Qualifizierte Elektronische Signatur (QES) Erklärt

1. Die drei eIDAS-Signaturebenen

Die eIDAS-Verordnung (EU Nr. 910/2014) definiert drei Ebenen elektronischer Signaturen. Jede bietet ein unterschiedliches Niveau an Sicherheit, Identitätssicherung und Rechtswirkung. Das Verständnis dieser Ebenen ist grundlegend für die Wahl der richtigen Signatur für Ihr Dokument.

2. Qualifizierte Vertrauensdiensteanbieter (QTSP)

Ein qualifizierter Vertrauensdiensteanbieter (Qualified Trust Service Provider, QTSP) ist eine Organisation, die von einer nationalen Aufsichtsbehörde als qualifiziert eingestuft wurde und qualifizierte Vertrauensdienste erbringen darf. Der Weg zum QTSP-Status ist anspruchsvoll und streng reguliert.

Um den QTSP-Status zu erhalten, muss ein Anbieter folgende Anforderungen erfüllen:

• Konformitätsbewertung: Eine Überprüfung durch eine akkreditierte Konformitätsbewertungsstelle bestätigt, dass der Anbieter alle Anforderungen der eIDAS-Verordnung und der zugehörigen technischen Standards erfüllt.
• Nationale Aufsicht: Die zuständige nationale Behörde überwacht den Anbieter fortlaufend. In Luxemburg ist dies das ILNAS (Institut Luxembourgeois de la Normalisation, de l'Accréditation, de la Sécurité et qualité des produits et services).
• Versicherungsschutz: QTSPs müssen über eine angemessene Haftpflichtversicherung oder vergleichbare finanzielle Garantien verfügen, um Schäden abzudecken.
• Regelmäßige Audits: QTSPs werden mindestens alle 24 Monate von einer akkreditierten Stelle geprüft, um die fortlaufende Einhaltung der Anforderungen sicherzustellen.

3. Qualifizierte Zertifikate

Ein qualifiziertes Zertifikat für elektronische Signaturen ist ein digitales Zertifikat, das von einem QTSP ausgestellt wird und bestimmte in Anhang I der eIDAS-Verordnung festgelegte Anforderungen erfüllt. Es dient als verifizierter Identitätsnachweis des Unterzeichners.

Ein qualifiziertes Zertifikat muss folgende Informationen enthalten:

Die Identität des Unterzeichners muss vor der Ausstellung des Zertifikats verifiziert werden. Dies kann persönlich (face-to-face), über einen eID-Dienst oder über ein qualifiziertes Fern-Identifizierungsverfahren erfolgen. Die Anforderungen an die Identitätsprüfung sind bewusst hoch, um das Vertrauen in qualifizierte Signaturen zu gewährleisten.

4. Qualifizierte Signaturerstellungseinheit (QSCD)

Die qualifizierte Signaturerstellungseinheit (Qualified Signature Creation Device, QSCD) ist die Hardware oder Software, die die privaten Signaturschlüssel des Unterzeichners schützt und die Signatur erstellt. Die QSCD stellt sicher, dass die Signaturerstellungsdaten vertraulich bleiben, nur einmal vorkommen und nicht abgeleitet werden können.

Eine QSCD muss gemäß Anhang II der eIDAS-Verordnung folgende Anforderungen erfüllen:

• 1
  Vertraulichkeit der Schlüssel

  Die Signaturerstellungsdaten (privater Schlüssel) müssen mit hinreichender Sicherheit vertraulich bleiben. Sie dürfen nicht extrahierbar oder ableitbar sein.

• 2
  Einmaligkeit

  Die Signaturerstellungsdaten können praktisch nur einmal vorkommen. Eine Duplizierung ist technisch verhindert.

• 3
  Schutz vor Fälschung

  Die Signatur ist mit dem gegenwärtig verfügbaren Stand der Technik vor Fälschung geschützt.

• 4
  Schutz der Signatur durch den Unterzeichner

  Die Nutzung der Signaturerstellungsdaten kann vom rechtmäßigen Unterzeichner zuverlässig gegen unbefugte Nutzung geschützt werden.

In der Praxis kann eine QSCD eine Smartcard, ein USB-Token oder ein Hardware-Sicherheitsmodul (HSM) sein, das beim QTSP gehostet wird. Moderne Fernsignatur-Lösungen verwenden zentrale HSMs, sodass der Unterzeichner keine physische Hardware benötigt, sondern sich über eine Zwei-Faktor-Authentifizierung autorisiert.

5. QES-Erstellungsprozess

Die Erstellung einer qualifizierten elektronischen Signatur folgt einem definierten Prozess, der Sicherheit und Rechtskonformität gewährleistet:

Moderne QES-Lösungen machen diesen Prozess für den Endbenutzer nahezu so einfach wie eine einfache elektronische Signatur. Die Komplexität wird im Hintergrund vom QTSP und der Signaturplattform gehandhabt. Der Unterzeichner muss lediglich seine Identität einmalig verifizieren und anschließend jede Signatur per Zwei-Faktor-Authentifizierung bestätigen.

6. Anwendungsfälle & wann QES erforderlich ist

Eine QES ist nicht für jedes Dokument erforderlich. Für die meisten Geschäftsdokumente reicht eine SES oder AES aus. Die QES wird dann relevant, wenn das nationale Recht ausdrücklich ein Handschrift-Equivalent verlangt oder wenn höchste Beweissicherheit gewünscht ist.

Die Wahl der richtigen Ebene ist eine Abwägung zwischen Sicherheitsanforderungen, Benutzerfreundlichkeit und Kosten. Eine QES bietet das höchste Maß an rechtlicher Sicherheit, ist aber mit einem aufwendigeren Identifizierungsprozess verbunden. Für den Großteil der Geschäftsdokumente ist eine SES mit einem robusten Audit-Trail völlig ausreichend.

7. EU-Vertrauensliste

Die EU-Vertrauensliste (EU Trusted List) ist das zentrale Register aller qualifizierten Vertrauensdiensteanbieter in der Europäischen Union. Jeder Mitgliedstaat führt seine eigene nationale Vertrauensliste, die auf europäischer Ebene zusammengeführt wird.

Die Vertrauensliste dient mehreren Zwecken: Sie ermöglicht die Überprüfung, ob ein Vertrauensdiensteanbieter tatsächlich qualifiziert ist. Sie bildet die Grundlage für die Validierung qualifizierter Signaturen. Und sie stellt sicher, dass qualifizierte Signaturen grenzüberschreitend validiert werden können.

Für Unternehmen in Luxemburg ist die Vertrauensliste besonders relevant, da das Land ein Zentrum für grenzüberschreitende Geschäfte ist. Die Fähigkeit, qualifizierte Signaturen aus allen EU-Mitgliedstaaten zu validieren, ist eine grundlegende Voraussetzung für reibungslose internationale Transaktionen.