Erste Schritte mit elektronischen Signaturen: Ein praktischer Fahrplan.

Bevor Sie mit Anbietern sprechen oder Demos anfordern, klären Sie intern eine Frage: Welche Signaturtypen braucht Ihr Unternehmen tatsächlich?

Gehen Sie Ihre häufigsten Verträge durch. Arbeitsverträge? Wahrscheinlich brauchen Sie QES. Gewerbemietverträge? AES reicht völlig. NDAs zwischen Unternehmen? AES ist Standard. Interne Freigaben? SES genügt — oder ehrlich gesagt reicht auch ein Signaturfeld in Ihrem bestehenden System.

Die meisten Unternehmen brauchen AES als Basis. Einige Verträge brauchen gelegentlich QES. Nur sehr wenige Unternehmen brauchen wirklich SES, weil es zwar rechtsgültig, aber praktisch nutzlos ist, sobald externe Parteien beteiligt sind.

Halten Sie diese Anforderung schriftlich fest. Holen Sie sich die Zustimmung von Recht, Operations und Finanzen. Diese Entscheidung beeinflusst alles Weitere: Anbieterwahl, Umsetzungsaufwand, Kostenstruktur und welche Verträge Sie überhaupt digital unterzeichnen können.

Bevor Sie einen Anbieter wählen, klären Sie, was Ihre Aufsichtsbehörden und Branchenstandards verlangen.

Arbeiten Sie im Banken-, Versicherungs- oder Gesundheitswesen oder in einer anderen regulierten Branche? Ihr Regulator hat wahrscheinlich konkrete Anforderungen an den Signaturtyp. Prüfen Sie das. Raten Sie nicht. Die Kosten einer falschen Annahme sind weit höher als ein Nachmittag mit dem Regulierungsleitfaden.

Fordern Ihre Kunden oder Vertragspartner möglicherweise bestimmte Signaturtypen? Fragen Sie nach. Wenn Sie an Unternehmen verkaufen, wird irgendwann jemand eine Anforderung haben. Besser, Sie wissen es jetzt.

Gibt es Verträge, in denen explizit Anforderungen an die Signatur stehen? Lesen Sie sie. Manche NDAs, Dienstleistungs- oder Lieferantenverträge nennen ausdrücklich eine "qualifizierte elektronische Signatur". Dann sind die Anforderungen bereits in Ihren Rechtsdokumenten verankert.

Dieser Schritt ist entscheidend, weil er verhindert, dass Sie ein System kaufen, das Ihren Pflichten nicht entspricht. Sie führen den falschen Signaturtyp ein, sechs Monate später meldet jemand die Compliance-Lücke, und dann beginnt die Vertragsnachbearbeitung.

Die meisten Anbieter werden Ihnen sagen, dass ihre Lösung sicher, rechtsgültig und einfach zu bedienen ist. Beim rechtlichen Teil haben sie meist Recht (eIDAS ist weit gefasst). Beim Thema "einfach" übertreiben sie oft.

Worauf es wirklich ankommt:

Legen Sie nicht einfach den Schalter um und erwarten, dass alle sofort elektronisch unterschreiben. Sie brauchen einen Rollout-Plan.

Starten Sie mit einem Vertragstyp. Wählen Sie etwas relativ Ungefährliches. Für eine Steuerkanzlei vielleicht Mandatsvereinbarungen. Für eine Leasinggesellschaft Verlängerungsverträge. Im Vertrieb Bestellformulare. Etwas Einfaches, das häufig vorkommt.

Dokumentieren Sie den Prozess. Wie erhalten die Unterzeichner das Dokument? Wie unterschreiben sie? Wohin geht das unterzeichnete Dokument? Was passiert danach im Workflow? Wird es automatisch in Ihrem Ablagesystem abgelegt? Löst es den nächsten Schritt aus?

Schulen Sie zuerst eine kleine Gruppe. Nicht alle, nur die Personen, die diese Verträge bearbeiten. Lassen Sie sie den Prozess durchlaufen. Finden Sie heraus, was bricht. Beheben Sie es, bevor Sie breiter ausrollen.

Dann erweitern Sie. Fügen Sie den nächsten Vertragstyp hinzu. Verfeinern Sie den Prozess. Bauen Sie institutionelles Wissen auf.

Sobald das System live ist, brauchen Sie Regeln.

Welche Dokumente werden digital unterzeichnet? Welche brauchen weiterhin eine handschriftliche Unterschrift? (Ja, manche Verträge erfordern aus bestimmten rechtlichen Gründen weiterhin eine Handunterschrift. Prüfen Sie das.) Wer ist berechtigt, was zu unterzeichnen? Wie muss der Audit-Trail aussehen? Wie lange bewahren Sie unterzeichnete Dokumente auf?

Legen Sie die Unterschriftsberechtigung fest. Lassen Sie nicht jeden Mitarbeiter Verträge unterzeichnen. Bestimmen Sie, wer was unterzeichnen darf. Dokumentieren Sie es. Das schützt vor Fehlern und davor, dass Mitarbeiter versehentlich Verpflichtungen eingehen, die das Unternehmen nicht will.

Richten Sie ein Audit-Logging ein. Sie müssen auch nach fünf Jahren noch beantworten können, wer wann welches Dokument unterzeichnet hat. Der Anbieter übernimmt technisch den größten Teil, aber Sie müssen es konfigurieren und prüfen, ob es funktioniert.

Entscheiden Sie über die Aufbewahrungsdauer. Wie lange behalten Sie unterzeichnete Dokumente? In welchem Format? Speichern Sie die Signatur-Metadaten oder nur die unterzeichnete PDF? Die Regeln variieren, aber generell müssen Sie Unterlagen so lange aufbewahren, dass Sie etwaige Streitigkeiten aus dem Vertrag verteidigen können.

Der Kostenunterschied zwischen AES und QES ist nicht groß. Der Unterschied zwischen einem seriösen Anbieter und einem, der Ihnen SES-Theater verkauft, ist dagegen riesig — aber in die falsche Richtung. Sie zahlen denselben Betrag für schwächeren Schutz.

Wählen Sie Ihren Anbieter nicht nach dem niedrigsten Preis pro Signatur. Wählen Sie danach, ob er die Signaturtypen bietet, die Sie brauchen, ob die Sicherheit solide ist und ob die Integration keine Reibung in Ihrem echten Workflow erzeugt.

Sicherheitsausfälle bei digitalen Signatursystemen sind in der Regel teuer. Ein kompromittierter Anbieter, ein ausgespähter Signaturschlüssel, eine Backdoor im System — diese Probleme kosten weit mehr als das, was Sie bei der Pro-Signatur-Gebühr gespart haben.

Der Einstieg in elektronische Signaturen ist einfach, wenn Sie wissen, was Sie brauchen. Die meisten Unternehmen brauchen AES. Einige gelegentlich QES. Alle profitieren von einem System, das sich sauber in bestehende Workflows einfügt.

Fehler passieren, wenn Sie die Vorarbeit überspringen (Was brauchen wir wirklich?), die Einführung überstürzen (Die Leute werden es schon schaffen) oder an der Sicherheit sparen (So schlimm kann es doch nicht werden).

Nichts davon ist wirklich kompliziert. Es erfordert nur, vor dem Handeln nachzudenken. Genau das, was gute Verträge sowieso verlangen.