Die qualifizierte elektronische Signatur: die Stufe, die Papier ersetzt
Die meisten elektronischen Signaturen sind ein Bild von Zustimmung. Eine Art ist der Tinte auf Papier rechtlich gleichgestellt, und in Deutschland erfüllt nur sie eine gesetzliche Schriftform elektronisch. Wenn ein Darlehensvertrag, eine Bürgschaft oder ein Gesellschafterbeschluss der Schriftform unterliegt, entscheidet die Stufe der Signatur darüber, ob der digitale Prozess vor Gericht hält.
Hier stehen: die drei Stufen und ihr Unterschied, die Familie der Vertrauensdienste jenseits des Unterschreibens, die europäische Liste, die den Status verleiht, die Aufsicht in Deutschland und die BGB-Regel, die daraus eine Fachfrage der Finanzbranche macht.
Drei Stufen, und nur eine ersetzt die Unterschrift
Die eIDAS-Verordnung baut eine Leiter. Eine einfache elektronische Signatur sind beliebige Daten in elektronischer Form, die anderen Daten beigefügt sind und zum Unterzeichnen dienen: ein getippter Name, ein gemalter Schnörkel, ein Klick in ein Kästchen. Eine fortgeschrittene Signatur kommt mit Anforderungen: Sie ist eindeutig dem Unterzeichner zugeordnet, mit Daten erstellt, die er unter seiner alleinigen Kontrolle nutzen kann, und so mit den Daten verbunden, dass jede nachträgliche Änderung erkennbar ist. Eine qualifizierte Signatur ist eine fortgeschrittene, erstellt mit einer qualifizierten Signaturerstellungseinheit und auf Grundlage eines qualifizierten Zertifikats.
Die Rechtsfolge hängt an der qualifizierten Stufe, denn eIDAS stellt sie der handschriftlichen Unterschrift gleich. Wertlos sind die anderen zwei nicht: Für die meisten Verträge schreibt das deutsche Recht keine Form vor, und eine angeklickte Zustimmung bindet. Entscheidend wird die Stufe genau dort, wo das Gesetz Schriftform verlangt. Eine Beschaffungsentscheidung über Signatursoftware ist deshalb eine Entscheidung darüber, welche Dokumente das Geschäft verarbeitet.
Vertrauensdienste sind mehr als Signaturen
Unterschreiben ist ein Mitglied einer Familie. Ein elektronisches Siegel leistet für eine juristische Person, was eine Signatur für einen Menschen leistet, sodass ein Versicherer mit tausenden Dokumenten am Tag nicht für jedes einen Mitarbeiter braucht. Ein elektronischer Zeitstempel bindet Daten an einen Zeitpunkt, und damit lässt sich später belegen, dass ein Dokument vor einer Frist existierte. Ein elektronischer Einschreiben-Zustelldienst belegt Versand und Empfang. Ein Website-Zertifikat bürgt für die Identität hinter einer Domain.
Jeden dieser Dienste gibt es einfach und qualifiziert, wobei die qualifizierte Form die stärkeren Rechtsvermutungen trägt. Die Erläuterung von DigiCert zu Vertrauensdiensteanbietern geht dieselbe Familie durch. Für ein Institut ist wichtig, dass Archiv- und Signaturproblem zusammenhängen: Eine Signatur mit abgelaufenem Zertifikat lässt sich Jahre später leichter verteidigen, wenn ein qualifizierter Zeitstempel festhält, wann sie angebracht wurde.
Erst der Eintrag in die Vertrauensliste macht qualifiziert
Den qualifizierten Status behauptet kein Anbieter über sich selbst. Jeder Mitgliedstaat führt eine Vertrauensliste der Anbieter und Dienste, denen seine Aufsichtsstelle den Status verliehen hat, und die Europäische Kommission veröffentlicht die List of Trusted Lists, kurz LOTL, die auf alle verweist. Nachsehen lässt sich das im Trusted-List-Browser der Kommission.
Damit erhält eine Prüfung etwas, das sie selten hat: eine einzige verbindliche Antwort. Kommt von einem Vertragspartner eine qualifizierte Signatur, löst die Vertrauenskette zu einem Dienst auf der Liste eines Mitgliedstaats auf. Löst sie dort nicht auf, ist die Signatur nicht qualifiziert, ganz unabhängig davon, was die Datei über sich behauptet. Der Beitrag von Cryptomathic zum qualifizierten Zertifikat beschreibt dessen Inhalt und die Rolle der Aufsichtsstelle bei der Verleihung.
Wer Vertrauensdiensteanbieter in Deutschland beaufsichtigt
Deutsche Aufsichtsstelle ist die Bundesnetzagentur. Sie beaufsichtigt die elektronischen Vertrauensdienste im Sinne der eIDAS-Verordnung für elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel und die elektronische Einschreiben-Zustellung, und ihre Aufgaben stehen neben der Verordnung im deutschen Vertrauensdienstegesetz. Sie veröffentlicht die deutsche Vertrauensliste, den nationalen Eintrag, auf den die europäische Liste der Listen zeigt.
Die technischen Anforderungen kommen von anderer Stelle: Das BSI schreibt die technischen Richtlinien für Signaturformate, Langzeitaufbewahrung und kryptografische Verfahren. Diese Trennung zählt, wenn ein Anbieter Konformität behauptet: Die Aufsicht beantwortet, ob der Anbieter qualifiziert ist, die technischen Richtlinien, ob sein Ergebnis in zehn Jahren noch prüfbar ist.
Die BGB-Regel, die daraus eine Finanzfrage macht
Das deutsche Recht sagt es in einem Satz. § 126a BGB bestimmt: Soll die gesetzlich vorgeschriebene schriftliche Form durch die elektronische Form ersetzt werden, so muss der Aussteller der Erklärung dieser seinen Namen hinzufügen und das elektronische Dokument mit seiner qualifizierten elektronischen Signatur versehen. Bei einem Vertrag müssen die Parteien jeweils ein gleichlautendes Dokument auf diese Weise elektronisch signieren.
Wer einen Kreditprozess entwirft, liest das zweimal, denn darin stecken zwei Fallen. Erstens genügt nichts unterhalb der qualifizierten Stufe, eine fortgeschrittene Signatur auf einem schriftformbedürftigen Dokument lässt die Form also unerfüllt. Zweitens gilt bei Verträgen die Regel des gleichlautenden Dokuments: Beide Seiten signieren denselben Text, womit ein Ablauf ausfällt, in dem jede Partei ihr eigenes Exemplar signiert. Wo das Gesetz notarielle Beurkundung verlangt oder eine Schriftform, die sich elektronisch gar nicht ersetzen lässt, hilft keine Signaturstufe. Das prüft die Rechtsabteilung je Dokumentenart gesondert.
Das Siegel für ein Haus, das in Masse signiert
Eine Signatur gehört einem Menschen, ein Siegel einer juristischen Person. Dieser Unterschied ist betrieblich, bevor er rechtlich wird. Eine Bank, die Kontoauszüge, Bestätigungen oder aufsichtliche Meldungen versendet, will nicht, dass jedes dieser Dokumente von einem namentlichen Mitarbeiter abhängt, der kündigen kann. Mit einem Siegel ist das Institut selbst der Unterzeichner.
Ein qualifiziertes elektronisches Siegel trägt eigene Rechtsvermutungen zur Unversehrtheit der Daten und zur Herkunft von dieser juristischen Person. Üblich ist die Paarung: ein Siegel für die eigene Massenausgabe, eine qualifizierte Signatur dort, wo die Erklärung einer Person der Punkt ist, etwa bei der Annahme eines Darlehens. Solche Dokumentenflüsse gibt es auch auf der Emissionsseite, was die Emission tokenisierter Wertpapiere und deren Vertrieb behandeln.
Wo eIDAS 2 und die Wallet ins Bild kommen
Die Vertrauensdienste dieser Seite gab es vor der Wallet, und sie bestehen neben ihr weiter. Die eIDAS-Änderung bringt eine europäische Brieftasche für digitale Identitäten und verändert, wie eine Person ihre Identität nachweist und Angaben vorlegt. Die Signaturstufen und das Gefüge der qualifizierten Vertrauensdienste lässt sie bestehen. Dass ein Wallet-Inhaber signieren kann, ergänzt dieses System, ersetzt es nicht.
eIDAS 2 in der Finanzbranche behandelt die Änderung und die Wallet. Hierher gehört die Grenze: Geht die Frage um die Rechtsfolge einer Signatur auf einem Dokument, beantworten sie die Stufen oben, in welchem Gerät der Schlüssel auch lag.
Was unterscheidet fortgeschrittene und qualifizierte Signatur?
Die Einheit und das Zertifikat, und damit die Rechtsfolge. Eine fortgeschrittene Signatur muss eindeutig dem Unterzeichner zugeordnet, unter seiner alleinigen Kontrolle erstellt und manipulationserkennbar sein. Eine qualifizierte ist eine fortgeschrittene, erstellt mit einer qualifizierten Signaturerstellungseinheit auf Grundlage eines qualifizierten Zertifikats, und eIDAS stellt sie der handschriftlichen Unterschrift gleich.
Kann ein Darlehensvertrag elektronisch signiert werden?
Das hängt davon ab, ob das Gesetz für diesen Vertrag Schriftform vorschreibt, und die Antwort fällt bei einem Verbraucherdarlehen, einer Unternehmensfinanzierung und einer Bürgschaft verschieden aus. Wo Schriftform gilt und die elektronische Form sie ersetzen darf, verlangt § 126a BGB von jeder Partei eine qualifizierte elektronische Signatur auf einem gleichlautenden Dokument. Wo das Gesetz keinen elektronischen Ersatz zulässt, hilft keine Stufe.
Wie prüfe ich, ob ein Anbieter qualifiziert ist?
Im Trusted-List-Browser der Europäischen Kommission nachsehen, der über die List of Trusted Lists auf die Liste des jeweiligen Mitgliedstaats auflöst. Ein Anbieter, der für den betreffenden Dienst auf einer nationalen Liste steht, ist dafür qualifiziert. Werbesprache auf einer Website ersetzt das nicht. Für deutsche Anbieter veröffentlicht die Bundesnetzagentur als Aufsichtsstelle die Liste.
Was ist der Unterschied zwischen Signatur und Siegel?
Wer unterzeichnet. Eine Signatur stammt von einer natürlichen Person und drückt deren Erklärung aus. Ein Siegel stammt von einer juristischen Person und bescheinigt Herkunft und Unversehrtheit der Daten aus dieser Organisation. Ein Haus, das Dokumente in Masse erzeugt, nutzt Siegel, damit die Ausgabe nicht von einem namentlichen Mitarbeiter abhängt.
Qualifizierte elektronische Signatur und Finance Loop
Finance Loop ist der Ort, an dem die Juristen, die über die Form eines Dokuments entscheiden, auf die Entwickler treffen, die eine prüfungsfeste Signatur erzeugen müssen. Finance Loop ist der Treffpunkt für digitale Identität und Vertrauensdienste in der deutschen Finanzbranche, mit Meetups und Konferenzen zu Compliance-Technologie, digitalen Verträgen und der Infrastruktur darunter. Finance Loop führt diese Termine im Veranstaltungskalender.
Finance Loop ist ein Experten-Netzwerk mit dem Ziel, neue Technologien in der Finanzbranche in die Anwendung zu bringen, etwa KI, Tokenisierung, Stablecoins und DeFi. Finance Loop hilft seinen Mitgliedern, Wissen und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & Digital Assets, Payments & digitales Geld, digitale Infrastruktur & Souveränität sowie Risk & Compliance.