Anbieter für qualifizierte elektronische Signaturen: Worauf Unternehmen achten sollten

Anbieter qualifizierte elektronische Signatur suchen viele Unternehmen, die digitale Unterschriften rechtlich sauber umsetzen wollen. Schnell zeigt sich aber, dass es dabei nicht nur um eine Funktion geht, sondern um die Frage, welcher Anbieter den gesamten Prozess verlässlich abbilden kann.

Denn bei einer qualifizierten elektronischen Signatur, kurz QES, geht es nicht nur darum, dass Dokumente digital unterschrieben werden können. Viel wichtiger ist, was im Hintergrund passiert. Wie läuft die Identitätsprüfung ab? Wer stellt das qualifizierte Zertifikat aus, auf welcher die Signatur basiert? Und ist der gesamte Prozess so aufgebaut, dass er rechtlich wirklich trägt, wenn es zum Streitfall kommt?

Genau deshalb lohnt es sich, bei der Wahl des Anbieters für qualifizierte elektronische Signaturen genauer hinzuschauen. Eine gute Lösung sollte nicht nur technisch funktionieren, sondern auch zum eigenen Prozess passen, verständlich aufgebaut sein und Vertrauen schaffen. Denn am Ende bringt die beste Signaturlösung wenig, wenn sie in der Praxis zu kompliziert ist oder rechtlich Fragen offenlässt.

Die qualifizierte elektronische Signatur ist die höchste Signaturstufe im eIDAS-Rahmen. Sie hat dieselbe Rechtswirkung wie eine handschriftliche Unterschrift und basiert auf einem qualifizierten Zertifikat, das mit einer qualifizierten Signaturerstellungseinheit genutzt wird. Genau deshalb ist sie immer dann relevant, wenn digital besonders belastbar unterschrieben werden soll oder ein Schriftformerfordernis vorliegt.

Nicht jeder Anbieter, der digitale Signaturen anbietet, darf automatisch auch qualifizierte elektronische Signaturen bereitstellen. Für qualifizierte Vertrauensdienste braucht es einen aufwendigen und kostenintensiven Zertifizierungsprozess. Ein Anbieter beziehungsweise Vertrauensdiensteanbieter muss zunächst von einer akkreditierten Konformitätsbewertungsstelle geprüft werden. In Deutschland ist dies die Bundesnetzagentur. Danach überprüft die zuständige Aufsichtsstelle den Nachweis. Erst wenn diese Prüfung positiv abgeschlossen ist und der Dienst in der EU Trusted List eingetragen ist, darf der qualifizierte Dienst überhaupt angeboten werden.

Für Unternehmen bedeutet das: Wer einen Anbieter für qualifizierte elektronische Signaturen auswählt, sollte nicht nur auf die Website oder Verkaufsfolien schauen, sondern prüfen, ob der relevante qualifizierte Dienst tatsächlich in der Trusted List geführt wird. Diese Listen haben nach eIDAS konstitutive Wirkung. Anders gesagt: Ein Dienst ist nur dann qualifiziert, wenn er dort auch wirklich als qualifiziert eingetragen ist.

Wichtig ist außerdem die Unterscheidung zwischen Lösungsanbieter und qualifiziertem Vertrauensdiensteanbieter. Manche Unternehmen bieten eine intuitive Signaturplattform oder einen effizienten Workflow, arbeiten bei der Ausstellung der qualifizierten Zertifikate aber mit einem QTSP zusammen. Das ist nicht automatisch ein Nachteil, aber man sollte wissen, dass weitere Parteien am Prozess beteiligt sind.

Zuerst sollte man sich anschauen, welche Rolle der Anbieter im Prozess übernimmt. Ist er selbst qualifizierter Vertrauensdiensteanbieter oder arbeitet er mit einem solchen zusammen? Auch ein Blick in die Trusted List ist wichtig: Ist der qualifizierte Dienst dort mit gültigem Status eingetragen? Gerade bei qualifizierten Signaturen ist das entscheidend für die rechtliche Belastbarkeit.

Danach kommt die Frage, wie gut der Anbieter zum eigenen Prozess passt. Die beste QES-Lösung bringt wenig, wenn die Identifizierung der Unterzeichnenden unnötig kompliziert ist, wenn der Ablauf intern nicht verstanden wird oder wenn die Signatur an der Schnittstelle zu HR, Einkauf, Vertrieb oder Fachverfahren hängen bleibt. Ein guter Anbieter denkt deshalb nicht nur in Zertifikaten, sondern in Prozessen: Wer unterschreibt, wann unterschreibt jemand, wie wird eingeladen, wie wird dokumentiert und was passiert bei Rückfragen oder Abbrüchen? Die Europäische Kommission empfiehlt Unternehmen, zuerst ihre Anforderungen sauber einzuordnen. Dazu gehört vor allem die Frage, welche Dokumente digital signiert werden sollen und in welchen Use Cases das passiert. Erst darauf aufbauend sollten Signaturtyp, technische Anforderungen und die passende Lösung ausgewählt werden.

Ein weiterer Punkt ist die Nutzererfahrung. Gerade bei der QES darf man nicht so tun, als sei alles nur Technik. Wenn Unterzeichnende den Ablauf nicht verstehen oder zu viele Hürden erleben, sinkt die Akzeptanz. Deshalb lohnt es sich, bei einem Anbieter nicht nur nach Compliance zu fragen, sondern auch nach dem realen Ablauf für Fachbereiche, externe Vertragspartner und wiederkehrende Unterzeichnende. Denn eine Lösung wird erst dann gut, wenn sie nicht nur korrekt, sondern auch nutzbar ist.

Technisch und rechtlich sollte ein Anbieter für qualifizierte elektronische Signaturen mindestens dort sauber aufgestellt sein, wo die eigentliche Vertrauensbasis entsteht: beim qualifizierten Zertifikat, bei der sicheren Signaturerstellung und bei der Nachweisbarkeit. Die EU-Kommission beschreibt, dass qualifizierte Zertifikate höhere Garantien in Bezug auf die Identität der unterzeichnenden Person bieten und üblicherweise zusammen mit einer qualifizierten Signaturerstellungseinheit genutzt werden. Die private Signaturerstellungsinformation muss dabei besonders geschützt sein; genau dafür ist die QSCD da.

Dazu kommt die laufende Aufsicht. Qualifizierte Vertrauensdienste werden nicht einmal geprüft und dann für immer sich selbst überlassen. Der qualifizierte Status wird über regelmäßige Konformitätsbewertungen aufrechterhalten; aktuell ist dafür im Regelfall ein Turnus von 24 Monaten vorgesehen. In Deutschland liegt die Aufsicht für elektronische Signaturen, Siegel, Zeitstempel, Validierung, elektronische Einschreiben und Bewahrung bei der Bundesnetzagentur. Gleichzeitig gelten Sicherheitsanforderungen, die technische und organisatorische Maßnahmen sowie Meldepflichten bei erheblichen Sicherheitsvorfällen umfassen.

Für die Anbieterauswahl heißt das: Frag nicht nur, ob QES möglich ist, sondern wie sie konkret umgesetzt wird. Woher kommt das qualifizierte Zertifikat? Wer übernimmt die qualifizierte Rolle? Wie wird die Signatur validiert? Wie wird dokumentiert, dass der Prozess sauber gelaufen ist? Genau an diesen Stellen zeigt sich, ob ein Anbieter wirklich belastbar ist oder nur das Schlagwort QES im Portfolio stehen hat.

Nicht jedes Unternehmen braucht dieselbe Art von Lösung. Wer nur einzelne Dokumente oder eher manuelle Prozesse digitalisieren möchte, ist oft mit einer sofort nutzbaren Signaturplattform gut bedient, welche ohne Softwaredownload direkt im Browser bedienbar sind. Wer die elektronische Signaturen direkt in bestehende Prozesse oder Oberflächen integrieren möchte, sollte stärker auf APIs, Integrationsfähigkeit und Rollenmodelle achten. In regulierten oder besonders sensiblen Umgebungen rücken lokale Lösungen oft stärker in den Fokus. Sie geben Unternehmen mehr Einfluss auf Hosting, Prozesskontrolle und Nachvollziehbarkeit und spielen deshalb bei der Auswahl eine wichtige Rolle.

Die Frage nach dem richtigen Anbieter für qualifizierte elektronische Signaturen ist eng mit dem eigenen Reifegrad verknüpft. Geht es um externe Vertragsunterzeichnung? Um wiederkehrende Prozesse? Um hohe Volumina? Oder um besonders sensible Freigaben? Die Europäische Kommission empfiehlt Unternehmen ausdrücklich, zunächst die eigenen Dokumentarten und Anwendungsfälle zu bestimmen. Erst danach ergibt die Auswahl eines Anbieters wirklich Sinn.

Wer einen Anbieter für qualifizierte elektronische Signaturen auswählt, sollte nicht nur auf die Oberfläche schauen. Wichtiger ist, ob der Prozess dahinter sauber aufgebaut ist – rechtlich, technisch und zuverlässig. Denn genau daran entscheidet sich, ob aus digitalem Unterschreiben am Ende auch ein tragfähiger Prozess wird.

Als qualifizierter Vertrauensdiensteanbieter begleiten wir Unternehmen bei SIGN8 auf diesem Weg. Wenn du dir ein Bild davon machen möchtest, wie das konkret aussehen kann, zeigen wir dir unsere Lösungen gern in einer Demo.