Du suchst nach „elektronische Signatur rechtssicher“ und fragst dich, welches Signaturniveau für deine Verträge wirklich erforderlich ist? Dieser Leitfaden bringt Ordnung in die eIDAS-Begriffe, erklärt praxisnah, wann EES, FES oder QES nötig ist – und gibt dir am Ende eine Checkliste für eine schnelle Entscheidung.
eIDAS-Niveaus im Überblick: EES, FES, QES
| Niveau | Kurzbeschreibung | Typische Belege/Mechanismen | Geeignet für |
|---|---|---|---|
| EES | Einfache e-Signatur: z. B. eingegebener Name, aufgesetztes Signaturbild (PNG), Klick-Bestätigung. | Basale Protokolle (IP, Zeit), E-Mail-Verifikation; geringe Ident-Sicherheit. | Low-Risk-Freigaben, interne Prozesse, Zustimmungserklärungen ohne Schriftformerfordernis. |
| FES | Fortgeschritten: dem Unterzeichner eindeutig zugeordnet, unter seiner Kontrolle, dokumentenfest verknüpft. | Stärkere Authentisierung (z. B. 2FA), Audit-Trail, Hash/PKI-Bindung, Zeitstempel. | Verträge mit moderatem Risiko, B2B-Geschäfte, wenn QES nicht zwingend gefordert ist. |
| QES | Qualifiziert: FES + qualifiziertes Zertifikat auf QSCD; der Handschrift rechtlich gleichgestellt. | Qualifizierter Vertrauensdiensteanbieter, eID/Ident-Prüfung, qualifizierter Zeitstempel, QSCD. | Schriftformfälle, hohe Haftung/Regulierung, wenn der Vertragspartner QES verlangt. |
Wann reicht eine einfache e-Signatur (EES)?
Eine EES ist oft ausreichend, wenn keine gesetzliche Schriftform besteht und das Risiko überschaubar ist. Beispiele: interne Freigaben, Empfangsbestätigungen, NDAs mit geringem Wert, einfache Bestellungen. Wichtig: Dokumentiere Zustimmung und Prozess (E-Mail-Bestätigung, Klick-Protokoll), um die Beweisbarkeit zu erhöhen.
Steigen Wert, Risiko oder Anfechtungswahrscheinlichkeit, empfiehlt sich mindestens FES – schon allein wegen Audit-Trail, 2-Faktor-Authentisierung und verlässlicher Bindung der Signatur an das Dokument.
Ident-Verfahren & Zertifikate in der Praxis
Für FES setzen Anbieter häufig auf stärkere Authentisierung (z. B. SMS-Code, App-Push, Bank-Login) und detaillierte Protokolle. Für QES brauchst du ein qualifiziertes Zertifikat und eine qualifizierte Signaturerstellungseinheit (QSCD) – beides stellt ein qualifizierter Vertrauensdiensteanbieter (QTSP) bereit.
- eID/Personalausweis: Sehr geeignet zur Identprüfung vor Ausstellung eines qualifizierten Zertifikats.
- Video-Ident: Live-Ident über Kamera mit Dokumentenprüfung; verbreitet für QES-Onboarding.
- Bankident/Postident: Nutzung bestehender KYC-Prozesse; praktisch bei Massen-Onboardings.
- Zertifikatsnutzung: QES per App, Hardware-Token oder Smartphone Secure Element (QSCD-basiert).
In der täglichen Nutzung bedeutet das: Einmalige Identifizierung → Zertifikat wird ausgestellt → Signieren per App/Token mit PIN/2FA. Der Anbieter erzeugt prüfbare Signaturen (inkl. Zeitstempel), die sich langfristig validieren lassen.
Branchenbeispiele: Was ist „rechtssicher genug“?
HR / Personal
Bewerberunterlagen, Richtlinien, Einverständnisse: Häufig EES ausreichend.
Arbeitsverträge / Vertragsänderungen: Je nach Land/Vertrag kann QES gefordert sein oder
zumindest FES ratsam sein, um Streitigkeiten vorzubeugen.
Vermietung / Immobilien
Besichtigung, Selbstauskunft, Protokolle: EES/FES genügen oft.
Mietverträge, Bürgschaften: Höheres Risiko → FES mindestens, teils QES (abhängig von
Schriftform/Anforderungen der Parteien).
Freelance / Agenturen
Angebote, Aufträge, NDAs, Abnahmen: EES/FES – je nach Auftragswert.
Lizenz-/IP-Übertragungen, hohe Haftung: FES, ggf. QES bei strengen Formerfordernissen oder wenn
Auftraggeber es verlangt.
Weitere Beispiele
- Einkauf/Beschaffung: Rahmenverträge: FES, Einzelabrufe: EES/FES.
- Finanzen: Konto-/Darlehensverträge: häufig QES oder bank-spezifische Verfahren.
- Healthcare: Starke Regulierung – Anbieterprozesse prüfen; oft FES/QES.
Entscheidung: So findest du das nötige Signaturniveau
Nutze diese Checkliste, um schnell zu entscheiden. Wenn du in mehreren Punkten „hoch“ oder „gesetzlich“ markierst, wähle mindestens FES, ggf. QES.
- Formvorschrift: Gibt es ein gesetzliches Schriftformerfordernis? → QES.
- Vertragswert & Risiko: Je höher, desto eher FES oder QES.
- Anfechtungsgefahr: Unklare Parteienlage, Fernabsatz, viele Stakeholder? → FES/QES.
- Identitätsnachweis: Reicht E-Mail-Verifizierung (EES) oder brauchst du verlässliche Ident (FES/QES)?
- Audit & Nachweis: Benötigst du detaillierten Audit-Trail, Zeitstempel, LTV-Validierung? → FES/QES.
- Akzeptanz des Partners: Fordert die Gegenseite QES? → QES.
- Usability & Skalierung: Massenprozesse mit wenig Risiko → EES/FES pragmatisch, QES für kritische Dokumente.
Praktischer Start – Schritt für Schritt
- Dokumente kategorisieren: Low/Medium/High-Risk und „Schriftform nötig: Ja/Nein“.
- Tooling wählen: Für Low/Medium: e-Sign-Dienst mit EES/FES, für High/Schriftform: QES-fähiger QTSP.
- Ident & Onboarding definieren: eID/Video-Ident für QES; 2FA/App-Signatur für FES.
- Policy festlegen: Wer darf was womit unterschreiben? Wie wird archiviert/validiert?
- Templates & Schulung: Standard-Verträge vorbereiten, kurze Guides für Teams bereitstellen.
Merke: „Rechtssicher“ heißt nicht immer „QES“. Wähle das angemessene Niveau – so reduzierst du Kosten und Hürden, ohne den Beweiswert zu verlieren.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Prüfe im Zweifel die Anforderungen deines konkreten Falls und die Vorgaben deiner Vertragspartner.
Fragen? Kontaktiere uns.