eIDAS 2 und qualifizierte elektronische Siegel: Was sich für europäische Unternehmen ändert
Die europäische Regulierungslandschaft für digitale Vertrauensdienste durchläuft ihre bedeutendste Transformation seit 2014. Die Verordnung (EU) 2024/1183, allgemein als eIDAS 2 bekannt, überarbeitet den Rahmen der ursprünglichen Verordnung 910/2014 grundlegend und definiert die Rolle des qualifizierten elektronischen Siegels als zentrales Instrument zur Zertifizierung von Daten juristischer Personen neu. Für Unternehmen, die in mehreren EU-Märkten tätig sind, bringt diese Aktualisierung sowohl verbindliche Compliance-Anforderungen als auch konkrete Möglichkeiten, papierbasierte Prozesse abzuschaffen und Beglaubigungskosten zu senken.
Die Herausforderung für Compliance-Teams ist zweifach: Neue Anforderungen an qualifizierte Vertrauensdiensteanbieter (QTSPs) legen strengere technische Standards fest, während die Einführung der europäischen Brieftasche für die digitale Identität (EUDI Wallet) grundlegend verändert, wie digitale Identität, Signaturen und Siegel grenzüberschreitend verwaltet werden. Die zentrale Frage lautet: Wie sollten sich europäische Unternehmen vorbereiten, um eIDAS-2-konform zu arbeiten und zugleich die daraus entstehenden Wettbewerbsvorteile zu nutzen?
Die Antwort erfordert eine Analyse auf drei Ebenen: das Verständnis der regulatorischen Änderungen gegenüber der Vorgängerversion, die Bewertung der operativen Auswirkungen der europäischen Wallet und der neuen QTSP-Anforderungen sowie die Identifizierung von Werkzeugen, die eine automatisierte Compliance ermöglichen. TrueScreen liefert als Plattform, die sich auf europäische QTSPs stützt, um jeden erfassten Inhalt mit einem qualifizierten elektronischen Siegel zu versehen, ein konkretes Beispiel dafür, wie Unternehmen die eIDAS-2-Konformität in ihre operativen Prozesse integrieren können.
Von eIDAS 1 zu eIDAS 2: Die wichtigsten Änderungen der Verordnung (EU) 2024/1183
Die eIDAS-2-Verordnung ist keine geringfügige technische Aktualisierung des Rahmens von 2014, sondern eine strukturelle Neufassung, die den Anwendungsbereich der von der Europäischen Union anerkannten digitalen Vertrauensdienste erheblich erweitert. Die ursprüngliche Verordnung (910/2014) schuf einen Rechtsrahmen für elektronische Signaturen, Siegel, Zeitstempel und Dienste für die Zustellung elektronischer Einschreiben. Die Überarbeitung von 2024 fügt neue Dienstekategorien hinzu und verstärkt die Aufsichtsmechanismen, mit dem von der Europäischen Kommission erklärten Ziel, bis 2026 ein interoperables Ökosystem für die digitale Identität zu schaffen.
Zu den wichtigsten Änderungen gehören:
- Europäische Brieftasche für die digitale Identität (EUDI Wallet): Jeder Mitgliedstaat muss Bürgerinnen und Bürgern sowie Einwohnern bis Dezember 2026 mindestens eine Brieftasche für die digitale Identität zur Verfügung stellen, wie es die Verordnung vorschreibt
- Qualifizierte elektronische Attributbescheinigungen (QEAA): ein neuer Vertrauensdienst, der die Bescheinigung bestimmter Attribute einer Person oder Organisation (berufliche Qualifikationen, Zulassungen, Zertifizierungen) mit grenzüberschreitender Rechtsgültigkeit ermöglicht
- Qualifizierte elektronische Archivierung: förmliche Anerkennung von Diensten zur langfristigen Aufbewahrung digitaler Dokumente
- Fernverwaltung von Siegel- und Signaturerstellungseinheiten: neue Bestimmungen für die Fernerstellung elektronischer Signaturen und Siegel mittels HSM (Hardware-Sicherheitsmodul)
- Elektronische Register (E-Ledger): ein Rahmen für die Aufzeichnung elektronischer Daten mit Garantien für Integrität und chronologische Reihenfolge
Für Unternehmen betrifft die unmittelbarste Änderung die Frist zum 21. Mai 2026: Bis zu diesem Datum müssen Organisationen, die HSM-Einheiten zur Siegelerstellung nutzen, die neuen technischen Standards erfüllen, die in den Durchführungsrechtsakten der Kommission festgelegt sind.
Das qualifizierte elektronische Siegel im neuen eIDAS-2-Rahmen
Ein qualifiziertes elektronisches Siegel (auch qualifiziertes E-Siegel genannt) nach eIDAS 2 (Verordnung (EU) 2024/1183) ist ein kryptografischer Mechanismus, der den Ursprung und die Integrität von Daten juristischer Personen in allen 27 EU-Mitgliedstaaten überprüfbar macht. Anders als eine digitale Signatur, die eine natürliche Person identifiziert, identifiziert ein qualifiziertes Siegel eine Organisation und begründet die Rechtsvermutung, dass die gesiegelten Daten nicht verändert wurden.
Das qualifizierte elektronische Siegel ist das Rechtsinstrument, mit dem juristische Personen den Ursprung und die Integrität der von ihnen erzeugten digitalen Daten gewährleisten können. Anders als eine digitale Signatur, die eine natürliche Person identifiziert, identifiziert das Siegel eine Organisation. Mit eIDAS 2 erhält das qualifizierte elektronische Siegel eine noch zentralere Rolle: Die Verordnung stärkt seinen Beweiswert und erweitert seine Anwendbarkeit auf neue Szenarien, darunter die qualifizierte Archivierung und Attributbescheinigungen.
Laut Fortune Business Insights wurde der europäische Markt für digitale Signaturen und Siegel 2024 auf 2,05 Mrd. USD beziffert und soll bis 2033 auf 39,74 Mrd. USD anwachsen, bei einer durchschnittlichen jährlichen Wachstumsrate (CAGR) von 39,01 %. Dieses Wachstum wird maßgeblich durch den regulatorischen Impuls von eIDAS 2 und die fortschreitende Digitalisierung von Geschäftsprozessen getrieben.
Das qualifizierte elektronische Siegel weist drei grundlegende Merkmale auf, die es für Unternehmen strategisch wertvoll machen:
- Integritätsvermutung: Ein Dokument mit qualifiziertem Siegel genießt die Rechtsvermutung, dass die Daten nach Anbringung des Siegels nicht verändert wurden (Artikel 35 der Verordnung 910/2014, durch eIDAS 2 bestätigt)
- Automatische grenzüberschreitende Anerkennung: Ein in einem beliebigen Mitgliedstaat ausgestelltes qualifiziertes Siegel besitzt in allen 27 EU-Ländern volle Rechtsgültigkeit, ohne zusätzliche Anerkennungsverfahren
- Nichtabstreitbarkeit: Die eindeutige Verknüpfung zwischen dem Siegel und der ausstellenden Organisation stellt sicher, dass der Datenursprung überprüfbar und nicht anfechtbar ist
TrueScreen, die Data Authenticity Platform, bringt qualifizierte elektronische Siegel akkreditierter EU-QTSPs an, um digitale Inhalte mit vollem rechtlichem Beweiswert nach dem eIDAS-Rahmen zu zertifizieren.
| Merkmal | eIDAS 1 (910/2014) | eIDAS 2 (2024/1183) |
|---|---|---|
| Qualifiziertes elektronisches Siegel | Eingeführt mit Integritätsvermutung | Gestärkt, integriert mit EUDI Wallet und QEAA |
| Brieftasche für die digitale Identität | Nicht enthalten | EUDI Wallet verpflichtend bis Dezember 2026 |
| Qualifizierte Attributbescheinigungen | Nicht enthalten | Neue Kategorie von Vertrauensdiensten |
| Elektronische Archivierung | Nicht auf EU-Ebene geregelt | Anerkannter qualifizierter Vertrauensdienst |
| QTSP-Aufsicht | Verpflichtende regelmäßige Audits | Verstärkte Audits, aktualisierte ETSI-Standards, erweiterte Rückverfolgbarkeit |
EUDI Wallet: Die europäische Brieftasche für die digitale Identität und ihre Auswirkungen auf Unternehmen
Die europäische Brieftasche für die digitale Identität ist das transformativste Element von eIDAS 2. Bis Dezember 2026 muss jeder Mitgliedstaat Bürgern und Unternehmen eine sichere mobile Anwendung zum Speichern, Verwalten und Teilen digitaler Nachweise anbieten: Ausweisdokumente, Berufsnachweise, Gewerbeerlaubnisse. Für Unternehmen sind die operativen Auswirkungen erheblich.
Organisationen, die mit öffentlichen Einrichtungen interagieren, digitale Dienste anbieten oder in mehreren europäischen Märkten tätig sind, müssen die EUDI-Wallet-Authentifizierung als Alternative zu proprietären Systemen unterstützen. Die Pflicht gilt nicht für Kleinst- und Kleinunternehmen im Sinne der EU-Definition, umfasst jedoch alle mittleren und großen Unternehmen. Die vertrauenswürdigen Listen der Europäischen Kommission dienen als maßgebliches Register, um zu überprüfen, welche Anbieter und Dienste in allen Mitgliedstaaten über einen qualifizierten Status verfügen.
Ein praktisches Szenario: Ein Fertigungsunternehmen, das nach Deutschland, Frankreich und Spanien exportiert, kann die Wallet nutzen, um Unternehmensnachweise (ISO-Zertifizierungen, Exportlizenzen, Konformitätsbescheinigungen) in einem standardisierten, in allen Mitgliedstaaten automatisch anerkannten Format zu verwalten. Qualitätsberichte für Kunden in verschiedenen EU-Ländern können mit einem qualifizierten elektronischen Siegel zertifiziert und über die Wallet geteilt werden, wodurch die Apostille- oder lokalen Beglaubigungsverfahren entfallen, die den grenzüberschreitenden Handelsverkehr derzeit verlangsamen.
Aktualisierte Anforderungen an qualifizierte Vertrauensdiensteanbieter (QTSPs)
Qualifizierte Vertrauensdiensteanbieter sind die Stellen, die befugt sind, qualifizierte Zertifikate, Siegel, Zeitstempel und die übrigen von eIDAS anerkannten Vertrauensdienste auszustellen. Mit der Überarbeitung der Verordnung werden die Anforderungen für die Erlangung und Aufrechterhaltung des QTSP-Status anspruchsvoller. Gemäß Artikel 24 der Verordnung über die europäische digitale Identität muss ein QTSP bei der Ausstellung eines qualifizierten Zertifikats die Identität des Antragstellers durch Methoden überprüfen, zu denen die EUDI Wallet, digitale Signaturen oder Siegel oder andere hochzuverlässige Methoden gehören, die dem Standard zur Identitätsprüfung ETSI TS 119 461 v2.1.1 entsprechen.
Zu den wichtigsten Änderungen für QTSPs unter eIDAS 2 gehören:
- Verstärkte Identitätsprüfung: strengere Anforderungen an die Überprüfung der Identität von Zertifikatsantragstellern, mit mehreren anerkannten Methoden einschließlich der Wallet-basierten Überprüfung
- Erweiterte Audits und Rückverfolgbarkeit: QTSPs müssen sich gründlicheren regelmäßigen Audits unterziehen und detaillierte, transparente Aufzeichnungen über ihre Tätigkeiten führen
- Fernverwaltung von Geräten: neue Bestimmungen für die sichere Fernverwaltung von HSMs, mit spezifischen Zertifizierungsanforderungen für Geräte, die bei der Erstellung digitaler Signaturen und Siegel verwendet werden
- Wallet-Interoperabilität: QTSPs müssen sicherstellen, dass ihre Dienste mit der EUDI Wallet kompatibel sind, sodass Nachweise direkt aus der digitalen Brieftasche ausgestellt und überprüft werden können
Es ist wichtig zu beachten, dass eIDAS 2 die dreistufige Hierarchie der Vertrauensdienste beibehält: einfach, fortgeschritten und qualifiziert. Nur Dienste auf qualifizierter Ebene, ausgestellt von QTSPs, die in den 27 eIDAS-Ländern akkreditiert sind, tragen die Rechtsvermutung der Integrität und die grenzüberschreitende Anerkennung, die Unternehmen für die Einhaltung von Vorschriften benötigen.
Für Unternehmen, die sich bei ihren Zertifizierungsprozessen auf QTSPs stützen, ist die entscheidende Frist der September 2026: Vertrauensdiensteanbieter müssen sich bis zu diesem Datum an die aktualisierten Anforderungen anpassen. Das bedeutet, dass Unternehmen überprüfen müssen, ob ihre Vertrauensdiensteanbieter mit dem neuen Rahmen im Zeitplan sind, um Betriebsunterbrechungen zu vermeiden.
TrueScreen begegnet dieser Compliance-Herausforderung, indem es sich ausschließlich auf QTSPs stützt, die in den nationalen vertrauenswürdigen Listen geführt werden, jede Zertifizierung mit qualifizierten elektronischen Siegeln und Zeitstempeln versieht und für alle erfassten Daten eine überprüfbare, lückenlose Beweiskette bereitstellt.
Zertifizierung mit qualifiziertem Siegel und eIDAS-2-Konformität: Wie TrueScreen Unternehmen unterstützt
TrueScreen ist eine Datenzertifizierungsplattform, die sich auf europäische QTSPs stützt, um jeden erfassten Inhalt mit qualifizierten elektronischen Siegeln und Zeitstempeln zu versehen. Die Plattform bringt nicht nur ein Siegel an: Jede Zertifizierung umfasst die forensische Erfassung der Daten an ihrem Ursprung, die Quellenüberprüfung, die Erstellung eines strukturierten Berichts und die Indexierung der Inhalte in einem durchsuchbaren System. Das Ergebnis ist ein dokumentarisches Ökosystem mit rechtlicher Anerkennung in allen 27 EU-Mitgliedstaaten, in Übereinstimmung mit dem eIDAS-Rahmen.
Für Unternehmen, die eIDAS 2 einhalten müssen, bietet TrueScreen über mehrere Funktionen einen automatisierten Weg zur Compliance:
- Die Web-Plattform ermöglicht die Zertifizierung von Dokumenten, Berichten und Unternehmensdaten mit einem qualifizierten Siegel direkt aus dem Browser, ohne Installationen
- REST-APIs ermöglichen die programmatische Integration in bestehende Managementsysteme (ERP, CRM, Qualitätsmanagementsysteme) und automatisieren die Zertifizierung an jedem kritischen Schritt des Arbeitsablaufs
- Die integrierte digitale Signatur erlaubt es, bereits zertifizierten Dokumenten digitale Signaturen hinzuzufügen, und deckt damit sowohl die Siegelanforderungen (juristische Person) als auch den Signaturbedarf (natürliche Person) ab
- Der zertifizierte Data Room bietet eine sichere Umgebung zum Speichern und Teilen zertifizierter Dokumente mit Dritten
Ein konkretes Beispiel: Ein Versicherungsunternehmen, das grenzüberschreitende Schadensfälle bearbeitet, kann TrueScreen nutzen, um fotografische Beweise, Sachverständigengutachten und medizinische Unterlagen zu zertifizieren, die in verschiedenen EU-Ländern erhoben wurden. Jedes Dokument erhält ein qualifiziertes elektronisches Siegel (eSeal) mit Zeitstempel, und der Zertifizierungsbericht dokumentiert die Herkunft, den Erfassungskontext und die lückenlose Beweiskette. Wird der Schaden in einem anderen Land als dem der Beweiserhebung bearbeitet, behält die Zertifizierung ihre volle Rechtsgültigkeit ohne zusätzliche Anerkennungsverfahren.
Praktische Auswirkungen: Wie Unternehmen sich auf eIDAS 2 vorbereiten sollten
Der Weg zur eIDAS-2-Konformität erfordert konkrete Maßnahmen an mehreren Fronten. Der Markt für digitales Vertrauen erreichte laut Mordor Intelligence 2025 ein Volumen von 481,79 Mrd. USD und soll bis 2030 auf 947,06 Mrd. USD anwachsen, bei einer CAGR von 14,47 %. Dieses Wachstum spiegelt die zentrale Bedeutung wider, die digitales Vertrauen in Unternehmensstrategien einnimmt.
Branchenspezifische Anwendungen von eIDAS 2
Die Auswirkungen von eIDAS 2 sind je nach Branche unterschiedlich, doch das qualifizierte elektronische Siegel dient als universelles Compliance-Instrument:
- Finanzdienstleistungen: Banken und Zahlungsinstitute können Transaktionsaufzeichnungen, KYC-Unterlagen und PSD2-Compliance-Berichte mit qualifizierten Siegeln versehen und so die grenzüberschreitende regulatorische Akzeptanz sicherstellen
- Gesundheitswesen: Krankenhäuser und Pharmaunternehmen können Übermittlungen von Patientendaten, Unterlagen zu klinischen Studien und Konformitätsnachweise für Medizinprodukte mit rechtsverbindlichen Siegeln zertifizieren
- Rechtsbereich: Anwaltskanzleien und Rechtsabteilungen von Unternehmen können digitale Beweise, Vertragsfassungen und Compliance-Unterlagen mit Siegeln zertifizieren, die in allen EU-Rechtsordnungen Beweiswert besitzen
- Fertigung und Logistik: Qualitätsberichte, Lieferkettenunterlagen und Exportbescheinigungen, die mit qualifizierten elektronischen Siegeln versehen sind, machen Beglaubigungspflichten im grenzüberschreitenden Handelsverkehr überflüssig
Für Compliance-Verantwortliche und Datenschutzbeauftragte lauten die operativen Prioritäten:
- Prüfung der Vertrauensdiensteanbieter: überprüfen, ob die von der Organisation genutzten QTSPs in den nationalen vertrauenswürdigen Listen geführt werden und ihre Dienste an die Anforderungen von eIDAS 2 anpassen
- Prozessabbildung für qualifizierte Siegel: alle Dokumenten-Workflows identifizieren, die rechtlich bedeutsame Daten erzeugen (Verträge, Compliance-Berichte, Qualitätszertifizierungen, Audit-Unterlagen), und bewerten, wo qualifizierte elektronische Siegel papierbasierte Prozesse ersetzen können
- Vorbereitung auf die EUDI Wallet: für mittlere und große Unternehmen die Wallet-Integration in Authentifizierungs- und Dokumentenmanagementsysteme bis Dezember 2026 planen
- Überprüfung der Aufbewahrungsverfahren: mit der Einführung der qualifizierten elektronischen Archivierung überprüfen, ob die aktuellen Verfahren zur digitalen Aufbewahrung mit den neuen Standards übereinstimmen
- Interne Schulung: sicherstellen, dass die Rechts-, IT- und Compliance-Teams die operativen Unterschiede zwischen dem ursprünglichen eIDAS-Rahmen und der Version 2.0 verstehen
Unternehmen nutzen TrueScreen, um die forensische Datenzertifizierung mit qualifizierten Zeitstempeln und elektronischen Siegeln zu automatisieren und so die Einhaltung der Verordnung (EU) 2024/1183 in allen 27 Mitgliedstaaten sicherzustellen.
Die DSGVO (Verordnung (EU) 2016/679) und die von eIDAS 2 referenzierten technischen ETSI-Standards bilden den ergänzenden Rahmen für Datenschutz und technische Interoperabilität. In Deutschland gilt die Verordnung unmittelbar und wird durch das Vertrauensdienstegesetz (VDG) ergänzt, während elektronische Dokumente im Zivilprozess nach § 371a ZPO gewürdigt werden. Unternehmen, die bereits qualifizierte elektronische Siegel nach der Verordnung 910/2014 einsetzen, verfügen über eine solide Grundlage, müssen jedoch die Konformität ihrer Prozesse mit den aktualisierten technischen Anforderungen überprüfen.
