Elektronisches Siegel: Was es ist, wie es funktioniert und die Unterschiede zur digitalen Signatur
Europäische Unternehmen und öffentliche Einrichtungen erzeugen täglich Millionen von Dokumenten, Fotos, Videos und digitalen Dateien, die überprüfbare Garantien für Authentizität und Integrität erfordern. Die eIDAS-Verordnung (EU 910/2014) hat einen harmonisierten rechtlichen Rahmen für diese Instrumente geschaffen und dabei zwei unterschiedliche Mechanismen eingeführt: das elektronische Siegel und die elektronische Signatur. Dennoch bleibt die Verwechslung zwischen beiden weit verbreitet.
Viele Organisationen behandeln das elektronische Siegel und die digitale Signatur als austauschbar und setzen sich damit Compliance-Fehlern sowie einer Anfechtung der Rechtsgültigkeit ihrer Dokumente aus. Die Unterscheidung ist nicht bloß terminologisch: Sie betrifft, wer das Instrument anwendet, welche Garantie es erzeugt und in welchen Kontexten das jeweilige Instrument angemessen ist.
Die Antwort ist eindeutig. Das elektronische Siegel bestätigt, dass ein digitaler Inhalt von einer bestimmten juristischen Person stammt und nach der Versiegelung nicht verändert wurde. Die digitale Signatur hingegen bindet eine natürliche Person an die Unterzeichnung eines Dokuments und erzeugt die Entsprechung einer handschriftlichen Unterschrift. Dieses Verständnis ist der erste Schritt zur Auswahl des richtigen Instruments für jedes geschäftliche Szenario.
Was ist ein elektronisches Siegel nach der eIDAS-Verordnung
Das elektronische Siegel ist ein Instrument, das juristischen Personen vorbehalten ist, um Ursprung und Integrität digitaler Daten zu gewährleisten. Anders als die digitale Signatur identifiziert es keine Einzelperson, sondern eine Organisation: ein Unternehmen, eine öffentliche Stelle, einen Verein. Die eIDAS-Verordnung hat es eigens eingeführt, um dem Bedarf an organisatorischer Authentifizierung bei europäischen elektronischen Transaktionen gerecht zu werden.
Rechtliche Definition und Sicherheitsstufen
Artikel 3 Nr. 25 der eIDAS-Verordnung definiert ein elektronisches Siegel als “Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verbunden werden, um den Ursprung und die Unversehrtheit der damit verbundenen Daten sicherzustellen.” Die Verordnung legt drei aufeinander aufbauende Sicherheitsstufen fest:
- Einfaches elektronisches Siegel: Grundstufe mit begrenzten Garantien hinsichtlich der Identität des Erstellers
- Fortgeschrittenes elektronisches Siegel: eindeutig dem Ersteller zugeordnet, erstellt mit Daten, die der alleinigen Kontrolle des Erstellers unterliegen, und in der Lage, jede nachträgliche Veränderung zu erkennen
- Qualifiziertes elektronisches Siegel: erstellt mit einer qualifizierten Siegelerstellungseinheit und gestützt auf ein qualifiziertes Zertifikat, das von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt wurde
Nur die qualifizierte Stufe genießt gemäß Artikel 35 der eIDAS-Verordnung die gesetzliche Vermutung der Datenintegrität und der Richtigkeit des Ursprungs. Diese Vermutung gilt in allen EU-Mitgliedstaaten, ohne dass zusätzliche Anerkennungsverfahren erforderlich sind.
Qualifiziertes elektronisches Siegel: die höchste Vertrauensstufe
Das qualifizierte elektronische Siegel stellt den höchsten Zuverlässigkeitsstandard dar, den der europäische Rechtsrahmen für die Bestätigung des Datenursprungs festlegt. Gemäß Artikel 35 Abs. 2 genießt ein qualifiziertes elektronisches Siegel die Vermutung der Integrität der Daten und der Richtigkeit des Ursprungs der Daten, mit denen es verbunden ist. In der Praxis bedeutet dies, dass sich die Beweislast im Gerichtsverfahren umkehrt: Nicht die Partei, die die versiegelten Daten vorlegt, muss die Authentizität beweisen, sondern die anfechtende Partei muss die Veränderung nachweisen.
Um diese Vertrauensstufe zu erreichen, muss das Siegel mit einer qualifizierten Einheit gemäß Anhang II der eIDAS-Verordnung erstellt und auf ein gemäß Anhang III ausgestelltes qualifiziertes Zertifikat gestützt werden. Das Zertifikat wird von einem QTSP ausgestellt, der auf der EU-Vertrauensliste geführt wird und regelmäßigen Audits durch die nationalen Aufsichtsbehörden unterliegt (in Deutschland die Bundesnetzagentur nach dem Vertrauensdienstegesetz, VDG).
Wie das elektronische Siegel funktioniert: die technische Architektur
Das qualifizierte elektronische Siegel beruht auf etablierten kryptografischen Mechanismen, die sowohl die Verbindung zwischen den Daten und der erstellenden Organisation als auch die Erkennbarkeit jeder nachträglichen Änderung gewährleisten. Der technische Prozess umfasst zwei Hauptkomponenten: die asymmetrische Kryptografie mit digitalen Zertifikaten und die qualifizierten Zeitstempel.
Asymmetrische Kryptografie und X.509-Zertifikate
Grundlage des elektronischen Siegels ist ein System der Public-Key-Kryptografie. Die Organisation besitzt ein Paar kryptografischer Schlüssel: einen privaten Schlüssel, der in einer sicheren Einheit (HSM, Hardware-Sicherheitsmodul) gespeichert ist, und einen öffentlichen Schlüssel, der im qualifizierten X.509-Zertifikat des QTSP enthalten ist.
Wenn die Organisation das Siegel auf einen digitalen Inhalt anwendet, berechnet das System einen kryptografischen Hash der Datei (einen eindeutigen digitalen Fingerabdruck) und verschlüsselt ihn mit dem privaten Schlüssel. Das Ergebnis ist das elektronische Siegel. Wer die Daten erhält, kann das Siegel mithilfe des öffentlichen Schlüssels im Zertifikat überprüfen: Stimmt der Hash überein, sind die Daten unversehrt und stammen von der Organisation, die das Zertifikat hält.
Das X.509-Zertifikat enthält Identifikationsangaben zur juristischen Person (Name, Registernummer, Mitgliedstaat), die Gültigkeitsdauer und einen Verweis auf den ausstellenden QTSP. Dieses Schema entspricht den Standards ETSI EN 319 412 für qualifizierte Zertifikate.
Qualifizierter Zeitstempel und lückenlose Beweiskette
Das qualifizierte elektronische Siegel wird in der Regel mit einem qualifizierten Zeitstempel kombiniert, der den genauen Zeitpunkt der Siegelanbringung bezeugt. Auch der Zeitstempel ist in der eIDAS-Verordnung geregelt (Artikel 41-42) und genießt auf qualifizierter Stufe die Vermutung der Richtigkeit des angegebenen Datums und der angegebenen Uhrzeit sowie der Integrität der Daten, mit denen er verbunden ist.
Die Kombination aus qualifiziertem elektronischem Siegel und qualifiziertem Zeitstempel schafft eine überprüfbare, lückenlose Beweiskette: Es lässt sich nicht nur nachweisen, dass die Daten von einer bestimmten Organisation stammen und nicht verändert wurden, sondern auch der genaue Zeitpunkt, zu dem diese Garantie erzeugt wurde. Diese Beweiskette ist in rechtlichen und forensischen Kontexten von grundlegender Bedeutung, in denen die zeitliche Dimension eines Beweismittels oft entscheidend ist.
Elektronisches Siegel und digitale Signatur: operative und rechtliche Unterschiede
Die Verwechslung zwischen elektronischen Siegeln und digitalen Signaturen entsteht, weil beide asymmetrische Kryptografie und digitale Zertifikate verwenden. Die technischen Ähnlichkeiten verdecken jedoch wesentliche Unterschiede in Bezug auf Träger, Zweck und Rechtswirkung.
Träger, Zweck und Automatisierung
Die digitale Signatur ist das Instrument, mit dem eine natürliche Person ein digitales Dokument unterzeichnet, ihre Zustimmung ausdrückt und persönliche Verantwortung übernimmt. Nach der eIDAS-Verordnung (Artikel 25) hat eine qualifizierte elektronische Signatur (QES) die einer handschriftlichen Unterschrift gleichwertige Rechtswirkung.
Das elektronische Siegel hingegen ist juristischen Personen vorbehalten. Es drückt keinen Unterzeichnungswillen aus, sondern bestätigt Ursprung und Integrität der Daten. Ein entscheidender operativer Unterschied betrifft die Automatisierung: Während die digitale Signatur für jeden einzelnen Vorgang die bewusste Handlung des Unterzeichners erfordert, kann das elektronische Siegel automatisch durch die IT-Systeme der Organisation angebracht werden, ohne menschliches Eingreifen bei jedem Vorgang. Diese Eigenschaft macht es für die Bestätigung großer Datenmengen geeignet.
Rechtswirkungen im Vergleich
Hinsichtlich der Rechtswirkungen weist die eIDAS-Verordnung dem qualifizierten elektronischen Siegel eine Vermutung der Datenintegrität und der Richtigkeit des Ursprungs zu (Art. 35 Abs. 2). Die digitale Signatur hat in ihrer qualifizierten Ausprägung, der qualifizierten elektronischen Signatur (QES), die einer handschriftlichen Unterschrift gleichwertige Rechtswirkung (Art. 25 Abs. 2).
Diese Unterscheidung hat unmittelbare praktische Folgen: Ein Vertrag erfordert die digitalen Signaturen der Vertragsparteien (natürliche Personen, die ihre Zustimmung ausdrücken); ein von der erstellenden Organisation bestätigter Prüfbericht erfordert ein elektronisches Siegel.
Zusammenfassender Vergleich: elektronisches Siegel und digitale Signatur
| Kriterium | Elektronisches Siegel | Digitale Signatur |
|---|---|---|
| Träger | Juristische Person (Unternehmen, öffentliche Stelle, Verein) | Natürliche Person |
| Zweck | Ursprung und Integrität der Daten gewährleisten | Ein Dokument unterzeichnen (Ausdruck der Zustimmung) |
| Automatisierung | Kann automatisch durch IT-Systeme angebracht werden | Erfordert eine bewusste Handlung des Unterzeichners |
| Rechtswirkung (qualifiziert) | Vermutung der Integrität und der Richtigkeit des Ursprungs | Gleichwertig mit handschriftlicher Unterschrift |
| Rechtsgrundlage | eIDAS Art. 35-40 | eIDAS Art. 25-34 |
| Zertifikat | Ausgestellt auf die juristische Person | Ausgestellt auf die natürliche Person |
| Typische Verwendung | Dokumentenbestätigung, Rechnungen, Multimedia-Inhalte | Verträge, Erklärungen, förmliche Rechtsakte |
Wann das qualifizierte elektronische Siegel für Unternehmen unverzichtbar wird
Das qualifizierte elektronische Siegel wird zum notwendigen Instrument, sobald eine Organisation auf überprüfbare und rechtssichere Weise gewährleisten muss, dass digitale Daten authentisch und unverändert sind. In vielen regulierten Szenarien ist dies keine optionale Wahl: Die europäische Rechtsentwicklung macht das Siegel zu einer operativen Anforderung.
Praktische Anwendungsszenarien
Die EU-Durchführungsverordnung 2024/994 hat die Pflicht zu einem qualifizierten elektronischen Siegel für Unternehmen eingeführt, die Produkte in der EPREL-Datenbank (Europäisches Produktregister für die Energieverbrauchskennzeichnung) registrieren, und zeigt damit, wie das Siegel auf europäischer Ebene zu einer konkreten operativen Anforderung wird.
Über den EPREL-Kontext hinaus gehören zu den Szenarien, in denen sich das qualifizierte elektronische Siegel als entscheidend erweist:
- Versicherungsbranche: Die Zertifizierung von Schadenfotos im Moment der Erfassung stellt sicher, dass die Bilder nicht manipuliert wurden, beschleunigt die Regulierung und reduziert Betrug
- Bau und Infrastruktur: Ein bei der Erfassung versiegeltes Video einer Baustellenbegehung wird zu einem belastbaren Nachweis des Bauzustands
- Rechtsstreitigkeiten: Ein mit einem qualifizierten Siegel zertifizierter Screenshot, eine E-Mail oder ein digitales Dokument entfaltet als elektronisches Dokument nach ZPO §371a Beweiswert im Gerichtsverfahren, ohne dass eine zusätzliche Begutachtung erforderlich ist
- Compliance und Audit: Von der erstellenden Organisation versiegelte Compliance-Dokumentation ist jederzeit durch jeden Dritten überprüfbar
- Elektronische Rechnungsstellung: Das Siegel gewährleistet Ursprung und Integrität der von der Organisation ausgestellten Rechnungen
Mit dem Inkrafttreten von eIDAS 2.0 und der schrittweisen Einführung der europäischen Brieftasche für die digitale Identität (EUDI-Wallet) wird das qualifizierte elektronische Siegel zu einem Standardbestandteil der digitalen Infrastruktur von Unternehmen.
Wie die Zertifizierung digitaler Inhalte mit dem elektronischen Siegel funktioniert
Das qualifizierte elektronische Siegel entfaltet seine vollständigste Anwendung, wenn es in einen strukturierten Prozess zur Erfassung und Zertifizierung digitaler Inhalte eingebunden ist. TrueScreen ist ein konkretes Beispiel für diese Integration: Die Plattform verbindet die forensische Datenerfassung an der Quelle mit der Versiegelung durch ein qualifiziertes elektronisches Siegel eines internationalen QTSP und schafft so eine überprüfbare und rechtsgültige digitale Beweiskette.
Forensische Erfassung und Versiegelung durch den QTSP
Die TrueScreen-Methodik umfasst zwei untrennbare Phasen. Die erste ist die forensische Erfassung: Jeder Inhalt (Foto, Video, Screenshot, Dokument, E-Mail) wird mit einer Methodik erfasst, die dem Standard ISO/IEC 27037 zur Identifizierung, Erhebung und Sicherung digitaler Beweise entspricht. Umgebungsbezogene EXIF-Metadaten (GPS-Koordinaten, Zeitstempel, Geräteparameter) werden erfasst, um den Inhalt zu kontextualisieren.
Die zweite Phase ist die Zertifizierung: Ein qualifiziertes elektronisches Siegel und ein qualifizierter Zeitstempel eines akkreditierten QTSP werden auf den erfassten Inhalt angewendet. Der kryptografische Hash der Datei wird berechnet und versiegelt, sodass jede nachträgliche Änderung sofort erkennbar wird. Das Ergebnis ist ein vollständiges Beweispaket: Originalinhalt, Metadaten, Siegel, Zeitstempel und Zertifizierungsbericht.
Diese Kombination aus forensischer Erfassung und qualifiziertem Siegel unterscheidet die Digital Provenance von der bloßen Anwendung eines Siegels auf bereits vorhandene Daten. Der Beweiswert ergibt sich aus der Garantie, dass die Daten korrekt an der Quelle erfasst und nicht lediglich nachträglich versiegelt wurden.
Konkrete Anwendungsfälle
Ein Schadensgutachter, der einen Schaden mit der TrueScreen App dokumentiert, erfasst Fotos und Videos mit zertifizierten Metadaten: Das qualifizierte elektronische Siegel gewährleistet, dass diese Bilder nach der Aufnahme nicht verändert wurden und dass sie vom Gerät des Gutachters, an diesem Ort und zu diesem Zeitpunkt stammen. Das Ergebnis ist eine Dokumentation, die der Versicherer unmittelbar im Regulierungsprozess verwenden kann, was Fristen und Streitigkeiten reduziert.
Ein Bauleiter, der ein Bauprojekt begeht, kann Baufortschrittsvideos zertifizieren. Eine Rechtsanwältin, die einen Screenshot einer Konversation oder Webseite bei Gericht vorlegen muss, kann ihn mit Beweiswert zertifizieren, ohne einen Notar oder eine gesonderte Begutachtung heranzuziehen.
