Qualifizierte elektronische Signatur

Die eIDAS-Verordnung baut eine Leiter. Eine einfache elektronische Signatur sind beliebige Daten in elektronischer Form, die anderen Daten beigefügt sind und zum Unterzeichnen dienen: ein getippter Name, ein gemalter Schnörkel, ein Klick in ein Kästchen. Eine fortgeschrittene Signatur kommt mit Anforderungen: Sie ist eindeutig dem Unterzeichner zugeordnet, mit Daten erstellt, die er unter seiner alleinigen Kontrolle nutzen kann, und so mit den Daten verbunden, dass jede nachträgliche Änderung erkennbar ist. Eine qualifizierte Signatur ist eine fortgeschrittene, erstellt mit einer qualifizierten Signaturerstellungseinheit und auf Grundlage eines qualifizierten Zertifikats.

Die Rechtsfolge hängt an der qualifizierten Stufe, denn eIDAS stellt sie der handschriftlichen Unterschrift gleich. Wertlos sind die anderen zwei nicht: Für die meisten Verträge schreibt das deutsche Recht keine Form vor, und eine angeklickte Zustimmung bindet. Entscheidend wird die Stufe genau dort, wo das Gesetz Schriftform verlangt. Eine Beschaffungsentscheidung über Signatursoftware ist deshalb eine Entscheidung darüber, welche Dokumente das Geschäft verarbeitet.

Unterschreiben ist ein Mitglied einer Familie. Ein elektronisches Siegel leistet für eine juristische Person, was eine Signatur für einen Menschen leistet, sodass ein Versicherer mit tausenden Dokumenten am Tag nicht für jedes einen Mitarbeiter braucht. Ein elektronischer Zeitstempel bindet Daten an einen Zeitpunkt, und damit lässt sich später belegen, dass ein Dokument vor einer Frist existierte. Ein elektronischer Einschreiben-Zustelldienst belegt Versand und Empfang. Ein Website-Zertifikat bürgt für die Identität hinter einer Domain.

Jeden dieser Dienste gibt es einfach und qualifiziert, wobei die qualifizierte Form die stärkeren Rechtsvermutungen trägt. Die Erläuterung von DigiCert zu Vertrauensdiensteanbietern geht dieselbe Familie durch. Für ein Institut ist wichtig, dass Archiv- und Signaturproblem zusammenhängen: Eine Signatur mit abgelaufenem Zertifikat lässt sich Jahre später leichter verteidigen, wenn ein qualifizierter Zeitstempel festhält, wann sie angebracht wurde.

Den qualifizierten Status behauptet kein Anbieter über sich selbst. Jeder Mitgliedstaat führt eine Vertrauensliste der Anbieter und Dienste, denen seine Aufsichtsstelle den Status verliehen hat, und die Europäische Kommission veröffentlicht die List of Trusted Lists, kurz LOTL, die auf alle verweist. Nachsehen lässt sich das im Trusted-List-Browser der Kommission.

Damit erhält eine Prüfung etwas, das sie selten hat: eine einzige verbindliche Antwort. Kommt von einem Vertragspartner eine qualifizierte Signatur, löst die Vertrauenskette zu einem Dienst auf der Liste eines Mitgliedstaats auf. Löst sie dort nicht auf, ist die Signatur nicht qualifiziert, ganz unabhängig davon, was die Datei über sich behauptet. Der Beitrag von Cryptomathic zum qualifizierten Zertifikat beschreibt dessen Inhalt und die Rolle der Aufsichtsstelle bei der Verleihung.

Deutsche Aufsichtsstelle ist die Bundesnetzagentur. Die Bundesnetzagentur beaufsichtigt die elektronischen Vertrauensdienste im Sinne der eIDAS-Verordnung für elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel und die elektronische Einschreiben-Zustellung, und ihre Aufgaben stehen neben der Verordnung im deutschen Vertrauensdienstegesetz. Die Bundesnetzagentur veröffentlicht die deutsche Vertrauensliste, den nationalen Eintrag, auf den die europäische Liste der Listen zeigt.

Die technischen Anforderungen kommen von anderer Stelle: Das BSI schreibt die technischen Richtlinien für Signaturformate, Langzeitaufbewahrung und kryptografische Verfahren. Diese Trennung zählt, wenn ein Anbieter Konformität behauptet: Die Aufsicht beantwortet, ob der Anbieter qualifiziert ist, die technischen Richtlinien, ob sein Ergebnis in zehn Jahren noch prüfbar ist.

Nach § 126a BGB muss eine Erklärung in elektronischer Form den Namen des Ausstellers und dessen qualifizierte elektronische Signatur tragen. Bei einem Vertrag signiert jede Partei ein gleichlautendes Dokument. Getrennte Exemplare sind möglich, wenn der Wortlaut übereinstimmt.

Eine qualifizierte Signatur ersetzt nicht jede Formvorgabe. Für notarielle Beurkundungen und Erklärungen, bei denen das Gesetz die elektronische Form ausschließt, ist eine gesonderte Prüfung erforderlich. Für Bürgschaftserklärungen gilt grundsätzlich der Ausschluss in § 766 BGB.

Eine Signatur gehört einem Menschen, ein Siegel einer juristischen Person. Dieser Unterschied ist betrieblich, bevor er rechtlich wird. Eine Bank, die Kontoauszüge, Bestätigungen oder aufsichtliche Meldungen versendet, will nicht, dass jedes dieser Dokumente von einem namentlichen Mitarbeiter abhängt, der kündigen kann. Mit einem Siegel ist das Institut selbst der Unterzeichner.

Ein qualifiziertes elektronisches Siegel trägt eigene Rechtsvermutungen zur Unversehrtheit der Daten und zur Herkunft von dieser juristischen Person. Üblich ist die Paarung: ein Siegel für die eigene Massenausgabe, eine qualifizierte Signatur dort, wo die Erklärung einer Person der Punkt ist, etwa bei der Annahme eines Darlehens. Solche Dokumentenflüsse gibt es auch auf der Emissionsseite, was die Emission tokenisierter Wertpapiere und deren Vertrieb behandeln.

Die Vertrauensdienste dieser Seite gab es vor der Wallet, und sie bestehen neben ihr weiter. Die eIDAS-Änderung bringt eine europäische Brieftasche für digitale Identitäten und verändert, wie eine Person ihre Identität nachweist und Angaben vorlegt. Die Signaturstufen und das Gefüge der qualifizierten Vertrauensdienste lässt sie bestehen. Dass ein Wallet-Inhaber signieren kann, ergänzt dieses System, ersetzt es nicht.

eIDAS 2 in der Finanzbranche behandelt die Änderung und die Wallet. Hierher gehört die Grenze: Geht die Frage um die Rechtsfolge einer Signatur auf einem Dokument, beantworten sie die Stufen oben, in welchem Gerät der Schlüssel auch lag.

Die Einheit und das Zertifikat, und damit die Rechtsfolge. Eine fortgeschrittene Signatur muss eindeutig dem Unterzeichner zugeordnet, unter seiner alleinigen Kontrolle erstellt und manipulationserkennbar sein. Eine qualifizierte ist eine fortgeschrittene, erstellt mit einer qualifizierten Signaturerstellungseinheit auf Grundlage eines qualifizierten Zertifikats, und eIDAS stellt sie der handschriftlichen Unterschrift gleich.

Das hängt davon ab, ob das Gesetz für diesen Vertrag Schriftform vorschreibt, und die Antwort fällt bei einem Verbraucherdarlehen, einer Unternehmensfinanzierung und einer Bürgschaft verschieden aus. Wo Schriftform gilt und die elektronische Form sie ersetzen darf, verlangt § 126a BGB von jeder Partei eine qualifizierte elektronische Signatur auf einem gleichlautenden Dokument. Wo das Gesetz keinen elektronischen Ersatz zulässt, hilft keine Stufe.

Im Trusted-List-Browser der Europäischen Kommission nachsehen, der über die List of Trusted Lists auf die Liste des jeweiligen Mitgliedstaats auflöst. Ein Anbieter, der für den betreffenden Dienst auf einer nationalen Liste steht, ist dafür qualifiziert. Werbesprache auf einer Website ersetzt das nicht. Für deutsche Anbieter veröffentlicht die Bundesnetzagentur als Aufsichtsstelle die Liste.

Wer unterzeichnet. Eine Signatur stammt von einer natürlichen Person und drückt deren Erklärung aus. Ein Siegel stammt von einer juristischen Person und bescheinigt Herkunft und Unversehrtheit der Daten aus dieser Organisation. Ein Haus, das Dokumente in Masse erzeugt, nutzt Siegel, damit die Ausgabe nicht von einem namentlichen Mitarbeiter abhängt.