Ist die elektronische Signatur sicher?

Die Frage nach der Sicherheit der elektronischen Signatur ist berechtigt und wichtig. Schließlich geht es um rechtsverbindliche Dokumente, persönliche Daten und das Vertrauen zwischen Vertragsparteien. Die kurze Antwort lautet: Ja, elektronische Signaturen sind sicher – vorausgesetzt, man nutzt einen seriösen Anbieter und wählt das passende Sicherheitsniveau für das jeweilige Dokument. In diesem Artikel beleuchten wir die technischen und rechtlichen Grundlagen und zeigen, worauf Sie bei der Anbieterwahl achten sollten.

Technische Sicherheitsmechanismen

Verschlüsselung

Professionelle E-Signatur-Lösungen setzen auf mehrschichtige Verschlüsselung. Die Übertragung von Dokumenten erfolgt grundsätzlich über TLS (Transport Layer Security), dem heutigen Standard für sichere Internetkommunikation. Das fertig signierte Dokument wird zusätzlich mit einem kryptografischen Hash gesichert: Einer mathematischen Prüfsumme, die eindeutig auf den Inhalt des Dokuments zum Zeitpunkt der Unterzeichnung verweist. Jede nachträgliche Änderung – auch das Verändern eines einzelnen Zeichens – macht diesen Hash ungültig.

Digitale Zertifikate

Bei fortgeschrittenen und qualifizierten elektronischen Signaturen wird die Identität des Unterzeichners durch ein digitales Zertifikat belegt. Dieses Zertifikat wird von einer Zertifizierungsstelle (Trust Service Provider, TSP) ausgestellt und bestätigt die Zuordnung der Signatur zu einer bestimmten Person. Qualifizierte Zertifikate setzen eine vorherige Identitätsprüfung voraus – vergleichbar mit der Vorlage eines Lichtbildausweises.

Audit-Trail und Protokollierung

Ein vollständiger Audit-Trail ist eines der wichtigsten Sicherheitsmerkmale moderner E-Signatur-Plattformen. Dabei wird jeder Schritt des Signaturprozesses lückenlos dokumentiert:

• Wer hat das Dokument wann geöffnet?
• Von welchem Gerät und welcher IP-Adresse aus?
• Zu welchem exakten Zeitpunkt wurde die Unterschrift gesetzt?
• Wurde das Dokument nach der Signatur verändert?

Dieser Nachweis ist im Streitfall vor Gericht von unschätzbarem Wert und deutlich belastbarer als ein handschriftlich unterzeichnetes Dokument ohne Zusatznachweise.

Manipulationsschutz

Sobald ein Dokument elektronisch unterzeichnet ist, wird es gegen Veränderungen gesichert. Versucht jemand, den Inhalt nachträglich zu ändern, wird die Signatur als ungültig markiert. Dieses Verfahren basiert auf Public-Key-Infrastruktur (PKI): Einem bewährten kryptografischen System, das seit Jahrzehnten auch in der Bankenkommunikation und in staatlichen Systemen eingesetzt wird.

Rechtliche Grundlagen: eIDAS und DSGVO

Die eIDAS-Verordnung

Seit 2016 regelt die EU-Verordnung Nr. 910/2014 (eIDAS) den rechtlichen Rahmen für elektronische Identifizierung und Vertrauensdienste in der Europäischen Union. Sie definiert drei Stufen der elektronischen Signatur:

1. Einfache elektronische Signatur (EES): Niedrigste Stufe, beispielsweise eine eingescannte Unterschrift oder ein Häkchen in einem Online-Formular. Für viele alltägliche Dokumente ausreichend.
2. Fortgeschrittene elektronische Signatur (FES): Eindeutig dem Unterzeichner zuordenbar, unter seiner alleinigen Kontrolle erstellt, jede nachträgliche Änderung erkennbar. Geeignet für Verträge mit mittlerem Risiko.
3. Qualifizierte elektronische Signatur (QES): Höchste Stufe, rechtlich der handschriftlichen Unterschrift gleichgestellt. Erfordert ein qualifiziertes Zertifikat und wird durch einen von der EU anerkannten Trust Service Provider ausgestellt.

DSGVO-Konformität

Bei elektronischen Signaturen werden personenbezogene Daten verarbeitet: Name, E-Mail-Adresse, IP-Adresse, Zeitstempel. Diese Verarbeitung unterliegt vollständig der Datenschutz-Grundverordnung (DSGVO). Seriöse Anbieter erfüllen dabei folgende Anforderungen:

• Datenspeicherung ausschließlich auf Servern innerhalb der EU oder in Ländern mit angemessenem Datenschutzniveau
• Transparente Datenschutzerklärung mit Angaben zu Speicherdauer und Zweck
• Möglichkeit zur Datenlöschung auf Anfrage
• Abschluss eines Auftragsverarbeitungsvertrags (AVV) für Unternehmenskunden
• Technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten

Sicherheitsstufen im Vergleich

Nicht jedes Dokument erfordert die höchste Sicherheitsstufe. Die folgende Übersicht hilft bei der Entscheidung:

• Einfache Signatur: Interne Freigaben, einfache Auftragsbestätigungen, Newsletter-Abmeldungen
• Fortgeschrittene Signatur: Dienstleistungsverträge, Mietverträge, Handelsvereinbarungen, NDA
• Qualifizierte Signatur: Rechtlich formgebundene Dokumente, Handelsregisteranmeldungen, öffentliche Aufträge, Dokumente mit Schriftformerfordernis

Was kann schiefgehen – und wie vermeiden Sie es?

Schwache Identitätsprüfung

Bei einfachen E-Signaturen gibt es in der Regel keine Prüfung, ob die Person tatsächlich diejenige ist, die sie vorgibt zu sein. Wer sensible Verträge digital schließt, sollte zusätzliche Authentifizierungsmaßnahmen einsetzen: SMS-Verifizierung, Video-Ident oder ein qualifiziertes Zertifikat.

Phishing und gefälschte Signaturanfragen

Angreifer könnten gefälschte Signaturanfragen versenden, um Nutzer zur Preisgabe von Daten zu verleiten. Prüfen Sie daher immer: Kommt die Anfrage von einer bekannten E-Mail-Adresse? Leitet der Link auf die offizielle Domain des Signaturtools? Enthält die E-Mail alle erwarteten Informationen?

Unsichere Anbieter

Nicht jedes kostenlose Online-Tool erfüllt professionelle Sicherheitsstandards. Manche Dienste speichern hochgeladene Dokumente dauerhaft, ohne dies transparent zu kommunizieren. Achten Sie auf ISO-27001-Zertifizierung, SOC-2-Berichte oder gleichwertige Nachweise.

Fehlende Datensicherung

Bewahren Sie stets eine eigene Kopie des unterzeichneten Dokuments auf. Verlassen Sie sich nicht ausschließlich auf die Speicherung beim Anbieter – Zugänge können ablaufen, Konten gelöscht werden.

Kriterien für vertrauenswürdige Anbieter

Bevor Sie sich für einen E-Signatur-Dienst entscheiden, prüfen Sie folgende Punkte:

1. eIDAS-Konformität: Ist der Anbieter als Trust Service Provider in der EU-Vertrauensliste (EUTL) gelistet?
2. Datenschutz: Wo werden die Daten gespeichert? Gibt es einen AVV?
3. Sicherheitszertifizierungen: ISO 27001, SOC 2 Type II oder vergleichbare Audits
4. Audit-Trail: Wird ein vollständiges, manipulationssicheres Protokoll erstellt?
5. Kundensupport: Gibt es deutschsprachigen Support bei technischen Problemen?
6. Transparenz: Klare AGB, verständliche Datenschutzerklärung, keine versteckten Klauseln

Elektronische Signatur vs. handschriftliche Unterschrift: Ein fairer Vergleich

Interessanterweise ist die handschriftliche Unterschrift in Sachen Sicherheit oft unterlegen: Sie lässt sich fälschen, enthält keinen Zeitstempel, erzeugt kein Protokoll und bietet keinerlei Schutz gegen nachträgliche Manipulation des Dokuments. Eine fortgeschrittene oder qualifizierte elektronische Signatur hingegen:

• ist fälschungssicher durch kryptografische Bindung,
• enthält einen rechtssicheren Zeitstempel,
• dokumentiert den gesamten Unterzeichnungsvorgang,
• macht nachträgliche Dokumentänderungen sofort erkennbar.

Elektronische Signaturen sind – bei korrekter Anwendung und seriösem Anbieter – nicht nur genauso sicher wie handschriftliche Unterschriften, sondern in vielen Aspekten deutlich sicherer. Entscheidend ist, das richtige Sicherheitsniveau für den jeweiligen Anwendungsfall zu wählen und einen Anbieter zu nutzen, der die gesetzlichen Anforderungen vollständig erfüllt.

Direkt im Browser erledigen — die Datei verlässt Ihr Gerät nicht: PDF-Tools