Elektronische Signatur: eIDAS-Verordnung und Rechtsgültigkeit in der EU

Die elektronische Signatur ist einer der Grundpfeiler der digitalen Transformation von Unternehmen: Dieses digitale Werkzeug ist in allen Ländern der Europäischen Union gültig und garantiert die volle Rechtsgültigkeit von Dokumenten, Transaktionen und Verträgen.

Es gibt jedoch verschiedene Arten der elektronischen Signatur, jede mit einem eigenen Sicherheitsniveau und einem bestimmten rechtlichen Wert. Deshalb ist es wichtig zu verstehen, wie man sich zwischen den verschiedenen Optionen zurechtfindet und wie man sie optimal in die Unternehmensprozesse integriert.

Was ist eine elektronische Signatur?

Unter einer elektronischen Signatur versteht man jedes digitale Werkzeug, das die Identität einer Person mit einem bestimmten elektronischen Dokument verknüpfen und so dessen Inhalt bestätigen kann. Schon ein einfacher PIN-Code ist eine elektronische Signatur, auch wenn er nicht denselben rechtlichen Wert hat wie eine Unterschrift auf einem grafometrischen Tablet oder eine Signatur mit einem USB-Token, das von einem zertifizierten Anbieter bezogen wurde.

Im Wesentlichen bestätigt die elektronische Signatur, dass das Dokument von einer bestimmten Person genehmigt wurde, und garantiert, dass die Datei nach der Unterzeichnung nicht verfälscht oder verändert wurde.

Diese Verknüpfung kann auf sehr unterschiedliche Weise und mit unterschiedlichen Sicherheitsniveaus und rechtlichen Werten erfolgen: Die Wahl einer Signaturart gegenüber einer anderen hängt im Wesentlichen von der Art des zu unterzeichnenden Dokuments ab. 

eIDAS: Was ist das und was hat es mit der elektronischen Signatur zu tun?

Elektronische Signaturen werden, ebenso wie digitale Identitäten, auf europäischer Ebene durch die eIDAS-2.0-Verordnung (electronic IDentification Authentication and trust Services) geregelt. Sie bildet den einheitlichen Rechtsrahmen für die elektronische Identifizierung und für Vertrauensdienste, also jene Dienste, die den rechtlichen Wert, die Sicherheit und die Echtheit elektronischer Dokumente, Informationen und Transaktionen gewährleisten.

Die eIDAS-Verordnung klassifiziert die verschiedenen Arten der elektronischen Signatur und liefert eine in allen EU-Ländern anerkannte Definition, wodurch die Interoperabilität der verschiedenen nationalen Systeme gewährleistet wird. Die italienische digitale Signatur (Firma Digitale) etwa fällt unter die weiter gefasste Definition der qualifizierten elektronischen Signatur (QES) und muss daher in allen EU-Ländern akzeptiert und anerkannt werden.

Im Kern stellt die eIDAS-Verordnung sicher, dass keiner Art von elektronischer Signatur die Rechtswirkung allein deshalb abgesprochen werden darf, weil sie in digitaler Form vorliegt.

Die drei Arten der elektronischen Signatur nach eIDAS

Die eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014), die in Italien durch das Gesetzbuch der digitalen Verwaltung (Gesetzesvertretendes Dekret Nr. 82 vom 7. März 2005, kurz CAD) umgesetzt wird, unterscheidet drei Arten der elektronischen Signatur:

• EES, einfache elektronische Signatur: alle elektronischen Daten, die zum Unterzeichnen oder Akzeptieren eines Dokuments verwendet werden (z. B. ein Passwort, ein PIN-Code, das Häkchen im Feld „Ich akzeptiere die Allgemeinen Geschäftsbedingungen“);
• FES, fortgeschrittene elektronische Signatur: Sie ist eindeutig dem Unterzeichner zugeordnet, ermöglicht dessen Identifizierung und wird auf Geräten erstellt, über die der Unterzeichner die alleinige Kontrolle hat (z. B. die grafometrische Unterschrift auf dem Tablet, die bei der Bank oder am Postschalter verlangt wird);
• QES, qualifizierte elektronische Signatur: Sie beruht auf einem qualifizierten Zertifikat und wird mit einer qualifizierten elektronischen Signaturerstellungseinheit erzeugt (z. B. einer Smartcard, einem USB-Stick oder einem OTP-basierten Fernsignatursystem). In Italien entspricht sie der digitalen Signatur (Firma Digitale).

Jeder dieser Signaturarten entspricht in ganz Europa ein bestimmtes Sicherheitsniveau und ein bestimmter rechtlicher Wert.

Die Rechtsgültigkeit elektronischer Signaturen und wann man sie einsetzt

Dem steigenden Sicherheitsniveau der einfachen, fortgeschrittenen und qualifizierten elektronischen Signatur entspricht jeweils ein bestimmter rechtlicher Wert: In den EU-Ländern bietet die EES beispielsweise nur eine sehr begrenzte Beweiskraft, während die QES (bzw. digitale Signatur) genau denselben Wert hat wie eine persönlich geleistete handschriftliche Unterschrift und daher auch gegenüber Dritten geltend gemacht werden kann.

Zusammengefasst sieht der in Europa geltende Rahmen folgende Stufen der Rechtsgültigkeit vor:

• EES: Sie erfordert keine formelle Identitätsprüfung und bietet daher nur ein geringes Maß an Sicherheit. Sie wird für informelle Vereinbarungen und für die Annahme von Allgemeinen Geschäftsbedingungen verwendet, nicht aber für die Unterzeichnung verbindlicher Verträge;
• FES: Sie erfordert eine Identitätsprüfung und macht jede nachträgliche Änderung am Dokument erkennbar. Deshalb hat ein mit FES unterzeichnetes Dokument die in Art. 2702 des italienischen Zivilgesetzbuchs vorgesehene Beweiskraft (die einer Privaturkunde). Diese Signaturart kann für Verträge, Finanzgenehmigungen und Formulare der öffentlichen Verwaltung verwendet werden;
• QES bzw. digitale Signatur: Sie setzt eine (vorherige) Identitätsprüfung vor Ort oder aus der Ferne sowie ein Signaturzertifikat voraus, das von einem akkreditierten qualifizierten Vertrauensdiensteanbieter (in Italien bei der AgID) ausgestellt und verwaltet wird. Sie ist einer handschriftlichen Unterschrift in jeder Hinsicht gleichgestellt und garantiert die Unveränderbarkeit und die eindeutige Urheberschaft des Dokuments. Sie ist die Signatur für öffentliche Ausschreibungen, notarielle Urkunden, grenzüberschreitende Vereinbarungen, Finanzverträge mit hohem Wert und Immobilienurkunden.

Die elektronische Signatur im Unternehmensalltag

Unternehmen, auch die kleinsten, bearbeiten täglich eine Vielzahl von Dokumenten, von Verträgen mit Kunden und Lieferanten bis hin zur Kommunikation mit der öffentlichen Verwaltung. 

Auch im Unternehmenskontext hat jede elektronische Signatur ihren spezifischen Einsatzbereich: Während die EES ideal für Nutzungsbedingungen, E-Commerce-Bestellungen und interne Abläufe mit geringem Risiko ist, eignet sich die FES bestens für das Kunden-Onboarding und die Personalverwaltung. Für formelle Geschäftsbeziehungen, Ausschreibungen, Jahresabschlüsse oder Gesellschaftsurkunden ist hingegen die QES bzw. digitale Signatur unverzichtbar.

Die Wahl der richtigen Signaturart gewährleistet die Sicherheit und Gültigkeit der unterzeichneten Dokumente. Doch eine Reihe geeigneter elektronischer Signaturen in den Händen der zuständigen Mitarbeitenden bedeutet nicht immer auch Effizienz. Im Gegenteil: Wenn Dutzende Dokumente manuell unterzeichnet werden müssen, können echte operative Engpässe entstehen.

Wenn viele Dokumente zu unterzeichnen sind, wird die Integration von Signaturdiensten per API deshalb unverzichtbar. Durch die direkte Anbindung an die Unternehmenssoftware ermöglichen Signatur-APIs die Automatisierung des gesamten Dokumentenlebenszyklus: Die richtige Signatur wird automatisch und vollständig konform mit der eIDAS-Verordnung angewendet, und die Dokumente werden rechtskonform archiviert. Und das alles in einem einzigen Prozess in Echtzeit, der sich problemlos an die Anforderungen des Unternehmens anpassen lässt.