Die fortgeschrittene elektronische Signatur, kurz FES, wird häufig als Mittelweg zwischen einfacher und qualifizierter elektronischer Signatur beschrieben. Entscheidend ist jedoch nicht die Bezeichnung, sondern ob das eingesetzte Verfahren die Anforderungen der eIDAS-Verordnung erfüllt und zum Risiko des konkreten Vorgangs passt.

Eine FES kann die Identität einer unterzeichnenden Person, ihre Willenserklärung und die Integrität eines Dokuments nachvollziehbar miteinander verbinden. Sie ersetzt aber nicht automatisch gesetzlich vorgeschriebene Formen und hat nicht dieselbe gesetzlich festgelegte Wirkung wie eine qualifizierte elektronische Signatur.

Was eine FES nach eIDAS erfüllen muss

Artikel 26 der eIDAS-Verordnung nennt vier Anforderungen. Eine fortgeschrittene elektronische Signatur muss:

• eindeutig der unterzeichnenden Person zugeordnet sein,
• deren Identifizierung ermöglichen,
• mit Signaturerstellungsdaten erzeugt werden, die die Person mit einem hohen Maß an Vertrauen unter ihrer alleinigen Kontrolle verwenden kann,
• so mit den unterzeichneten Daten verbunden sein, dass nachträgliche Änderungen erkennbar werden.

Die Verordnung schreibt dafür keine einzelne technische Methode vor. Eine FES kann beispielsweise auf einem persönlichen Zertifikat beruhen. Auch ein Plattformverfahren mit belastbarer Identifizierung, persönlicher Authentifizierung, kryptografischer Dokumentenbindung und nachvollziehbarem Audit-Trail kann die Anforderungen erfüllen.

Nicht jede Unterschrift, die in einer Software als „fortgeschritten“ bezeichnet wird, ist deshalb automatisch eine FES. Maßgeblich ist der gesamte Prozess: Wie wurde die Person identifiziert? Wer konnte das Signaturmittel verwenden? Wie wird das konkrete Dokument technisch gebunden? Welche Nachweise bleiben für einen späteren Streitfall erhalten?

Abgrenzung zu EES und QES

Die einfache elektronische Signatur, kurz EES, umfasst viele alltägliche Verfahren: einen eingetippten Namen, eine eingefügte Unterschriftengrafik oder das Anklicken einer Schaltfläche. Sie kann rechtlich wirksam sein, bietet aber nicht zwingend einen belastbaren Identitäts- oder Integritätsnachweis.

Die FES fügt stärkere Anforderungen an Zuordnung, Kontrolle und Manipulationserkennung hinzu. Ihre konkrete Beweiskraft hängt dennoch von der technischen und organisatorischen Umsetzung sowie vom Einzelfall ab.

Die qualifizierte elektronische Signatur, kurz QES, ist eine FES mit zusätzlichen Voraussetzungen. Sie muss auf einem qualifizierten Zertifikat beruhen und mit einer qualifizierten Signaturerstellungseinheit erzeugt werden. Nach eIDAS hat nur die QES ausdrücklich die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.

Keine elektronische Signatur darf allein deshalb als Beweismittel abgelehnt werden, weil sie elektronisch ist oder die Anforderungen einer QES nicht erfüllt. Daraus folgt aber nicht, dass EES, FES und QES im Streitfall denselben Beweiswert besitzen.

Wann eine FES sinnvoll sein kann

Eine FES eignet sich vor allem für Dokumente ohne zwingende gesetzliche Form, bei denen eine einfache Signatur angesichts des wirtschaftlichen Werts, der Laufzeit oder des Konfliktpotenzials zu wenig Nachweis bietet.

Typische Anwendungsfälle können sein:

• B2B-Verträge ohne besondere Formvorgabe: Bei Rahmenverträgen, Projektvereinbarungen oder Lieferverträgen soll später nachvollziehbar sein, wer welche Fassung unterzeichnet hat.
• Vertraulichkeitsvereinbarungen: Eine FES kann die Zuordnung zur Person und die Unverändertheit der vereinbarten Inhalte besser dokumentieren als eine eingefügte Unterschriftengrafik.
• Angebote und Auftragsbestätigungen: Bei größeren Volumen oder individuellen Leistungsbeschreibungen kann ein stärkerer Identitäts- und Integritätsnachweis angemessen sein.
• Freigaben mit Außenwirkung: Dazu gehören beispielsweise Genehmigungen, Abnahmen oder Erklärungen, bei denen ein späterer Widerspruch plausibel erscheint.
• Verträge mit längerer Laufzeit: Je länger ein Dokument relevant bleibt, desto wichtiger werden exportierbare Nachweise und eine überprüfbare Verbindung zwischen Signatur und Vertragsfassung.

Ein Beispiel: Zwei Unternehmen schließen eine individuell verhandelte Beratungsvereinbarung. Eine gesetzliche Schriftform ist nicht ersichtlich, der Vertrag enthält aber erhebliche Vergütungs- und Haftungsregelungen. Eine FES kann hier angemessener sein als ein bloßer Klick, sofern Identifizierung, Authentifizierung und Dokumentenbindung sauber umgesetzt sind.

Wann eine EES genügen kann

Nicht jeder Vorgang braucht eine FES. Bei niedrigem Risiko kann eine einfache elektronische Signatur ausreichend sein, insbesondere wenn die Parteien bereits eindeutig in einem geschützten System angemeldet sind und der Vorgang gut dokumentiert wird.

Beispiele sind standardisierte Bestätigungen, risikoarme interne Kenntnisnahmen oder Bestellungen mit begrenzter Tragweite. Auch hier sollten Signaturabsicht, Dokumentversion, Zeitpunkt und Prozessereignisse nachvollziehbar bleiben.

Eine unnötig starke Identitätsprüfung kann Prozesse erschweren und zusätzliche personenbezogene Daten erzeugen. Das Signaturniveau sollte deshalb nicht pauschal maximiert, sondern risikobasiert gewählt werden.

Wann eine QES oder ein anderer Weg erforderlich ist

Eine FES reicht nicht aus, wenn für den konkreten Vorgang eine Form vorgeschrieben ist, die nur durch eine handschriftliche Unterschrift oder – soweit zulässig – durch die elektronische Form mit QES erfüllt werden kann. Manche Vorschriften schließen die elektronische Form vollständig aus.

Ein bekanntes Beispiel aus Deutschland ist die Beendigung eines Arbeitsverhältnisses durch Kündigung oder Aufhebungsvertrag: § 623 BGB verlangt Schriftform und schließt die elektronische Form aus. Weder FES noch QES ersetzen dort die eigenhändige Unterschrift.

Auch bei formbedürftigen Erklärungen, Verbraucherverträgen, Bürgschaften oder grenzüberschreitenden Vorgängen sollten die konkreten Anforderungen vorab geprüft werden. Neben Gesetzen können vertragliche Formklauseln, Branchenregeln oder Vorgaben einer Gegenpartei relevant sein. Bei Unsicherheit ist eine rechtliche Einzelfallprüfung sinnvoll.

Unabhängig von einer gesetzlichen Vorgabe kann eine QES auch bei besonders hohem Streit- oder Identitätsrisiko gewählt werden. Das höhere Signaturniveau ersetzt jedoch keine Prüfung von Vertretungsbefugnissen und Vertragsinhalten.

Kriterien für die Auswahl des Signaturniveaus

Eine strukturierte Entscheidung kann sich an folgenden Fragen orientieren:

| Kriterium | Leitfrage |

|---|---|

| Formvorgabe | Verlangt das Gesetz oder der Vertrag eine bestimmte Form? |

| Identitätsrisiko | Wie gravierend wäre eine Signatur durch die falsche Person? |

| Bestreitensrisiko | Wie wahrscheinlich ist ein späterer Widerspruch gegen die Unterzeichnung? |

| wirtschaftliche Tragweite | Welche finanziellen oder operativen Folgen hat das Dokument? |

| Laufzeit | Wie lange müssen Signatur und Nachweise überprüfbar bleiben? |

| Nutzerkontext | Ist die Person bereits verlässlich identifiziert und authentifiziert? |

| Datenschutz | Welche personenbezogenen Daten werden für Identifizierung und Nachweis benötigt? |

Eine FES ist besonders plausibel, wenn kein QES-Zwang besteht, eine EES aber keine ausreichende Zuordnung und Integrität bietet.

Technische und organisatorische Umsetzung

Eine belastbare FES besteht nicht nur aus einem sichtbaren Signaturfeld im PDF. Bei der Auswahl und Konfiguration eines Verfahrens sollten mindestens folgende Punkte betrachtet werden:

1. Identifizierung: Das Verfahren muss erklären können, wie die Person festgestellt wurde. Die Methode sollte zum Risiko passen.
2. Persönliche Authentifizierung: Ein Link in einer weitergeleiteten E-Mail beweist für sich genommen nicht, wer unterschrieben hat. Zusätzliche Faktoren können die Zuordnung stärken.
3. Dokumentenbindung: Hashwerte und kryptografische Signaturen müssen nachträgliche Änderungen erkennbar machen.
4. Signaturabsicht: Die Oberfläche sollte eindeutig zeigen, welches Dokument mit welcher Bedeutung unterzeichnet wird.
5. Audit-Trail: Ereignisse wie Versand, Authentifizierung, Anzeige, Zustimmung und Abschluss sollten nachvollziehbar protokolliert werden.
6. Export und Prüfung: Signiertes Dokument, Zertifikatsinformationen und Nachweise sollten außerhalb der Plattform aufbewahrt und möglichst unabhängig geprüft werden können.
7. Berechtigungen: Rollen, Vertretungsbefugnisse und interne Freigaben müssen organisatorisch geklärt sein.

Ein Zeitstempel kann den Zeitpunkt und die Integrität zusätzlich absichern. Er macht eine EES oder FES jedoch nicht automatisch zu einer QES.

Datenschutz von Anfang an berücksichtigen

FES-Prozesse verarbeiten regelmäßig Namen, Kontaktdaten, IP-Adressen, Authentifizierungsmerkmale und technische Protokolle. Nach der DSGVO sollten nur Daten erhoben werden, die für Identifizierung, Durchführung und Nachweis erforderlich sind.

Zu prüfen sind insbesondere Rechtsgrundlage, Aufbewahrungsdauer, Löschkonzept, Zugriffsrechte, Auftragsverarbeitung und mögliche Drittlandübermittlungen. Werden Ausweisdaten oder biometrische Merkmale eingesetzt, sind Notwendigkeit und Schutzbedarf besonders sorgfältig zu bewerten.

Datenschutz und Beweisbarkeit sind dabei kein Widerspruch. Ein klar definiertes Nachweiskonzept verhindert sowohl zu geringe als auch unbegrenzte Datenspeicherung.

Fazit: FES als risikobasierte Entscheidung

Die FES ist sinnvoll, wenn eine Erklärung eindeutig einer Person zugeordnet, das Dokument gegen unbemerkte Änderungen geschützt und der Ablauf später nachvollzogen werden soll – ohne dass eine QES rechtlich oder aufgrund des Risikos erforderlich ist.

Die richtige Entscheidung beginnt daher nicht bei einer Produktfunktion, sondern beim Dokument: Welche Form gilt, welches Risiko besteht und welche Nachweise werden im Streitfall benötigt? Erst danach lässt sich beurteilen, ob EES, FES, QES oder weiterhin eine handschriftliche Unterzeichnung angemessen ist.