Link und SMS sind keine Signaturarten

Ein Vertrag kann über einen Link in einer E-Mail, in einem Kundenportal, per Messenger oder über eine SMS zum Unterschreiben bereitgestellt werden. Diese Kanäle bestimmen jedoch nicht, welche Art elektronischer Signatur entsteht. Sie regeln zunächst nur, wie die unterzeichnende Person den Signaturprozess erreicht.

Für die rechtliche und technische Einordnung sind andere Merkmale maßgeblich:

• Wie wird die Identität oder der Zugriff der Person geprüft?
• Wie wird die Signatur mit dem Dokument verknüpft?
• Werden nachträgliche Änderungen erkennbar?
• Welche Protokolle und Zeitangaben werden gespeichert?
• Welches Signaturniveau ist für den konkreten Vertrag erforderlich?

Eine per SMS aufgerufene Unterschrift ist daher nicht automatisch sicherer oder rechtlich stärker als eine Unterschrift über einen E-Mail-Link. Umgekehrt ist ein einfacher Link nicht zwangsläufig unsicher. Entscheidend ist die Gestaltung des gesamten Workflows.

Was „Unterschrift per Link“ praktisch bedeutet

Bei einem linkbasierten Prozess erhält die Person eine URL, die zu einer webbasierten Signaturansicht führt. Der Link kann per E-Mail, über ein Portal oder auf anderem Weg zugestellt werden. Nach dem Öffnen werden das Dokument, erforderliche Eingabefelder und die vorgesehene Signaturhandlung angezeigt.

Typische Vorteile sind:

• Verträge und Erläuterungen lassen sich gemeinsam in einer E-Mail bereitstellen.
• Der Prozess funktioniert auf Desktop, Tablet und Smartphone.
• Mehrere Dokumente oder Anhänge können übersichtlich präsentiert werden.
• Absender, Betreff und Begleittext sind für geschäftliche Kommunikation gut dokumentierbar.
• Empfänger können den Vertrag vor der Unterzeichnung auf einem größeren Bildschirm prüfen.

Ein E-Mail-Link eignet sich beispielsweise für ein B2B-Angebot, bei dem die empfangende Person den Vertrag zunächst intern prüfen oder an eine zuständige Stelle weitergeben muss. Genau diese Weiterleitbarkeit kann allerdings zum Risiko werden, wenn jeder Inhaber des Links unterschreiben darf.

Links sollten deshalb nicht unbegrenzt gültig und nach Möglichkeit an einen bestimmten Vorgang oder Empfänger gebunden sein. Je nach Schutzbedarf kommen zusätzliche Faktoren wie ein Einmalcode, eine Anmeldung im Kundenkonto oder eine Identitätsprüfung hinzu.

Was sich bei der Zustellung per SMS ändert

Auch eine SMS enthält in der Regel einen Link zur webbasierten Signaturstrecke. Der wesentliche Unterschied liegt im Zustellkanal: Statt einer E-Mail-Adresse wird eine Mobilfunknummer verwendet.

SMS kann sinnvoll sein, wenn Empfänger überwiegend mobil arbeiten, E-Mails selten öffnen oder unmittelbar vor Ort handeln sollen. Beispiele sind die Bestätigung eines Serviceauftrags, eine Abnahme nach einem Handwerkseinsatz oder ein zeitnah zu bestätigender Terminvertrag.

Vorteile des SMS-Kanals können sein:

• Der Zugang erfolgt direkt auf dem Mobilgerät.
• Es ist keine App-Installation erforderlich.
• Der Prozess kann in mobilen Arbeitssituationen kürzer wirken.
• Eine Mobilfunknummer kann als zusätzlicher Kontaktkanal genutzt werden.

Dem stehen praktische Grenzen gegenüber. Mobilfunknummern können veraltet, gemeinsam genutzt oder neu vergeben werden. Roaming, fehlender Empfang, SMS-Filter und unterschiedliche internationale Nummernformate können die Zustellung erschweren. Außerdem ist ein umfangreicher Vertrag auf einem kleinen Display weniger komfortabel zu prüfen.

Eine SMS-Zustellbestätigung belegt zudem nicht ohne Weiteres, dass die vorgesehene Person die Nachricht gelesen oder unterschrieben hat. Dasselbe gilt grundsätzlich für technische Zustell- oder Öffnungsereignisse bei E-Mails.

Authentifizierung getrennt vom Zustellweg betrachten

Die zentrale Frage lautet nicht nur: „Wohin wurde der Link gesendet?“, sondern: „Wie wurde geprüft, wer den Prozess ausgeführt hat?“

Ein frei weiterleitbarer Link bietet nur eine begrenzte Zuordnung zur vorgesehenen Person. Eine SMS an eine bekannte Nummer schafft ebenfalls noch keinen eindeutigen Identitätsnachweis. Zugriff auf ein Telefon kann ein Authentifizierungsmerkmal sein, ist aber nicht mit einer vollständigen Identitätsprüfung gleichzusetzen. Risiken wie gemeinsam genutzte Geräte, weitergeleitete Nachrichten oder SIM-Swapping müssen abhängig vom Anwendungsfall berücksichtigt werden.

Mögliche Schutzstufen sind:

1. Personalisierter Einmallink: Der Link gehört zu einem bestimmten Vorgang, läuft ab und wird nach Abschluss deaktiviert.
2. Separater Einmalcode: Link und Code werden über getrennte oder bewusst ausgewählte Kanäle zugestellt.
3. Kontoanmeldung: Die Person authentifiziert sich in einem bestehenden Kunden- oder Mitarbeiterportal.
4. Identitätsprüfung: Je nach erforderlichem Signaturniveau wird ein geeignetes Identifizierungsverfahren eingebunden.
5. Qualifizierte elektronische Signatur: Sie setzt die Anforderungen der eIDAS-Verordnung einschließlich eines qualifizierten Zertifikats und einer qualifizierten Signaturerstellung voraus.

Mehr Faktoren sind nicht automatisch besser. Sie müssen zum Risiko, zur Zielgruppe und zum erforderlichen Signaturniveau passen, ohne unnötige Zugangshürden zu schaffen.

eIDAS: Der Kanal bestimmt nicht das Signaturniveau

Die eIDAS-Verordnung unterscheidet einfache, fortgeschrittene und qualifizierte elektronische Signaturen. Ob ein Prozess als einfache elektronische Signatur (EES), fortgeschrittene elektronische Signatur (FES) oder qualifizierte elektronische Signatur (QES) einzuordnen ist, hängt von den jeweiligen Anforderungen und der technischen Umsetzung ab – nicht davon, ob der Einstieg per E-Mail oder SMS erfolgt.

Ein eingegebener Name, ein gesetztes Kontrollkästchen oder eine gezeichnete Unterschrift kann Teil einer einfachen elektronischen Signatur sein. Ein SMS-Code allein macht daraus noch keine FES. Für eine FES müssen unter anderem die Zuordnung zur unterzeichnenden Person und die Erkennbarkeit nachträglicher Änderungen entsprechend umgesetzt sein.

Die QES besitzt nach eIDAS die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Ob sie für einen konkreten Vertrag erforderlich oder die elektronische Form zulässig ist, richtet sich zusätzlich nach dem anwendbaren Recht und der jeweiligen Transaktion. Unternehmen sollten formbedürftige oder besonders risikoreiche Dokumente deshalb gesondert prüfen lassen.

Nachweisführung und Audit Trail

Bei Streitfragen zählt nicht nur die sichtbare Unterschrift im PDF. Ein belastbarer Prozess sollte nachvollziehbar dokumentieren, was wann mit welcher Dokumentversion geschehen ist.

Ein Audit Trail kann insbesondere enthalten:

• eindeutige Vorgangs- und Dokumentkennung,
• Hashwert oder andere Integritätsmerkmale der signierten Fassung,
• Versand-, Zugriffs- und Abschlusszeitpunkte,
• verwendete Authentifizierungsschritte,
• Erklärungen zur Signaturabsicht und Zustimmung,
• Status von Ablehnungen, Abbrüchen oder abgelaufenen Einladungen,
• Zuordnung der fertigen Dokumente zum ursprünglichen Vorgang.

Protokolldaten sollten verständlich exportierbar und gemeinsam mit dem signierten Dokument aufbewahrt werden. Einzelne technische Merkmale wie eine IP-Adresse oder ein SMS-Zustellstatus sind für sich genommen kein sicherer Identitätsbeweis. Aussagekräftig wird die Dokumentation durch das Zusammenspiel mehrerer konsistenter Ereignisse.

DSGVO und Vertraulichkeit

Sowohl E-Mail-Adressen als auch Mobilfunknummern sind regelmäßig personenbezogene Daten. Hinzu kommen Vertragsinhalte, Protokolldaten und gegebenenfalls Identitätsnachweise. Für den Prozess gelten daher die Grundsätze der DSGVO, insbesondere Zweckbindung, Datenminimierung, Transparenz, Sicherheit und begrenzte Speicherdauer.

In SMS oder Betreffzeilen sollten keine unnötigen Vertragsdetails stehen. Der Link selbst sollte möglichst keine Klarnamen, Vertragsinhalte oder andere sensible Angaben in lesbarer Form enthalten. Für vertrauliche Dokumente kann es sinnvoll sein, vor der Anzeige eine zusätzliche Authentifizierung zu verlangen.

Weitere Prüfpunkte sind:

• Rollen und Auftragsverarbeitung mit beteiligten Dienstleistern,
• Speicherorte und mögliche internationale Datenübermittlungen,
• Lösch- und Aufbewahrungskonzepte,
• Zugriffsmöglichkeiten für interne Administratoren,
• Verfahren bei falsch eingegebenen E-Mail-Adressen oder Telefonnummern.

Welche Rechtsgrundlage und Aufbewahrungsfrist gilt, hängt vom Prozess und vom Vertragskontext ab. Eine pauschale Lösung für alle Dokumentarten gibt es nicht.

Entscheidung nach Anwendungsfall

E-Mail-Link für ein erklärungsbedürftiges B2B-Angebot: Der Vertrag umfasst mehrere Anlagen und soll vor der Signatur geprüft werden. Ein personalisierter Link per E-Mail ist meist praktischer, gegebenenfalls ergänzt um einen separaten Code.

SMS für einen mobilen Serviceabschluss: Nach einer Reparatur erhält der Kunde vor Ort einen Link auf sein Telefon. Der Prozess sollte eine gut lesbare Zusammenfassung, Zugriff auf das vollständige Dokument und eine eindeutige Abschlussbestätigung bieten.

HR-Dokument mit sensiblen Daten: Eine bloße SMS oder offene E-Mail kann unangemessen sein. Ein geschütztes Mitarbeiterportal mit zusätzlicher Authentifizierung kann Vertraulichkeit und Zuordnung besser unterstützen.

Dokument mit QES-Anforderung: E-Mail oder SMS kann als Einstieg dienen. Die eigentliche Signatur muss jedoch über einen QES-konformen Prozess mit den erforderlichen qualifizierten Komponenten erfolgen.

Link, SMS oder Kombination?

Für viele Standardverträge ist ein personalisierter E-Mail-Link die praktikable Ausgangslösung. SMS eignet sich besonders für mobile, zeitnahe und kurze Prozesse. Eine Kombination kann sinnvoll sein, etwa wenn der Link per E-Mail und ein Einmalcode per SMS zugestellt wird. Sie erhöht allerdings Komplexität, Supportbedarf und Datenverarbeitung.

Die Entscheidung sollte anhand weniger konkreter Fragen fallen:

• Auf welchem Gerät prüft die Zielgruppe den Vertrag tatsächlich?
• Wie vertraulich sind Inhalt und Metadaten?
• Wie hoch ist das Risiko einer falschen Zuordnung?
• Welches eIDAS-Signaturniveau und welche Form sind erforderlich?
• Welche Nachweise müssen später exportiert werden können?
• Was geschieht bei falschen, veralteten oder gemeinsam genutzten Kontaktdaten?

Nicht der Kanal allein macht den Prozess belastbar. Ausschlaggebend ist die abgestimmte Kombination aus Zustellung, Authentifizierung, Signaturtechnik, Integritätsschutz, Audit Trail und verständlicher Nutzerführung.