Elektronische Signatur und digitale Signatur: Wo liegt der Unterschied?

Die beiden Begriffe werden benutzt, als wären sie Synonyme. Das sind sie nicht, und der Unterschied ist keine Frage des Grades: Sie gehören unterschiedlichen Kategorien an. Das eine ist ein Rechtsstatus. Das andere ist Kryptografie. Ist das geklärt, löst sich der größte Teil der Verwirrung auf.

Kurz gefasst

• Eine elektronische Signatur ist eine rechtliche Kategorie. Das Gesetz bestimmt, was als solche gilt. Sowohl im US-amerikanischen als auch im europäischen Recht kommt es auf den Willen an, nicht auf das Aussehen: ein getippter Name, ein gezeichneter Schriftzug oder ein Klick können genügen.
• Eine digitale Signatur ist ein technisches Verfahren. Sie nutzt asymmetrische Kryptografie – einen privaten Schlüssel, ein dazugehöriges Zertifikat und einen Hashwert des Dokuments –, sodass jede spätere Änderung der Datei erkennbar ist und die Signatur dem Schlüssel zugeordnet werden kann, der sie erzeugt hat.
• Beide stehen nicht in Konkurrenz. Eine digitale Signatur ist ein Weg, eine elektronische Signatur zu erzeugen. Jede digitale Signatur unter einer Vereinbarung ist zugleich eine elektronische Signatur; die meisten elektronischen Signaturen sind keine digitalen Signaturen.

Was die Gesetze tatsächlich definieren

Der ESIGN Act definiert die elektronische Signatur in 15 U.S.C. § 7006(5) als:

„einen elektronischen Ton, ein Symbol oder einen Vorgang, der einem Vertrag oder einem anderen Dokument beigefügt oder logisch mit ihm verknüpft ist und von einer Person mit dem Willen ausgeführt oder übernommen wird, das Dokument zu unterzeichnen“.

Die eIDAS-Verordnung definiert sie in Artikel 3 Nr. 10 als:

„Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet“.

Lesen Sie beide Definitionen noch einmal und achten Sie darauf, was fehlt: jede Technologie. Kein Zertifikat, kein Schlüssel, kein Algorithmus. Das ist Absicht. Beide Texte sind technologieneutral formuliert, damit sie nicht hinfällig werden, sobald die Kryptografie des Tages abgelöst wird.

Keine der beiden Normen definiert an irgendeiner Stelle den Begriff „digitale Signatur“.

Woher die Verwirrung kommt

Man liest häufig, eIDAS definiere „zwei Arten digitaler Signaturen“: die fortgeschrittene und die qualifizierte. Das steht so nicht in der Verordnung, und der Irrtum lohnt die Aufklärung, weil er weit verbreitet ist.

eIDAS definiert drei Stufen der elektronischen Signatur, in drei aufeinanderfolgenden Nummern:

Stufe	Definiert in	Was hinzukommt
Elektronische Signatur (üblich: „SES“)	Artikel 3 Nr. 10	Die Grundstufe. Zulässig nach Artikel 25 Absatz 1.
Fortgeschritten (AdES)	Artikel 3 Nr. 11, über den Verweis auf Artikel 26	Eindeutig dem Unterzeichner zugeordnet und geeignet, ihn zu identifizieren, unter seiner alleinigen Kontrolle, spätere Änderungen erkennbar.
Qualifiziert (QES)	Artikel 3 Nr. 12	Eine AdES, erstellt auf einer zertifizierten Einheit (einer QSCD) mit einem qualifizierten Zertifikat.

Daraus folgen drei Dinge:

1. Es sind Stufen der elektronischen Signatur, nicht Arten der digitalen Signatur. Das Wort „digital“ erfüllt in der Verordnung keine Funktion; es gehört nicht zu den definierten Begriffen.
2. Es sind drei, nicht zwei. Erst das Weglassen der Grundstufe aus Artikel 3 Nr. 10 erzeugt die Behauptung von den „zwei Arten“ – und es ist genau diese Grundstufe, auf die sich die meisten Geschäftsvereinbarungen stützen.
3. „Einfache elektronische Signatur“ und „SES“ sind Branchenkürzel, keine Rechtsbegriffe. Die Verordnung sagt schlicht „elektronische Signatur“. Das Kürzel ist praktisch und wir verwenden es ebenfalls, aber man sollte wissen, dass es von der Branche stammt und nicht vom Gesetzgeber.

In der Praxis werden AdES und QES fast immer mithilfe digitaler Signaturkryptografie umgesetzt. Das ist der wahre Kern, auf dem die Behauptung von den „zwei Arten“ aufsetzt. Die Stufen sind jedoch danach definiert, was eine Signatur leisten muss, nicht nach der Technik, mit der sie es leistet.

Macht eine digitale Signatur ein Dokument „rechtsgültiger“?

Nein – und das ist die Frage, die sich hinter der begrifflichen Verwirrung eigentlich verbirgt.

Die Rechtsgültigkeit ergibt sich aus dem Gesetz: Wille zu unterzeichnen, Zurechnung zum Unterzeichner, Einwilligung, wo sie verlangt wird, und Aufbewahrung des Dokuments. Ein Dokument erfüllt diese Voraussetzungen oder eben nicht. Kryptografie gehört nicht dazu.

Was die Kryptografie verändert, ist der Beweis. Wird eine Signatur bestritten, lautet die Frage nicht mehr „Ist diese Art von Signatur gültig?“, sondern „Können Sie zeigen, wer unterzeichnet hat, was diese Person gesehen hat und dass die Datei sich seither nicht verändert hat?“. Das ist ein Beweisproblem, und genau dafür gibt es einen belastbaren Audit-Trail und Manipulationserkennung.

Die einzige Stelle, an der die Stufe das rechtliche Ergebnis wirklich verändert, findet sich in eIDAS: Dort steht eine QES – und nur eine QES – in allen 27 Mitgliedstaaten automatisch einer handschriftlichen Unterschrift gleich. Unter ESIGN Act und UETA gibt es überhaupt keine Stufen: Eine Signatur erfüllt die gesetzliche Definition oder nicht.

Was braucht eine normale Vereinbarung?

Für die große Mehrheit der Geschäftsvereinbarungen – Geheimhaltungsvereinbarungen, Kaufverträge, Leistungsbeschreibungen, Arbeitsangebote – verlangt das Recht eine elektronische Signatur mit vollständigem Audit-Trail, und genau das erwartet auch die Gegenseite. Weder ESIGN Act noch UETA noch die eIDAS-Grundstufe verlangen eine digitale Signatur im kryptografischen Sinn.

Greifen Sie zu AdES oder QES, wenn das Recht eines Mitgliedstaats es für diese Dokumentart verlangt. Das ist eine Frage des Dokuments, nicht der Signatursoftware. Unser Leitfaden dazu, was eine elektronische Signatur rechtsverbindlich macht, behandelt die zugrunde liegenden Anforderungen vollständig.

Signatura stellt einfache elektronische Signaturen aus, mit vollständigem Audit-Trail und einem manipulationssicheren SHA-256-Siegel auf jedem abgeschlossenen Dokument. AdES oder QES stellt sie nicht aus.

Häufige Fragen

Ist eine digitale Signatur dasselbe wie eine elektronische Signatur?

Nein. „Elektronische Signatur“ ist eine gesetzlich definierte Rechtskategorie, „digitale Signatur“ ein kryptografisches Verfahren. Eine digitale Signatur ist ein Weg, eine elektronische Signatur zu erzeugen: Jede digitale Signatur unter einer Vereinbarung ist deshalb auch eine elektronische Signatur – umgekehrt gilt das nicht.

Verlangt der ESIGN Act eine digitale Signatur?

Nein. Der ESIGN Act definiert die elektronische Signatur in 15 U.S.C. § 7006(5) als Symbol oder Vorgang, der „mit dem Willen, das Dokument zu unterzeichnen“ übernommen wird. Er schreibt keine Technologie vor und verwendet den Begriff „digitale Signatur“ nicht.

Definiert eIDAS die „digitale Signatur“?

Nein. eIDAS definiert „elektronische Signatur“ (Artikel 3 Nr. 10), „fortgeschrittene elektronische Signatur“ (Nr. 11) und „qualifizierte elektronische Signatur“ (Nr. 12). „Digitale Signatur“ ist in der Verordnung kein definierter Begriff.

Ist ein getippter Name eine digitale Signatur?

Nein – bei einem getippten Namen ist keine Kryptografie im Spiel. Er kann dennoch eine gültige elektronische Signatur sein, wenn Wille und Zurechnung nachweisbar sind; wann er trägt, behandeln wir in Ist eine getippte Signatur rechtsverbindlich?

Ist die eine sicherer als die andere?

Sie liegen nicht auf derselben Achse. Sicherheit hängt davon ab, was ein System tatsächlich tut: wie es Unterzeichner authentifiziert, was es aufzeichnet und ob Änderungen an der fertigen Datei erkennbar sind. Kryptografisches Signieren ist dafür ein starkes Werkzeug, aber eine Signatur ist nur so viel wert wie der Beweis, der hinter ihr steht.

---

Diese Seite erklärt das Recht allgemein. Sie ist keine Rechtsberatung und kann nicht sagen, was Ihr konkretes Dokument verlangt. Fragen Sie dafür eine Anwältin oder einen Anwalt in Ihrer Rechtsordnung.

Quellen: ESIGN Act, 15 U.S.C. § 7006, Begriffsbestimmungen · 15 U.S.C. § 7001 · Verordnung (EU) Nr. 910/2014 (eIDAS), EUR-Lex – siehe Artikel 3, 25 und 26.