eIDAS

Sie schafft einen verbindlichen Rahmen für elektronische Identifizierung und Vertrauensdienste. Für Unternehmen und Behörden, die Informationsmanagementsysteme nutzen, bildet eIDAS die Grundlage dafür, digitale Prozesse rechtskonform, effizient und einheitlich EU-weit umzusetzen.

Was ist eIDAS?

Die eIDAS-Verordnung (Nr. 910/2014) ist seit dem 1. Juli 2016 in allen EU-Mitgliedsstaaten unmittelbar anwendbar und rechtsverbindlich. Sie harmonisiert die Vorschriften für die elektronische Identifizierung (eID) und verschiedene elektronische Vertrauensdienste (englisch: Trust Services) wie digitale Signaturen, elektronische Siegel, Zeitstempel und entsprechende Zertifikate. Ziel ist es, vertrauenswürdige digitale Abläufe sowohl in der Wirtschaft als auch in der Verwaltung über Ländergrenzen hinweg zu ermöglichen und dabei höchste Sicherheits- und Integritätsstandards zu garantieren.

eIDAS-konforme Informationsmanagementsysteme ermöglichen Ihnen die vollständig digitale, rechtssichere Abwicklung von Geschäftsprozessen – von Vertragsabschlüssen über digitale Anträge bis hin zur sicheren Archivierung von Dokumenten. Durch die Standardisierung werden Prozesse beschleunigt, Kosten gesenkt, Risiken minimiert und das gegenseitige Vertrauen erhöht.

Zentrale Bestandteile von eIDAS

eIDAS reguliert drei wesentliche Bereiche des digitalen Identitäts- und Datenmanagements:

• Elektronische Identifizierung (eID)
  Mit eIDAS sind elektronische Identifizierungssysteme, die von einem Mitgliedstaat notifiziert – also offiziell gemeldet und anerkannt – wurden, in allen anderen EU-Staaten für bestimmte Onlinedienste zugelassen. Die praktische Umsetzung und die Verfügbarkeit eines Dienstes für Nutzer aus anderen Ländern hängen jedoch vom jeweiligen Diensteanbieter ab. Notifizierte eID-Systeme sind verifiziert und erfüllen einheitliche Sicherheitsstandards; nicht notifizierte Systeme fallen nicht unter eIDAS.‍
• Elektronische Signaturen
  eIDAS unterscheidet drei Typen elektronischer Signaturen:‍
  
  • Einfache elektronische Signatur (EES): Niedrigschwellige Form, beispielsweise das Anklicken eines „Ich stimme zu“-Buttons. Diese Form erfüllt einfache Authentifizierungsanforderungen, ist jedoch rechtlich nur begrenzt belastbar.‍
    
  • Fortgeschrittene elektronische Signatur (FES): Identifiziert den Unterzeichnenden eindeutig und macht nachträgliche Änderungen am Dokument erkennbar. Sie erfordert zusätzliche technische Maßnahmen und ist für viele Geschäftsanwendungen ausreichend.‍
  • Qualifizierte elektronische Signatur (QES): Die einzige Signaturstufe, die nach eIDAS der handschriftlichen Unterschrift gleichgestellt ist. Sie basiert auf einem qualifizierten Zertifikat und wird von einem qualifizierten Vertrauensdiensteanbieter ausgestellt, dessen Produkte wiederum von akkreditierten Konformitätsbewertungsstellen geprüft und überwacht werden. Die QES bietet die höchste Sicherheitsebene und ist im Vertrags- und Behördenverkehr von besonderer rechtlicher Bedeutung.
• ‍Vertrauensdienste
  eIDAS legt Standards für verschiedene Vertrauensdienste fest, darunter:
  
  • ‍Elektronische Siegel: Schützen die Integrität und Herkunft digitaler Dokumente im Namen eines Unternehmens.‍
  • Elektronische Zeitstempel: Bestätigen, zu welchem Zeitpunkt ein Dokument existierte, und sichern die Nachweisführung ab.‍
  • Elektronische Zustelldienste: Stellen sicher, dass Dokumente rechtssicher und nachvollziehbar elektronisch übermittelt werden.‍
  • Website-Authentifizierung: Bestätigt die Authentizität von Webseiten. Zur rechtlichen Einordnung ist bei allen Vertrauensdiensten zwischen qualifizierten und nicht-qualifizierten Angeboten zu unterscheiden: Nur qualifizierte Vertrauensdienste genießen die höchsten rechtlichen Wirkungen und sind an strengere Zulassungskriterien gebunden.

Damit deckt eIDAS zentrale Anforderungen für den sicheren digitalen Dokumentenaustausch und Verwaltungsvorgänge ab.

Bedeutung der notifizierten eID-Systeme

Nur nationale elektronische Identifizierungssysteme, die gemäß eIDAS-Verordnung notifiziert wurden, unterliegen der europaweiten gegenseitigen Anerkennung. Die Notifizierung setzt voraus, dass das betreffende nationale System zentrale Sicherheitsanforderungen erfüllt, technologische Interoperabilität sichergestellt ist und die Aufsicht durch die zuständige nationale Behörde gewährleistet wird.

Nur bei notifizierten eID-Systemen besteht ein verbindlicher Anspruch auf Anerkennung bei öffentlichen Onlinediensten, die ein gewisses Vertrauensniveau verlangen. Unternehmen können sich darauf einstellen, dass grenzüberschreitende Geschäftstätigkeiten mit unterschiedlichen eID-Lösungen möglich sind, wenngleich die vollständige Abdeckung für alle Onlinedienste noch nicht Realität ist.

Übersicht: Qualifizierte vs. nicht-qualifizierte Vertrauensdienste und Anbieter

• Qualifizierte Vertrauensdiensteanbieter (QTSP):
  Erfüllen besonders strenge Anforderungen, unterliegen laufender Kontrolle durch nationale Aufsichtsbehörden und werden offiziell in der EU Trust List geführt. Nur ihre qualifizierten Produkte (z. B. qualifizierte elektronische Signatur, qualifiziertes elektronisches Siegel) genießen uneingeschränkte rechtliche Wirkung.
• Nicht-qualifizierte Vertrauensdiensteanbieter:
  Bieten ebenfalls Vertrauensdienste an, die allerdings rechtlich schwächer abgesichert sind und zu denen keine Verpflichtung zur Anerkennung im EU-Binnenmarkt besteht.

Unternehmen sollten daher bei sicherheits- und beweisrelevanten Geschäftsvorgängen immer auf qualifizierte Vertrauensdienste und Anbieter setzen.

Bedeutung im Informationsmanagement und für digitale Prozesse

eIDAS entfaltet im Zusammenspiel mit modernen Informationsmanagement-, Normenmanagement-, Bibliotheksmanagement- und Parlamentsdokumentationssystemen sowie Software zur Datenanreicherung zahlreiche Vorteile:

• Digitale Vertragsunterzeichnung:
  Verträge, Genehmigungen oder andere rechtsrelevante Dokumente können vollständig digital abgeschlossen werden – rechtsgültig, effizient und unabhängig vom Ort.
• Grenzüberschreitende Zusammenarbeit:
  Organisationen profitieren von der EU-weit geplanten Anerkennung (insbesondere notifizierter) digitaler Identitäten und qualifizierter Signaturen. Gerade im internationalen Kontext, etwa im Wissens- oder Technologietransfer, werden so Transaktionen vereinfacht.
• Sichere Archivierung und Nachweisführung:
  Elektronische Zeitstempel und Siegel ermöglichen die revisionssichere Ablage von Dokumenten, wie in der Parlaments- und Forschungsdokumentation, im Normenmanagement oder in der elektronischen Rechnungsstellung (E-Invoicing).
• Verlässliche Prüf- und Nachweisketten:
  Die lückenlose Nachvollziehbarkeit digitaler Prozesse steigert das Vertrauen aller Beteiligten, etwa bei der Vorlage von Gesetzestexten oder in der wissenschaftlichen Dokumentation.

Informationsmanagementsysteme mit eIDAS-Schnittstellen unterstützen die Einhaltung gesetzlicher Vorgaben wirksam und bieten deutlichen Mehrwert bei Compliance, Effizienz und Nachweisführung.

eIDAS 2.0 und die digitale Identitäts-Wallet

Die „eIDAS 2.0“ (Revision der eIDAS-Verordnung) befindet sich aktuell im Gesetzgebungsverfahren der EU. Wesentliche Neuerung ist die European Digital Identity Wallet: eine europaweit einsetzbare, staatlich anerkannte App- oder Wallet-Lösung, mit der Bürger und Unternehmen künftig digitale Identitäten, Nachweise und Zertifikate sicher und nutzerfreundlich verwalten und grenzüberschreitend einsetzen können. Die Wallet soll nicht nur den Zugang zu Behördendiensten, sondern auch zu privaten Anwendungsfällen (z. B. bei Banken, Versicherungen oder im Gesundheitswesen) erleichtern. Unternehmen und Softwareanbieter sind daher gut beraten, ihre Informationsmanagementsysteme frühzeitig auf die Integration neuer Schnittstellen und Wallets vorzubereiten.

Abgrenzung zu anderen Rechtsakten und ergänzende Rahmenwerke

eIDAS steht in enger Beziehung zu weiteren EU-Rechtsakten:

• DSGVO: Regelt den Datenschutz in der digitalen Kommunikation; eIDAS-zertifizierte Prozesse müssen immer datenschutzkonform ausgestaltet sein.
• PSD2: Die Zahlungsdiensterichtlinie eröffnet im Finanzsektor die Möglichkeit für kontenübergreifende Zahlungsdienste, auch durch Nutzung elektronischer Identitäten aus eIDAS.
• E-Rechnungsstellung und E-Procurement: In öffentlichen Ausschreibungen und bei der elektronischen Rechnungslegung werden zunehmend eIDAS-konforme Signaturen und Zeitstempel gefordert.

Risiken und Herausforderungen bei der Implementierung von eIDAS

• Akzeptanz in der Bevölkerung: Digitale Identitäten werden nicht überall gleich positiv aufgenommen; die Nutzerfreundlichkeit und Transparenz der Systeme ist ein kritischer Erfolgsfaktor.
• Technische und organisatorische Hürden: Unternehmen benötigen Ressourcen und Know-how zur Implementierung; insbesondere die Integration in bestehende Softwarelandschaften erfordert Planung und Anpassung.
• Grenzüberschreitende Interoperabilität: Die praktische Nutzung von eIDs anderer Länder hängt von der Notifizierung und tatsächlichen Implementierung durch Dienstanbieter ab. Unternehmen müssen sich auf Einschränkungen bei bestimmten Anwendungen einstellen.
• Rechtliche Unsicherheiten und internationale Zusammenarbeit: Außerhalb der EU/EWR sind eIDAS-konforme Signaturen nicht überall rechtlich anerkannt. Für internationale Geschäftsbeziehungen ist eine genaue Prüfung der rechtlichen Rahmenbedingungen unerlässlich.

Beispiele aus der Praxis

• Digitale Kontoeröffnung (Bankensektor): Viele Banken nutzen eIDAS-konforme Identifizierung und Signaturen bei der Online-Kontoeröffnung und im postalosen Vertragsabschluss.
• Digitale Patientenakte (Gesundheitswesen): Patienten können Dokumente und Einwilligungen sicher elektronisch signieren, speichern und transportieren.
• Parlaments- und Verwaltungsdokumentation: Gesetzestexte und Sitzungsprotokolle werden rechtssicher digital signiert und langfristig archiviert.

Tipps zur effizienten Nutzung von eIDAS

• Wählen Sie für jeden Geschäftsprozess die passende Signaturstufe und Vertrauensdienstart.
• Bevorzugen Sie qualifizierte Vertrauensdiensteanbieter; nutzen Sie die EU Trust List zur Auswahl.
• Schulen Sie Ihr Personal regelmäßig zu den Anforderungen und der sicheren Handhabung elektronischer Identitäten und Signaturen.
• Prüfen und dokumentieren Sie alle eIDAS-bezogenen Prozesse präzise, insbesondere für Audits und Compliance-Nachweise.
• Achten Sie auf Kompatibilität Ihrer Informationsmanagementsysteme mit aktuellen und künftigen eIDAS-Standards, beispielsweise im Hinblick auf eIDAS 2.0 und die Digital Identity Wallet.

Häufige Missverständnisse

• Nicht jede elektronische Signatur ist rechtsgültig im Sinne von eIDAS: Nur qualifizierte elektronische Signaturen sind der handschriftlichen Unterschrift im EU-Rechtsraum vollständig gleichgestellt. Andere Formen können ausreichend sein, bieten aber weniger Rechtssicherheit.
• Die gegenseitige Anerkennung von eIDs gilt nur für notifizierte nationale Systeme: Nur wenn ein Land sein elektronisches Identifizierungssystem offiziell notifiziert hat, besteht die Pflicht anderer Mitgliedstaaten zur Anerkennung bei bestimmten Diensten. Die Nutzung im internationalen Kontext hängt von der jeweiligen Implementierung ab.
• Qualifizierte und nicht-qualifizierte Vertrauensdienste unterscheiden sich maßgeblich in ihrer rechtlichen Wirkung: Anwender sollten auf qualifizierte Anbieter zurückgreifen, wenn ein hoher Sicherheits- und Beweiswert erforderlich ist.
• eIDAS ist als Verordnung unmittelbar in allen Mitgliedstaaten verbindlich: Nationale Besonderheiten bestehen vor allem bei Randbereichen und ergänzenden Vorschriften, nicht aber hinsichtlich des Kerns der Regelungen.

Begriffserklärungen

• eID: Elektronischer Identitätsnachweis, der eine Person eindeutig ausweist.
• QES (Qualifizierte elektronische Signatur): Elektronische Signatur mit höchstem Sicherheitsniveau, rechtlich der handschriftlichen Unterschrift gleichgestellt.
• QTSP (Qualified Trust Service Provider): Qualifizierter Vertrauensdiensteanbieter, der bestimmte elektronische Vertrauensdienste unter strenger Aufsicht anbietet.
• EES (Einfache elektronische Signatur): Grundform der Signatur, geringes Beweisniveau.
• FES (Fortgeschrittene elektronische Signatur): Höhere Sicherheit als EES, aber keine Gleichstellung mit handschriftlicher Unterschrift.
• Trust-Service-Provider: Anbieter von Vertrauensdiensten (qualifiziert oder nicht), wie digitale Signaturen, Siegel, Zeitstempel.

Häufige Fragen zu eIDAS

Was bedeutet eIDAS für Unternehmen außerhalb der EU?

eIDAS ist eine verbindliche EU-Verordnung, beeinflusst jedoch auch internationale Unternehmen im EWR und darüber hinaus. Unternehmen, die mit europäischen Partnern zusammenarbeiten, richten ihre Prozesse oft nach den eIDAS-Standards aus, um einen nahtlosen und rechtssicheren Austausch von digitalen Dokumenten und Identitäten zu ermöglichen. Die explizite Anerkennung eIDAS-konformer Signaturen und Identitäten außerhalb der EU ist aber von den jeweiligen nationalen Rechtsordnungen abhängig.

Welche Arten von elektronischen Signaturen unterscheidet eIDAS?

eIDAS unterscheidet zwischen einfacher, fortgeschrittener und qualifizierter elektronischer Signatur (EES, FES, QES). Die QES ist laut eIDAS die einzige elektronische Signaturstufe, die der handschriftlichen Unterschrift hinsichtlich ihrer Rechtswirkung vollständig gleichgestellt ist. Für weniger kritische Vorgänge können aber auch EES oder FES genutzt werden.

Wie sicher sind eIDAS-konforme Signaturen wirklich?

eIDAS-konforme, insbesondere qualifizierte, elektronische Signaturen bieten ein sehr hohes Maß an Sicherheit. Die zugrundeliegenden Produkte und Verfahren werden von unabhängigen Konformitätsbewertungsstellen streng geprüft und von nationalen Aufsichtsbehörden überwacht. Manipulationen werden damit sehr zuverlässig verhindert.

Muss jeder Anbieter von digitalen Signaturen eIDAS-zertifiziert sein?

Nur wenn Sie die höchste rechtliche Wirkung (insbesondere Gleichstellung mit einer handschriftlichen Unterschrift) wünschen, muss der Vertrauensdiensteanbieter als „qualifiziert“ gemäß eIDAS anerkannt und zertifiziert sein. Qualifizierte Anbieter und ihre Produkte werden regelmäßig überprüft und finden sich in der EU Trust List.

Wo finde ich eine Liste qualifizierter eIDAS-Anbieter?

Die Europäische Union veröffentlicht eine offizielle Trust List aller qualifizierten Vertrauensdiensteanbieter und ihrer Dienstleistungen. Die Konsultation dieser Liste hilft dabei, ausschließlich anerkannte Dienste auszuwählen und maximale Rechtssicherheit zu gewährleisten.

Welche Rolle spielt eIDAS im elektronischen Rechnungswesen und bei öffentlichen Ausschreibungen?

Für elektronische Rechnungsstellung (E-Invoicing) und öffentliche Vergabeverfahren (E-Procurement) wird zunehmend der Einsatz eIDAS-konformer Signaturen, Siegel und Zeitstempel gefordert. Damit ist gewährleistet, dass digitale Dokumente originär, unverändert und beweissicher sind.

Wie wirkt eIDAS mit anderen Rechtsvorschriften wie der DSGVO oder PSD2 zusammen?

eIDAS regelt die Aspekte Identität, Authentifizierung und Vertrauensdienste. Die DSGVO schützt personenbezogene Daten in diesen Prozessen, während die PSD2 im Finanzbereich innovative Zahlungsdienste unter Nutzung starker elektronischer Identifizierung ermöglicht. Für Unternehmen ist wichtig, alle relevanten Rechtsakte im Zusammenspiel zu betrachten.

Wie relevant ist eIDAS bei Geschäften mit dem Vereinigten Königreich und dem EWR?

Im Europäischen Wirtschaftsraum (EWR) bleibt eIDAS voll anwendbar. Das Vereinigte Königreich hat nach dem Brexit eigene Regelungen, orientiert sich für einige Vertrauensdienste jedoch weiterhin an eIDAS-Standards. Die gegenseitige Anerkennung bedarf in jedem Fall einer individuellen Überprüfung des rechtlichen Rahmens.