eIDAS 2.0 erklärt: Was elektronische Signaturen und Vertrauensdienste für Unternehmen bedeuten

eIDAS 2.0 bezeichnet die Verordnung (EU) 2024/1183, mit der die seit 2014 geltenden EU-Vorschriften für elektronische Identifizierung und Vertrauensdienste überarbeitet wurden. Die wichtigste Neuerung: Jeder EU-Mitgliedstaat muss seinen Bürgerinnen und Bürgern eine digitale Identitätswallet bereitstellen. Gleichzeitig wurden die Anforderungen an grenzüberschreitende Vertrauensdienste verschärft.

Für Unternehmen, die innerhalb der EU Verträge elektronisch unterzeichnen oder Identitäten überprüfen, ist diese Entwicklung von großer Bedeutung. Eine Signatur, die im vergangenen Jahr noch ausreichend war, erfüllt möglicherweise nicht automatisch alle rechtlichen Anforderungen eines bestimmten Geschäftsvorgangs. Wer elektronische Signaturen eines Anbieters aus einem anderen Mitgliedstaat akzeptiert, sollte außerdem wissen, ob und in welchem Umfang diese durch eIDAS 2.0 rechtlich anerkannt werden.

Was ist eIDAS 2.0 und wie unterscheidet sich die Verordnung von der ursprünglichen eIDAS?

Die ursprüngliche eIDAS-Verordnung von 2014 schuf einen gemeinsamen europäischen Rechtsrahmen für elektronische Signaturen. In der Praxis funktionierte die grenzüberschreitende Anerkennung jedoch häufig weniger reibungslos als vorgesehen. Die einzelnen Mitgliedstaaten legten bestimmte Anforderungen unterschiedlich aus, wodurch bei grenzüberschreitenden Transaktionen zusätzliche Hürden entstanden. eIDAS 2.0 stärkt die Aufsicht über Vertrauensdiensteanbieter und führt insbesondere die verpflichtende europäische digitale Identitätswallet (EUDI-Wallet) ein. Damit soll der einheitliche europäische Binnenmarkt für digitale Vertrauensdienste verwirklicht werden, den bereits die ursprüngliche Verordnung angestrebt hatte. Gleichzeitig gewinnt die Datensicherheit an Bedeutung, da immer mehr Prozesse zur Identitätsprüfung und zum Dokumentenaustausch in digitale Umgebungen verlagert werden.

Darüber hinaus schließt eIDAS 2.0 weniger offensichtliche Regelungslücken. Das betrifft insbesondere die Ausstellung und den Widerruf qualifizierter Zertifikate in verschiedenen Ländern sowie die Frage, wie ein bereits in einem Mitgliedstaat anerkannter Vertrauensdiensteanbieter auch von den zuständigen Behörden eines anderen Mitgliedstaats anerkannt wird.

Die drei Arten elektronischer Signaturen nach eIDAS (EES, FES, QES)

Einfache elektronische Signaturen (EES) umfassen alltägliche Verfahren wie das Anklicken einer Bestätigung oder die Eingabe eines Namens. Sie werden häufig für interne Freigaben mit geringem Risiko eingesetzt, bei denen eine besonders hohe Beweissicherheit nicht im Vordergrund steht. Fortgeschrittene elektronische Signaturen (FES) bieten darüber hinaus eine eindeutige Zuordnung zur unterzeichnenden Person und ermöglichen es, nachträgliche Veränderungen am signierten Dokument zu erkennen. Das erhöht ihre Zuverlässigkeit deutlich, erreicht jedoch noch nicht die höchste Sicherheitsstufe. Die Integrität solcher signierten Dateien hängt außerdem von einem effektiven Enterprise Content Management ab, insbesondere wenn Dokumente zwischen verschiedenen Abteilungen oder Systemen ausgetauscht werden.

Qualifizierte elektronische Signaturen (QES) bilden die höchste Stufe. Sie besitzen in allen EU-Mitgliedstaaten dieselbe Rechtswirkung wie eine handschriftliche Unterschrift. Diese Signaturart ist insbesondere bei Vorgängen wie Immobilienübertragungen oder hochwertigen Geschäftsverträgen relevant, bei denen keine Unsicherheit hinsichtlich der rechtlichen Durchsetzbarkeit bestehen sollte. Die Wahl der geeigneten Signaturstufe ist daher nicht nur eine technische, sondern auch eine rechtliche Entscheidung. Eine ungeeignete Wahl wird häufig erst dann zum Problem, wenn es später zu einer rechtlichen Auseinandersetzung kommt.

Vertrauensdienste nach eIDAS 2.0: Signaturen, Siegel, Zeitstempel und mehr

Die Verordnung umfasst verschiedene Vertrauensdienste, darunter elektronische Signaturen, elektronische Siegel, Zeitstempel und elektronische Zustelldienste. Sie alle dienen auf unterschiedliche Weise dazu, die Sicherheit und rechtliche Verlässlichkeit digitaler Transaktionen zu gewährleisten. Elektronische Siegel funktionieren ähnlich wie elektronische Signaturen, beziehen sich jedoch auf Organisationen statt auf natürliche Personen. Sie bestätigen, dass ein Dokument tatsächlich von dem angegebenen Unternehmen stammt und seit seiner Ausstellung nicht verändert wurde.

Elektronische Zeitstempel erfüllen eine andere Aufgabe. Sie weisen nach, dass ein Dokument zu einem bestimmten Zeitpunkt in einem bestimmten Zustand existiert hat. Das kann bei rechtlichen Auseinandersetzungen entscheidend sein, wenn die zeitliche Abfolge von Ereignissen im Mittelpunkt steht. Qualifizierte elektronische Zustelldienste liefern darüber hinaus Nachweise darüber, wann eine Nachricht oder ein Dokument versendet und empfangen wurde. Dies ist besonders relevant, wenn die Einhaltung einer gesetzlichen Frist vom Zustellungszeitpunkt und nicht vom Datum der Unterzeichnung abhängt.

Die europäische digitale Identitätswallet (EUDI-Wallet): Was ist das und warum ist sie wichtig?

Die EUDI-Wallet ist eine digitale Identitätsanwendung für Smartphones, die im Rahmen von eIDAS 2.0 eingeführt wird. Sie ermöglicht es EU-Bürgerinnen und -Bürgern, verifizierte Identitätsnachweise digital zu speichern und selbst zu entscheiden, welche Informationen sie weitergeben möchten. Statt bei jeder Identitätsprüfung ein vollständiges Ausweisdokument vorzulegen, können gezielt die erforderlichen Angaben geteilt werden. Jeder Mitgliedstaat muss seinen Bürgerinnen und Bürgern eine solche Wallet kostenlos zur Verfügung stellen. Die Einführung erfolgt schrittweise und ist innerhalb der EU noch nicht vollständig abgeschlossen.

Auch Hochschulabschlüsse, berufliche Zulassungen und andere überprüfbare Nachweise können in der Wallet gespeichert werden. Diese werden in der Verordnung unter anderem als elektronische Attributsbescheinigungen (Electronic Attestations of Attributes, EAA) bezeichnet. Ein Hochschulabschluss könnte künftig beispielsweise als verifizierter Nachweis direkt an einen potenziellen Arbeitgeber übermittelt werden, ohne dass die Hochschule erneut kontaktiert werden muss. Für Unternehmen bedeutet das schnellere Onboarding-Prozesse und effizientere Identitätsprüfungen. Ein über die Wallet bereitgestellter Nachweis kann elektronisch verifiziert werden, anstatt die ausstellende Institution manuell kontaktieren zu müssen.

Für Unternehmen, die solche Nachweise akzeptieren, entstehen allerdings auch neue Anforderungen. Das korrekte Auslesen und Validieren erfordert entsprechende technische Fähigkeiten. Darüber hinaus müssen Unternehmen nachweisen können, dass ihre Prüfverfahren tatsächlich die vorgesehenen Informationen kontrollieren. Daraus ergibt sich eine zusätzliche Compliance-Aufgabe, die frühzeitig berücksichtigt werden sollte. Unternehmen müssen außerdem angemessene Aufbewahrungsfristen für Daten festlegen, die im Rahmen der Identitätsprüfung gespeichert werden. Sensible Identitätsinformationen sollten nicht länger als notwendig aufbewahrt werden.

Was ist ein qualifizierter Vertrauensdiensteanbieter (QTSP)?

Ein qualifizierter Vertrauensdiensteanbieter, auf Englisch Qualified Trust Service Provider (QTSP), ist eine Organisation, die von der zuständigen nationalen Behörde ausdrücklich als qualifiziert anerkannt wurde und fortlaufend beaufsichtigt wird. Solche Anbieter dürfen qualifizierte Zertifikate ausstellen und qualifizierte Vertrauensdienste erbringen. Nur Anbieter mit diesem Status können qualifizierte Zertifikate für qualifizierte elektronische Signaturen ausstellen. Unternehmen, die bei wichtigen oder besonders wertvollen Geschäftsvorgängen auf QES setzen, sollten daher überprüfen, ob ihr Anbieter tatsächlich über diesen Status verfügt und nicht lediglich eine ähnlich klingende Zertifizierung vorweisen kann.

Diese Überprüfung dauert in der Regel nur wenige Minuten. Nationale Aufsichtsbehörden veröffentlichen Vertrauenslisten mit den entsprechenden Anbietern. Den Status eines Vertrauensdiensteanbieters frühzeitig zu überprüfen, ist wesentlich günstiger, als erst während eines Rechtsstreits festzustellen, dass eine vermeintlich qualifizierte Signatur die entsprechenden Voraussetzungen nicht erfüllt.

Grenzüberschreitende Anerkennung: Wie eIDAS 2.0 digitale Transaktionen in der gesamten EU ermöglicht

Eine elektronische Signatur, die in einem EU-Mitgliedstaat vollständig gültig war, konnte bei ihrer Verwendung in einem anderen Mitgliedstaat auf praktische Hürden stoßen. Dies galt insbesondere bei Vorgängen mit öffentlichen Verwaltungen. eIDAS 2.0 stärkt die Verpflichtungen zur gegenseitigen Anerkennung zwischen den Mitgliedstaaten. Eine qualifizierte elektronische Signatur, die beispielsweise von einem Anbieter in Polen ausgestellt wurde, soll daher in Portugal dieselbe Rechtswirkung entfalten, ohne dass ein örtlicher Notar eine bereits erfolgte Verifizierung erneut durchführen muss.

Besonders profitieren davon Unternehmen, die gleichzeitig in mehreren EU-Märkten tätig sind. Bisher mussten sie häufig für jedes Land eigene Signaturprozesse und Beziehungen zu unterschiedlichen Anbietern unterhalten, um sicherzustellen, dass ihre Verträge überall dort rechtlich durchsetzbar waren, wo dies erforderlich sein könnte.

Wichtige Compliance-Fristen und was Unternehmen jetzt tun sollten

Die Infrastruktur für die EUDI-Wallet wird in den kommenden Jahren schrittweise in den einzelnen Mitgliedstaaten eingeführt. Die Umsetzung erfolgt also nicht überall gleichzeitig. Unternehmen müssen deshalb nicht zwangsläufig bereits heute eine vollständige Wallet-Integration implementieren. Dennoch empfiehlt es sich, frühzeitig zu prüfen, welche Vertrauensdienste die bestehenden Anbieter tatsächlich unterstützen und ob aktuelle Verträge noch ausdrücklich auf die ursprüngliche eIDAS-Verordnung statt auf den aktualisierten Rechtsrahmen verweisen.

Ein sinnvoller erster Schritt besteht darin, interne Geschäftsprozesse zu überprüfen, die weiterhin auf eingescannten Unterschriften oder einfachen elektronischen Signaturtools ohne zuverlässige Identitätsprüfung basieren. Gerade bei solchen Vereinbarungen können Schwierigkeiten entstehen, wenn ihre Gültigkeit später angefochten wird. Die rechtzeitige Modernisierung dieser Prozesse ist in der Regel deutlich kostengünstiger, als erst unter Zeitdruck nach Ablauf einer wichtigen Frist reagieren zu müssen.

Wie eIDAS 2.0 mit DSGVO, NIS 2 und anderen EU-Vorschriften zusammenhängt

Das Konzept der EUDI-Wallet basiert darauf, dass Bürgerinnen und Bürger selbst bestimmen können, welche Informationen sie mit wem teilen. Damit entspricht es dem grundlegenden Ansatz der Datenschutz-Grundverordnung (DSGVO), die Kontrolle über personenbezogene Daten stärker bei den betroffenen Personen zu verankern, statt sie ausschließlich zentralen Systemen zu überlassen. Auch die NIS-2-Richtlinie spielt in diesem Zusammenhang eine Rolle, da Vertrauensdiensteanbieter im Rahmen ihrer Cybersicherheitsanforderungen als wesentliche oder wichtige Einrichtungen eingestuft werden.

Unternehmen, die bereits Enterprise-Content-Management-Systeme mit umfassenden Zugriffskontrollen und Audit-Protokollierung einsetzen, können möglicherweise dieselben Funktionen nutzen, um ihre Compliance-Anforderungen aus DSGVO, eIDAS 2.0 und NIS 2 zu unterstützen.

Diese drei Regelwerke wurden nicht gemeinsam entwickelt, was bei genauerer Betrachtung deutlich wird. Unternehmen sollten ihre Anforderungen deshalb nicht als drei voneinander unabhängige rechtliche Prüfungen behandeln, sondern als zusammenhängende Compliance-Aufgabe. Ein abgestimmter Ansatz trägt dazu bei, einheitliche und widerspruchsfreie Richtlinien zu entwickeln, anstatt mehrere Regelwerke parallel umzusetzen, deren interne Vorgaben sich möglicherweise unbemerkt widersprechen.

Warum KORTO?

KORTO unterstützt bereits elektronische Signaturen und Zeitstempel im Einklang mit eIDAS sowie den entsprechenden US-amerikanischen Regelungen ESIGN und UETA. Dadurch müssen Unternehmen kein separates Signaturtool an ihr Dokumentenmanagementsystem anbinden, nur um einen Vertrag elektronisch zu unterzeichnen und anschließend abzulegen. Dieselbe Plattform, auf der das Dokument gespeichert wird, kann auch ein Audit-Protokoll bereitstellen, das genau dokumentiert, wann und von wem der Vertrag unterzeichnet wurde. Solche Nachweise sind besonders wichtig, wenn eine Aufsichtsbehörde oder eine Vertragspartei die Gültigkeit einer Signatur infrage stellt.

Für Unternehmen, die über eine herkömmliche Audit-Protokollierung hinaus zusätzliche Sicherheit benötigen, bietet KORTO außerdem die Möglichkeit, Dokumente durch Blockchain-basierte Unveränderbarkeit zu schützen. Dadurch kann der Verlauf eines signierten Dokuments nachträglich nicht mehr manipuliert werden, selbst nicht durch Personen mit administrativen Zugriffsrechten. Diese zusätzliche Absicherung gewinnt insbesondere dann an Bedeutung, wenn qualifizierte elektronische Signaturen bei hochwertigen Verträgen eingesetzt werden und die rechtliche Durchsetzbarkeit eindeutig gewährleistet sein muss.

Jetzt starten

Die Überprüfung bestehender Verträge und Geschäftsprozesse auf veraltete Signaturverfahren ist deutlich einfacher, wenn das eingesetzte System Vertrauensdienste bereits nativ unterstützt. Kontaktieren Sie KORTO, um zu besprechen, wie Sie Ihre Dokumentenprozesse auf eIDAS 2.0 vorbereiten können.