Welche elektronische Signatur brauchen Sie, und wie erhalten Sie eine qualifizierte?

Die EU-Verordnung eIDAS unterscheidet drei Stufen der elektronischen Signatur: die einfache, die fortgeschrittene und die qualifizierte. Für die meisten Geschäftsverträge reicht die einfache Signatur, etwa ein Klick auf „Angebot annehmen“, weil das Gesetz für sie keine Form vorschreibt. Verlangt das Gesetz dagegen die Schriftform, ersetzt nur die qualifizierte elektronische Signatur (QES) die eigenhändige Unterschrift (§ 126a BGB). Eine QES erhalten Sie bei einem qualifizierten Vertrauensdiensteanbieter: Anbieter wählen, Identität nachweisen, Signaturkarte oder Fernsignatur einrichten. Die in Deutschland tätigen Anbieter führt die Bundesnetzagentur; qualifizierte Dienste aus anderen EU-Staaten können Sie ebenfalls nutzen.

Die drei Stufen nach eIDAS

Eine elektronische Signatur sind nach eIDAS „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet“ (Art. 3 Nr. 10). Die Definition ist bewusst weit. Darauf bauen zwei strengere Stufen auf:

• Fortgeschrittene elektronische Signatur (FES): Sie ist eindeutig dem Unterzeichner zugeordnet, ermöglicht seine Identifizierung, wird mit Signaturerstellungsdaten erstellt, die er „mit einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle“ verwenden kann, und ist so mit den Daten verbunden, dass eine nachträgliche Veränderung erkannt werden kann (Art. 26).
• Qualifizierte elektronische Signatur (QES): eine fortgeschrittene Signatur, die von einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat beruht (Art. 3 Nr. 12). Das qualifizierte Zertifikat stellt ein qualifizierter Vertrauensdiensteanbieter aus (Art. 3 Nr. 15).

Welche Stufe brauchen Sie?

Die Antwort hängt davon ab, welche Form das Gesetz oder Ihr Vertrag verlangt:

• Keine Form vorgeschrieben: Angebote, Kauf-, Liefer- und Dienstverträge oder Geheimhaltungsvereinbarungen können Sie auch mit einfacher Signatur schließen. Sorgen Sie dann für einen guten Nachweis: wer wann welche Fassung angenommen hat.
• Gesetzliche Schriftform: Sie „kann durch die elektronische Form ersetzt werden, wenn sich nicht aus dem Gesetz ein anderes ergibt“ (§ 126 Abs. 3 BGB). Die elektronische Form verlangt den Namen des Ausstellers und seine qualifizierte elektronische Signatur; bei Verträgen signiert jede Partei ein gleichlautendes Dokument (§ 126a BGB). Fehlt die vorgeschriebene Form, ist das Geschäft nichtig (§ 125 BGB).
• Vereinbarte Schriftform: Haben die Parteien selbst eine elektronische Form vereinbart, genügt im Zweifel auch eine andere als die qualifizierte Signatur (§ 127 Abs. 3 BGB).
• Textform: Eine lesbare Erklärung auf einem dauerhaften Datenträger, die den Erklärenden nennt; eine Unterschrift ist nicht nötig (§ 126b BGB).

Auch vor Gericht macht die Stufe einen Unterschied. Bei einer QES gilt ein Anschein der Echtheit, der nur durch Tatsachen erschüttert werden kann, die ernstliche Zweifel begründen (§ 371a Abs. 1 ZPO). Andere elektronische Dokumente würdigt das Gericht nach freier Überzeugung (§ 286 ZPO). Für einige Erklärungen ist die elektronische Form ganz ausgeschlossen, etwa für die Kündigung eines Arbeitsverhältnisses. Eine Übersicht mit Tabelle finden Sie in unserem Beitrag darüber, wann die E-Signatur genügt und wann nicht.

Wer darf qualifizierte Zertifikate ausstellen?

Nur qualifizierte Vertrauensdiensteanbieter, also Anbieter, denen die Aufsichtsstelle diesen Status verliehen hat (Art. 3 Nr. 20 eIDAS). In Deutschland ist das die Bundesnetzagentur. Jeder Mitgliedstaat veröffentlicht seine qualifizierten Anbieter in einer Vertrauensliste (Art. 22); alle Listen lassen sich im EU/EEA Trusted List Browser der Europäischen Kommission durchsuchen.

Für die qualifizierte elektronische Signatur nennt die Übersicht der Bundesnetzagentur mit Stand 29. September 2026 folgende deutsche Anbieter: Atos Information Technology GmbH, Netcetera Software Services GmbH, Bundesnotarkammer, Deutsche Telekom AG, DGN Deutsches Gesundheitsnetzwerk Service GmbH, Deutsche Post AG, D-Trust GmbH, medisign GmbH und SIGN8 GmbH. Die Liste kann sich ändern; prüfen Sie sie vor Ihrer Entscheidung selbst. Welche Produkte ein Anbieter für Unternehmen und Einzelpersonen anbietet, steht auf dessen Website.

Sie sind nicht auf deutsche Anbieter beschränkt. Eine qualifizierte Signatur, die auf einem in einem Mitgliedstaat ausgestellten qualifizierten Zertifikat beruht, wird in allen anderen Mitgliedstaaten als qualifiziert anerkannt (Art. 24a Abs. 1 eIDAS).

Schritt für Schritt zur qualifizierten Signatur

1. Variante wählen: Karte oder Fernsignatur

Die QES entsteht immer in einer qualifizierten Signaturerstellungseinheit (Art. 3 Nr. 23). Das kann eine Signaturkarte oder ein USB-Token sein, den Sie selbst in der Hand halten. Oder der Anbieter verwaltet die Einheit für Sie: Die qualifizierte Fernsignaturerstellungseinheit wird von einem qualifizierten Vertrauensdiensteanbieter im Namen des Unterzeichners verwaltet (Art. 3 Nr. 23a, Art. 29a). Die Bundesnetzagentur beschreibt den Vorteil so: Neben der Signaturkarte ist die QES dank der Fernsignatur mobil und ohne weitere Hilfsmittel nutzbar.

2. Identität nachweisen

Vor der Ausstellung prüft der Anbieter Ihre Identität (Art. 24 Abs. 1). Zulässig sind unter anderem die europäische Brieftasche für die Digitale Identität oder ein notifiziertes elektronisches Identifizierungsmittel auf dem Sicherheitsniveau hoch, ein bereits vorhandenes qualifiziertes Zertifikat, andere von einer Konformitätsbewertungsstelle bestätigte Methoden oder die persönliche Anwesenheit (Art. 24 Abs. 1a). Die deutsche Online-Ausweisfunktion ist bei der EU-Kommission als eID-System mit dem Sicherheitsniveau hoch notifiziert. Welche Wege Ihr Anbieter konkret anbietet, sehen Sie in dessen Antragsstrecke.

3. Einrichten und PIN festlegen

Bei einer Karte brauchen Sie ein Lesegerät und die Software, die der Anbieter dafür vorsieht; bei der Fernsignatur richten Sie den Zugang nach dessen Anleitung ein. Geben Sie PIN und Zugangsdaten an niemanden weiter: Die fortgeschrittene und damit auch die qualifizierte Signatur setzt voraus, dass nur Sie die Signaturerstellungsdaten verwenden (Art. 26 Buchst. c).

4. Mit einem Testdokument prüfen

Signieren Sie zuerst ein unkritisches PDF und prüfen Sie das Ergebnis, wie in unserem Beitrag Wie Sie ein elektronisch signiertes PDF prüfen beschrieben. So sehen Sie, wie Ihre Signatur bei der Gegenseite ankommt.

Im Unternehmen: Wer unterschreibt eigentlich?

Unterzeichner ist nach eIDAS immer eine natürliche Person (Art. 3 Nr. 9). Wer für die GmbH einen Vertrag signiert, tut das mit seinem eigenen qualifizierten Zertifikat. Ob die Person die Gesellschaft vertreten darf, beweist die Signatur nicht; das prüfen Sie wie bei Papier gesondert, etwa anhand des Handelsregisters oder einer Vollmacht.

Für die Gesellschaft selbst gibt es ein eigenes Instrument, das elektronische Siegel. Siegelersteller ist eine juristische Person (Art. 3 Nr. 24), und das Siegel soll Ursprung und Unversehrtheit der Daten sicherstellen (Art. 3 Nr. 25). Es eignet sich etwa für automatisch erzeugte Dokumente, ersetzt aber nicht die Unterschrift einer vertretungsberechtigten Person, wo eine solche verlangt ist.

Was kostet eine qualifizierte Signatur?

Einen einheitlichen Preis gibt es nicht. Vergleichen Sie bei den Anbietern vor allem: Einzelsignatur oder Kontingent, Laufzeit des Zertifikats, ob Karte und Lesegerät enthalten sind, Kosten der Identifizierung und ob die Fernsignatur pro Vorgang oder pauschal abgerechnet wird. Die aktuellen Preise stehen auf den Websites der Anbieter.

Und in Collobr?

Für formfreie Verträge können Ihre Kunden ein Angebot in Collobr per Link annehmen; gespeichert werden Name, Datum und Uhrzeit, IP-Adresse und ein SHA-256-Fingerabdruck der angenommenen Fassung. Das ist eine einfache elektronische Signatur. Die Windows-App Collobr E-Signatur signiert PDFs im PAdES-Format mit Signaturkarte oder USB-Token. Offen gesagt: Sie wurde bisher mit türkischen qualifizierten Zertifikaten eingesetzt und mit EU-qualifizierten Karten noch nicht getestet. Braucht ein Vertrag die QES nach § 126a BGB, nutzen Sie vorerst das Werkzeug Ihres qualifizierten Anbieters. Den gesamten Rechtsrahmen finden Sie in unserem E-Signatur-Leitfaden, zur Langzeitprüfung unseren Beitrag über Zeitstempel und LTV.