In jedem Beschaffungsgespräch über Software für Vertragsunterzeichnung hören Sie die Begriffe elektronische Signatur und digitale Signatur als Synonyme. Sie sind keine. Der Fehler ist so verbreitet, dass selbst die Websites der Anbieter ihn machen, und die Verwechslung führt zu echten Fehleinkäufen, wenn Käufer glauben, eine stärkere Beweiskraft zu erhalten, als sie tatsächlich bekommen.
Dieser Ratgeber klärt den tatsächlichen Unterschied: wo die Trennlinie zwischen den beiden Begriffen verläuft, was jeder von ihnen rechtlich und kryptografisch bedeutet und was daraus für die Wahl der Plattform folgt. Sobald Sie die Unterscheidung verstanden haben, wird der Rest der eSignatur-Kategorie deutlich übersichtlicher.
Die kurze Antwort
Eine elektronische Signatur ist ein breiter rechtlicher Begriff: jedes elektronische Zeichen, das eine Person an ein Dokument anbringt, um Unterzeichnungswillen auszudrücken. Ein getippter Name, ein angeklickter Button „Ich stimme zu“, ein auf einem Touchscreen gezeichneter Schriftzug oder eine Freigabe per E-Mail erfüllen sämtlich die Grunddefinition, wie sie die meisten Rechtsordnungen kennen.
Eine digitale Signatur ist eine spezifische kryptografische Technik: ein Hash des Dokuments, verschlüsselt mit dem privaten Schlüssel des Unterzeichners, überprüfbar von jedem, der den passenden öffentlichen Schlüssel hat. Sie liefert mathematischen Beweis von Integrität und Identität, den keine andere Methode erreicht.
Jede digitale Signatur ist auch eine elektronische Signatur. Umgekehrt gilt das nicht.
Verstehen Sie „elektronische Signatur“ als die rechtliche Kategorie und „digitale Signatur“ als eine konkrete technische Umsetzung davon. Wer seinen Namen auf einem Touchscreen zeichnet, leistet eine elektronische Signatur. Wer ein PDF mit dem Zertifikat eines qualifizierten Vertrauensdiensteanbieters signiert, leistet beides zugleich: eine elektronische und eine digitale Signatur.
Was ist eine elektronische Signatur
Die elektronische Signatur ist per Definition breit. Die eIDAS-Verordnung (EU) 910/2014, aktualisiert durch Verordnung 2024/1183, definiert sie in Artikel 3(10) als „Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verknüpft werden und die der Unterzeichner zum Unterzeichnen verwendet“. Diese Definition ist bewusst weit gefasst: Sie umfasst einen getippten Namen, einen Klick auf den Button „Ich stimme zu“, einen gezeichneten Schriftzug und sogar eine per Sprachaufnahme erteilte Freigabe.
In Deutschland ergänzt das Vertrauensdienstegesetz (VDG) vom 18. Juli 2017 die eIDAS-Verordnung um nationale Konkretisierungen. Das Bürgerliche Gesetzbuch arbeitet mit dem Konzept der Schriftform (§ 126 BGB), die durch eine elektronische Form mittels einer qualifizierten elektronischen Signatur ersetzbar ist (§ 126a BGB). Die Textform nach § 127 BGB ist niedrigschwelliger und kann durch eine einfache elektronische Signatur erfüllt werden.
Was beide Definitionen vereint: der Fokus liegt auf der Absicht, nicht auf der Technologie. Das Gesetz interessiert sich nicht dafür, ob die Signatur kryptografisch gesichert ist. Es interessiert sich dafür, ob die unterzeichnende Person das auch wollte und ob diese Tatsache im Streitfall belegbar ist.
Genau deshalb kann ein getippter Name in einer E-Mail rechtliche Wirkung haben, und eine angeklickte Checkbox in einer Software-EULA Sie binden. Beide sind elektronische Signaturen. Beide erfüllen die gesetzliche Definition. Beide sind als Beweismittel zulässig, wobei ihre Beweiskraft vom Umfeld abhängt: Wurde die Identität geprüft, trägt der Signaturvorgang einen Zeitstempel, ist die signierte Datei manipulationssicher?
Was ist eine digitale Signatur
Eine digitale Signatur ist eine spezifische kryptografische Technik. Der Mechanismus:
- Das Dokument wird durch eine Hash-Funktion (SHA-256 in modernen Implementierungen) geleitet, die einen Fingerabdruck fester Länge erzeugt, der den Inhalt des Dokuments eindeutig kennzeichnet.
- Dieser Hash wird mit dem privaten Schlüssel des Unterzeichners verschlüsselt, einem Geheimnis, das allein er kennt.
- Der verschlüsselte Hash wird dem Dokument als digitale Signatur beigefügt.
- Jeder, der den öffentlichen Schlüssel des Unterzeichners hat, kann den Hash entschlüsseln und mit einem frisch berechneten Hash des Dokuments vergleichen. Stimmen beide überein, wurde das Dokument vom Inhaber des passenden privaten Schlüssels signiert und seitdem nicht verändert.
Die kryptografische Stärke dieses Ansatzes ist mathematisch streng. Eine digitale Signatur leistet drei Dinge gleichzeitig, die keine andere Methode leistet:
- Sie weist den Unterzeichner aus: nur der Inhaber des privaten Schlüssels konnte diese Signatur erzeugen.
- Sie sichert die Unversehrtheit des Dokuments: jede Änderung, und sei es ein einzelnes Byte, bricht die Signatur mathematisch.
- Sie schafft Nichtabstreitbarkeit: der Unterzeichner kann später nicht glaubhaft behaupten, nicht unterschrieben zu haben, denn niemand sonst besaß den privaten Schlüssel.
Damit eine digitale Signatur über die technische Korrektheit hinaus rechtliche Wirkung entfaltet, muss das Schlüsselpaar an eine verifizierte Identität gebunden sein. Hier kommen Zertifizierungsstellen und Vertrauensdiensteanbieter (VDA) ins Spiel. Eine Zertifizierungsstelle stellt nach Identitätsprüfung des Zertifikatsinhabers ein digitales Zertifikat aus, und dieses Zertifikat bezeugt die Bindung zwischen öffentlichem Schlüssel und Person.
Dieses identitätsverifizierte kryptografische System entspricht unter eIDAS einer Fortgeschrittenen Elektronischen Signatur (FES), wenn es nach den Vorgaben der Verordnung umgesetzt ist, und einer Qualifizierten Elektronischen Signatur (QES), wenn das Zertifikat von einem akkreditierten qualifizierten Vertrauensdiensteanbieter stammt, in Deutschland etwa von D-Trust, der Bundesnotarkammer, der Bundesdruckerei oder dem Trust Center der Deutschen Telekom, und auf einer qualifizierten Signaturerstellungseinheit erzeugt wurde.
Wie sie tatsächlich funktionieren, in einfachen Worten
Der klarste Weg, den Unterschied zu sehen, ist durchzugehen, was geschieht, wenn Sie ein Dokument auf drei verschiedene Arten „unterzeichnen“.
Methode 1: Den Namen auf einem iPad zeichnen (elektronische Signatur, keine Kryptografie). Der Bildschirm erfasst Ihre Fingerbewegung als Pfad aus Pixeln und bettet das Ergebnis als PNG in die PDF ein. Der PDF-Reader zeigt das Bild an der Stelle an, an der Sie es platziert haben. Nichts verbindet dieses Bild kryptografisch mit dem Dokument: Wer über ein Bearbeitungsprogramm verfügt, könnte Ihre Unterschrift entfernen und eine andere einsetzen, und solange das PDF danach nicht versiegelt wurde, fiele das niemandem auf. Die rechtliche Wirkung ergibt sich aus Ihrer nachweisbaren Absicht, also aus dem E-Mail-Verlauf, dem Prüfprotokoll und dem Zeitstempel beim Setzen der Unterschrift, nicht aus dem Bild selbst.
Methode 2: Über DocuSign oder Sign.Plus signieren (elektronische Signatur, gestützt durch eine plattformseitige digitale Signatur). Sie zeichnen oder tippen Ihre Signatur, und die Plattform protokolliert IP, Zeitstempel, Authentifizierungsfaktoren und den Vorgang der Platzierung. Anschließend berechnet die Plattform einen kryptografischen Hash des fertigen Dokuments und versiegelt es mit ihrem eigenen digitalen Zertifikat, nicht mit Ihrem. Das Ergebnis: Nach der Versiegelung lässt sich beweisen, dass das Dokument unverändert ist, und die Signatur darauf drückt Ihre Absicht aus, doch der kryptografische Nachweis der Unversehrtheit gehört der Plattform und nicht Ihnen persönlich. So funktioniert die überwiegende Mehrheit der gängigen eSignatur-Plattformen 2026.
Methode 3: Mit Ihrem eigenen QES-Zertifikat signieren (elektronische Signatur, die zugleich eine echte persönliche digitale Signatur ist). Sie verfügen über ein digitales Zertifikat, das ein qualifizierter Vertrauensdiensteanbieter nach Video- oder Vor-Ort-Identitätsprüfung ausgestellt hat. Beim Signieren verschlüsselt Ihr privater Schlüssel, der in aller Regel auf einem Hardware-Sicherheitsmodul oder einer Chipkarte liegt, den Hash des Dokuments. Die daraus entstehende digitale Signatur ist mathematisch wie identitätsseitig nachweisbar Ihre eigene. Nach Artikel 25(2) eIDAS hat sie in allen EU-Mitgliedstaaten dieselbe rechtliche Wirkung wie eine handschriftliche Unterschrift, und in Deutschland wahrt sie nach § 126a BGB die gesetzliche Schriftform.
Alle drei Methoden sind elektronische Signaturen im Sinne des Rechts. Nur die Methoden 2 und 3 setzen im Hintergrund kryptografische digitale Signaturen ein, und nur Methode 3 ergibt eine digitale Signatur, die nachweislich Ihnen gehört und nicht der Plattform.
Vergleich im Überblick
| Eigenschaft | Elektronische Signatur | Digitale Signatur |
|---|---|---|
| Definition | Rechtlicher Begriff: jedes elektronische Zeichen, das Unterzeichnungswillen ausdrückt | Technisches Verfahren: Versiegelung mittels Public-Key-Kryptografie |
| Erforderliche Technologie | Keine spezifische; getippter Name oder Klick reicht | Asymmetrisches Schlüsselpaar, Hash-Funktion, Zertifikat einer vertrauenswürdigen Stelle |
| Identitätsbindung | Aus dem Umfeld abgeleitet: E-Mail, IP-Adresse, Zeitstempel | Über ein digitales Zertifikat kryptografisch an eine geprüfte Identität gebunden |
| Unversehrtheit des Dokuments | Hängt von der Plattform ab, die die Signatur erfasst | Durch die kryptografische Versiegelung gesichert: jede Änderung ist mathematisch erkennbar |
| Rechtsstatus (DE/EU) | Einfache Elektronische Signatur unter eIDAS; kann nicht allein wegen ihrer elektronischen Form als Beweismittel zurückgewiesen werden | Fortgeschrittene oder Qualifizierte Elektronische Signatur unter eIDAS; QES erfüllt nach § 126a BGB die gesetzliche Schriftform |
| Typischer Anwendungsfall | Routinemäßige Geschäftsverträge, Geheimhaltungsvereinbarungen, Stellenangebote | Regulierte Transaktionen, Behördenmeldungen, Verträge mit hohem Risikoprofil und Identitätsanforderungen |
| Repudiationsrisiko | Höher; Unterzeichner kann Identität oder Absicht leichter bestreiten | Sehr gering; Nicht-Abstreitbarkeit ist eine eingebaute kryptografische Eigenschaft |
Wo das Gesetz was tatsächlich verlangt
Für die meisten alltäglichen Vereinbarungen schreibt das Gesetz keine bestimmte Form vor. eIDAS und das BGB akzeptieren in der Grundlage jede vernünftige elektronische Signatur. Die Wahl liegt bei Ihnen, und die meisten Unternehmen wählen eine plattformseitig angewandte elektronische Signatur (Methode 2 oben), weil sie einfache Handhabung und Beweiskraft in ein gutes Verhältnis bringt.
Die Ausnahmen, also die Fälle, in denen eine echte persönliche digitale Signatur verlangt oder dringend empfohlen ist, meist eine QES, sind zwar wenige, aber klar umrissen.
- Schriftformerfordernis nach § 126 BGB. Verlangt das Gesetz die Schriftform, etwa bei gewerblichen Mietverträgen mit einer Laufzeit über einem Jahr (§ 550 BGB), bei Maklerverträgen mit Verbrauchern (§ 656a BGB), bei Bürgschaftserklärungen oder bei Verbraucherdarlehensverträgen, lässt sie sich durch die elektronische Form mit qualifizierter elektronischer Signatur (§ 126a BGB) ersetzen. Eine einfache elektronische Signatur genügt dafür nicht.
- Regulierte Geschäfte innerhalb der EU. Bestimmte Immobiliengeschäfte, wobei in Deutschland die notarielle Beurkundung des Grundstückskaufvertrags nach § 311b BGB beim Notar bleibt und durch keine elektronische Signatur ersetzt wird; ferner regulierte Finanzinstrumente nach MiFID II, gerichtliche Schriftsätze in vielen Mitgliedstaaten und öffentliche Vergabeverfahren oberhalb der Schwellenwerte der Richtlinie 2014/24/EU.
- Grenzüberschreitende Vereinbarungen, bei denen eine Partei die höchste Rechtswirkung verlangt. Artikel 25(2) eIDAS verleiht der QES in jedem Mitgliedstaat dieselbe rechtliche Wirkung wie einer handschriftlichen Unterschrift. Das hilft, wenn die Parteien unterschiedlichen Rechtsordnungen unterliegen und eine überall anerkannte Form suchen.
- 21 CFR Part 11 (US, FDA-regulierte elektronische Aufzeichnungen). Pharmaunternehmen, Medizingerätehersteller und Sponsoren klinischer Studien sind verpflichtet, Signaturen mit kryptografischen Integritätskontrollen und Identitätsverifikation einzusetzen. Die meisten modernen Signaturplattformen erfüllen 21 CFR Part 11 in ihren oberen Tarifstufen, etwa in den Arbeitsbereichen von PandaDoc Enterprise oder bei DocuSign Enhanced.
- Behördliche Eingaben. Steuererklärungen (in Deutschland über ELSTER), Zollanmeldungen, Unternehmensmeldungen an Aufsichtsbehörden (BaFin) verlangen routinemäßig digitale Signaturen von zugelassenen Stellen.
Für die meisten übrigen Geschäfts- und Personalunterlagen ist eine von der Plattform aufgebrachte elektronische Signatur eines anerkannten Anbieters, sei es DocuSign, PandaDoc, Sign.Plus, Dropbox Sign oder SignNow, vor Gericht ohne Weiteres tragfähig und wird regelmäßig als Beweismittel zugelassen.
Was das für die Plattformen bedeutet, die Sie einsetzen
Und so lesen Sie die Werbeseiten der Anbieter richtig. Wenn DocuSign, Dropbox Sign oder SignNow „elektronische Signaturen“ anbieten, verwenden sie den Begriff im weiten rechtlichen Sinn. Sprechen sie dagegen von „digitalen Signaturen“, kann zweierlei gemeint sein:
- Dass die Plattform das fertige Dokument mit ihrem eigenen Zertifikat kryptografisch versiegelt, was am häufigsten vorkommt. Das sichert die Unversehrtheit des Dokuments und liefert ein Prüfprotokoll, doch die digitale Signatur gehört der Plattform und nicht Ihnen.
- Dass die Plattform auf den Unterzeichner ausgestellte Zertifikate vergeben oder annehmen kann, was seltener ist. Unter eIDAS ist genau das die Grundlage für FES und QES. Sign.Plus bietet die QES in jedem Tarif einschließlich des kostenlosen, DocuSign in Enhanced/IAM über akkreditierte qualifizierte Vertrauensdiensteanbieter, PandaDoc auf der Stufe Enterprise und Dropbox Sign als Zusatzoption zu Premium. SignNow unterstützt die QES nicht von Haus aus.
Verlangt ein reguliertes Geschäft ausdrücklich eine QES oder eine andere persönliche digitale Signatur, brauchen Sie eine Plattform, die auf den Unterzeichner ausgestellte Zertifikate beherrscht, und der Unterzeichner muss die Identitätsprüfung bei einem qualifizierten Vertrauensdiensteanbieter durchlaufen. Das ist aufwendiger als ein gewöhnlicher Signaturvorgang, ergibt aber eine Signatur, die in der gesamten EU dieselbe rechtliche Wirkung hat wie eine handschriftliche.
Für alles Übrige ist die von der Plattform aufgebrachte elektronische Signatur das richtige Werkzeug. Die kryptografische Sicherung, die sie mitbringt, ergibt zusammen mit dem Prüfprotokoll aus IP-Adresse, Zeitstempel, Authentifizierung und den Schritten des Unterzeichners einen Nachweis, der im alltäglichen Streitfall Bestand hat, ohne den Aufwand persönlicher Zertifikate.
Häufige Irrtümer, die man vermeiden sollte
- „Digitale Signaturen sind immer rechtlich verbindlicher als elektronische Signaturen.“ Falsch. Die meisten Vereinbarungen verlangen keine digitale Signatur, und eine korrekt erfasste elektronische Signatur ist voll durchsetzbar. Die richtige Frage ist, ob Ihre Vereinbarung in eine regulierte Kategorie fällt, die die zusätzliche kryptografische Identitätsbindung verlangt.
- „Ein getippter Name in einer E-Mail kann keine rechtsgültige Unterschrift sein.“ In den meisten Rechtsordnungen falsch. Unter eIDAS und nach deutscher Rechtsprechung erfüllt ein getippter Name mit nachweisbarer Unterzeichnungsabsicht die gesetzliche Definition. Britische Gerichte haben in Neocleous v Rees [2019] ausdrücklich entschieden, dass ein automatisch in Outlook angefügter Name eine Unterschrift im Sinne des Statute of Frauds 1677 darstellt.
- „Adobe Reader Fill & Sign erstellt digitale Signaturen.“ Teils, teils. Die Fill & Sign-Funktion von Adobe Reader erstellt eine elektronische Signatur im rechtlichen Sinn, aber sofern Sie nicht mit einer Digital-ID einer von Adobe akzeptierten Zertifizierungsstelle signieren, wird keine kryptografische digitale Signatur angewendet. Wer Fill & Sign gelegentlich nutzt, erzeugt in aller Regel ein eingebettetes Bild, also eine elektronische und keine digitale Signatur.
- „Mein PDF fällt vor Gericht durch, wenn es keine digitale Signatur hat.“ Falsch. Gerichte beurteilen die Umstände der Signatur, also Absicht, Identität, Unversehrtheit und Aufbewahrung, und nicht allein das kryptografische Verfahren. Ein signiertes PDF einer anerkannten Plattform samt Abschlusszertifikat wird regelmäßig zugelassen.
- „Digitale Signaturen, PKI-Signaturen und X.509-Signaturen sind verschiedene Dinge.“ Weitgehend meinen sie dasselbe. Die Public-Key-Infrastruktur ist das System, X.509 das Format des Zertifikats, und von einer „digitalen Signatur“ spricht man, wenn Sie mit dem privaten Schlüssel eines X.509-Zertifikats den Hash eines Dokuments signieren.
Was brauchen Sie tatsächlich
Der Entscheidungsrahmen ist kurz.
- Für routinemäßige Geschäftsverträge, Geheimhaltungsvereinbarungen, Stellenangebote, Lieferantenverträge, Verkaufsverträge, Mietverträge ohne Schriftformerfordernis: Eine plattformseitige elektronische Signatur eines anerkannten eSignatur-Anbieters reicht und ist das, was die überwiegende Mehrheit der Unternehmen einsetzt. Siehe unsere Plattform-Testberichte für die redaktionelle Bewertung.
- Für Verträge mit Schriftformerfordernis nach § 126 BGB (gewerbliche Mietverträge > 1 Jahr nach § 550 BGB, Maklerverträge mit Verbrauchern nach § 656a BGB, Bürgschaftserklärungen, Verbraucherdarlehen): Sie brauchen eine QES nach § 126a BGB. Plattformen mit nativer QES auf jedem Tarif: Sign.Plus (alle Stufen einschließlich Free). Plattformen mit QES auf höheren Tarifen: PandaDoc Enterprise, DocuSign Enhanced sowie Dropbox Sign Premium, dort als Zusatzoption.
- Für Abläufe nach 21 CFR Part 11 oder unter HIPAA: Wählen Sie eine Plattform mit der passenden Compliance-Stufe, also DocuSign Enhanced, PandaDoc Enterprise mit seinen Arbeitsbereichen nach 21 CFR Part 11, Sign.Plus Enterprise mit HIPAA und BAA oder Dropbox Sign Premium.
- Für Grundstückskaufverträge, Erbverträge, bestimmte Eheverträge: Notarielle Beurkundung ist verpflichtend (§ 311b BGB, § 2231 BGB, § 1410 BGB). Weder elektronische noch digitale Signatur ersetzen die Beurkundung.
Wenn Sie Plattformen evaluieren oder zu entscheiden versuchen, welche Compliance-Stufe Sie tatsächlich brauchen, läuft der eSignatur-Kostenrechner Ihr Szenario gegen die wichtigsten Plattformen und liefert die günstigste passende Option. Für eine vertiefte Sicht auf die rechtlichen Rahmen pro Land deckt der Ratgeber zur Rechtsgültigkeit eIDAS, ESIGN, UETA und die wichtigsten Nicht-EU-Jurisdiktionen detailliert ab.
Die kürzeste Version der richtigen Antwort: Die meisten Unternehmen brauchen eine elektronische Signatur. Manche brauchen eine digitale Signatur. Zu wissen, welche Sie selbst brauchen, ist der Unterschied zwischen dem Kauf des richtigen Werkzeugs und dem Überengineering eines Problems, das Sie nicht haben.
