Komplexe Signatur-Workflows neu gedacht: Automatisiert, sicher und eIDAS-konform

Elektronische Signaturen bieten je nach Signaturart ein hohes Maß an Fälschungs- und Manipulationssicherheit. Insbesondere bei fortgeschrittenen (FES) und qualifizierten elektronischen Signaturen (QES) sorgen kryptografische Verfahren dafür, dass nachträgliche Änderungen am signierten Dokument erkannt werden können.

Mit sproof werden Signaturprozesse zusätzlich durch einen manipulationssicheren Audit-Trail dokumentiert. Dadurch können wichtige Informationen zum Signaturvorgang nachvollziehbar und überprüfbar festgehalten werden.

Sobald ein Dokument über sproof digital signiert wird, wird ein kryptografischer Hashwert über den Inhalt gelegt.

• Nachträgliche Änderungen: Wird nach dem Signieren auch nur ein einziges Zeichen, eine Kommastelle oder ein Bild im PDF verändert, bricht das Siegel.
• Ergebnis: Jedes gängige Prüftool (z. B. Adobe Acrobat oder der kostenlose sproof Validator) meldet sofort, dass das Dokument verändert wurde und die Signatur ungültig ist.

Das österreichische Signaturgesetz (SigG) regelte ursprünglich die rechtlichen Rahmenbedingungen für elektronische Signaturen in Österreich. Es trat jedoch mit 30. Juni 2016 außer Kraft. Seit 1. Juli 2016 gelten für elektronische Signaturen insbesondere die unmittelbar anwendbare eIDAS-Verordnung der Europäischen Union sowie das österreichische Signatur- und Vertrauensdienstegesetz (SVG). Das SVG ergänzt die europäischen eIDAS-Vorgaben auf nationaler Ebene und regelt unter anderem elektronische Signaturen, elektronische Siegel, Zeitstempel sowie die Anforderungen an Vertrauensdienste und deren Anbieter.

Für elektronische Signaturen werden im europäischen Rechtsrahmen unterschiedliche Signaturstufen unterschieden: die einfache elektronische Signatur (EES), die fortgeschrittene elektronische Signatur (FES) und die qualifizierte elektronische Signatur (QES). Welche Signaturart erforderlich ist, hängt insbesondere vom jeweiligen Anwendungsfall und den gesetzlichen bzw. vertraglichen Anforderungen ab.

In Österreich spielt dabei die ID Austria eine zentrale Rolle, da sie die sichere digitale Identifikation und qualifizierte elektronische Signaturen ermöglicht. sproof hat die ID Austria direkt integriert und unterstützt darüber hinaus zahlreiche weitere europäische eIDs für digitale Identifikations- und Signaturprozesse.

Eine fortgeschrittene elektronische Signatur (FES) eignet sich für Dokumente mit erhöhtem Haftungs-, Nachweis- oder Sicherheitsbedarf. Sie ist eindeutig der unterzeichnenden Person zugeordnet, ermöglicht deren Identifizierung und macht nachträgliche Änderungen am Dokument erkennbar. Typische Anwendungsfälle sind Verträge, Genehmigungen, Personalunterlagen oder geschäftliche Vereinbarungen, für die keine qualifizierte elektronische Signatur gesetzlich erforderlich ist. Die passende Signaturart hängt jedoch stets vom konkreten Dokument und den geltenden Formvorschriften ab. Mehr zu den Unterschieden zwischen EES, FES und QES erfahren Sie in unserem Überblick über alle E-Signatur-Standards.

Eine einfache elektronische Signatur (EES) eignet sich für Dokumente und Prozesse mit geringem rechtlichem oder wirtschaftlichem Risiko, bei denen keine gesetzliche Schriftform vorgeschrieben ist. Typische Beispiele sind interne Freigaben, Bestätigungen, Protokolle, Angebote oder einfache Vereinbarungen. Sie ermöglicht eine schnelle und unkomplizierte Unterzeichnung, bietet jedoch nur eine begrenzte Sicherheit bei der eindeutigen Identifizierung der unterzeichnenden Person. Welche Signaturart passend ist, sollte daher immer anhand des konkreten Anwendungsfalls geprüft werden. Einen Überblick über EES, FES und QES finden Sie in unserem Vergleich der E-Signatur-Standards.

Ja. Interessierte Unternehmen können sproof Sign 14 Tage kostenlos testen. Darüber hinaus beraten die Expert:innen von sproof gerne persönlich und zeigen, wie sich die Plattform optimal in bestehende Geschäftsprozesse integrieren lässt. Jetzt sproof Sign testen →

Viele Unternehmen möchten sicherstellen, dass personenbezogene Daten ausschließlich innerhalb der Europäischen Union verarbeitet werden und den europäischen Datenschutzvorgaben unterliegen. sproof verarbeitet Daten ausschließlich in der EU und setzt auf europäische Infrastruktur.

Für viele Unternehmen ist der US CLOUD Act ein wichtiger Aspekt bei der Auswahl eines Softwareanbieters. Das Gesetz kann unter bestimmten Voraussetzungen US-Unternehmen oder Unternehmen mit US-Bezug verpflichten, Daten auf behördliche Anordnung herauszugeben – unabhängig davon, ob diese in den USA oder im Ausland gespeichert sind. Deshalb prüfen viele Organisationen heute nicht nur den Speicherort ihrer Daten, sondern auch den Unternehmenssitz, die eingesetzte Cloud-Infrastruktur und den anwendbaren Rechtsraum. sproof setzt auf eine ausschließlich europäische Infrastruktur. Die Datenverarbeitung erfolgt innerhalb der Europäischen Union und unterliegt europäischem Recht. Das unterstützt Unternehmen dabei, hohe Anforderungen an Datenschutz, Compliance und digitale Souveränität zu erfüllen.

Ja. DocuSign unterstützt elektronische Signaturen gemäß der eIDAS-Verordnung. Wichtig ist jedoch: Die eIDAS-Konformität sagt nichts darüber aus, wo Daten verarbeitet oder gespeichert werden. Unternehmen sollten deshalb zusätzlich prüfen, in welchem Rechtsraum ihre Daten verarbeitet werden, welche Cloud-Infrastruktur eingesetzt wird und welche Datenschutz- und Compliance-Anforderungen erfüllt werden. sproof unterstützt alle eIDAS-konformen Signaturarten und verarbeitet Daten ausschließlich innerhalb der Europäischen Union auf europäischer Infrastruktur.

Ja. Neben internationalen Anbietern gibt es mehrere europäische E-Signatur-Plattformen. Wer besonderen Wert auf Datenschutz, digitale Souveränität und eIDAS-Konformität legt, sollte europäische Lösungen in den Vergleich einbeziehen. sproof ist ein österreichischer Anbieter, der seine Plattform speziell für die Anforderungen europäischer Unternehmen entwickelt hat.

Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.

Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.

Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.