Was ist eine qualifizierte elektronische Signatur (QES)?

Kurz erklärt

Eine qualifizierte elektronische Signatur, kurz QES, ist die elektronische Entsprechung zur handschriftlichen Unterschrift. Sie zeigt, wer ein Dokument unterschrieben hat, und macht sichtbar, ob es danach verändert wurde.

Rechtlich ist die QES in der EU-weit geltenden eIDAS-Verordnung geregelt. Sie hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift (Art. 25 Abs. 2 eIDAS) und wird in allen EU-Mitgliedstaaten anerkannt (Art. 25 Abs. 3 eIDAS).

Drei Stufen elektronischer Signaturen

Die eIDAS-Verordnung kennt drei Stufen. Sie bauen aufeinander auf:

• Einfache elektronische Signatur (EES): zum Beispiel ein eingefügtes Unterschriftsbild oder ein getippter Name unter einer E-Mail. Leicht zu erstellen, aber schwach im Nachweis.
• Fortgeschrittene elektronische Signatur (FES): eindeutig einer Person zugeordnet, unter ihrer alleinigen Kontrolle erstellt, spätere Änderungen sind erkennbar (Art. 26 eIDAS).
• Qualifizierte elektronische Signatur (QES): eine fortgeschrittene Signatur, die zusätzlich auf einem qualifizierten Zertifikat beruht und mit einer qualifizierten Signaturerstellungseinheit erstellt wird (Art. 3 Nr. 12 eIDAS).

Einen ausführlichen Vergleich finden Sie im Artikel Signaturarten im Vergleich.

Was eine Signatur qualifiziert macht

Zwei Bausteine heben die QES über die fortgeschrittene Signatur hinaus:

• Qualifiziertes Zertifikat: Es ordnet die Signatur einer bestimmten natürlichen Person zu. Ausstellen darf es nur ein qualifizierter Vertrauensdiensteanbieter, nachdem er die Identität der Person geprüft hat (Art. 24, 28 eIDAS).
• Qualifizierte Signaturerstellungseinheit (QSCD): Hardware oder Software, in der der geheime Schlüssel sicher erzeugt, gespeichert und verwendet wird. Ihre Sicherheit muss nach Anhang II eIDAS geprüft und bestätigt sein.

Qualifizierte Vertrauensdiensteanbieter stehen unter staatlicher Aufsicht und werden mindestens alle 24 Monate von einer Konformitätsbewertungsstelle geprüft (Art. 20 eIDAS). Sie sind in der öffentlichen EU-Vertrauensliste eingetragen.

Welche Rechtswirkung hat die QES?

Die QES ist der handschriftlichen Unterschrift gleichgestellt. Im deutschen Recht bedeutet das: Sie ersetzt die gesetzliche Schriftform, soweit das Gesetz die elektronische Form nicht ausschließt (§§ 126 Abs. 3, 126a BGB).

Vor Gericht hat ein qualifiziert signiertes Dokument einen hohen Beweiswert. Es gilt der Anschein der Echtheit (§ 371a Abs. 1 ZPO). Wer das bestreitet, muss konkrete Tatsachen vortragen, die ernsthafte Zweifel begründen.

Wie funktioniert das technisch?

1. Aus dem Dokument wird ein Hashwert berechnet, eine Art digitaler Fingerabdruck. Schon eine kleine Änderung am Dokument ergibt einen völlig anderen Wert.
2. Dieser Hashwert wird mit dem geheimen Schlüssel der unterzeichnenden Person verschlüsselt. Das Ergebnis ist die Signatur.
3. Signatur und Zertifikat werden in das Dokument eingebettet. Bei einem PDF sieht man zusätzlich ein Signaturfeld auf der Seite.
4. Bei der Prüfung wird der Hashwert erneut berechnet und mit der Signatur verglichen. Passt beides, ist das Dokument unverändert. Das Zertifikat zeigt, wer unterschrieben hat.

Bei einer Fernsignatur liegt der geheime Schlüssel nicht auf einer Chipkarte, sondern in einer qualifizierten Signaturerstellungseinheit beim Vertrauensdiensteanbieter. Die unterzeichnende Person löst die Signatur nach sicherer Anmeldung aus. Eine Signaturkarte oder ein Kartenlesegerät ist nicht nötig.

Was Sie für eine QES brauchen

• Ein qualifiziertes Zertifikat auf Ihren Namen. Sie erhalten es nach einer Video-Identifizierung beim Zertifikatsaussteller. Dafür brauchen Sie einen Personalausweis oder Reisepass und ein Smartphone.
• Eine Anwendung, mit der Sie Dokumente zur Signatur übergeben und das Ergebnis herunterladen, etwa das Browser-Dashboard oder die Schnittstelle von OneSign.
• Ihre persönlichen Zugangsdaten zum Zertifikat, die Ihnen der Zertifikatsaussteller direkt zusendet.

Wie das im Einzelnen abläuft, beschreibt der Artikel Zertifikat und Video-Ident.

Wo OneSign ins Spiel kommt

OneSign ist die Software zwischen Ihnen und dem Zertifikatsaussteller. Sie laden Dokumente hoch, wählen die unterzeichnende Person, platzieren das Signaturfeld und laden das signierte Dokument mit Audit-Trail herunter. Software-Hersteller nutzen dafür die REST-Schnittstelle.