Prüfpfad der Plattform (Authentifizierungsmethode, IP-Adresse, Zustimmungsbildschirm, Zeitstempel) als Beweismittel verlassen.
6. Die Langzeitvalidierungsdaten (LTV), Zeitstempel und der Widerrufsstatus, die zum Zeitpunkt der Signatur eingebettet wurden, bleiben erhalten, damit die Signatur auch nach Ablauf des Signaturzertifikats selbst überprüfbar bleibt.

Wie können Sie elektronische Signaturen sicher in Ihrem Unternehmen einführen?

Nutzen Sie diese Checkliste bei der Einführung oder Überprüfung eines Programms für elektronische Signaturen.

1. Dokumente nach Risiko klassifizieren und die Signaturstufe entsprechend anpassen: SES für interne Genehmigungen mit geringem Risiko, AES für die meisten Handelsverträge, QES für alle Dokumente, die die stärkste rechtliche Vermutung erfordern (Immobilien, regulierte Anmeldungen, hochkarätige grenzüberschreitende EU-Vereinbarungen).
2. Leiten Sie AES- und QES-Signaturen über PKI-gestützte Zertifikate, die von einer verwalteten Zertifizierungsstelle ausgestellt werden, anstatt über selbstsignierte oder Ad-hoc-Zertifikate.
3. Speichern Sie private Signaturschlüssel in einem Hardware-Sicherheitsmodul oder einem qualifizierten Signaturerstellungsgerät anstatt im Software- oder Browserspeicher.
4. Vor der Ausstellung eines Unterschriftszertifikats an einen Mitarbeiter oder Vertragspartner ist eine Identitätsprüfung (Überprüfung des Personalausweises, Videoidentifizierung oder eines bestehenden Firmenausweises) durchzuführen.
5. Erfassen und speichern Sie einen vollständigen Prüfpfad für jedes Signaturereignis: Authentifizierungsmethode, IP-Adresse, Gerät, angezeigte Zustimmungssprache und Zeitstempel, um die Beweisanforderungen von ESIGN, UETA und eIDAS zu erfüllen.
6. Setzen Sie auf Zertifikatslebenszyklusmanagement, automatisierte Verlängerung, Widerruf und Ablaufüberwachung, damit ein abgelaufenes oder widerrufenes Zertifikat niemals stillschweigend ein Dokument signiert.
7. Aktivieren Sie die Langzeitvalidierung von PAdES-, XAdES- und CAdES-Signaturen, damit diese auch nach Ablauf des Signaturzertifikats überprüfbar bleiben.
8. Überprüfen Sie regelmäßig die Konfigurationen von Anbietern und Plattformen im Hinblick auf die aktuellen eIDAS- und ESIGN/UETA-Anforderungen, insbesondere im Zusammenhang mit der Einführung der EUDI Wallet, damit grenzüberschreitende Signaturen weiterhin erkannt werden.

Einfache, fortgeschrittene und qualifizierte elektronische Signaturen: Welche sollten Sie verwenden?

eIDAS unterteilt elektronische Signaturen in drei Stufen basierend auf Identitätsprüfung, Manipulationssicherheit und Rechtskraft.

Signaturtyp	Identitäts Verifikation	Manipulationsnachweis	Gesetzliches Gewicht	Typischer Anwendungsfall
Einfach (SES)	Minimal oder gar nicht	Keine; kein kryptografisches Siegel	Rechtlich gültig, aber am einfachsten anzufechten.	Interne Genehmigungen, Bestätigungen bei geringem Risiko
Fortgeschritten (AES)	Gegenüber dem Unterzeichner verifiziert, PKI-gesichert	Kryptografisch gesichert; Änderungen erkennbar	Starke rechtliche Vermutung, im Allgemeinen ausreichend für die meisten Verträge	Handelsverträge, Lieferantenvereinbarungen, Personaldokumente
Qualifiziert (QES)	Persönlich oder durch ein qualifiziertes Verfahren verifiziert, verknüpft mit einem QSCD	Kryptografisch auf höchstem Sicherheitsniveau versiegelt	Entspricht einer handschriftlichen Unterschrift gemäß eIDAS	Immobilientransaktionen, regulierte Meldungen, hochvolumige grenzüberschreitende EU-Verträge

Welche Einschränkungen gibt es bei elektronischen Signaturen?

• Elektronische Signaturen erfüllen nicht automatisch die Anforderungen aller Rechtsordnungen. Bestimmte Dokumente, wie beispielsweise Testamente, einige Gerichtsdokumente und bestimmte Grundbucheinträge, können je nach lokalem Recht weiterhin eine handschriftliche Unterschrift oder eine notarielle Beglaubigung erfordern.
• SES bietet zwar Komfort, hat aber eine geringe Beweiskraft. Eine Organisation, die bei hochkarätigen Verträgen auf SES setzt, tauscht Rechtssicherheit gegen Schnelligkeit.
• QES erfordert ein qualifiziertes Signaturerstellungsgerät und einen qualifizierten Vertrauensdienstleister, was zusätzliche Kosten und einen erhöhten Aufwand bei der Einrichtung mit sich bringt, der nicht für jede Transaktion gerechtfertigt ist.
• Der qualifizierte Status gemäß eIDAS ist EU-spezifisch. Ein QES genießt außerhalb der EU nicht automatisch dieselbe Anerkennung, und US ESIGN/UETA definiert keine gleichwertige „qualifizierte“ Stufe. Daher müssen grenzüberschreitende Programme in jeder Jurisdiktion rechtlich geprüft werden.
• Die Langzeitvalidierung funktioniert nur, wenn die Signaturplattform zum Zeitpunkt der Signatur Zeitstempel und Widerrufsdaten einbettet; sie kann nicht nachträglich hinzugefügt werden.

Was würde Encryption Consulting empfehlen?

Das größte Risiko bei Programmen für elektronische Signaturen lässt sich auf eine Schwachstelle zurückführen: Die Zertifikate und Schlüssel hinter AES- und QES-Signaturen werden nicht mit der gleichen Sorgfalt verwaltet wie die übrige PKI der Organisation. Zwei Maßnahmen schließen diese Lücke.

Zunächst sollten Sie Signaturzertifikate über PKI-as-a-Service ausstellen , anstatt eine eigene Zertifizierungsstelle einzurichten und zu betreiben. Dadurch erhält Ihr Unternehmen die für AES- und QES-Signaturen erforderliche Identitätsprüfung, den Schlüsselschutz und die Protokollierung, ohne den Aufwand für den internen Betrieb einer Zertifizierungsstelleninfrastruktur.

Zweitens sollte mit CertSecure Manager das Lebenszyklusmanagement jedes Signaturzertifikats implementiert werden , sodass Erneuerung, Widerruf und Ablauf automatisch erfasst werden und nicht erst bei einem Validierungsfehler einer Signatur festgestellt werden. Organisationen, die im Rahmen ihres Release-Prozesses auch Code oder Firmware signieren, können dieselbe Zertifikatsdisziplin über CodeSign Secure anwenden , da sowohl die Codesignierung als auch die Dokumentensignatur auf denselben PKI-Konzepten basieren.

Encryption Consulting arbeitet nach den Standards ISO/IEC 27001:2022 und SOC 2 und integriert eine DSGVO-konforme Datenverarbeitung in seine PKI- und Signaturdienste, was für Organisationen, deren Signaturprogramm einer eIDAS- oder ESIGN/UETA-Prüfung standhalten muss, von direkter Bedeutung ist.

Update-Protokoll

August 2026: Aktualisiert mit dem aktuellen Status von eIDAS 2.0 und der EU-Digitalen Identitäts-Wallet, ergänzt um detaillierte Informationen zu den Standards PAdES, XAdES und CAdES, einem Verfahren zur Überprüfung der Signaturgültigkeit, einer Checkliste für die Implementierung von Sicherheitsmaßnahmen, einem Abschnitt zu Einschränkungen, einem FAQ-Bereich sowie dem vollständigen Artikel, den FAQs und den Breadcrumb-Daten. Der Originalartikel wurde im Mai 2022 veröffentlicht und behandelt die Definitionen von SES, AES und QES sowie den Unterschied zwischen digitaler und elektronischer Signatur.

Fazit

Elektronische Signaturen sind gemäß ESIGN Act, UETA und eIDAS rechtsverbindlich. „Rechtsverbindlichkeit“ ist jedoch lediglich eine Mindestanforderung, keine Sicherheitsgarantie. Die gewählte Signaturstufe – einfach, erweitert oder qualifiziert – bestimmt die Beweiskraft im Falle einer Anfechtung. Passen Sie die Stufe dem Risiko des Dokuments an, sichern Sie AES- und QES-Signaturen mit ordnungsgemäß verwalteten PKI-Zertifikaten ab, überprüfen Sie die Gültigkeit der Signatur, anstatt sie vorauszusetzen, und protokollieren Sie jeden Signaturvorgang. Nur diese Kombination macht eine elektronische Signatur wirklich sicher genug, um sich darauf verlassen zu können.

Häufig gestellte Fragen

Sind elektronische Signaturen rechtsverbindlich? Ja. In den Vereinigten Staaten legen der ESIGN Act (2000) und der UETA (1999) fest, dass einer Signatur oder einem Vertrag die Rechtswirkung nicht allein deshalb abgesprochen werden darf, weil sie elektronisch ist. In der Europäischen Union verleiht die eIDAS-Verordnung elektronischen Signaturen Rechtskraft, wobei qualifizierte elektronische Signaturen die stärkste Vermutung der Gleichwertigkeit mit einer handschriftlichen Unterschrift genießen.

Was ist der Unterschied zwischen einer elektronischen Signatur und einer digitalen Signatur? Eine elektronische Signatur ist jede elektronische Kennzeichnung, die mit der Absicht zu unterschreiben angebracht wird, beispielsweise ein eingegebener Name oder ein Klick. Eine digitale Signatur ist eine kryptografisch gesicherte Unterkategorie der elektronischen Signaturen, die auf einer Public-Key-Infrastruktur (PKI) basiert und zusätzlich beweist, dass das Dokument nach der Unterzeichnung nicht verändert wurde.

Benötige ich eine qualifizierte elektronische Signatur für meine Verträge? In der Regel nicht. Die meisten Handelsverträge sind mit einer fortgeschrittenen elektronischen Signatur (Advanced Electronic Signature, AES) und einem PKI-Zertifikat ausreichend. Eine qualifizierte elektronische Signatur (QES) ist im Allgemeinen Transaktionen vorbehalten, bei denen das Gesetz die höchstmögliche Rechtsvermutung vorschreibt, wie beispielsweise bestimmte Immobilienübertragungen oder regulierte EU-Anmeldungen.

Kann eine elektronische Signatur gefälscht oder manipuliert werden? Eine einfache elektronische Signatur ohne kryptografisches Siegel kann gefälscht oder das zugrundeliegende Dokument unbemerkt verändert werden. Eine fortgeschrittene oder qualifizierte elektronische Signatur, die auf einer Public-Key-Infrastruktur (PKI) basiert, versiegelt das Dokument kryptografisch. Jede Änderung nach der Unterzeichnung führt daher zur Ungültigkeit der Signatur und ist bei der Überprüfung erkennbar.

Was geschieht mit einem signierten Dokument, wenn das Signaturzertifikat abläuft? Wenn die Plattform bei der Signierung Langzeitvalidierungsdaten (LTV), einen Zeitstempel und den Sperrstatus hinterlegt hat, bleibt die Signatur auch nach Ablauf des Zertifikats verifizierbar. Ohne LTV kann die Überprüfung einer älteren Signatur die manuelle Prüfung des historischen Zertifikatsstatus erfordern. Daher ist das Zertifikatslebenszyklusmanagement genauso wichtig wie der Signiervorgang selbst.

Referenzen

• Gesetz über elektronische Signaturen im globalen und nationalen Handel (ESIGN-Gesetz), Öffentliches Gesetz 106-229 (2000) – govinfo.gov
• Einheitliches Gesetz über elektronische Transaktionen (UETA) (1999), Einheitliche Rechtskommission – uniformlaws.org
• Verordnung (EU) Nr. 910/2014 (eIDAS) – eur-lex.europa.eu
• Europäische Kommission, Überblick über die Gesetzgebung zur elektronischen Signatur – ec.europa.eu
• PAdES (PDF Advanced Electronic Signatures), ETSI EN 319 142 – en.wikipedia.org
• XAdES (XML Advanced Electronic Signatures) – en.wikipedia.org
• CAdES (CMS Advanced Electronic Signatures) – en.wikipedia.org