QES
Eine QES, eine qualifizierte elektronische Signatur, ist die einzige Art elektronischer Signatur, der eIDAS dieselbe Rechtswirkung zuerkennt wie einer handschriftlichen Unterschrift, in jedem Mitgliedstaat und unabhängig davon, wo sie erstellt wurde.
Zwei Dinge machen eine Signatur qualifiziert. Sie muss mit einer qualifizierten Signaturerstellungseinheit erstellt werden, Hardware oder ein zertifizierter Fernsignaturdienst, der den Signaturschlüssel außerhalb der Reichweite aller hält, einschließlich des Anbieters, und sie muss auf einem qualifizierten Zertifikat beruhen, das von einem als qualifiziert auf einer nationalen Trusted List geführten Vertrauensdiensteanbieter ausgestellt wurde. Eine Signatur, der eines von beidem fehlt, ist weiterhin gültiger Beweis als fortgeschrittene oder einfache elektronische Signatur, aber ein Gericht wägt sie ab, statt sie akzeptieren zu müssen, wie Artikel 25 der eIDAS-Verordnung es für eine QES vorschreibt. Weil das qualifizierte Zertifikat gegen eine von jedem Mitgliedstaat veröffentlichte und auf EU-Ebene querverifizierte Trusted List geprüft wird, trägt eine in einem Land erstellte QES dasselbe rechtliche Gewicht, wenn sie in einem anderen vorgelegt wird, genau die grenzüberschreitende Anerkennung, für die eIDAS geschaffen wurde. Die meisten QES werden heute aus der Ferne erstellt: Die unterzeichnende Person authentifiziert sich beim Cloud-Signaturdienst eines qualifizierten Vertrauensdiensteanbieters, statt eigene Signaturhardware zu besitzen, und der Anbieter löst die Signatur auf einem von ihm kontrollierten Gerät unter alleiniger Autorisierung der unterzeichnenden Person aus. Das signierte Dokument selbst nutzt typischerweise eines der Formate PAdES, XAdES oder CAdES, die das Zertifikat einbetten und, wo Langzeitgültigkeit wichtig ist, einen Zeitstempel, damit die Signatur auch nach Ablauf des Zertifikats noch geprüft werden kann. eIDAS 2.0 bringt qualifiziertes Signieren in Reichweite gewöhnlicher Nutzerinnen und Nutzer, indem es verlangt, dass die EUDI Wallet Bürgerinnen und Bürgern erlaubt, eine QES kostenlos für nicht berufliche Zwecke zu erstellen, wodurch aus einem zuvor bei einem Vertrauensdiensteanbieter gekauften Dienst eine Wallet-Funktion wird. Eine QES signiert ein Dokument, um eine Person an dessen Inhalt zu binden; ein QEAA attestiert stattdessen Attribute über eine Person oder Organisation. Beide stammen von qualifizierten Vertrauensdiensteanbietern, beantworten aber unterschiedliche Fragen und sind nicht austauschbar.
Verwandte Begriffe
Muss eine in einem EU-Land erstellte QES erneut geprüft werden, um in einem anderen akzeptiert zu werden?
Nein. Eine QES beruht auf einem qualifizierten Zertifikat, das gegen die Trusted List des ausstellenden Mitgliedstaats geprüft wird, und Trusted Lists selbst werden auf EU-Ebene querverifiziert, sodass ein Verifizierer in einem anderen Mitgliedstaat den Zertifikatsstatus ohne separaten nationalen Prozess bestätigen kann. Diese gegenseitige Anerkennung, garantiert durch Artikel 25 der eIDAS-Verordnung, macht eine QES ohne zusätzliche rechtliche Schritte grenzüberschreitend nutzbar.