Signatur Konformität: Alles was Sie wissen müssen

Verträge online zu unterzeichnen ist heute der Normalfall – doch eine Signatur ist nur so viel wert wie ihre Fähigkeit, in einem Streitfall oder bei einer Prüfung standzuhalten. Signatur-Konformität entscheidet darüber, ob eine elektronische Unterschrift rechtsverbindlich ist oder angefochten und für ungültig erklärt werden kann.

Dieser Leitfaden erklärt, was eine elektronische Signatur konform macht: die eIDAS-Verordnung, die drei Signaturstufen und wann Sie welche brauchen, das Verhältnis zur deutschen Schriftform, den Audit-Trail als Nachweis der Echtheit sowie eine praktische Checkliste, mit der jedes signierte Dokument beweissicher bleibt.

Passend dazu: Dieser Artikel behandelt die Konformität. Einen grundlegenden Überblick über die Signaturarten selbst – EES, FES und QES – finden Sie in unserem Pillar zur elektronischen Signatur.

Was bedeutet Signatur-Konformität?

Signatur-Konformität bedeutet, dass eine elektronische Signatur die rechtlichen, sicherheitstechnischen und beweisrechtlichen Anforderungen erfüllt, damit das signierte Dokument als gültig und durchsetzbar anerkannt wird. Eine konforme Signatur leistet drei Dinge:

• Sie identifiziert den Unterzeichner – sie verknüpft die Signatur mit einer konkreten, überprüfbaren Person.
• Sie belegt den Willen – sie zeigt, dass der Unterzeichner dem Dokument bewusst zugestimmt hat.
• Sie schützt die Integrität – sie beweist, dass das Dokument seit der Unterzeichnung nicht verändert wurde.

Fällt einer dieser Punkte weg, wird die Signatur – und der dahinterstehende Vertrag – angreifbar. Nicht konforme Signaturen sind zudem ein Sicherheitsrisiko: Sie eröffnen Angreifern die Möglichkeit, Freigaben zu fälschen oder Transaktionen abzustreiten. Konformität ist deshalb sowohl eine rechtliche als auch eine strategische Notwendigkeit.

Der rechtliche Rahmen: eIDAS und die Schriftform

Elektronische Signaturen sind europaweit anerkannt, doch die Anforderungen unterscheiden sich je nach Dokument und Rechtsraum.

Die eIDAS-Verordnung

In der EU ist die eIDAS-Verordnung (Electronic Identification, Authentication and Trust Services) maßgeblich. Sie legt fest, welche Anforderungen eine elektronische Signatur erfüllen muss, um anerkannt zu werden, und definiert die drei unten beschriebenen Signaturstufen.

Zwei eIDAS-Grundsätze sind für die Konformität besonders wichtig:

• Nichtdiskriminierung: Einer elektronischen Signatur darf die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch ist. Ein Gericht darf Ihren Vertrag also nicht ablehnen, nur weil er digital unterschrieben wurde.
• Gleichstellung: Eine qualifizierte elektronische Signatur hat dieselbe Rechtswirkung wie eine handschriftliche Unterschrift.

Die deutsche Schriftform

In Deutschland kommt das Zusammenspiel mit dem BGB hinzu. Wo das Gesetz keine besondere Form verlangt, genügt in der Regel eine einfache elektronische Signatur. Verlangt das Gesetz jedoch die Schriftform (§ 126 BGB), lässt sich diese elektronisch nur durch die qualifizierte elektronische Signatur ersetzen (§ 126a BGB). Für einige Dokumente – etwa die Kündigung von Arbeitsverhältnissen – ist die elektronische Form ausdrücklich ausgeschlossen; hier bleibt die eigenhändige Unterschrift zwingend.

Auf internationaler Ebene existieren zudem vergleichbare Regelungen wie der ESIGN Act und UETA in den USA. Bei grenzüberschreitenden Verträgen gilt: Erfüllen Sie den strengsten Rahmen, der greifen könnte – in der Regel eIDAS in Verbindung mit der Schriftform.

Die drei Signaturstufen (und wann Sie welche brauchen)

Nach eIDAS gibt es drei Sicherheitsstufen elektronischer Signaturen. Die Wahl der passenden Stufe zum Risiko des Dokuments ist die wichtigste Konformitätsentscheidung.

Ein häufiger Konformitätsfehler ist die Verwendung einer einfachen Signatur, wo Wert oder rechtlicher Kontext des Dokuments eine fortgeschrittene oder qualifizierte Signatur verlangen. Richten Sie die Stufe am Risiko aus, nicht an der Bequemlichkeit.

Branchenspezifische Anforderungen

Über den allgemeinen Rahmen hinaus stellen regulierte Branchen eigene Anforderungen. Wer in einem dieser Bereiche tätig ist, für den reicht die bloße Gültigkeit einer E-Signatur nicht aus.

• Finanzdienstleistungen: Aufsichtsbehörden erwarten eine starke Identifizierung der Unterzeichner, lückenlose Audit-Trails und lange Aufbewahrungsfristen. Signaturen auf Kredit-, KYC- und Anlageunterlagen benötigen meist eine fortgeschrittene oder qualifizierte Stufe.
• Gesundheits- und Pharmawesen: Hier gelten strenge Anforderungen an Nachvollziehbarkeit und Datenschutz; regulierte Aufzeichnungen verlangen eine überprüfbare Identität und manipulationssichere Protokolle.
• Personalwesen: Für bestimmte arbeitsrechtliche Dokumente schreibt das Gesetz die Schriftform vor – prüfen Sie die Formvorschriften, bevor Sie standardmäßig zur einfachen Signatur greifen.

Das Muster ist stets dasselbe: Je stärker ein Dokument reguliert ist, desto höher die Signaturstufe und desto strenger die Nachweise, die Sie aufbewahren müssen.

Was Konformität wirklich beweist: der Audit-Trail

Ein Signaturbild auf einem PDF beweist für sich genommen fast nichts. Was eine Signatur beweissicher macht, sind die rundherum erfassten Nachweise – der Audit-Trail (auch Signaturzertifikat oder Abschlussprotokoll genannt).

Ein konformer Audit-Trail hält fest:

• Wer unterzeichnet hat – verifizierte Identität und Authentifizierungsmethode.
• Wann – ein vertrauenswürdiger Zeitstempel für jede Aktion.
• Was – ein kryptografischer Hash, der belegt, dass das Dokument unverändert ist.
• Wie – Einwilligung, IP-Adresse, E-Mail und der Ablauf der Ereignisse.

Dieses Protokoll ist das, was Sie einem Prüfer vorlegen oder in einem Rechtsstreit vorbringen. Bietet eine Signaturplattform ein herunterladbares Konformitätszertifikat, ist dieses Dokument Ihr wichtigster Nachweis – bewahren Sie es zusammen mit dem signierten Vertrag auf, nicht getrennt davon.

Signatur-Konformität erreichen: die Checkliste

Die genannten Vorschriften werden im Alltag zu einem wiederholbaren Prozess:

1. Dokument einordnen. Legen Sie Risikostufe und geltende Vorschriften fest, bevor Sie eine Signaturmethode wählen.
2. Signaturstufe an das Risiko anpassen. EES für risikoarme Fälle, FES für die meisten Verträge, QES überall dort, wo Gesetz oder Wert es verlangen.
3. Identität prüfen. Ergänzen Sie Zwei-Faktor-Authentifizierung, E-Mail- oder Ausweisprüfung im Verhältnis zum Risiko.
4. Vollständigen Audit-Trail erfassen. Stellen Sie sicher, dass Ihre Plattform Identität, Zeitstempel, Einwilligung und Dokument-Hash protokolliert – und dass Sie das Zertifikat exportieren können.
5. Nachweise aufbewahren. Speichern Sie das signierte Dokument und seinen Audit-Trail gemeinsam über die gesamte gesetzliche Aufbewahrungsfrist.
6. Klare interne Richtlinien setzen. Legen Sie fest, wer was unterzeichnen darf, und schulen Sie Mitarbeiter, damit niemand auf nicht konforme Umwege ausweicht.
7. Regelmäßig überprüfen. Prüfen Sie Ihren Signaturprozess mindestens jährlich sowie nach jeder Gesetzesänderung gegen die aktuelle Rechtslage.

Konformitätsmerkmale einer Signatursoftware

Der oben beschriebene Aufwand ist realistisch nur mit einem auf Konformität ausgelegten Werkzeug zu leisten. Plattformen wie DocuSign, Adobe Acrobat Sign, Signaturit und top.legal unterstützen die Erstellung, Verwaltung und Validierung von Signaturen. Achten Sie bei der Auswahl darauf, dass die Lösung folgendes bietet:

• Unterstützung aller drei Stufen (EES, FES und eIDAS-konforme QES).
• Ausdrücklich benannte eIDAS-Konformität.
• Einen manipulationssicheren Audit-Trail mit exportierbarem Abschlusszertifikat.
• Starke Authentifizierung (2FA, Ausweisprüfung).
• Verschlüsselung bei Übertragung und Speicherung sowie sichere Langzeitarchivierung.
• Integrationen, damit die Signatur in Ihren bestehenden Vertragsprozess eingebettet ist statt aufgesetzt.

top.legal bietet innerhalb der Vertragsmanagement-Plattform ein qualifiziertes elektronisches Signaturverfahren, das direkt im Vertragsabschluss angesiedelt ist – so bleiben Signatur, Nachweis und Archivierung in einem konformen System statt über mehrere Tools verstreut. Zum breiteren Nutzen siehe die Vorteile digitaler Signaturen.

Häufige Herausforderungen – und wie man sie meistert

Interoperabilität. Unternehmen betreiben viele Systeme, zwischen denen Signaturen fließen müssen. Setzen Sie auf Plattformen mit offenen Standards und API-Schnittstellen statt auf geschlossene Silos.

Sicherheit. Signaturwerkzeuge sind ein Angriffsziel. Bestehen Sie auf Zwei-Faktor-Authentifizierung, Verschlüsselung und regelmäßigen Sicherheitsüberprüfungen und bevorzugen Sie Anbieter mit anerkannten Zertifizierungen.

Akzeptanz. Konformität scheitert leise, wenn Mitarbeiter wieder eingescannte Unterschriften per E-Mail verschicken. Schulen Sie Teams zum Warum des Prozesses, machen Sie den konformen Weg zum einfachsten und schaffen Sie einen klaren Kanal für Rückfragen.

FAQ zur Signatur-Konformität

Wie stellt man E-Signatur-Compliance sicher? Ordnen Sie jedes Dokument nach Risiko ein, wählen Sie die passende Signaturstufe (EES, FES oder QES), prüfen Sie die Identität des Unterzeichners, erfassen Sie einen vollständigen Audit-Trail und bewahren Sie das signierte Dokument samt Zertifikat über die gesamte gesetzliche Frist auf. Eine eIDAS-konforme Plattform deckt den Großteil der Anforderungen ab.

Kann eine elektronische Signatur abgelehnt werden, weil sie elektronisch ist? Nein. Nach eIDAS darf einer Signatur die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt. Sie kann jedoch aus anderen Gründen angefochten werden – etwa wegen schwacher Identitätsprüfung oder eines fehlenden Audit-Trails. Genau das adressiert die Konformität.

Wann brauche ich eine qualifizierte elektronische Signatur (QES)? Immer dann, wenn das Gesetz die Schriftform verlangt (§ 126a BGB) oder wenn Wert und regulatorisches Risiko des Dokuments hoch sind. Für risikoarme interne Dokumente genügt eine einfache Signatur, für die meisten Handelsverträge eine fortgeschrittene.

Welche Vorschriften gelten für elektronische Signaturen? In der EU ist die eIDAS-Verordnung maßgeblich, in Deutschland ergänzt um die Formvorschriften des BGB (Schriftform, § 126/126a). International kommen Regelungen wie der ESIGN Act und UETA hinzu.

Was ist ein Signatur-Konformitätszertifikat? Es ist der Audit-Trail, den eine Signaturplattform für ein abgeschlossenes Dokument erzeugt – mit Angaben dazu, wer wann unterzeichnet hat, wie die Identität geprüft wurde und einem kryptografischen Nachweis, dass das Dokument unverändert ist. Es ist Ihr wichtigster Nachweis bei Streit oder Prüfung.