QSeal
Ein QSeal, ein qualifiziertes elektronisches Siegel, ist das Gegenstück zur QES auf Organisationsebene. Es wird von einer juristischen Person statt von einem Menschen erzeugt, und eIDAS knüpft daran die Rechtsvermutung, dass die gesiegelten Daten unverändert sind und tatsächlich von dieser Organisation stammen.
eIDAS kennt drei Stufen des elektronischen Siegels. Ein einfaches elektronisches Siegel sind beliebige Daten, die anderen Daten beigefügt werden, um deren Ursprung und Unversehrtheit zu sichern. Ein fortgeschrittenes elektronisches Siegel muss eindeutig der Organisation zugeordnet sein, die es erzeugt hat, diese Organisation identifizieren, mit Siegelerstellungsdaten erzeugt werden, die die Organisation unter ihrer eigenen Kontrolle hält, und so mit den gesiegelten Daten verbunden sein, dass jede nachträgliche Änderung erkennbar ist. Ein qualifiziertes elektronisches Siegel ist ein fortgeschrittenes Siegel, das zwei Dinge hinzufügt: Es wird mit einer qualifizierten elektronischen Siegelerstellungseinheit erzeugt und beruht auf einem qualifizierten Zertifikat für elektronische Siegel, in den ETSI-Profilen QSealC genannt.
Nur die qualifizierte Stufe erhält die Rechtsvermutung. Artikel 35 eIDAS gibt einem qualifizierten elektronischen Siegel die Vermutung der Unversehrtheit der Daten und der Richtigkeit des Ursprungs dieser Daten, was in der Praxis die Beweislast umkehrt: Wer ein gesiegeltes Dokument bestreitet, muss zeigen, dass es verändert wurde, statt dass die Organisation zeigen muss, dass es das nicht wurde. Ein Siegel unterhalb der qualifizierten Stufe bleibt zulässiges Beweismittel, aber ein Gericht würdigt es frei, statt von dieser Vermutung ausgehen zu müssen.
Das Zertifikat hinter dem Siegel stammt von einem QTSP, einem Vertrauensdiensteanbieter, dem eine mitgliedstaatliche Aufsichtsstelle den qualifizierten Status zuerkannt und den sie auf ihrer nationalen Trusted List veröffentlicht hat. Da das Zertifikat eine juristische Person und keinen Menschen identifiziert, trägt es eine Organisationskennung, etwa auf Basis von VAT oder LEI, statt eines Personennamens, und die Anforderungen, die es erfüllen muss, stehen in Anhang III von eIDAS. Die Erstellungseinheit wird gesondert zertifiziert, nach demselben Regime wie die Einheit hinter einer qualifizierten Signatur. Dasselbe Zertifikat taucht unter seinem ETSI-Namen QSealC auch außerhalb der Dokumentenwelt auf: Im Open Banking siegelt ein Zahlungsdienstleister seine API-Nachrichten mit einem QSealC und sichert den Kanal mit einem QWAC.
Der praktische Unterschied zur QES liegt darin, wer dahintersteht. Eine Signatur drückt den Willen einer namentlich benannten natürlichen Person aus und ist deshalb das richtige Instrument, wenn jemand persönlich etwas zustimmt. Ein Siegel drückt Ursprung und Unversehrtheit von Daten aus, die eine Organisation ausgestellt hat, und ist deshalb das richtige Instrument für Rechnungen, Auszüge, Registerauszüge und alles andere, was in großer Zahl ausgestellt wird und wobei niemand um Zustimmung gebeten wird. Gesiegelte Dateien nutzen dieselben PAdES-, XAdES-, CAdES- und ASiC-Containerformate wie signierte, sodass ein einziger Prüfstack beides abdeckt.
Für digitale Nachweise ist das wichtig, weil ein Aussteller in der Regel eine juristische Person ist. Ausgestellte Daten mit einem qualifizierten Zertifikat für elektronische Siegel zu siegeln, ist der Weg, auf dem sich die eIDAS-Vermutung an den Inhalt selbst heftet, zusätzlich zu der Signatur, die das Nachweisformat ohnehin trägt. Eine QEAA muss selbst die qualifizierte Signatur oder das qualifizierte Siegel des QTSP tragen, der sie ausstellt, sodass QSeal und QEAA zusammenwirken, statt Alternativen zu sein: Die Attestierung trifft eine Aussage über ein Subjekt, während das Siegel festhält, welche Organisation sie ausgestellt hat und dass sie danach niemand verändert hat.
Verwandte Begriffe
Was ist der Unterschied zwischen einer QES und einem QSeal?
Eine QES wird von einer natürlichen Person erzeugt und drückt deren Willen aus, dem Inhalt zuzustimmen. Ein QSeal wird von einer juristischen Person erzeugt und drückt aus, dass die Organisation die Daten ausgestellt hat und dass diese sich seitdem nicht geändert haben. Beide stammen von qualifizierten Vertrauensdiensteanbietern und beide tragen nach eIDAS eine Rechtsvermutung, aber sie beantworten unterschiedliche Fragen, sodass ein Siegel keine Signatur ersetzen kann, wo das Recht eine menschliche Entscheidung verlangt.
Wird ein QSeal in jedem EU-Mitgliedstaat anerkannt?
Ja. Ein qualifiziertes elektronisches Siegel, das auf einem in einem Mitgliedstaat ausgestellten qualifizierten Zertifikat beruht, muss in allen anderen Mitgliedstaaten als qualifiziertes elektronisches Siegel anerkannt werden. Das Zertifikat wird gegen die Trusted List des ausstellenden Landes geprüft, und die Europäische Kommission veröffentlicht eine zentrale Liste, die auf jede nationale Trusted List verweist, sodass eine prüfende Stelle im Ausland den Status ohne ein eigenes nationales Verfahren bestätigen kann.