Regulierung
eIDAS — Verordnung (EU) Nr. 910/2014
Die eIDAS-Verordnung regelt elektronische Identifizierung und Vertrauensdienste im europäischen Binnenmarkt. Sie gilt unmittelbar in allen Mitgliedstaaten. Sie regelt aber deutlich weniger, als ihr Name auf vielen Produktseiten zugeschrieben bekommt.
- Seit 1. Juli 2016 anwendbar
- Unmittelbar geltendes EU-Recht
- Geändert durch VO (EU) 2024/1183
Gegenstand
Was die Verordnung regelt
Zwei große Teile, von denen für eine Signaturplattform vor allem der zweite zählt.
- Elektronische Identifizierung
- Die gegenseitige Anerkennung notifizierter elektronischer Identifizierungsmittel zwischen den Mitgliedstaaten — damit ein in einem Staat ausgegebenes Mittel im Verwaltungsverfahren eines anderen funktioniert.
- Vertrauensdienste
- Signaturen, Siegel, Zeitstempel, Zustelldienste und Website-Zertifikate: welche Anforderungen sie erfüllen müssen, wer sie qualifiziert erbringen darf und welche Rechtsfolgen daran hängen.
- Aufsicht und Listen
- Jeder Mitgliedstaat führt eine Trusted List der bei ihm beaufsichtigten qualifizierten Vertrauensdiensteanbieter. Die Kommission veröffentlicht die Liste dieser Listen.
- Rechtswirkung
- Art. 25: keine Ablehnung allein wegen der elektronischen Form (Abs. 1), Gleichstellung der qualifizierten Signatur mit der handschriftlichen Unterschrift (Abs. 2), unionsweite Anerkennung (Abs. 3).
Der wichtigste Abschnitt
Was die Verordnung nicht sagt
Drei Aussagen, die auf Produktseiten regelmäßig auftauchen und in der Verordnung keine Grundlage haben.
Es gibt keine Zertifizierung einer Software nach eIDAS
Die Verordnung kennt Konformitätsbewertungen und Aufsicht für Vertrauensdiensteanbieter, und sie kennt die Zertifizierung von Signaturerstellungseinheiten. Sie kennt keinen Status, den eine Signaturanwendung, ein SaaS-Produkt oder eine Weboberfläche erwerben könnte. Wer ein Produkt als von der eIDAS-Verordnung zertifiziert bezeichnet, beschreibt einen Status, den es nicht gibt.
„eIDAS-konform" ist keine Eigenschaft eines Produkts
Sinnvoll überprüfbar ist immer nur eine konkrete Signatur: Erfüllt sie die Anforderungen an eine fortgeschrittene Signatur? Wurde sie mit einem qualifizierten Zertifikat und einer qualifizierten Signaturerstellungseinheit erzeugt? Das lässt sich am fertigen Artefakt messen — und genau das tut die Validierung. Ein Produktversprechen ersetzt diese Messung nicht.
Über deutsche Formerfordernisse entscheidet nicht eIDAS
Ob für eine Erklärung die Schriftform gilt, ob sie elektronisch ersetzt werden kann und welche Folgen ein Formverstoß hat, steht im BGB und in Spezialgesetzen — § 126, § 126a, § 127, § 623 und viele weitere. Die Verordnung sagt, was eine qualifizierte Signatur bewirkt; sie sagt nicht, wann das deutsche Recht eine verlangt.
Keine Rechtsberatung
Diese Seite beschreibt, was Signido technisch erzeugt und was die eIDAS-Verordnung dazu sagt. Sie ist keine Rechtsberatung. Ob ein bestimmtes Signaturniveau für einen konkreten Vertrag ausreicht, hängt vom Einzelfall ab und ist rechtlich zu klären.
Die drei Niveaus
Was die Verordnung unterscheidet
SES, AES und QES sind keine Ausbaustufen desselben Verfahrens, sondern drei Verfahren mit verschiedenen Beteiligten.
| Merkmal | SES | AES | QES |
|---|---|---|---|
| Rechtsgrundlage | eIDAS Art. 3 Nr. 10 | eIDAS Art. 3 Nr. 11 i. V. m. Art. 26 | eIDAS Art. 3 Nr. 12, Anhang I und II |
| Wer erzeugt die Signatur? | Signido | externer Vertrauensdiensteanbieter | qualifizierter Vertrauensdiensteanbieter |
| Zertifikat auf die unterzeichnende Person | nein | ja | ja, qualifiziert |
| Identität geprüft | nein — nachgewiesen wird der Zugriff auf den Kanal | ja, durch den Anbieter | ja, nach eIDAS Art. 24 |
| Schriftform nach § 126a BGB | nein | nein | ja, soweit das Gesetz die elektronische Form nicht ausschließt |
| Rechtswirkung nach Art. 25 Abs. 2 eIDAS | nein | nein | gleiche Rechtswirkung wie eine handschriftliche Unterschrift |
| Beweiswürdigung | § 286 ZPO (freie Beweiswürdigung) | § 286 ZPO | § 371a ZPO (Anschein der Echtheit) |
| Zusatzkosten je Signatur | nein | ja | ja |
| Heute bei Signido buchbar | ja | nein — kein Anbieter angebunden | nein — kein Anbieter angebunden |
Keine Rechtsberatung
Diese Seite beschreibt, was Signido technisch erzeugt und was die eIDAS-Verordnung dazu sagt. Sie ist keine Rechtsberatung. Ob ein bestimmtes Signaturniveau für einen konkreten Vertrag ausreicht, hängt vom Einzelfall ab und ist rechtlich zu klären.
Verfügbarkeit von AES und QES
AES und QES sind derzeit nicht verfügbar. Sie werden über einen externen qualifizierten Vertrauensdiensteanbieter angeboten, und solange keiner angebunden ist, lehnt Signido eine Anfrage auf diesem Niveau ab, statt sie stillschweigend als einfache elektronische Signatur auszuführen.
Was heute ohne Einschränkung geht, ist die einfache elektronische Signatur (SES) — mit vollständigem Protokoll, Siegel und Abschlusszertifikat. Siehe Elektronische Signatur.
Vertrauensinfrastruktur
Woher eine Prüfung weiß, wem sie trauen darf
Die Antwort ist eine Kette von Listen, und sie endet bei einer im Amtsblatt der EU veröffentlichten Signatur.
- Die LOTL — die von der Kommission veröffentlichte Liste der Trusted Lists — verweist auf die nationale Liste jedes Mitgliedstaats. Ihre kanonische Adresse ist
ec.europa.eu/tools/lotl/eu-lotl.xml. - Jede nationale Trusted List führt die dort beaufsichtigten qualifizierten Dienste mit Diensttyp, Statushistorie und den zugehörigen Zertifikaten. Format und Bedeutung legt ETSI TS 119 612 fest.
- Die LOTL selbst wird gegen die im Amtsblatt der EU veröffentlichten Signaturzertifikate geprüft. Ohne diese Verankerung ist die gesamte Kette wertlos, weil sie an keiner Stelle mehr an eine amtliche Quelle gebunden ist.
Für die Prüfung in Signido folgt daraus eine Regel, die in eine Richtung ausfällt: Unbekannt bedeutet nicht qualifiziert, niemals „vermutlich qualifiziert". Fehlen dem Validierungsdienst die Vertrauensanker oder trifft er auf einen Diensttyp, den er nicht kennt, meldet er kein Niveau — statt eines zu schätzen. Eine Prüfseite, die im Zweifel das höhere Ergebnis anzeigt, ist genau dann falsch, wenn jemand sich auf sie verlässt.
Ausblick
eIDAS 2.0 und die EUDI Wallet
Die Verordnung (EU) 2024/1183 ändert die eIDAS-Verordnung, sie ersetzt sie nicht.
Die Änderungsverordnung verpflichtet die Mitgliedstaaten, ihren Bürgerinnen und Bürgern mindestens eine European Digital Identity Wallet bereitzustellen, die unter anderem die Erstellung qualifizierter Signaturen unterstützen soll. Sie führt qualifizierte Attributsbescheinigungen ein und adressiert die Fernverwaltung qualifizierter Signaturerstellungseinheiten als eigenen Vertrauensdienst — das Modell, in dem die meisten heutigen Fernsignaturen ohnehin arbeiten.
Was hier bewusst fehlt, ist ein Datum. Die Durchführungsrechtsakte erscheinen schrittweise, die Verfügbarkeit einer Wallet unterscheidet sich je Mitgliedstaat, und die technischen Profile sind nicht abschließend festgelegt. Eine Ankündigung mit Datum wäre an dieser Stelle eine Zusage über etwas, das nicht in unserer Hand liegt.
Häufige Fragen
Ist Signido eIDAS-konform?
Die Frage lässt sich so nicht beantworten, weil es keinen solchen Status für eine Software gibt. Beantwortbar ist: Signido erzeugt einfache elektronische Signaturen im Sinne von Art. 3 Nr. 10 und bindet für die höheren Niveaus externe Anbieter an, deren Ergebnis gegen die EU Trusted Lists validiert wird. Was eine einzelne Signatur erreicht hat, steht am Dokument und ist nachprüfbar.
Gilt eIDAS auch außerhalb der EU?
Die Verordnung ist EU-Recht; die Anerkennung nach Art. 25 Abs. 3 betrifft die Mitgliedstaaten. Ob eine elektronische Signatur in einem Drittstaat anerkannt wird, richtet sich nach dessen Recht und gegebenenfalls nach Abkommen.
Was hat eIDAS mit der Schriftform zu tun?
Nur mittelbar. Art. 25 Abs. 2 stellt die qualifizierte Signatur der handschriftlichen Unterschrift gleich; § 126a BGB knüpft daran an und lässt sie als Ersatz der gesetzlichen Schriftform zu, soweit das Gesetz die elektronische Form nicht ausschließt. Welche Erklärung welche Form braucht, steht im deutschen Recht. Näheres auf der QES-Seite.
Signaturen, deren Ergebnis man nachprüfen kann
Jedes abgeschlossene Dokument lässt sich unter /verify prüfen — ohne Konto, mit dem, was die Validierung tatsächlich ergeben hat.