Qualifizierte elektronische Signatur

Bedeutung und Stufen

Die qualifizierte elektronische Signatur (QES) ist die höchste und sicherste der in der EU durch die eIDAS-Verordnung festgelegten Signaturstufen. In der Schweiz ist sie im Bundesgesetz über die elektronische Signatur (ZertES) geregelt. Sie kann im Rechtsverkehr eine handschriftliche Unterschrift ersetzen, wenn das Gesetz die elektronische Form nicht ausdrücklich ausschließt.

Die eIDAS-Verordnung unterscheidet drei Stufen: die nicht näher definierte elektronische Signatur, oft „einfache elektronische Signatur“ genannt, die fortgeschrittene elektronische Signatur und als höchste Stufe die QES. Qualifizierte Signaturen werden von qualifizierten Vertrauensdiensteanbietern (VDA) ausgegeben. In Deutschland unterliegen diese nach dem Vertrauensdienstegesetz (VDG) der Überwachung durch die Bundesnetzagentur.

Registrierung, Zertifikat und Signaturverfahren

Für die Nutzung einer QES muss sich die Person einmalig bei einem Vertrauensdiensteanbieter oder einem zwischengeschalteten Dienstleister registrieren lassen. Dabei weist sie ihre Identität nach, etwa über Postident mit Personalausweis oder Reisepass, über die elektronische Personalausweisfunktion oder durch persönliches Erscheinen bei einer geeigneten Stelle. Für Rechtsanwälte kann dies beispielsweise die zuständige Rechtsanwaltskammer sein. Anschließend wird ein elektronisches Zertifikat auf den Namen der Person ausgestellt.

Das Zertifikat besteht aus einem privaten und einem öffentlichen digitalen Schlüssel. Es bescheinigt, dass die Validierungsdaten und die zugehörigen Signaturerstellungsdaten einer natürlichen Person zugeordnet wurden. Empfänger können mit dem öffentlich einsehbaren öffentlichen Schlüssel prüfen, ob für eine Signatur der korrekte private Schlüssel verwendet wurde. Der private Schlüssel wird dabei nicht offengelegt; die Prüfung ist daher beliebig oft möglich.

Mit dem öffentlichen Schlüssel des Empfängers lassen sich Dokumente auch verschlüsseln. Öffnen kann sie dann nur der Empfänger mit seinem privaten Schlüssel. Dritte können Dokumente zwar abfangen, aber nicht einsehen. Diese Verschlüsselung ist jedoch nicht Bestandteil der QES: Weder die Verordnung noch das VDG sehen sie vor; die Bundesnetzagentur weist darauf hin, dass eine QES grundsätzlich keinen Verschlüsselungsmechanismus beinhaltet.

Qualifizierte Zertifikate dürfen zusätzliche Attribute enthalten, etwa eine Berufsbezeichnung. Diese verändern den Kern des Zertifikats, also den Identitätsnachweis des Unterzeichners, nicht und dürfen Interoperabilität und Anerkennung der QES nicht beeinträchtigen.

Früher wurden QES in Deutschland und Österreich ausschließlich mit Signaturkarten erstellt: Das Zertifikat lag auf dem Chip einer Karte und wurde nach Eingabe einer 6-stelligen PIN mit einem Kartenlesegerät genutzt. Seit der eIDAS-Verordnung sind Fernsignaturen möglich. Das Zertifikat wird digital gespeichert, der VDA führt den Signaturvorgang durch, und die Signatur kann nach Registrierung im Web-Browser auch auf Android oder iOS erstellt werden.

Rechtliche Wirkung und Grenzen

Nach § 126a BGB in Deutschland, § 4 SVG in Österreich und Art. 14 Abs. 2bis OR in der Schweiz kann eine QES die gesetzlich geforderte Schriftform ersetzen. Dies gilt nur, soweit ein besonderes Gesetz die elektronische Form nicht ausschließt. So kann ein Mietvertrag nach § 568 BGB durch ein QES-signiertes elektronisches Dokument gekündigt werden. Eine Bürgschaftserklärung nach § 766 BGB und die Kündigung eines Arbeitsvertrags nach § 623 BGB müssen dagegen handschriftlich unterzeichnet werden, weil die elektronische Form dort ausdrücklich ausgeschlossen ist.

Besteht für ein Rechtsgeschäft kein besonderes Formerfordernis, gilt Formfreiheit. Dann genügt jede Formvariante und damit auch jede Art elektronischer Signatur.

Nach dem Stand des E-Government-Gesetzes (EGovG) müssen Produkte für QES entweder eine Herstellererklärung tragen oder von akkreditierten Stellen wie BSI, TÜViT oder GEI auf Übereinstimmung mit den gesetzlichen Anforderungen bestätigt sein. Herstellererklärungen sind der zuständigen Aufsichtsbehörde, etwa der Bundesnetzagentur, zu übermitteln und werden nach Prüfung veröffentlicht. Ihre Gültigkeit entsteht bereits mit Eingang bei der Aufsichtsbehörde. Zur Erfüllung der Sicherheitsanforderungen ist in der Regel ein entsprechendes Produkt oder eine Software nötig.

Die frühere deutsche Pflicht aus § 14 UStG, elektronisch übermittelte Rechnungen mit einer QES zu versehen, wurde durch das Steuervereinfachungsgesetz 2011 aufgehoben. Elektronisch übermittelte Rechnungen müssen aber elektronisch archiviert werden; allein der Ausdruck reicht nicht und berechtigt nicht zum Vorsteuerabzug. Papier-Rechnungen, die anschließend gescannt werden, können ohne QES archiviert werden, wenn der Scanvorgang protokolliert wird.

Anbieter und praktische Nutzung

Kommerzielle E-Signing-Anbieter in Deutschland, Österreich und der Schweiz stellen gegen Gebühr Signieroberflächen bereit und arbeiten für die Zertifizierung mit einem VDA zusammen. Dadurch müssen sich Signierende nicht immer direkt an einen VDA wenden. Häufig wird Software benötigt, die das digitale Zertifikat beim Signieren verwendet. Anbieter stellen solche Software auch Banken, Kreditanbietern und Versicherungen bereit, damit diese etwa die Online-Eröffnung von Bankkonten ermöglichen können. In Österreich kann die QES kostenlos über ID Austria erstellt werden; das qualifizierte Zertifikat stammt von A-Trust.

Wichtige Einsatzfelder sind Bankgeschäfte sowie die Kommunikation von Unternehmen und Rechtsanwälten mit Gerichten. Nach § 12 HGB müssen Anmeldungen zum Handelsregister elektronisch erfolgen. Bei notariell beglaubigten Unterlagen scannt der Notar die Dokumente als PDF und sendet sie über das elektronische Gerichts- und Verwaltungspostfach (EGVP) an das Handelsregister. Seine QES kann dabei das Attribut „Notar“ enthalten.

Seit dem 1. Januar 2022 müssen Rechtsanwälte nach § 130d ZPO Schriftsätze und Anlagen in fast allen Rechtsbereichen elektronisch bei Gerichten einreichen. § 130a Abs. 3 ZPO verlangt dafür entweder eine QES oder eine einfache Signatur bei Übermittlung über einen sicheren Übermittlungsweg. Das besondere elektronische Anwaltspostfach wird von der Bundesnotarkammer bereitgestellt; jeder zugelassene Anwalt erhält eine persönliche Signaturkarte mit Zertifikat. Die Pflicht, dieses Postfach regelmäßig auf Eingänge zu prüfen, besteht seit dem 1. Januar 2018. Dokumente werden auf dem Übertragungsweg verschlüsselt; eine Eingangsbestätigung erleichtert den Fristnachweis.

Weitere Anwendungen sind eVergabe, die Onlineabrechnung von Kassenärzten, elektronische Personenstandsregister und das Elektronische Abfallnachweisverfahren (eANV). Bei gefährlichen Abfällen müssen Entsorger seit 1. April 2010 elektronisch qualifiziert signieren; für Abfallerzeuger und Abfallbeförderer gilt dies spätestens seit dem 1. Februar 2011.

Anerkennung zwischen EU und Schweiz

Zwischen der EU und der Schweiz besteht aktuell kein Abkommen über die gegenseitige Anerkennung der QES. Dies führte bereits zu Rechtsstreitigkeiten. Eine gegenseitige Anerkennung wird angestrebt; in der Schweiz wurde 2025 beschlossen, ein Verhandlungsmandat mit der EU auszuarbeiten.