QES, AES und SES: Die drei Stufen der eIDAS-Signatur 2026 verstehen

Die eIDAS-Verordnung (Nr. 910/2014) ist der Eckpfeiler des europäischen Rechts der elektronischen Signatur. Seit ihrer Inkraftsetzung strukturiert sie drei Signaturstufen – SES, AES und QES – deren technische Anforderungen und Beweiskraft sich grundlegend unterscheiden. 2026, mit dem schrittweisen Inkrafttreten der eIDAS-2.0-Verordnung (EU-Verordnung 2024/1183), gewinnen diese Unterscheidungen an Bedeutung für jede Organisation, die ihre Rechtsdokumente in voller Compliance digitalisieren möchte. Dieser Artikel entschlüsselt die grundlegenden Unterschiede zwischen diesen drei Stufen, die damit verbundenen Verpflichtungen und die Kriterien für die Wahl des richtigen Formats je nach Art Ihrer Dokumente.

SES: Die einfache elektronische Signatur, flexibel aber begrenzt

Definition und technische Merkmale

Die einfache elektronische Signatur (SES oder Simple Electronic Signature) ist in Artikel 3 Absatz 10 der eIDAS-Verordnung definiert als „Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch zugeordnet sind und die der Unterzeichner zum Unterzeichnen verwendet". Diese Definition ist bewusst weit gefasst: Ein einfacher Klick auf „Ich akzeptiere", eine mit dem Finger auf einem Tablet gezeichnete Signatur oder ein angekreuztes Kästchen in einem Online-Formular fallen in diese Kategorie.

Die SES erfordert weder eine vorherige Überprüfung der Identität des Unterzeichners noch ein kryptographisches Zertifikat. Ihre Zuverlässigkeit basiert ausschließlich auf dem vertraglichen Kontext und den Nebenbeweisen (IP-Adresse, Serverzeitstempel, Bestätigungs-E-Mail). Das Glossar der elektronischen Signatur enthält alle technischen Begriffe, die mit diesen Mechanismen verbunden sind.

Rechtlicher Wert und Akzeptanzfälle

Die SES profitiert vom Diskriminierungsverbot nach Artikel 25 Absatz 1 eIDAS: Sie kann nicht allein aus dem Grund abgelehnt werden, dass sie elektronisch ist. Sie genießt jedoch keine Vermutung der Zuverlässigkeit. Im Streitfall liegt die volle Beweislast bei der Partei, die sie geltend macht. Der rechtliche Wert der elektronischen Signatur hängt daher stark von der gewählten Stufe ab.

Die SES ist für Dokumente mit geringem Risiko geeignet: Akzeptanz von Geschäftsbedingungen, interne Formulare, Online-Bestellungen geringen Wertes oder Zufriedenheitsumfragen. Sie ist für alle Dokumente ungeeignet, die vor Gericht angefochten werden könnten.

AES: Die fortgeschrittene Signatur, das Gleichgewicht zwischen Sicherheit und Praktikabilität

Die vier kumulativen Kriterien von Artikel 26 eIDAS

Die fortgeschrittene elektronische Signatur (AES, Advanced Electronic Signature) ist in Artikel 3 Absatz 11 eIDAS definiert und muss vier Bedingungen erfüllen, die in Artikel 26 aufgeführt sind:

1. Eindeutig mit dem Unterzeichner verbunden sein: Eine eindeutige Kennung verbindet die Signatur mit einer bestimmten natürlichen Person.
2. Die Identifizierung des Unterzeichners ermöglichen: Eine Überprüfung der Identität wird durchgeführt (E-Mail, Telefonnummer, Personalausweis je nach Anbieter).
3. Mit Daten erstellt worden sein, die der Unterzeichner mit hohem Vertrauensniveau unter seiner ausschließlichen Kontrolle verwenden kann: Typischerweise ein OTP-Code, der an sein Telefon gesendet wird, oder ein Softwarezertifikat.
4. Mit den unterzeichneten Daten so verbunden sein, dass jede spätere Änderung erkennbar ist: Die Signatur basiert auf einem kryptographischen Hash des Dokuments.

Verwendete Technologien und Vertrauensstufen

In der Praxis wird die AES durch digitale Zertifikate mit wesentlicher Vertrauensstufe (im Sinne der eIDAS-Verordnung), Multi-Faktor-Authentifizierungsmechanismen oder Lösungen zur dokumentarischen Identität (Ausweis-Scan, biometrischer Vergleich) umgesetzt. Qualifizierte Vertrauensdiensteanbieter wie Certyneo bieten AES-Signaturpfade an, die eine Fernidentitätsprüfung mit den ANSSI-Referentialen und ETSI EN 319 401-Normen konform einbeziehen.

Die AES bietet einen hervorragenden Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit. Sie wird empfohlen für gewöhnliche Geschäftsverträge, Personalakten, Partnerschaftsvereinbarungen oder Dienstleistungsverträge. Lesen Sie unseren umfassenden Leitfaden zur elektronischen Signatur im Unternehmen, um die Anwendungen im beruflichen Kontext zu vertiefen.

Grenzen der AES bei bestimmten Urkunden

Die AES bleibt unzureichend für beglaubigte Urkunden oder solche, bei denen das Gesetz ausdrücklich die qualifizierte Signatur verlangt. In Frankreich behält Artikel 1367 des Code civil die Vermutung maximaler Zuverlässigkeit allein den Signaturen vor, die gemäß eIDAS qualifiziert sind. Die AES kann von einem Richter abgelehnt werden, wenn die andere Partei einen Mangel im Identitätsprüfungsprozess nachweist.

QES: Die qualifizierte Signatur, rechtliches Äquivalent der handschriftlichen Unterschrift

Regulatorische Definition und technische Anforderungen

Die qualifizierte elektronische Signatur (QES, Qualified Electronic Signature) ist in Artikel 3 Absatz 12 eIDAS definiert als eine fortgeschrittene Signatur, die durch ein qualifiziertes Signaturerstellungsgerät (QSCD) erstellt und auf einem qualifizierten Zertifikat für die elektronische Signatur basiert. Diese zwei Komponenten sind untrennbar.

Das qualifizierte Zertifikat wird von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt, der auf der Vertrauensliste (Trusted List) des jeweiligen Mitgliedstaats eingetragen ist. In Frankreich wird diese Liste von der ANSSI verwaltet. Der QTSP muss nach den Anforderungen von Anlage I der eIDAS-Verordnung und den Normen ETSI EN 319 411-2 überprüft und akkreditiert worden sein.

Das QSCD (qualifiziertes Signaturerstellungsgerät) ist ein sicherer Hardware- oder Softwaresupport – typischerweise eine Smartcard, ein kryptographisches USB-Token oder ein entferntes HSM (Hardware Security Module) – das garantiert, dass der private Schlüssel des Unterzeichners nicht extrahiert oder kopiert werden kann. Die Anforderungen an QSCD sind in Anlage II der eIDAS-Verordnung festgelegt.

Die unwiderlegliche Rechtsvermutung von Artikel 25 Absatz 2

Artikel 25 Absatz 2 der eIDAS-Verordnung verleiht der QES eine rechtliche Wirkung, die der handschriftlichen Unterschrift in allen Mitgliedstaaten der Europäischen Union gleichwertig ist. Diese Vermutung ist automatisch: Im Gegensatz zur AES muss die Partei, die eine QES vorlegt, die Zuverlässigkeit des Verfahrens nicht nachweisen. Es obliegt der anderen Partei, diese Vermutung zu widerlegen, was in der Praxis sehr schwierig ist, wenn QTSP und QSCD ordnungsgemäß qualifiziert sind.

In Frankreich setzt Artikel 1367 Absatz 2 des Code civil diese Anforderung in innerstaatliches Recht um: Die Zuverlässigkeit des Verfahrens der elektronischen Signatur wird bis zum Beweis des Gegenteils vermutet, wenn die qualifizierte elektronische eIDAS-Signatur verwendet wird. Diese Vermutung umfasst auch die Integrität des unterzeichneten Dokuments.

Prozess zur Erlangung eines qualifizierten Zertifikats

Die Erlangung eines qualifizierten Zertifikats erfordert eine persönliche Identitätsprüfung oder ein Fernäquivalent mit gleichem Vertrauensniveau (z. B. eine Video-Identifikation nach ISO/IEC 18013 oder den Spezifikationen der Durchführungsverordnung 2015/1502). Der Prozess umfasst:

• Die Erfassung offizieller Identitätsdokumente
• Die Überprüfung ihrer Echtheit (Fälschungserkennung)
• Die biometrische Erfassung des Unterzeichners
• Die Ausstellung des Zertifikats durch den QTSP nach Validierung

Dieses Anforderungsniveau erklärt, warum die QES für hochriskante Urkunden reserviert ist: einfache Schriftstücke mit hohem finanziellen Einsatz, elektronische notarielle Dokumente, öffentliche Aufträge, sensible medizinische Akte oder Bereiche, in denen die sektorbezogene Regulierung dies ausdrücklich verlangt. Um die verfügbaren Lösungen am Markt zu vergleichen, wird Sie unser Vergleich von Lösungen zur elektronischen Signatur bei Ihrer Wahl unterstützen.

Vergleichstabelle und Auswahlkriterien 2026

Zusammenfassung der strukturellen Unterschiede

Drei Achsen ermöglichen eine schnelle Unterscheidung der drei Stufen:

Identitätsprüfung: keine für die SES, dokumentarisch oder OTP für die AES, persönlich oder gleichwertig für die QES. Kryptographischer Support: nicht vorhanden für die SES, Softwarezertifikat für die AES, zertifiziertes QSCD für die QES. Rechtliche Vermutung: absent für die SES, teilweise für die AES, vollständig und automatisch für die QES.

In Bezug auf Benutzerreibung ist die Gleichung umgekehrt: Die SES ist quasi transparent, die AES erfordert einige Minuten Überprüfung, die QES setzt eine vorherige Registrierungsmaßnahme voraus, die zwischen einigen Minuten (Video-Identifikation) und einigen Tagen dauern kann.

Auswirkungen von eIDAS 2.0 auf diese Unterschiede 2026

Die eIDAS-2.0-Verordnung (EU 2024/1183), deren Durchführungsmaßnahmen seit 2024 schrittweise veröffentlicht werden, stärkt mehrere Schlüsselpunkte. Sie führt das Europäische Portemonnaie für digitale Identität (EUDI Wallet) ein, das es europäischen Bürgern bald ermöglichen wird, ihr qualifiziertes Zertifikat direkt auf ihrem Smartphone zu speichern, was die mit QES verbundene Reibung erheblich verringert. Sie präzisiert auch die Anforderungen für QTSP und stärkt die Verwaltung nationaler Vertrauenslisten.

Darüber hinaus erweitert eIDAS 2.0 den Umfang der gegenseitigen Anerkennung qualifizierter Signaturen zwischen Mitgliedstaaten, was für Unternehmen, die in mehreren EU-Ländern tätig sind, besonders strukturierend ist. Der umfassende Leitfaden zur eIDAS-2.0-Verordnung erläutert alle diese regulatorischen Entwicklungen. Schließlich verdient die Frage des qualifizierten elektronischen Zeitstempels – ergänzend zur QES zur Erhaltung der Beweiskraft von Dokumenten im Laufe der Zeit – bei der Gestaltung Ihrer Dokumentenarchitektur ebenfalls Aufmerksamkeit.

Anwendbarer Rechtsrahmen für SES-, AES- und QES-Signaturen

Die Hierarchie elektronischer Signaturen basiert auf einem dichten Regelwerk, das europäisches und französisches innerstaatliches Recht miteinander verbindet.

eIDAS-Verordnung Nr. 910/2014: Dieses Gründungsdokument definiert in den Artikeln 3(10), 3(11) und 3(12) die drei Signaturstufen. Artikel 25 legt das Diskriminierungsverbot (Abs. 1) und die Vermutung der Gleichwertigkeit zu handschriftlicher Unterschrift für QES fest (Abs. 2). Artikel 26 zählt die vier kumulativen Voraussetzungen für fortgeschrittene Signaturen auf. Die Anlagen I und II präzisieren jeweils die Anforderungen für qualifizierte Zertifikate und qualifizierte Signaturerstellungsgeräte (QSCD).

eIDAS-2.0-Verordnung – EU 2024/1183: Sie ist am 20. Mai 2024 in Kraft getreten und ändert die Verordnung von 2014 wesentlich, insbesondere durch die Einführung des Europäischen Portemonnaies für digitale Identität (EUDI Wallet), die Ausweitung qualifizierter Vertrauensdienste und die Stärkung der QTSP-Verwaltung. Die Durchführungsmaßnahmen werden weiterhin 2026 veröffentlicht.

Französischer Code civil, Artikel 1366 und 1367: Artikel 1366 erkennt die elektronische Urkunde als Beweis genauso an wie die Papierurkunde, vorausgesetzt, die Person, von der sie stammt, kann eindeutig identifiziert werden und sie wurde unter Bedingungen erstellt und aufbewahrt, die ihre Unversehrtheit gewährleisten. Artikel 1367 Absatz 2 legt die Vermutung der Zuverlässigkeit für die qualifizierte eIDAS-Signatur fest, in direkter Umsetzung von Artikel 25 Absatz 2 der Verordnung.

Dekret Nr. 2017-1416 vom 28. September 2017: Präzisiert unter französischem Recht die Bedingungen für die Inanspruchnahme der Vermutung der Zuverlässigkeit und verweist ausdrücklich auf die eIDAS-Anforderungen für qualifizierte Signaturen.

ETSI-Normen: Die Normen ETSI EN 319 102-1 (Verfahren für Signaturerstellung und Validierung), ETSI EN 319 132 (XAdES-Format), ETSI EN 319 122 (CAdES-Format) und ETSI EN 319 142 (PAdES-Format) regeln technisch die Erstellung konformer elektronischer Signaturen. Qualifizierte Anbieter müssen diese Formate implementieren, um die europäische Interoperabilität zu gewährleisten.

DSGVO – Verordnung EU 2016/679: Die Erfassung biometrischer Daten im Zusammenhang mit der Identitätsprüfung für die Ausstellung qualifizierter Zertifikate stellt eine Verarbeitung sensibler Daten nach Artikel 9 dar. Der QTSP muss über eine ausdrückliche Rechtsgrundlage verfügen, die Personen informieren und geeignete technische Schutzmaßnahmen implementieren. Eine Datenschutz-Folgenabschätzung (DSFA) wird in der Regel verlangt.

Richtlinie NIS2 – EU 2022/2555: Anwendbar auf Betreiber wesentlicher Dienste und Anbieter digitaler Dienste, sie erlegt verstärkte Cybersicherheitsanforderungen auf, die indirekt auf QTSP anwendbar sind, die kritische Infrastrukturen für die elektronische Signatur betreiben.

Organisationen, die Lösungen für elektronische Signaturen einführen, ohne das von der rechtlichen Natur des Akts geforderte Niveau zu respektieren, riskieren Nichtigkeit oder Unanwendbarkeit der unterzeichneten Dokumente sowie Rechtsstreitigkeiten, die erhebliche finanzielle Schäden verursachen können.

Nutzungsszenarien: Die richtige Stufe je nach Kontext wählen

Szenario 1 – Kleineres Industrieunternehmen, das Hunderte von Lieferantenbestellungen verwaltet

Ein Kleinbetrieb, das etwa 400 Bestellaufträge und Lieferantenverträge pro Jahr bearbeitet, hat AES für alle gewöhnlichen Geschäftsdokumente eingeführt. Das Signaturverfahren basiert auf einer Verifizierung durch einen sicheren E-Mail-Link und SMS-OTP-Code mit Erzeugung eines zeitgestempelten Audit-Berichts für jeden Akt. Die durchschnittliche Signaturdauer ist von 4,5 Tagen (beglaubigte Post) auf weniger als 3 Stunden gesunken. Die Anzahl von Vertragseinwänden ist über 18 Monate Betrieb gleich null geblieben, die Audit-Spur bietet ausreichenden Beweis im Falle von Geschäftsverschiedenheiten. Die Kosteneinsparung bei Druck, Porto und Dokumentenverwaltung beträgt nach internen Schätzungen etwa 60 %, konsistent mit Spannbreiten, die von europäischen Branchenstudien veröffentlicht werden (Billentis Report, 2025).

Szenario 2 – Kanzlei spezialisiert auf Wirtschaftsrecht

Eine Wirtschaftskanzlei mit etwa fünfzehn Mitarbeitern hat eine zweistufige Infrastruktur eingeführt: AES-Signaturen für interne Korrespondenz, Vollmachten und Honorarvereinbarungen; QES-Signaturen für Urkunden mit hohem Einsatz (Gesellschaftsanteils-Abtretungen, Einigungsprotokolle, finanzielle Garantien). Die Erlangung qualifizierter Zertifikate für die Partner wurde durch eine eIDAS-konforme Video-Identifizierungssitzung ohne physische Reise in weniger als 20 Minuten pro Person durchgeführt. Die mit QES verbundene Rechtsvermutung ermöglicht es der Kanzlei, ihre Urkunden vor jeder europäischen Gerichtsbarkeit einzureichen, ohne die Zuverlässigkeit des Verfahrens nachzuweisen, wodurch das Prozessrisiko wesentlich reduziert wird.

Szenario 3 – Krankenhauskomplex digitalisiert Personal- und Medizinakten

Ein Krankenhauskomplex mit etwa 1 200 Betten hat einen differenzierten Ansatz je nach Dokumenttyp gewählt. Arbeitsverträge, Änderungen und Stellenbeschreibungen werden in AES unterzeichnet, was den etwa 800 betroffenen Mitarbeitern ermöglicht, vom Smartphone aus ohne massive Infrastruktur zu unterzeichnen. Für spezifische medizinische Vereinbarungen und Dokumente, die starke Authentifizierung gemäß Sanitärregulation verlangen (HDS), wird QES für die benannten unterzeichnenden Fachleute eingesetzt. Dieses Hybrid-Modell reduziert die Zeit zum Aufbau von Personalakten bei Einstellungen um 75 %, ein Gewinn, der in Zeiten von Personalknappheit im medizinischen Bereich besonders kritisch ist. Es gewährleistet auch Konformität mit CNIL-Verpflichtungen in Bezug auf die Verarbeitung von Gesundheitsdaten.

Häufig gestellte Fragen

Wo liegt der Hauptunterschied zwischen QES und AES in eIDAS?

Der Grundunterschied liegt bei zwei Elementen: dem Zertifikat und dem Signaturgerät. QES basiert notwendigerweise auf einem qualifizierten Zertifikat, das von einem akkreditierten Anbieter (QTSP) ausgestellt wird, und auf einem physisch sicheren qualifizierten Signaturerstellungsgerät (QSCD). AES kann ein Softwarezertifikat und eine weniger strenge Identitätsprüfung verwenden. Direktfolge: QES genießt eine Rechtsvermutung der Gleichwertigkeit zur handschriftlichen Unterschrift in der gesamten Europäischen Union, was AES nicht automatisch garantiert.

In welchen Fällen ist die Verwendung einer QES-Signatur verpflichtend?

Kein europäischer Text verbietet QES allgemein, aber mehrere sektorale oder nationale Regelungen verlangen dies implizit oder ausdrücklich. Das trifft auf bestimmte elektronische beglaubigte Urkunden, spezifische öffentliche Aufträge, elektronische notarielle Urkunden oder regulierte Sektoren wie Banken (DSP2, verstärkte KYC) oder Gesundheit zu. Die Grundregel lautet: Je höher der rechtliche oder finanzielle Einsatz des Akts, desto mehr wird die Verwendung von QES empfohlen, um Anfechtungsrisiken auszuschließen.

Hat die SES-Signatur in Frankreich 2026 einen rechtlichen Wert?

Ja, die SES-Signatur ist in Frankreich rechtlich zulässig gemäß dem Diskriminierungsverbot von Artikel 25 Absatz 1 der eIDAS-Verordnung und Artikel 1366 des Code civil. Sie kann nicht allein abgelehnt werden, weil sie elektronisch ist. Sie genießt jedoch keine Vermutung der Zuverlässigkeit: Im Streitfall muss die geltend machende Partei ihre Robustheit durch andere Mittel nachweisen (Protokolle, IP-Adresse, Audit-Spur). Ihre Verwendung sollte daher auf Dokumente mit geringem Risiko beschränkt bleiben.

Wird ein in Frankreich erhaltenes qualifiziertes Zertifikat in der gesamten Europäischen Union anerkannt?

Ja. Artikel 25 Absatz 2 der eIDAS-Verordnung und der gegenseitige Anerkennungsmechanismus der nationalen Vertrauenslisten (Trusted Lists) gewährleisten, dass ein von einem akkreditierten französischen QTSP ausgestelltes qualifiziertes Zertifikat in allen EU-Mitgliedstaaten mit derselben Rechtswirkung anerkannt wird. eIDAS 2.0 (EU 2024/1183) stärkt dieses Prinzip noch, indem es die Anerkennung auf neue qualifizierte Vertrauensdienste ausweitet, die durch die überarbeitete Verordnung eingeführt werden.

Wie überprüfe ich, ob ein Signaturanbieter wirklich eIDAS-qualifiziert ist?

Jeder Mitgliedstaat veröffentlicht und verwaltet eine offizielle Vertrauensliste (Trusted List), die alle auf seinem Territorium akkreditierten qualifizierten Vertrauensdiensteanbieter (QTSP) aufzählt. In Frankreich wird diese Liste von der ANSSI auf ihrer offiziellen Website veröffentlicht und aktualisiert. Die Europäische Kommission aggregiert alle nationalen Listen auf dem EU Trusted List Browser Portal (tlbrowser.tsl.europa.eu). Prüfen Sie, ob ein Anbieter dort eingetragen ist, bevor Sie ihm die Ausstellung qualifizierter Zertifikate oder die Erstellung von QES-Signaturen anvertrauen.

Fazit

Die drei von der eIDAS-Verordnung definierten Stufen elektronischer Signaturen – SES, AES und QES – entsprechen grundlegend unterschiedlichen Rechts- und Betriebsbedürfnissen. SES eignet sich für Akten mit geringem Einsatz, AES deckt die meisten gewöhnlichen Geschäftsverträge mit ausgezeichnetem Gleichgewicht zwischen Sicherheit und Fluidität ab, während QES sich für Akten mit hohem Rechtswert durchsetzt dank seiner Rechtsvermutung der Handschrift-Gleichwertigkeit in der gesamten Europäischen Union. 2026, mit dem schrittweisen Inkrafttreten von eIDAS 2.0, ist die Beherrschung dieser Unterscheidungen für jede Organisation, die ihre Dokumentenprozesse digitalisiert, strategischer denn je.

Certyneo ermöglicht es Ihnen, die drei Signaturstufen je nach Ihrem tatsächlichen Bedarf einzuführen, mit einer einheitlichen Schnittstelle, die den eIDAS- und ANSSI-Anforderungen konform ist. Entdecken Sie unsere Angebote oder schätzen Sie Ihre Gewinne jetzt mit unserem ROI-Rechner für elektronische Signaturen, oder kontaktieren Sie unser Team für eine persönliche Prüfung Ihrer Dokumentenflüsse.