Was macht die QES rechtlich besonders?
Die qualifizierte elektronische Signatur ist eine von drei Signaturstufen, die die eIDAS-Verordnung (EU-Verordnung Nr. 910/2014) definiert: einfache elektronische Signatur, fortgeschrittene elektronische Signatur und qualifizierte elektronische Signatur. Nur die QES ist nach Art. 25 Abs. 2 eIDAS EU-weit der handschriftlichen Unterschrift rechtlich gleichgestellt. Im deutschen Recht setzt § 126a BGB dies um: Wo das Gesetz Schriftform verlangt, kann diese durch die elektronische Form mit qualifizierter Signatur ersetzt werden.
Diese Gleichstellung hat praktische Konsequenzen für Digitalisierungsprojekte: Dokumente, die von Anfang an digital erzeugt und mit QES signiert werden, benötigen kein Papier-Pendant. Das unterscheidet die QES von der bloßen Digitalisierung bestehender Papierdokumente, bei der die Beweiskraft über ein dokumentiertes Scanverfahren nach GoBD und BSI TR-RESISCAN hergestellt wird.
Die beiden anderen Signaturstufen bleiben dabei nicht bedeutungslos: Die einfache elektronische Signatur, etwa eine eingescannte Unterschrift oder ein bloßes Namenskürzel unter einer E-Mail, eignet sich für Vorgänge ohne besonderes Beweisrisiko. Die fortgeschrittene elektronische Signatur bindet die Signatur eindeutig an den Unterzeichner und erkennt nachträgliche Änderungen am Dokument, erreicht aber nicht die gesetzliche Vermutungswirkung der QES. Welche Stufe angemessen ist, hängt vom rechtlichen Risiko des jeweiligen Dokuments ab.
Welche drei Zutaten braucht eine QES technisch?
- Qualifiziertes Zertifikat: Ausgestellt von einem qualifizierten Vertrauensdiensteanbieter, der die Identität des Antragstellers zuverlässig geprüft hat und in der EU-weiten Vertrauensliste (Trusted List) geführt wird.
- Sichere Signaturerstellungseinheit (QSCD): Eine speziell zertifizierte Hardware- oder Cloud-Komponente, die den privaten Signaturschlüssel schützt und ausschließlich unter Kontrolle des Signierenden verwendet.
- Starke Authentifizierung beim Signaturvorgang: Der Unterzeichner muss sich beim eigentlichen Signieren erneut zuverlässig authentifizieren, etwa per PIN, App-Freigabe oder biometrischem Faktor.
Fehlt eine dieser Komponenten, entsteht bestenfalls eine fortgeschrittene elektronische Signatur – rechtlich wertvoll, aber ohne die automatische Gleichstellung zur Schriftform.
Moderne Cloud-Signaturlösungen bilden die sichere Signaturerstellungseinheit nicht mehr auf einer physischen Chipkarte ab, sondern in einem zertifizierten Rechenzentrum des Vertrauensdiensteanbieters. Der Nutzer authentifiziert sich über eine App oder ein Einmalpasswort, der eigentliche kryptografische Signaturvorgang läuft serverseitig in der geschützten Umgebung ab. Das senkt die Einstiegshürde erheblich, weil kein Kartenlesegerät mehr nötig ist, und ermöglicht Signaturen von jedem Endgerät aus.
Wofür wird die QES in Kanzleien und Behörden konkret eingesetzt?
In der Praxis begegnet die QES vor allem in folgenden Zusammenhängen:
- Elektronischer Rechtsverkehr: Einreichungen über das beA, bei denen entweder eine QES verwendet oder alternativ über den sicheren Übermittlungsweg des eigenen beA-Postfachs signiert wird.
- Vertragsschluss mit Schriftformerfordernis: Verbraucherdarlehen, bestimmte Bürgschaften, Kündigungen von Dauerschuldverhältnissen mit gesetzlicher Schriftform.
- Notarielle und behördliche Verfahren: Digitale Beglaugigungen und bestimmte Antragsverfahren im Rahmen der Verwaltungsdigitalisierung nach OZG und E-Government-Gesetz.
- Interne Freigabeprozesse mit hohem Beweiswert: Etwa Vorstandsbeschlüsse oder Vergabeentscheidungen, bei denen Nachweisbarkeit im Streitfall wichtig ist.
Für die laufende Aktenverwaltung – etwa das Signieren interner Vermerke oder Freigaben ohne gesetzliches Schriftformerfordernis – reicht in vielen Fällen eine fortgeschrittene elektronische Signatur; die QES lohnt sich dort, wo Rechtssicherheit im Streitfall entscheidend ist.
Auch Architektur- und Ingenieurbüros nutzen die QES zunehmend, etwa für die rechtssichere digitale Unterzeichnung von Verträgen mit Bauherren oder für Erklärungen gegenüber Bauämtern, bei denen die Behörde eine qualifizierte Signatur explizit vorsieht. In Unternehmen mit häufigen Vertragsabschlüssen, etwa im Einkauf oder bei Kooperationsvereinbarungen, ersetzt die QES zunehmend den klassischen Postweg für unterschriebene Originale.
Wie fügt sich die QES in ein digitales Archivsystem ein?
Signierte Dokumente behalten ihre Beweiskraft nur, wenn das Archivsystem die Signatur samt Zertifikatskette und Validierungsstatus dauerhaft mit dem Dokument verknüpft. Zwei Punkte sind dabei zentral:
- Langzeitvalidierung: Zertifikate haben eine begrenzte Gültigkeit, deshalb muss das Archiv den Signaturstatus zum Zeitpunkt der Signatur nachweisbar dokumentieren, etwa durch ergänzende Zeitstempel (Advanced Electronic Signatures and Seals – Long Term, kurz XAdES-LT oder PAdES-LTV bei PDF).
- Format-Kompatibilität: PDF/A mit eingebetteter PAdES-Signatur ist für die Langzeitarchivierung besonders geeignet, weil Dokument und Signatur in einer Containerdatei verbleiben.
Wird ein signiertes Dokument später in ein neues DMS migriert, muss die Signatur samt Prüfkette mitwandern – ein reiner PDF-Export ohne Signaturerhalt zerstört den rechtlichen Mehrwert der QES.
Ebenso wichtig ist eine verlässliche Protokollierung des Validierungszeitpunkts: Wird die Gültigkeit eines Zertifikats erst Jahre nach der eigentlichen Signatur geprüft, muss das Archivsystem nachweisen können, dass das Zertifikat zum Zeitpunkt der Signatur selbst gültig war – nicht erst zum späteren Prüfzeitpunkt. Genau dafür sind die Standards XAdES-LT und PAdES-LTV konzipiert, die Validierungsdaten dauerhaft in die signierte Datei einbetten.
Wie unterscheidet sich die QES vom ersetzenden Scannen?
Die QES betrifft originär elektronisch erzeugte oder signierte Dokumente. Beim ersetzenden Scannen geht es dagegen um die Digitalisierung bereits vorhandener Papierdokumente, deren Beweiswert über ein dokumentiertes, GoBD-konformes Scanverfahren hergestellt wird – nicht über eine nachträgliche Signatur des Scans. Beide Verfahren lassen sich kombinieren: Ein gescanntes Dokument kann zusätzlich mit einem Zeitstempel oder – bei behördlichen Beglaubigungen – mit einer qualifizierten Signatur des Scanverfahrens versehen werden, um die Unveränderbarkeit im Archiv zusätzlich abzusichern.
In der Übergangsphase, in der Organisationen sowohl Papierbestände digitalisieren als auch neue Dokumente von Anfang an elektronisch mit QES signieren, empfiehlt sich eine einheitliche Ablagelogik: Beide Dokumentkategorien sollten im selben Archivsystem mit vergleichbaren Metadaten und Suchmöglichkeiten verwaltet werden, damit Anwender nicht zwischen unterschiedlichen Systemen wechseln müssen, je nachdem, ob ein Dokument gescannt oder original digital signiert wurde.
Wie starten Organisationen mit qualifizierter Signatur?
Der Einstieg gelingt typischerweise in drei Schritten: Erstens den tatsächlichen Bedarf klären – welche Dokumente benötigen zwingend Schriftformersatz, welche nicht. Zweitens einen qualifizierten Vertrauensdiensteanbieter auswählen, idealerweise mit Cloud-Signatur-Option für ortsunabhängiges Arbeiten. Drittens die Integration ins bestehende DMS oder Archivsystem sicherstellen, damit Signaturen nicht isoliert, sondern als Teil des dokumentierten Gesamtprozesses verwaltet werden.
Ein häufiger Fehler beim Einstieg ist, die QES pauschal für alle Unterschriftsprozesse einzuführen, obwohl die meisten internen Vorgänge auch mit einer einfacheren Signaturstufe rechtssicher abgebildet werden könnten. Eine differenzierte Klassifizierung der Dokumenttypen nach tatsächlichem Schriftformerfordernis spart sowohl Kosten als auch organisatorischen Aufwand, weil nicht jeder Vorgang die vergleichsweise aufwendige Identifikation und Zertifikatsprüfung der QES durchlaufen muss. Wer parallel ein digitales Aktenarchiv aufbaut, sollte Signaturprozesse von Anfang an mitdenken – Details dazu und zur praktischen Umsetzung klärt unser Team über die Kontaktseite.