Glossar zur elektronischen Signatur

112 Schlüsselbegriffe rund um die elektronische Signatur, Kryptografie und eIDAS-Konformität.

Gehen Sie über die Definitionen hinaus und setzen Sie sie in die Praxis um: entdecken Sie die elektronische Signatururlösung Certyneo

Aktualisiert am 27. September 2026.

Glossaire signature électronique — références et définitions

A

Elektronische beglaubigte Urkunde (AAE): Die elektronische beglaubigte Urkunde (AAE) ist eine vom Notar errichtete, ausgefertigte und in digitaler Form gemäß Dekret Nr. 2005-973 vom 10. August 2005 aufbewahrte notarielle Urkunde. Der Notar setzt seine qualifizierte elektronische Signatur (Stufe QES, eIDAS) mittels eines befugten QSCD auf, und die Urkunde wird anschließend an die Plattform Real.not (Elektronisches Netzwerk der Notariatsurkunden) übermittelt. Die AAE hat die gleiche Beweiskraft und Vollstreckungskraft wie eine Papierurkunde: Sie stellt einen vollständigen Beweis ihres Inhalts dar und kann eine Pfändung ohne vorherigen Gerichtsbeschluss begründen. Immobilienverträge, Schenkungen, Unternehmensfusionen und Vollmachten für den Schutz zukünftiger Generationen gehören zu den Urkunden, die in elektronischer Form errichtet werden können. Certyneo unterstützt Notariate bei der Implementierung von Co-Signatur-Flüssen (Vorentwürfe, Verkaufsvollmachten) vor der Unterzeichnung der beglaubigten Urkunde beim Notar.
AES (Fortgeschrittene elektronische Signatur): AES ist das Akronym für Advanced Electronic Signature, die fortgeschrittene elektronische Signatur, die in Artikel 26 der Verordnung eIDAS definiert ist — siehe das Merkblatt fortgeschrittene Signatur für die detaillierten Anforderungen, den Vergleich SES / AES / QES und die Anwendungsfälle. Nicht zu verwechseln mit dem anderen AES der Kryptographie, dem Advanced Encryption Standard, einem symmetrischen Verschlüsselungsalgorithmus, der mit der Signatur nichts zu tun hat.
REST-API für elektronische Signaturen: Eine REST-API (Representational State Transfer) für elektronische Signaturen stellt die Operationen der Signatur-Engine als HTTP-Ressourcen bereit, auf die von jeder Programmiersprache aus zugegriffen werden kann. Typische Abläufe sind: Umschlag erstellen (POST /envelopes), Dokument hochladen (PUT /envelopes/{id}/documents), Unterzeichner und Felder hinzufügen (POST /recipients), zum Signieren senden (PUT /envelopes/{id}/send) und dann das signierte Dokument abrufen (GET /envelopes/{id}/signed-pdf). Die Authentifizierung basiert auf Bearer-Tokens (OAuth 2.0 / API-Schlüsseln). Webhooks ergänzen die API, indem sie Ereignisse (Dokument signiert, Ablehnung, Ablauf) an Ihr Backend übertragen, ohne dass Polling erforderlich ist. Eine gute REST-API für Signaturen garantiert die Integrität des Dokuments durch einen SHA-256-Hash, der bei jedem Schritt zurückgegeben wird, und unterstützt den Audit-Trail mit Zeitstempel. Certyneo bietet eine vollständige REST-API, dokumentiert in OpenAPI 3.1, mit SDKs für Node.js, Python und PHP.
Elektronische Archivierung (Signatur, Beweiskraft): Die elektronische Archivierung bezieht sich auf die Langzeitaufbewahrung digital signierter Dokumente unter Bedingungen, die ihre Beweiskraft, Lesbarkeit und Integrität über die Zeit gewährleisten. Dies sollte nicht mit einfacher Sicherung verwechselt werden: Die beweiskräftige Archivierung unterliegt präzisen technischen und rechtlichen Anforderungen, die sie von einfacher Cloud-Speicherung unterscheiden.

Die drei Säulen der beweiskräftigen Archivierung :
• Integrität : Das archivierte Dokument kann nicht geändert werden — jede Veränderung ist erkennbar und macht den Beweis ungültig. Dies wird durch kryptographisches Hashing des Dokuments bei der Archivierung und regelmäßige Hash-Überprüfung gewährleistet.
• Dauerhaftigkeit : Das Dokument bleibt 10, 20 oder 50 Jahre lang lesbar, unabhängig von Softwareentwicklungen. Dies erfordert standardisierte Formate (PDF/A für den Inhalt, PAdES B-LTA für die Signatur) und regelmäßige Speichermigration.
• Nachverfolgbarkeit : Jede Operation auf dem archivierten Dokument (Einsicht, Weitergabe, Löschung) wird in einem zeitgestempelten und manipulationssicheren Ereignisprotokoll dokumentiert.

Normativer Rahmen : In Frankreich wird beweiskräftige Archivierung durch die Normen NF Z42-013 (französischer Referenzstandard, AFNOR) und die internationale Norm ISO 14641 geregelt. Für den öffentlichen Sektor und bestimmte regulierte Tätigkeiten (Gesundheit, Finanzdienstleistungen) ist eine Zulassung durch SIAF (Service Interministériel des Archives de France) oder eine Zertifizierung durch einen ESG-Drittarchiveur erforderlich. Die eIDAS 2.0-Verordnung führt einen neuen qualifizierten Vertrauensdienst speziell für qualifizierte elektronische Archivierung ein, der in der gesamten EU unmittelbar anerkannt wird.

Gesetzliche Aufbewahrungsdauer in Frankreich :
• Handelverträge und Rechnungen: 10 Jahre (Code de commerce Art. L123-22)
• Arbeitsverträge: 5 Jahre nach Ausscheiden des Arbeitnehmers
• Steuerdokumente: 6 Jahre (Livre des procédures fiscales Art. L102 B)
• Notariatsurkunden: 75 Jahre (Code du notariat)
• Ärztliche Dokumente: 20 Jahre nach der letzten Maßnahme (Code de la santé publique)

Certyneo-Implementierung : Alle signierten Dokumente werden im Format PAdES B-LT archiviert (B-LTA auf Business-Plan für Aufbewahrung > 10 Jahre verfügbar), mit qualifiziertem RFC 3161-Zeitstempel, 10-jähriger Aufbewahrung in allen Plänen enthalten, Ereignisprotokoll jederzeit einsehbar und Download des Audit-Trails im PDF-Format. Siehe auch Beweiskraft und LTV (Long-Term Validation).
Bescheinigung für France Travail (ehemals Pôle emploi): Die Bescheinigung für France Travail (ehemals Pôle emploi) ist ein Dokument, das der Arbeitgeber dem Arbeitnehmer beim Ende seines Arbeitsvertrags obligatorisch übergeben muss (Art. R1234-9 des Arbeitsgesetzbuchs). Sie ermöglicht dem Arbeitnehmer, seine Ansprüche auf Arbeitslosenversicherung geltend zu machen; der Arbeitgeber übermittelt sie auch an France Travail. Sie kann im Prozess der Vertragsbeendigung elektronisch generiert und unterzeichnet werden. Obligatorische Dokumente zum Vertragsende →
Authentifizierung: Die Authentifizierung ist der Prozess zur Überprüfung der Identität eines Benutzers oder Systems, bevor ihm Zugriff auf einen Dienst gewährt oder die Anbringung einer elektronischen Signatur autorisiert wird. Sie kann einfach (nur Passwort), stark (Multi-Faktor) oder biometrisch sein. Die Robustheit der Authentifizierung bestimmt direkt die erreichbare Signaturstufe : AES erfordert mindestens zwei unterschiedliche Faktoren.
Starke Authentifizierung: Die starke Authentifizierung erfordert die Vorlage von mindestens zwei Identitätsnachweisen aus verschiedenen Familien, um die Identität einer Person zu überprüfen — das ist das Prinzip der MFA (Multi-Faktor-Authentifizierung) :
• Das, was ich weiß : Passwort, PIN-Code ;
• Das, was ich besitze : Telefon, das einen OTP-Code empfängt, Sicherheitsschlüssel YubiKey/FIDO2, Smartcard ;
• Das, was ich bin : Fingerabdruck, Gesichtserkennung (Biometrie).

Zwei regulatorische Rahmen schreiben dies vor : die Richtlinie DSP2 (Art. 97) schreibt die SCA vor — Strong Customer Authentication — für Zahlungen und den Zugang zu Online-Bankkonten ; die Verordnung eIDAS verlangt dies faktisch für die fortgeschrittene elektronische Signatur (AES), deren Artikel 26 vorschreibt, dass die Signatur unter der ausschließlichen Kontrolle des Unterzeichners erstellt wird und ihm auf eindeutige Weise zugeordnet ist.

Bei der elektronischen Signatur findet die starke Authentifizierung zum Zeitpunkt der Unterzeichnung statt : der Unterzeichner beweist, dass er seine E-Mail-Adresse (eindeutiger Link) und sein Telefon (OTP-SMS-Code) kontrolliert, bevor das Dokument versiegelt wird. Diese doppelte Überprüfung, zeitgestempelt in der Audit-Spur, ist das, was eine durchsetzbare AES von einem einfachen angekreuzten Kästchen unterscheidet.

Auf Certyneo : für Umschläge der erweiterten Stufe wird die Kombination E-Mail + OTP SMS standardmäßig auf jeden Unterzeichner angewendet ; Benutzerkonten können die MFA (TOTP oder OTP E-Mail) aktivieren. DSP2 & starke Authentifizierung : der Leitfaden →
Zertifizierungsstelle (ZS / CA): Eine Zertifizierungsstelle (ZS, oder Certificate Authority — CA — im Englischen) ist eine Vertrauensorganisation, die elektronische X.509-Zertifikate ausstellt, die einen öffentlichen Schlüssel mit der Identität seines Inhabers verbinden. Qualifizierte ZS werden von nationalen Behörden (ANSSI in Frankreich) beaufsichtigt und in die Vertrauensliste der EU eingetragen. Sie bilden die Grundlage der PKI und der Vertrauenskette von qualifizierten Signaturen.

B

Bearer-Token: Ein Bearer-Token (Inhabertoken) ist ein API-Zugriffstoken, das dem Inhaber (dem "Träger") das Recht gewährt, auf geschützte Ressourcen zuzugreifen, ohne weitere Identitätsnachweise — der bloße Besitz reicht aus, wie Bargeld. Er wird im HTTP-Header Authorization: Bearer <token> übertragen. In OAuth 2.0 : Bearer-Tokens sind das Standardformat für Zugriffstokens; sie haben normalerweise eine kurze Lebensdauer und tragen Scopes, die einschränken, was der Inhaber tun kann. Die REST-API von Certyneo verwendet Bearer-Tokens zur Authentifizierung von Programmanrufen: Erstellung von Umschlägen, Statusabfragen, Webhook-Konfiguration und Download signierter Dokumente. Sicherheitsrisiken : Da der Token der Identifizierer ist, darf er nur über TLS übertragen werden, darf niemals clientseitig offengelegt oder protokolliert werden und sollte regelmäßig erneuert werden; ein durchgesickerter Bearer-Token ist so gefährlich wie ein durchgesickertes Passwort bis zu seiner Ablauf oder Wideruf. Best Practice : Jeden Token auf die streng erforderlichen Berechtigungen beschränken, eine kurze Ablaufzeit festlegen und ein Token pro Integration bevorzugen, um eines widerrufen zu können, ohne andere zu beeinflussen.
Biometrie: Biometrie umfasst Identifizierungstechniken, die auf physischen oder Verhaltensmerkmalspersonen basieren (Fingerabdruck, Gesichtserkennung, Handschriftzug, Stimme). Bei der elektronischen Signatur kann eine biometrische Signatur den Handschriftzug auf dem Touchscreen erfassen (Geschwindigkeit, Druck, Winkel), um einen direkten Bezug zwischen dem Unterzeichner und seiner Zustimmung zu schaffen. Nach eIDAS reicht Biometrie allein nicht aus, um die fortgeschrittene Stufe (AES) zu erreichen: Sie muss mit starker Authentifizierung kombiniert werden. Biometrische Daten werden nach der DSGVO als vertraulich behandelt und ihre Verarbeitung erfordert ausdrückliche Zustimmung.
Blockchain und elektronische Notarisierung: Die Blockchain-Notarisierung besteht darin, den kryptografischen Fingerabdruck (SHA-256-Hash) eines Dokuments in einem unveränderlichen verteilten Register (Bitcoin, Ethereum usw.) zu verankern, um seine Existenz zu einem bestimmten Zeitpunkt zu beweisen. Im Gegensatz zu qualifiziertem RFC 3161-Zeitstempel wird die Blockchain-Notarisierung nicht als rechtlicher Beweis im Sinne von eIDAS anerkannt: Sie stellt vor bestimmten Gerichten zulässige Indizien dar, ersetzt aber nicht einen akkreditierten QTSP. Der Vorteil ist Dezentralisierung: Der Beweis überlebt das Verschwinden des Dienstleisters. Im Unternehmenskontext ist Blockchain vor allem für die Archivierung von Zusatzbeweisen relevant (Hash auf der Chain veröffentlicht) als Redundanzschicht über einer klassischen elektronischen Archivierung mit Beweiskraft.

C

Elektronisches Siegel: Das elektronische Siegel ist das Äquivalent der elektronischen Signatur für juristische Personen (Unternehmen, Behörden). Es garantiert die Herkunft und Integrität eines Dokuments, das im Namen einer Organisation ausgestellt wird, ohne einen identifizierten menschlichen Unterzeichner einzubeziehen. Die eIDAS-Verordnung anerkennt einfache, fortgeschrittene und qualifizierte elektronische Siegel ebenso wie Signaturen.
SSL-/TLS-Vorhängeschloss: Das SSL-/TLS-Vorhängeschloss ist der visuelle Indikator, der vom Browser angezeigt wird (Vorhängeschloss-Symbol in der Adressleiste) und bestätigt, dass eine verschlüsselte TLS-Verbindung zwischen dem Browser und dem Server hergestellt ist. Es bescheinigt, dass die ausgetauschten Daten (Dokumente, OTP-Codes, Anmeldedaten) nicht im Klartext abgefangen werden können. Certyneo erzwingt TLS 1.3 auf allen seinen Endpunkten und macht das Vorhängeschloss auf allen Signaturseiten sichtbar.
Arbeitszertifikat: Das Arbeitszeugnis ist ein Dokument, das der Arbeitgeber dem Arbeitnehmer am Ende eines jeden Arbeitsvertrags obligatorisch ausstellen muss (Art. L1234-19 und D1234-6 des Arbeitsgesetzbuchs), unabhängig vom Grund der Beendigung. Es enthält die Ein- und Austrittsdaten, die Art der ausgeübten Tätigkeiten und die entsprechenden Zeiträume. Es ist ein „abhol"-Dokument: Es wird dem Arbeitnehmer zur Verfügung gestellt, der es abholt. Es kann elektronisch unterzeichnet und mit voller Rechtskraft übermittelt werden. Alle Dokumente zum Vertragsende anzeigen →
Elektronisches Zertifikat: Ein elektronisches Zertifikat ist eine digitale Datei, die von einer Zertifizierungsstelle (CA) ausgestellt wird und einen öffentlichen Schlüssel mit der verifizierten Identität des Inhabers verknüpft — man spricht auch von digitalem Signaturzertifikat, wenn es zum Signieren verwendet wird. Es ist der digitale Personalausweis, auf dem jede digitale Signatur beruht.

Was in einem Zertifikat enthalten ist: die Identität des Inhabers (Distinguished Name), sein öffentlicher Schlüssel, die ausstellende CA, die Gültigkeitsdauer (üblicherweise 1 bis 3 Jahre), die autorisierten Verwendungen (Signatur, Siegel, TLS) und der kryptographische Fingerabdruck des Ganzen, signiert von der CA.

Die Vertrauenskette: Jedes Zertifikat wird von einer CA signiert, die selbst von einer CA auf höherer Ebene zertifiziert ist, bis zum Wurzelzertifikat. Die Überprüfung einer Signatur bedeutet, diese Kette rückwärts zu gehen — und zu überprüfen, dass das Zertifikat nicht widerrufen wurde (Listen CRL, Protokoll OCSP).

Einfaches oder qualifiziertes Zertifikat: Ein Standardzertifikat genügt für die fortgeschrittene Signatur (AES); die qualifizierte Signatur (QES) erfordert ein qualifiziertes Zertifikat, ausgestellt von einem qualifizierten Vertrauensdiensteanbieter nach persönlicher oder gleichwertiger Identitätsüberprüfung.

Bei Certyneo: Sie müssen kein Zertifikat kaufen oder installieren — die Signaturzertifikate werden von der Plattform getragen und beim Versiegeln des Dokuments auf der Serverseite angewendet PAdES. Das digitale Signaturzertifikat: Vollständiger Leitfaden →
Qualifiziertes Zertifikat: Ein qualifiziertes Zertifikat ist ein elektronisches Zertifikat, das von einem qualifizierten Vertrauensdiensteanbieter (QTSP) ausgestellt wird, der in der Vertrauensliste eines EU-Mitgliedstaates eingetragen ist — das höchste Vertrauensniveau, das in der Verordnung eIDAS anerkannt ist.

Was es zu einem Standardzertifikat hinzufügt: Die Identität des Inhabers wird vor der Ausstellung überprüft (physisch von Angesicht zu Angesicht, Videoidentifizierung oder gleichwertiger elektronischer Identität); der private Schlüssel ist in einem zertifizierten Gerät geschützt (QSCD, häufig mit einem HSM verbunden); und der QTSP wird regelmäßig von der nationalen Aufsichtsbehörde überprüft (in Frankreich die ANSSI).

Wofür wird es benötigt? Es ist die erforderliche Komponente der qualifizierten Signatur (QES), die in der gesamten EU automatisch mit der handschriftlichen Signatur gleichgestellt ist (Art. 25 eIDAS), mit Zuverlässigkeitsvermutung im Streitfall. Es ist erforderlich für die sensiblesten Akte: Anwaltsakte, bestimmte öffentliche Aufträge, Unternehmensveräußerungen.

Bei Certyneo: QES wird pro Akt angeboten, ohne dediziertes Abonnement — die Identitätsüberprüfung des Unterzeichners und die Ausstellung des qualifizierten Zertifikats sind in den Signaturablauf integriert. Die qualifizierte Signatur (QES) bei Certyneo →
Root-Zertifikat und Vertrauenskette: Ein Root-Zertifikat ist der Gipfel der PKI: Von der Root-Zertifizierungsstelle selbstsigniert, verankert es das Vertrauen der gesamten Kette. Bei der Überprüfung einer elektronischen Signatur folgt der Verifizierer der Zertifikatskette (Endeinheit → Zwischenstelle(n) → Root) und prüft, dass jede Verbindung gültig, nicht widerrufen (OCSP / CRL) und mit seiner Nutzungsrichtlinie konform ist. Browser und Betriebssysteme enthalten Speicher mit vertrauenswürdigen Roots (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Für qualifizierte eIDAS-Signaturen muss die Kette bis zu einem QTSP auf der EU-Vertrauensliste zurückgehen. Ein Zertifikat, dessen Root nicht im Speicher des Verifizierers ist, wird abgelehnt, selbst wenn die kryptografische Signatur technisch korrekt ist.
Verschlüsselung: Verschlüsselung ist der Prozess, bei dem eine lesbare Nachricht mit Hilfe eines Algorithmus und eines geheimen Schlüssels in ein unlesbares Format (Chiffrentext) umgewandelt wird. Sie schützt die Vertraulichkeit von Daten während der Übertragung und im Ruhezustand und ergänzt das Hashing, das zur Gewährleistung der Integrität bei der Signatur verwendet wird. Certyneo verwendet TLS 1.3, um alle Kommunikationen zwischen dem Browser und den Servern zu verschlüsseln.
Verschlüsselung im Ruhezustand (Encryption at Rest): Verschlüsselung im Ruhezustand bezeichnet den Schutz gespeicherter Daten durch Verschlüsselung, so dass sie ohne Entschlüsselungsschlüssel unleserlich sind, auch bei unbefugtem physischem oder logischem Zugriff auf den Speicher. Certyneo verschlüsselt Dokumente und ihre Audit-Trails im Ruhezustand (AES-256) auf seinen in Deutschland gehosteten Infrastrukturen, gemäß den Anforderungen der DSGVO.
CLM (Contract Lifecycle Management): CLM (Contract Lifecycle Management) bezeichnet die Gesamtheit der Prozesse und Tools, die den vollständigen Lebenszyklus eines Vertrags abdecken : Entwurf, Verhandlung, interne Genehmigung, elektronische Signatur, Speicherung und Verlängerung. Einheitliches Verzeichnis : eine CLM-Lösung zentralisiert alle Verträge in einem einheitlichen, abfragbaren Verzeichnis mit Ablaufwarnungen, Klauselbibliotheken, Validierungs-Workflows und Vertragsrisiko-Reports und ersetzt verstreute E-Mail-Ketten und gemeinsam genutzte Laufwerke. Platz der Signatur : die elektronische Signatur ist eine Phase in der CLM-Kette — sobald der Vertrag genehmigt ist, geht er zur Unterzeichnung über und wird dann mit Beweiskraft archiviert. Integration mit Certyneo : Certyneo deckt die Unterzeichnungsphase ab und integriert sich über REST-API mit einer CLM eines Drittanbieters — es erhält das finalisierte Dokument, verwaltet den Unterzeichnungsablauf (sequenziell oder parallel, auf der Ebene von Advanced (AES) oder Qualified (QES)), und gibt das unterzeichnete PDF mit einem mit Zeitstempel versehenen Audit-Trail zurück, das die CLM als endgültige Version archiviert. Warum das wichtig ist : ein unterzeichneter, aber nicht in einem CLM verwalteter Vertrag setzt das Unternehmen immer noch Erneuerungen aus und Sanktionen durch stillschweigende Verlängerung aus, daher wird Signatur und Verwaltung des Lebenszyklus zunehmend zusammen gekauft.
Gegensignatur und Mehrfachsignatur: Gegensignatur bezeichnet die Erfassung von mindestens zwei Signaturen auf demselben Dokument. Es gibt zwei Modi: sequenzielle Signatur (Unterzeichner B erhält die Einladung erst, nachdem A signiert hat — nützlich für hierarchische Verträge oder notarielle Urkunden) und parallele Signatur (alle Unterzeichner erhalten die Einladung gleichzeitig — schneller für symmetrische Dokumente). Gegensignatur wirft die Frage der Runden-übergreifenden Integrität auf: Jedes hinzugefügte PAdES im PDF muss die vorherige Überarbeitung durch eine inkrementelle Signatur referenzieren und garantieren, dass kein Teil das Dokument zwischen zwei Unterzeichnungen geändert hat. Certyneo verwaltet die Reihenfolge der Unterzeichner, gezielte Mahnungen, Ablauffristen pro Unterzeichner und erkennt automatisch Änderungsversuche zwischen Runden durch SHA-256-Hash-Verifizierung bei jedem Schritt des Audit-Trails.
OTP (One-Time Password / OTP-Code): Ein OTP (One-Time Password, Einmalpasswort — manchmal auch "OTP-Code" genannt) ist ein temporärer Zahlcode, üblicherweise bestehend aus 4 bis 8 Ziffern, die zufällig generiert und für nur eine Sitzung oder Transaktion gültig sind. Nach der Verwendung oder Ablauf (typischerweise 5 Minuten) wird er ungültig — auch wenn ein Angreifer ihn wiederholen würde, würde er abgelehnt.

Drei Hauptvarianten von OTP :
• OTP per SMS : Code wird als Textnachricht an die Telefonnummer des Unterzeichners gesendet. Das häufigste Verfahren bei der breiten Öffentlichkeit, da keine Anwendung erforderlich ist. Bekannte Schwachstellen: SIM-Swapping, SS7-Abfang — daher reicht OTP per SMS für die fortgeschrittene Signatur (AES), wird aber nicht mehr für QES akzeptiert (ANSSI und ENISA empfehlen seit 2020, zu stärkeren Faktoren überzugehen).
• OTP per E-Mail : Code wird per E-Mail versendet. Einfacher umzusetzen, erbt aber die Sicherheitsschwächen des E-Mail-Kontos des Empfängers. Akzeptabel für die einfache Signatur (SES).
• TOTP (Time-based OTP) : Code wird lokal von einer Anwendung auf dem Telefon des Unterzeichners generiert (Google Authenticator, Authy, 1Password). Synchronisiert über einen gemeinsamen geheimen Schlüssel bei der Registrierung. Kein Netzwerkkanal zum Zeitpunkt der Signatur — resistent gegen Abhörung. Standard RFC 6238.

OTP und elektronische Signatur : bei der fortgeschrittenen elektronischen Signatur schafft der Versand eines OTP per E-Mail oder SMS eine überprüfbare Verbindung zwischen dem unterzeichneten Dokument und der Identität des Unterzeichners über seinen Kommunikationskanal (Telefon oder E-Mail). Das OTP wird im Audit-Trail des Dokuments aufgezeichnet (Zeitstempel, IP, Kanalkennung) — Beweis, der bei Anfechtung geltend gemacht werden kann.

Implementierung bei Certyneo : OTP per SMS über Twilio Verify auf AES-Umschlägen — wird unmittelbar vor der Signatur ausgelöst, Gültigkeit 5 Minuten, 3 Versuche. TOTP für Administratorkonten als Alternative zu OTP per SMS verfügbar. Siehe auch MFA und starke Authentifizierung. Mehr über die Authentifizierung des Unterzeichners erfahren →
Compliance (Konformität): Compliance bezeichnet die Einhaltung der für eine Organisation geltenden Gesetze, Vorschriften und Normen. Im Kontext der elektronischen Signatur bezieht sich dies insbesondere auf die Verordnung eIDAS, die DSGVO, das Arbeitsgesetzbuch (für Arbeitsverträge), das ALUR-Gesetz (Immobilien) und die berufsethischen Regeln bestimmter Berufe (CNB für Anwälte, CSN für Notare). Nichtkonformität setzt das Unternehmen dem Risiko der Nichtigkeit seiner Handlungen und administrativen Sanktionen aus.
Elektronische Zustimmung: Elektronische Zustimmung ist die Willensbekundung einer Person, die auf digitale Weise ausgedrückt wird, um den Bedingungen zuzustimmen oder ein Dokument zu unterzeichnen. Um Beweiskraft zu haben, muss diese Zustimmung frei, spezifisch, informiert und eindeutig sein, gemäß der DSGVO. In einem Signatur-Workflow stellt das Klicken auf "Unterzeichnen" die elektronische Zustimmung des Unterzeichners dar.
Elektronischer Vertrag: Ein elektronischer Vertrag ist jede Willenserklärung, die auf digitalem Wege geschlossen wird, geregelt in Frankreich durch die Artikel 1366 bis 1368 des Code civil und das LCEN. Im Gegensatz zu einer einfachen Online-Bestellung beinhaltet ein elektronischer Vertrag ein mehrstufiges Verfahren: Angebot, vorvertragliche Information, ausdrückliche Annahme ("Akzeptieren anklicken" oder elektronische Signatur), dann Aufbewahrung mit Beweiskraft für die gesetzliche Dauer. Die Beweiskraft wird verstärkt durch: eine fortgeschrittene Signatur (AES) oder qualifizierte (QES), einen qualifizierten Zeitstempel, die Erfassung der Zustimmung und der IP-Adresse des Unterzeichners. Die Verordnung eIDAS 2 erweitert diese Anforderungen auf grenzüberschreitende Verträge in der EU durch das Europäische Portefeuille für digitale Identität.
CRL (Certificate Revocation List): Eine CRL (Zertifikatwiderrufsliste) ist eine Liste, die periodisch von einer Zertifizierungsstelle veröffentlicht wird und die vor ihrem Ablaufdatum widerrufen Zertifikate auflistet, in der Regel aufgrund einer Schlüsselkompromittierung oder eines Identitätswechsels. Bei der Überprüfung einer digitalen Signatur konsultiert die Software die CRL (oder verwendet OCSP), um sicherzustellen, dass das Zertifikat des Unterzeichners zum Zeitpunkt der Signatur nicht widerrufen wurde.
Asymmetrische Kryptografie (öffentlicher Schlüssel / privater Schlüssel): Asymmetrische Kryptografie basiert auf einem mathematisch verbundenen Schlüsselpaar: dem privaten Schlüssel (geheim, gespeichert in einem HSM oder QSCD) und dem öffentlichen Schlüssel (frei verteilt in einem Zertifikat). Um ein Dokument zu signieren, berechnet der Unterzeichner den Fingerabdruck des Dokuments und verschlüsselt ihn mit seinem privaten Schlüssel; jeder kann die Signatur verifizieren, indem er diesen Fingerabdruck mit dem öffentlichen Schlüssel entschlüsselt und mit dem Hash des Originaldokuments vergleicht. Dominante Algorithmen sind RSA (Schlüssel 2048–4096 Bits) und ECC (Kurven P-256, P-384). RSA 2048 Bits wird vom NIST bis 2030 empfohlen; ECC P-256 bietet ein gleichwertiges Sicherheitsniveau mit 10× kürzeren Schlüsseln (Leistungsgewinn bei HSM). Widerstand gegen Quantencomputer wird durch die Post-Quanten-Algorithmen CRYSTALS-Dilithium und CRYSTALS-Kyber gewährleistet, die sich gerade in der NIST-Standardisierung befinden.

D

Unterzeichnungsvollmacht: Die Unterzeichnungsvollmacht ist der Mechanismus, durch den ein bevollmächtigter Unterzeichner (Vollmachtgeber) seine Unterzeichnungsbefugnis formell an einen Dritten (Bevollmächtigter) für einen definierten Zeitraum und Umfang überträgt. Nach französischem Recht muss eine Unterzeichnungsvollmacht ausdrücklich, schriftlich formalisiert und die abgedeckten Handlungen genau benennen (Artikel 1994 Code civil für Mandat und Satzungsbestimmungen für Unternehmen). Bei Certyneo wird die Vollmacht auf der Verwaltungsseite verwaltet : der Vollmachtgeber konfiguriert eine Unterzeichnungsrolle für den Bevollmächtigten ; der Audit-Trail dokumentiert die tatsächliche Identität des Unterzeichners und die rechtliche Grundlage seiner Vollmacht.
Digitalisierung: Digitalisierung bezeichnet den Ersatz von Papierdokumenten und -prozessen durch ihre digitalen Äquivalente. Sie umfasst die Digitalisierung, die ursprüngliche Erstellung elektronischer Dokumente und deren Unterzeichnung mit Tools wie Certyneo. Sie ermöglicht es, Zeit, Kosten und die Umweltbelastung von Dokumentenprozessen zu reduzieren. Siehe die Vorteile der Digitalisierung von Verträgen →
Distinguished Name (DN): Der Distinguished Name (DN) ist die eindeutige Kennung eines Antragstellers in einem X.509-Zertifikat. Er besteht aus hierarchischen Attributen: CN (Common Name, Name des Inhabers), O (Organisation), OU (Organisationseinheit), C (Country, Land als ISO-Code) usw. — beispielsweise CN=Jean Dupont, O=Certyneo, C=FR. Der DN des Unterzeichners ist in den Signatureigenschaften eines validierten PDF in Adobe Acrobat Reader sichtbar.
DPA (Datenverarbeitungsvereinbarung): Eine DPA (Data Processing Agreement, oder Datenverarbeitungsvereinbarung) ist der durch Artikel 28 der DSGVO vorgeschriebene Vertrag zwischen einem Verantwortlichen (dem Kunden) und einem Auftragsverarbeiter (wie Certyneo). Sie regelt die Zwecke der Verarbeitung, die Kategorien personenbezogener Daten, Sicherheitsmaßnahmen, Bedingungen für weitere Auftragsverarbeitung und Pflichten bei Verstößen. Der Abschluss einer DPA ist vor jeder Verarbeitung personenbezogener Daten von Unterzeichnern obligatorisch. Certyneo bietet eine Standard-DPA an, die den AGB beigefügt ist.

E

ECC (Elliptic-Curve-Kryptografie): Die Elliptic-Curve-Kryptografie (ECC) ist ein asymmetrisches Kryptografieverfahren, das auf den algebraischen Eigenschaften elliptischer Kurven basiert. Sie bietet RSA-äquivalente Sicherheit mit deutlich kürzeren Schlüsseln (256-Bit-ECC ≈ 3072-Bit-RSA) und reduziert damit die Rechenlast. ECC ist der bevorzugte Algorithmus für TLS 1.3 (Kurve X25519, P-256) und wird zunehmend in Zertifikaten für digitale Signaturen verwendet.
eIDAS: eIDAS (Electronic IDentification, Authentication and trust Services) ist die europäische Verordnung Nr. 910/2014, die einen gemeinsamen Rechtsrahmen für elektronische Signaturen, Siegel, Zeitstempel und andere Vertrauensdienste in der EU schafft. Sie definiert drei Signaturebenen (einfach, fortgeschritten, qualifiziert) und schafft den Begriff der qualifizierten Vertrauensdiensteanbietern. Mehr zu eIDAS erfahren →
eIDAS 2.0: eIDAS 2.0 (Verordnung EU 2024/1183, in Kraft getreten 2024) ist die Hauptüberarbeitung von eIDAS, die insbesondere das Europäische Wallet für digitale Identität (EUDIW) einführt. Es zielt darauf ab, die Anerkennung digitaler Identitäten auf alle öffentlichen und privaten Dienste in der EU auszuweiten und verschärft die Anforderungen an qualifizierte Anbieter. Jeder Mitgliedstaat muss seinen Bürgern und Bewohnern bis Ende 2026 mindestens ein digitales Identitäts-Wallet zur Verfügung stellen; dessen Nutzung bleibt freiwillig.
Signatur-Umschlag: Ein Signatur-Umschlag ist der logische Container, der ein oder mehrere Dokumente zur Unterzeichnung, die Liste der Unterzeichner, positionierte Signaturfelder und die Konfiguration des Workflows zusammenfasst. Bei Certyneo hat jeder Umschlag seinen eigenen Lebenszyklus (Entwurf, gesendet, ausstehend, signiert, abgelehnt, abgelaufen) und einen zeitgestempelten Audit-Trail.
Massenversand (Bulk Signing): Massenversand (oder Bulk Signing) bezeichnet die Möglichkeit, ein Dokument an zahlreiche Unterzeichner gleichzeitig zu senden oder mehrere unterschiedliche Dokumente in einer einzigen Operation zu versenden. Diese Funktionalität ist unverzichtbar für HR (Arbeitsverträge), Versicherungen (Änderungen) oder Immobilien (Vollmachten). Bei Certyneo ermöglicht die API die Orchestrierung von Massenversänden durch einen einzigen Programmaufruf, wobei jeder Unterzeichner einen individuellen Link und ein persönliches Audit-Trail erhält.
ESIGN Act: Der ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) ist das US-amerikanische Bundesgesetz, das die Gültigkeit von elektronischen Signaturen und Online-Verträgen in den USA anerkennt. Ergänzend zur UETA (Mustergesetz der Bundesstaaten) etabliert er das Prinzip, dass eine Signatur nicht allein deshalb abgelehnt werden kann, weil sie elektronisch ist. Bei transatlantischen Verträgen wird eine AES eIDAS in der Regel als ESIGN/UETA-konform anerkannt und erleichtert so EU–USA-Vertragsabschlüsse.
EUDI Wallet (Europäische Digital-Identitätstasche): Die Europäische Digital-Identitätstasche (EUDI Wallet, European Digital Identity Wallet) ist die von eIDAS 2.0 vorgesehene mobile Anwendung. Sie ermöglicht EU-Bürgern, zertifizierte Identitätsattribute (Personenstandsdaten, Diplome, Führerscheine) zu speichern und freizugeben sowie qualifizierte Signaturen (QES) von ihrem Smartphone aus durchzuführen. Die EUDI Wallet wird FranceConnect+ in Frankreich bis 2026–2027 schrittweise ersetzen.

F

Genehmigungsworkflow (Approval Workflow): Ein Genehmigungsworkflow ist eine strukturierte Abfolge von Validierungsschritten, durch die ein Dokument gehen muss, bevor es signiert wird. Typischerweise: Entwurf → Rechtsprüfung → Finanzvalidierung → Signatur. Im französischen Geschäftsrecht verlangen bestimmte Urkunden eine formalisierte Genehmigung vor der Unterzeichnung (Verwaltungsratsbeschluss, Visum des CFO). Technisch unterscheidet sich ein Genehmigungsworkflow von der Gegensignatur: Genehmiger validieren den Inhalt, ohne notwendigerweise ihre elektronische Signatur anzubringen (sie klicken auf "Genehmigt"), während Endsignatare ihre Verantwortung übernehmen. Certyneo unterstützt beide Modi im selben Signatur-Envelope-Fluss, mit unterschiedlichen Rollen (Approver vs Signer) und Webhooks, die bei jeder Statusänderung ausgelöst werden.
Hash-Funktion: Eine Hash-Funktion ist eine mathematische Einwegfunktion, die eine Eingabe beliebiger Größe in eine Ausgabe fester Länge umwandelt, die als Fingerabdruck (Digest oder Hash) bezeichnet wird. Jede Änderung, auch nur eines einzelnen Bits, erzeugt einen radikal unterschiedlichen Fingerabdruck. Moderne Funktionen (SHA-256, SHA-3) sind kollisionsresistent. Bei der digitalen Signatur wird das Dokument zunächst gehasht und dann der Fingerabdruck mit dem privaten Schlüssel verschlüsselt – dies garantiert die Integrität des unterzeichneten Inhalts.
FranceConnect: FranceConnect ist der Dienst der digitalen Identität des französischen Staates, der es Bürgern ermöglicht, sich bei öffentlichen oder privaten Online-Diensten mit einem bestehenden Benutzer zu authentifizieren (Impots.gouv, Ameli, La Poste, MSA, Identité Numérique). Eine Stufe höher ist FranceConnect+ als "erheblich" im Sinne der Verordnung eIDAS eingestuft und kann zur Auslösung einer fortgeschrittenen Signatur (AES) oder sogar qualifizierten Signatur (QES) dienen. Ab Ende 2026 wird FranceConnect+ schrittweise durch die digitale Identität ersetzt, die von der Europäischen Geldbörse (EUDIW) bereitgestellt wird, wie in eIDAS 2.0 vorgesehen.

G

Vorlage (Dokumentvorlage): Eine Vorlage (oder Template) ist ein vorkonfiguriertes Standarddokument mit seinen dynamischen Feldern (Unterzeichner, Daten, Beträge, Signaturfelder), das als Ausgangspunkt für wiederkehrende Hüllen dient. Bei Certyneo industrialisieren Vorlagen Workflows mit hohem Volumen (Arbeitsverträge, NDA, Bestellscheine): Man dupliziert die Vorlage, füllt die Variablen des Einzelfalls aus, sendet sie ab. Die kostenlosen Vertragsvorlagen auf /modeles-contrats sollen heruntergeladen und dann als Vorlagen in Ihrem Konto instanziiert werden.
GDPR (General Data Protection Regulation): GDPR (General Data Protection Regulation, Verordnung EU 2016/679) ist die englische Bezeichnung für die DSGVO. Diese EU-Verordnung regelt die Erfassung, Verarbeitung und Speicherung personenbezogener Daten in der EU. Sie gilt für jede Organisation, die Daten von europäischen Bewohnern verarbeitet, unabhängig von ihrem Standort. Sie schreibt insbesondere den Abschluss einer DPA mit Auftragsverarbeitern vor, Dataminimierung und die Einhaltung von Personenrechten (Zugriff, Berichtigung, Löschung).
Dokumentengenerator und digitaler Seriendruck: Ein Dokumentengenerator kombiniert eine Vertragsvorlage mit variablen Daten (Name, SIREN, Betrag, Datum usw.), um automatisch ein unterzeichnungsbereites PDF zu erstellen. Gängige Technologien sind: Word/DOCX-Template-Engines (Carbone.io, Docxtemplater), LaTeX, HTML-to-PDF (Puppeteer/headless Chrome) und die Adobe PDF Services API. Der Vorteil des digitalen Seriendruck gegenüber dem Papierseriendruck ist der direkte Versand an den Signatur-Workflow ohne Druck: Das generierte Dokument wird über die REST-API in die Signatur-Envelope injiziert, Signaturfelder werden durch Koordinaten oder HTML-Tags positioniert, und der Zyklus schließt sich in wenigen Sekunden. Das Hauptrisiko ist die Divergenz der Seitenlayout zwischen dem lokalen DOCX-Rendern und dem Server-Rendern — eine Reihe von visuellen Regressionstests (PNG-Erfassung + Diff) werden empfohlen.

H

Hashing (Hash): Hashing ist eine kryptographische Operation, die ein Dokument beliebiger Größe in einen digitalen Fingerabdruck fester Größe umwandelt, genannt "Hash". Jede noch so kleine Änderung des Dokuments erzeugt einen völlig unterschiedlichen Hash und garantiert damit die Integrität der Datei. Die digitale Signatur basiert auf der Verschlüsselung dieses Hash mit dem privaten Schlüssel des Unterzeichners.
TLS-Handshake: Der TLS-Handshake ("Händedruck") ist die Verhandlungsphase, die zu Beginn einer TLS-Verbindung stattfindet. Client und Server einigen sich auf die Cipher Suite, tauschen ihre Zertifikate aus (optionale gegenseitige Authentifizierung) und stellen Sitzungsschlüssel durch ein Protokoll mit ephemerem Schlüssel (ECDHE) her. TLS 1.3 hat den Handshake auf 1 Netzwerk-Roundtrip reduziert (gegenüber 2 bei TLS 1.2) und verbessert damit die Leistung von Signatursitzungen auf mobilen Geräten.
Elektronische Zeitstempelung: Die elektronische Zeitstempelung ist ein Mechanismus, der eine digitale Daten an einen genauen Zeitpunkt auf überprüfbare und fälschungssichere Weise bindet. Ein qualifizierter Zeitstempel, ausgestellt von einem qualifizierten Anbieter gemäß eIDAS, bietet einen rechtlichen Beweis für die Existenz eines Dokuments an einem bestimmten Datum. Er ist unverzichtbar für die Erhaltung der Beweiskraft von Dokumenten über lange Zeiträume.
Qualifizierte Zeitstempel (TSA): Ein qualifizierter Zeitstempel ist ein elektronischer Zeitstempel, der von einer gemäß eIDAS qualifizierten Time Stamping Authority (TSA) ausgestellt wird. Er erbringt einen legal anerkannten Nachweis der Existenz eines Dokuments zu einem bestimmten Datum und einer bestimmten Uhrzeit, gebunden an den Hash des Dokuments. Für die Profile PAdES B-T, B-LT und B-LTA erforderlich, um die Beweiskraft langfristig zu gewährleisten.
HSM (Hardware Security Module): Ein HSM (Hardware Security Module, Hardware-Sicherheitsmodul) ist ein tamper-proof Hardwaregerät, das sich der sicheren Generierung, Speicherung und Verwendung kryptographischer Schlüssel widmet. Das HSM führt kryptographische Operationen (Signatur, Entschlüsselung, Schlüsselerzeugung) durch, ohne jemals den privaten Schlüssel freizulegen – dieser bleibt innerhalb des Hardware-Perimeters, geschützt durch physische Gegenmaßnahmen (Eindringlingssensoren, automatische Löschung bei Öffnungsversuch).

HSM-Zertifizierungen: Um gemäß der Verordnung eIDAS qualifiziert zu sein, muss ein HSM strenge Standards erfüllen – FIPS 140-2 Level 3 oder FIPS 140-3 Level 3+ (US-Standard des NIST) und/oder Common Criteria EAL4+ (europäischer Standard). HSMs mit Common Criteria-Zertifizierung sind berechtigt, Schlüssel für qualifizierte Signatur (QES) und Schlüssel für qualifizierten Zeitstempel zu hosten. Die europäische Vertrauensliste (EU Trusted List) führt die für jeden qualifizierten Anbieter autorisierten HSMs auf.

Cloud-HSM vs. physisches HSM: Historisch waren HSMs spezialisierte Appliances, die in privaten Rechenzentren installiert wurden. Cloud-Provider bieten jetzt gemeinsam genutzte oder dedizierte HSMs als SaaS an – AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, aber auch nationale HSMs, die von europäischen QTSP betrieben werden. Die Verordnung eIDAS 2.0 erkennt Cloud-HSMs ausdrücklich für qualifizierte Fernsignatur an.

HSM und Verschlüsselung ("HSM-Verschlüsselung"): Über die Signatur hinaus schützen HSMs Verschlüsselungsschlüssel für Datenbanken, Festplattenverschlüsselungsschlüssel (BitLocker, FileVault, LUKS), Root-Schlüssel für interne PKI und Anwendungsgeheimnisse. Schlüsselrotation, Sicherung und Widerruf werden über PKCS#11 oder proprietäre Schnittstellen verwaltet.

Implementierung bei Certyneo: Die kryptographischen Schlüssel für Fernsignatur werden in HSMs mit Common Criteria EAL4+-Zertifizierung gehostet, die von unserem qualifizierten Vertrauensdienst-Anbieter (QTSP) betrieben werden. Kein privater Schlüssel ist jemals für Certyneo oder seinen Hoster zugänglich – jede Signaturoperation läuft durch starke Authentifizierung des Unterzeichners und einen API-Aufruf zum HSM, der die Signatur zurückgibt, ohne den Schlüssel freizulegen. Siehe auch QSCD und Cloud-Signatur.
HTTP/3: HTTP/3 ist die dritte Hauptversion des HTTP-Protokolls, basierend auf QUIC (UDP-Transport) statt TCP. Es reduziert die Latenz (Beseitigung des Head-of-Line Blocking), verbessert die Wiederherstellung nach Netzwerkunterbrechungen und integriert nativ TLS 1.3. Certyneo nutzt HTTP/3, um das Laden von zu signierenden Dokumenten und die Übermittlung von Zustimmungsformularen zu beschleunigen, besonders auf Mobilgeräten in beeinträchtigter Netzwerkumgebung.

I

Digitale Identität: Die digitale Identität ist die Gesamtheit der Daten, die es ermöglichen, eine natürliche oder juristische Person im digitalen Raum zu identifizieren. Sie kann von einem Staat bereitgestellt werden (elektronischer Personalausweis, FranceConnect) oder von privaten Betreibern (qualifizierte Anbieter). Mit eIDAS 2.0 wird jeder europäische Bürger über eine offizielle digitale Identitätsmappe (EUDIW) verfügen.
IdP (Identity Provider / Identitätsanbieter): Ein Identity Provider (IdP) ist ein Dienst, der digitale Identitäten verwaltet und Authentifizierungsbestätigungen an Drittanwendungen (Service Provider) ausstellt. Dominante Protokolle sind SAML 2.0 (Enterprise, SSO Okta/Azure AD) und OIDC/OAuth 2.0 (Web, FranceConnect). Im Kontext der elektronischen Signatur spielt der IdP zwei Rollen: (1) Authentifizierung des Unterzeichners beim Zugriff auf das Signaturportal (MFA über Enterprise-SSO); (2) Bereitstellung von verifizierten Identitätsattributen (Name, E-Mail, Mitarbeiternummer), die das Signaturzertifikat und den Audit-Trail speisen. FranceConnect ist der französische öffentliche IdP, der das Vertrauensniveau "substantiell" für fortgeschrittene Signaturen für Behördendienste erreicht. Certyneo integriert mit SAML und OIDC IdPs über die Admin-Konsole.
Tintensignatur (digitalisierte handschriftliche Signatur): Eine Tintensignatur (oder digitalisierte handschriftliche Signatur) ist die Digitalisierung der traditionellen handgeschriebenen Signatur als Bild (JPG/PNG), die auf ein Dokument angebracht wird. Sie stellt die grundlegendste Stufe der einfachen elektronischen Signatur (SES) unter eIDAS dar: ohne starke Authentifizierung und ohne Audit-Trail ist ihr Beweiskraft begrenzt. Sie wird jedoch weiterhin für Dokumente mit geringem rechtlichem Risiko verwendet (interne Signaturen, Anmerkungen).
Integrität (von Daten): Integrität bezeichnet die Eigenschaft, die garantiert, dass Daten nach ihrer Erstellung, Übertragung oder Speicherung nicht verändert oder gefälscht wurden. Bei der digitalen Signatur wird die Integrität durch die Hash-Funktion gewährleistet: Jede Änderung des Dokuments bedeutet, dass der neu berechnete Hash nicht mehr dem in der Signatur verschlüsselten Hash entspricht, was die Überprüfung sofort ungültig macht. Daher ist ein mit Certyneo signiertes PDF « versiegelt » — es kann nicht geändert werden, ohne dass die Signatur bricht.
eIDAS-Interoperabilität: Die eIDAS-Interoperabilität bezeichnet die gegenseitige Anerkennung digitaler Identitäten und elektronischer Signaturen zwischen EU-Mitgliedstaaten, wie sie durch die eIDAS-Verordnung (Artikel 6 und 25) vorgeschrieben ist. Ein qualifiziertes Zertifikat, das von einem Vertrauensdiensteanbieter (TSP) ausgestellt wurde und auf der Vertrauensliste eines Mitgliedstaats aufgeführt ist, wird automatisch in allen anderen Mitgliedstaaten als gültig anerkannt — ohne zusätzliche Maßnahmen. Diese Interoperabilität deckt die Ebenen AES und QES ab. Die Verordnung eIDAS 2.0 (EU 2024/1183) erweitert diesen Mechanismus auf das EUDI-Portemonnaie (Europäische digitale Identität), das für 2026 geplant ist.

J

Signatur-Token: Ein Signatur-Token ist das kryptographische Objekt, das zum Zeitpunkt der Signatur erzeugt wird und folgende Elemente enthält: der Hash des Dokuments, der Zeitstempel, die Kennung des Unterzeichners und die kryptographische Signatur selbst (verschlüsselt mit dem privaten Schlüssel über die PKI). Dieser Token wird im endgültigen PDF gemäß dem Format PAdES eingebettet und ermöglicht es jedem Verifizierer – Richter, Sachverständiger, Auditor – den Signaturnachweis ohne Abhängigkeit von der Plattform zu rekonstruieren. Der Token ist autark: Selbst wenn Certyneo verschwinden würde, würde die Signatur mit einem Standard-PDF-Leser (Acrobat Reader, pdfsig) verifizierbar bleiben.
Protokollierung und Aufbewahrung von Signaturlogs: Protokollierung im Kontext der elektronischen Signatur bezieht sich auf die unveränderliche Aufzeichnung aller Ereignisse im Lebenszyklus eines Dokuments: Erstellung, Versand, Öffnung, OTP verifiziert, Signatur angebracht, Herunterladen des Unterzeichneten, Archivierung. Diese Logs bilden die technische Schicht des Audit-Trails und können im Falle einer Auseinandersetzung erforderlich sein. Rechtliche Anforderungen variieren: Die DSGVO verlangt eine Begrenzung der Aufbewahrungsdauer personenbezogener Daten, während Verjährungsfristen von Verträgen (5 Jahre im Handelsrecht, 10 Jahre für Zivilrechtsurkunden) die minimale Aufbewahrungsdauer der Logs bestimmen. Best Practice: Logs müssen kryptografisch signiert sein (Integritäts-Token), um zu beweisen, dass sie nicht manipuliert wurden. Certyneo bewahrt die Logs jeder Envelope für die geltende Dauer auf und bindet sie in den herunterladbaren digitalen Safe ein.
JWT (JSON Web Token): Ein JWT (JSON Web Token, RFC 7519) ist ein kompaktes und sicheres Format zur Darstellung von Zusicherungen zwischen zwei Parteien. Es besteht aus drei in Base64URL codierten Teilen, getrennt durch Punkte: der Header (Algorithmus), das Payload (Claims) und die Signatur. Die Certyneo-API verwendet signierte JWTs (HS256 oder RS256) für die Verwaltung von Sitzungen und die Authentifizierung von API-Aufrufen und stellt sicher, dass die Token nicht manipuliert wurden. Access-JWTs haben eine kurze Lebensdauer, ergänzt durch langlebige Refresh-Token.

K

KYC (Know Your Customer): KYC (Know Your Customer) bezeichnet die Gesamtheit der Verfahren zur Identitätsverifikation, die ein Unternehmen auf seine Kunden anwendet, bevor es eine Geschäftsbeziehung eingeht. Ursprünglich von Richtlinien gegen Geldwäsche an Banken verpflichtet, hat sich KYC auf elektronische Signatursvorgänge mit hohem Risiko ausgeweitet: Kontoeröffnung, Kreditvergabe, Versicherungen, notarielle Urkunden. Drei Säulen: die Verifikation des Identitätsdokuments (OCR und Betrugserkennung bei den Sicherheitselementen eines Ausweises oder Passes), die Liveness-Erkennung (Nachweis, dass die Person real und präsent ist, keine Fotos oder Deepfakes), und die Validierung von Informationen anhand von Referenzdatenbanken. Verbindung zur Signaturkategorie: Je sensibler der Rechtsakt, desto strenger das KYC – eine einfache Signatur erfordert möglicherweise keines, während die Verordnung eIDAS eine persönliche oder gleichwertige Remote-Identitätsverifikation (Video-KYC) vor der Ausstellung des Zertifikats einer qualifizierten Signatur (QES) vorschreibt. KYC und AML-CFT: KYC ist die Eingangsstufe der Geschäftsbeziehung; die laufende Überwachung von Transaktionen (AML-CFT) erfolgt dann fortlaufend. Warum das wichtig ist: Ein robustes KYC ermöglicht es, dass eine Remote-Signatur denselben Rechtswert wie eine persönlich beglaubigte Signatur hat, indem der Signaturschlüssel an eine verifizierten Person gebunden wird.

L

LCCJTI (Gesetz über den Rechtsrahmen der Informationstechnologien): Die LCCJTI ist das Gesetz von Québec (L.R.Q., Kapitel C-1.1), das den rechtlichen Rahmen für elektronische Signaturen und Dokumente in Québec schafft. Sie erkennt die elektronische Signatur explizit als gleichwertig mit der handschriftlichen Signatur an, sofern die Identität des Unterzeichners zuverlässig festgestellt wird und die Verbindung zwischen der Signatur und dem Dokument gewährleistet ist (Artikel 39). Die LCCJTI ergänzt die eIDAS-Verordnung (in Europa gültig) und das PIPEDA (für persönliche Daten außerhalb von Québec). Sie ist die rechtliche Grundlage für Certyneo-Signaturen für québekische Verträge. Das Gesetz 25 (2022) modernisiert das begleitende Regime des Schutzes persönlicher Informationen.
LCEN (Gesetz 2004-575): Die LCEN (Loi pour la Confiance dans l'Économie Numérique vom 21. Juni 2004, Nr. 2004-575) ist der Gründungstext des französischen Digitalrechts. Sie regelt den elektronischen Handel, die Haftung von Hosting-Providern, digitale Werbung und verpflichtet Betreiber professioneller Websites zur Veröffentlichung von Impressumsangaben (Firmenname, Kapital, Handelsregisternummer, Adresse, Verantwortlicher Redakteur, Host). Ergänzend zur europäischen eIDAS-Verordnung setzte sie auch die erste Richtlinie zu elektronischen Signaturen in französisches Recht um. Die LCEN bleibt parallel zu eIDAS anwendbar, insbesondere hinsichtlich vorvertraglicher Informationspflichten und der Aufbewahrung elektronischer Verträge ab 120 €.
LegalTech: Der Begriff LegalTech (Legal Technology) bezeichnet Startups und Softwarelösungen, die Technologie auf den Rechtsbereich anwenden, um Dienstleistungen zu automatisieren, zu beschleunigen oder zugänglich zu machen, die bisher Rechtsfachleuten vorbehalten waren. Die elektronische Signatur, die Digitalisierung von Verträgen, KI-gestützte Due Diligence und Dokumentenverwaltung gehören dazu. Certyneo ist Teil des europäischen LegalTech-Ökosystems und bietet eine einfach zu integrierende Signatur, die dem Standard eIDAS entspricht.
LTV (Long-Term Validation): Die Langzeitvalidierung (LTV, Long-Term Validation) ist eine Funktionalität von PDF-Signaturen (PAdES B-LT/B-LTA), die alle notwendigen Daten zur zukünftigen Signaturverifizierung in das signierte Dokument einbettet: Zertifikatskette, Zeitstempel, OCSP- oder CRL-Antworten. Dank LTV bleibt ein signiertes Dokument Jahre nach der Unterzeichnung überprüfbar, auch wenn die Zertifikate abgelaufen sind. Certyneo integriert LTV, um die Beweiskraft über 10 Jahre zu garantieren.

M

Elektronisches SEPA-Mandat (Lastschriftmandat): Das elektronische SEPA-Mandat (E-Mandat) ermöglicht es einem Gläubiger, die Genehmigung für automatische Lastschriften eines Schuldners vollständig online zu erfassen, gemäß EU-Verordnung Nr. 260/2012 und den Richtlinien des EPC (European Payments Council). Der Schuldner gibt seine IBAN und seinen BIC ein und unterzeichnet das Mandat dann durch einfache elektronische Signatur (SES); die Bank des Schuldners kann ihn über Open Banking (DSP2/PSD2) authentifizieren. Das unterzeichnete Mandat muss 14 Monate nach der letzten Lastschrift aufbewahrt werden. Ein gültiges E-Mandat enthält: die Gläubiger-Identifikationsnummer SEPA (ICS), die eindeutige Mandatsreferenz (RUM) und das Unterzeichnungsdatum. SaaS-Plattformen, Softwarehersteller und Schulungsorganisationen nutzen häufig Certyneo, um SEPA-Mandate bei der Online-Anmeldung zu erfassen, indem sie die Signatur über die REST-API in den Bestellprozess integrieren.
Handschriftliche Signatur: Die handschriftliche Signatur ist die Namenszüge, die eine Person von Hand am unteren Rand eines Papierdokuments anbringt und an ihrem persönlichen Schriftzug erkennbar ist. Sie bleibt die historische Referenz des französischen Zivilrechts (Artikel 1367 des Bürgerlichen Gesetzbuchs). Die eIDAS-Verordnung etabliert das Prinzip der Nichtdiskriminierung: eine elektronische Signatur, unabhängig von ihrem Niveau, kann nicht allein deshalb als Beweis abgelehnt werden, weil sie elektronisch ist. Eine qualifizierte Signatur (QES) hat in der gesamten EU die gleiche Beweiskraft wie eine handschriftliche Signatur. Fortgeschrittene Signaturen (AES) bieten oft eine überlegene Rückverfolgbarkeit (Audit-Trail mit Zeitstempel) im Vergleich zu ihrem Papieräquivalent.
MFA (Multi-Faktor-Authentifizierung): MFA (Multi-Factor Authentication, Multi-Faktor-Authentifizierung auf Deutsch — manchmal auch als 2FA abgekürzt für Two-Factor Authentication, wenn genau zwei Faktoren kombiniert werden) ist ein Sicherheitsmechanismus, der die Vorlage von mindestens zwei Identitätsnachweisen aus verschiedenen Kategorien erfordert:

• Wissensfaktor ("was ich weiß") : Passwort, PIN-Code, Antwort auf eine Sicherheitsfrage, Passphrase.
• Besitzfaktor ("was ich besitze") : Telefon, das einen OTP per SMS oder TOTP-Anwendung erhält (Google Authenticator, Authy, 1Password), YubiKey oder ein anderer FIDO2-Schlüssel, Zertifikat auf einer Smartcard.
• Inhärenzfaktor ("was ich bin") : Fingerabdruck, Gesichtserkennung, Stimme, Iris. Implementiert über native OS-APIs moderner Betriebssysteme (Face ID, Touch ID, Windows Hello, Android BiometricPrompt).

MFA vs. 2FA : 2FA ist eine strikte Teilmenge der MFA — genau zwei Faktoren. MFA kann zwei, drei oder mehr Faktoren kombinieren. Die Öffentlichkeit verwechselt die beiden Begriffe häufig; in der B2B- und Rechtscybersicherheit ist MFA der Oberbegriff.

MFA und elektronische Signatur : die fortgeschrittene elektronische Signatur (AES) erfordert eine starke Authentifizierung des Unterzeichners, was in der Praxis in eine MFA übersetzt wird (typischerweise E-Mail + OTP SMS). Die qualifizierte Signatur (QES) verlangt eine verstärkte MFA — Identitätsüberprüfung mit Ausweisdokument + Besitzfaktor (Smartcard oder QSCD). Die eIDAS-Verordnung nennt MFA nicht ausdrücklich, schreibt sie aber über die Anforderungen der starken Authentifizierung vor.

Implementierung bei Certyneo : MFA ist obligatorisch für alle Administratorzugriffe (TOTP über Google Authenticator oder OTP per E-Mail zur Auswahl). Für Unterzeichner wird die Kombination E-Mail + OTP SMS standardmäßig auf AES-Umschlägen angewendet. Siehe auch OTP und starke Authentifizierung.

N

Signaturebene (einfach, fortgeschritten, qualifiziert): Die eIDAS-Verordnung unterscheidet drei Ebenen der elektronischen Signatur: die einfache Signatur (SES), die eine minimale Identifizierung erfordert; die fortgeschrittene Signatur (AES), die eine eindeutige Verbindung zum Unterzeichner und starke Authentifizierung verlangt; und die qualifizierte Signatur (QES), die auf einem qualifizierten Zertifikat und einem sicheren Erstellungsgerät basiert. Die QES hat in der gesamten EU denselben Rechtswert wie eine handschriftliche Signatur. Signaturebenen verstehen →
Nichtabstreitbarkeit: Nichtabstreitbarkeit ist die Eigenschaft einer elektronischen Signatur, die es dem Unterzeichner unmöglich macht, zu bestreiten, die Handlung ausgeführt zu haben (unterzeichnen, senden, akzeptieren). Sie wird durch die Kombination der kryptografischen Signatur (technisch unwiderlegbare Verbindung), des Audit-Trails mit Zeitstempel und der starken Authentifizierung gewährleistet. Eine qualifizierte Signatur (QES) bietet die stärkste Nichtabstreitbarkeit, die im europäischen Recht anerkannt wird.
ISO/IEC 27001 Norm und ISMS-Zertifizierung: ISO/IEC 27001 ist die internationale Referenznorm für Informationssicherheitsmanagementsysteme (ISMS). Sie definiert die Anforderungen zur Etablierung, Implementierung, Aufrechterhaltung und kontinuierlichen Verbesserung eines ISMS durch 93 Kontrollen, die in 4 Bereiche unterteilt sind (organisatorisch, menschlich, physisch, technologisch). Für einen Anbieter von elektronischer Signatur zeigt die ISO-27001-Zertifizierung ein Sicherheitsreifeniveau, das den Verpflichtungen von eIDAS und GDPR entspricht. Sie wird häufig in öffentlichen Ausschreibungen und Sicherheitsfragebogen großer Unternehmen verlangt. Die Norm ISO 27017 (Cloud-Sicherheit) und ISO 27018 (Schutz personenbezogener Daten in der Cloud) ergänzen ISO 27001 für SaaS-Dienste. Certyneo wird in Rechenzentren gehostet, die ISO 27001 zertifiziert sind, und verfügt über ein dokumentiertes ISMS, das die gesamte Signaturverarbeitungskette abdeckt.

O

OCSP (Online Certificate Status Protocol): OCSP (Online Certificate Status Protocol, RFC 6960) ist ein Protokoll zur Echtzeit-Überprüfung des Widerrufsstatus eines elektronischen Zertifikats durch Abfrage eines OCSP-Responders, der von der Zertifizierungsstelle betrieben wird. Warum Widerruf wichtig ist: Ein Zertifikat kann zeitlich gültig sein, aber vorzeitig widerrufen werden (Schlüsselkompromittierung, Mitarbeiteraustritt); eine Signatur oder TLS-Verbindung muss daher den Status überprüfen, nicht nur das Ablaufdatum. OCSP versus CRL: OCSP ist eine leichtere und reaktivere Alternative zu einer CRL — anstatt die gesamte Widerrufsliste herunterzuladen, fragt der Client ein einzelnes Zertifikat ab und erhält eine prägnante signierte Antwort (gültig / widerrufen / unbekannt). OCSP Stapling: Um eine Datenschutzlecks und einen zusätzlichen Roundtrip zu vermeiden, ruft der Server seine eigene OCSP-Antwort ab und "heftet" sie in den TLS-Handshake ein, sodass der Browser die ZS niemals direkt kontaktiert. In signierten Dokumenten: OCSP-Antworten werden zum Zeitpunkt der Signatur in das PDF integriert für Langzeitvalidierung (LTV), damit die Signatur jahrelang überprüfbar bleibt, auch wenn der Responder offline ist.
Elektronisches Onboarding (digitale Kontoeröffnung): Das elektronische Onboarding ist der Prozess der Kontoeröffnung oder Anmeldung, der vollständig digitalisiert ist und KYC, Identitätsprüfung und elektronische Signatur von Verträgen (AGB, SEPA-Mandat, Kontovertrag) in einer einzigen Web- oder Mobile-Sitzung kombiniert. Die Bank-, Versicherungs- und Fintech-Branchen sind am weitesten fortgeschritten: die DSP2-Richtlinie schreibt starke Authentifizierung (SCA) bei der Kontoeröffnung vor. Ein Onboarding, das der eIDAS-Verordnung entspricht, erfordert, dass die Remote-Identitätsprüfung ein "substanzielles" oder "hohes" Vertrauensniveau für verbindliche Transaktionen aufweist. Die Lösungen kombinieren: OCR von Ausweisdokumenten, Liveness-Check (Video oder Selfie), AES- oder QES-Signatur und automatische Archivierung des vollständigen KYC-Dossiers im digitalen Safe.

P

PAdES (PDF Advanced Electronic Signature): PAdES (PDF Advanced Electronic Signature, Standard ETSI EN 319 142) ist der europäische Standard für digitale Signaturen, die in PDF-Dateien eingebettet sind. PAdES wurde durch die eIDAS-Verordnung als Referenzformat für europäische Dokumente angenommen und wird heute nativ von allen PDF-Readern (Adobe Acrobat, Foxit, PDF.js, pdfsig) implementiert. Eine PAdES-Signatur ist IN die PDF eingebettet: keine separaten Dateien, keine Abhängigkeit von Drittplattformen, Offline-Verifizierbarkeit.

Die vier PAdES-Profile definieren ein schrittweise erhöhtes Garantieniveau:
• PAdES B-B (Baseline-B): Basissignatur mit minimalen ETSI-Attributen. Ausreichend für übliche Anwendungen, bei denen unmittelbare Beweiskraft ausreicht.
• PAdES B-T (Baseline-T): fügt unmittelbar nach der Signatur einen qualifizierten Zeitstempel RFC 3161 hinzu, der das Datum belegt.
• PAdES B-LT (Baseline-Long Term): fügt Langzeitvalidierung mit eingebetteter Zertifikatskette und Widerrufdaten hinzu. Verifizierbar, auch nach Ablauf des ursprünglichen Zertifikats.
• PAdES B-LTA (Baseline-Long Term with Archive timestamp): fügt periodische Archivierungszeitstempel hinzu, um die Beweiskraft über 10 Jahre hinaus zu erhalten, notwendig für Dokumente mit sehr langer Aufbewahrung (Immobilien, Patente).

Certyneo-Implementierung: Alle signierten PDFs werden standardmäßig in PAdES B-LT produziert, dem für die meisten B2B-Anwendungen empfohlenen Profil. Das B-LTA-Profil ist im Business-Plan für Verträge mit Aufbewahrung über 10 Jahre aktivierbar. Verifizierbarkeit in Adobe Acrobat Reader ohne Plugin garantiert.

PAdES vs. andere Formate: siehe XAdES (für XML), Vergleich PAdES / XAdES / CAdES.
Elektronischer Paraphe: Der elektronische Paraphe ist das digitale Äquivalent des physischen Paraphes, der in öffentlichen Verwaltungen und großen Unternehmen verwendet wird: er zentralisiert Dokumente, die auf Genehmigung oder Unterzeichnung durch einen Entscheidungsträger warten. Historisch auf den öffentlichen Sektor beschränkt (ADULLACT, Pastell von Libriciel), hat sich der elektronische Paraphe auf Unternehmen mit Lösungen erweitert, die in GED-Systeme (Documentum, SharePoint, Alfresco) integriert sind. Ein elektronischer Paraphe verwaltet: die Eingangsdokumentenliste, Unterschriftsdelegationen (siehe Delegation), mehrstufige Validierungsabläufe (Genehmigungsworkflow) und die Anbringung der qualifizierten elektronischen Signatur des autorisierten Unterzeichners. Der Hauptunterschied zu einem einfachen Signaturwerkzeug ist die Verwaltung von Postfächern (ausstehende, unterzeichnete, abgelehnte, archivierte Dokumente) und das Audit-Trail für jedes Dokument. Certyneo bietet einen integrierten Paraphe über das Dashboard oder die API.
PDF/A (Langzeit-Archivierung): PDF/A ist eine normalisierte ISO-Version des PDF-Formats (ISO 19005), speziell für die Langzeitarchivierung konzipiert. Es integriert alle Schriftarten, Bilder und Ressourcen in die Datei, verbietet Verschlüsselung und auf externe Umgebungen angewiesene Inhalte. Dies garantiert, dass das Dokument ohne Softwareabhängigkeit auch nach 30 Jahren noch lesbar ist. Für elektronische Archivierung mit Beweiskraft ist die Kombination von PDF/A mit PAdES B-LTA die empfohlene Praxis.
PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada): Das PIPEDA (Personal Information Protection and Electronic Documents Act, auf Französisch : Loi sur la protection des renseignements personnels et les documents électroniques) ist das kanadische Bundesgesetz zum Schutz persönlicher Informationen im privaten Sektor (S.C. 2000, c. 5). Es regelt die Erhebung, Nutzung und Offenlegung persönlicher Informationen in interprovínszialen und internationalen Geschäftsaktivitäten. Es ist das kanadische Äquivalent der europäischen DSGVO, obwohl es an einigen Stellen weniger streng ist (stillschweigende Zustimmung manchmal zulässig, niedrigere Geldstrafen).

Die 10 Prinzipien des PIPEDA (aus dem Canadian Standards Association CAN/CSA-Q830) :
1. Verantwortlichkeit — einen Datenschutzverantwortlichen ernennen.
2. Bestimmung der Zwecke — den Zweck der Erhebung klar ankündigen.
3. Zustimmung — informierte Zustimmung einholen.
4. Beschränkung der Erhebung — nur das Notwendigste erheben.
5. Beschränkung der Nutzung — nur für angegebene Zwecke nutzen.
6. Korrektheit — Daten aktuell halten.
7. Sicherheitsmaßnahmen — angemessene technische und organisatorische Sicherheit.
8. Transparenz — öffentliche Datenschutzerklärung.
9. Zugang zu persönlichen Informationen — Zugriffs- und Berichtigungsrecht.
10. Möglichkeit, eine Beschwerde einzureichen — bei den Privacy Commissioners of Canada.

PIPEDA und elektronische Signatur : die elektronische Signatur beinhaltet die Verarbeitung persönlicher Informationen (Name, E-Mail-Adresse, Telefonnummer, IP, Sitzungs-Metadaten, Audit-Trail). Das PIPEDA verlangt :
• informierte Zustimmung des Unterzeichners vor der Erhebung ;
• sichere Speicherung (Verschlüsselung im Ruhezustand, eingeschränkter Zugriff) ;
• Aufbewahrungsdauer proportional zum Zweck (10 Jahre für Geschäftsverträge ist allgemein akzeptiert) ;
• Zugriffs-, Berichtigungs- und Löschungsrecht auf Anfrage des Unterzeichners ;
• obligierte Benachrichtigung im Fall einer Verletzung, die ein echtes Risiko schwerwiegenden Schadens darstellt (seit 2018).

Gesetz 25 von Québec : die Provinz Québec verfügt über ein eigenes Gesetz (Gesetz 25 / Loi modernisant les dispositions sur la protection des renseignements personnels, in Kraft seit 2022-2024), das Vorrang vor dem PIPEDA für intra-québekische Aktivitäten hat. Das Gesetz 25 ist strenger als das PIPEDA — in den meisten Punkten an der europäischen DSGVO ausgerichtet : explizite Zustimmung erforderlich, Ernennung eines Datenschutzverantwortlichen, Datenschutz-Folgenabschätzungen (DPIA), Geldstrafen bis 4 % des weltweiten Umsatzes.

PIPEDA vs. DSGVO : die Europäische Kommission erkennt das PIPEDA als angemessen im Sinne von Artikel 45 der DSGVO an (Beschluss 2002/2/EG bestätigt 2024). Übermittlungen persönlicher Daten aus der EU nach Kanada sind daher ohne weitere Förmlichkeiten zulässig. Für kanadische Organisationen, die in der EU tätig sind, bleibt die DSGVO für die Daten europäischer Bewohner anwendbar (Extraterritorialität, Artikel 3).

Umsetzung Certyneo : PIPEDA + Gesetz 25 + DSGVO-Compliance gewährleistet durch unsere Datenschutzarchitektur — Hosting in EU-Souveränität (IONOS), TLS 1.3-Verschlüsselung im Transit + AES-256 im Ruhezustand, Zugriffsprotokollierung, Vollständiges Löschungsrecht innerhalb von 30 Tagen, konforme Auftragsverarbeiter. Übermittlungen nach Kanada (selten — nur auf Anfrage in Kanada gehostete Konten) sind durch DSGVO-PIPEDA-Standardvertragsklauseln geregelt.
Audit-Trail: Das Audit-Trail (oder Audit Trail) ist das zeitgestempelte Protokoll aller auf einem Dokument durchgeführten Aktionen: Versand, Öffnung, Ansicht, OTP-Eingabe, Signatur, Ablehnung, Ablauf. Es ist der Hauptnachweis der Beweiskraft im Streitfall, da es nachweist, dass das Signaturverfahren ordnungsgemäß durchgeführt wurde. Bei Certyneo ist das Audit-Trail in der endgültigen PDF integriert und wird 10 Jahre lang in unserer Datenbank gespeichert. Audit-Trail im Detail verstehen →
PKI (Public-Key-Infrastruktur): Eine PKI (Public Key Infrastructure) ist die Gesamtheit der Hardware-, Software-, Verfahrens- und Richtlinienkomponenten, die es ermöglichen, elektronische Zertifikate auszustellen, zu verwalten und zu widerrufen. Sie basiert auf asymmetrischer Kryptografie: ein privater Schlüssel (geheim) wird zum Signieren verwendet, ein öffentlicher Schlüssel (im Zertifikat verbreitet) ermöglicht es jedem, die Signatur zu überprüfen. Qualifizierte Anbieter betreiben PKIs, die den ETSI-Standards entsprechen.
Datenportabilität (GDPR Art. 20): Artikel 20 der GDPR gibt betroffenen Personen das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln. Für Nutzer einer elektronischen Signaturplattform umfasst dieses Recht: unterzeichnete Dokumente und ihre Audit-Trails, Kontometadaten und Aktivitätslogs. Datenportabilität verpflichtet den Anbieter, einen standardisierten Export (JSON, CSV, ZIP) innerhalb eines Monats bereitzustellen. Umgekehrt kann das Recht auf Löschung (Art. 17) durch gesetzliche Aufbewahrungspflichten eingeschränkt werden (beweiskräftige Archivierung 5–10 Jahre) — unterzeichnete Dokumente können erst gelöscht werden, wenn die gesetzliche Aufbewahrungsfrist abgelaufen ist. Certyneo implementiert den vollständigen Account-Export über den Client-Bereich und unterstützt die Migration von Archiven in einen Drittanbieter-Safe.
Anbieter von Vertrauensdiensten (AVD / TSP): Ein Anbieter von Vertrauensdiensten (AVD oder TSP im Englischen) ist eine Einheit, die Dienste für Zeitstempel, Ausstellung von Zertifikaten, Signatur oder Archivierung im Sinne der eIDAS-Verordnung bereitstellt. Ein qualifizierter AVD unterliegt regelmäßigen Audits und ist in der nationalen Vertrauensliste eingetragen (in Frankreich: ANSSI-Liste). Die Qualifizierung garantiert die höchste in der EU anerkannte Sicherheitsstufe. Siehe die Verpflichtungen von Anbietern →

Q

QES (Qualifizierte elektronische Signatur): Die qualifizierte elektronische Signatur (QES, Qualified Electronic Signature) ist die höchste Stufe, die in der eIDAS-Verordnung definiert ist. Sie ist rechtlich einer handschriftlichen Unterschrift in der gesamten Europäischen Union gleichwertig. Ihre Ausstellung erfordert: eine vorherige Identitätsprüfung, ein von einem QTSP ausgestelltes qualifiziertes Zertifikat und die Verwendung eines sicheren Signaturerstellungsgeräts (QSCD). Sie ist für elektronische notarielle Urkunden, bestimmte öffentliche Aufträge und sensible Verwaltungsverfahren erforderlich.
QSCD (Gerät zur Erstellung qualifizierter Signaturen): Ein QSCD (Qualified Signature Creation Device) ist ein Hard- oder Softwaregerät, das die strengen Anforderungen von Anlage II der eIDAS-Verordnung für die Erstellung von qualifizierten Signaturen (QES) erfüllt. Es garantiert, dass der private Signaturschlüssel im Gerät erzeugt wird, diesen niemals im Klartext verlässt und nur vom berechtigten Inhaber verwendet werden kann. Zertifizierte HSMs und Smartcards sind gängige Formen von QSCD. Cloud-Signatur nutzt virtuelle QSCDs, die in zertifizierten HSMs gehostet werden.
QTSP (Qualified Trust Service Provider): Ein QTSP (Qualified Trust Service Provider, oder Qualifizierter Anbieter von Vertrauensdiensten) ist ein AVD, der geprüft und in die Vertrauensliste eines EU-Mitgliedstaates gemäß der eIDAS-Verordnung eingetragen wurde. Die Qualifizierung ist die höchste europäische Anerkennungsstufe: Sie ist obligatorisch für die Ausstellung von qualifizierten Zertifikaten, qualifizierten Zeitstempeln oder qualifizierten Signaturen (QES). In Frankreich führt die ANSSI die offizielle Liste (docaposte, Universign/Oodrive, CertEurope…). Certyneo arbeitet mit mehreren QTSPs zusammen, um QES auszulösen, wenn die qualifizierte Stufe erforderlich ist (öffentliche Aufträge, Notariatsurkunden, bestimmte Sozialverfahren).

R

Automatische Nachverfolgung: Die automatische Nachverfolgung ist die Funktionalität einer elektronischen Signaturplattform, die automatisch E-Mail- oder SMS-Erinnerungen an Unterzeichner versendet, die noch nicht signiert haben, nach konfigurierbarer Häufigkeit. Sie reduziert Signaturabbrüche und beschleunigt die Fertigstellung von Workflows. Bei Certyneo sind Nachverfolgungen pro Umschlag konfigurierbar (Häufigkeit, Nachrichteninhalt) und alle Aktionen werden im Audit-Trail protokolliert.
DSGVO: Die DSGVO (Datenschutz-Grundverordnung, Verordnung EU 2016/679) regelt die Erfassung, Verarbeitung und Speicherung personenbezogener Daten in der EU. Im Rahmen der elektronischen Signatur schreibt sie insbesondere vor, die bei Unterzeichnern erfassten Daten zu minimieren, eine Aufbewahrungsfrist festzulegen und das Recht auf Löschung zu sichern. Certyneo ist DSGVO-konform mit Hosting in der EU und ein verfügbares Verarbeitungsregister. Siehe unsere Sicherheitsseite →
ROI der elektronischen Signatur: Der ROI (Return on Investment) der elektronischen Signatur wird auf vier Positionen gemessen: (1) Reduzierung des Signaturzyklus — von 5-10 Tagen (Post/Scan) auf durchschnittlich weniger als 1 Stunde, (2) direkte Einsparungen — Druck, Porto, physische Archivierung (geschätzt auf 15 bis 30 € pro Umschlag), (3) Reduzierung der Abbruchquote — Verträge mit ausstehender Papiersignatur haben eine 3× höhere Abbruchquote, (4) Compliance — DSGVO-Bußgelder für schlechte Archivierung von Papierkontrakten können die jährlichen Kosten eines SaaS-Tools übersteigen. Der Übergang zu Papierlosigkeit amortisiert sich in der Regel in 3 bis 6 Monaten für KMU mit mehr als 50 Verträgen pro Monat.

S

SES (Einfache elektronische Signatur): Die einfache elektronische Signatur (SES, Simple Electronic Signature) ist die im Regelwerk eIDAS definierte Basisstufe. Sie erfordert keine spezifischen technischen Anforderungen: ein Klick auf „Ich akzeptiere", ein Signaturbild oder eine Signatur per E-Mail erfüllen die Anforderungen. Sie ist vor Gericht als Beweis zulässig (Artikel 25 der eIDAS-Verordnung), aber ihr Beweiswert wird nicht vermutet: Die Vermutung der Zuverlässigkeit ist der qualifizierten Signatur vorbehalten (Artikel 1367 des Zivilgesetzbuches und Dekret Nr. 2017-1416). Im Streitfall muss derjenige, der sich darauf beruft, die Zuverlässigkeit des Verfahrens nachweisen. Sie ist für Dokumente mit geringem rechtlichen Risiko geeignet (Angebote, interne Berichte, Grundsatzvereinbarungen). Bei wichtigen Belangen sollte die Stufe AES oder QES bevorzugt werden.
Unterzeichner: Der Unterzeichner ist die natürliche Person, die ihre elektronische Signatur auf ein Dokument anbringt und sich rechtlich zu seinem Inhalt verpflichtet — zu unterscheiden vom Absender, der das Dokument vorbereitet und versendet, und von einer juristischen Person, die « unterzeichnet » über ein elektronisches Siegel.

Wer kann Unterzeichner sein? Jede rechtsfähige natürliche Person: eine volljährige Privatperson für ihre eigenen Verpflichtungen oder ein bevollmächtigter Vertreter für ein Unternehmen — Geschäftsführer, Arbeitnehmer mit einer Signaturvollmacht, Bevollmächtigter. Die Überprüfung der Befugnis des Unterzeichners ist ein wesentlicher Kontrollpunkt: Ein von einer nicht bevollmächtigten Person unterzeichneter Vertrag kann angefochten werden.

Unterzeichner, Mitunterzeichner, Genehmiger: Der Mitunterzeichner ist ein zusätzlicher Unterzeichner desselben Dokuments (Co-Signatur), mit gleicher Haftung; der Genehmiger validiert das Dokument in einem Genehmigungsworkflow ohne eine rechtlich verbindliche Signatur anzubringen. Die Reihenfolge der Unterzeichner kann sequenziell sein (jeder unterzeichnet der Reihe nach, mit automatischen Erinnerungen) oder parallel (alle gleichzeitig) — dies ist der Signatur-Workflow.

Wie wird die Identität des Unterzeichners überprüft? Je nach Signatur-Niveau: bei einfacher Signatur (SES), über den eindeutigen E-Mail-Link; bei fortgeschrittener Signatur (fortgeschrittene Signatur), über starke Authentifizierung — OTP SMS-Code; bei qualifizierter Signatur (QES), durch Überprüfung des Ausweisdokuments bei einem qualifizierten Vertrauensdiensteanbieter.

Auf Certyneo: Der Unterzeichner erhält einen eindeutigen Link per E-Mail, sieht das Dokument, authentifiziert sich und unterzeichnet von seinem Mobilgerät oder Computer aus, ohne ein Konto zu erstellen. Jede seiner Aktionen (Öffnung, OTP, Signatur, Ablehnung) wird zeitgestempelt und in der Audit-Spur vermerkt, die dem signierten PDF beigefügt ist — sie ist es, die das Dokument rechtlich mit dem Unterzeichner verbindet. Signatur-Niveaus verstehen →
Fortgeschrittene Signatur (AES / eIDAS Stufe 2): Die fortgeschrittene Signatur (Advanced Electronic Signature — AES) ist die zweite der drei Stufen der elektronischen Signatur, die durch die Verordnung eIDAS (EU) Nr. 910/2014 definiert sind, zwischen der einfachen Signatur (SES) und der qualifizierten Signatur (QES). Dies ist die empfohlene Stufe für die große Mehrheit der Vertragsdokumente mit Relevanz.

Die vier Anforderungen von Artikel 26 eIDAS:
• Eindeutige Verbindung zum Unterzeichner: Die Signatur kann nur einer Person zugeordnet werden — gewährleistet durch den Identifikationskanal (nominale E-Mail, persönliches Mobiltelefon).
• Identifizierung des Unterzeichners: Das Verfahren ermöglicht es, festzustellen, wer unterzeichnet hat — erklärte personenbezogene Daten, E-Mail-Adresse, Mobilfunknummer, verifiziert durch OTP-Code.
• Ausschließliche Kontrolle: Die Daten zur Erstellung der Signatur stehen unter der Kontrolle allein des Unterzeichners — materialisiert durch starke Authentifizierung zum Zeitpunkt der Unterzeichnung.
• Integrität: Jede nachträgliche Änderung des Dokuments ist erkennbar — garantiert durch kryptographische Versiegelung (Hashing + PAdES).

AES vs. SES vs. QES: SES erfordert keine verstärkte Verifizierung (Kontrollkästchen, gezogene Signatur) — ausreichend für alltägliche Dokumente; AES fügt starke Authentifizierung und Integritätsnachweis hinzu — geeignet für Arbeitsverträge, Vollmachten, Mietverträge, Bank- und Versicherungsdossiers; QES fügt ein qualifiziertes Zertifikat hinzu, das nach Identitätsprüfung ausgestellt wird, und ein zertifiziertes Gerät (QSCD) — dies ist das rechtliche Äquivalent zur handschriftlichen Unterschrift in der gesamten EU, erforderlich für die sensiblesten Urkunden.

Rechtlicher Wert: Artikel 25 von eIDAS verbietet es, einer Signatur die Rechtswirkung zu versagen, nur weil sie elektronisch ist, und Artikel 1367 des Zivilgesetzbuches erkennt sie an, wenn ein zuverlässiges Verfahren den Unterzeichner identifiziert und die Integrität der Urkunde gewährleistet. Im Streitfall wird die Zuverlässigkeit der AES durch das Beweisbündel nachgewiesen: zeitgestempelte Audit-Spur, dokumentierte OTP-Codes, Dokumenten-Fingerabdruck, Zeitstempel. Die QES profitiert zusätzlich von einer Zuverlässigkeitsvermutung (umgekehrte Beweislast).

Wann reicht AES aus? Arbeitsverträge und Änderungen, Geschäftsverträge, Angebote und Bestellscheine, Vollmachten (Verkauf, Mietverwaltung, SEPA), Mietverträge, KYC- und Kreditdossiers: AES ist der Marktstandard. Wechseln Sie zu QES für notarielle Urkunden, bestimmte öffentliche Aufträge, die Abtretung von Geschäftsfonds oder wenn dies erforderlich ist.

Bei Certyneo: AES ist in allen kostenpflichtigen Plänen verfügbar — der Unterzeichner wird durch SMS-OTP authentifiziert, die unterzeichnete PDF wird im PAdES-Format mit Zeitstempel versiegelt, und die vollständige Audit-Spur wird dem Dokument beigefügt. QES ist pro Akt verfügbar, ohne spezielles Abonnement. Die drei eIDAS-Stufen verstehen → · Die eIDAS-Verordnung im Detail →
Biometrische Signatur: Die biometrische Signatur ist eine Form der elektronischen Signatur, die neben dem Bild des Handschriftzugs auch dynamische Verhaltensdaten erfasst: Stiftdruck, Geschwindigkeit, Neigungswinkel, Beschleunigung. Diese Parameter erzeugen einen einzigartigen Fingerabdruck, der schwer zu imitieren ist. Sie bietet eine robustere Authentifizierung als ein einfaches Signaturbild. Biometrische Daten werden nach der DSGVO als vertraulich behandelt und erfordern ausdrückliche Zustimmung. Allein reicht Biometrie nicht aus, um die AES-Stufe von eIDAS zu erreichen; sie muss mit starker Authentifizierung kombiniert werden.
Cloud-Signatur: Die Cloud-Signatur ist eine elektronische Signatur, bei der der private Schlüssel des Unterzeichners von einem Vertrauensanbieter in der Cloud generiert, gespeichert und verwaltet wird, anstatt auf einem lokalen Gerät (USB-Stick, Smartcard). Dieser Ansatz vereinfacht das Benutzererlebnis und ermöglicht qualifizierte Signaturen (QES) von einem einfachen Browser aus. Die Schlüssel werden in einem von einem QTSP betriebenen zertifizierten HSM geschützt.
Elektronische Signatur: Die elektronische Signatur ist ein Mechanismus, mit dem man auf ein digitales Dokument einen Identitäts- und Zustimmungsnachweis anbringt, der einer handschriftlichen Signatur gleichwertig ist. Im Sinne der Verordnung eIDAS umfasst sie drei Vertrauensstufen: einfach (SES), fortgeschritten (AES) und qualifiziert (QES). Im Gegensatz zur digitalen Signatur ist die elektronische Signatur ein Rechtsbegriff, der auf verschiedenen Technologien basieren kann. Unseren vollständigen Leitfaden entdecken →
Mobile Signatur: Mobile Signatur bezeichnet die Möglichkeit, ein Dokument elektronisch von einem Smartphone oder Tablet aus zu signieren, ohne native Anwendung — über den Webbrowser. Der Unterzeichner erhält einen Link per E-Mail oder SMS, zeigt das Dokument in seinem mobilen Browser an, paraphiert und signiert durch eine Touchgeste oder durch Eingeben seines vollständigen Namens (je nach erforderlichem Niveau) und validiert dann über OTP SMS. Bei Certyneo ist die Signaturoberfläche 100 % responsiv: Identität verifiziert, Audit Trail erstellt und cosigniertes PDF an den Empfänger in weniger als 60 Sekunden über mobiles 4G übertragen. Keine Installation für den Unterzeichner erforderlich.
Digitale Signatur: Die digitale Signatur ist eine technische Implementierung der elektronischen Signatur, die auf asymmetrischer Kryptographie basiert. Sie besteht darin, den Hash eines Dokuments mit dem privaten Schlüssel des Unterzeichners zu verschlüsseln und dabei einen Fingerabdruck zu erzeugen, der von jedem überprüft werden kann, der den entsprechenden öffentlichen Schlüssel besitzt (enthalten im Zertifikat). Sie garantiert sowohl die Identität des Unterzeichners als auch die Integrität des Dokuments.
Smart Contract und Vertragsautomatisierung: Ein Smart Contract ist ein selbstausführbares Programm, das auf einer Blockchain eingesetzt wird, dessen Bedingungen direkt im Computercode codiert sind und automatisch ausgeführt werden, wenn die vordefinierten Bedingungen erfüllt sind. Obwohl beliebt im Ethereum-Ökosystem (Solidity), stellt ein Smart Contract keinen elektronischen Vertrag im Sinne des französischen Zivilrechts dar: seine Ausführung ist automatisch, aber seine Durchsetzbarkeit bleibt an den Nachweis einer gültigen Willenseinigung gebunden. In der B2B-Praxis ist die robusteste Kombination: qualifizierte elektronische Signatur des Rahmenvertrags (sichere gesetzliche Beweisung) + Smart Contract für die automatische Ausführung von Finanzklauseln (Zahlungen, Strafen). Die Blockchain-Notarisierung des Hashs des unterzeichneten Vertrags bildet eine dritte Beweisschicht.
Abrechnung bei Beendigung des Arbeitsverhältnisses: Die Abrechnung bei Beendigung des Arbeitsverhältnisses verzeichnet alle Zahlungen an den Arbeitnehmer bei Beendigung seines Arbeitsvertrags (Gehalt, Entschädigungen, bezahlter Urlaub usw.). Nach Artikel L1234-20 des Arbeitsgesetzbuchs geregelt, wird sie in doppelter Ausführung erstellt und der Arbeitnehmer kann den Empfang unterzeichnen. Nach der Unterzeichnung hat der Arbeitnehmer ein Zeitfenster von sechs Monaten, um die Abrechnung anzufechten. Die elektronische Signatur sichert die Übergabe und dokumentiert das Datum. Dokumente zum Vertragsende →
Cryptographische Suite (Cipher Suite): Eine kryptographische Suite ist eine benannte Kombination kryptographischer Algorithmen (Schlüsselaustausch, Authentifizierung, symmetrische Verschlüsselung, MAC/HMAC), die während des TLS-Handshakes zwischen Client und Server ausgehandelt wird. TLS 1.3 schreibt moderne Suites wie TLS_AES_256_GCM_SHA384 vor und eliminiert schwache Algorithmen (RC4, 3DES, MD5). Certyneo akzeptiert nur TLS 1.3-Suites, um die Sicherheit der Signatursitzungen zu maximieren.

T

Vertrauensstelle: Eine Vertrauensstelle ist ein neutraler und unabhängiger Akteur, dessen Aufgabe es ist, einen Austausch zwischen zwei Parteien zu sichern: In der elektronischen Signatur bescheinigt er die Identität der Unterzeichner, siegelt das Dokument, zeitstempelt die Handlungen und bewahrt die Nachweise auf. Historisch spielten Notare diese Rolle für Papierdokumente. Im digitalen Bereich wird die Vertrauensstelle durch die Verordnung eIDAS in Form von Anbietern von Vertrauensdiensten (PSC/TSP) und ihrer qualifizierten Version (QTSP) formalisiert. Certyneo agiert als Vertrauensstelle, indem es fortgeschrittene Signaturen (AES) ausstellt und die Ausstellung qualifizierter Signaturen (QES) an einen Partner-QTSP delegieren kann.
TLS (Transport Layer Security): TLS (Transport Layer Security) ist das kryptographische Protokoll, das die Kommunikation im Internet sichert und SSL nachfolgt. Es gewährleistet Vertraulichkeit (Verschlüsselung), Integrität und Authentifizierung des Servers (über sein Zertifikat). TLS 1.3, die aktuelle Version, setzt moderne kryptographische Suiten und einen Handshake in einem einzigen Austausch durch. Das Schloss im Browser signalisiert, dass eine TLS-Verbindung aktiv ist. Certyneo setzt mindestens TLS 1.3 auf all seinen Endpunkten durch.
Trusted List (EU-Vertrauensliste): Die Trusted List (Vertrauensliste) ist die von jedem EU-Mitgliedstaat veröffentlichte und von der Europäischen Kommission überwachte offizielle Liste, die qualifizierte Anbieter von Vertrauensdiensten (QTSP) und ihre Dienste aufzählt (qualifizierte Zertifikate, Zeitstempel, usw.). In Frankreich wird die Liste von der ANSSI gepflegt. Sie ist der Legitimitätsnachweis eines QTSP im Rahmen der Verordnung eIDAS. Nur gelistete Dienste genießen die gesetzliche Vermutung der Übereinstimmung mit eIDAS.
TSA (Timestamp Authority / Zeitstempel-Behörde): Eine TSA (Timestamp Authority) ist eine akkreditierte vertrauenswürdige Stelle, die Zeitstempel-Token gemäß RFC 3161 (Internet X.509 PKI Time-Stamp Protocol) ausstellt. Der Prozess: Der Client berechnet den Hash des Dokuments und sendet ihn über HTTPS an die TSA; die TSA signiert kryptographisch einen Token, der diesen Hash + die zertifizierte UTC-Zeit enthält. Dieser Token beweist, dass das Dokument in diesem exakten Zustand zu diesem genauen Datum existierte, ohne dass die TSA jemals Zugriff auf das Dokument selbst hatte. Eine qualifizierte TSA (QTSA) auf der EU Trust List erzeugt einen qualifizierten eIDAS-Zeitstempel, die beweiskräftigste Form. In PAdES-LT und PAdES-LTA sind TSA-Token im PDF eingebettet, was die Offline-Verifikation in 20 Jahren sichert, selbst wenn die ursprüngliche TSA nicht mehr existiert.

U

UETA (Uniform Electronic Transactions Act): UETA (Uniform Electronic Transactions Act, 1999) ist das amerikanische Modellgesetz, das die Beweiskraft elektronischer Signaturen in 47 der 50 Staaten anerkennt. Ergänzt durch den ESIGN Act (2000) auf Bundesebene, legt es fest, dass Verträge und Signaturen "nicht allein deshalb für ungültig erklärt werden können, weil sie in elektronischer Form vorliegen". Es ist das amerikanische funktionale Äquivalent der europäischen Verordnung eIDAS, mit einem liberaleren Ansatz: UETA definiert keine Stufen (SES/AES/QES) und sieht kein qualifiziertes Äquivalent vor. Für transatlantische Verträge wird eine fortgeschrittene Signatur (AES) eIDAS in der Regel als UETA/ESIGN-konform anerkannt, während das Umgekehrte nicht automatisch zutrifft.

V

Beweiskraft (elektronische Signatur): Die Beweiskraft ist die Fähigkeit eines elektronischen Dokuments, vor Gericht als Beweis anerkannt zu werden, genau wie ein Papierdokument. Es ist der zentrale juristische Begriff, der bestimmt, ob ein elektronisch unterzeichneter Vertrag gegen Ihren Kunden, Arbeitnehmer oder Lieferanten im Falle eines Rechtsstreits geltend gemacht werden kann.

Rechtliche Grundlage in Frankreich : das Gesetz vom 13. März 2000 hat in den französischen Code civil den Artikel 1366 eingeführt, der das Prinzip der Gleichwertigkeit zwischen Papierschrift und elektronischer Schrift aufstellt, unter der Bedingung, dass (1) die Person, von der die Schrift stammt, ordnungsgemäß identifiziert werden kann, und (2) das Dokument unter Bedingungen erstellt und aufbewahrt wird, die seine Integrität gewährleisten. Artikel 1367 präzisiert, dass die elektronische Signatur, die der europäischen Verordnung eIDAS entspricht, von dieser Gleichwertigkeit profitiert.

Die vier kumulativen Bedingungen für die Beweiskraft eines elektronisch unterzeichneten Dokuments :
• Identifizierung des Unterzeichners : hat die Authentifizierung ermöglicht, eine namentlich identifizierte natürliche Person zu ermitteln ? Mechanismen : OTP SMS für AES, Videoidentifizierung + KBIS für QES.
• Integrität des Dokuments : wurde der Inhalt seit der Unterzeichnung nicht verändert ? Garantiert durch das in die Signatur eingebettete kryptografische Hashing.
• Zuverlässigkeit des Prozesses : wendet der Signaturanbieter bewährte Praktiken an (Verschlüsselung, Schlüsselverwaltung über HSM, Nachverfolgung) ? Ein qualifizierter Anbieter (QTSP) auf der europäischen Vertrauensliste bietet die stärkste Garantie.
• Nachverfolgbarkeit : gibt es einen mit Zeitstempel versehenen und durchsetzbaren Audit-Trail (wer hat unterzeichnet, wann, von welcher IP, nach welcher Authentifizierung) ?

Gesetzliche Vermutung : Nach französischem Recht ist die Zuverlässigkeitsvermutung der qualifizierten Signatur (QES) vorbehalten: Artikel 1367 Absatz 2 des französischen Code civil und Dekret Nr. 2017-1416. Sie kehrt die Beweislast um: Wer die Signatur anficht, muss beweisen, dass sie nicht zuverlässig ist. Eine einfache oder fortgeschrittene Signatur (AES) bleibt als Beweismittel zulässig, doch im Streitfall muss derjenige, der sich auf sie beruft, die Zuverlässigkeit des Verfahrens nachweisen (Audit-Trail, Authentifizierung, Integrität). Eine qualifizierte Signatur profitiert zusätzlich von einer automatischen Gleichwertigkeit mit der handschriftlichen Signatur (Code civil Art. 1367 Abs. 2).

Dauer der Beweiskraft : ein unterzeichnetes Dokument behält seine Beweiskraft, solange die Archivierung die Bedingungen erfüllt (Integrität, Dauerhaftigkeit, Nachverfolgung). Für Verträge mit Aufbewahrung > 5 Jahren ermöglicht das Profil PAdES B-LTA mit regelmäßigen Archivierungs-Zeitstempeln die Verlängerung der Beweiskraft über den Ablauf der ursprünglichen Zertifikate hinaus. Siehe auch Nicht-Abstreitbarkeit und LTV.
Antivirenprüfung hochgeladener Dokumente: Bevor ein Dokument in einen Signatur-Workflow integriert wird, muss jede verantwortungsvolle Plattform es einer Antivirenanalyse (AV) unterziehen. Bedrohungen gegen PDFs umfassen: eingebettete Makros, bösartiges JavaScript (AcroForms), PDF-Parser-Exploits (CVE-2019-12657, etc.). Cloud-Scan-Lösungen (ClamAV Open-Source, OPSWAT MetaDefender, VirusTotal API) analysieren die Datei in Millisekunden. Die Compliance-Anforderungen ISO 27001 und SOC 2 Type II schreiben AV-Analyse aller eingehenden Dokumente vor. Ein infiziertes Dokument in einem Signatur-Workflow ist besonders risikobehaftet, da es an alle Unterzeichner gesendet wird und den Angriffsvektor amplifiziert. Die AV-Prüfung muss vor der Speicherung in der Datenbank durchgeführt werden, nicht danach. Certyneo analysiert jedes hochgeladene Dokument über ClamAV (In-Process-Daemon) und blockiert verdächtige Dateien mit einer aussagekräftigen Fehlermeldung, ohne sie jemals an den Workflow zu propagieren.
Identitätsverifikation (identity proofing): Die Identitätsverifikation (identity proofing) ist der Prozess der Überprüfung der tatsächlichen Identität einer Person, bevor ihr Identifikatoren ausgestellt oder die Genehmigung zur Signatur erteilt wird. Sie reicht von der einfachen Erfassung einer E-Mail-Adresse (einfaches Niveau) bis zur biometrischen Verifizierung von Ausweisdokumenten per Video (KYC Video, qualifiziertes Niveau). Sie ist obligatorisch für die Ausstellung eines qualifizierten Zertifikats und die Auslösung einer qualifizierten Signatur (QES).
Elektronisches Visum (Paraph): Das elektronische Visum (oder elektronischer Paraph) ist eine zwischenzeitliche Validierungshandlung, die von einem Genehmiger vor der endgültigen Unterzeichnung auf ein Dokument angebracht wird. Es zeigt an, dass ein Leser das Dokument zur Kenntnis genommen hat und es genehmigt, ohne es jedoch rechtlich bindend zu unterzeichnen. Bei Certyneo ermöglichen Multi-Actor-Workflows die Kombination von Visierungsstufen (interne Validierung) und Unterzeichnungsstufen (externe rechtliche Verpflichtung) und gewährleisten eine vollständige Rückverfolgbarkeit des Validierungsprozesses.

W

Webhook: Ein Webhook ist ein API-Mechanismus, der es Certyneo ermöglicht, automatisch eine HTTP-Benachrichtigung an die Anwendung des Kunden zu senden, wenn ein Ereignis eintritt (Dokument unterzeichnet, abgelehnt, abgelaufen, Audit-Trail generiert). Im Gegensatz zu Polling arbeitet der Webhook im Push-Modus : der Kunde muss die API nicht regelmäßig abfragen. Es ermöglicht die Integration von Certyneo in Drittanbieter-IT-Systeme (CRM, ERP, HRIS), um geschäftliche Aktionen in Echtzeit auszulösen, sobald ein Unterzeichnungs-Workflow abgeschlossen ist.
Unterzeichnungs-Workflow: Der Unterzeichnungs-Workflow ist der organisierte Prozess, der die Reihenfolge, Bedingungen und beteiligten Akteure bei der Unterzeichnung eines Dokuments definiert. Er kann sequenziell sein (jeder Unterzeichner unterzeichnet nach dem vorherigen), parallel (alle unterzeichnen gleichzeitig) oder gemischt. Bei Certyneo umfasst der Workflow die Verwaltung automatischer Erinnerungen, Ablauffristen und multi-Dokument-Umschläge.

X

XAdES (XML Advanced Electronic Signature): XAdES (XML Advanced Electronic Signatures, Norm ETSI EN 319 132) ist der europäische Standard für digitale Signaturen auf XML-Dokumenten. Mit der Verordnung eIDAS angenommen, ist XAdES das Referenzformat zum Signieren strukturierter XML-Dateien: elektronische Rechnungen (Factur-X, PEPPOL), EDI-Begleitzettel, behördliche Erklärungen, Marktdaten, SEPA-Transkriptionen.

Vier XAdES-Profile mit zunehmender Reife, ausgerichtet auf PAdES und CAdES:
• XAdES B-B: einfache XML-Signatur mit minimalen ETSI-Attributen. Anwendungsfall: einmalige Signatur einer XML-Stichprobe ohne Datumbeschränkung.
• XAdES B-T: fügt einen qualifizierten Zeitstempel RFC 3161 hinzu. Standard für elektronische Rechnungen und EDI-Flüsse, bei denen das Ausstellungsdatum nachgewiesen werden muss.
• XAdES B-LT: Langzeitvalidation mit Zertifikatskette und eingebetteten Widerrufsdaten. Bleibt nach Ablauf des ursprünglichen Zertifikats überprüfbar.
• XAdES B-LTA: periodische Archivierungszeitstempel zur Beibehaltung der Beweiskraft über 10+ Jahre. Unerlässlich für Steuerkennzeichen und geregelte Register.

XAdES vs PAdES: XAdES zum Signieren eines nativen XML-Dokuments wählen (Factur-X-Rechnung, PEPPOL-Begleitzettel, EDI-Austausch). PAdES zum Signieren einer PDF wählen (Verträge, Angebote, HR-Dokumente). Beide Formate sind rechtlich gleichwertig — der Unterschied ist technisch: das für den Dokumenttyp geeignete Format.

XAdES-Varianten: XAdES umhüllend (das XML-Dokument ist in der Signaturstruktur enthalten), XAdES umhüllt (die Signatur wird dem Dokument hinzugefügt), XAdES detached (Signatur in separater Datei gespeichert). Certyneo verwaltet alle drei Varianten über die REST-API. Siehe den PAdES / XAdES / CAdES Vergleich.
XAdES / PAdES / CAdES: XAdES, PAdES und CAdES sind die drei von der ETSI definierten Standards für digitale Signaturen für die Verordnung eIDAS. XAdES (XML Advanced Electronic Signatures, EN 319 132) signiert XML-Dokumente, PAdES (PDF, EN 319 142) bettet das Signatur-Token direkt in die PDF ein — dies ist das Format, das Certyneo zum Erstellen von offline verifizierbaren Dateien in Acrobat Reader verwendet. CAdES (CMS, EN 319 122) gilt für beliebige binäre Ströme. Jedes Format ist in Profile unterteilt (B-B, B-T, B-LT, B-LTA), die zunehmende Garantien bieten: Gültigkeit im Zeitverlauf, qualifizierter Zeitstempel, Langzeitarchivierungsnachweis.

Y

YubiKey (Hardware-Sicherheitsschlüssel): Ein YubiKey ist ein von Yubico entwickelter Hardware-Sicherheitsschlüssel (USB/NFC), der nicht extrahierbare kryptographische Geheimnisse speichert und die Protokolle FIDO2/WebAuthn, OpenPGP und PIV unterstützt. Im Rahmen einer qualifizierten Signatur (QES) kann ein YubiKey (oder ein gleichwertiges Gerät, das Anhang II von eIDAS entspricht) als Qualified Signature Creation Device (QSCD) dienen: Der private Schlüssel, der dem qualifizierten Zertifikat zugeordnet ist, verlässt niemals die Hardware, was das höchste Vertrauensniveau zur Identität des Unterzeichners garantiert. In einem Certyneo-Administrationskonto kann ein YubiKey auch zum Schutz des Admin-Zugriffs via Hardware-MFA verwendet werden.

Z

Papierlos: Das "Papierlose Büro" (oder Paperless) ist das Verfahren, papiergestützte Dokumentenflüsse vollständig durch signierte digitale Entsprechungen zu ersetzen. Über die Betriebseffizienz hinaus (Signaturzyklus durchschnittlich um das 5- bis 20-Fache verkürzt) reduziert das papierlose Büro den CO₂-Fußabdruck im Zusammenhang mit Druck, Porto und physischer Archivierung. Die elektronische Signatur, verbunden mit der beweiskräftigen elektronischen Archivierung (mindestens 10 Jahre für Geschäftsverträge), ist die technische Voraussetzung für den Wechsel. Die Digitalisierung beschreibt die Bewegung, das papierlose Büro ist das Endziel.
Zero Trust (Sicherheit ohne Vertrauen): Das Zero-Trust-Modell (Sicherheit ohne Vertrauen) ist eine Sicherheitsarchitektur, die auf dem Grundsatz "Niemals vertrauen, immer verifizieren" basiert — im Gegensatz zum klassischen Perimeter-Modell, das alles innerhalb des Unternehmensnetzwerks vertraut. Seine Säulen sind: kontinuierliche Identitätsverifizierung (MFA bei jedem Zugriff), minimale Berechtigung (auf operationalen Bedarf beschränkter Zugriff), Mikro-Segmentierung (Service-Isolation), Traffic-Inspektion (einschließlich intern) und Echtzeit-Überwachung. Im Kontext der elektronischen Signatur wird Zero Trust auf mehreren Ebenen angewendet: Zugriff auf das HSM (keine privaten Schlüssel ohne starke Authentifizierung des Operators zugänglich), Zugriff auf Envelopes (identitätsbasierte Kontrolle, nicht nur Link-basiert) und Admin-Zugriff (kurzlebige Sessions mit automatischer Widerrufung). Das NIST-Framework SP 800-207 und der ANSSI-Leitfaden "Recommandations sur le Zero Trust" (2021) formalisieren die Anforderungen in Frankreich.

Vertiefen Sie Ihr Wissen mit unseren Leitfäden

Diese Leitfäden vertiefen die wichtigsten Konzepte des Glossars mit konkreten Beispielen und Anwendungsfällen.

Certyneo-Gemeinschaft

Eine Frage zur elektronischen Signatur?

Treten Sie der Certyneo-Gemeinschaft bei: Stellen Sie Fragen, teilen Sie Antworten und tauschen Sie sich mit Tausenden von Benutzern und unserem Team aus.

Bereit, diese Konzepte in die Praxis umzusetzen?

Mit Certyneo erstellen Sie eIDAS-konforme Signatur-Umschläge in wenigen Klicks, ohne Installation.

Kostenlos testen Vollständigen Leitfaden lesen