Die Welt der Unternehmen verlagert sich immer mehr ins Internet. Ob es um Mitarbeiter geht, die aus dem Homeoffice arbeiten, um Lieferanten oder Geschäftspartner – mehr und mehr wird auf dem virtuellen Wege abgehandelt und physische Dokumente bekommen einen immer geringeren Stellenwert. Auch Verträge werden mittlerweile häufig komplett digital abgewickelt. Aus diesen Gründen bekommen E-Signaturen wie die qualifizierte elektronische Signatur (QES) einen immer höheren Stellenwert und Unternehmer sollten wissen, was sie bei ihrer Nutzung beachten müssen.
Die verschiedenen Arten der E-Signaturen und ihre Sicherheitsmerkmale
Es gibt drei unterschiedliche Arten von E-Signaturen: die einfache elektronische Signatur (EES), die fortgeschrittene elektronische Signatur (FES) und die qualifizierte elektronische Signatur (QES). Die QES kann man als die höchste Stufe der elektronischen Signaturen bezeichnen. Sie bietet die größtmögliche Sicherheit und findet breite offizielle Anerkennung.
Die einfache elektronische Signatur (EES)
Beispiele für eine EES sind eine eingescannte Unterschrift oder auch der Haken in einer Zustimmungs-Checkbox. Eine EES muss nicht die Möglichkeit einer Identifizierung beinhalten. Sie muss auch eine Veränderung der Daten nicht erkennen lassen. Die einfache elektronische Signatur ist daher für Dokumente wie allgemeine Geschäftsbedingungen oder für unternehmensinterne Protokolle ausreichend.
Höhere Sicherheitsstandards bei der FES
Die fortgeschrittene elektronische Signatur bringt deutlich größere Sicherheitsstandards mit sich. Sie kann für zahlreiche Vereinbarungen in der freien Wirtschaft genutzt werden. Sie gilt als beweiskräftig und zudem ist sie schnell und unkompliziert umsetzbar. Eine FES kann einem Unterzeichner beispielsweise durch Überprüfung der E-Mail-Adresse und Telefonnummer zugeordnet werden. In der Praxis wird sie für Dokumente wie Datenschutzerklärungen, Anträge an Versicherungen, Haftungsausschlüsse, unbefristete Arbeitsverträge, SEPA-Mandate oder Vollmachten genutzt.
Eine FES muss die folgenden Merkmale aufweisen:
- Eindeutige Identifizierung und Verknüpfung des Unterzeichners mit der elektronischen Signatur.
- Der Unterzeichner muss die alleinige Kontrolle über die zur Erstellung der elektronischen Signatur verwendeten Schlüssel haben.
- Es muss erkennbar sein, ob die Daten nach dem Signieren manipuliert wurden.
- Die Signatur muss ungültig werden, wenn die Daten verändert wurden.
Die qualifizierte elektronische Signatur als Pendant zur handschriftlichen Unterschrift
Eine qualifizierte elektronische Signatur (QES) ist eine fortgeschrittene elektronische Signatur, die auf einem qualifizierten Zertifikat basiert. Zur Erstellung einer QES wird eine qualifizierte elektronische Signaturerstellungseinheit (QSCD) benötigt. Im Unterschied zur FES darf ein qualifiziertes elektronisches Zertifikat nur von einem Vertrauensdiensteanbieter ausgestellt werden. Die Echtheit dieser elektronischen Signatur wird durch den Nachweis der Identität des Unterzeichners bestätigt. Nach den eIDAS-Vorschriften hat eine QES die gleiche rechtliche Wirkung wie eine handschriftliche Unterschrift. Sie wird in allen Mitgliedsstaaten der EU anerkannt.
Eine qualifizierte elektronische Signatur
- ist dem Unterschreibenden eindeutig zugeordnet – nur der Unterzeichner hat die Kontrolle über seinen privaten Schlüssel.
- ist eindeutig, vertraulich und vor Fälschung geschützt.
- wird mittels einer qualifizierten elektronischen Signatureinheit erstellt.
- lässt nachträgliche Veränderungen der Daten erkennen.
- basiert auf einem qualifizierten Zertifikat für elektronische Signaturen.
Übrigens: Eine Liste offiziell anerkannter Anbieter für Zertifizierungsdienste findet man auf der Website der Bundesnetzagentur.
Die Anwendung von QES
QES werden seltener genutzt und gebraucht als FES. Sie sind bei Verträgen nötig, die normalerweise in Schriftform abgeschlossen werden. In Deutschland sind das beispielsweise befristete Miet- und Arbeitsverträge, Verbraucherdarlehensverträge oder Jahresabschlüsse. Es gilt zu beachten, dass die Notwendigkeit der Anwendung von QES innereuropäisch den Gesetzen der einzelnen Staaten unterliegt. Doch auch in Fällen, in denen die QES nicht gesetzlich vorgeschrieben ist, ist sie aufgrund der höheren Beweiskraft vor Gericht empfehlenswert. Die Identifizierung per Abgleich eines Ausweisdokuments ist deutlich fälschungssicherer als eine Verifizierung der E-Mail-Adresse und Telefonnummer.
Schritt für Schritt zur QES
Für das benutzerfreundliche Einholen einer QES können Unternehmen eine Software-Lösung nutzen. Es gibt diverse E-Signing-Tools am Markt, die sich nach Funktionsumfang und Sicherheitsmerkmalen unterscheiden. Diese werden meist nach Nutzung abgerechnet. Hierbei fallen für die QES in der Regel höhere Kosten an als für die anderen beiden Signaturarten.
Das Dokument wird meist als PDF im Tool hochgeladen und eine Einladung an die gewünschten Unterzeichner versendet. Mit dem Link können diese das Dokument einsehen und es nach erfolgter Identifizierung unterzeichnen. Die Identifikation erfolgt je nach Anbieter persönlich oder online (durch Video- oder Auto-Ident) und kann die Vorlage eines gültigen Personalausweises, die Bestätigung der Adresse und andere Informationen beinhalten. Daraufhin stellt der Identifizierungspartner die Zertifikate für die Signaturerstellungseinheit aus. Der QES wird automatisch das Datum hinzugefügt – dieses dient als Zeitstempel.
Falls Sie kein e-Signing-Tool nutzen möchten, können Unterzeichner sich auch direkt bei einem Zertifizierungsdienst registrieren. Hier werden ebenfalls unterschiedliche Identifizierungsverfahren angeboten. Das Zertifikat ist für eine bestimmte Laufzeit gültig, die Preise unterscheiden sich je nach Art und Anbieter der Signatur.
