TSP-Dienstleister eIDAS: Die Rolle von Vertrauensdiensten verstehen

Einleitung

Seit dem Inkrafttreten der eIDAS-Verordnung Nr. 910/2014 bilden Vertrauensdienste-Anbieter (TSP, Trust Service Providers) das Rückgrat des digitalen Vertrauens in Europa. Diese Akteure unterliegen einer strengen Regulierung und stellen Zertifikate, Zeitstempel und qualifizierte Signaturen bereit, die elektronischen Austauschvorgängen ihre Rechtskraft verleihen. Mit der Verabschiedung der eIDAS-Verordnung 2.0 (Verordnung (EU) 2024/1183) haben sich deren Verpflichtungen weiter entwickelt. Dieser Artikel erklärt Ihnen, was ein TSP ist, wie er akkreditiert wird, welche Dienste er anbieten kann, und warum die Wahl eines qualifizierten Anbieters für Ihr Unternehmen von entscheidender Bedeutung ist.

---

Was ist ein Vertrauensdienste-Anbieter (TSP)?

Definition und regulatorischer Umfang

Nach Artikel 3 der eIDAS-Verordnung ist ein Vertrauensdienste-Anbieter eine natürliche oder juristische Person, die einen oder mehrere Vertrauensdienste entweder in qualifizierter oder nicht qualifizierter Form erbringt. Die Verordnung unterscheidet diese beiden Kategorien klar: Nur qualifizierte Anbieter profitieren von der Vermutung der Konformität und der verstärkten Rechtswirksamkeit, die mit ihren Diensten verbunden ist.

Die durch eIDAS abgedeckten Vertrauensdienste umfassen:

• Erzeugung, Überprüfung und Validierung von elektronischen Signaturen (einfach, fortgeschritten oder qualifiziert)
• Erzeugung, Überprüfung und Validierung von elektronischen Siegeln (für juristische Personen)
• Erzeugung, Überprüfung und Validierung von qualifizierten elektronischen Zeitstempeln
• Dienste des qualifizierten elektronischen Einschreiben
• Ausstellung und Verwaltung von Zertifikaten für die Authentifizierung von Websites (QWAC)
• Langzeitarchivierung von qualifizierten Signaturen und Siegeln

Seit eIDAS 2.0 hat sich die Liste auf europäische digitale Identitätsspeicher (EUDIW) und qualifizierte elektronische Attributsbestätigungen erweitert, was den Interventionsbereich der TSP weiter vergrößert.

Die Unterscheidung: qualifizierter TSP vs. nicht qualifizierter TSP

Nicht alle Vertrauensdienste-Anbieter haben die gleiche rechtliche Geltung. Ein nicht qualifizierter TSP kann frei tätig sein, aber seine Dienste unterliegen keiner gesetzlichen Vermutung der Konformität. Ein qualifizierter TSP (QTSP, Qualified Trust Service Provider) ist in die nationale Vertrauensliste der Liste seines Staates (Trusted List) eingetragen, die gemäß Artikel 22 eIDAS und Durchführungsbeschluss 2015/1505 veröffentlicht und gepflegt wird.

In Frankreich ist die ANSSI (Agence nationale de la sécurité des systèmes d'information) die Aufsichtsbehörde (Artikel 17 eIDAS). Die französische Vertrauensliste ist über das zentralisierte europäische Portal zugänglich. Weitere Informationen zur Hierarchie der Signaturebenen und ihrer Anerkennung finden Sie in unserem umfassenden Leitfaden zur eIDAS-Verordnung 2.0.

---

Der Qualifizierungsprozess eines TSP

Die Konformitätsbewertung durch eine Konformitätsbewertungsstelle

Um den qualifizierten Status zu erlangen, muss sich ein Anbieter einer Prüfung durch eine Konformitätsbewertungsstelle (OEC) unterziehen, die von COFRAC in Frankreich akkreditiert ist (oder dem nationalen Äquivalent in jedem Mitgliedstaat). Diese Prüfung überprüft die Konformität mit den Anforderungen von Anlage II der eIDAS-Verordnung (für qualifizierte Zertifikate) und den anwendbaren ETSI-Normen.

Die wichtigsten technischen Referenznormen sind:

• ETSI EN 319 401: Allgemeine Anforderungen für TSP
• ETSI EN 319 411-1 und -2: Zertifizierungspolitik und -praktiken für qualifizierte Zertifikate
• ETSI EN 319 421: Zertifikatspolitik und -praktiken für Zeitstempel-TSP
• ETSI EN 319 132: XAdES-Profil für fortgeschrittene und qualifizierte Signaturen
• ETSI EN 319 122: CAdES-Profil

Die Prüfung führt zu einem Bewertungsbericht, der an die nationale Aufsichtsbehörde übermittelt wird, die die Qualifizierung gewähren, ablehnen oder widerrufen kann. Die Gültigkeitsdauer eines Qualifizierungszertifikats beträgt in der Regel 24 Monate und ist erneuerbar.

Die europäische Vertrauensliste: das zentrale Verzeichnis

Die europäische Vertrauensliste (EU Trusted List, oder TL) ist der Mechanismus, über den eIDAS die grenzüberschreitende Interoperabilität gewährleistet. Jeder Mitgliedstaat veröffentlicht seine nationale Liste, und die Europäische Kommission fasst alle in der Liste der Vertrauenslisten (LOTL) zusammen. Diese pyramidale Architektur ermöglicht es jedem Verifizierungssystem, bis zur europäischen Vertrauenswurzel aufzusteigen.

Am 1. Januar 2026 verzeichnet die LOTL über 200 qualifizierte TSP in allen Mitgliedstaaten, die kollektiv jährlich Millionen qualifizierter Zertifikate ausstellen. Für einen Käufer einer SaaS-Lösung ist die Überprüfung der Präsenz eines Anbieters auf dieser Liste die erste Due-Diligence-Maßnahme.

Verpflichtungen zur kontinuierlichen Überwachung

Die Qualifizierung ist nicht dauerhaft erworben. Qualifizierte TSP unterliegen:

• Periodischen Prüfungen (mindestens alle 24 Monate)
• Der unverzüglichen Meldung aller Sicherheitsvorfälle, die die Dienste beeinträchtigen (Artikel 19 eIDAS)
• Einer aktuellen Zertifizierungspolitik (CP) und Zertifizierungspraxis-Erklärung (CPS), die öffentlich einsehbar sind
• Der Aufrechterhaltung eines Geschäftskontinuitätsplans und eines Abwicklungsplans, die die Erhaltung von Daten im Falle eines Stillstands sicherstellen

---

Die qualifizierten Dienste und ihre rechtliche Tragweite

Die qualifizierte elektronische Signatur (SEQ)

Die qualifizierte elektronische Signatur ist die höchste Stufe, die in eIDAS vorgesehen ist. Sie basiert auf einem qualifizierten Zertifikat, das von einem QTSP ausgestellt wird, und wird mit einem Gerät zur Erzeugung qualifizierter elektronischer Signaturen (QSCD) erstellt, z. B. einer Common-Criteria-EAL4+-zertifizierten Smartcard oder einem Hardware-Sicherheitsmodul (HSM), das dem Schutzprofil EN 419 221-5 entspricht.

Artikel 25 Abs. 2 eIDAS formuliert den Grundsatz der Gleichwertigkeit mit handschriftlicher Signatur: Eine in einem Mitgliedstaat erstellte qualifizierte elektronische Signatur wird in allen Mitgliedstaaten ohne weitere Formalitäten anerkannt. Dies ist die einzige Stufe, für die diese gesetzliche Vermutung automatisch gilt. Für eine vertiefte Behandlung der Rechtswirksamkeit elektronischer Signaturen in verschiedenen Vertragsszenarien haben wir einen eigenen Leitfaden erarbeitet.

Der qualifizierte elektronische Zeitstempel

Der qualifizierte elektronische Zeitstempel (QTS, Qualified Time Stamp) bescheinigt fälschungssicher, dass ein Dokument oder Datensatz zu einem bestimmten Zeitpunkt existierte. Nach Artikel 41 eIDAS genießt er eine Vermutung der Richtigkeit von Datum und Uhrzeit sowie der Integrität der Daten.

Typische Anwendungen umfassen: Patentanmeldungsnachweis, revisionssichere Archivierung, Protokollierung vertraglicher Ereignisse. Der qualifizierte elektronische Zeitstempel spielt auch eine zentrale Rolle bei der Langzeitarchivierung von Signaturen.

Der qualifizierte Service für elektronisches beglaubigtes Versenden

Der REMS qualifiziert (Qualified Electronic Registered Mail Service) ist das digitale Äquivalent des Einschreiben-Briefes mit Rückschein. Er garantiert die Identifizierung der Parteien, die Integrität der übertragenen Daten, die Zeitstempelung von Versand und Empfang. Artikel 44 eIDAS gewährt ihm eine Vermutung der Datenintegrität sowie der Richtigkeit von Versand- und Empfangsdatum. Dieser Dienst ist besonders nützlich für Verwarnungen, Kündigungen von Verträgen oder behördliche Benachrichtigungen.

---

Auswahl eines TSP-Dienstleisters: Bestimmende Kriterien

Qualifizierung, Interoperabilität und geografische Abdeckung

Das erste Kriterium ist natürlich die Präsenz auf der Vertrauensliste des oder der Mitgliedstaaten, in denen Sie tätig sind. Aber über die formale Qualifizierung hinaus spielen mehrere praktische Dimensionen eine Rolle:

• Interoperabilität: Unterstützt der TSP die ETSI-Standardformate (XAdES, PAdES, CAdES, JAdES)? Werden die produzierten Signaturen von Drittanbieter-Tools wie dem europäischen DSS-Validator verifizierbar sein?
• Dienstverfügbarkeit: Welche SLA werden garantiert? Sind die QSCD-Infrastrukturen geografisch redundant?
• Geografische Abdeckung: Wenn Sie in mehreren europäischen Ländern tätig sind, bietet der TSP in diesen Ländern anerkannte qualifizierte Zertifikate an?
• APIs und Integration: Sind die REST/SOAP-APIs gut dokumentiert? Gibt es ein SDK oder eine native Integration mit Ihrem Anwendungs-Stack?

Tariftransparenz und Geschäftsmodell

Qualifizierte TSP berechnen in der Regel pro ausgestelltem Zertifikat, pro Transaktionsvolumen oder über jährliche Abonnements. Die Tarife variieren erheblich: Ein einzelnes qualifiziertes Zertifikat kostet zwischen 50 und 200 € netto pro Jahr, während Server-Lösungen für Massensignaturen mehrere Tausend Euro pro Jahr kosten können. Vergleichen Sie die Marktangebote mit unserem Vergleich von elektronischen Signaturen-Lösungen.

Support, DSGVO-Konformität und Datenspeicherung

Ein TSP, der personenbezogene Daten verarbeitet (was bei der Ausstellung qualifizierter Zertifikate systematisch der Fall ist), unterliegt der DSGVO Nr. 2016/679. Überprüfen Sie:

• Den Speicherort der Daten (Hosting in der EU oder außerhalb der EU?)
• Die Richtlinie zur Speicherung und Löschung von Daten
• Die Existenz eines designierten Datenschutzbeauftragten (DPO)
• Mögliche Unterauftragsverarbeitung und geltende Standardvertragsklauseln (SCC)

Für Unternehmen, die von einer bestehenden Lösung zu einem konformeren Anbieter migrieren möchten, erläutert unser Leitfaden zur Migration von DocuSign oder YouSign zu Certyneo die Schritte und erforderlichen Vorkehrungen.

Anwendbarer rechtlicher Rahmen für TSP eIDAS-Dienstleister

Gründungstexte

Der rechtliche Rahmen für Vertrauensdienste-Anbieter basiert auf mehreren, miteinander verknüpften regulatorischen Ebenen.

Verordnung (EU) Nr. 910/2014 über die elektronische Identifizierung und Vertrauensdienste (geändert durch Verordnung (EU) 2024/1183 „eIDAS 2.0"): Referenztext zur Definition von Vertrauensdiensten, Qualifizierungsstufen, TSP-Verpflichtungen (Artikel 13 bis 22 für allgemeine Verpflichtungen, Artikel 23 bis 45 für spezifische qualifizierte Dienste) und Haftungsregime (Artikel 13: Haftung für jeden Schaden, der vorsätzlich oder fahrlässig verursacht wurde, mit Umkehrung der Beweislast zugunsten des Geschädigten).

Französisches Zivilgesetzbuch, Artikel 1366 und 1367: Artikel 1366 etabliert das Prinzip der Gleichwertigkeit elektronischen Schrifttums mit Papierurkunden vorbehaltlich der Identifizierung des Autors und Integrität. Artikel 1367 definiert die elektronische Signatur und ihre Zuverlässigkeitsvermutung, wenn sie im Sinne von eIDAS qualifiziert ist.

Dekret Nr. 2017-1416 vom 28. September 2017 zur elektronischen Signatur: präzisiert die technischen Bedingungen der zuverlässigen elektronischen Signatur im französischen Recht und verweist ausdrücklich auf eIDAS-Anforderungen.

Sicherheitsverpflichtungen und Meldepflichten

Artikel 19 eIDAS verpflichtet TSP, angemessene technische und organisatorische Maßnahmen zur Risikoverwaltung bei ihren Diensten zu treffen. Im Falle eines Sicherheitsvorfalls oder Integrität Verlusts mit erheblichem Auswirkungen auf den Dienst oder personenbezogene Daten muss der TSP die Aufsichtsbehörde ohne ungerechtfertigte Verzögerung und spätestens 24 Stunden nach Kenntnisnahme benachrichtigen. Diese Verpflichtung wirkt kumulativ mit der in Artikel 33 der DSGVO Nr. 2016/679 (Benachrichtigung der Aufsichtsbehörde — CNIL in Frankreich — innerhalb von 72 Stunden) vorgesehenen.

Die NIS2-Richtlinie (2022/2555/EU), in französisches Recht durch Gesetz Nr. 2023-703 vom 1. August 2023 umgesetzt, unterwirft qualifizierte TSP verstärkten Anforderungen an Cybersicherheitsrisikomanagement und Vorfallmeldung als wesentliche oder wichtige Einrichtungen ihrer Größe gemäß.

Haftung und Sanktionen

Das eIDAS-Haftungsregime (Artikel 13) ist streng: Der TSP wird präsumtiv für jeden Schaden an jede natürliche oder juristische Person aufgrund eines Verstoßes gegen seine Verpflichtungen haftbar gemacht. Es fällt dem TSP zu, die Abwesenheit von Verschulden nachzuweisen. Nationale Sanktionen für Nichtkonformität können Widerruf der Qualifizierung, Verwaltungsbußgelder (bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes unter DSGVO) und Schadensersatzansprüche umfassen. In Frankreich kann die ANSSI auch Abhilfemaßnahmen erlassen.

Nutzungsszenarien: Der TSP eIDAS in der Praxis

Ein Anwaltsbüro für Verfahren mit digitalisierten Schriftsätzen

Ein Anwaltsbüro für Wirtschaftsrecht mit etwa 50 Mitarbeitern befasst sich täglich mit Dokumenten, die eine qualifizierte Signatur erfordern: Schriftsätze, Vollmachten, Abtretungsurkunden für Geschäftsfonds. Durch die Nutzung eines auf der französischen Vertrauensliste eingetragenen QTSP erstellt das Büro PAdES-LTV-Signaturen (Long-Term Validation) mit integriertem qualifiziertem Zeitstempel. Ergebnis: Die Verarbeitungszeit eines unterzeichneten Dokuments sinkt von 3 bis 4 Tagen (Papierwechsel) auf weniger als 2 Stunden. Der Beweiskraft jede Signature ist automatisch von der Gegenpartei und vor Gericht überprüfbar, ohne zusätzliches Gutachten, was proceduralen Anfechtungen um etwa 70 % nach Rückmeldungen von vergleichbaren Büros reduziert.

Ein kleines Industrieunternehmen sichert seine grenzüberschreitenden Lieferantverträge

Ein französisches Industrieunternehmen mit etwa 180 Mitarbeitern, das von Lieferanten in Deutschland, Polen und Spanien beliefert wird, musste zuvor bestimmte Vertragsdokumente legalisieren oder apostillieren lassen, um ihre grenzüberschreitende Anerkennung zu gewährleisten. Durch die Integration über API eines qualifizierten TSP, der in der gesamten EU anerkannte Zertifikate ausstellt (Artikel 25 Abs. 2 eIDAS), entfallen diese Formalitäten. Die etwa 300 jährlichen Lieferantverträge werden jetzt elektronisch mit automatischer Rechtserkennung in den drei Partnerländern unterzeichnet. Der geschätzte Einsparungsgewinn bei Verwaltungskosten und Verzögerungen beträgt 35 bis 45 % über den gesamten Vertragszyklus, konsistent mit den von Fachindustriestudien veröffentlichten Spannweiten.

Eine Krankenhausgruppe wahrte die Integrität ihrer digitalisierten Patientenakten

Eine Krankenhausgruppe mit etwa 1 200 Betten muss die Integrität und Authentizität ihrer Operationsberichte, Verordnungen und informed-consent-Erklärungen über Aufbewahrungsdauern von bis zu 20 Jahren garantieren (Artikel R. 1112-7 des französischen Gesundheitsgesetzes). Durch den Rückgriff auf einen Service für qualifizierte elektronische Zeitstempel von einem QTSP erstellt die Krankenhausgruppe unfälschbare Integritätsnachweise ab Dokumenterstellung. Interne Audits und Kontrollen durch die HAS (Haute Autorité de Santé) können die Integrität jedes archivierten Dokuments nun automatisch überprüfen, was die Arbeitsbelastung der Qualitätsteams um etwa 25 % nach Benchmark-Daten des Gesundheitssektors reduziert.

Häufig gestellte Fragen

Was ist ein qualifizierter Vertrauensdienste-Anbieter im Sinne von eIDAS?

Ein qualifizierter Vertrauensdienste-Anbieter (QTSP) ist ein Unternehmen, das den qualifizierten Status von der Aufsichtsbehörde seines Mitgliedstaates (ANSSI in Frankreich) nach Überprüfung durch eine akkreditierte Stelle erhalten hat. Er ist in die nationale Vertrauensliste gemäß Artikel 22 eIDAS eingetragen. Mit diesem Status kann er Dienste mit rechtlicher Vermutung der Konformität erbringen: qualifizierte Signaturen, qualifizierte Zeitstempel, qualifizierte Siegel, qualifizierte elektronische beglaubigten Versenden.

Wie überprüfe ich, ob ein TSP-Dienstleister wirklich eIDAS-qualifiziert ist?

Die Überprüfung erfolgt über das offizielle Portal der Europäischen Kommission „eIDAS Trusted List Browser" (tlbrowser.tsl.website) oder das ANSSI-Portal für französische Anbieter. Es genügt, den Namen des Dienstleisters oder die URL seines Dienstes zu durchsuchen. Die Liste wird in Echtzeit aktualisiert. Jeder Dienstleister, der Qualifizierung beansprucht, ohne auf dieser Liste zu figurieren, genießt keine Vermutung, die mit qualifizierten eIDAS-Diensten verbunden ist.

Wird ein in einem europäischen Land qualifizierter TSP in der gesamten EU anerkannt?

Ja. Dies ist einer der Hauptbeiträge von eIDAS: das Prinzip der gegenseitigen grenzüberschreitenden Anerkennung (Artikel 25 Abs. 2 für Signaturen, Artikel 35 Abs. 2 für Siegel, Artikel 41 Abs. 2 für Zeitstempel). Eine qualifizierte elektronische Signatur, die mittels eines von einem französischen QTSP ausgestellten Zertifikats erstellt wird, wird in Deutschland, Spanien, Polen oder jedem anderen Mitgliedstaat rechtlich anerkannt, ohne zusätzliche Maßnahmen. Diese Interoperabilität ist der Hauptzweck der eIDAS-Verordnung auf europäischer Ebene.

Was ist der Unterschied zwischen einem qualifizierten Zertifikat und einem fortgeschrittenen Zertifikat?

Ein fortgeschrittenes Zertifikat kann von jedem Dienstleister, qualifiziert oder nicht, nach minimalen technischen Anforderungen ausgestellt werden. Ein qualifiziertes Zertifikat kann nur von einem auf der Vertrauensliste eingetragenen QTSP ausgestellt werden, basierend auf Anlage I eIDAS (Zertifikatsinhalt) und nach rigoroser Überprüfung der Identität des Antragstellers persönlich oder über einen qualifizierten Fernidentifizierungsprozess. Das qualifizierte Zertifikat ist die notwendige Voraussetzung für die Ausstellung einer qualifizierten elektronischen Signatur, die allein von der Vermutung der Gleichwertigkeit mit handschriftlicher Signatur profitiert.

Kann ein TSP seine eIDAS-Qualifizierung verlieren? Welche Folgen hat das?

Ja. Die Aufsichtsbehörde kann die Qualifizierung eines TSP widerrufen oder aussetzen, falls er seine Verpflichtungen schwerwiegend verletzt (negative Prüfung, nicht behobener Sicherheitsvorfall, falsche Erklärung). Der Widerruf wird auf der Vertrauensliste mit dem Status „widerrufen" veröffentlicht. Zertifikate, die vor dem Widerruf ausgestellt wurden, bleiben gültig, wenn ihre Vertrauenskette in einer konformen revisionssicheren Archivierung erhalten bleibt. Allerdings können nach Widerruf keine neuen qualifizierten Zertifikate ausgestellt werden, und die erbrachten Dienste unterliegen nicht länger den rechtlichen eIDAS-Vermutungen.

Fazit

Vertrauensdienste-Anbieter (TSP) sind mehr als bloße technische Lieferanten: Sie bilden das regulatorische und rechtliche Fundament, auf dem die gesamte Beweiskraft der elektronischen Signatur in Europa ruht. Das Verständnis ihrer Rolle, ihres Qualifizierungsprozesses und ihrer Verpflichtungen ist unverzichtbar für jedes Unternehmen, das seine digitalen Austauschvorgänge mit unbestreitbarer Rechtskraft sichern möchte. Die Wahl eines auf der europäischen Vertrauensliste eingetragenen QTSP ist nicht optional, wenn Sie qualifizierte Signaturen oder qualifizierte Zeitstempel anstreben.

Certyneo nutzt ausschließlich qualifizierte eIDAS-anerkannte TSP-Dienstleister, um Ihnen elektronische Signaturen mit voller Rechtskraft, interoperabel in der gesamten Europäischen Union, zu garantieren. Bereit, Ihre Vertragsabläufe zu sichern? Erstellen Sie kostenlos Ihr Certyneo-Konto oder kontaktieren Sie unser Team für eine persönliche Demonstration.