Ist eine digitale Unterschrift auf einem Angebot gültig? SES, AES oder QES, was Artikel 25 sagt und was in einen Audit-Trail gehört. Die eIDAS-Regeln erklärt.
Ja, in nahezu allen Fällen. Grundlage ist die europäische eIDAS-Verordnung (EU 910/2014), die seit 2016 in jedem Mitgliedstaat unmittelbar gilt und in den Niederlanden über Artikel 3:15a des niederländischen Bürgerlichen Gesetzbuchs (Burgerlijk Wetboek) umgesetzt ist. Die Kernregel lautet, dass eine elektronische Signatur dieselbe Rechtswirkung hat wie eine handschriftliche, sofern die verwendete Methode für den Zweck, dem sie dient, ausreichend zuverlässig ist. Für ein kommerzielles Angebot zwischen zwei Unternehmen ist dieser Zweck einfach: festzuhalten, dass der Kunde dem beschriebenen Leistungsumfang und Preis zustimmt. Es gibt keinen Grund, ein unterschriebenes PDF per Post zu erwarten. Was zählt, ist das Beweismaterial, das Sie in der Hand haben, wenn später ein Streit darüber entsteht, wer welcher Version wann zugestimmt hat. Dieser Artikel erklärt die drei eIDAS-Stufen, was ein Audit-Trail enthalten sollte und wann Sie eine höhere Stufe brauchen. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung. Ziehen Sie im Zweifel einen Anwalt hinzu.
eIDAS unterscheidet drei Stufen, jede mit eigenen Anforderungen. Eine einfache elektronische Signatur (SES) sind beliebige elektronische Daten, die anderen Daten beigefügt sind und vom Unterzeichner zum Unterzeichnen verwendet werden. Ein getippter Name unter einer E-Mail, ein Häkchen neben "Ich stimme zu" oder eine mit der Maus gezeichnete Unterschrift sind alle eine SES. Eine fortgeschrittene elektronische Signatur (AES) fügt vier Anforderungen hinzu: Sie ist eindeutig dem Unterzeichner zugeordnet, sie ermöglicht seine Identifizierung, sie wird mit Mitteln erstellt, die allein der Unterzeichner kontrolliert, und sie ist so mit dem Dokument verbunden, dass jede spätere Änderung erkennbar ist. Eine qualifizierte elektronische Signatur (QES) ist eine AES, die mit einer qualifizierten Signaturerstellungseinheit erstellt wird und auf einem qualifizierten Zertifikat eines beaufsichtigten Vertrauensdiensteanbieters beruht, in den Niederlanden unter Aufsicht der Rijksinspectie Digitale Infrastructuur. Nur die QES ist kraft Gesetzes automatisch einer handschriftlichen Unterschrift gleichgestellt. Bei SES und AES beurteilt ein Gericht von Fall zu Fall, ob die Methode zuverlässig genug war.
Artikel 25 der eIDAS-Verordnung ist der, den Sie kennen sollten. Absatz 1 besagt, dass einer elektronischen Signatur die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil sie in elektronischer Form vorliegt oder die Anforderungen an eine qualifizierte Signatur nicht erfüllt. Das bedeutet, ein Gericht kann eine SES nicht mit dem Argument abtun, sie sei "nur" eine elektronische Signatur. Absatz 2 gibt einer QES die Rechtswirkung einer handschriftlichen Unterschrift. Absatz 3 besagt, dass eine QES auf Basis eines Zertifikats aus einem Mitgliedstaat in allen anderen anerkannt wird. In der Praxis heißt das: Eine SES gibt Ihnen eine gültige Signatur, aber im Streitfall müssen Sie selbst nachweisen, dass die Signatur vom Kunden stammt und dass sich das Dokument seitdem nicht verändert hat. Genau hier kommt der Audit-Trail ins Spiel.
Ein Audit-Trail ist das Logbuch rund um die Signatur, und er bestimmt, wie stark Ihr Beweismaterial ist. Ein brauchbarer Audit-Trail enthält mindestens Folgendes. 1. Die Identität des Unterzeichners: Name und E-Mail-Adresse sowie die Art, wie diese Person Zugang zum Dokument erhalten hat, etwa über einen eindeutigen Link, der nur an diese Adresse gesendet wurde. 2. Den Zeitpunkt jedes Ereignisses: Versand, Öffnen, Ansehen von Abschnitten und Unterzeichnung, mit Zeitzone. 3. Die IP-Adresse und das Gerät, mit dem unterzeichnet wurde. 4. Einen kryptografischen Hash des Dokuments zum Zeitpunkt der Unterzeichnung, damit Sie zeigen können, dass sich der Text nicht verändert hat. 5. Die Version des Angebots, die unterzeichnet wurde, denn Angebote werden nach dem Versand oft überarbeitet. 6. Ein Siegel auf dem unterzeichneten Dokument und eine Stelle, an der der Kunde oder ein Dritter die Signatur verifizieren kann. Proposal Expert liefert eine SES innerhalb von eIDAS mit genau dieser Art von Audit-Trail: Zeitstempel, IP-Protokollierung, ein versiegeltes Dokument und eine eindeutige Verifizierungs-URL pro Signatur. Die Seite zu elektronischen Signaturen listet die Felder auf, die der Beweisbericht enthält.
Eine QES ist in einer begrenzten Zahl von Situationen erforderlich. Wenn ein Gesetz ausdrücklich eine qualifizierte Signatur vorschreibt, wie bei bestimmten Urkunden und manchen gerichtlichen Eingaben und Behördenverfahren. Wenn ein Vertrag mit einer Gegenpartei oder eine Branchenregel diese Stufe verlangt, was Sie vor allem bei Finanzinstituten und in öffentlichen Ausschreibungen sehen. Wenn so viel auf dem Spiel steht, dass Sie jede Diskussion über die Identität des Unterzeichners ausschließen wollen, etwa bei einer Übernahme oder einem langfristigen Vertrag mit hohem Wert. Und wenn Sie grenzüberschreitend arbeiten und sicher sein wollen, dass die Signatur in jedem Mitgliedstaat ohne Diskussion anerkannt wird. Für ein Angebot für eine Website, einen Beratungsauftrag oder eine Renovierung trifft nichts davon zu. Dort reicht eine SES mit solidem Audit-Trail, und genau das bietet Proposal Expert bewusst an.
Ein Beispiel. Eine Marketingagentur sendet am Montag über einen eindeutigen Link ein Angebot über 14.500 Euro an einen Kunden. Am Dienstag öffnet der Kunde das Angebot, liest Vorgehensweise und Preise und leitet den Link an den Finanzleiter weiter. Am Mittwoch unterzeichnet der Finanzleiter über denselben Link mit getipptem Namen und einem Häkchen bei den Bedingungen. Der Beweisbericht zeigt dann: zwei verschiedene IP-Adressen und Geräte, den Zeitpunkt jedes Schritts, den Hash von Version 2 des Angebots, die in diesem Moment geöffnet war, und das nach der Unterzeichnung angebrachte Siegel. Behauptet der Kunde drei Monate später, es sei ein anderer Betrag vereinbart worden, können Sie zeigen, welcher Text im Moment der Unterzeichnung auf dem Bildschirm stand und dass er seitdem nicht verändert wurde. Genau das ist der Nachweis, den Artikel 25 bei einer SES von Ihnen verlangt.
Es ist eine SES und damit grundsätzlich gültig, aber der Beweiswert ist schwach. Jeder kann dieses Bild kopieren, und das Dokument lässt sich nach der Unterzeichnung bearbeiten, ohne dass es auffällt. Sie haben keinen Zeitstempel, kein Protokoll und kein Siegel. Im Streitfall wird die Frage, wer was wann unterzeichnet hat, schwer zu beantworten.
Innerhalb der EU ja, eIDAS gilt in jedem Mitgliedstaat. Das Vereinigte Königreich hat nach dem Brexit eine eigene Version von eIDAS behalten, die in den Grundzügen gleich funktioniert. Für Kunden außerhalb Europas, etwa in den Vereinigten Staaten, gelten andere Gesetze wie der ESIGN Act, und auch sie erkennen elektronische Signaturen an. Prüfen Sie bei hohen Beträgen außerhalb der EU, was lokal gilt.
Dann kommt es auf Ihren Audit-Trail an. Sie zeigen, dass der Link nur an die E-Mail-Adresse des Kunden gesendet wurde, von welcher IP-Adresse und welchem Gerät die Signatur zu welchem Zeitpunkt gesetzt wurde und dass das Dokument seitdem versiegelt ist. Bewahren Sie den Beweisbericht zusammen mit dem unterzeichneten Angebot auf, solange die Vereinbarung und die Verjährungsfrist laufen.