Was eine qualifizierte elektronische Signatur ist und wie Sie sie beantragen

Eine qualifizierte elektronische Signatur (QES) ist die höchste Stufe der elektronischen Signatur in der Europäischen Union. Sie beruht auf einem qualifizierten Zertifikat, wird mit einer qualifizierten Signaturerstellungseinheit erzeugt, und der Unterzeichner musste vorher seine Identität gegenüber dem Anbieter nachweisen. Nach Artikel 25 Absatz 2 der eIDAS-Verordnung hat sie die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Für Sie heißt das: Wenn Sie eine qualifizierte elektronische Signatur brauchen, führt der Weg über einen überwachten Anbieter. Wenn Ihnen eine Datei damit zugeschickt wurde, sehen Sie die Signaturdaten oben im Feld, ohne die Datei hochzuladen.

Was eine qualifizierte elektronische Signatur ausmacht

Die eIDAS-Verordnung definiert die QES in Artikel 3 Nummer 12: eine fortgeschrittene elektronische Signatur, die von einer qualifizierten Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht. Hinter diesem Satz stehen vier Bausteine.

• Fortgeschrittene Signatur: Sie muss nach Artikel 26 dem Unterzeichner eindeutig zugeordnet sein, seine Identifizierung ermöglichen, unter seiner alleinigen Kontrolle erstellt werden und jede nachträgliche Änderung der Daten erkennen lassen.
• Qualifiziertes Zertifikat: Es verknüpft den Namen des Unterzeichners mit dem Signaturschlüssel, wird von einem qualifizierten Anbieter ausgestellt und erfüllt die Vorgaben von Anhang I.
• Qualifizierte Signaturerstellungseinheit: Das ist die geschützte Hardware oder eine vom Anbieter verwaltete Einheit, aus der der Signaturschlüssel nicht herausgelangt.
• Beaufsichtigter Anbieter: Nur wer den Status eines qualifizierten Vertrauensdiensteanbieters hat und in der Vertrauensliste steht, darf solche Zertifikate ausstellen.

Eine QES ist damit mehr als ein Bild einer Unterschrift in einem Dokument: eine kryptografische Signatur, deren Schlüssel auf eine vorher geprüfte Person ausgestellt ist. Wie die Technik im Einzelnen arbeitet, erklärt Digitale Signatur erklärt, und die drei Stufen nebeneinander zeigt Arten elektronischer Signaturen.

Ersetzt die QES die handschriftliche Unterschrift?

Auf EU-Ebene regelt Artikel 25 Absatz 2 eIDAS die Gleichstellung: Die qualifizierte elektronische Signatur hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Für Online-Dienste öffentlicher Stellen legt Artikel 27 Absatz 3 fest, dass die Mitgliedstaaten grenzüberschreitend keine Signatur mit einem höheren Sicherheitsniveau als der QES verlangen dürfen.

Für Deutschland kommt § 126a BGB hinzu. Er erlaubt, die gesetzlich vorgeschriebene schriftliche Form durch die elektronische Form zu ersetzen: Der Aussteller fügt seinen Namen hinzu und versieht das elektronische Dokument mit seiner qualifizierten elektronischen Signatur. Bei Verträgen müssen beide Parteien ein gleichlautendes Dokument auf diese Weise signieren. Der Text steht auf gesetze-im-internet.de.

Die Grenze steht in § 126 BGB: Die schriftliche Form ist nur ersetzbar, „wenn sich nicht aus dem Gesetz ein anderes ergibt“. Ein Beispiel: § 623 BGB schreibt für die Kündigung eines Arbeitsverhältnisses die Schriftform vor und schließt die elektronische Form ausdrücklich aus. Dort hilft auch die QES nicht. Ob ein bestimmtes Dokument qualifiziert signiert sein muss oder darf, entscheidet stets die jeweilige Formvorschrift; ein pauschales Ja oder Nein gibt es nicht.

Was Sie brauchen, um eine qualifizierte Signatur zu erstellen

Ohne einen Vertrauensdiensteanbieter geht es nicht: Zertifikat und Erstellungseinheit müssen zusammenpassen. Sie benötigen

• ein qualifiziertes Zertifikat für elektronische Signaturen, ausgestellt von einem qualifizierten Anbieter,
• die Prüfung Ihrer Identität durch den Anbieter: vor Ort oder mit einem elektronischen Identifizierungsmittel mit hohem Vertrauensniveau nach Artikel 24 Absatz 1a eIDAS,
• eine qualifizierte Signaturerstellungseinheit: Signaturkarte mit Kartenlesegerät, ein Token oder die Fernsignatur, bei der der Anbieter die Einheit in seinem Rechenzentrum betreibt und Sie jede Signatur per PIN auslösen,
• die Signatursoftware des Anbieters; sie erzeugt ein signiertes PDF, eine P7M-Datei mit dem Dokument darin oder eine getrennte Signatur, deren Endung die Seite Dateiendung P7S erklärt.

Ein eigenes Kartenlesegerät ist nicht zwingend: Bei der Fernsignatur verwaltet der Anbieter die qualifizierte elektronische Fernsignaturerstellungseinheit selbst; sie ist in Artikel 3 Nummer 23a definiert und wird nach Artikel 29a eIDAS betrieben. Bewahren Sie Dokument und Signaturdatei stets gemeinsam auf. Diese Seite erstellt keine Signaturen und stellt keine Zertifikate aus.

Wie Sie eine qualifizierte elektronische Signatur bekommen

1. Anbieter wählen. In Deutschland führt die Bundesnetzagentur eine Vertrauensliste aller Anbieter qualifizierter Vertrauensdienste; der Trusted List Browser der EU stellt diese Einträge lesbar dar.
2. Identität prüfen lassen. Der Anbieter macht das vor Ort oder mit einem elektronischen Identifizierungsmittel nach Artikel 24 Absatz 1a eIDAS. Ein qualifiziertes Zertifikat, das in einem anderen EU-Staat ausgestellt wurde, wird nach Artikel 24a überall in der Union als qualifiziertes anerkannt.
3. Signaturweg wählen. Mit Karte oder Token signieren Sie lokal; die Fernsignatur kommt ohne eigenes Kartenlesegerät aus und ist für Privatpersonen oft der einfachere Weg.
4. Signieren und ablegen. Je nach Werkzeug entsteht ein signiertes PDF, eine umhüllende .p7m oder eine getrennte .p7s. Bei qualifiziert signierten E-Mails hängt die Signatur als Anhang smime.p7s an der Nachricht, beschrieben unter Anhang smime.p7s.

Zu den Kosten: Die eIDAS-Verordnung beschreibt Vertrauensdienste als „in der Regel gegen Entgelt“ erbracht (Artikel 3 Nummer 16). Wie ein Anbieter sein Entgelt staffelt, etwa als Jahresvertrag oder je Signatur, ergibt sich aus seinen Bedingungen; konkrete Preise nennt diese Seite nicht.

Woran Sie eine qualifizierte elektronische Signatur in einer Datei erkennen

Wenn Sie ein Dokument mit QES erhalten, haben Sie meist eine von drei Formen: ein signiertes PDF, eine .p7m mit dem eingebetteten Dokument oder eine .p7s, zu der das Original separat gehört. Welche Endung draufsteht, ist zweitrangig; entscheidend ist der Inhalt. offnenp7s.de liest die Bytes der Datei, deshalb funktioniert das auch, wenn die Endung fehlt oder falsch ist.

Das Unterzeichnerfeld zeigt, was die Datei über die Signatur aussagt: Name und Organisation des Unterzeichners, Aussteller des Zertifikats, Gültigkeit, Signaturzeitpunkt, Signaturstufe und die Angaben zur Qualifizierung. Stimmt der Hashwert zum hinzugefügten Original, wird der Abgleich angezeigt.

Was die Seite nicht tut: Sie gleicht die Zertifikate nicht mit Vertrauenslisten ab und prüft nicht, ob ein Zertifikat widerrufen wurde. Sie zeigt niemals ein Ergebnis „gültig“. Für diese Validierung bietet die Kommission eine Webanwendung zur Signaturvalidierung an; dabei werden die Dateien an die Infrastruktur der EU übertragen, anders als auf dieser Seite. Die Schritte beider Wege vergleicht Signatur prüfen. Welche Signaturformate hinter .p7m und .p7s stecken, ordnet CAdES, PAdES, XAdES ein.

QES-Datei im Browser ansehen

Wenn Sie eine qualifizierte elektronische Signatur nur lesen wollen, wählen Sie die Datei oben im Feld. Ein kostenloses Konto zeigt die Übersicht, die Signaturdaten des Unterzeichners und die erste Seite; das vollständige Dokument ist kostenpflichtig. Die Datei wird dabei nicht hochgeladen, sie wird auf Ihrem Gerät gelesen und verlässt es nicht.