QSCD-Zertifikat eIDAS: Alles Wissenswerte für die Beantragung in Frankreich 2026

Der zunehmende Einsatz digitaler Verfahren zwingt Unternehmen und Behörden, präzise technische Konzepte zu beherrschen. Unter ihnen nimmt das QSCD-Zertifikat (Qualified Signature Creation Device) eine zentrale Stellung im eIDAS-Regelwerk ein. Ohne es kann keine qualifizierte elektronische Signatur — die einzige mit einer gesetzlichen Vermutung der Gleichwertigkeit zur handschriftlichen Signatur — ausgestellt werden. Dennoch ignoriert die große Mehrheit der französischen Organisationen immer noch, was ein QSCD ist, wie es sich von einem einfachen digitalen Zertifikat unterscheidet und welche Schritte zu seiner Beantragung führen. Dieser Artikel bietet Ihnen eine umfassende Antwort: technische Definition, behördliche Grundlagen, Liste der akkreditierten Akteure in Frankreich und Beantragungsprozess Schritt für Schritt.

Was ist ein QSCD-Zertifikat? Definition und behördlicher Umfang

Der Begriff QSCD ist das englische Akronym für Qualified Signature Creation Device, was auf Deutsch als qualifiziertes Gerät zur Signaturgenerierung übersetzt wird. Er bezeichnet ein Hardware- oder Softwaretool, das die für elektronische Signaturen verwendeten kryptographischen Schlüssel generiert und speichert, während es ein durch die eIDAS-Verordnung 910/2014 definiertes maximales Sicherheitsniveau gewährleistet.

Unterscheidung zwischen qualifiziertem Zertifikat und QSCD

Zwei häufig verwechselte Konzepte müssen unterschieden werden:

• Das qualifizierte Zertifikat (Qualified Certificate for Electronic Signature, QCert) ist ein digitales Zertifikat, das von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt wird. Es bestätigt die Identität des Unterzeichners und enthält seinen öffentlichen Schlüssel.
• Das QSCD ist der sichere Träger, auf dem der private Schlüssel zugehörig zum Zertifikat generiert und aufbewahrt wird. Es kann sich dabei um ein kryptographisches USB-Token, eine Chipkarte, ein HSM (Hardware Security Module) oder ein Remote-QSCD (remote QSCD) handeln, das bei dem Diensteanbieter gehostet wird.

Damit eine Signatur nach eIDAS qualifiziert ist, müssen beide Elemente vorhanden sein: ein qualifiziertes Zertifikat UND ein QSCD. Anlage II der Verordnung legt die Anforderungen fest, denen das Gerät genügen muss (Eindeutigkeit der Signaturdaten, Unmöglichkeit, den privaten Schlüssel abzuleiten, Schutz vor Verfälschung usw.).

Ebenen der elektronischen Signatur und Rolle des QSCD

Die eIDAS-Verordnung definiert drei Signaturebenen:

1. Einfache elektronische Signatur (SES): Keine besonderen technischen Anforderungen.
2. Fortgeschrittene elektronische Signatur (AdES): Mit dem Unterzeichner eindeutig verknüpft, auf der Grundlage von Daten unter seiner ausschließlichen Kontrolle erstellt, aber ohne QSCD-Erfordernis.
3. Qualifizierte elektronische Signatur (QES): Erfordert zwingend ein qualifiziertes Zertifikat, das auf einem QSCD gespeichert ist. Dies ist die einzige Ebene, die eine gesetzliche Vermutung der Gleichwertigkeit mit der handschriftlichen Signatur in allen Mitgliedstaaten genießt.

Um die Unterschiede zwischen diesen drei Ebenen zu vertiefen, bietet der Vergleich der Lösungen für elektronische Signaturen von Certyneo eine detaillierte Analyse.

Die qualifizierten Diensteanbieter (QTSP) in Frankreich: Wer kann ein QSCD ausstellen?

In Frankreich obliegt die Ausstellung qualifizierter Zertifikate und die Bereitstellung von QSCD ausschließlich qualifizierten Vertrauensdiensteanbietern (QTSP), die in die nationale Vertrauensliste (Trust Service List, TSL) eingetragen sind und von der ANSSI (Agence nationale de la sécurité des systèmes d'information — Nationale Agentur für Informationssystemsicherheit) veröffentlicht und gepflegt wird.

Die ANSSI als französische Aufsichtsbehörde

Die ANSSI erfüllt in Frankreich die in Artikel 17 von eIDAS vorgesehene Rolle der Aufsichtsbehörde (supervisory body). Sie prüft QTSP-Kandidaten nach strengen, an den Normen ETSI EN 319 401 (allgemeine Anforderungen für Vertrauensdiensteanbieter) und ETSI EN 319 411 (qualifizierte Zertifikate) ausgerichteten Kriterien. Ein Diensteanbieter kann sich nur dann als „qualifiziert" bezeichnen, wenn er in der im XML-Format signiert veröffentlichten französischen Vertrauensliste verzeichnet ist.

Unter den akkreditierten französischen QTSP figurieren unter anderem Akteure wie Certigna, CertEurope, Docaposte, Keynectis oder auch Thales (ehemals Gemalto). Jeder bietet Angebote für qualifizierte Zertifikate an, die auf Hardware-QSCDs (Chipkarten, USB-Tokens) oder Remote-QSCDs gespeichert sind, wobei letztere seit 2022 stark wachsen.

Remote-QSCD: Der neue Standard in Unternehmen

Das Remote-QSCD stellt eine bedeutende Weiterentwicklung dar: Der private Schlüssel des Unterzeichners wird nicht mehr auf einem physischen Träger gespeichert, der dem Benutzer ausgehändigt wird, sondern in einem zertifizierten HSM, das in der sicheren Infrastruktur des QTSP gehostet wird. Der Unterzeichner greift auf sein Gerät über eine starke Authentifizierung (OTP, Biometrie, Mobile App) zu. Dieser Ansatz, der durch die Norm ETSI EN 319 432 standardisiert und von der ANSSI validiert wird, ist nun in den meisten SaaS-Plattformen für qualifizierte Signaturen integriert, einschließlich Certyneo.

Der Rechtswert der elektronischen Signatur hängt nicht von der physischen oder Remote-Natur des QSCD ab, sofern die eIDAS-Konformität durch eine ANSSI-Qualifizierung bestätigt ist.

Wie erhält man ein QSCD-Zertifikat in Frankreich: Der Schritt-für-Schritt-Prozess

Die Beschaffung eines qualifizierten Zertifikats auf QSCD folgt einem standardisierten Verfahren, das anspruchsvoller ist als das für ein einfaches oder fortgeschrittenes Zertifikat. Hier sind die unverzichtbaren Schritte.

Schritt 1: Wahl des QTSP und des QSCD-Typs

Die erste Entscheidung betrifft den gewünschten QSCD-Typ:

• Physisches QSCD (Chipkarte oder USB-Token): Geeignet für gelegentliche Nutzung, freiberufliche Fachleute oder Geschäftsführer. Beinhaltet eine physische Übergabe des Trägers.
• Remote-QSCD: Ideal für Organisationen mit hohem Signaturvolumen oder 100 % digitalen Betrieb. Kein physischer Träger zur Verwaltung erforderlich.

Die Wahl des Diensteanbieters hängt auch von verfügbaren Integrationen (REST-API, Webhooks, HR-Konnektoren) und dem Support-Niveau ab. Es wird empfohlen, vor einer Entscheidung die offizielle Liste der QTSP auf dem ANSSI-Portal zu konsultieren.

Schritt 2: Der Identitätsprüfungsprozess (KYC)

Die eIDAS-Verordnung schreibt vor der Ausstellung eines qualifizierten Zertifikats eine strenge Identitätsprüfung vor. Zwei Modalitäten sind akzeptiert:

• Persönlich vor Ort (in-person): Der Antragsteller erscheint an einem Registrierungsort des QTSP oder bei einem beauftragten Verifizierungsagenten mit seinen offiziellen Ausweisdokumenten.
• Remote via Videokonferenz (remote identity proofing): Seit 2021 bieten einige QTSP eine Verifizierung durch Echtzeit-Videokonferenz mit einem Agenten an, die den Anforderungen von ETSI EN 319 461 unterliegt. Die automatisierte KI-gestützte Verifizierung (eKYC) ist für qualifizierte Zertifikate in Frankreich bis Mitte 2026 nicht zulässig; die ANSSI fordert weiterhin menschliche Intervention.

Die erforderlichen Dokumente umfassen in der Regel: ein gültiger Ausweis (CNI, Reisepass), einen Nachweis der Zugehörigkeit zur beruflichen Einheit (Kbis, RCS-Auszug) und manchmal ein Mandat für Unterzeichner, die im Namen einer juristischen Person handeln.

Schritt 3: Schlüsselgenerierung und QSCD-Übergabe

Nachdem die Identität überprüft wurde, führt der QTSP die Generierung des kryptographischen Schlüsselpaares in der sicheren Umgebung des QSCD durch. Bei einem physischen QSCD wird der Träger initialisiert und dann an den Inhaber ausgehändigt oder versandt, zusammen mit einem sicheren PIN-Code. Bei einem Remote-QSCD aktiviert der Inhaber sein Gerät über die mobile App des Diensteanbieters und konfiguriert seinen starken Authentifizierungsmechanismus.

Das qualifizierte Zertifikat wird dann dem öffentlichen Schlüssel zugeordnet und im Verzeichnis des QTSP veröffentlicht. Seine Gültigkeitsdauer beträgt in der Regel 1 bis 3 Jahre, je nach gewähltem Angebot. Eine Erneuerung sollte vor Ablauf eingeplant werden, um die kontinuierliche Signaturfähigkeit zu gewährleisten.

Kosten, Fristen und Erneuerung: Was Sie bedenken sollten

Indikativer Tarif im Jahr 2026

Die Preise für qualifizierte Zertifikate auf QSCD variieren je nach Diensteanbieter und Gerätetyp erheblich:

• Physisches QSCD (USB-Token oder Karte): zwischen 80 € und 250 € zzgl. MwSt. für die erste Ausstellung (einschließlich Hardwareträger), dann 50 € bis 150 € zzgl. MwSt. für jährliche Erneuerung.
• Remote-QSCD: oft in SaaS-Abonnements ab 15 € bis 40 € zzgl. MwSt. pro Benutzer und Monat integriert, oder als Pay-per-Use-Pakete für niedrige Volumen.

Diese Kosten müssen gegen den Zeitgewinn und die Verringerung rechtlicher Risiken abgewogen werden. Der ROI-Rechner von Certyneo ermöglicht eine genaue Schätzung der Amortisierung nach Volumen signierter Dokumente.

Beantragungsfristen

Die Zeitspanne zwischen Antrag und Verfügbarkeit des qualifizierten Zertifikats beträgt in der Regel 3 bis 10 Arbeitstage für physische Lösungen (einschließlich Postversand) und wenige Stunden bis 48 Stunden für Remote-QSCDs, vorbehaltlich vollständiger KYC-Unterlagen. Organisationen, die Aktivitätsspitzen antizipieren (Vertragsernuerungen am Jahresende, Ausschreibungen, Bilanzen), sollten entsprechend planen.

Widerruf und Lebenszyklus des Zertifikats

Ein qualifiziertes Zertifikat kann vor Ablauf seiner Gültigkeit widerrufen werden, falls der private Schlüssel kompromittiert ist, der Inhaber das Unternehmen verlässt oder sich zertifizierte Informationen ändern. Der Widerruf wird in der Certificate Revocation List (CRL) oder über das OCSP-Protokoll (Online Certificate Status Protocol) des QTSP veröffentlicht. Jede nach dem Widerruf angebrachte Signatur gilt als ungültig; vor dem Widerruf angebrachte Signaturen behalten ihre Gültigkeit, sofern sie mit einem Zeitstempel versehen sind. Der qualifizierte elektronische Zeitstempel spielt hier eine entscheidende Rolle, um die zeitliche Priorität einer Signatur nachzuweisen.

Geltender Rechtsrahmen für das QSCD-Zertifikat

Die Vorschriften, die Geräte zur qualifizierten Signaturgenerierung regeln, sind umfassend und verbinden mehrere europäische und nationale Texte.

eIDAS-Verordnung 910/2014 (EU) — Dieser Gründungstext bildet den Eckstein des Regelwerks. Artikel 3(12) definiert das Gerät zur qualifizierten Signaturgenerierung. Artikel 26 legt Anforderungen an die fortgeschrittene Signatur fest, während Artikel 29 und Anlage II die technischen Anforderungen für QSCDs im Detail regeln (Eindeutigkeit der Signaturdaten, Vertraulichkeit des privaten Schlüssels, Verfälschungssicherheit). Artikel 25(2) verleiht der qualifizierten Signatur eine Vermutung der Gleichwertigkeit mit der handschriftlichen Signatur. Die eIDAS-Verordnung 2.0 (Verordnung 2024/1183, seit 2024 schrittweise in Kraft getreten) verschärft diese Anforderungen und erweitert den Umfang auf europäische digitale Identitätsmappen (EUDIW).

Französischer Zivilgesetzbuch, Artikel 1366 und 1367 — Artikel 1366 legt fest, dass die elektronische Schrift die gleiche Beweiskraft wie die Schrift auf Papier hat, vorbehaltlich zuverlässiger Identifizierung des Urhebers und Integrität des Dokuments. Artikel 1367 präzisiert, dass die elektronische Signatur darin besteht, ein zuverlässiges Identifizierungsverfahren zu nutzen, das die Verbindung zwischen der Signatur und dem unterzeichneten Akt gewährleistet. Das Dekret Nr. 2017-1416 vom 28. September 2017 begründet die Vermutung der Zuverlässigkeit für Signaturen, die eIDAS-konform sind.

ETSI-Normen — Die Normen ETSI EN 319 132 (XAdES-Format für XML-Signatur), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) und ETSI EN 319 401/411 (Anforderungen für Vertrauensdiensteanbieter und qualifizierte Zertifikate) bilden den technischen Referenzrahmen, der den Diensteanbietern gegenüber verbindlich ist. Die Nichteinhaltung dieser Normen kann zur Aussetzung der QTSP-Qualifizierung durch die ANSSI führen.

DSGVO 2016/679 — Der Identitätsprüfungsprozess (KYC) beinhaltet die Verarbeitung biometrischer Daten und personenbezogener Daten. Der Verantwortliche für die Verarbeitung (QTSP und gegebenenfalls das Kundenunternehmen) muss die Grundsätze der Datenminimierung, der Zweckbindung respektieren und eine verhältnismäßige Aufbewahrungsdauer vorsehen. Eine DPIA (Datenschutz-Folgenabschätzung) wird für großflächige Ausrollungen empfohlen.

Verantwortung bei Nichtkonformität — Die Verwendung eines nicht qualifizierten Zertifikats zur Unterzeichnung von Akten, die eine qualifizierte Signatur erfordern (bestimmte öffentliche Aufträge, elektronische notarielle Urkunden, dematerialisierte Steuererklärungen), setzt die Organisation einem Einspruch gegen den Beweiskraftgewicht des Akts oder sogar dessen Nichtigkeit aus. Artikel 13 von eIDAS sieht ein Haftungsregime für QTSP bei Pflichtverletzung vor, entbindet aber Kundenunternehmen nicht von ihrer Sorgfaltspflicht bei Auswahl und Wartung ihres Dispositifs.

Anwendungsszenarien des QSCD-Zertifikats im Unternehmen

Szenario 1: Eine Anwaltskanzlei, die ihre Verfahrensakten digitalisiert

Eine Anwaltskanzlei mit etwa 15 Mitarbeitern bearbeitet jährlich mehrere hundert Verfahrensakten, Vollmachten und Honorarvereinbarungen. Vor der Einführung einer Remote-QSCD-Lösung erforderte jedes Dokument einen Ausdruck, eine handschriftliche Signatur und einen Postversand oder eine Digitalisierung. Die Kanzlei entschied sich für qualifizierte Remote-QSCD-Zertifikate, die in eine SaaS-Plattform integriert sind und es jedem Gesellschafter ermöglichen, von seinem Arbeitsplatz oder Mobilgerät aus auf qualifiziertem Niveau zu signieren. Festgestellte Ergebnisse: Verkürzung der durchschnittlichen Signaturzeit für gegenseitige Aufhebungsvereinbarungen um etwa 70 % (von 4 Tagen auf weniger als 24 Stunden), Entfall von Portokosten und automatische Archivierung signierter Akten im DMS der Kanzlei.

Szenario 2: Ein KMU aus der Industrie, das seine Lieferantenverträge verwaltet

Ein Industrieunternehmen, das etwa 300 Lieferantenverträge pro Jahr abwickelt, war mit wiederkehrenden Rechtsrisiken konfrontiert, die sich auf einfache oder eingescannte Signaturen bezogen, die leicht anfechtbar waren. Nach einem Audit zeigte sich, dass mehrere Verträge im Wert von über 100.000 € ohne zuverlässiges Identifizierungsverfahren unterzeichnet worden waren. Die Migration zu qualifizierten Signaturen auf Remote-QSCD für vertragsrechtlich bedeutsame Verträge (strategische Lieferanten, Vertraulichkeitsvereinbarungen, Rahmenaufträge) ermöglichte die Sicherung des Vertragsbestands. Die Genehmigungsfristen für Verträge sank um etwa 60 %, und ausländische Vertragspartner schätzen die durch eIDAS gebotene sofortige grenzüberschreitende Anerkennung.

Szenario 3: Ein Krankenhauskomplex, der qualifizierte Signaturen für öffentliche Aufträge ausrollt

Ein Krankenhauskomplex mit etwa 900 Betten musste die aus dem Dekret Nr. 2016-360 zu öffentlichen Aufträgen resultierende Verpflichtung erfüllen, Bindungsakten oberhalb bestimmter Schwellwerte elektronisch zu unterzeichnen. Die IT-Abteilung rollte USB-Tokens aus, die QSCD-zertifiziert waren, für Direktoren, die berechtigt waren, die Einrichtung zu binden. Die Schulung der Benutzer, die Integration in die Plattform für die Dematerialisierung von Aufträgen und das Verfahren für die jährliche Erneuerung wurden in einer internen Signaturrichtlinie (Signature Policy) dokumentiert. Der geschätzte operative Gewinn liegt bei etwa 3 bis 4 Tagen pro Auftragsverfahren, dank der Eliminierung beglaubigter Sendungen und physischer Paraphierschleife.

Häufig gestellte Fragen

Was unterscheidet ein QSCD von einem Standard-HSM?

Ein HSM (Hardware Security Module) ist ein generisches Hardware-Sicherheitsmodul, das zum Speichern und Verwalten kryptographischer Schlüssel verwendet wird. Ein QSCD ist ein HSM — oder jedes andere sichere Gerät —, das von einem akkreditierten Labor gemäß den Anforderungen der Anlage II der eIDAS-Verordnung bewertet und zertifiziert wurde und von einer nationalen Aufsichtsbehörde anerkannt wird. Die QSCD-Qualifizierung bestätigt, dass das Gerät strenge Kriterien für Schlüsseleindeutigkeit, Nicht-Exportierbarkeit und Widerstand gegen physische und logische Angriffe erfüllt.

Ist ein in Frankreich erhaltenes QSCD-Zertifikat in der gesamten Europäischen Union gültig?

Ja. Artikel 25(2) von eIDAS schreibt eine obligatorische gegenseitige Anerkennung qualifizierter Signaturen zwischen allen Mitgliedstaaten vor. Ein von einem französischen QTSP ausgestelltes qualifiziertes Zertifikat, das in die nationale Vertrauensliste eingetragen ist, hat in Deutschland, Spanien oder Italien die gleiche Rechtswirkung wie im Ursprungsland. Diese automatische Anerkennung ist einer der Hauptvorteile des Regelwerks für Unternehmen mit grenzüberschreitenden Geschäftsaktivitäten.

Wie lange ist ein QSCD-Zertifikat gültig und kann es remote erneuert werden?

Die Gültigkeitsdauer eines qualifizierten Zertifikats wird in der Regel auf 1, 2 oder 3 Jahre je nach QTSP-Angebot festgelegt. Die Erneuerung kann für Remote-QSCDs remote erfolgen, sofern die Identität des Inhabers bereits bei der Erstausstellung persönlich oder per Video überprüft wurde. Die meisten QTSP versenden Ablaufinformation 60 und 30 Tage vor Ablauf. Diese Benachrichtigungen zu ignorieren führt zu einer Unterbrechung der qualifizierten Signaturfähigkeit.

Ist das QSCD-Zertifikat für alle elektronisch unterzeichneten Akten erforderlich?

Nein. Der erforderliche Signaturniveau hängt von der Art des Akts und dem geltenden Rechtsrahmen ab. Die qualifizierte Signatur auf QSCD ist erforderlich für bestimmte spezifische Akten (elektronische notarielle Urkunden, bestimmte öffentliche Aufträge, dematerialisierte Steuererklärungen). Für die Mehrzahl üblicher Handelsverträge ist eine fortgeschrittene Signatur ausreichend. Es wird empfohlen, das Glossar der elektronischen Signatur oder einen Rechtsanwalt zu konsultieren, um den erforderlichen Niveau für jeden Akt zu bestimmen.

Wie überprüft man, ob eine Signatur wirklich auf einem gültigen QSCD-Zertifikat basiert?

Die Überprüfung erfolgt durch Konsultation der Metadaten des unterzeichneten Dokuments mit einem ETSI-konformen Validierungstool, wie dem DSS (Digital Signature Service) der Europäischen Kommission, das kostenlos verfügbar ist. Dieses Tool überprüft die Vertrauenskette des Zertifikats, seinen Status (nicht widerrufen), seine Konformität mit dem qualifizierten Profil und das Vorhandensein eines qualifizierten Zeitstempels. Einige SaaS-Plattformen wie Certyneo integrieren diesen Validierungsbericht direkt in die Dokumentenverwaltungsoberfläche.

Fazit

Das QSCD-Zertifikat ist viel mehr als eine technische Formalität: Es ist die rechtliche und kryptographische Grundlage der qualifizierten elektronischen Signatur, die einzige Ebene mit gesetzlicher Vermutung der Gleichwertigkeit zur handschriftlichen Signatur in der gesamten Europäischen Union. In Frankreich erfolgt seine Beschaffung über einen von der ANSSI akkreditierten QTSP, ein streng reguliertes Identitätsprüfungsverfahren und eine durchdachte Wahl zwischen physischem QSCD und Remote-QSCD — wobei letzteres zur Norm für Organisationen wird, die Agilität und Skalierbarkeit anstreben.

Certyneo integriert nativ zertifizierte Remote-QSCDs in seine SaaS-Plattform, damit Ihre Teams auf qualifiziertem Niveau unterzeichnen können, ohne physische Träger zu verwalten. Ob Sie bei Null anfangen oder von einer anderen Lösung migrieren, unsere Experten begleiten Sie bei jedem Schritt. Entdecken Sie die Preise von Certyneo oder kontaktieren Sie unser Team für ein Audit Ihrer Anforderungen an qualifizierte Signaturen.