Die drei Arten der elektronischen Signatur im Vergleich

Elektronische Signatur ist der Oberbegriff der EU-Verordnung eIDAS: Daten in elektronischer Form, die jemand an ein Dokument anhängt oder mit ihm verknüpft, um damit zu unterzeichnen. Das Gesetz kennt drei Stufen darunter, die einfache, die fortgeschrittene und die qualifizierte elektronische Signatur. Sie unterscheiden sich darin, wie sicher Schlüssel und Zertifikat sind, wie der Unterzeichner geprüft wird und welche Rechtswirkung die Stufe hat. Für ein Dokument, das Sie erhalten oder signieren wollen, ist deshalb nicht die Frage „elektronische Signatur ja oder nein“, sondern: Welche Stufe liegt vor, und verlangt das passende Formrecht genau diese?

Was ist eine elektronische Signatur?

Die eIDAS-Verordnung fasst den Begriff in Artikel 3 Nummer 10 bewusst weit: Daten in elektronischer Form, die an andere elektronische Daten angehängt oder mit ihnen verknüpft werden und die der Unterzeichner zum Unterzeichnen nutzt. Ein Häkchen „Ich akzeptiere die Bedingungen“, der Name in der E-Mail-Signatur und eine kryptografische Signaturdatei fallen alle unter diesen Begriff.

Zwei Klarstellungen helfen beim Einordnen. Erstens: Artikel 25 Absatz 1 verbietet es Gerichten, einer elektronischen Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel nur deshalb abzusprechen, weil sie elektronisch ist oder die Anforderungen der qualifizierten Stufe nicht erfüllt. Wie überzeugend der Beweis ist, entscheidet der Einzelfall. Zweitens: Das technische Verfahren, oft digitale Signatur genannt, ist nicht dasselbe wie die Rechtskategorie; wie Hashwert, privater Schlüssel und Zertifikat zusammenspielen, erklärt Digitale Signatur erklärt.

Die drei Arten der elektronischen Signatur im Vergleich

Die Stufen bauen aufeinander auf: Jede qualifizierte ist auch eine fortgeschrittene und eine einfache Signatur, aber nicht umgekehrt. Der Unterschied nach oben ist kein anderes Verfahren, sondern ein strengeres Bündel aus Identitätsprüfung, Zertifikat und geschützter Schlüsselverwaltung.

Was jede Stufe konkret verlangt

Die einfache Stufe: Name und Wille reichen formal

Wer in Deutschland die Textform erfüllt, braucht keine Kryptografie: § 126b BGB verlangt eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, abgegeben auf einem dauerhaften Datenträger. Eine E-Mail mit Namen kann das sein. Die Schwäche liegt im Nachweis: Wer geklickt oder getippt hat, lässt sich hinterher selten sicher rekonstruieren.

Die fortgeschrittene Stufe: personengebundener Schlüssel

Artikel 26 eIDAS stellt vier Bedingungen: Die Signatur ist dem Unterzeichner eindeutig zugeordnet, ermöglicht seine Identifizierung, wird mit Signaturerstellungsdaten erstellt, die er unter alleiniger Kontrolle hat, und ist so mit den Daten verbunden, dass jede nachträgliche Änderung erkannt wird. Das leistet ein persönliches Zertifikat mit Passwort oder PIN. Die Identität muss aus der Signatur ableitbar sein, aber der Anbieter muss sie nicht selbst überprüft haben, und die Einheit muss nicht zertifiziert sein.

Die qualifizierte Stufe: geprüfte Identität und geschützte Einheit

Zur fortgeschrittenen Signatur kommen das vom überwachten Anbieter ausgestellte, qualifizierte Zertifikat und die qualifizierte Signaturerstellungseinheit; die Identität des Unterzeichners wurde vor der Ausstellung geprüft. Für diese Stufe gilt die Gleichstellung mit der handschriftlichen Unterschrift. Die Einzelheiten, inklusive Beantragung und Ausnahmen wie § 623 BGB, stehen auf der Seite Qualifizierte elektronische Signatur.

Zählt das Bild meiner Unterschrift als Signatur?

Das eingescannte oder eingefügte Grafikelement der Unterschrift ist rechtlich nach unten offen, aber technisch ohne Schutz: kein Schlüssel, kein Hashwert, beliebig kopierbar, und wer zwei Sätze im Dokument ändert, hinterlässt keine Spur. Als Beweis kommt es auf die Umstände an, unter denen die Datei entstanden ist. Für die gesetzlich vorgeschriebene schriftliche Form nach BGB genügt das Bild nicht; dort verlangt § 126 die eigenhändige Unterschrift auf Papier oder nach § 126a die qualifizierte elektronische Signatur. Eine kryptografische Signatur dagegen verbindet Name und Dokument so fest, dass Änderungen auffallen, und genau das lässt sich am Hashwert nachprüfen.

Wie sehen die Stufen als Datei aus?

Bei der einfachen Stufe gibt es meist keine eigene Datei: Der Name steht im Dokument selbst, der Nachweis liegt in Protokollen des Dienstes. Bei fortgeschrittenen und qualifizierten Signaturen entstehen kryptografische Dateien, typischerweise in drei Formen:

• .p7m: ein Umschlag, der das Dokument und die Signatur zusammen enthält, beschrieben bei P7M-Datei öffnen; stecken mehrere Signaturen darin, etwa .p7m.p7m, werden alle Unterzeichner aufgelistet.
• .p7s: die Signatur allein, ohne Dokument; das Original gehört dazu, wenn der Hashwert abgeglichen werden soll. Die Endung erklärt Dateiendung P7S.
• signierte PDF-Dateien: Die Signatur sitzt im PDF selbst (PAdES). Diese Seite öffnet ein einfaches PDF unverändert, liest aber keine Signaturfelder daraus heraus; wie Sie eine PDF-Signatur stattdessen prüfen, steht bei PDF-Signatur prüfen.

In Mails erscheint die kryptografische Signatur als Anhang smime.p7s, weil viele Programme die S/MIME-Signatur nicht selbst darstellen; der Anhang smime.p7s ist dann die Signatur, nicht die Nachricht. offnenp7s.de liest den Inhalt der Bytes, nicht den Dateinamen; eine Datei ohne Endung ist deshalb kein Hindernis. Das Unterzeichnerfeld zeigt Name, Zertifikatsdaten, Signaturzeit und die Stufe, die in der Datei steht, gelesen auf Ihrem Gerät. Mehr als diese Angaben leistet die Seite nicht: Vertrauensliste und Widerrufsstatus werden nicht kontrolliert, und ein Häkchen für gültig gibt es hier nicht. Die Validierung gegen europäische Vertrauenslisten übernimmt die Webanwendung der EU-Kommission, bei der die Datei an die Infrastruktur der EU geht; die Schritte vergleicht Signatur prüfen.

Welche Stufe brauchen Sie?

Als Entscheidungsregel: Schreibt ein Gesetz Schriftform vor und schließt die elektronische Form nicht aus, ist die QES das Werkzeug (§ 126a BGB). Verlangt es nur Textform, reicht der Name auf einem dauerhaften Datenträger (§ 126b BGB). Schließt ein Gesetz die elektronische Form aus, wie § 623 BGB bei der Kündigung, hilft keine Stufe. Und haben Sie eine Datei erhalten, in der eine elektronische Signatur steckt: Wählen Sie sie oben in der Dateiauswahl. Ein kostenloses Konto zeigt die Unterzeichnerdaten und die erste Seite; das vollständige Dokument ist kostenpflichtig. Die Datei verlässt dabei Ihr Gerät nicht.