Elektronische Signaturen: Alles, was Sie wissen müssen

Was ist eine elektronische Signatur?

Grundsätzlich ist die elektronische Signatur eine digitale Version einer Unterschrift, und wird verwendet, um die Echtheit und Integrität eines Dokuments zu bestätigen. Mit der Hilfe von elektronischen Signaturen können digitale Dokumente, wie beispielsweise Verträge oder Genehmigungen, rechtsverbindlich unterzeichnet werden.

Die elektronische Unterschrift kann, soweit diese nicht qua Gesetz im vornherein ausgeschlossen ist, eine Unterschrift auf dem Papier ersetzen: Eine elektronische Unterschrift verknüpft den und die Unterschreibenden zweifelsfrei mit einem definierten und unveränderlich gespeicherten Dokument bzw. einer Zeichenfolge. In der Regel handelt es sich bei den elektronischen Informationen um elektronische Dokumente, es können aber eine beliebige Folge von Zeichen elektronisch signiert werden.

Abgrenzung zur digitalen Signatur

Im Allgemeinen werden die Begriffe „digitale Signatur“ und „elektronische Signatur“ synonym verwendet. Im Speziellen ist aber die digitale Signatur eine Klasse von kryptografischen Verfahren, die auch in der Verschlüsselung von Netzwerkverbindungen Anwendung findet, während die elektronische Signatur ein primär rechtlicher Begriff ist, der von der EU-Kommission geprägt wurde. Zudem wollte man hier mit der Wahl des Begriffs die technischen Möglichkeiten weit fassen, um eben nicht nur Unterschriftsverfahren basierend auf bestehenden digitalen Signaturen oder auf anderen kryptographischen Methoden zuzulassen.  

Welche Arten von elektronischen Signaturen gibt es?

Es gibt grundsätzlich drei Arten von digitalen Signaturen:

1. Eine einfache elektronische Signatur (EES) ist im gängigsten Fall eine E-Mail, die mit dem Namen des Absenders unterschrieben wird. An eine einfache elektronische Signatur werden keine besonderen Anforderungen gestellt. Eine Verwendung eines digitalen Schlüssels zur Identifizierung des Absenders ist dazu nicht notwendig. Einfache elektronische Signaturen können gemäß § 127 BGB für formfreie Vereinbarungen eingesetzt werden.
2. Fortgeschrittene elektronische Signaturen (FES) müssen eindeutig mit den Unterzeichnern verbunden sein, sodass diese zweifelsfrei identifiziert werden können. Zudem muss sichergestellt sein, dass Änderungen an den mit der Signatur verknüpften Dokumenten nachträglich identifiziert werden können. Ein Beispiel hierfür ist die top.legal Signatur, mit deren Einsatz Unterzeichner unter anderem über den Einsatz von Multi-Faktor-Autorisierung über einen SMS-Sicherheitscode identifiziert werden können.
3. In Übereinstimmung mit der europäischen Richtlinie ist eine qualifizierte elektronische Signatur eine fortgeschrittene elektronische Signatur (QES), die auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruht und mit einer sicheren Signaturerstellungseinheit (SSEE) erstellt wurde.

Rechtswirkung elektronischer Signaturen

Gemäß dem Amtsblatt der Europäischen Union  vom 28.8.2014 (Art. 25 Abs. 1 eIDAS-Verordnung) darf eine elektronische Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt oder weil sie die Anforderungen an qualifizierte elektronische Signaturen nicht erfüllt. 

Eine qualifizierte elektronische Signatur hat zudem die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Eine qualifizierte elektronische Signatur, die auf einem in einem Mitgliedstaat ausgestellten qualifizierten Zertifikat beruht, wird in allen anderen Mitgliedstaaten als qualifizierte elektronische Signatur anerkannt. Dokumente, die „nur“ mit einer fortgeschrittenen elektronischen Signatur gemäß Art. 3 Nr. 11 eIDAS-Verordnung unterzeichnet sind, können auch vor Gericht per Augenscheinsbeweis als Beweismittel vor Gericht eingebracht werden.

Worin liegt der Unterschied zwischen den Unterschriften in der Praxis?

Elektronische Signaturen unterscheiden sich untereinander über den Grad der Fälschungssicherheit. Am unteren Ende der Skala steht die einfache elektronische Signatur, die wenig aufbietet, um die Authentizität der Unterschrift sicherzustellen. 

Am oberen Ende der Skala - und damit mit den höchsten Ansprüchen an Fälschungssicherheit - steht die qualifizierte elektronische Signatur, die über die Verschlüsselungszertifikate einer Trust Authority (Vertrauensdienst) bestätigt, dass die unterschreibende Partei auch tatsächlich jene ist, die sie vorgibt zu sein. Dazu ist in der Regel eine umfangreiche Authentifizierung gegenüber der Trust Authority mittels Video-Ident-Verfahren notwendig. Für den Einsatz in einem Geschäftsumfeld eignet sich diese Methode weniger, da sie den Unterschreibenden vor Hürden setzt, die in der Schnelle nicht einfach bewältigt werden können. 

Die goldene Mitte ist die fortgeschrittene elektronische Signatur. Eine fortgeschrittene elektronische Signatur sollte gemäß Art. 26  alle folgenden Anforderungen:

1. Sie ist eindeutig dem Unterzeichner zugeordnet.
2. Sie ermöglicht die Identifizierung des Unterzeichners.
3. Sie wird unter Verwendung elektronischer Signaturerstellungsdaten erstellt, die der Unterzeichner mit einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle verwenden kann.
4. Sie ist so mit den auf diese Weise unterzeichneten Daten verbunden, dass eine nachträgliche Veränderung der Daten erkannt werden kann.

In der Praxis heißt das, dass sichergestellt sein muss, dass ein unterschriebenes Dokument mit einem Schlüssel verschlüsselt wird, der unter der alleinigen Kontrolle des Unterzeichneten steht. Nur so kann der Empfänger sicher sein, dass das Dokument bzw. die Nachricht von der Person stammt, die sie vorgibt zu sein und dass die Daten während der Übertragung nicht manipuliert wurden. 

Eine zusätzliche Möglichkeit zur Sicherstellung dieser Anforderung bietet eine Zwei-Faktor-Authentifizierung (2FA) beispielsweise über ein Mobiltelefon. 

Fortgeschrittene Signatur im Vergleich zur einfachen elektronischen Signatur

Für die Unterzeichnung von Dokumenten mittels einer fortgeschrittenen elektronischen Signatur benötigt man in der Regel eine Spezialsoftware. Einfache elektronische Signaturen lassen sich ohne Software erstellen. Dazu reicht es in der Regel eine einfache E-Mail mit Ihrem Namen zu versenden, Dokumente mit einer eingescannten Signatur zu versehen, oder unterschriebene Dokumente einzuscannen und diese per E-Mail zu versenden. 

Die fortgeschrittene elektronische Signatur setzt auf Verschlüsselungstechnologie, sodass über den eingesetzten öffentlichen Schlüssel festgestellt werden kann, wer die Unterschrift geleistet hat und ob die Signatur gültig ist. Bei einer einfachen elektronischen Signatur lässt sich die Echtheit der Unterschrift bzw. die unveränderte Qualität des Dokuments nicht sicherstellen. 

Fortgeschrittene Signatur im Vergleich zur qualifizierte Signatur

Die fortgeschrittene Signatur rangiert an oberster Stelle hinsichtlich Sicherheit innerhalb der EU und bietet eine ähnliche Rechtsgültigkeit wie ein ein handschriftlich signiertes Dokument, es sei denn, das Gesetz weist explizit auf den Einsatz einer herkömmlichen handschriftlichen Unterschrift hin. Wie für die fortgeschrittene elektronische Signatur wird auch für die qualifizierte elektronische Signatur der Einsatz einer Spezialsoftware erforderlich. Zusätzlich müssen beispielsweise physische Verschlüsselungstoken in Form eines USB-Sticks bzw. einer Chipkarte eingesetzt werden, um den Grad der Sicherheit zu erhöhen.

Was Sind Die Vorteile von Elektronischen Signaturen?

Der Vorteil einer digitalen Signatur ist vornehmlich, dass ein Unterzeichner Dokumente schnell und einfach unterschreiben kann, ohne dabei auf die umständliche und zeitraubende Routine von Drucken, Unterzeichnen und Scannen zurückgreifen zu müssen. Dieser Prozess spart Zeit und Geld. 

Unsere Daten ergeben, dass eine Vertragsabwicklung auf elektronischer Basis im Vergleich zu einem papierbasierten Vertragssystem bis zu 9 mal schneller ist. Zudem sehen wir im Vertragsabschluss höhere Raten, da die Absprungswahrscheinlichkeit bedingt durch die Einfachheit des Systems reduziert wird.

Sind elektronische Signaturen sicher?

Grundsätzlich kann jede Unterschrift, ob elektronisch oder auf Papier, gefälscht werden. Die elektronische Signatur hat allerdings hinsichtlich der Manipulationsmöglichkeiten klare Vorteile. Anders als bei der Überprüfung einer Unterschrift bzw. Eines Ausweises, werden jedem Laien alle Werkzeuge an die Hand gegeben, um zweifelsfrei festzustellen, ob das unterschriebene Dokument manipuliert wurde, und ob die geleistete Unterschrift auch tatsächlich von der besagten Person stammt. 

Unter dem Einsatz der aktuellen technischen Möglichkeiten ist es aktuell einfacher eine Unterschrift zu fingieren, als den Verschlüsselungsmechanismus mit einer gängigen IT-Infrastruktur zu manipulieren. 

Zusätzlich werden im Rahmen der Erbringung der elektronischen Signatur, Metadaten sowie der Zeitpunkt der Unterschrift und IP-Adresse des Eingabegeräts gespeichert. Diese Beweislast lässt sich mit einer physischen Signatur insbesondere Jahr nach der Unterschriftsleistung nicht mehr reproduzieren.

Technische Umsetzung der elektronischen Signatur

Damit die Integrität eines Dokuments zweifelsfrei hergestellt werden kann, wird ein Hash-Code über eine Hash-Funktion aus dem elektronischen Dokument errechnet. 

Eine Hash-Funktion ist dabei ein Algorithmus, der effizient eine Zeichenfolge beliebiger Länge (Eingabewert) auf eine Zeichenfolge mit fester Länge (Hashwert) zurückführt. Das heißt, das Dokument wird in eine Kolonne von willkürlich wirkenden Zeichen übersetzt. Dabei ist der Algorithmus der Hashfunktion öffentlich, um die Integrität des Verfahrens überprüfen zu können. 

Jeder Anwender der öffentlich verfügbaren Hash-Funktion erhält, unweigerlich bei Verwendung desselben Dokuments, einen identischen Hash-Wert.  Verändert man einen beliebigen Abschnitt im Dokument, dann ändern sich auch die Zeichen des Hash. Über den Abgleich von erzeugten Hash-Werten ist somit die zweifelsfreie Feststellung der Integrität eines Dokuments technisch einfach möglich.

Ablauf der elektronischen Signatur (auf top.legal) in der Praxis

So werden elektronische Signaturen innerhalb unserer CLM-software umgesetzt:

1. Die Parteien werden zur Unterschrift eingeladen
2. Der zu unterzeichnende Vertrag wird in den Unterschriftsmodus überführt
3. Die Software berechnet den Hash-Wert (Prüfsumme) inklusive der Metadaten der unterschreibenden Parteien
4. Der Hash-Wert wird revisionssicher gespeichert und im pdf hinterlegt.
5. Der Hash-Wert wird meist mit dem jeweils privaten Schlüssel des Unterzeichners verschlüsselt
6. Die verschlüsselte Wert kann auch direkt im pdf gemeinsam mit den weiteren Informationen (genutzter Verschlüsselungsalgorithmus, öffentlicher Schlüssel etc.) hinterlegt werden. 
7. Die Unterzeichner erhalten Zugriff auf den unterzeichneten Vertrag per Email bzw. über einen gesicherten Link
8. Der Empfänger kann über eine Prüf-Algorithmus die Gültigkeit der Signatur prüfen und feststellen, ob das vorliegende Dokument auch jenes ist, das von der Signatur umschlossen ist. Viele Hersteller bieten hierfür kostenlose Prüf-Editionen ihrer Signatursoftware an, teils auch Online-Prüfung via Internet.