Was „ohne Login“ in der Praxis bedeutet

Ein Dokument online unterschreiben zu lassen, muss für die empfangende Person nicht mit einer Registrierung verbunden sein. Typischerweise erhält sie per E-Mail oder über einen anderen vereinbarten Kanal einen individuellen Link. Dieser öffnet eine browserbasierte Signaturansicht, in der das Dokument gelesen, bestätigt und unterschrieben werden kann.

Der Verzicht auf ein Benutzerkonto bedeutet allerdings nicht, dass auf jede Prüfung der Person verzichtet wird. Je nach Dokument und gewünschtem Signaturniveau kann der Ablauf zusätzliche Schritte enthalten, etwa:

• die Bestätigung über einen nur einmal nutzbaren Link,
• einen per SMS oder getrenntem Kanal versandten Code,
• die Prüfung bestimmter Angaben,
• eine elektronische Identifizierung,
• die Bestätigung einer Signatur durch einen Vertrauensdiensteanbieter.

Eine App ist dafür nicht zwingend erforderlich. Viele Abläufe lassen sich vollständig im Browser durchführen. Bei einer qualifizierten elektronischen Signatur kann jedoch eine Identifizierung notwendig sein. Ob auch diese ohne zusätzliche Software möglich ist, hängt vom eingesetzten Identifizierungsverfahren und Vertrauensdiensteanbieter ab.

Ein typischer Signaturprozess im Browser

Ein schlanker Prozess beginnt nicht mit der sichtbaren Unterschrift, sondern mit der Vorbereitung des Dokuments. Die versendende Organisation legt fest, wer unterschreiben soll, an welchen Stellen Angaben erforderlich sind und in welcher Reihenfolge mehrere Beteiligte signieren.

Ein möglicher Ablauf sieht so aus:

1. Ein Vertrag wird als PDF hochgeladen oder aus einem Fachsystem erzeugt.
2. Namen, E-Mail-Adressen und gegebenenfalls Rollen der Unterzeichnenden werden eingetragen.
3. Signatur-, Datums- und Textfelder werden den jeweiligen Personen zugeordnet.
4. Jede Person erhält einen individuellen Zugangslink.
5. Das Dokument wird im Browser geöffnet und kann vor der Abgabe der Erklärung vollständig eingesehen werden.
6. Die Person füllt erforderliche Felder aus und bestätigt ihre Signaturabsicht.
7. Nach Abschluss erhalten die Beteiligten das signierte Dokument oder einen sicheren Download-Zugang.
8. Ein Audit Trail hält relevante Prozessereignisse fest.

Wichtig ist, dass die Zustimmung eindeutig erfolgt. Eine eingefügte Schreibschrift, eine gezeichnete Unterschrift oder ein Namenszug allein bestimmt nicht die rechtliche Qualität des Vorgangs. Maßgeblich sind der gesamte Prozess, die Zuordnung zur unterzeichnenden Person, die Integrität des Dokuments und die dokumentierte Willenserklärung.

Welche Signaturart ist erforderlich?

Die eIDAS-Verordnung unterscheidet zwischen einfacher, fortgeschrittener und qualifizierter elektronischer Signatur. Die passende Stufe richtet sich nicht danach, wie wichtig ein Dokument intern erscheint, sondern nach rechtlichen Formvorgaben, Risiko und gewünschter Beweiskraft.

Einfache elektronische Signatur (EES)

Eine EES kann beispielsweise aus der Bestätigung eines Dokuments über einen persönlichen Link oder der Eingabe eines Namens bestehen. Sie eignet sich häufig für Vorgänge ohne gesetzliches Schriftformerfordernis und mit überschaubarem Risiko, etwa interne Freigaben, Empfangsbestätigungen oder viele gewöhnliche Vereinbarungen.

Fortgeschrittene elektronische Signatur (FES)

Eine FES muss nach eIDAS eindeutig der unterzeichnenden Person zugeordnet sein, deren Identifizierung ermöglichen, unter ihrer Kontrolle erstellt werden und nachträgliche Änderungen an den signierten Daten erkennbar machen. In der Praxis werden dafür Identitäts- oder Authentifizierungsmerkmale, kryptografische Verfahren und eine belastbare Prozessdokumentation kombiniert.

Qualifizierte elektronische Signatur (QES)

Die QES beruht auf einem qualifizierten Zertifikat und wird mit einer qualifizierten elektronischen Signaturerstellungseinheit erzeugt. Sie hat nach eIDAS die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Eine QES kann auch als Fernsignatur umgesetzt werden, verlangt aber eine verlässliche Identifizierung und die Einbindung eines qualifizierten Vertrauensdiensteanbieters.

Artikel 25 eIDAS stellt außerdem klar, dass einer elektronischen Signatur Rechtswirkung und Beweismittelqualität nicht allein deshalb abgesprochen werden dürfen, weil sie elektronisch ist oder die Anforderungen einer QES nicht erfüllt. Daraus folgt jedoch nicht, dass jede Signaturart für jeden Vertrag genügt.

Formvorschriften vor dem Versand prüfen

Viele Verträge können grundsätzlich formfrei geschlossen werden. Andere Vorgänge unterliegen einer gesetzlichen Schriftform, einer Textform oder besonderen branchenspezifischen Anforderungen. Zudem können Parteien vertraglich eine bestimmte Form vereinbart haben.

Vor der Digitalisierung sollte deshalb geprüft werden:

• Besteht für das konkrete Dokument eine gesetzliche Formvorgabe?
• Kann eine elektronische Form die verlangte Form ersetzen?
• Ist die elektronische Form ausdrücklich ausgeschlossen?
• Sind Anlagen, Vollmachten oder Nachweise einzubeziehen?
• Müssen mehrere Personen in einer bestimmten Reihenfolge unterschreiben?
• Welche Nachweise wären bei einer späteren Auseinandersetzung hilfreich?

Eine QES kann in vielen Fällen eine gesetzlich verlangte handschriftliche Unterschrift ersetzen, aber nicht ausnahmslos. Für einzelne Rechtsgeschäfte bestehen Ausschlüsse oder zusätzliche Anforderungen. Die Auswahl des Verfahrens sollte daher anhand des konkreten Anwendungsfalls und bei Zweifeln mit fachkundiger rechtlicher Unterstützung erfolgen.

Kein Konto heißt nicht kein Sicherheitskonzept

Ein zugänglicher Signaturprozess darf nicht darauf beruhen, dass derselbe ungeschützte Link beliebig weitergegeben werden kann. Welche Schutzmaßnahmen angemessen sind, hängt vom Risiko des Dokuments ab.

Mögliche Maßnahmen sind:

• individuelle, zufällig erzeugte und zeitlich begrenzte Links,
• zusätzliche Codes über einen getrennten Kommunikationskanal,
• definierte Gültigkeits- und Erinnerungsfristen,
• Sperrung eines Vorgangs nach Abschluss oder Widerruf,
• verschlüsselte Übertragung und geschützte Speicherung,
• Rollen- und Berechtigungskonzepte für interne Mitarbeitende,
• Protokollierung von Versand, Zugriff, Zustimmung und Abschluss,
• Integritätsschutz für das fertig signierte Dokument.

Auch die E-Mail-Adresse allein ist nicht in jedem Fall ein ausreichender Identitätsnachweis. Bei sensiblen oder wirtschaftlich bedeutenden Vorgängen kann eine stärkere Authentifizierung sinnvoll oder erforderlich sein. Dabei sollte nicht mehr Identität geprüft werden, als für den jeweiligen Zweck notwendig ist.

DSGVO und Datenminimierung

Elektronische Signaturprozesse verarbeiten regelmäßig Namen, Kontaktdaten, Vertragsinhalte, Zeitangaben und technische Protokolldaten. Je nach Dokument können zudem besondere Kategorien personenbezogener Daten betroffen sein. Verantwortliche Organisationen sollten deshalb vorab festlegen, welche Daten zu welchem Zweck verarbeitet werden und wie lange sie benötigt werden.

Zu den praktischen Prüfpunkten gehören:

• Rechtsgrundlage und transparente Information der betroffenen Personen,
• Rollenverteilung zwischen verantwortlicher Stelle, Auftragsverarbeiter und möglichen Unterauftragnehmern,
• Abschluss eines Auftragsverarbeitungsvertrags, soweit erforderlich,
• Speicherorte und Regeln für internationale Datenübermittlungen,
• technische und organisatorische Schutzmaßnahmen,
• Lösch- und Aufbewahrungsfristen,
• Verfahren für Auskunft, Berichtigung und Löschung,
• kontrollierter Zugriff auf Dokumente und Nachweise.

Datenminimierung betrifft auch den Audit Trail. Er sollte die für Nachweis und Sicherheit erforderlichen Ereignisse dokumentieren, aber nicht vorsorglich unbegrenzt technische Daten sammeln. Aufbewahrungsfristen für Vertrag, Signaturnachweis und temporäre Prozessdaten können unterschiedlich sein.

Der Audit Trail als Teil des Nachweises

Ein Audit Trail dokumentiert den Ablauf einer Signatur. Je nach System und Konfiguration kann er unter anderem Versandzeitpunkte, Zugriffe, Authentifizierungsschritte, Zustimmungen, Signaturzeitpunkte und den Abschlussstatus enthalten. Zusätzlich können Hashwerte oder Zertifikatsinformationen dazu dienen, die Integrität des Dokuments nachvollziehbar zu machen.

Der Audit Trail ersetzt weder eine erforderliche Identifizierung noch automatisch eine bestimmte Signaturstufe. Er liefert jedoch Kontext für die Frage, wie eine Erklärung zustande gekommen ist. Deshalb sollte er gemeinsam mit dem finalen Dokument exportierbar und so aufbewahrt werden, dass eine spätere Zuordnung möglich bleibt.

Konkrete Anwendungsbeispiele

Angebot im Vertrieb

Ein Vertriebsmitarbeiter erstellt ein Angebot im CRM und sendet es zur Annahme. Die Kundin öffnet den Link im Browser, prüft Leistungsumfang und Preis und bestätigt das Angebot. Anschließend werden das angenommene PDF und der Prozessnachweis im CRM abgelegt. Ob eine EES genügt oder eine stärkere Absicherung sinnvoll ist, hängt von Inhalt, Risiko und Formanforderungen ab.

Personalunterlagen

Eine Personalabteilung versendet eine Richtlinienbestätigung oder eine Zusatzvereinbarung. Die beschäftigte Person muss kein neues Konto anlegen und kann den Vorgang auf einem privaten oder betrieblichen Gerät abschließen. Vorher ist zu prüfen, welche Form für das konkrete Personaldokument gilt und welche Zugriffsbeschränkungen wegen der sensiblen Daten erforderlich sind.

Auftrag im Handwerk

Ein Betrieb schickt nach einem Vor-Ort-Termin die Leistungsbeschreibung als PDF. Der Auftraggeber kann das Dokument am Smartphone lesen und bestätigen, ohne es auszudrucken, zu fotografieren oder zurückzusenden. Änderungen sollten nicht in parallelen PDF-Versionen erfolgen, sondern als neue, eindeutig versionierte Fassung erneut zur Signatur vorgelegt werden.

Worauf es bei der Umsetzung ankommt

Ein guter Prozess reduziert Hürden, ohne Nachweise und Schutzmaßnahmen zu vernachlässigen. Vor dem produktiven Einsatz sollte der vollständige Ablauf mit verschiedenen Geräten, mehreren Unterzeichnenden, abgelaufenen Links, Ablehnungen und nachträglichen Korrekturen getestet werden.

Besonders wichtig sind verständliche Einladungen, eine vollständige Dokumentansicht vor der Signatur, klar bezeichnete Schaltflächen und eine Abschlussbestätigung. Unterzeichnende sollten erkennen können, wer das Dokument versendet hat, welche Erklärung sie abgeben und wie sie eine Kopie erhalten.

„Ohne Login, App oder Papier“ beschreibt somit vor allem eine geringe Zugangshürde. Ein verlässlicher digitaler Vertragsprozess benötigt trotzdem eine bewusste Auswahl der Signaturart, angemessene Authentifizierung, Datenschutz, Integritätsschutz und eine nachvollziehbare Dokumentation.