Elektronische Signatur Cloud oder On-Premise: Welche Wahl im Jahr 2026?

Einleitung

Die Wahl zwischen einer elektronischen Signatur in der Cloud und einem On-Premise-Hosting ist eine der strukturierendsten strategischen Entscheidungen für einen CIO oder eine Rechtsabteilung im Jahr 2026. Während SaaS kleine und mittlere Unternehmen durch seine Einfachheit der Bereitstellung überzeugt hat, stellen sich große Unternehmen und Organisationen mit branchenspezifischen Vorschriften immer noch Fragen zur Relevanz eines internen Hostings. Dieser ausführliche Vergleich analysiert beide Modelle anhand von fünf Schlüsselbereichen: Datensouveränität, technische Sicherheit, eIDAS-Compliance, Gesamtkostenbetrachung und betriebliche Agilität. Am Ende dieses Artikels haben Sie einen operativen Entscheidungsrahmen, um die für Ihren Kontext geeignete Architektur auszuwählen.

Die beiden Hosting-Modelle verstehen

Elektronische Signatur in der Cloud (SaaS)

In einem Cloud-Modell betreibt der Anbieter die gesamte Infrastruktur: Server, Updates, Verfügbarkeit, Datensicherung und Datensicherheit. Das Kundenunternehmen greift über eine API oder eine Weboberfläche auf die Lösung zu, ohne lokale Installation. Die Akteure des europäischen Marktes – darunter Certyneo – stützen sich in der Regel auf ISO-27001-zertifizierte Rechenzentren in der Europäischen Union (Frankreich, Deutschland, Niederlande), die GDPR-Compliance ohne zusätzliche Anstrengungen seitens des Kunden garantieren.

Die Vorteile sind wohlbekannt: Bereitstellung in wenigen Stunden, sofortige Skalierbarkeit, automatische Updates mit regulatorischen Entwicklungen (eIDAS 2.0, DSP3, NIS2), und ein nutzungsbasiertes Kostenmodell (OPEX). Laut dem Bericht Markess by Exaegis 2025 bevorzugen 78 % der französischen Unternehmen mit weniger als 500 Mitarbeitern nun SaaS für ihre Digitalisierungswerkzeuge.

On-Premise-Bereitstellung

On-Premise bedeutet die Installation der elektronischen Signaturplattform direkt auf den Servern des Unternehmens oder in einem privaten Rechenzentrum, das es kontrolliert. Dieses Modell bietet vollständige Kontrolle über Daten, Workflows und Sicherheitsrichtlinien. Es wird historisch von Banken, Versicherern, Krankenhäusern oder Behörden übernommen, die sensible Daten gemäß spezifischen Referenzen (HDS, SecNumCloud, PGSSI-S) verarbeiten.

Die Gegenleistung ist eine erhebliche operative Last: Das IT-Team muss Updates, Zertifikate für qualifizierte Signaturen, HSM (Hardware Security Modules), Hochverfügbarkeit und regulatorische Überwachung verwalten. Die Anfangskosten (CAPEX) sind hoch, mit Lizenzen, die 80.000 € für eine Unternehmensinstallation übersteigen können, zuzüglich jährlicher Infrastrukturkosten.

Datensouveränität und regulatorische Compliance

GDPR und Datenlokalisierung

Das Regelwerk eIDAS und seine Auswirkungen auf Ihre qualifizierten Signaturen schreiben vor, dass Vertrauensdienstanbieter (PSCo) geprüft und in den Vertrauenslisten der Mitgliedstaaten aufgeführt sein müssen. Ob Sie sich für Cloud oder On-Premise entscheiden, Ihre Lösung muss zwingend auf einem qualifizierten PSCo basieren. Die eigentliche GDPR-Frage betrifft Übertragungen außerhalb der EU: Eine Cloud, die bei einem amerikanischen Hyperscaler gehostet wird (AWS, Azure, GCP) ohne gültige Standardvertragsklauseln (SCC), setzt das Unternehmen Bußgeldern von bis zu 4 % des weltweiten Umsatzes aus.

Europäische Cloud-Lösungen wie Certyneo erfüllen diese Anforderung nativ, mit Servern ausschließlich in Frankreich und einer DPA (Datenverarbeitungsvereinbarung) gemäß Artikel 28 der GDPR ab Vertragsabschluss.

SecNumCloud und regulierte Sektoren

Für Betreiber kritischer Infrastrukturen (OIV) und Organisationen, die der Cloud-Strategie der französischen Behörde DINUM unterliegen, wird die SecNumCloud-Zertifizierung der ANSSI schrittweise obligatorisch. Im Jahr 2026 haben nur wenige französische Cloud-Akteure diese Zertifizierung erhalten (OVHcloud, Outscale). Betroffene Organisationen müssen daher entweder eine mit SecNumCloud qualifizierte Cloud wählen oder ein On-Premise-System, das dem ANSSI-Referenzwerk RGS v2 entspricht, pflegen.

Zu beachten ist, dass NIS2, durch das französische Gesetz vom 26. Januar 2025 in Kraft gesetzt, die Cybersicherheitsverpflichtungen auf mehr als 15.000 wesentliche und wichtige Einrichtungen ausweitet und neuen Druck auf die Architekturwahl ausübt.

Gesamtkostenbetrachung: Vergleichende Analyse

Die TCO-Analyse (Total Cost of Ownership) über 5 Jahre zeigt systematisch einen Cloud-Vorteil für Volumen unter 50.000 Signaturen pro Jahr. Darüber hinaus kann On-Premise wettbewerbsfähig werden, wenn die Infrastruktur bereits vorhanden ist. Der ROI-Kalkulator von Certyneo ermöglicht genaue Schätzungen dieser Schwelle basierend auf Ihrem Volumen und Sektor.

Eine typische On-Premise-Bereitstellung für ein Unternehmen mit 1.000 Mitarbeitern umfasst:

• Anfangslizenz: 60.000 bis 120.000 €
• Infrastruktur HSM und dedizierte Server: 30.000 bis 50.000 €
• Jährliche Wartung (20 % der Lizenz): 12.000 bis 24.000 €/Jahr
• Interne IT-Ressourcen: 0,5 bis 1 VZÄ dediziert

Demgegenüber kostet ein Cloud-SaaS mit gleicher Kapazität typischerweise 18.000 bis 40.000 €/Jahr all-in, mit null CAPEX.

Technische Sicherheit: Vorteile und Grenzen jedes Modells

Sicherheit in der Cloud-Umgebung

Entgegen eines hartnäckigen Vorurteils bietet die Cloud eines spezialisierten Anbieters oft ein höheres Sicherheitsniveau als typische interne On-Premise-Infrastrukturen. Die Gründe sind strukturell: Anbieter investieren massiv in dedizierte Teams (24/7 SOC, vierteljährliche Penetrationstests, ISO-27001- und SOC-2-Type-II-Zertifizierungen), was außerhalb der Reichweite der meisten internen IT-Abteilungen liegt.

Best Practices umfassen AES-256-Verschlüsselung im Ruhezustand und TLS 1.3 im Transit, obligatorische Multi-Faktor-Authentifizierung, unveränderbare Protokollierung von Signaturereignissen und georedundante Sicherungen. Der Rechtswert der elektronischen Signatur beruht genau auf dieser unveränderlichen Rückverfolgbarkeit.

Risiken des On-Premise-Modells

On-Premise generiert oft unterschätzte spezifische Risiken:

• Versionsdrift: Ohne dediziertes Team verzögern sich Kryptographie-Updates (Zertifikatswiderruf, Wechsel zu SHA-3), was das Unternehmen Signaturen aussetzen kann, die technisch ungültig sind.
• HSM-Verwaltung: Ein schlecht konfiguriertes Hardware Security Module oder dessen nicht aktualisierter Firmware hebt Nichtabstreitbarkeitsgarantien auf.
• Geschäftskontinuitätsplanung: Die Verfügbarkeit (SLA) eines internen On-Premise übersteigt selten 99,5 %, gegenüber 99,95 % für eine strukturierte Cloud-SaaS.

Für Organisationen, die Souveränität und operative Delegation kombinieren möchten, stellt das Private-Cloud-Modell (dedizierte Private Cloud in einem zertifizierten Rechenzentrum mit HDS oder SecNumCloud) einen relevanten Mittelweg dar.

Integration, Agilität und Skalierbarkeit

APIs und Interoperabilität

Beide Modelle stellen nun dokumentierte REST-APIs zur Verfügung. Die Update-Geschwindigkeit ist jedoch strukturell unterschiedlich: Ein Cloud-Anbieter stellt neue Funktionen bereit (biometrische Signatur, KI-Betrugserkennung von Dokumenten, eIDAS-2.0-Wallet-Unterstützung) in wenigen Wochen, während On-Premise einen internen Qualifizierungszyklus von 3 bis 6 Monaten pro Hauptversion erfordert.

Zum Integrieren elektronischer Signaturen in ein ERP (SAP, Oracle), ein HRIS oder ein DMS (OpenText, Alfresco), bietet die Cloud vorgefertigte, vom Anbieter gepflegte Konnektoren. Der vollständige Vergleich der Elektronische-Signatur-Lösungen detailliert die Integrationsfähigkeiten der Hauptakteure des Marktes.

Skalierbarkeit und Volumen

In der Cloud ist Skalierbarkeit quasi sofortig: Eine Kampagne mit 10.000 gleichzeitigen Signaturen (Aktionärsvollversammlungen, Massen-HR-Rollout) wird ohne vorherige Konfiguration absorbiert. On-Premise erfordert Überdimensionierung der Infrastruktur zur Vorausnahme von Spitzen, was Immobilisierungskosten generiert.

Schnell wachsende Organisationen oder solche mit saisonalen Zyklen (Immobilien, Versicherungen) profitieren besonders von der Cloud-Elastizität. Die elektronische Signatur in der Immobilie beispielsweise weist marktabhängige Volumenspitzen auf, die eine permanent überdimensionierte On-Premise unwirtschaftlich machen würden.

Entscheidungskriterien: Welches Modell für welches Profil?

Unternehmen und KMU ohne spezifische branchenspezifische Verpflichtungen

Für ein KMU mit 10 bis 500 Mitarbeitern ohne besondere branchenspezifische Auflagen ist Cloud-SaaS unmissverständlich: schnelle Bereitstellung, kontrollierte Kosten, eIDAS- und GDPR-Compliance vom Anbieter garantiert. Die Integration in bestehende HR-Tools wird durch native Konnektoren erleichtert – wie die Nutzung der elektronischen Signatur für HR-Teams zeigt, die Gehaltsabrechnungen, Verträge und einvernehmliche Beendigungen ohne dedizierte Infrastruktur abdeckt.

Große Unternehmen und regulierte Sektoren

Unternehmen, die Gesundheitsdaten (HDS obligatorisch), kritische Finanzdaten oder klassifizierte Informationen verarbeiten, müssen On-Premise oder qualifizierte Private Cloud ernsthaft evaluieren. Die Frage ist nicht technisch sondern regulatorisch: Lässt der anwendbare Referenzrahmen Cloud-Angebot zu oder nicht?

Eine Hybrid-Architektur – Cloud für Routinesignaturen, On-Premise für die sensibilsten qualifizierten Urkunden – wird seit 2024 von mehreren großen französischen Gruppen übernommen. Dieses Modell erfordert strikte Orchestrierung und robuste API-Schnittstellen.

Öffentliche Organisationen und Behörden

Seit der DINUM-Zirkulare 2023-1 werden Bundesverwaltungen ermutigt, mit SecNumCloud qualifizierte Cloud-Lösungen zu bevorzugen. On-Premise bleibt für sensible IT-Systeme (SIS) autorisiert, muss aber RGS v2 und PGSSI-S für Gesundheitsdaten respektieren. Die elektronische Signatur für Anwaltskanzleien zeigt, wie Einrichtungen mit hohen Nachweisanforderungen ihr Gleichgewicht zwischen diesen beiden Modellen finden.

Anwendbarer Rechtsrahmen für das Hosting Ihrer elektronischen Signaturl

Die Wahl zwischen Cloud und On-Premise ist auf rechtlicher Ebene nicht neutral. Mehrere normative Regelwerke regeln direkt die technische Architektur Ihrer Signaturlösungen.

Bürgerliches Gesetzbuch, Artikel 1366 und 1367 (analog in österreichischem Recht): Diese Bestimmungen definieren die elektronische Signatur als ein zuverlässiges Identifizierungsverfahren, das ihre Verbindung mit dem Dokument garantiert, dem sie beigefügt ist. Die Zuverlässigkeit des Verfahrens wird vermutet, sofern eine qualifizierte elektronische Signatur verwendet wird. Diese Vermutung gilt unabhängig vom Hosting-Modus, vorausgesetzt der Vertrauensdienstanbieter (PSCo) ist qualifiziert.

Verordnung eIDAS Nr. 910/2014 und eIDAS 2.0 (Verordnung EU 2024/1183): Die eIDAS-Verordnung unterscheidet drei Signatur-Level (einfach, fortgeschritten, qualifiziert). Die qualifizierte Signatur erfordert obligatorisch die Beteiligung eines PSCo, der in der Vertrauensliste des Mitgliedstaats eingetragen ist (für Frankreich: ANSSI-Vertrauensliste). Ob Ihre Lösung Cloud oder On-Premise ist, muss sich damit mit einem qualifizierten PSCo schnittstellen, um qualifizierte Signaturen auszugeben. eIDAS 2.0, anwendbar seit Mai 2024, führt das europäische digitale Identitätswallet (EUDIW) ein und verstärkt Anforderungen zur Verwaltung qualifizierter Zertifikate.

Verordnung GDPR Nr. 2016/679: Artikel 28 schreibt den Abschluss einer Datenverarbeitungsvereinbarung (DPA) mit jedem Cloud-Dienstleister vor, der Personendaten in Ihrem Auftrag verarbeitet. Artikel 44 untersagt Datenübertragungen außerhalb der EU ohne angemessene Garantien (Standardvertragsklauseln oder verbindliche interne Regeln). Bei internem On-Premise fällt diese Verpflichtung weg, aber das Unternehmen wird zum Verantwortlichen und muss seine technischen und organisatorischen Maßnahmen (TOM) gemäß Artikel 32 dokumentieren.

Richtlinie NIS2 (Richtlinie EU 2022/2555), durch französisches Gesetz vom 26. Januar 2025 umgesetzt: Wesentliche und wichtige Einrichtungen (Sektoren Energie, Gesundheit, Finanzen, Wasser, Digitales, Verkehr, Verwaltung) müssen angemessene Cybersicherheitsmaßnahmen umsetzen, einschließlich Risikomanagement für digitale Lieferketten. Ein Cloud-Dienstleister für elektronische Signaturen stellt einen kritischen Lieferanten im Sinne von NIS2 dar: Due-Diligence-Pflicht, spezifische Vertragsklauseln und Audit-Rechte.

ETSI-Normen EN 319 132 und EN 319 122: Diese Normen definieren Formate für fortgeschrittene elektronische Signaturen (XAdES, PAdES, CAdES), akzeptiert in europäischen öffentlichen Ausschreibungen und B2B-Austausch. Die Konformität mit diesen Formaten muss unabhängig von der Architektur überprüft werden.

Allgemeines Sicherheitsreferenzwerk (RGS v2) und HDS: Für Behörden und Anbieter von Gesundheitsdaten gelten das RGS v2 der ANSSI bzw. die HDS-Zertifizierung (Gesundheitsdaten-Anbieter, Erlass vom 11. Juni 2018) jeweils. Eine nicht HDS-zertifizierte Cloud ist rechtlich disqualifiziert für das Hosting von Personengesundheitsdaten, auch nur vorübergehend bei Signierung einer Patientenerklärung.

Zu antizipierende Rechtsrisiken: Eine von einem nicht konformen System ausgegebene Signatur kann vor Gericht anfechtbar sein, besonders wenn die Dokumentenintegrität oder Unterzeichner-Identität nicht schlüssig nachgewiesen werden kann. Die Beweislast liegt bei dem, der sich auf die Signatur beruft. Ein Compliance-Audit vor Cloud- oder On-Premise-Deployment wird dringend empfohlen.

Anwendungsszenarien: Cloud oder On-Premise je nach Geschäftskontext

Szenario 1 – Ein mittelständischer Industriekonzern mit 15.000 Verträgen jährlich

Ein mittleres Industrieunternehmen (ca. 1.200 Mitarbeiter, 3 Produktionsstandorte in Frankreich) muss alle Lieferanten-, Kunden- und Subunternehmerverträge digitalisieren. Es verarbeitet durchschnittlich 15.000 Signaturen pro Jahr, mit Spitzen im Januar (Rahmenvertragsneuerung) und September (Einkaufskampagnen). Seine Industriedaten sind sensibel, aber nicht klassifiziert.

Nach TCO-Analyse über 5 Jahre stellt die Finanzleitung fest, dass ein europäisches Cloud-SaaS-System mit ISO-27001-Zertifizierung 40 % günstiger ist als ein gleichwertiges On-Premise-Deployment (Skalierungseffekte des Anbieters vs. 0,7 VZÄ dedizierte interne IT). Die IT wählt eine Cloud-Lösung in Frankreich gehostet mit SLA 99,95 % und dokumentierter REST-API, direkt in ihr ERP integriert. Saisonale Spitzen werden ohne Mehrkosten absorbiert. Nach 12 Monaten verifiziertes Ergebnis: 65 % Reduktion der durchschnittlichen Lieferantenkontraktzeichnungszeit (von 8,3 auf 2,9 Tage), und geschätztes Jahreseinsparungspotenzial von 120.000 € auf Papierbearbeitung und Rückholkosten.

Szenario 2 – Ein Krankenhausnetzwerk mit 1.200 Betten mit HDS-Zertifizierung

Ein öffentliches Krankenhausnetzwerk möchte seine Patienteneinwilligungen, Verträge mit freiberuflichen Medizinern und öffentliche Vergaben digitalisieren. Die verarbeiteten Daten enthalten persönliche Gesundheitsinformationen, unterliegen HDS-Zertifizierung (Gesundheitsdaten-Anbieter) und PGSSI-S.

Pure On-Premise fällt aus Komplexitätsgründen mit HSM-Wartung und fehlenden kryptographischen Inhouse-Kompetenzen aus. Das Netzwerk wählt eine Private Cloud, gehostet bei einem HDS-zertifizierten und SecNumCloud-qualifizierten Anbieter. Die Signaturlösung wird in dieser dedizierten Cloud mit strikter Netzwerktrennung und Audit-Logs zum internen SIEM deployed. Die Kosten überschreiten einen Standard-Cloud-Angebot um 25 %, sind aber um 35 % unter komplettem On-Premise. Operativer Nutzen: 800 monatliche Einwilligungen verarbeitet in unter 24 Stunden gegen 5 Tage in Papierform, mit vollständiger HAS-konformer Nachverfolgbarkeit.

Szenario 3 – Eine 25-Personen-Anwaltskanzlei mit Integration in tägliche Arbeitsprozesse

Eine Pariser Großkanzlei bearbeitet täglich Abtretungsurkunden, Einigungsprotokolle und Vollmachten, die fortgeschrittene oder qualifizierte elektronische Signaturen erfordern. Mandantendatenvertraulichkeit ist oberste Priorität, die Kanzlei betreibt aber keine IT-Infrastruktur.

On-Premise fällt aus Ressourcengründen weg. Die Kanzlei wählt ein europäisches Cloud-SaaS mit End-to-End-Verschlüsselung, kundeneigene Schlüsselverwaltung (BYOK – Bring Your Own Key) und vertraglich garantiertem Nichtdatenzugriff durch den Anbieter. Diese sog. Zero-Knowledge-Architektur erfüllt sowohl berufsdeontologische Anforderungen der Rechtsanwaltskammer als auch GDPR-Verpflichtungen. Integration mit Dossier-Management-Software (via API) reduziert Aktualisierungszeit einer signurfähigen Urkunde von 45 auf 8 Minuten durchschnittlich, was einem Produktivitätsgewinn von 82 % auf dieser Aufgabe entspricht.

Fazit

Cloud oder On-Premise: Es gibt keine universelle Antwort, aber einen strukturierten Entscheidungsrahmen. Für die überwiegende Mehrheit französischer Unternehmen – KMU, mittlere Unternehmen ohne kritische Branchenverpflichtung – bietet europäisches eIDAS- und GDPR-konformes Cloud-SaaS das beste Verhältnis zwischen Sicherheit, Compliance und Gesamtkostenbetrachung. On-Premise oder qualifizierte Private Cloud bleiben relevant für regulierte Sektoren (Gesundheit, Verteidigung, OIV), wo restriktive Referenzwerke (HDS, SecNumCloud, RGS v2) vollständige Infrastrukturkontrolle vorschreiben.

Im Jahr 2026 ist die eigentliche Frage nicht mehr „Cloud oder On-Premise" sondern „Welche Souveränitätsstufe für welche Daten, mit welchem qualifizierten PSCo?" Certyneo antwortet auf diese Anforderungen mit einer Cloud-Architektur, gehostet ausschließlich in Frankreich, ISO-27001-zertifiziert, eIDAS-2.0- und GDPR-konform. Entdecken Sie unsere Angebote und Tarife auf Certyneo oder kontaktieren Sie unser Team für ein kostenloses Audit Ihres Anforderung zur elektronischen Signatur.