Glossar zur elektronischen Signatur

112 Schlüsselbegriffe rund um die elektronische Signatur, Kryptografie und eIDAS-Konformität.

Gehen Sie über die Definitionen hinaus und setzen Sie sie in die Praxis um: entdecken Sie die elektronische Signatururlösung Certyneo

Aktualisiert am 14. Juli 2026.

Glossaire signature électronique — références et définitions

A

Elektronische beglaubigte Urkunde (AAE): Die elektronische beglaubigte Urkunde (AAE) ist eine vom Notar errichtete, ausgefertigte und in digitaler Form gemäß Dekret Nr. 2005-973 vom 10. August 2005 aufbewahrte notarielle Urkunde. Der Notar setzt seine qualifizierte elektronische Signatur (Stufe QES, eIDAS) mittels eines befugten QSCD auf, und die Urkunde wird anschließend an die Plattform Real.not (Elektronisches Netzwerk der Notariatsurkunden) übermittelt. Die AAE hat die gleiche Beweiskraft und Vollstreckungskraft wie eine Papierurkunde: Sie stellt einen vollständigen Beweis ihres Inhalts dar und kann eine Pfändung ohne vorherigen Gerichtsbeschluss begründen. Immobilienverträge, Schenkungen, Unternehmensfusionen und Vollmachten für den Schutz zukünftiger Generationen gehören zu den Urkunden, die in elektronischer Form errichtet werden können. Certyneo unterstützt Notariate bei der Implementierung von Co-Signatur-Flüssen (Vorentwürfe, Verkaufsvollmachten) vor der Unterzeichnung der beglaubigten Urkunde beim Notar.
AES (Fortgeschrittene elektronische Signatur): AES est l'acronyme d'Advanced Electronic Signature, la signature électronique avancée définie par l'article 26 du règlement eIDAS — voir la fiche signature avancée pour les exigences détaillées, la comparaison SES / AES / QES et les cas d'usage. À ne pas confondre avec l'autre AES de la cryptographie, l'Advanced Encryption Standard, un algorithme de chiffrement symétrique sans rapport avec la signature.
REST-API für elektronische Signaturen: Eine REST-API (Representational State Transfer) für elektronische Signaturen stellt die Operationen der Signatur-Engine als HTTP-Ressourcen bereit, auf die von jeder Programmiersprache aus zugegriffen werden kann. Typische Abläufe sind: Umschlag erstellen (POST /envelopes), Dokument hochladen (PUT /envelopes/{id}/documents), Unterzeichner und Felder hinzufügen (POST /recipients), zum Signieren senden (PUT /envelopes/{id}/send) und dann das signierte Dokument abrufen (GET /envelopes/{id}/signed-pdf). Die Authentifizierung basiert auf Bearer-Tokens (OAuth 2.0 / API-Schlüsseln). Webhooks ergänzen die API, indem sie Ereignisse (Dokument signiert, Ablehnung, Ablauf) an Ihr Backend übertragen, ohne dass Polling erforderlich ist. Eine gute REST-API für Signaturen garantiert die Integrität des Dokuments durch einen SHA-256-Hash, der bei jedem Schritt zurückgegeben wird, und unterstützt den Audit-Trail mit Zeitstempel. Certyneo bietet eine vollständige REST-API, dokumentiert in OpenAPI 3.1, mit SDKs für Node.js, Python und PHP.
Elektronische Archivierung (Signatur, Beweiskraft): Die elektronische Archivierung bezieht sich auf die Langzeitaufbewahrung digital signierter Dokumente unter Bedingungen, die ihre Beweiskraft, Lesbarkeit und Integrität über die Zeit gewährleisten. Dies sollte nicht mit einfacher Sicherung verwechselt werden: Die beweiskräftige Archivierung unterliegt präzisen technischen und rechtlichen Anforderungen, die sie von einfacher Cloud-Speicherung unterscheiden.

Die drei Säulen der beweiskräftigen Archivierung :
• Integrität : Das archivierte Dokument kann nicht geändert werden — jede Veränderung ist erkennbar und macht den Beweis ungültig. Dies wird durch kryptographisches Hashing des Dokuments bei der Archivierung und regelmäßige Hash-Überprüfung gewährleistet.
• Dauerhaftigkeit : Das Dokument bleibt 10, 20 oder 50 Jahre lang lesbar, unabhängig von Softwareentwicklungen. Dies erfordert standardisierte Formate (PDF/A für den Inhalt, PAdES B-LTA für die Signatur) und regelmäßige Speichermigration.
• Nachverfolgbarkeit : Jede Operation auf dem archivierten Dokument (Einsicht, Weitergabe, Löschung) wird in einem zeitgestempelten und manipulationssicheren Ereignisprotokoll dokumentiert.

Normativer Rahmen : In Frankreich wird beweiskräftige Archivierung durch die Normen NF Z42-013 (französischer Referenzstandard, AFNOR) und die internationale Norm ISO 14641 geregelt. Für den öffentlichen Sektor und bestimmte regulierte Tätigkeiten (Gesundheit, Finanzdienstleistungen) ist eine Zulassung durch SIAF (Service Interministériel des Archives de France) oder eine Zertifizierung durch einen ESG-Drittarchiveur erforderlich. Die eIDAS 2.0-Verordnung führt einen neuen qualifizierten Vertrauensdienst speziell für qualifizierte elektronische Archivierung ein, der in der gesamten EU unmittelbar anerkannt wird.

Gesetzliche Aufbewahrungsdauer in Frankreich :
• Handelverträge und Rechnungen: 10 Jahre (Code de commerce Art. L123-22)
• Arbeitsverträge: 5 Jahre nach Ausscheiden des Arbeitnehmers
• Steuerdokumente: 6 Jahre (Livre des procédures fiscales Art. L102 B)
• Notariatsurkunden: 75 Jahre (Code du notariat)
• Ärztliche Dokumente: 20 Jahre nach der letzten Maßnahme (Code de la santé publique)

Certyneo-Implementierung : Alle signierten Dokumente werden im Format PAdES B-LT archiviert (B-LTA auf Business-Plan für Aufbewahrung > 10 Jahre verfügbar), mit qualifiziertem RFC 3161-Zeitstempel, 10-jähriger Aufbewahrung in allen Plänen enthalten, Ereignisprotokoll jederzeit einsehbar und Download des Audit-Trails im PDF-Format. Siehe auch Beweiskraft und LTV (Long-Term Validation).
Attestation France Travail (ex-Pôle emploi): L'attestation destinée à France Travail (anciennement Pôle emploi) est un document que l'employeur doit obligatoirement remettre au salarié à la fin de son contrat (art. R1234-9 du Code du travail). Elle permet au salarié de faire valoir ses droits à l'assurance chômage ; l'employeur la transmet également à France Travail. Elle peut être générée et signée électroniquement dans le parcours de fin de contrat. Documents obligatoires de fin de contrat →
Authentifizierung: Die Authentifizierung ist der Prozess zur Überprüfung der Identität eines Benutzers oder Systems, bevor ihm Zugriff auf einen Dienst gewährt oder die Anbringung einer elektronischen Signatur autorisiert wird. Sie kann einfach (nur Passwort), stark (Multi-Faktor) oder biometrisch sein. Die Robustheit der Authentifizierung bestimmt direkt die erreichbare Signaturstufe : AES erfordert mindestens zwei unterschiedliche Faktoren.
Starke Authentifizierung: L'authentification forte exige la présentation d'au moins deux preuves d'identité appartenant à des familles différentes pour vérifier l'identité d'une personne — c'est le principe de la MFA (authentification multi-facteurs) :
• Ce que je sais : mot de passe, code PIN ;
• Ce que je possède : téléphone recevant un code OTP, clé de sécurité YubiKey/FIDO2, carte à puce ;
• Ce que je suis : empreinte digitale, reconnaissance faciale (biométrie).

Deux cadres réglementaires l'imposent : la directive DSP2 (art. 97) impose la SCA — Strong Customer Authentication — pour les paiements et l'accès aux comptes bancaires en ligne ; le règlement eIDAS l'exige de fait pour la signature électronique avancée (AES), dont l'article 26 impose que la signature soit créée sous le contrôle exclusif du signataire et lui soit liée de manière univoque.

Dans la signature électronique, l'authentification forte intervient au moment de signer : le signataire prouve qu'il contrôle son adresse email (lien unique) et son téléphone (code OTP SMS) avant que le document ne soit scellé. Cette double vérification, horodatée dans la piste d'audit, est ce qui distingue une AES opposable d'une simple case cochée.

Sur Certyneo : pour les enveloppes de niveau avancé, la combinaison email + OTP SMS est appliquée par défaut à chaque signataire ; les comptes utilisateurs peuvent activer la MFA (TOTP ou OTP email). DSP2 & authentification forte : le guide →
Zertifizierungsstelle (ZS / CA): Eine Zertifizierungsstelle (ZS, oder Certificate Authority — CA — im Englischen) ist eine Vertrauensorganisation, die elektronische X.509-Zertifikate ausstellt, die einen öffentlichen Schlüssel mit der Identität seines Inhabers verbinden. Qualifizierte ZS werden von nationalen Behörden (ANSSI in Frankreich) beaufsichtigt und in die Vertrauensliste der EU eingetragen. Sie bilden die Grundlage der PKI und der Vertrauenskette von qualifizierten Signaturen.

B

Bearer-Token: Ein Bearer-Token (Inhabertoken) ist ein API-Zugriffstoken, das dem Inhaber (dem "Träger") das Recht gewährt, auf geschützte Ressourcen zuzugreifen, ohne weitere Identitätsnachweise — der bloße Besitz reicht aus, wie Bargeld. Er wird im HTTP-Header Authorization: Bearer <token> übertragen. In OAuth 2.0 : Bearer-Tokens sind das Standardformat für Zugriffstokens; sie haben normalerweise eine kurze Lebensdauer und tragen Scopes, die einschränken, was der Inhaber tun kann. Die REST-API von Certyneo verwendet Bearer-Tokens zur Authentifizierung von Programmanrufen: Erstellung von Umschlägen, Statusabfragen, Webhook-Konfiguration und Download signierter Dokumente. Sicherheitsrisiken : Da der Token der Identifizierer ist, darf er nur über TLS übertragen werden, darf niemals clientseitig offengelegt oder protokolliert werden und sollte regelmäßig erneuert werden; ein durchgesickerter Bearer-Token ist so gefährlich wie ein durchgesickertes Passwort bis zu seiner Ablauf oder Wideruf. Best Practice : Jeden Token auf die streng erforderlichen Berechtigungen beschränken, eine kurze Ablaufzeit festlegen und ein Token pro Integration bevorzugen, um eines widerrufen zu können, ohne andere zu beeinflussen.
Biometrie: Biometrie umfasst Identifizierungstechniken, die auf physischen oder Verhaltensmerkmalspersonen basieren (Fingerabdruck, Gesichtserkennung, Handschriftzug, Stimme). Bei der elektronischen Signatur kann eine biometrische Signatur den Handschriftzug auf dem Touchscreen erfassen (Geschwindigkeit, Druck, Winkel), um einen direkten Bezug zwischen dem Unterzeichner und seiner Zustimmung zu schaffen. Nach eIDAS reicht Biometrie allein nicht aus, um die fortgeschrittene Stufe (AES) zu erreichen: Sie muss mit starker Authentifizierung kombiniert werden. Biometrische Daten werden nach der DSGVO als vertraulich behandelt und ihre Verarbeitung erfordert ausdrückliche Zustimmung.
Blockchain und elektronische Notarisierung: Die Blockchain-Notarisierung besteht darin, den kryptografischen Fingerabdruck (SHA-256-Hash) eines Dokuments in einem unveränderlichen verteilten Register (Bitcoin, Ethereum usw.) zu verankern, um seine Existenz zu einem bestimmten Zeitpunkt zu beweisen. Im Gegensatz zu qualifiziertem RFC 3161-Zeitstempel wird die Blockchain-Notarisierung nicht als rechtlicher Beweis im Sinne von eIDAS anerkannt: Sie stellt vor bestimmten Gerichten zulässige Indizien dar, ersetzt aber nicht einen akkreditierten QTSP. Der Vorteil ist Dezentralisierung: Der Beweis überlebt das Verschwinden des Dienstleisters. Im Unternehmenskontext ist Blockchain vor allem für die Archivierung von Zusatzbeweisen relevant (Hash auf der Chain veröffentlicht) als Redundanzschicht über einer klassischen elektronischen Archivierung mit Beweiskraft.

C

Elektronisches Siegel: Das elektronische Siegel ist das Äquivalent der elektronischen Signatur für juristische Personen (Unternehmen, Behörden). Es garantiert die Herkunft und Integrität eines Dokuments, das im Namen einer Organisation ausgestellt wird, ohne einen identifizierten menschlichen Unterzeichner einzubeziehen. Die eIDAS-Verordnung anerkennt einfache, fortgeschrittene und qualifizierte elektronische Siegel ebenso wie Signaturen.
SSL-/TLS-Vorhängeschloss: Das SSL-/TLS-Vorhängeschloss ist der visuelle Indikator, der vom Browser angezeigt wird (Vorhängeschloss-Symbol in der Adressleiste) und bestätigt, dass eine verschlüsselte TLS-Verbindung zwischen dem Browser und dem Server hergestellt ist. Es bescheinigt, dass die ausgetauschten Daten (Dokumente, OTP-Codes, Anmeldedaten) nicht im Klartext abgefangen werden können. Certyneo erzwingt TLS 1.3 auf allen seinen Endpunkten und macht das Vorhängeschloss auf allen Signaturseiten sichtbar.
Certificat de travail: Le certificat de travail est un document que l'employeur doit obligatoirement remettre au salarié à la fin de tout contrat de travail (art. L1234-19 et D1234-6 du Code du travail), quelle que soit la cause de la rupture. Il mentionne les dates d'entrée et de sortie, la nature des emplois occupés et les périodes correspondantes. C'est un document « quérable » : il est tenu à la disposition du salarié, qui vient le chercher. Il peut être signé et remis par voie électronique avec pleine valeur juridique. Voir tous les documents de fin de contrat →
Elektronisches Zertifikat: Un certificat électronique est un fichier numérique délivré par une autorité de certification (AC) qui associe une clé publique à l'identité vérifiée de son titulaire — on parle aussi de certificat de signature numérique lorsqu'il sert à signer. C'est la pièce d'identité numérique sur laquelle repose toute signature numérique.

Ce que contient un certificat : l'identité du titulaire (Distinguished Name), sa clé publique, l'AC émettrice, la période de validité (1 à 3 ans en général), les usages autorisés (signature, cachet, TLS) et l'empreinte cryptographique de l'ensemble, signée par l'AC.

La chaîne de confiance : chaque certificat est signé par une AC, elle-même certifiée par une AC de niveau supérieur, jusqu'au certificat racine. Vérifier une signature revient à remonter cette chaîne — et à contrôler que le certificat n'a pas été révoqué (listes CRL, protocole OCSP).

Certificat simple ou qualifié : un certificat standard suffit pour la signature avancée (AES) ; la signature qualifiée (QES) exige un certificat qualifié, délivré par un prestataire de confiance qualifié après vérification d'identité en face à face ou équivalente.

Sur Certyneo : vous n'avez aucun certificat à acheter ni à installer — les certificats de signature sont portés par la plateforme et appliqués côté serveur au moment du scellement PAdES du document. Le certificat de signature numérique : guide complet →
Qualifiziertes Zertifikat: Un certificat qualifié est un certificat électronique délivré par un prestataire de services de confiance qualifié (QTSP) inscrit sur la liste de confiance d'un État membre de l'UE — le niveau d'assurance le plus élevé reconnu par le règlement eIDAS.

Ce qu'il ajoute à un certificat standard : l'identité du titulaire est vérifiée avant la délivrance (face à face physique, identification vidéo ou identité électronique équivalente) ; la clé privée est protégée dans un dispositif certifié (QSCD, souvent adossé à un HSM) ; et le QTSP est audité régulièrement par l'organe de contrôle national (en France, l'ANSSI).

À quoi sert-il ? C'est le composant obligatoire de la signature qualifiée (QES), seule à bénéficier de l'équivalence automatique avec la signature manuscrite dans toute l'UE (art. 25 eIDAS), avec présomption de fiabilité en cas de litige. Il est requis pour les actes les plus sensibles : actes d'avocat, certains marchés publics, cessions d'entreprise.

Sur Certyneo : la QES est proposée à l'acte, sans abonnement dédié — la vérification d'identité du signataire et la délivrance du certificat qualifié sont intégrées au parcours de signature. La signature qualifiée (QES) chez Certyneo →
Root-Zertifikat und Vertrauenskette: Ein Root-Zertifikat ist der Gipfel der PKI: Von der Root-Zertifizierungsstelle selbstsigniert, verankert es das Vertrauen der gesamten Kette. Bei der Überprüfung einer elektronischen Signatur folgt der Verifizierer der Zertifikatskette (Endeinheit → Zwischenstelle(n) → Root) und prüft, dass jede Verbindung gültig, nicht widerrufen (OCSP / CRL) und mit seiner Nutzungsrichtlinie konform ist. Browser und Betriebssysteme enthalten Speicher mit vertrauenswürdigen Roots (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Für qualifizierte eIDAS-Signaturen muss die Kette bis zu einem QTSP auf der EU-Vertrauensliste zurückgehen. Ein Zertifikat, dessen Root nicht im Speicher des Verifizierers ist, wird abgelehnt, selbst wenn die kryptografische Signatur technisch korrekt ist.
Verschlüsselung: Verschlüsselung ist der Prozess, bei dem eine lesbare Nachricht mit Hilfe eines Algorithmus und eines geheimen Schlüssels in ein unlesbares Format (Chiffrentext) umgewandelt wird. Sie schützt die Vertraulichkeit von Daten während der Übertragung und im Ruhezustand und ergänzt das Hashing, das zur Gewährleistung der Integrität bei der Signatur verwendet wird. Certyneo verwendet TLS 1.3, um alle Kommunikationen zwischen dem Browser und den Servern zu verschlüsseln.
Verschlüsselung im Ruhezustand (Encryption at Rest): Verschlüsselung im Ruhezustand bezeichnet den Schutz gespeicherter Daten durch Verschlüsselung, so dass sie ohne Entschlüsselungsschlüssel unleserlich sind, auch bei unbefugtem physischem oder logischem Zugriff auf den Speicher. Certyneo verschlüsselt Dokumente und ihre Audit-Trails im Ruhezustand (AES-256) auf seinen in Deutschland gehosteten Infrastrukturen, gemäß den Anforderungen der DSGVO.
CLM (Contract Lifecycle Management): CLM (Contract Lifecycle Management) bezeichnet die Gesamtheit der Prozesse und Tools, die den vollständigen Lebenszyklus eines Vertrags abdecken : Entwurf, Verhandlung, interne Genehmigung, elektronische Signatur, Speicherung und Verlängerung. Einheitliches Verzeichnis : eine CLM-Lösung zentralisiert alle Verträge in einem einheitlichen, abfragbaren Verzeichnis mit Ablaufwarnungen, Klauselbibliotheken, Validierungs-Workflows und Vertragsrisiko-Reports und ersetzt verstreute E-Mail-Ketten und gemeinsam genutzte Laufwerke. Platz der Signatur : die elektronische Signatur ist eine Phase in der CLM-Kette — sobald der Vertrag genehmigt ist, geht er zur Unterzeichnung über und wird dann mit Beweiskraft archiviert. Integration mit Certyneo : Certyneo deckt die Unterzeichnungsphase ab und integriert sich über REST-API mit einer CLM eines Drittanbieters — es erhält das finalisierte Dokument, verwaltet den Unterzeichnungsablauf (sequenziell oder parallel, auf der Ebene von Advanced (AES) oder Qualified (QES)), und gibt das unterzeichnete PDF mit einem mit Zeitstempel versehenen Audit-Trail zurück, das die CLM als endgültige Version archiviert. Warum das wichtig ist : ein unterzeichneter, aber nicht in einem CLM verwalteter Vertrag setzt das Unternehmen immer noch Erneuerungen aus und Sanktionen durch stillschweigende Verlängerung aus, daher wird Signatur und Verwaltung des Lebenszyklus zunehmend zusammen gekauft.
Gegensignatur und Mehrfachsignatur: Gegensignatur bezeichnet die Erfassung von mindestens zwei Signaturen auf demselben Dokument. Es gibt zwei Modi: sequenzielle Signatur (Unterzeichner B erhält die Einladung erst, nachdem A signiert hat — nützlich für hierarchische Verträge oder notarielle Urkunden) und parallele Signatur (alle Unterzeichner erhalten die Einladung gleichzeitig — schneller für symmetrische Dokumente). Gegensignatur wirft die Frage der Runden-übergreifenden Integrität auf: Jedes hinzugefügte PAdES im PDF muss die vorherige Überarbeitung durch eine inkrementelle Signatur referenzieren und garantieren, dass kein Teil das Dokument zwischen zwei Unterzeichnungen geändert hat. Certyneo verwaltet die Reihenfolge der Unterzeichner, gezielte Mahnungen, Ablauffristen pro Unterzeichner und erkennt automatisch Änderungsversuche zwischen Runden durch SHA-256-Hash-Verifizierung bei jedem Schritt des Audit-Trails.
OTP (One-Time Password / OTP-Code): Ein OTP (One-Time Password, Einmalpasswort — manchmal auch "OTP-Code" genannt) ist ein temporärer Zahlcode, üblicherweise bestehend aus 4 bis 8 Ziffern, die zufällig generiert und für nur eine Sitzung oder Transaktion gültig sind. Nach der Verwendung oder Ablauf (typischerweise 5 Minuten) wird er ungültig — auch wenn ein Angreifer ihn wiederholen würde, würde er abgelehnt.

Drei Hauptvarianten von OTP :
• OTP per SMS : Code wird als Textnachricht an die Telefonnummer des Unterzeichners gesendet. Das häufigste Verfahren bei der breiten Öffentlichkeit, da keine Anwendung erforderlich ist. Bekannte Schwachstellen: SIM-Swapping, SS7-Abfang — daher reicht OTP per SMS für die fortgeschrittene Signatur (AES), wird aber nicht mehr für QES akzeptiert (ANSSI und ENISA empfehlen seit 2020, zu stärkeren Faktoren überzugehen).
• OTP per E-Mail : Code wird per E-Mail versendet. Einfacher umzusetzen, erbt aber die Sicherheitsschwächen des E-Mail-Kontos des Empfängers. Akzeptabel für die einfache Signatur (SES).
• TOTP (Time-based OTP) : Code wird lokal von einer Anwendung auf dem Telefon des Unterzeichners generiert (Google Authenticator, Authy, 1Password). Synchronisiert über einen gemeinsamen geheimen Schlüssel bei der Registrierung. Kein Netzwerkkanal zum Zeitpunkt der Signatur — resistent gegen Abhörung. Standard RFC 6238.

OTP und elektronische Signatur : bei der fortgeschrittenen elektronischen Signatur schafft der Versand eines OTP per E-Mail oder SMS eine überprüfbare Verbindung zwischen dem unterzeichneten Dokument und der Identität des Unterzeichners über seinen Kommunikationskanal (Telefon oder E-Mail). Das OTP wird im Audit-Trail des Dokuments aufgezeichnet (Zeitstempel, IP, Kanalkennung) — Beweis, der bei Anfechtung geltend gemacht werden kann.

Implementierung bei Certyneo : OTP per SMS über Twilio Verify auf AES-Umschlägen — wird unmittelbar vor der Signatur ausgelöst, Gültigkeit 5 Minuten, 3 Versuche. TOTP für Administratorkonten als Alternative zu OTP per SMS verfügbar. Siehe auch MFA und starke Authentifizierung. Mehr über die Authentifizierung des Unterzeichners erfahren →
Compliance (Konformität): Compliance bezeichnet die Einhaltung der für eine Organisation geltenden Gesetze, Vorschriften und Normen. Im Kontext der elektronischen Signatur bezieht sich dies insbesondere auf die Verordnung eIDAS, die DSGVO, das Arbeitsgesetzbuch (für Arbeitsverträge), das ALUR-Gesetz (Immobilien) und die berufsethischen Regeln bestimmter Berufe (CNB für Anwälte, CGAER für Notare). Nichtkonformität setzt das Unternehmen dem Risiko der Nichtigkeit seiner Handlungen und administrativen Sanktionen aus.
Elektronische Zustimmung: Elektronische Zustimmung ist die Willensbekundung einer Person, die auf digitale Weise ausgedrückt wird, um den Bedingungen zuzustimmen oder ein Dokument zu unterzeichnen. Um Beweiskraft zu haben, muss diese Zustimmung frei, spezifisch, informiert und eindeutig sein, gemäß der DSGVO. In einem Signatur-Workflow stellt das Klicken auf "Unterzeichnen" die elektronische Zustimmung des Unterzeichners dar.
Elektronischer Vertrag: Ein elektronischer Vertrag ist jede Willenserklärung, die auf digitalem Wege geschlossen wird, geregelt in Frankreich durch die Artikel 1366 bis 1368 des Code civil und das LCEN. Im Gegensatz zu einer einfachen Online-Bestellung beinhaltet ein elektronischer Vertrag ein mehrstufiges Verfahren: Angebot, vorvertragliche Information, ausdrückliche Annahme ("Akzeptieren anklicken" oder elektronische Signatur), dann Aufbewahrung mit Beweiskraft für die gesetzliche Dauer. Die Beweiskraft wird verstärkt durch: eine fortgeschrittene Signatur (AES) oder qualifizierte (QES), einen qualifizierten Zeitstempel, die Erfassung der Zustimmung und der IP-Adresse des Unterzeichners. Die Verordnung eIDAS 2 erweitert diese Anforderungen auf grenzüberschreitende Verträge in der EU durch das Europäische Portefeuille für digitale Identität.
CRL (Certificate Revocation List): Eine CRL (Zertifikatwiderrufsliste) ist eine Liste, die periodisch von einer Zertifizierungsstelle veröffentlicht wird und die vor ihrem Ablaufdatum widerrufen Zertifikate auflistet, in der Regel aufgrund einer Schlüsselkompromittierung oder eines Identitätswechsels. Bei der Überprüfung einer digitalen Signatur konsultiert die Software die CRL (oder verwendet OCSP), um sicherzustellen, dass das Zertifikat des Unterzeichners zum Zeitpunkt der Signatur nicht widerrufen wurde.
Asymmetrische Kryptografie (öffentlicher Schlüssel / privater Schlüssel): Asymmetrische Kryptografie basiert auf einem mathematisch verbundenen Schlüsselpaar: dem privaten Schlüssel (geheim, gespeichert in einem HSM oder QSCD) und dem öffentlichen Schlüssel (frei verteilt in einem Zertifikat). Um ein Dokument zu signieren, berechnet der Unterzeichner den Fingerabdruck des Dokuments und verschlüsselt ihn mit seinem privaten Schlüssel; jeder kann die Signatur verifizieren, indem er diesen Fingerabdruck mit dem öffentlichen Schlüssel entschlüsselt und mit dem Hash des Originaldokuments vergleicht. Dominante Algorithmen sind RSA (Schlüssel 2048–4096 Bits) und ECC (Kurven P-256, P-384). RSA 2048 Bits wird vom NIST bis 2030 empfohlen; ECC P-256 bietet ein gleichwertiges Sicherheitsniveau mit 10× kürzeren Schlüsseln (Leistungsgewinn bei HSM). Widerstand gegen Quantencomputer wird durch die Post-Quanten-Algorithmen CRYSTALS-Dilithium und CRYSTALS-Kyber gewährleistet, die sich gerade in der NIST-Standardisierung befinden.

D

Unterzeichnungsvollmacht: Die Unterzeichnungsvollmacht ist der Mechanismus, durch den ein bevollmächtigter Unterzeichner (Vollmachtgeber) seine Unterzeichnungsbefugnis formell an einen Dritten (Bevollmächtigter) für einen definierten Zeitraum und Umfang überträgt. Nach französischem Recht muss eine Unterzeichnungsvollmacht ausdrücklich, schriftlich formalisiert und die abgedeckten Handlungen genau benennen (Artikel 1994 Code civil für Mandat und Satzungsbestimmungen für Unternehmen). Bei Certyneo wird die Vollmacht auf der Verwaltungsseite verwaltet : der Vollmachtgeber konfiguriert eine Unterzeichnungsrolle für den Bevollmächtigten ; der Audit-Trail dokumentiert die tatsächliche Identität des Unterzeichners und die rechtliche Grundlage seiner Vollmacht.
Digitalisierung: Digitalisierung bezeichnet den Ersatz von Papierdokumenten und -prozessen durch ihre digitalen Äquivalente. Sie umfasst die Digitalisierung, die ursprüngliche Erstellung elektronischer Dokumente und deren Unterzeichnung mit Tools wie Certyneo. Sie ermöglicht es, Zeit, Kosten und die Umweltbelastung von Dokumentenprozessen zu reduzieren. Siehe die Vorteile der Digitalisierung von Verträgen →
Distinguished Name (DN): Der Distinguished Name (DN) ist die eindeutige Kennung eines Antragstellers in einem X.509-Zertifikat. Er besteht aus hierarchischen Attributen: CN (Common Name, Name des Inhabers), O (Organisation), OU (Organisationseinheit), C (Country, Land als ISO-Code) usw. — beispielsweise CN=Jean Dupont, O=Certyneo, C=FR. Der DN des Unterzeichners ist in den Signatureigenschaften eines validierten PDF in Adobe Acrobat Reader sichtbar.
DPA (Datenverarbeitungsvereinbarung): Eine DPA (Data Processing Agreement, oder Datenverarbeitungsvereinbarung) ist der durch Artikel 28 der DSGVO vorgeschriebene Vertrag zwischen einem Verantwortlichen (dem Kunden) und einem Auftragsverarbeiter (wie Certyneo). Sie regelt die Zwecke der Verarbeitung, die Kategorien personenbezogener Daten, Sicherheitsmaßnahmen, Bedingungen für weitere Auftragsverarbeitung und Pflichten bei Verstößen. Der Abschluss einer DPA ist vor jeder Verarbeitung personenbezogener Daten von Unterzeichnern obligatorisch. Certyneo bietet eine Standard-DPA an, die den AGB beigefügt ist.

E

ECC (Elliptic-Curve-Kryptografie): Die Elliptic-Curve-Kryptografie (ECC) ist ein asymmetrisches Kryptografieverfahren, das auf den algebraischen Eigenschaften elliptischer Kurven basiert. Sie bietet RSA-äquivalente Sicherheit mit deutlich kürzeren Schlüsseln (256-Bit-ECC ≈ 3072-Bit-RSA) und reduziert damit die Rechenlast. ECC ist der bevorzugte Algorithmus für TLS 1.3 (Kurve X25519, P-256) und wird zunehmend in Zertifikaten für digitale Signaturen verwendet.
eIDAS: eIDAS (Electronic IDentification, Authentication and trust Services) ist die europäische Verordnung Nr. 910/2014, die einen gemeinsamen Rechtsrahmen für elektronische Signaturen, Siegel, Zeitstempel und andere Vertrauensdienste in der EU schafft. Sie definiert drei Signaturebenen (einfach, fortgeschritten, qualifiziert) und schafft den Begriff der qualifizierten Vertrauensdiensteanbietern. Mehr zu eIDAS erfahren →
eIDAS 2.0: eIDAS 2.0 (EU-Verordnung 2024/1183, 2024 in Kraft getreten) ist die Hauptüberarbeitung von eIDAS, die insbesondere die Europäische Digital-Identitätstasche (EUDIW) einführt. Sie zielt darauf ab, die Anerkennung digitaler Identitäten auf alle öffentlichen und privaten Dienste der EU auszudehnen, und verschärft die Anforderungen an qualifizierte Anbieter. Die digitale Identität jedes europäischen Bürgers wird bis 2026 von einer zertifizierten mobilen Geldbörse bereitgestellt.
Signatur-Umschlag: Ein Signatur-Umschlag ist der logische Container, der ein oder mehrere Dokumente zur Unterzeichnung, die Liste der Unterzeichner, positionierte Signaturfelder und die Konfiguration des Workflows zusammenfasst. Bei Certyneo hat jeder Umschlag seinen eigenen Lebenszyklus (Entwurf, gesendet, ausstehend, signiert, abgelehnt, abgelaufen) und einen zeitgestempelten Audit-Trail.
Massenversand (Bulk Signing): Massenversand (oder Bulk Signing) bezeichnet die Möglichkeit, ein Dokument an zahlreiche Unterzeichner gleichzeitig zu senden oder mehrere unterschiedliche Dokumente in einer einzigen Operation zu versenden. Diese Funktionalität ist unverzichtbar für HR (Arbeitsverträge), Versicherungen (Änderungen) oder Immobilien (Vollmachten). Bei Certyneo ermöglicht die API die Orchestrierung von Massenversänden durch einen einzigen Programmaufruf, wobei jeder Unterzeichner einen individuellen Link und ein persönliches Audit-Trail erhält.
ESIGN Act: Der ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) ist das US-amerikanische Bundesgesetz, das die Gültigkeit von elektronischen Signaturen und Online-Verträgen in den USA anerkennt. Ergänzend zur UETA (Mustergesetz der Bundesstaaten) etabliert er das Prinzip, dass eine Signatur nicht allein deshalb abgelehnt werden kann, weil sie elektronisch ist. Bei transatlantischen Verträgen wird eine AES eIDAS in der Regel als ESIGN/UETA-konform anerkannt und erleichtert so EU–USA-Vertragsabschlüsse.
EUDI Wallet (Europäische Digital-Identitätstasche): Die Europäische Digital-Identitätstasche (EUDI Wallet, European Digital Identity Wallet) ist die von eIDAS 2.0 vorgesehene mobile Anwendung. Sie ermöglicht EU-Bürgern, zertifizierte Identitätsattribute (Personenstandsdaten, Diplome, Führerscheine) zu speichern und freizugeben sowie qualifizierte Signaturen (QES) von ihrem Smartphone aus durchzuführen. Die EUDI Wallet wird FranceConnect+ in Frankreich bis 2026–2027 schrittweise ersetzen.

F

Genehmigungsworkflow (Approval Workflow): Ein Genehmigungsworkflow ist eine strukturierte Abfolge von Validierungsschritten, durch die ein Dokument gehen muss, bevor es signiert wird. Typischerweise: Entwurf → Rechtsprüfung → Finanzvalidierung → Signatur. Im französischen Geschäftsrecht verlangen bestimmte Urkunden eine formalisierte Genehmigung vor der Unterzeichnung (Verwaltungsratsbeschluss, Visum des CFO). Technisch unterscheidet sich ein Genehmigungsworkflow von der Gegensignatur: Genehmiger validieren den Inhalt, ohne notwendigerweise ihre elektronische Signatur anzubringen (sie klicken auf "Genehmigt"), während Endsignatare ihre Verantwortung übernehmen. Certyneo unterstützt beide Modi im selben Signatur-Envelope-Fluss, mit unterschiedlichen Rollen (Approver vs Signer) und Webhooks, die bei jeder Statusänderung ausgelöst werden.
Hash-Funktion: Eine Hash-Funktion ist eine mathematische Einwegfunktion, die eine Eingabe beliebiger Größe in eine Ausgabe fester Länge umwandelt, die als Fingerabdruck (Digest oder Hash) bezeichnet wird. Jede Änderung, auch nur eines einzelnen Bits, erzeugt einen radikal unterschiedlichen Fingerabdruck. Moderne Funktionen (SHA-256, SHA-3) sind kollisionsresistent. Bei der digitalen Signatur wird das Dokument zunächst gehasht und dann der Fingerabdruck mit dem privaten Schlüssel verschlüsselt – dies garantiert die Integrität des unterzeichneten Inhalts.
FranceConnect: FranceConnect est le service d'identité numérique de l'État français qui permet aux citoyens de s'authentifier auprès de services en ligne publics ou privés à partir d'un identifiant existant (Impots.gouv, Ameli, La Poste, MSA, Identité Numérique). Un cran au-dessus, FranceConnect+ est qualifié « substantiel » au sens du règlement eIDAS et peut servir à déclencher une signature avancée (AES) voire qualifiée (QES). D'ici fin 2026, FranceConnect+ sera progressivement remplacé par l'identité numérique portée par le Portefeuille Européen (EUDIW) prévu par eIDAS 2.0.

G

Vorlage (Dokumentvorlage): Eine Vorlage (oder Template) ist ein vorkonfiguriertes Standarddokument mit seinen dynamischen Feldern (Unterzeichner, Daten, Beträge, Signaturfelder), das als Ausgangspunkt für wiederkehrende Hüllen dient. Bei Certyneo industrialisieren Vorlagen Workflows mit hohem Volumen (Arbeitsverträge, NDA, Bestellscheine): Man dupliziert die Vorlage, füllt die Variablen des Einzelfalls aus, sendet sie ab. Die kostenlosen Vertragsvorlagen auf /modeles-contrats sollen heruntergeladen und dann als Vorlagen in Ihrem Konto instanziiert werden.
GDPR (General Data Protection Regulation): GDPR (General Data Protection Regulation, Verordnung EU 2016/679) ist die englische Bezeichnung für die DSGVO. Diese EU-Verordnung regelt die Erfassung, Verarbeitung und Speicherung personenbezogener Daten in der EU. Sie gilt für jede Organisation, die Daten von europäischen Bewohnern verarbeitet, unabhängig von ihrem Standort. Sie schreibt insbesondere den Abschluss einer DPA mit Auftragsverarbeitern vor, Dataminimierung und die Einhaltung von Personenrechten (Zugriff, Berichtigung, Löschung).
Dokumentengenerator und digitaler Seriendruck: Ein Dokumentengenerator kombiniert eine Vertragsvorlage mit variablen Daten (Name, SIREN, Betrag, Datum usw.), um automatisch ein unterzeichnungsbereites PDF zu erstellen. Gängige Technologien sind: Word/DOCX-Template-Engines (Carbone.io, Docxtemplater), LaTeX, HTML-to-PDF (Puppeteer/headless Chrome) und die Adobe PDF Services API. Der Vorteil des digitalen Seriendruck gegenüber dem Papierseriendruck ist der direkte Versand an den Signatur-Workflow ohne Druck: Das generierte Dokument wird über die REST-API in die Signatur-Envelope injiziert, Signaturfelder werden durch Koordinaten oder HTML-Tags positioniert, und der Zyklus schließt sich in wenigen Sekunden. Das Hauptrisiko ist die Divergenz der Seitenlayout zwischen dem lokalen DOCX-Rendern und dem Server-Rendern — eine Reihe von visuellen Regressionstests (PNG-Erfassung + Diff) werden empfohlen.

H

Hashing (Hash): Hashing ist eine kryptographische Operation, die ein Dokument beliebiger Größe in einen digitalen Fingerabdruck fester Größe umwandelt, genannt "Hash". Jede noch so kleine Änderung des Dokuments erzeugt einen völlig unterschiedlichen Hash und garantiert damit die Integrität der Datei. Die digitale Signatur basiert auf der Verschlüsselung dieses Hash mit dem privaten Schlüssel des Unterzeichners.
TLS-Handshake: Der TLS-Handshake ("Händedruck") ist die Verhandlungsphase, die zu Beginn einer TLS-Verbindung stattfindet. Client und Server einigen sich auf die Cipher Suite, tauschen ihre Zertifikate aus (optionale gegenseitige Authentifizierung) und stellen Sitzungsschlüssel durch ein Protokoll mit ephemerem Schlüssel (ECDHE) her. TLS 1.3 hat den Handshake auf 1 Netzwerk-Roundtrip reduziert (gegenüber 2 bei TLS 1.2) und verbessert damit die Leistung von Signatursitzungen auf mobilen Geräten.
Elektronische Zeitstempelung: Die elektronische Zeitstempelung ist ein Mechanismus, der eine digitale Daten an einen genauen Zeitpunkt auf überprüfbare und fälschungssichere Weise bindet. Ein qualifizierter Zeitstempel, ausgestellt von einem qualifizierten Anbieter gemäß eIDAS, bietet einen rechtlichen Beweis für die Existenz eines Dokuments an einem bestimmten Datum. Er ist unverzichtbar für die Erhaltung der Beweiskraft von Dokumenten über lange Zeiträume.
Qualifizierte Zeitstempel (TSA): Ein qualifizierter Zeitstempel ist ein elektronischer Zeitstempel, der von einer gemäß eIDAS qualifizierten Trusted Stamp Authority (TSA) ausgestellt wird. Er erbringt einen legal anerkannten Nachweis der Existenz eines Dokuments zu einem bestimmten Datum und einer bestimmten Uhrzeit, gebunden an den Hash des Dokuments. Für die Profile PAdES B-T, B-LT und B-LTA erforderlich, um die Beweiskraft langfristig zu gewährleisten.
HSM (Hardware Security Module): Ein HSM (Hardware Security Module, Hardware-Sicherheitsmodul) ist ein tamper-proof Hardwaregerät, das sich der sicheren Generierung, Speicherung und Verwendung kryptographischer Schlüssel widmet. Das HSM führt kryptographische Operationen (Signatur, Entschlüsselung, Schlüsselerzeugung) durch, ohne jemals den privaten Schlüssel freizulegen – dieser bleibt innerhalb des Hardware-Perimeters, geschützt durch physische Gegenmaßnahmen (Eindringlingssensoren, automatische Löschung bei Öffnungsversuch).

HSM-Zertifizierungen: Um gemäß der Verordnung eIDAS qualifiziert zu sein, muss ein HSM strenge Standards erfüllen – FIPS 140-2 Level 3 oder FIPS 140-3 Level 3+ (US-Standard des NIST) und/oder Common Criteria EAL4+ (europäischer Standard). HSMs mit Common Criteria-Zertifizierung sind berechtigt, Schlüssel für qualifizierte Signatur (QES) und Schlüssel für qualifizierten Zeitstempel zu hosten. Die europäische Vertrauensliste (EU Trusted List) führt die für jeden qualifizierten Anbieter autorisierten HSMs auf.

Cloud-HSM vs. physisches HSM: Historisch waren HSMs spezialisierte Appliances, die in privaten Rechenzentren installiert wurden. Cloud-Provider bieten jetzt gemeinsam genutzte oder dedizierte HSMs als SaaS an – AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, aber auch nationale HSMs, die von europäischen QTSP betrieben werden. Die Verordnung eIDAS 2.0 erkennt Cloud-HSMs ausdrücklich für qualifizierte Fernsignatur an.

HSM und Verschlüsselung ("HSM-Verschlüsselung"): Über die Signatur hinaus schützen HSMs Verschlüsselungsschlüssel für Datenbanken, Festplattenverschlüsselungsschlüssel (BitLocker, FileVault, LUKS), Root-Schlüssel für interne PKI und Anwendungsgeheimnisse. Schlüsselrotation, Sicherung und Widerruf werden über PKCS#11 oder proprietäre Schnittstellen verwaltet.

Implementierung bei Certyneo: Die kryptographischen Schlüssel für Fernsignatur werden in HSMs mit Common Criteria EAL4+-Zertifizierung gehostet, die von unserem qualifizierten Vertrauensdienst-Anbieter (QTSP) betrieben werden. Kein privater Schlüssel ist jemals für Certyneo oder seinen Hoster zugänglich – jede Signaturoperation läuft durch starke Authentifizierung des Unterzeichners und einen API-Aufruf zum HSM, der die Signatur zurückgibt, ohne den Schlüssel freizulegen. Siehe auch QSCD und Cloud-Signatur.
HTTP/3: HTTP/3 ist die dritte Hauptversion des HTTP-Protokolls, basierend auf QUIC (UDP-Transport) statt TCP. Es reduziert die Latenz (Beseitigung des Head-of-Line Blocking), verbessert die Wiederherstellung nach Netzwerkunterbrechungen und integriert nativ TLS 1.3. Certyneo nutzt HTTP/3, um das Laden von zu signierenden Dokumenten und die Übermittlung von Zustimmungsformularen zu beschleunigen, besonders auf Mobilgeräten in beeinträchtigter Netzwerkumgebung.

I

Digitale Identität: Die digitale Identität ist die Gesamtheit der Daten, die es ermöglichen, eine natürliche oder juristische Person im digitalen Raum zu identifizieren. Sie kann von einem Staat bereitgestellt werden (elektronischer Personalausweis, FranceConnect) oder von privaten Betreibern (qualifizierte Anbieter). Mit eIDAS 2.0 wird jeder europäische Bürger über eine offizielle digitale Identitätsmappe (EUDIW) verfügen.
IdP (Identity Provider / Identitätsanbieter): Ein Identity Provider (IdP) ist ein Dienst, der digitale Identitäten verwaltet und Authentifizierungsbestätigungen an Drittanwendungen (Service Provider) ausstellt. Dominante Protokolle sind SAML 2.0 (Enterprise, SSO Okta/Azure AD) und OIDC/OAuth 2.0 (Web, FranceConnect). Im Kontext der elektronischen Signatur spielt der IdP zwei Rollen: (1) Authentifizierung des Unterzeichners beim Zugriff auf das Signaturportal (MFA über Enterprise-SSO); (2) Bereitstellung von verifizierten Identitätsattributen (Name, E-Mail, Mitarbeiternummer), die das Signaturzertifikat und den Audit-Trail speisen. FranceConnect ist der französische öffentliche IdP, der das Vertrauensniveau "substantiell" für fortgeschrittene Signaturen für Behördendienste erreicht. Certyneo integriert mit SAML und OIDC IdPs über die Admin-Konsole.
Tintensignatur (digitalisierte handschriftliche Signatur): Eine Tintensignatur (oder digitalisierte handschriftliche Signatur) ist die Digitalisierung der traditionellen handgeschriebenen Signatur als Bild (JPG/PNG), die auf ein Dokument angebracht wird. Sie stellt die grundlegendste Stufe der einfachen elektronischen Signatur (SES) unter eIDAS dar: ohne starke Authentifizierung und ohne Audit-Trail ist ihr Beweiskraft begrenzt. Sie wird jedoch weiterhin für Dokumente mit geringem rechtlichem Risiko verwendet (interne Signaturen, Anmerkungen).
Integrität (von Daten): Integrität bezeichnet die Eigenschaft, die garantiert, dass Daten nach ihrer Erstellung, Übertragung oder Speicherung nicht verändert oder gefälscht wurden. Bei der digitalen Signatur wird die Integrität durch die Hash-Funktion gewährleistet: Jede Änderung des Dokuments bedeutet, dass der neu berechnete Hash nicht mehr dem in der Signatur verschlüsselten Hash entspricht, was die Überprüfung sofort ungültig macht. Daher ist ein mit Certyneo signiertes PDF « versiegelt » — es kann nicht geändert werden, ohne dass die Signatur bricht.
eIDAS-Interoperabilität: Die eIDAS-Interoperabilität bezeichnet die gegenseitige Anerkennung digitaler Identitäten und elektronischer Signaturen zwischen EU-Mitgliedstaaten, wie sie durch die eIDAS-Verordnung (Artikel 6 und 25) vorgeschrieben ist. Ein qualifiziertes Zertifikat, das von einem Vertrauensdiensteanbieter (TSP) ausgestellt wurde und auf der Vertrauensliste eines Mitgliedstaats aufgeführt ist, wird automatisch in allen anderen Mitgliedstaaten als gültig anerkannt — ohne zusätzliche Maßnahmen. Diese Interoperabilität deckt die Ebenen AES und QES ab. Die Verordnung eIDAS 2.0 (EU 2024/1183) erweitert diesen Mechanismus auf das EUDI-Portemonnaie (Europäische digitale Identität), das für 2026 geplant ist.

J

Signatur-Token: Ein Signatur-Token ist das kryptographische Objekt, das zum Zeitpunkt der Signatur erzeugt wird und folgende Elemente enthält: der Hash des Dokuments, der Zeitstempel, die Kennung des Unterzeichners und die kryptographische Signatur selbst (verschlüsselt mit dem privaten Schlüssel über die PKI). Dieser Token wird im endgültigen PDF gemäß dem Format PAdES eingebettet und ermöglicht es jedem Verifizierer – Richter, Sachverständiger, Auditor – den Signaturnachweis ohne Abhängigkeit von der Plattform zu rekonstruieren. Der Token ist autark: Selbst wenn Certyneo verschwinden würde, würde die Signatur mit einem Standard-PDF-Leser (Acrobat Reader, pdfsig) verifizierbar bleiben.
Protokollierung und Aufbewahrung von Signaturlogs: Protokollierung im Kontext der elektronischen Signatur bezieht sich auf die unveränderliche Aufzeichnung aller Ereignisse im Lebenszyklus eines Dokuments: Erstellung, Versand, Öffnung, OTP verifiziert, Signatur angebracht, Herunterladen des Unterzeichneten, Archivierung. Diese Logs bilden die technische Schicht des Audit-Trails und können im Falle einer Auseinandersetzung erforderlich sein. Rechtliche Anforderungen variieren: Die DSGVO verlangt eine Begrenzung der Aufbewahrungsdauer personenbezogener Daten, während Verjährungsfristen von Verträgen (5 Jahre im Handelsrecht, 10 Jahre für Zivilrechtsurkunden) die minimale Aufbewahrungsdauer der Logs bestimmen. Best Practice: Logs müssen kryptografisch signiert sein (Integritäts-Token), um zu beweisen, dass sie nicht manipuliert wurden. Certyneo bewahrt die Logs jeder Envelope für die geltende Dauer auf und bindet sie in den herunterladbaren digitalen Safe ein.
JWT (JSON Web Token): Ein JWT (JSON Web Token, RFC 7519) ist ein kompaktes und sicheres Format zur Darstellung von Zusicherungen zwischen zwei Parteien. Es besteht aus drei in Base64URL codierten Teilen, getrennt durch Punkte: der Header (Algorithmus), das Payload (Claims) und die Signatur. Die Certyneo-API verwendet signierte JWTs (HS256 oder RS256) für die Verwaltung von Sitzungen und die Authentifizierung von API-Aufrufen und stellt sicher, dass die Token nicht manipuliert wurden. Access-JWTs haben eine kurze Lebensdauer, ergänzt durch langlebige Refresh-Token.

K

KYC (Know Your Customer): KYC (Know Your Customer) bezeichnet die Gesamtheit der Verfahren zur Identitätsverifikation, die ein Unternehmen auf seine Kunden anwendet, bevor es eine Geschäftsbeziehung eingeht. Ursprünglich von Richtlinien gegen Geldwäsche an Banken verpflichtet, hat sich KYC auf elektronische Signatursvorgänge mit hohem Risiko ausgeweitet: Kontoeröffnung, Kreditvergabe, Versicherungen, notarielle Urkunden. Drei Säulen: die Verifikation des Identitätsdokuments (OCR und Betrugserkennung bei den Sicherheitselementen eines Ausweises oder Passes), die Liveness-Erkennung (Nachweis, dass die Person real und präsent ist, keine Fotos oder Deepfakes), und die Validierung von Informationen anhand von Referenzdatenbanken. Verbindung zur Signaturkategorie: Je sensibler der Rechtsakt, desto strenger das KYC – eine einfache Signatur erfordert möglicherweise keines, während die Verordnung eIDAS eine persönliche oder gleichwertige Remote-Identitätsverifikation (Video-KYC) vor der Ausstellung des Zertifikats einer qualifizierten Signatur (QES) vorschreibt. KYC und AML-CFT: KYC ist die Eingangsstufe der Geschäftsbeziehung; die laufende Überwachung von Transaktionen (AML-CFT) erfolgt dann fortlaufend. Warum das wichtig ist: Ein robustes KYC ermöglicht es, dass eine Remote-Signatur denselben Rechtswert wie eine persönlich beglaubigte Signatur hat, indem der Signaturschlüssel an eine verifizierten Person gebunden wird.

L

LCCJTI (Gesetz über den Rechtsrahmen der Informationstechnologien): Die LCCJTI ist das Gesetz von Québec (L.R.Q., Kapitel C-1.1), das den rechtlichen Rahmen für elektronische Signaturen und Dokumente in Québec schafft. Sie erkennt die elektronische Signatur explizit als gleichwertig mit der handschriftlichen Signatur an, sofern die Identität des Unterzeichners zuverlässig festgestellt wird und die Verbindung zwischen der Signatur und dem Dokument gewährleistet ist (Artikel 39). Die LCCJTI ergänzt die eIDAS-Verordnung (in Europa gültig) und das PIPEDA (für persönliche Daten außerhalb von Québec). Sie ist die rechtliche Grundlage für Certyneo-Signaturen für québekische Verträge. Das Gesetz 25 (2022) modernisiert das begleitende Regime des Schutzes persönlicher Informationen.
LCEN (Gesetz 2004-575): Die LCEN (Loi pour la Confiance dans l'Économie Numérique vom 21. Juni 2004, Nr. 2004-575) ist der Gründungstext des französischen Digitalrechts. Sie regelt den elektronischen Handel, die Haftung von Hosting-Providern, digitale Werbung und verpflichtet Betreiber professioneller Websites zur Veröffentlichung von Impressumsangaben (Firmenname, Kapital, Handelsregisternummer, Adresse, Verantwortlicher Redakteur, Host). Ergänzend zur europäischen eIDAS-Verordnung setzte sie auch die erste Richtlinie zu elektronischen Signaturen in französisches Recht um. Die LCEN bleibt parallel zu eIDAS anwendbar, insbesondere hinsichtlich vorvertraglicher Informationspflichten und der Aufbewahrung elektronischer Verträge ab 120 €.
LegalTech: Le terme LegalTech (Legal Technology) désigne les startups et solutions logicielles qui appliquent la technologie au domaine juridique pour automatiser, accélérer ou rendre accessible des services jusqu'ici réservés aux professionnels du droit. La signature électronique, la dématérialisation des contrats, la due diligence par IA et la gestion documentaire en font partie. Certyneo s'inscrit dans l'écosystème LegalTech européen en proposant une signature conforme eIDAS simple à intégrer.
LTV (Long-Term Validation): Die Langzeitvalidierung (LTV, Long-Term Validation) ist eine Funktionalität von PDF-Signaturen (PAdES B-LT/B-LTA), die alle notwendigen Daten zur zukünftigen Signaturverifizierung in das signierte Dokument einbettet: Zertifikatskette, Zeitstempel, OCSP- oder CRL-Antworten. Dank LTV bleibt ein signiertes Dokument Jahre nach der Unterzeichnung überprüfbar, auch wenn die Zertifikate abgelaufen sind. Certyneo integriert LTV, um die Beweiskraft über 10 Jahre zu garantieren.

M

Elektronisches SEPA-Mandat (Lastschriftmandat): Das elektronische SEPA-Mandat (E-Mandat) ermöglicht es einem Gläubiger, die Genehmigung für automatische Lastschriften eines Schuldners vollständig online zu erfassen, gemäß EU-Verordnung Nr. 260/2012 und den Richtlinien des EPC (European Payments Council). Der Schuldner gibt seine IBAN und seinen BIC ein und unterzeichnet das Mandat dann durch einfache elektronische Signatur (SES); die Bank des Schuldners kann ihn über Open Banking (DSP2/PSD2) authentifizieren. Das unterzeichnete Mandat muss 14 Monate nach der letzten Lastschrift aufbewahrt werden. Ein gültiges E-Mandat enthält: die Gläubiger-Identifikationsnummer SEPA (ICS), die eindeutige Mandatsreferenz (RUM) und das Unterzeichnungsdatum. SaaS-Plattformen, Softwarehersteller und Schulungsorganisationen nutzen häufig Certyneo, um SEPA-Mandate bei der Online-Anmeldung zu erfassen, indem sie die Signatur über die REST-API in den Bestellprozess integrieren.
Handschriftliche Signatur: Die handschriftliche Signatur ist die Namenszüge, die eine Person von Hand am unteren Rand eines Papierdokuments anbringt und an ihrem persönlichen Schriftzug erkennbar ist. Sie bleibt die historische Referenz des französischen Zivilrechts (Artikel 1367 des Bürgerlichen Gesetzbuchs). Die eIDAS-Verordnung etabliert das Prinzip der Nichtdiskriminierung: eine elektronische Signatur, unabhängig von ihrem Niveau, kann nicht allein deshalb als Beweis abgelehnt werden, weil sie elektronisch ist. Eine qualifizierte Signatur (QES) hat in der gesamten EU die gleiche Beweiskraft wie eine handschriftliche Signatur. Fortgeschrittene Signaturen (AES) bieten oft eine überlegene Rückverfolgbarkeit (Audit-Trail mit Zeitstempel) im Vergleich zu ihrem Papieräquivalent.
MFA (Multi-Faktor-Authentifizierung): MFA (Multi-Factor Authentication, Multi-Faktor-Authentifizierung auf Deutsch — manchmal auch als 2FA abgekürzt für Two-Factor Authentication, wenn genau zwei Faktoren kombiniert werden) ist ein Sicherheitsmechanismus, der die Vorlage von mindestens zwei Identitätsnachweisen aus verschiedenen Kategorien erfordert:

• Wissensfaktor ("was ich weiß") : Passwort, PIN-Code, Antwort auf eine Sicherheitsfrage, Passphrase.
• Besitzfaktor ("was ich besitze") : Telefon, das einen OTP per SMS oder TOTP-Anwendung erhält (Google Authenticator, Authy, 1Password), YubiKey oder ein anderer FIDO2-Schlüssel, Zertifikat auf einer Smartcard.
• Inhärenzfaktor ("was ich bin") : Fingerabdruck, Gesichtserkennung, Stimme, Iris. Implementiert über native OS-APIs moderner Betriebssysteme (Face ID, Touch ID, Windows Hello, Android BiometricPrompt).

MFA vs. 2FA : 2FA ist eine strikte Teilmenge der MFA — genau zwei Faktoren. MFA kann zwei, drei oder mehr Faktoren kombinieren. Die Öffentlichkeit verwechselt die beiden Begriffe häufig; in der B2B- und Rechtscybersicherheit ist MFA der Oberbegriff.

MFA und elektronische Signatur : die fortgeschrittene elektronische Signatur (AES) erfordert eine starke Authentifizierung des Unterzeichners, was in der Praxis in eine MFA übersetzt wird (typischerweise E-Mail + OTP SMS). Die qualifizierte Signatur (QES) verlangt eine verstärkte MFA — Identitätsüberprüfung mit Ausweisdokument + Besitzfaktor (Smartcard oder QSCD). Die eIDAS-Verordnung nennt MFA nicht ausdrücklich, schreibt sie aber über die Anforderungen der starken Authentifizierung vor.

Implementierung bei Certyneo : MFA ist obligatorisch für alle Administratorzugriffe (TOTP über Google Authenticator oder OTP per E-Mail zur Auswahl). Für Unterzeichner wird die Kombination E-Mail + OTP SMS standardmäßig auf AES-Umschlägen angewendet. Siehe auch OTP und starke Authentifizierung.

N

Signaturebene (einfach, fortgeschritten, qualifiziert): Die eIDAS-Verordnung unterscheidet drei Ebenen der elektronischen Signatur: die einfache Signatur (SES), die eine minimale Identifizierung erfordert; die fortgeschrittene Signatur (AES), die eine eindeutige Verbindung zum Unterzeichner und starke Authentifizierung verlangt; und die qualifizierte Signatur (QES), die auf einem qualifizierten Zertifikat und einem sicheren Erstellungsgerät basiert. Die QES hat in der gesamten EU denselben Rechtswert wie eine handschriftliche Signatur. Signaturebenen verstehen →
Nichtabstreitbarkeit: Nichtabstreitbarkeit ist die Eigenschaft einer elektronischen Signatur, die es dem Unterzeichner unmöglich macht, zu bestreiten, die Handlung ausgeführt zu haben (unterzeichnen, senden, akzeptieren). Sie wird durch die Kombination der kryptografischen Signatur (technisch unwiderlegbare Verbindung), des Audit-Trails mit Zeitstempel und der starken Authentifizierung gewährleistet. Eine qualifizierte Signatur (QES) bietet die stärkste Nichtabstreitbarkeit, die im europäischen Recht anerkannt wird.
ISO/IEC 27001 Norm und ISMS-Zertifizierung: ISO/IEC 27001 ist die internationale Referenznorm für Informationssicherheitsmanagementsysteme (ISMS). Sie definiert die Anforderungen zur Etablierung, Implementierung, Aufrechterhaltung und kontinuierlichen Verbesserung eines ISMS durch 93 Kontrollen, die in 4 Bereiche unterteilt sind (organisatorisch, menschlich, physisch, technologisch). Für einen Anbieter von elektronischer Signatur zeigt die ISO-27001-Zertifizierung ein Sicherheitsreifeniveau, das den Verpflichtungen von eIDAS und GDPR entspricht. Sie wird häufig in öffentlichen Ausschreibungen und Sicherheitsfragebogen großer Unternehmen verlangt. Die Norm ISO 27017 (Cloud-Sicherheit) und ISO 27018 (Schutz personenbezogener Daten in der Cloud) ergänzen ISO 27001 für SaaS-Dienste. Certyneo wird in Rechenzentren gehostet, die ISO 27001 zertifiziert sind, und verfügt über ein dokumentiertes ISMS, das die gesamte Signaturverarbeitungskette abdeckt.

O

OCSP (Online Certificate Status Protocol): OCSP (Online Certificate Status Protocol, RFC 6960) ist ein Protokoll zur Echtzeit-Überprüfung des Widerrufsstatus eines elektronischen Zertifikats durch Abfrage eines OCSP-Responders, der von der Zertifizierungsstelle betrieben wird. Warum Widerruf wichtig ist: Ein Zertifikat kann zeitlich gültig sein, aber vorzeitig widerrufen werden (Schlüsselkompromittierung, Mitarbeiteraustritt); eine Signatur oder TLS-Verbindung muss daher den Status überprüfen, nicht nur das Ablaufdatum. OCSP versus CRL: OCSP ist eine leichtere und reaktivere Alternative zu einer CRL — anstatt die gesamte Widerrufsliste herunterzuladen, fragt der Client ein einzelnes Zertifikat ab und erhält eine prägnante signierte Antwort (gültig / widerrufen / unbekannt). OCSP Stapling: Um eine Datenschutzlecks und einen zusätzlichen Roundtrip zu vermeiden, ruft der Server seine eigene OCSP-Antwort ab und "heftet" sie in den TLS-Handshake ein, sodass der Browser die ZS niemals direkt kontaktiert. In signierten Dokumenten: OCSP-Antworten werden zum Zeitpunkt der Signatur in das PDF integriert für Langzeitvalidierung (LTV), damit die Signatur jahrelang überprüfbar bleibt, auch wenn der Responder offline ist.
Elektronisches Onboarding (digitale Kontoeröffnung): Das elektronische Onboarding ist der Prozess der Kontoeröffnung oder Anmeldung, der vollständig digitalisiert ist und KYC, Identitätsprüfung und elektronische Signatur von Verträgen (AGB, SEPA-Mandat, Kontovertrag) in einer einzigen Web- oder Mobile-Sitzung kombiniert. Die Bank-, Versicherungs- und Fintech-Branchen sind am weitesten fortgeschritten: die DSP2-Richtlinie schreibt starke Authentifizierung (SCA) bei der Kontoeröffnung vor. Ein Onboarding, das der eIDAS-Verordnung entspricht, erfordert, dass die Remote-Identitätsprüfung ein "substanzielles" oder "hohes" Vertrauensniveau für verbindliche Transaktionen aufweist. Die Lösungen kombinieren: OCR von Ausweisdokumenten, Liveness-Check (Video oder Selfie), AES- oder QES-Signatur und automatische Archivierung des vollständigen KYC-Dossiers im digitalen Safe.

P

PAdES (PDF Advanced Electronic Signature): PAdES (PDF Advanced Electronic Signature, Standard ETSI EN 319 142) ist der europäische Standard für digitale Signaturen, die in PDF-Dateien eingebettet sind. PAdES wurde durch die eIDAS-Verordnung als Referenzformat für europäische Dokumente angenommen und wird heute nativ von allen PDF-Readern (Adobe Acrobat, Foxit, PDF.js, pdfsig) implementiert. Eine PAdES-Signatur ist IN die PDF eingebettet: keine separaten Dateien, keine Abhängigkeit von Drittplattformen, Offline-Verifizierbarkeit.

Die vier PAdES-Profile definieren ein schrittweise erhöhtes Garantieniveau:
• PAdES B-B (Baseline-B): Basissignatur mit minimalen ETSI-Attributen. Ausreichend für übliche Anwendungen, bei denen unmittelbare Beweiskraft ausreicht.
• PAdES B-T (Baseline-T): fügt unmittelbar nach der Signatur einen qualifizierten Zeitstempel RFC 3161 hinzu, der das Datum belegt.
• PAdES B-LT (Baseline-Long Term): fügt Langzeitvalidierung mit eingebetteter Zertifikatskette und Widerrufdaten hinzu. Verifizierbar, auch nach Ablauf des ursprünglichen Zertifikats.
• PAdES B-LTA (Baseline-Long Term with Archive timestamp): fügt periodische Archivierungszeitstempel hinzu, um die Beweiskraft über 10 Jahre hinaus zu erhalten, notwendig für Dokumente mit sehr langer Aufbewahrung (Immobilien, Patente).

Certyneo-Implementierung: Alle signierten PDFs werden standardmäßig in PAdES B-LT produziert, dem für die meisten B2B-Anwendungen empfohlenen Profil. Das B-LTA-Profil ist im Business-Plan für Verträge mit Aufbewahrung über 10 Jahre aktivierbar. Verifizierbarkeit in Adobe Acrobat Reader ohne Plugin garantiert.

PAdES vs. andere Formate: siehe XAdES (für XML), Vergleich PAdES / XAdES / CAdES.
Elektronischer Paraphe: Der elektronische Paraphe ist das digitale Äquivalent des physischen Paraphes, der in öffentlichen Verwaltungen und großen Unternehmen verwendet wird: er zentralisiert Dokumente, die auf Genehmigung oder Unterzeichnung durch einen Entscheidungsträger warten. Historisch auf den öffentlichen Sektor beschränkt (ADULLACT, Pastell von Libriciel), hat sich der elektronische Paraphe auf Unternehmen mit Lösungen erweitert, die in GED-Systeme (Documentum, SharePoint, Alfresco) integriert sind. Ein elektronischer Paraphe verwaltet: die Eingangsdokumentenliste, Unterschriftsdelegationen (siehe Delegation), mehrstufige Validierungsabläufe (Genehmigungsworkflow) und die Anbringung der qualifizierten elektronischen Signatur des autorisierten Unterzeichners. Der Hauptunterschied zu einem einfachen Signaturwerkzeug ist die Verwaltung von Postfächern (ausstehende, unterzeichnete, abgelehnte, archivierte Dokumente) und das Audit-Trail für jedes Dokument. Certyneo bietet einen integrierten Paraphe über das Dashboard oder die API.
PDF/A (Langzeit-Archivierung): PDF/A ist eine normalisierte ISO-Version des PDF-Formats (ISO 19005), speziell für die Langzeitarchivierung konzipiert. Es integriert alle Schriftarten, Bilder und Ressourcen in die Datei, verbietet Verschlüsselung und auf externe Umgebungen angewiesene Inhalte. Dies garantiert, dass das Dokument ohne Softwareabhängigkeit auch nach 30 Jahren noch lesbar ist. Für elektronische Archivierung mit Beweiskraft ist die Kombination von PDF/A mit PAdES B-LTA die empfohlene Praxis.
PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada): Das PIPEDA (Personal Information Protection and Electronic Documents Act, auf Französisch : Loi sur la protection des renseignements personnels et les documents électroniques) ist das kanadische Bundesgesetz zum Schutz persönlicher Informationen im privaten Sektor (S.C. 2000, c. 5). Es regelt die Erhebung, Nutzung und Offenlegung persönlicher Informationen in interprovínszialen und internationalen Geschäftsaktivitäten. Es ist das kanadische Äquivalent der europäischen DSGVO, obwohl es an einigen Stellen weniger streng ist (stillschweigende Zustimmung manchmal zulässig, niedrigere Geldstrafen).

Die 10 Prinzipien des PIPEDA (aus dem Canadian Standards Association CAN/CSA-Q830) :
1. Verantwortlichkeit — einen Datenschutzverantwortlichen ernennen.
2. Bestimmung der Zwecke — den Zweck der Erhebung klar ankündigen.
3. Zustimmung — informierte Zustimmung einholen.
4. Beschränkung der Erhebung — nur das Notwendigste erheben.
5. Beschränkung der Nutzung — nur für angegebene Zwecke nutzen.
6. Korrektheit — Daten aktuell halten.
7. Sicherheitsmaßnahmen — angemessene technische und organisatorische Sicherheit.
8. Transparenz — öffentliche Datenschutzerklärung.
9. Zugang zu persönlichen Informationen — Zugriffs- und Berichtigungsrecht.
10. Möglichkeit, eine Beschwerde einzureichen — bei den Privacy Commissioners of Canada.

PIPEDA und elektronische Signatur : die elektronische Signatur beinhaltet die Verarbeitung persönlicher Informationen (Name, E-Mail-Adresse, Telefonnummer, IP, Sitzungs-Metadaten, Audit-Trail). Das PIPEDA verlangt :
• informierte Zustimmung des Unterzeichners vor der Erhebung ;
• sichere Speicherung (Verschlüsselung im Ruhezustand, eingeschränkter Zugriff) ;
• Aufbewahrungsdauer proportional zum Zweck (10 Jahre für Geschäftsverträge ist allgemein akzeptiert) ;
• Zugriffs-, Berichtigungs- und Löschungsrecht auf Anfrage des Unterzeichners ;
• obligierte Benachrichtigung im Fall einer Verletzung, die ein echtes Risiko schwerwiegenden Schadens darstellt (seit 2018).

Gesetz 25 von Québec : die Provinz Québec verfügt über ein eigenes Gesetz (Gesetz 25 / Loi modernisant les dispositions sur la protection des renseignements personnels, in Kraft seit 2022-2024), das Vorrang vor dem PIPEDA für intra-québekische Aktivitäten hat. Das Gesetz 25 ist strenger als das PIPEDA — in den meisten Punkten an der europäischen DSGVO ausgerichtet : explizite Zustimmung erforderlich, Ernennung eines Datenschutzverantwortlichen, Datenschutz-Folgenabschätzungen (DPIA), Geldstrafen bis 4 % des weltweiten Umsatzes.

PIPEDA vs. DSGVO : die Europäische Kommission erkennt das PIPEDA als angemessen im Sinne von Artikel 45 der DSGVO an (Beschluss 2002/2/EG bestätigt 2024). Übermittlungen persönlicher Daten aus der EU nach Kanada sind daher ohne weitere Förmlichkeiten zulässig. Für kanadische Organisationen, die in der EU tätig sind, bleibt die DSGVO für die Daten europäischer Bewohner anwendbar (Extraterritorialität, Artikel 3).

Umsetzung Certyneo : PIPEDA + Gesetz 25 + DSGVO-Compliance gewährleistet durch unsere Datenschutzarchitektur — Hosting in EU-Souveränität (IONOS Deutschland), TLS 1.3-Verschlüsselung im Transit + AES-256 im Ruhezustand, Zugriffsprotokollierung, Vollständiges Löschungsrecht innerhalb von 30 Tagen, konforme Auftragsverarbeiter. Übermittlungen nach Kanada (selten — nur auf Anfrage in Kanada gehostete Konten) sind durch DSGVO-PIPEDA-Standardvertragsklauseln geregelt.
Audit-Trail: Das Audit-Trail (oder Audit Trail) ist das zeitgestempelte Protokoll aller auf einem Dokument durchgeführten Aktionen: Versand, Öffnung, Ansicht, OTP-Eingabe, Signatur, Ablehnung, Ablauf. Es ist der Hauptnachweis der Beweiskraft im Streitfall, da es nachweist, dass das Signaturverfahren ordnungsgemäß durchgeführt wurde. Bei Certyneo ist das Audit-Trail in der endgültigen PDF integriert und wird 10 Jahre lang in unserer Datenbank gespeichert. Audit-Trail im Detail verstehen →
PKI (Public-Key-Infrastruktur): Eine PKI (Public Key Infrastructure) ist die Gesamtheit der Hardware-, Software-, Verfahrens- und Richtlinienkomponenten, die es ermöglichen, elektronische Zertifikate auszustellen, zu verwalten und zu widerrufen. Sie basiert auf asymmetrischer Kryptografie: ein privater Schlüssel (geheim) wird zum Signieren verwendet, ein öffentlicher Schlüssel (im Zertifikat verbreitet) ermöglicht es jedem, die Signatur zu überprüfen. Qualifizierte Anbieter betreiben PKIs, die den ETSI-Standards entsprechen.
Datenportabilität (GDPR Art. 20): Artikel 20 der GDPR gibt betroffenen Personen das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln. Für Nutzer einer elektronischen Signaturplattform umfasst dieses Recht: unterzeichnete Dokumente und ihre Audit-Trails, Kontometadaten und Aktivitätslogs. Datenportabilität verpflichtet den Anbieter, einen standardisierten Export (JSON, CSV, ZIP) innerhalb eines Monats bereitzustellen. Umgekehrt kann das Recht auf Löschung (Art. 17) durch gesetzliche Aufbewahrungspflichten eingeschränkt werden (beweiskräftige Archivierung 5–10 Jahre) — unterzeichnete Dokumente können erst gelöscht werden, wenn die gesetzliche Aufbewahrungsfrist abgelaufen ist. Certyneo implementiert den vollständigen Account-Export über den Client-Bereich und unterstützt die Migration von Archiven in einen Drittanbieter-Safe.
Anbieter von Vertrauensdiensten (AVD / TSP): Ein Anbieter von Vertrauensdiensten (AVD oder TSP im Englischen) ist eine Einheit, die Dienste für Zeitstempel, Ausstellung von Zertifikaten, Signatur oder Archivierung im Sinne der eIDAS-Verordnung bereitstellt. Ein qualifizierter AVD unterliegt regelmäßigen Audits und ist in der nationalen Vertrauensliste eingetragen (in Frankreich: ANSSI-Liste). Die Qualifizierung garantiert die höchste in der EU anerkannte Sicherheitsstufe. Siehe die Verpflichtungen von Anbietern →

Q

QES (Qualifizierte elektronische Signatur): Die qualifizierte elektronische Signatur (QES, Qualified Electronic Signature) ist die höchste Stufe, die in der eIDAS-Verordnung definiert ist. Sie ist rechtlich einer handschriftlichen Unterschrift in der gesamten Europäischen Union gleichwertig. Ihre Ausstellung erfordert: eine vorherige Identitätsprüfung, ein von einem QTSP ausgestelltes qualifiziertes Zertifikat und die Verwendung eines sicheren Signaturerstellungsgeräts (QSCD). Sie ist für elektronische notarielle Urkunden, bestimmte öffentliche Aufträge und sensible Verwaltungsverfahren erforderlich.
QSCD (Gerät zur Erstellung qualifizierter Signaturen): Ein QSCD (Qualified Signature Creation Device) ist ein Hard- oder Softwaregerät, das die strengen Anforderungen von Anlage II der eIDAS-Verordnung für die Erstellung von qualifizierten Signaturen (QES) erfüllt. Es garantiert, dass der private Signaturschlüssel im Gerät erzeugt wird, diesen niemals im Klartext verlässt und nur vom berechtigten Inhaber verwendet werden kann. Zertifizierte HSMs und Smartcards sind gängige Formen von QSCD. Cloud-Signatur nutzt virtuelle QSCDs, die in zertifizierten HSMs gehostet werden.
QTSP (Qualified Trust Service Provider): Ein QTSP (Qualified Trust Service Provider, oder Qualifizierter Anbieter von Vertrauensdiensten) ist ein AVD, der geprüft und in die Vertrauensliste eines EU-Mitgliedstaates gemäß der eIDAS-Verordnung eingetragen wurde. Die Qualifizierung ist die höchste europäische Anerkennungsstufe: Sie ist obligatorisch für die Ausstellung von qualifizierten Zertifikaten, qualifizierten Zeitstempeln oder qualifizierten Signaturen (QES). In Frankreich führt die ANSSI die offizielle Liste (docaposte, Universign/Oodrive, CertEurope…). Certyneo arbeitet mit mehreren QTSPs zusammen, um QES auszulösen, wenn die qualifizierte Stufe erforderlich ist (öffentliche Aufträge, Notariatsurkunden, bestimmte Sozialverfahren).

R

Automatische Nachverfolgung: Die automatische Nachverfolgung ist die Funktionalität einer elektronischen Signaturplattform, die automatisch E-Mail- oder SMS-Erinnerungen an Unterzeichner versendet, die noch nicht signiert haben, nach konfigurierbarer Häufigkeit. Sie reduziert Signaturabbrüche und beschleunigt die Fertigstellung von Workflows. Bei Certyneo sind Nachverfolgungen pro Umschlag konfigurierbar (Häufigkeit, Nachrichteninhalt) und alle Aktionen werden im Audit-Trail protokolliert.
DSGVO: Die DSGVO (Datenschutz-Grundverordnung, Verordnung EU 2016/679) regelt die Erfassung, Verarbeitung und Speicherung personenbezogener Daten in der EU. Im Rahmen der elektronischen Signatur schreibt sie insbesondere vor, die bei Unterzeichnern erfassten Daten zu minimieren, eine Aufbewahrungsfrist festzulegen und das Recht auf Löschung zu sichern. Certyneo ist DSGVO-konform mit Hosting in der EU (Deutschland) und ein verfügbares Verarbeitungsregister. Siehe unsere Sicherheitsseite →
ROI der elektronischen Signatur: Der ROI (Return on Investment) der elektronischen Signatur wird auf vier Positionen gemessen: (1) Reduzierung des Signaturzyklus — von 5-10 Tagen (Post/Scan) auf durchschnittlich weniger als 1 Stunde, (2) direkte Einsparungen — Druck, Porto, physische Archivierung (geschätzt auf 15 bis 30 € pro Umschlag), (3) Reduzierung der Abbruchquote — Verträge mit ausstehender Papiersignatur haben eine 3× höhere Abbruchquote, (4) Compliance — DSGVO-Bußgelder für schlechte Archivierung von Papierkontrakten können die jährlichen Kosten eines SaaS-Tools übersteigen. Der Übergang zu Papierlosigkeit amortisiert sich in der Regel in 3 bis 6 Monaten für KMU mit mehr als 50 Verträgen pro Monat.

S

SES (Einfache elektronische Signatur): Die einfache elektronische Signatur (SES, Simple Electronic Signature) ist die grundlegende Stufe, die in der Verordnung eIDAS definiert ist. Sie erfordert keine spezifischen technischen Anforderungen: ein Klick auf "Ich akzeptiere", ein Signaturabbild oder eine Signatur per E-Mail erfüllen diese Anforderung. Ihr Beweiskraft wird vermutet, kann aber angefochten werden, wenn der Unterzeichner seine Handlung bestreitet. Sie eignet sich für Dokumente mit geringem Rechtsrisiko (Angebote, interne Berichte, Absichtserklärungen). Bei wichtigeren Angelegenheiten sollte man die Stufe AES oder QES bevorzugen.
Unterzeichner: Le signataire est la personne physique qui appose sa signature électronique sur un document et s'engage juridiquement sur son contenu — à distinguer de l'expéditeur, qui prépare et envoie le document, et d'une personne morale, qui « signe » via un cachet électronique.

Qui peut être signataire ? Toute personne physique juridiquement capable : un particulier majeur pour ses propres engagements, ou un représentant habilité pour une entreprise — dirigeant, salarié muni d'une délégation de signature, mandataire. Vérifier l'habilitation du signataire est un point de contrôle essentiel : un contrat signé par une personne non habilitée peut être contesté.

Signataire, cosignataire, approbateur : le cosignataire est un signataire supplémentaire du même document (co-signature), engagé au même titre ; l'approbateur, lui, valide le document dans un flux d'approbation sans apposer de signature juridiquement engageante. L'ordre des signataires peut être séquentiel (chacun signe à son tour, avec relances automatiques) ou parallèle (tous en même temps) — c'est le workflow de signature.

Comment l'identité du signataire est-elle vérifiée ? Selon le niveau de signature : en signature simple (SES), par le lien email unique ; en signature avancée (signature avancée), par authentification forte — code OTP email + SMS ; en signature qualifiée (QES), par vérification de la pièce d'identité auprès d'un prestataire de confiance qualifié.

Sur Certyneo : le signataire reçoit un lien unique par email, visualise le document, s'authentifie et signe depuis son mobile ou son ordinateur, sans créer de compte. Chacune de ses actions (ouverture, OTP, signature, refus) est horodatée et consignée dans la piste d'audit jointe au PDF signé — c'est elle qui relie juridiquement le document au signataire. Comprendre les niveaux de signature →
Fortgeschrittene Signatur (AES / eIDAS Stufe 2): La signature avancée (Advanced Electronic Signature — AES) est le deuxième des trois niveaux de signature électronique définis par le règlement eIDAS (UE) n°910/2014, entre la signature simple (SES) et la signature qualifiée (QES). C'est le niveau recommandé pour la grande majorité des documents contractuels à enjeu.

Les quatre exigences de l'article 26 eIDAS :
• Lien univoque au signataire : la signature ne peut être attribuée qu'à une seule personne — assuré par le canal d'identification (email nominatif, mobile personnel).
• Identification du signataire : le procédé permet de retrouver qui a signé — état civil déclaré, adresse email, numéro de mobile vérifiés par code OTP.
• Contrôle exclusif : les données de création de signature sont sous le contrôle du seul signataire — matérialisé par l'authentification forte au moment de signer.
• Intégrité : toute modification ultérieure du document est détectable — garanti par le scellement cryptographique (hachage + PAdES).

AES vs SES vs QES : la SES n'exige aucune vérification renforcée (case à cocher, signature dessinée) — suffisante pour les documents du quotidien ; l'AES ajoute l'authentification forte et la preuve d'intégrité — adaptée aux contrats de travail, mandats, baux, dossiers bancaires et d'assurance ; la QES ajoute un certificat qualifié délivré après vérification d'identité et un dispositif certifié (QSCD) — c'est l'équivalent légal de la signature manuscrite dans toute l'UE, requis pour les actes les plus sensibles.

Valeur juridique : l'article 25 d'eIDAS interdit de refuser un effet juridique à une signature au seul motif qu'elle est électronique, et l'article 1367 du Code civil la reconnaît dès lors qu'un procédé fiable identifie le signataire et garantit l'intégrité de l'acte. En cas de litige, la fiabilité de l'AES se démontre par le faisceau de preuves : piste d'audit horodatée, codes OTP consignés, empreinte du document, horodatage. La QES bénéficie en plus d'une présomption de fiabilité (charge de la preuve inversée).

Quand l'AES suffit-elle ? Contrats de travail et avenants, contrats commerciaux, devis et bons de commande, mandats (vente, gestion locative, SEPA), baux, dossiers KYC et crédit : l'AES est le standard du marché. Passez à la QES pour les actes authentiques, certains marchés publics, la cession de fonds de commerce, ou lorsqu'un texte l'exige.

Sur Certyneo : l'AES est disponible sur tous les plans payants — le signataire est authentifié par double OTP email + SMS, le PDF signé est scellé au format PAdES avec horodatage, et la piste d'audit complète est jointe au document. La QES est disponible à l'acte, sans abonnement dédié. Comprendre les trois niveaux eIDAS → · Le règlement eIDAS en détail →
Biometrische Signatur: Die biometrische Signatur ist eine Form der elektronischen Signatur, die neben dem Bild des Handschriftzugs auch dynamische Verhaltensdaten erfasst: Stiftdruck, Geschwindigkeit, Neigungswinkel, Beschleunigung. Diese Parameter erzeugen einen einzigartigen Fingerabdruck, der schwer zu imitieren ist. Sie bietet eine robustere Authentifizierung als ein einfaches Signaturbild. Biometrische Daten werden nach der DSGVO als vertraulich behandelt und erfordern ausdrückliche Zustimmung. Allein reicht Biometrie nicht aus, um die AES-Stufe von eIDAS zu erreichen; sie muss mit starker Authentifizierung kombiniert werden.
Cloud-Signatur: Die Cloud-Signatur ist eine elektronische Signatur, bei der der private Schlüssel des Unterzeichners von einem Vertrauensanbieter in der Cloud generiert, gespeichert und verwaltet wird, anstatt auf einem lokalen Gerät (USB-Stick, Smartcard). Dieser Ansatz vereinfacht das Benutzererlebnis und ermöglicht qualifizierte Signaturen (QES) von einem einfachen Browser aus. Die Schlüssel werden in einem von einem QTSP betriebenen zertifizierten HSM geschützt.
Elektronische Signatur: Die elektronische Signatur ist ein Mechanismus, mit dem man auf ein digitales Dokument einen Identitäts- und Zustimmungsnachweis anbringt, der einer handschriftlichen Signatur gleichwertig ist. Im Sinne der Verordnung eIDAS umfasst sie drei Vertrauensstufen: einfach (SES), fortgeschritten (AES) und qualifiziert (QES). Im Gegensatz zur digitalen Signatur ist die elektronische Signatur ein Rechtsbegriff, der auf verschiedenen Technologien basieren kann. Unseren vollständigen Leitfaden entdecken →
Mobile Signatur: Mobile Signatur bezeichnet die Möglichkeit, ein Dokument elektronisch von einem Smartphone oder Tablet aus zu signieren, ohne native Anwendung — über den Webbrowser. Der Unterzeichner erhält einen Link per E-Mail oder SMS, zeigt das Dokument in seinem mobilen Browser an, paraphiert und signiert durch eine Touchgeste oder durch Eingeben seines vollständigen Namens (je nach erforderlichem Niveau) und validiert dann über OTP SMS. Bei Certyneo ist die Signaturoberfläche 100 % responsiv: Identität verifiziert, Audit Trail erstellt und cosigniertes PDF an den Empfänger in weniger als 60 Sekunden über mobiles 4G übertragen. Keine Installation für den Unterzeichner erforderlich.
Digitale Signatur: Die digitale Signatur ist eine technische Implementierung der elektronischen Signatur, die auf asymmetrischer Kryptographie basiert. Sie besteht darin, den Hash eines Dokuments mit dem privaten Schlüssel des Unterzeichners zu verschlüsseln und dabei einen Fingerabdruck zu erzeugen, der von jedem überprüft werden kann, der den entsprechenden öffentlichen Schlüssel besitzt (enthalten im Zertifikat). Sie garantiert sowohl die Identität des Unterzeichners als auch die Integrität des Dokuments.
Smart Contract und Vertragsautomatisierung: Ein Smart Contract ist ein selbstausführbares Programm, das auf einer Blockchain eingesetzt wird, dessen Bedingungen direkt im Computercode codiert sind und automatisch ausgeführt werden, wenn die vordefinierten Bedingungen erfüllt sind. Obwohl beliebt im Ethereum-Ökosystem (Solidity), stellt ein Smart Contract keinen elektronischen Vertrag im Sinne des französischen Zivilrechts dar: seine Ausführung ist automatisch, aber seine Durchsetzbarkeit bleibt an den Nachweis einer gültigen Willenseinigung gebunden. In der B2B-Praxis ist die robusteste Kombination: qualifizierte elektronische Signatur des Rahmenvertrags (sichere gesetzliche Beweisung) + Smart Contract für die automatische Ausführung von Finanzklauseln (Zahlungen, Strafen). Die Blockchain-Notarisierung des Hashs des unterzeichneten Vertrags bildet eine dritte Beweisschicht.
Solde de tout compte: Le solde de tout compte fait l'inventaire des sommes versées au salarié lors de la rupture de son contrat de travail (salaire, indemnités, congés payés…). Régi par l'article L1234-20 du Code du travail, il est établi en double exemplaire et son reçu peut être signé par le salarié. Une fois signé, le salarié dispose d'un délai de six mois pour le dénoncer. La signature électronique sécurise sa remise et en horodate la date. Documents de fin de contrat →
Cryptographische Suite (Cipher Suite): Eine kryptographische Suite ist eine benannte Kombination kryptographischer Algorithmen (Schlüsselaustausch, Authentifizierung, symmetrische Verschlüsselung, MAC/HMAC), die während des TLS-Handshakes zwischen Client und Server ausgehandelt wird. TLS 1.3 schreibt moderne Suites wie TLS_AES_256_GCM_SHA384 vor und eliminiert schwache Algorithmen (RC4, 3DES, MD5). Certyneo akzeptiert nur TLS 1.3-Suites, um die Sicherheit der Signatursitzungen zu maximieren.

T

Vertrauensstelle: Eine Vertrauensstelle ist ein neutraler und unabhängiger Akteur, dessen Aufgabe es ist, einen Austausch zwischen zwei Parteien zu sichern: In der elektronischen Signatur bescheinigt er die Identität der Unterzeichner, siegelt das Dokument, zeitstempelt die Handlungen und bewahrt die Nachweise auf. Historisch spielten Notare diese Rolle für Papierdokumente. Im digitalen Bereich wird die Vertrauensstelle durch die Verordnung eIDAS in Form von Anbietern von Vertrauensdiensten (PSC/TSP) und ihrer qualifizierten Version (QTSP) formalisiert. Certyneo agiert als Vertrauensstelle, indem es fortgeschrittene Signaturen (AES) ausstellt und die Ausstellung qualifizierter Signaturen (QES) an einen Partner-QTSP delegieren kann.
TLS (Transport Layer Security): TLS (Transport Layer Security) ist das kryptographische Protokoll, das die Kommunikation im Internet sichert und SSL nachfolgt. Es gewährleistet Vertraulichkeit (Verschlüsselung), Integrität und Authentifizierung des Servers (über sein Zertifikat). TLS 1.3, die aktuelle Version, setzt moderne kryptographische Suiten und einen Handshake in einem einzigen Austausch durch. Das Schloss im Browser signalisiert, dass eine TLS-Verbindung aktiv ist. Certyneo setzt mindestens TLS 1.3 auf all seinen Endpunkten durch.
Trusted List (EU-Vertrauensliste): Die Trusted List (Vertrauensliste) ist die von jedem EU-Mitgliedstaat veröffentlichte und von der Europäischen Kommission überwachte offizielle Liste, die qualifizierte Anbieter von Vertrauensdiensten (QTSP) und ihre Dienste aufzählt (qualifizierte Zertifikate, Zeitstempel, usw.). In Frankreich wird die Liste von der ANSSI gepflegt. Sie ist der Legitimitätsnachweis eines QTSP im Rahmen der Verordnung eIDAS. Nur gelistete Dienste genießen die gesetzliche Vermutung der Übereinstimmung mit eIDAS.
TSA (Timestamp Authority / Zeitstempel-Behörde): Eine TSA (Timestamp Authority) ist eine akkreditierte vertrauenswürdige Stelle, die Zeitstempel-Token gemäß RFC 3161 (Internet X.509 PKI Time-Stamp Protocol) ausstellt. Der Prozess: Der Client berechnet den Hash des Dokuments und sendet ihn über HTTPS an die TSA; die TSA signiert kryptographisch einen Token, der diesen Hash + die zertifizierte UTC-Zeit enthält. Dieser Token beweist, dass das Dokument in diesem exakten Zustand zu diesem genauen Datum existierte, ohne dass die TSA jemals Zugriff auf das Dokument selbst hatte. Eine qualifizierte TSA (QTSA) auf der EU Trust List erzeugt einen qualifizierten eIDAS-Zeitstempel, die beweiskräftigste Form. In PAdES-LT und PAdES-LTA sind TSA-Token im PDF eingebettet, was die Offline-Verifikation in 20 Jahren sichert, selbst wenn die ursprüngliche TSA nicht mehr existiert.

U

UETA (Uniform Electronic Transactions Act): UETA (Uniform Electronic Transactions Act, 1999) ist das amerikanische Modellgesetz, das die Beweiskraft elektronischer Signaturen in 47 der 50 Staaten anerkennt. Ergänzt durch den ESIGN Act (2000) auf Bundesebene, legt es fest, dass Verträge und Signaturen "nicht allein deshalb für ungültig erklärt werden können, weil sie in elektronischer Form vorliegen". Es ist das amerikanische funktionale Äquivalent der europäischen Verordnung eIDAS, mit einem liberaleren Ansatz: UETA definiert keine Stufen (SES/AES/QES) und sieht kein qualifiziertes Äquivalent vor. Für transatlantische Verträge wird eine fortgeschrittene Signatur (AES) eIDAS in der Regel als UETA/ESIGN-konform anerkannt, während das Umgekehrte nicht automatisch zutrifft.

V

Beweiskraft (elektronische Signatur): Die Beweiskraft ist die Fähigkeit eines elektronischen Dokuments, vor Gericht als Beweis anerkannt zu werden, genau wie ein Papierdokument. Es ist der zentrale juristische Begriff, der bestimmt, ob ein elektronisch unterzeichneter Vertrag gegen Ihren Kunden, Arbeitnehmer oder Lieferanten im Falle eines Rechtsstreits geltend gemacht werden kann.

Rechtliche Grundlage in Frankreich : das Gesetz vom 13. März 2000 hat in den französischen Code civil den Artikel 1366 eingeführt, der das Prinzip der Gleichwertigkeit zwischen Papierschrift und elektronischer Schrift aufstellt, unter der Bedingung, dass (1) die Person, von der die Schrift stammt, ordnungsgemäß identifiziert werden kann, und (2) das Dokument unter Bedingungen erstellt und aufbewahrt wird, die seine Integrität gewährleisten. Artikel 1367 präzisiert, dass die elektronische Signatur, die der europäischen Verordnung eIDAS entspricht, von dieser Gleichwertigkeit profitiert.

Die vier kumulativen Bedingungen für die Beweiskraft eines elektronisch unterzeichneten Dokuments :
• Identifizierung des Unterzeichners : hat die Authentifizierung ermöglicht, eine namentlich identifizierte natürliche Person zu ermitteln ? Mechanismen : OTP SMS für AES, Videoidentifizierung + KBIS für QES.
• Integrität des Dokuments : wurde der Inhalt seit der Unterzeichnung nicht verändert ? Garantiert durch das in die Signatur eingebettete kryptografische Hashing.
• Zuverlässigkeit des Prozesses : wendet der Signaturanbieter bewährte Praktiken an (Verschlüsselung, Schlüsselverwaltung über HSM, Nachverfolgung) ? Ein qualifizierter Anbieter (QTSP) auf der europäischen Vertrauensliste bietet die stärkste Garantie.
• Nachverfolgbarkeit : gibt es einen mit Zeitstempel versehenen und durchsetzbaren Audit-Trail (wer hat unterzeichnet, wann, von welcher IP, nach welcher Authentifizierung) ?

Gesetzliche Vermutung : eIDAS begründet eine Vermutung der Integrität und Herkunft für fortgeschrittene (AES) und qualifizierte (QES) Signaturen. In der Praxis wird die Beweislast umgekehrt : es ist derjenige, der die Signatur anzweifelt, der beweisen muss, dass sie ungültig ist, nicht der Unterzeichner. Eine qualifizierte Signatur profitiert zusätzlich von einer automatischen Gleichwertigkeit mit der handschriftlichen Signatur (Code civil Art. 1367 Abs. 2).

Dauer der Beweiskraft : ein unterzeichnetes Dokument behält seine Beweiskraft, solange die Archivierung die Bedingungen erfüllt (Integrität, Dauerhaftigkeit, Nachverfolgung). Für Verträge mit Aufbewahrung > 5 Jahren ermöglicht das Profil PAdES B-LTA mit regelmäßigen Archivierungs-Zeitstempeln die Verlängerung der Beweiskraft über den Ablauf der ursprünglichen Zertifikate hinaus. Siehe auch Nicht-Abstreitbarkeit und LTV.
Antivirenprüfung hochgeladener Dokumente: Bevor ein Dokument in einen Signatur-Workflow integriert wird, muss jede verantwortungsvolle Plattform es einer Antivirenanalyse (AV) unterziehen. Bedrohungen gegen PDFs umfassen: eingebettete Makros, bösartiges JavaScript (AcroForms), PDF-Parser-Exploits (CVE-2019-12657, etc.). Cloud-Scan-Lösungen (ClamAV Open-Source, OPSWAT MetaDefender, VirusTotal API) analysieren die Datei in Millisekunden. Die Compliance-Anforderungen ISO 27001 und SOC 2 Type II schreiben AV-Analyse aller eingehenden Dokumente vor. Ein infiziertes Dokument in einem Signatur-Workflow ist besonders risikobehaftet, da es an alle Unterzeichner gesendet wird und den Angriffsvektor amplifiziert. Die AV-Prüfung muss vor der Speicherung in der Datenbank durchgeführt werden, nicht danach. Certyneo analysiert jedes hochgeladene Dokument über ClamAV (In-Process-Daemon) und blockiert verdächtige Dateien mit einer aussagekräftigen Fehlermeldung, ohne sie jemals an den Workflow zu propagieren.
Identitätsverifikation (identity proofing): Die Identitätsverifikation (identity proofing) ist der Prozess der Überprüfung der tatsächlichen Identität einer Person, bevor ihr Identifikatoren ausgestellt oder die Genehmigung zur Signatur erteilt wird. Sie reicht von der einfachen Erfassung einer E-Mail-Adresse (einfaches Niveau) bis zur biometrischen Verifizierung von Ausweisdokumenten per Video (KYC Video, qualifiziertes Niveau). Sie ist obligatorisch für die Ausstellung eines qualifizierten Zertifikats und die Auslösung einer qualifizierten Signatur (QES).
Elektronisches Visum (Paraph): Das elektronische Visum (oder elektronischer Paraph) ist eine zwischenzeitliche Validierungshandlung, die von einem Genehmiger vor der endgültigen Unterzeichnung auf ein Dokument angebracht wird. Es zeigt an, dass ein Leser das Dokument zur Kenntnis genommen hat und es genehmigt, ohne es jedoch rechtlich bindend zu unterzeichnen. Bei Certyneo ermöglichen Multi-Actor-Workflows die Kombination von Visierungsstufen (interne Validierung) und Unterzeichnungsstufen (externe rechtliche Verpflichtung) und gewährleisten eine vollständige Rückverfolgbarkeit des Validierungsprozesses.

W

Webhook: Ein Webhook ist ein API-Mechanismus, der es Certyneo ermöglicht, automatisch eine HTTP-Benachrichtigung an die Anwendung des Kunden zu senden, wenn ein Ereignis eintritt (Dokument unterzeichnet, abgelehnt, abgelaufen, Audit-Trail generiert). Im Gegensatz zu Polling arbeitet der Webhook im Push-Modus : der Kunde muss die API nicht regelmäßig abfragen. Es ermöglicht die Integration von Certyneo in Drittanbieter-IT-Systeme (CRM, ERP, HRIS), um geschäftliche Aktionen in Echtzeit auszulösen, sobald ein Unterzeichnungs-Workflow abgeschlossen ist.
Unterzeichnungs-Workflow: Der Unterzeichnungs-Workflow ist der organisierte Prozess, der die Reihenfolge, Bedingungen und beteiligten Akteure bei der Unterzeichnung eines Dokuments definiert. Er kann sequenziell sein (jeder Unterzeichner unterzeichnet nach dem vorherigen), parallel (alle unterzeichnen gleichzeitig) oder gemischt. Bei Certyneo umfasst der Workflow die Verwaltung automatischer Erinnerungen, Ablauffristen und multi-Dokument-Umschläge.

X

XAdES (XML Advanced Electronic Signature): XAdES (XML Advanced Electronic Signatures, Norm ETSI EN 319 132) ist der europäische Standard für digitale Signaturen auf XML-Dokumenten. Mit der Verordnung eIDAS angenommen, ist XAdES das Referenzformat zum Signieren strukturierter XML-Dateien: elektronische Rechnungen (Factur-X, PEPPOL), EDI-Begleitzettel, behördliche Erklärungen, Marktdaten, SEPA-Transkriptionen.

Vier XAdES-Profile mit zunehmender Reife, ausgerichtet auf PAdES und CAdES:
• XAdES B-B: einfache XML-Signatur mit minimalen ETSI-Attributen. Anwendungsfall: einmalige Signatur einer XML-Stichprobe ohne Datumbeschränkung.
• XAdES B-T: fügt einen qualifizierten Zeitstempel RFC 3161 hinzu. Standard für elektronische Rechnungen und EDI-Flüsse, bei denen das Ausstellungsdatum nachgewiesen werden muss.
• XAdES B-LT: Langzeitvalidation mit Zertifikatskette und eingebetteten Widerrufsdaten. Bleibt nach Ablauf des ursprünglichen Zertifikats überprüfbar.
• XAdES B-LTA: periodische Archivierungszeitstempel zur Beibehaltung der Beweiskraft über 10+ Jahre. Unerlässlich für Steuerkennzeichen und geregelte Register.

XAdES vs PAdES: XAdES zum Signieren eines nativen XML-Dokuments wählen (Factur-X-Rechnung, PEPPOL-Begleitzettel, EDI-Austausch). PAdES zum Signieren einer PDF wählen (Verträge, Angebote, HR-Dokumente). Beide Formate sind rechtlich gleichwertig — der Unterschied ist technisch: das für den Dokumenttyp geeignete Format.

XAdES-Varianten: XAdES umhüllend (das XML-Dokument ist in der Signaturstruktur enthalten), XAdES umhüllt (die Signatur wird dem Dokument hinzugefügt), XAdES detached (Signatur in separater Datei gespeichert). Certyneo verwaltet alle drei Varianten über die REST-API. Siehe den PAdES / XAdES / CAdES Vergleich.
XAdES / PAdES / CAdES: XAdES, PAdES und CAdES sind die drei von der ETSI definierten Standards für digitale Signaturen für die Verordnung eIDAS. XAdES (XML Advanced Electronic Signatures, EN 319 132) signiert XML-Dokumente, PAdES (PDF, EN 319 142) bettet das Signatur-Token direkt in die PDF ein — dies ist das Format, das Certyneo zum Erstellen von offline verifizierbaren Dateien in Acrobat Reader verwendet. CAdES (CMS, EN 319 122) gilt für beliebige binäre Ströme. Jedes Format ist in Profile unterteilt (B-B, B-T, B-LT, B-LTA), die zunehmende Garantien bieten: Gültigkeit im Zeitverlauf, qualifizierter Zeitstempel, Langzeitarchivierungsnachweis.

Y

YubiKey (Hardware-Sicherheitsschlüssel): Ein YubiKey ist ein von Yubico entwickelter Hardware-Sicherheitsschlüssel (USB/NFC), der nicht extrahierbare kryptographische Geheimnisse speichert und die Protokolle FIDO2/WebAuthn, OpenPGP und PIV unterstützt. Im Rahmen einer qualifizierten Signatur (QES) kann ein YubiKey (oder ein gleichwertiges Gerät, das Anhang II von eIDAS entspricht) als Qualified Signature Creation Device (QSCD) dienen: Der private Schlüssel, der dem qualifizierten Zertifikat zugeordnet ist, verlässt niemals die Hardware, was das höchste Vertrauensniveau zur Identität des Unterzeichners garantiert. In einem Certyneo-Administrationskonto kann ein YubiKey auch zum Schutz des Admin-Zugriffs via Hardware-MFA verwendet werden.

Z

Papierlos: Das "Papierlose Büro" (oder Paperless) ist das Verfahren, papiergestützte Dokumentenflüsse vollständig durch signierte digitale Entsprechungen zu ersetzen. Über die Betriebseffizienz hinaus (Signaturzyklus durchschnittlich um das 5- bis 20-Fache verkürzt) reduziert das papierlose Büro den CO₂-Fußabdruck im Zusammenhang mit Druck, Porto und physischer Archivierung. Die elektronische Signatur, verbunden mit der beweiskräftigen elektronischen Archivierung (mindestens 10 Jahre für Geschäftsverträge), ist die technische Voraussetzung für den Wechsel. Die Digitalisierung beschreibt die Bewegung, das papierlose Büro ist das Endziel.
Zero Trust (Sicherheit ohne Vertrauen): Das Zero-Trust-Modell (Sicherheit ohne Vertrauen) ist eine Sicherheitsarchitektur, die auf dem Grundsatz "Niemals vertrauen, immer verifizieren" basiert — im Gegensatz zum klassischen Perimeter-Modell, das alles innerhalb des Unternehmensnetzwerks vertraut. Seine Säulen sind: kontinuierliche Identitätsverifizierung (MFA bei jedem Zugriff), minimale Berechtigung (auf operationalen Bedarf beschränkter Zugriff), Mikro-Segmentierung (Service-Isolation), Traffic-Inspektion (einschließlich intern) und Echtzeit-Überwachung. Im Kontext der elektronischen Signatur wird Zero Trust auf mehreren Ebenen angewendet: Zugriff auf das HSM (keine privaten Schlüssel ohne starke Authentifizierung des Operators zugänglich), Zugriff auf Envelopes (identitätsbasierte Kontrolle, nicht nur Link-basiert) und Admin-Zugriff (kurzlebige Sessions mit automatischer Widerrufung). Das NIST-Framework SP 800-207 und der ANSSI-Leitfaden "Recommandations sur le Zero Trust" (2021) formalisieren die Anforderungen in Frankreich.

Vertiefen Sie Ihr Wissen mit unseren Leitfäden

Diese Leitfäden vertiefen die wichtigsten Konzepte des Glossars mit konkreten Beispielen und Anwendungsfällen.

Certyneo-Gemeinschaft

Eine Frage zur elektronischen Signatur?

Treten Sie der Certyneo-Gemeinschaft bei: Stellen Sie Fragen, teilen Sie Antworten und tauschen Sie sich mit Tausenden von Benutzern und unserem Team aus.

Bereit, diese Konzepte in die Praxis umzusetzen?

Mit Certyneo erstellen Sie eIDAS-konforme Signatur-Umschläge in wenigen Klicks, ohne Installation.

Kostenlos testen Vollständigen Leitfaden lesen