eSignatur: Verbindlich digital unterschreiben

eIDAS hat Klarheit geschaffen: Die Verordnung des europäischen Parlaments, seit September 2018 in Kraft, hat erstmals einen EU-weit einheitlichen und grenzüberschreitenden Rechtsrahmen für die Nutzung elektronischer Identifizierungsmittel und Vertrauensdienste (engl. Electronic Identification And Trust Services / eIDAS) geschaffen. Die Richtlinie enthält strikte Compliance-Vorgaben, um Unterzeichner zu identifizieren und die Authentizität unterzeichneter Dokumente prüfen zu können. Es sollen sichere und nahtlose elektronische Transaktionen innerhalb der EU erleichtert werden, und eIDAS räumt solchen Vorgängen nun die gleiche rechtliche Stellung ein wie papierbasierten Transaktionen. Für Unternehmen, die in der EU tätig sind, bedeutet das: Eine in Deutschland durchgeführte Identitätsprüfung gilt in allen anderen EU-Mitgliedsstaaten und umgekehrt.

Dies betrifft vor allem die elektronische Signatur: Unternehmen nutzen sie, wenn sie Bestellungen, Aufträge und Rechnungen online abwickeln oder Verträge, Kündigungen und sonstige digitale Dokumente versenden, die einer Unterschrift bedürfen. Mit eIDAS haben EU-weit tätige Unternehmen nun die Gewissheit, dass ihre mit eSignaturen versehenen Dokumente in allen EU-Staaten akzeptiert werden.

Die Vorteile elektronischer Signaturen liegen oft in der Zeitersparnis. Unternehmen können Verträge abschließen, ohne sich persönlich treffen oder das Dokument ausdrucken, unterschreiben und wieder einscannen zu müssen, sei es mit Geschäfts- oder mit Privatkunden. Die Übermittlung von Dokumenten geschieht in Sekunden – und nicht in Tagen wie beim Postversand, zudem ohne Versandkosten. Auch das Archivieren digitaler Dokumente mit eSignatur auf einer Festplatte oder einem Server in der Cloud bietet große Platz-, Kosten- und Sicherheitsvorteile gegenüber einem Papierarchiv im Keller. Im Vergleich zu einer Lesebestätigung bei E-Mails schaffen elektronische Signaturen außerdem eine höhere Verbindlichkeit. Das fördert auch die Einhaltung von Vereinbarungen. Bei fortgeschrittenen und qualifizierten eSignaturen lässt sich darüber hinaus eindeutig erkennen, wer das Dokument wann unterzeichnet hat und ob es möglicherweise anschließend verändert wurde. Das schafft Vertrauen zwischen Vertragspartnern. So erfüllen international tätige Unternehmen länderübergreifend Compliance-Vorgaben.

Wichtig ist, die unterschiedlichen Formen von eSignaturen zu kennen, um entscheiden zu können, welche Signatur für ein Dokument verwendet werden soll. Die Begriffe „digitale“ und „elektronische“ Signatur werden zudem häufig synonym genutzt – fälschlicherweise. Die Definition zeigt den Unterschied:

Was ist eine digitale Signatur?

Digitale Signatur bezeichnet die Technik, mit der fortgeschrittene und qualifizierte elektronische Signaturen verschlüsselt werden. Dafür lassen sich fertige Lösungen von Anbietern wie DocuSign, AdobeSign oder XiTrust nutzen. Das asymmetrische Verfahren erzeugt zwei elektronische Schlüssel, einen öffentlichen und einen privaten (den sog. Public Key bzw. Private Key). Dokumente, die der Absender mit dem privaten Schlüssel verschlüsselt, lassen sich vom Empfänger nur mit einem öffentlichen Schlüssel lesen. Während der Private Key immer geheim bleibt, ist der Public Key öffentlich zugänglich.

Was ist eine elektronische Signatur?

Elektronische Signaturen sind Daten, die einem elektronischen Dokument hinzugefügt werden, um die Unterzeichnung dieses Dokuments zu bestätigen. Rechtlich gesehen sind sie der Beleg, dass weder das übermittelte digitale Dokument noch dazugehörige Metadaten oder die Signatur selbst nach dem Versenden verändert wurden. Mit ihr weist der Signatur-Ersteller zudem seine Identität nach. Elektronische Signaturen sind laut eIDAS-Verordnung als Beweismittel vor EU-Gerichten zulässig und lassen sich in drei Sicherheitsstufen einteilen:

• Einfache elektronische Signatur – Die am häufigsten (etwa 90 Prozent) verwendete Form der eSignatur. Der Urheber ist zwar dokumentiert, etwa über eine eingescannte handschriftliche Unterschrift, die E-Mail- Signatur oder das digitale Signieren bei der Paketannahme. Seine Identität lässt sich allerdings nicht nachweisen. Da sie bei einem Rechtsstreit nur geringe Beweiskraft besitzt, ist die einfache elektronische Signatur eher bei formlosen Dokumenten wie Genehmigungen, Bescheinigungen, Protokollen oder auch Reisekostenabrechnungen üblich. Aber auch bei Freigaben in einem Geschäftsprozess mit User-ID und Passwort kommt sie zum Einsatz.

• Fortgeschrittene elektronische Signatur – Reicht für den Großteil aller Verträge mit Geschäfts- und Privatkunden aus. Sie ist dem Absender eindeutig über einen einmalig erstellten Prüfschlüssel zugeordnet. So ist die Authentifizierung des Zertifikatsinhabers gewährleistet und die Integrität der Daten lässt sich überprüfen. Kann der Empfänger das Dokument mit dem mitgeschickten öffentlichen Schlüssel nicht entschlüsseln, ist die Signatur nicht authentisch oder das Dokument wurde nachträglich verändert.

• Qualifizierte elektronische Signatur – Notwendig für Unterschriftenstandards mit höchster rechtlicher Relevanz, etwa bei Lebensversicherungen oder Darlehensverträgen. Sie ist das digitale Pendant zur persönlichen Unterschrift und enthält zusätzlich ein Zertifikat eines qualifizierten Vertrauensdienstes. Dieses Trust Center erzeugt ein Schlüsselpaar aus Private und Public Key und bringt den privaten Schlüssel in einen sicheren Träger wie eine Chipkarte ein. Diese elektronische Bescheinigung kann mit einem Kartenlesegerät entschlüsselt werden und bestätigt eindeutig die Identität des Signaturerstellers. Dank dieser Sicherheitsmaßnahmen ist die qualifizierte elektronische Signatur in allen EU-Mitgliedsstaaten ebenso rechtlich bindend wie ein Dokument mit handschriftlicher Signatur.

Mit der eIDAS-Verordnung hat die EU eine weitere Voraussetzung dafür geschaffen, dass Unternehmen in Europa noch vernetzter, verbindlicher und vertrauensvoller zusammenarbeiten können. Elektronische Signaturen sind dabei das Werkzeug, schneller und effizienter Geschäfte abzuschließen.

Im zweiten Teil erfahren Sie, wie Sie elektronische Signaturen im Enterprise Content Management sinnvoll für Ihr Geschäftsmodell einsetzen.