Fortgeschrittene elektronische Signatur: Was sie ist, wie sie funktioniert und die eIDAS-Verordnung

Der weltweite Markt für elektronische Signaturen erreichte 2025 ein Volumen von 13,4 Mrd. USD, mit Prognosen von 70,2 Mrd. USD bis 2030 bei einer jährlichen Wachstumsrate von 39,2 %, so MarketsandMarkets. Über 80 % der Organisationen nutzen heute in ihrem Tagesgeschäft irgendeine Form der elektronischen Signatur (eSignGlobal, 2024). Dennoch untergräbt ein hartnäckiges Problem diese Adoptionswelle: Die meisten Fachleute verwechseln die drei Signaturstufen des EU-Rechts und setzen ihre Organisation Compliance-Lücken und anfechtbaren Verträgen aus. Eine fortgeschrittene elektronische Signatur (FES) steht im Zentrum dieser Verwirrung. Sie bietet stärkere Garantien als ein einfaches Klick-zum-Signieren, erreicht aber nicht den vollen Apparat, der für eine qualifizierte elektronische Signatur (QES) erforderlich ist. Zu verstehen, wo die FES beginnt und endet, was die eIDAS-Verordnung (EU) Nr. 910/2014 tatsächlich verlangt und wann eine Organisation auf der Signaturleiter nach oben oder unten wechseln sollte: Das sind Fragen, die Rechtsabteilungen, Compliance-Teams und IT-Verantwortliche mit Präzision beantwortet brauchen, nicht mit Marketing-Slogans.

Was ist eine fortgeschrittene elektronische Signatur (FES)?

Eine fortgeschrittene elektronische Signatur ist eine elektronische Signatur, die vier spezifische Anforderungen aus Artikel 26 der eIDAS-Verordnung erfüllt. Sie ist zuverlässiger als eine einfache elektronische Signatur, aber weniger aufwendig als eine qualifizierte. Die FES stellt eine überprüfbare Verbindung zwischen dem Unterzeichner und den signierten Daten her, macht Manipulationen erkennbar und stellt das Signaturmittel unter die alleinige Kontrolle des Unterzeichners. Vor Gericht in der EU und bei grenzüberschreitenden Transaktionen hat diese Kombination echtes rechtliches Gewicht.

Definition und die Anforderungen des Artikels 26 eIDAS

Artikel 3 Nr. 11 der eIDAS-Verordnung definiert eine fortgeschrittene elektronische Signatur als eine, die die in Artikel 26 genannten Anforderungen erfüllt. Diese vier Anforderungen bilden das Rückgrat jeder FES-Umsetzung:

1. Eindeutig dem Unterzeichner zugeordnet: Die Signatur muss über einen Mechanismus, der nicht geteilt oder übertragen werden kann, an eine einzige, identifizierbare Person gebunden sein.
2. In der Lage, den Unterzeichner zu identifizieren: Der Prozess muss feststellen, wer tatsächlich signiert hat, und über eine bloße E-Mail-Adresse oder ein IP-Protokoll hinausgehen.
3. Erstellt mit elektronischen Signaturerstellungsdaten, die der Unterzeichner mit einem hohen Maß an Vertrauen unter seiner alleinigen Kontrolle verwenden kann: Der private Schlüssel, das Token oder der biometrische Faktor muss ausschließlich dem Unterzeichner zugänglich bleiben.
4. So mit den signierten Daten verbunden, dass jede nachträgliche Veränderung der Daten erkennbar ist: Der Integritätsschutz stellt sicher, dass das Dokument nach der Signatur nicht ohne Spuren verändert werden kann.

Diese vier Bedingungen sind kumulativ. Fehlt auch nur eine, gilt die Signatur nach eIDAS nicht als fortgeschritten. In der Praxis bedeutet dies: Ein mit einem einfachen Zeichenwerkzeug signiertes PDF scheitert an nahezu jedem Punkt, während eine Signatur, die über eine OTP-verifizierte Identität und kryptografisches Hashing erzeugt wird, alle vier erfüllen kann.

Unterschiede zwischen einfacher, fortgeschrittener und qualifizierter Signatur

eIDAS legt eine dreistufige Hierarchie fest. Jede Stufe fügt der vorherigen Anforderungen hinzu und erhöht sowohl die Rechtssicherheit als auch die Komplexität der Umsetzung. Die folgende Vergleichstabelle zeigt die praktischen Unterschiede, die für Compliance-Entscheidungen relevant sind.

Was bedeutet das in der Praxis? Die FES hat in der gesamten EU echtes rechtliches Gewicht. Artikel 25 Abs. 1 eIDAS bestimmt, dass einer elektronischen Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil sie in elektronischer Form vorliegt. Speziell für die FES begründen die vier Anforderungen des Artikels 26 eine Vermutung der Zuverlässigkeit, die Gerichte und Aufsichtsbehörden zunehmend anerkennen.

FES vs. digitale Signatur: die häufige Verwechslung aufklären

Die Begriffe „fortgeschrittene elektronische Signatur" und „digitale Signatur" werden häufig synonym verwendet, bezeichnen aber unterschiedliche Konzepte. Eine digitale Signatur ist ein technischer Mechanismus auf Basis asymmetrischer Kryptografie: Ein privater Schlüssel verschlüsselt einen Hash des Dokuments, und ein zugehöriger öffentlicher Schlüssel ermöglicht die Überprüfung. Eine fortgeschrittene elektronische Signatur ist eine von eIDAS definierte Rechtskategorie, die festlegt, was eine Signatur leisten muss, nicht wie sie aufgebaut sein muss.

In der Praxis stützen sich die meisten FES-Umsetzungen auf die Technik der digitalen Signatur, um die Anforderungen an Manipulationserkennung und eindeutige Zuordnung zu erfüllen. Eine FES könnte jedoch theoretisch andere technische Ansätze nutzen, solange die vier Anforderungen des Artikels 26 erfüllt sind. Umgekehrt würde eine digitale Signatur, der es an einer angemessenen Identifizierung des Unterzeichners oder an Mechanismen der alleinigen Kontrolle fehlt, nach eIDAS nicht als FES gelten.

Eine konkrete Veranschaulichung, wie digitale Signaturen in angewandten Kontexten funktionieren, bietet dieses Beispiel für eine digitale Signatur.

Wie die FES funktioniert: der technische Prozess

Hinter jeder fortgeschrittenen elektronischen Signatur steht eine technische Architektur, die die vier rechtlichen Anforderungen des Artikels 26 in konkrete, überprüfbare Vorgänge übersetzt. Jeder Schritt entspricht unmittelbar einer regulatorischen Pflicht und erzeugt einen Prüfpfad, der einer rechtlichen Überprüfung in jedem EU-Mitgliedstaat standhält.

Identifizierung des Unterzeichners und eindeutige Zuordnung

Die ersten beiden Anforderungen des Artikels 26 verlangen, dass die Signatur eindeutig dem Unterzeichner zugeordnet und geeignet ist, ihn zu identifizieren. Was das in der Praxis bedeutet: Vor dem Signieren muss ein Schritt zur Identitätsprüfung erfolgen, und es muss eine kryptografische Bindung zwischen dieser geprüften Identität und dem Signaturergebnis bestehen.

Gängige Ansätze sind:

• OTP-basierte Verifizierung: Ein Einmalpasswort, das an eine registrierte Mobilfunknummer gesendet wird, bestätigt, dass die Person, die die Signatur auslöst, ein zuvor verifiziertes Gerät kontrolliert.
• Biometrische Videoverifizierung: Der Unterzeichner nimmt ein kurzes Video auf, das mit einem Ausweisdokument abgeglichen wird. Dies schafft eine starke Verbindung zwischen der physischen Person und dem Signaturvorgang.
• eID-basierte Authentifizierung: Nationale elektronische Identitätssysteme (die Online-Ausweisfunktion (eID) des deutschen Personalausweises, BankID in Skandinavien, eHerkenning in den Niederlanden) bieten eine Identifizierung auf staatlichem Niveau.

Welche Methode auch gewählt wird, sie muss einen Identifizierungsnachweis erzeugen, der zusammen mit der Signatur gespeichert wird. Auch Jahre später sollte sich noch genau rekonstruieren lassen, wer wann signiert hat.

Alleinige Kontrolle und Manipulationserkennung

Die dritte Anforderung besagt, dass die Signaturerstellungsdaten mit einem hohen Maß an Vertrauen unter der alleinigen Kontrolle des Unterzeichners stehen müssen. Das bedeutet nicht zwingend, dass der Unterzeichner ein physisches Gerät besitzt. Cloud-basierte Lösungen können diese Anforderung erfüllen, indem sie eine Mehr-Faktor-Authentifizierung mit einer serverseitigen Schlüsselverwaltung kombinieren, bei der der private Schlüssel erst aktiviert wird, nachdem der Unterzeichner eine Authentifizierungsabfrage abgeschlossen hat.

Die vierte Anforderung, die Manipulationserkennung, wird in der Regel durch kryptografisches Hashing umgesetzt. Beim Signieren des Dokuments wird ein Hash (ein mathematischer Fingerabdruck fester Länge) des gesamten Inhalts berechnet und mit dem Signaturschlüssel versiegelt. Wird nach dem Signieren auch nur ein einziges Zeichen verändert, ändert sich der Hash und die Veränderung wird sofort sichtbar. Vom Europäischen Institut für Telekommunikationsnormen (ETSI) veröffentlichte Normen, darunter die Reihe EN 319 und die in ISO 14533 definierten Profile, legen die technischen Formate fest, die Interoperabilität über Plattformen und Grenzen hinweg gewährleisten.

Wann die FES ausreicht und wann eine QES erforderlich ist

Für die meisten geschäftlichen Transaktionen in der EU reicht die FES aus. Arbeitsverträge, Dienstleistungsvereinbarungen, Beschaffungsunterlagen, Versicherungsansprüche, interne Freigaben im Unternehmen: All dies kann in den meisten Mitgliedstaaten mit einer FES signiert werden. Der Grundsatz aus Artikel 25 Abs. 1 ist die Technologieneutralität: Die Rechtswirkung einer Signatur hängt von ihrer Zuverlässigkeit ab, nicht von ihrem Format.

Gleichwohl sehen bestimmte nationale Gesetze und Branchenvorschriften Ausnahmen vor, in denen nur eine qualifizierte elektronische Signatur (QES) genügt. Immobilienübertragungen in mehreren Mitgliedstaaten, bestimmte Eintragungen in öffentliche Register und einige regulierte Finanzinstrumente verlangen ausdrücklich eine QES. Der entscheidende Unterschied: Die QES ist die einzige Art der elektronischen Signatur, die eIDAS automatisch einer eigenhändigen Unterschrift gleichstellt (Artikel 25 Abs. 2). Für alles Übrige bietet die FES eine praktische Balance zwischen Sicherheit und betrieblicher Effizienz.

Der eIDAS-Rechtsrahmen für fortgeschrittene elektronische Signaturen

eIDAS ist der verbindliche Rechtsrahmen, der elektronische Signaturen in allen 27 EU-Mitgliedstaaten sowie in den EWR-Staaten regelt. Zuvor waren grenzüberschreitende elektronische Transaktionen ein Flickenteppich widersprüchlicher nationaler Regelungen. eIDAS ersetzte diese Zersplitterung durch ein einheitliches Anforderungspaket.

eIDAS-Verordnung (EU 910/2014): die 4 Anforderungen

Die eIDAS-Verordnung, förmlich Verordnung (EU) Nr. 910/2014 vom 23. Juli 2014, schafft einen einheitlichen Rechtsrahmen für die elektronische Identifizierung und Vertrauensdienste. Artikel 26 kodifiziert die bereits erörterten vier FES-Anforderungen. Doch mehrere weitere Bestimmungen prägen, wie die FES in der Praxis funktioniert:

• Artikel 25 Abs. 1: Einer elektronischen Signatur dürfen die Rechtswirkung und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt oder weil sie die Anforderungen an qualifizierte elektronische Signaturen nicht erfüllt.
• Artikel 25 Abs. 2: Nur eine qualifizierte elektronische Signatur hat die einer eigenhändigen Unterschrift gleichgestellte Rechtswirkung. Das bedeutet: Die FES hat eine starke, aber nicht automatische Gleichstellung mit der handschriftlichen Unterschrift.
• Artikel 27: Die Mitgliedstaaten müssen fortgeschrittene elektronische Signaturen anerkennen, die auf qualifizierten Zertifikaten beruhen und mit qualifizierten Signaturerstellungseinheiten aus anderen Mitgliedstaaten erstellt wurden.

Innerhalb Deutschlands richtet sich die Beweiskraft elektronisch signierter Dokumente nach der Zivilprozessordnung. Nach § 371a ZPO begründen private elektronische Dokumente, die mit einer qualifizierten elektronischen Signatur (QES) versehen sind, den Anschein der Echtheit der Erklärung. Elektronische Dokumente unterliegen im Übrigen als Gegenstand des Augenscheins (§ 371 ZPO) der freien Beweiswürdigung des Gerichts nach § 286 ZPO: Das Gericht bewertet die Beweiskraft und Zuverlässigkeit einer FES anhand der konkreten Umstände. Je lückenloser die Nachweiskette aus Identität, alleiniger Kontrolle und Integrität dokumentiert ist, desto höher fällt diese Bewertung aus.

Rechtsgültigkeit in den EU-Mitgliedstaaten

Der praktische Nutzen von eIDAS ist die gegenseitige Anerkennung. Eine in Frankreich erstellte fortgeschrittene elektronische Signatur hat denselben rechtlichen Stellenwert, wenn sie vor einem deutschen Gericht vorgelegt oder bei einer Aufsichtsbehörde eines anderen Mitgliedstaats eingereicht wird. Diese grenzüberschreitende Gültigkeit beruht auf der unmittelbaren Anwendbarkeit der Verordnung: Anders als Richtlinien bedürfen EU-Verordnungen keiner nationalen Umsetzung und gelten einheitlich.

Gleichwohl behalten die Mitgliedstaaten einen Ermessensspielraum darüber, welche konkreten Transaktionen eine qualifizierte statt einer fortgeschrittenen Signatur erfordern. Ein in Finnland mit einer FES signierter Vertrag ist in einem anderen Mitgliedstaat rechtsgültig; verlangt das dortige Recht für diese bestimmte Transaktionsart jedoch eine QES, genügt die FES für die Compliance nicht. In Deutschland konkretisiert zudem das Vertrauensdienstegesetz (VDG) die nationalen Durchführungsbestimmungen zu eIDAS. Rechtsverantwortliche müssen daher sowohl den allgemeinen eIDAS-Rahmen als auch die für ihre Transaktionsart geltenden nationalen Vorschriften prüfen.

eIDAS 2.0 und die EUDI-Wallet: was sich ändert

Der überarbeitete eIDAS-Rahmen, gemeinhin eIDAS 2.0 genannt, führt die europäische Brieftasche für die digitale Identität (EUDI-Wallet) ein, die die Mitgliedstaaten ihren Bürgerinnen und Bürgern sowie Einwohnern bis zum 31. Dezember 2026 zur Verfügung stellen müssen. Die EUDI-Wallet ist für fortgeschrittene elektronische Signaturen aus zwei Gründen bedeutsam.

Erstens wird die Wallet eine standardisierte, staatlich abgesicherte Ebene der Identitätsprüfung bereitstellen, die als Grundlage für FES und QES in der gesamten EU dienen kann. Statt sich auf unterschiedliche nationale eID-Systeme zu stützen, können Organisationen die Identität eines Unterzeichners über eine einzige, interoperable Infrastruktur überprüfen. Zweitens wird die Wallet qualifizierte elektronische Signaturen nativ unterstützen und damit die praktische Hürde zwischen FES und QES potenziell senken. Wird das Erstellen einer QES so einfach wie das Antippen eines Smartphones, könnten sich die heutigen Kosten- und Komplexitätsvorteile der FES deutlich verringern.

Für Organisationen, die derzeit FES-Workflows aufbauen, lautet die praktische Erkenntnis: Systeme so gestalten, dass sie höhere Vertrauensniveaus ohne architektonische Änderungen aufnehmen können. Die regulatorische Richtung begünstigt eine stärkere Identitätsprüfung und höhere Signaturstufen. Die EUDI-Wallet wird diesen Wandel beschleunigen.

Zertifizierung und FES: wie sich Daten an der Quelle schützen lassen

Fortgeschrittene elektronische Signaturen betreffen die Identität und Integrität des Signaturvorgangs selbst. In vielen betrieblichen Kontexten geht die Herausforderung jedoch über das Signieren hinaus. Auch die zugrunde liegenden Daten, ob Foto, Video, Bericht oder Vertragsdokument, müssen ab dem Moment ihrer Erstellung authentisch und unverändert sein. Die Datenzertifizierung an der Quelle ergänzt die Garantien der FES, indem sie die Lücke zwischen „wer signiert hat" und „was signiert wurde" schließt.

Digitale Signatur integriert in die TrueScreen-Zertifizierung

TrueScreen, die Data Authenticity Platform, integriert Funktionen der digitalen Signatur direkt in ihren Zertifizierungs-Workflow. Wird ein Dokument, Foto oder Video über TrueScreen erfasst, geschehen zwei Dinge nacheinander. Zunächst erfasst und zertifiziert die Plattform die Daten am Ursprungsort und bewahrt deren digitale Authentizität mit einer forensischen Methodik nach dem Standard ISO/IEC 27037, die Unveränderbarkeit ab der Quelle gewährleistet. Anschließend versieht sie diese mit einer digitalen Signatur und einem qualifizierten Zeitstempel (Artikel 41 eIDAS). Das Ergebnis ist ein überprüfbarer Nachweis darüber, wer wann signiert hat und dass der Inhalt seither nicht verändert wurde.

Die Identifizierung des Unterzeichners kann über OTP-Verifizierung oder biometrisches Video erfolgen, beide entsprechen den Anforderungen von eIDAS und der DSGVO. Das Ergebnis ist ein zertifiziertes Paket, in dem die Herkunft der Daten, die Identität des Unterzeichners und die Integrität des Dokuments nachweisbar intakt sind. Dieser Ansatz behebt eine Schwachstelle, die eigenständige FES-Werkzeuge offenlassen: Sie verifizieren den Unterzeichner, sagen aber nichts darüber aus, ob der signierte Inhalt selbst vor dem Anbringen der Signatur authentisch war.

Praxisszenarien: Verträge, Berichte, Felddokumentation

Hier sind drei Szenarien, in denen die Zertifizierung mit rechtssicherem Nachweis und integrierter digitaler Signatur reale betriebliche Probleme löst:

Verträge und Vereinbarungen. Ein multinationales Unternehmen benötigt Außendienstmitarbeitende, die Dienstleistungsverträge vor Ort unterzeichnen. TrueScreen ermöglicht es der Mitarbeiterin oder dem Mitarbeiter, das unterzeichnete Dokument zu erfassen, an der Quelle zu zertifizieren und in einem einzigen Workflow mit einer digitalen Signatur zu versehen. Die Gegenpartei erhält ein überprüfbares Paket statt eines gescannten PDFs von fragwürdiger Herkunft.

Prüfberichte. Eine Schadenreguliererin einer Versicherung fotografiert Schäden am Schadensort. Die Fotos werden im Moment der Aufnahme zertifiziert, und die Reguliererin signiert den Bericht digital. Jede Anfechtung, ob die Bilder manipuliert oder der Bericht verändert wurde, lässt sich durch Überprüfung der Zertifizierungskette und der digitalen Signatur klären, ohne auf Zeugenaussagen oder Metadatenanalyse angewiesen zu sein.

Felddokumentation für die Compliance. Ein Energieunternehmen muss Umweltinspektionen für die behördliche Einreichung dokumentieren. Fotos, Messwerte und Prüfernotizen werden über TrueScreen erfasst, mit Unveränderbarkeit an der Quelle zertifiziert und digital signiert. Die Behörde erhält eine Dokumentation mit einer lückenlosen Beweiskette, vom Moment der Aufnahme bis zum Moment der Einreichung. Einen detaillierten Blick darauf, wie sich elektronisches Siegel und digitale Signatur in diesen Kontexten unterscheiden, bietet der eigens dafür erstellte Vergleich.

FAQ

Was ist der Unterschied zwischen einer fortgeschrittenen und einer qualifizierten Signatur?

Eine fortgeschrittene elektronische Signatur (FES) erfüllt die vier Anforderungen des Artikels 26 eIDAS: eindeutige Zuordnung zum Unterzeichner, Identifizierung des Unterzeichners, alleinige Kontrolle und Manipulationserkennung. Eine qualifizierte elektronische Signatur (QES) erfüllt alle FES-Anforderungen sowie zwei zusätzliche: Sie muss auf einem qualifizierten Zertifikat beruhen, das von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt wurde, und mit einer qualifizierten Signaturerstellungseinheit (QSCD) erstellt werden. Nach Artikel 25 Abs. 2 eIDAS hat nur die QES die automatische rechtliche Gleichstellung mit einer eigenhändigen Unterschrift.

Ist eine fortgeschrittene elektronische Signatur in der gesamten EU rechtsgültig?

Ja. Nach Artikel 25 Abs. 1 eIDAS darf einer fortgeschrittenen elektronischen Signatur in keinem EU-Mitgliedstaat die Rechtswirkung oder die Zulässigkeit als Beweismittel allein deshalb abgesprochen werden, weil sie in elektronischer Form vorliegt. Bestimmte nationale Gesetze können jedoch für einige Transaktionsarten eine qualifizierte elektronische Signatur verlangen, etwa bei Immobilienübertragungen oder Eintragungen in öffentliche Register. Die FES selbst bleibt gültig, erfüllt aber möglicherweise nicht die spezifischen Anforderungen einer bestimmten nationalen Vorschrift.

Kann eine FES für internationale Verträge außerhalb der EU verwendet werden?

Die FES im Sinne von eIDAS ist ein EU-rechtliches Konzept. Außerhalb der EU hängt die Anerkennung vom jeweiligen nationalen Recht ab. Viele Länder akzeptieren elektronische Signaturen in geschäftlichen Transaktionen, die Beweiskraft variiert jedoch erheblich. Prüfen Sie für internationale Verträge das jeweils anwendbare Recht in jeder Rechtsordnung. Der Einsatz einer FES in Verbindung mit einer zusätzlichen Datenzertifizierung kann den Beweiswert dort stärken, wo lokale Regelungen Lücken lassen.

Was wird sich mit eIDAS 2.0 für elektronische Signaturen ändern?

eIDAS 2.0 führt die europäische Brieftasche für die digitale Identität (EUDI-Wallet) ein, die die Mitgliedstaaten bis zum 31. Dezember 2026 bereitstellen müssen. Die Wallet wird eine standardisierte Identitätsprüfung in der gesamten EU ermöglichen und qualifizierte elektronische Signaturen nativ unterstützen. Dies dürfte die Hürde zwischen FES und QES senken und Signaturen mit höherem Vertrauensniveau für Organisationen jeder Größe zugänglicher und kostengünstiger machen.

Wie ergänzt die Datenzertifizierung eine fortgeschrittene elektronische Signatur?

Eine FES weist nach, wer ein Dokument signiert hat, und erkennt Manipulationen nach der Signatur, sie sagt aber nichts über die Authentizität des zugrunde liegenden Inhalts vor dem Signieren aus. Die Datenzertifizierung, etwa der von TrueScreen genutzte forensische Erfassungsprozess, erfasst und schützt Daten im Moment ihrer Erstellung. In Kombination mit einer FES entsteht so eine lückenlose Vertrauenskette vom Datenursprung bis zur Signatur, mit rechtssicherem Nachweis in jedem Schritt. Am wichtigsten ist dies bei fotografischen Beweismitteln, Feldberichten und jedem Dokument, bei dem die Integrität der Quelldaten ebenso entscheidend ist wie die Signatur selbst.