Das Wichtigste in Kürze:
- eIDAS regelt Vertrauensdienste, nicht allein Signaturen. Die Verordnung (EU) Nr. 910/2014 deckt elektronische Identifizierung und fünf Vertrauensdienste ab, von denen die Signatur nur einer ist. Siegel, Zeitstempel und Website-Zertifikate stehen gleichberechtigt daneben.
- eIDAS schreibt dir keine Signaturstufe vor. Die Verordnung stellt drei Stufen bereit und verbietet Gerichten, eine Signatur allein wegen ihrer elektronischen Form abzuweisen. Welche Stufe du brauchst, entscheidet das nationale Formrecht und dein Beweisbedürfnis.
- Die deutsche Schriftform ist die eigentliche Hürde, nicht eIDAS. Für die große Mehrheit der Kundenvereinbarungen gibt es keinen Formzwang. Wo das BGB Schriftform verlangt, braucht es eine qualifizierte Signatur, und bei Arbeitsverhältnissen hilft auch die nicht.
- eIDAS 2.0 ist seit Mai 2024 in Kraft und zielt auf Ende 2026. Die Novelle bringt die EU Digital Identity Wallet. Für Signaturprozesse im Mittelstand ändert sich kurzfristig wenig, die Identitätsprüfung wird aber mittelfristig günstiger.
Die meisten Unternehmen begegnen eIDAS zum ersten Mal, wenn der Einkauf fragt, ob ein Signaturtool "eIDAS-konform" sei. Die Frage lässt sich so nicht beantworten, weil eIDAS keine Zertifizierung für Software vorsieht. Die Verordnung beschreibt Stufen und Anforderungen, und jeder Anbieter ordnet sich selbst darin ein.
Das ist weniger beruhigend, als es klingt, aber auch weniger dramatisch. Dieser Beitrag ordnet ein, was eIDAS tatsächlich regelt, welche Stufe zu welcher Art von Kundenvereinbarung passt, wo das deutsche Recht strenger ist als die EU-Verordnung und was du bei einem Anbieter konkret prüfen kannst.
Was eIDAS regelt und was nicht
eIDAS steht für "electronic IDentification, Authentication and trust Services". Der Volltext der Verordnung (EU) Nr. 910/2014 löste 2016 die alte Signaturrichtlinie von 1999 ab. Der Unterschied ist juristisch erheblich: Eine Richtlinie muss jedes Land erst in eigenes Recht gießen, eine Verordnung gilt unmittelbar. Seitdem gelten in Dublin, Lissabon und Dortmund dieselben Signaturregeln.
Geregelt werden zwei Blöcke. Der erste ist die elektronische Identifizierung, also die gegenseitige Anerkennung staatlicher eID-Systeme wie des deutschen Personalausweises. Dieser Teil richtet sich vor allem an Behörden und ist der Grund, warum die Themenseite des BSI dazu unter öffentlicher Verwaltung einsortiert ist.
Der zweite Block sind die Vertrauensdienste, und hier liegt der Teil, der Unternehmen betrifft: elektronische Signaturen für natürliche Personen, elektronische Siegel für Organisationen, qualifizierte Zeitstempel, Dienste für elektronische Einschreiben und Zertifikate für die Website-Authentifizierung. Wer über eIDAS spricht, meint meist nur die Signaturen und übersieht, dass ein elektronisches Siegel für Rechnungen oder ein qualifizierter Zeitstempel für Fristnachweise im Alltag genauso nützlich sein kann.
Was eIDAS ausdrücklich nicht regelt: welche Form ein Vertrag haben muss. Artikel 2 Absatz 3 stellt klar, dass nationale Formvorschriften unberührt bleiben. Genau deshalb reicht es nicht, ein eIDAS-Prädikat abzuhaken.
Die drei Signaturstufen
eIDAS kennt drei Stufen, die sich in einem Punkt unterscheiden: wie belastbar der Nachweis ist, dass eine bestimmte Person unterschrieben hat.
| Stufe | Was sie verlangt | Rechtswirkung |
|---|---|---|
Einfache Signatur (SES) | Keine formalen Anforderungen. Ein Klick, ein getippter Name, ein Unterschriftsbild | Zulässiges Beweismittel, Beweiswert hängt vom Einzelfall ab |
StufeEinfache Signatur (SES) Was sie verlangtKeine formalen Anforderungen. Ein Klick, ein getippter Name, ein Unterschriftsbild RechtswirkungZulässiges Beweismittel, Beweiswert hängt vom Einzelfall ab | ||
Fortgeschrittene Signatur (FES) | Vier Bedingungen aus Artikel 26: eindeutige Zuordnung, Identifizierbarkeit, alleinige Kontrolle des Unterzeichners, Erkennbarkeit nachträglicher Änderungen | Zulässiges Beweismittel mit dokumentiertem Nachweis |
StufeFortgeschrittene Signatur (FES) Was sie verlangtVier Bedingungen aus Artikel 26: eindeutige Zuordnung, Identifizierbarkeit, alleinige Kontrolle des Unterzeichners, Erkennbarkeit nachträglicher Änderungen RechtswirkungZulässiges Beweismittel mit dokumentiertem Nachweis | ||
Qualifizierte Signatur (QES) | FES plus qualifiziertes Zertifikat und qualifizierte Signaturerstellungseinheit, ausgegeben von einem beaufsichtigten Vertrauensdiensteanbieter | Der handschriftlichen Unterschrift gleichgestellt (Artikel 25 Absatz 2) |
StufeQualifizierte Signatur (QES) Was sie verlangtFES plus qualifiziertes Zertifikat und qualifizierte Signaturerstellungseinheit, ausgegeben von einem beaufsichtigten Vertrauensdiensteanbieter RechtswirkungDer handschriftlichen Unterschrift gleichgestellt (Artikel 25 Absatz 2) | ||
Der entscheidende Satz steht in Artikel 25 Absatz 1: Einer elektronischen Signatur darf die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch ist. Das gilt für alle drei Stufen. Eine einfache Signatur ist also nicht "ungültig", sie ist nur schlechter zu beweisen, wenn der Vertragspartner später bestreitet, unterschrieben zu haben.
Die mittlere Stufe ist die am häufigsten missverstandene. Wie die vier Anforderungen an eine fortgeschrittene elektronische Signatur in der Praxis erfüllt werden, hängt am Verifizierungsschritt vor der Unterschrift. Für die obere Stufe lohnt der Grundlagenbeitrag zur qualifizierten elektronischen Signatur, weil der Weg zu einem qualifizierten Zertifikat ein eigener Prozess ist.
Welche Stufe für welche Kundenvereinbarung
Die praktische Frage lautet nicht "welche Stufe ist die sicherste", sondern "welches Risiko trage ich bei welchem Dokument". Ein NDA mit einem Freelancer und ein Verbraucherdarlehen gehören nicht in dieselbe Kategorie.
Eine Zuordnung, die sich im Geschäftsalltag bewährt:
- Einfache Signatur genügt bei internen Freigaben, Besprechungsprotokollen, Teilnahmebestätigungen und Dokumenten, bei denen niemand ein Interesse am Bestreiten hätte. Der Aufwand einer Verifizierung steht hier in keinem Verhältnis.
- Fortgeschrittene Signatur ist die richtige Standardeinstellung für Angebote, Auftragsbestätigungen, NDAs, Beratungs- und Dienstleistungsverträge, Einwilligungserklärungen und Mandatsvereinbarungen. Das sind die formfreien Verträge, und davon macht die Mehrheit aus. Wenn ein Angebot verbindlich werden soll, zählt genau der dokumentierte Nachweis, den diese Stufe liefert.
- Qualifizierte Signatur brauchst du nur dort, wo das Gesetz Schriftform verlangt und sie nicht zusätzlich ausschließt. Das ist eine kurze Liste, und sie trifft die meisten Dienstleister nie.
Ein Beispiel aus der Beratungspraxis: Eine Kanzlei lässt Mandatsvereinbarungen, Vergütungsvereinbarungen und Datenschutzeinwilligungen elektronisch unterschreiben. Alle drei sind formfrei, eine fortgeschrittene Signatur mit Audit-Trail deckt sie ab. Erst wenn dieselbe Kanzlei einen Gewerbemietvertrag über fünf Jahre für die eigenen Räume abschließt, wird die Stufe relevant.
Wer unsicher ist, wie sich die Stufen im Streitfall auswirken, findet im Beitrag zur Rechtsgültigkeit elektronischer Signaturen die Abgrenzung zwischen Gültigkeit und Beweiskraft.
Die deutsche Schriftform ist die eigentliche Hürde
Hier wird es für deutsche Unternehmen konkret, und hier scheitern Signaturprojekte. eIDAS stellt die QES der handschriftlichen Unterschrift gleich, aber das BGB entscheidet, wo überhaupt eine Unterschrift verlangt wird.
§ 126a BGB ist die Brücke: Wo das Gesetz Schriftform vorschreibt, kann die elektronische Form sie ersetzen, wenn der Aussteller seinen Namen hinzufügt und das Dokument mit einer qualifizierten elektronischen Signatur versieht. Bei Verträgen müssen beide Parteien ein gleichlautendes Dokument so signieren. Eine einseitig qualifiziert signierte Fassung genügt nicht.
Drei Fälle, die in der Praxis regelmäßig Ärger machen:
- Kündigung von Arbeitsverhältnissen. § 623 BGB verlangt Schriftform und schließt die elektronische Form ausdrücklich aus. Hier hilft auch eine QES nicht. Kündigung und Aufhebungsvertrag brauchen eine eigenhändige Unterschrift auf Papier, sonst sind sie unwirksam. Das ist der Fall, bei dem Unternehmen am häufigsten in die falsche Richtung optimieren.
- Mietverträge über mehr als ein Jahr. § 550 BGB ordnet an, dass ein nicht in Schriftform geschlossener Vertrag als auf unbestimmte Zeit geschlossen gilt und damit ordentlich kündbar ist. Ein eingescanntes Unterschriftsbild oder ein per E-Mail zurückgesandtes PDF genügt der gesetzlichen Schriftform nicht.
- Verbraucherdarlehensverträge und Bürgschaften. § 492 und § 766 BGB stellen eigene Formanforderungen, die eine einfache Signatur nicht trägt.
Ein ehrlicher Hinweis dazu: Das ist eine Einordnung für die Prozessplanung, keine Rechtsberatung. Bei Dokumenten mit erheblichem Wert oder unklarer Formlage gehört die Frage vor dem Rollout einmal auf den Tisch einer Anwältin oder eines Anwalts. Gerade bei der Schriftform von Mietverträgen gehen die Einschätzungen zur QES-Route in der Fachliteratur auseinander.
Wie du einen Anbieter konkret prüfst
"eIDAS-konform" ist kein Prädikat, das jemand verleiht. Es gibt keine eIDAS-Zertifizierung für Signatursoftware. Was es gibt, sind Vertrauenslisten: Artikel 22 verpflichtet jeden Mitgliedstaat, die qualifizierten Vertrauensdiensteanbieter und ihre Dienste zu veröffentlichen. Steht ein Anbieter nicht auf einer dieser Listen, kann er keine QES ausstellen, egal was auf der Website steht.
Dass die Verwirrung echt ist, zeigt eine Diskussion mit rund 30 Kommentaren in r/selbststaendig, in der Selbstständige nach einer brauchbaren Lösung für seltene Signaturen suchen und die Antworten zwischen kryptografischer Dokumentenprüfung und simplen Unterschriftsbildern hin und her springen. Beides wird dort "digitale Signatur" genannt, und beides hat völlig unterschiedlichen Beweiswert.
Vier Fragen, die Klarheit bringen:
- Welche Stufe genau, und woran? Lass dir zeigen, welcher technische Schritt die Zuordnung zum Unterzeichner herstellt. Ein Einmalcode an eine E-Mail-Adresse ist etwas anderes als ein Video-Ident, und ein Unterschriftsbild ist gar keine Zuordnung.
- Steht der Anbieter auf einer nationalen Vertrauensliste? Nur relevant, wenn du eine QES brauchst, dann aber die einzige Frage, die zählt.
- Was steht im Audit-Trail? Zeitstempel, verifiziertes Identitätsmerkmal, IP-Adresse und ein Hash des Dokuments sind das Minimum. Ohne Hash lässt sich nachträgliche Änderung nicht ausschließen, und Artikel 26 verlangt genau das.
- Wo liegen die signierten Dokumente? Signaturdaten sind personenbezogene Daten. Welche Pflichten damit einhergehen, ordnet der Beitrag zu elektronischer Signatur und DSGVO ein, und ohne Auftragsverarbeitungsvertrag fehlt die Grundlage. Bei Anbietern mit US-Mutterkonzern kommt die Frage nach dem CLOUD Act dazu.
eIDAS 2.0: was bis Ende 2026 kommt
Die Novelle ist beschlossen. Die Verordnung (EU) 2024/1183 trat am 20. Mai 2024 in Kraft und greift tief in eIDAS ein. Kernstück ist die EU Digital Identity Wallet, eine staatlich bereitgestellte Brieftasche für Identitätsnachweise und Attribute auf dem Smartphone.
Der Zeitplan: Die Mitgliedstaaten müssen eine Wallet bis Ende 2026 anbieten. Das genaue Datum steht nicht im Verordnungstext, es ergibt sich aus Artikel 5a Absatz 1 als 24 Monate nach den Durchführungsrechtsakten, weshalb Quellen zwischen dem 24. und dem 31. Dezember 2026 schwanken.
Öffentliche Stellen müssen die Wallet dann akzeptieren, regulierte Branchen und Plattformen ab einer bestimmten Größe etwa ein Jahr später. Für Bürgerinnen, Bürger und Unternehmen bleibt die Nutzung freiwillig. Die Übersicht der EU-Kommission hält den Stand der Rechtsakte nach.
Was sich dabei nicht ändert: die drei Signaturstufen und die Rechtswirkung aus Artikel 25. Wer heute einen Signaturprozess aufsetzt, muss ihn wegen eIDAS 2.0 nicht neu denken. Die realistische Erwartung ist, dass die Identitätsprüfung für eine QES billiger und schneller wird, weil die Wallet den Ident-Schritt übernehmen kann, der heute Video-Ident oder Postident bedeutet.
Genau dieses Überschätzen der Wallet ist das Muster, das in einem Thread in r/fintech angesprochen wird: Dort wird diskutiert, was Compliance-Teams bei eIDAS weiterhin falsch einschätzen, und der Einwand lautet, über die Wallet werde geredet, als ersetze sie einfach alles Bestehende. Das tut sie nicht. Sie ergänzt einen Identifizierungsweg.
Drei Irrtümer über eIDAS
"Ein Scan meiner Unterschrift ist eine elektronische Signatur." Technisch ja, es ist eine einfache Signatur. Praktisch ist es die schwächste Variante, weil ein Bild beliebig oft kopierbar ist und nichts über den Unterzeichner belegt. In einem Thread mit rund 50 Kommentaren in r/de_EDV zum digitalen Unterschreiben von PDFs ist das Einscannen eines Unterschriftsblatts der erste Vorschlag. Für eine Paketannahme reicht das, für einen Jahresvertrag nicht.
"Die QES ist immer die sichere Wahl." Sie ist die beweisstärkste, aber sie verlangt bei jedem Unterzeichner eine Identitätsprüfung. Bei Kundenvereinbarungen ist das der häufigste Grund für Abbrüche: Der Kunde will unterschreiben und landet in einem Video-Ident-Termin. Für formfreie Verträge kaufst du dir Reibung, die rechtlich nichts hinzufügt. Wie es ohne diesen Umweg geht, zeigt die Anleitung zum Vertrag online unterschreiben.
"Ein kostenloses QES-Angebot löst das Problem." Qualifizierte Zertifikate kosten Geld, weil die Identitätsprüfung Geld kostet. Was als kostenlose qualifizierte elektronische Signatur angeboten wird, ist in der Regel eine begrenzte Zahl von Signaturen oder eine niedrigere Stufe mit QES-Wording. Prüf vor dem Rollout, was im Audit-Trail landet, nicht was auf der Preisseite steht.
meetergo: signieren im Vertragsablauf statt im Extra-Tool
meetergo ist eine in Köln gebaute Plattform für den Weg vom Klick zum Vertrag, mit Terminbuchung, Formularen, Zahlungen, CRM und Signatur in einem Produkt. Für Teams, die heute eine Buchung in einem Tool und die Unterschrift in einem zweiten abwickeln, ist der Signaturteil der E-Signatur-Funktion relevant, weil er im selben Ablauf liegt wie der Termin.
Das dokumentierte Verfahren: Du setzt ein Signaturfeld in ein Formular oder platzierst eine Signaturzone auf einer PDF-Vorlage. Aktivierst du die E-Mail-Verifizierung, gibt der Unterzeichner seine Adresse ein, erhält einen sechsstelligen Einmalcode mit zehn Minuten Gültigkeit und zeichnet danach seine Unterschrift. Gespeichert werden Zeitstempel, die verifizierte E-Mail-Adresse, IP-Adresse, Browser und ein SHA-256-Hash des fertigen PDFs, an dem jede spätere Änderung sichtbar wird. Ohne den Verifizierungsschritt bleibt es eine einfache Signatur.
meetergo ordnet dieses Verfahren selbst als fortgeschrittene Signatur ein. Ob eine konkrete Signatur die vier Bedingungen aus Artikel 26 im Streitfall erfüllt, bewertet am Ende ein Gericht anhand des Einzelfalls, nicht ein Anbieter anhand eines Labels. Was du prüfen kannst, ist der Nachweis, und der ist hier offen dokumentiert.
Die ehrliche Grenze: meetergo ist kein qualifizierter Vertrauensdiensteanbieter und stellt keine QES aus. Für die Dokumente mit gesetzlichem Schriftformzwang führt weiterhin nur ein Anbieter von einer nationalen Vertrauensliste zum Ziel. Signierte Dokumente liegen auf Servern in Nürnberg, womit die Frage nach dem US-Zugriff entfällt, wie beim Rest der DSGVO-Software-Suite. Die E-Mail-Verifizierung ist ab dem Suite-Paket für 29,90 Euro im Monat enthalten, ohne Kosten pro Dokument, die Konditionen stehen auf der Preisübersicht. Für Kanzleien und Beratungen mit hohem Dokumentationsdruck ist die Terminplanung für Rechtsanwälte der passende Einstieg.
Vertrag und Termin in einem Ablauf, nicht in zwei Tools.
Vertrag und Termin in einem Ablauf, nicht in zwei Tools.
Häufige Fragen
Wofür steht die Abkürzung eIDAS?
Für "electronic IDentification, Authentication and trust Services". Gemeint ist die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt, seit Juli 2016 unmittelbar anwendbar.
Was ist eine eIDAS-Signatur?
Den Begriff gibt es im Verordnungstext nicht. Gemeint ist meist eine Signatur auf einer der drei eIDAS-Stufen. Wenn ein Anbieter von einer eIDAS-Signatur spricht, frag nach, welche der drei Stufen er meint und welcher technische Schritt sie begründet.
Brauche ich ein eIDAS-Zertifikat?
Ein qualifiziertes Zertifikat brauchst du nur für eine QES. Ausgegeben wird es von einem qualifizierten Vertrauensdiensteanbieter nach einer Identitätsprüfung, nicht von deinem Softwareanbieter. Für formfreie Verträge ist das nicht erforderlich.
Ist eine elektronische Signatur in ganz Europa gültig?
Ja, das ist der Kern der Verordnung. Weil eIDAS eine Verordnung und keine Richtlinie ist, gelten dieselben Regeln in allen Mitgliedstaaten, und eine in einem Land ausgestellte QES muss in den anderen anerkannt werden. Nationale Formvorschriften bleiben davon unberührt.
Was ändert eIDAS 2.0 für mein Unternehmen?
Kurzfristig nichts an deinem Signaturprozess. Die drei Stufen und ihre Rechtswirkung bleiben. Mittelfristig wird die EU Digital Identity Wallet die Identitätsprüfung für eine QES vereinfachen, sobald die Mitgliedstaaten sie ab Ende 2026 bereitstellen. Die Nutzung ist für Unternehmen freiwillig.
Woran erkenne ich, dass ein Anbieter keine QES ausstellen kann?
Er steht nicht auf der nationalen Vertrauensliste seines Sitzstaats. Diese Listen sind öffentlich und nach Artikel 22 verpflichtend. Formulierungen wie "eIDAS-zertifiziert" oder "eIDAS-konform" ohne Listeneintrag sagen über die QES-Fähigkeit nichts aus.
Reicht eine Signatur per Klick für ein Angebot?
Rechtlich kann sie wirksam sein, weil Angebote formfrei sind. Praktisch trägst du das Beweisrisiko: Bestreitet der Kunde die Annahme, hast du nur ein Klickprotokoll. Ein verifiziertes Identitätsmerkmal plus Dokumenten-Hash kostet den Kunden zwanzig Sekunden mehr und verschiebt die Beweislage deutlich.
