In jedem Beschaffungsgespräch über Software für Vertragsunterzeichnung hören Sie die Begriffe elektronische Signatur und digitale Signatur als Synonyme. Sie sind keine. Der Fehler ist so verbreitet, dass selbst Anbieter-Websites ihn machen — und die Verwechslung führt zu echten Beschaffungsfehlern, wenn Käufer glauben, eine stärkere Beweiskraft zu erhalten, als sie tatsächlich bekommen.
Dieser Ratgeber löst den tatsächlichen Unterschied auf: wo die Trennlinie zwischen den beiden Begriffen verläuft, was jeder auf rechtlicher und auf kryptografischer Ebene bedeutet, und was das für die Plattform-Entscheidung heißt. Sobald Sie die Unterscheidung verstanden haben, wird der Rest der eSignatur-Kategorie deutlich übersichtlicher.
Die kurze Antwort
Eine elektronische Signatur ist ein breiter rechtlicher Begriff: jedes elektronische Zeichen, das eine Person an ein Dokument anbringt, um Unterzeichnungswillen auszudrücken. Ein getippter Name, ein angeklickter „Ich stimme zu"-Button, ein auf einem Touchscreen gezeichneter Schriftzug, eine E-Mail-Freigabe — alles erfüllt die Grunddefinition in den meisten Rechtsordnungen.
Eine digitale Signatur ist eine spezifische kryptografische Technik: ein Hash des Dokuments, verschlüsselt mit dem privaten Schlüssel des Unterzeichners, überprüfbar von jedem, der den passenden öffentlichen Schlüssel hat. Sie liefert mathematischen Beweis von Integrität und Identität, den keine andere Methode erreicht.
Jede digitale Signatur ist auch eine elektronische Signatur. Umgekehrt gilt das nicht.
Denken Sie an „elektronische Signatur" als die rechtliche Kategorie und an „digitale Signatur" als eine konkrete technische Umsetzung. Den Namen auf einem Touchscreen zeichnen ist eine elektronische Signatur. Eine PDF mit einem Zertifikat eines qualifizierten Vertrauensdiensteanbieters signieren ist beides — eine elektronische und eine digitale Signatur.
Was ist eine elektronische Signatur
Die elektronische Signatur ist per Definition breit. Die eIDAS-Verordnung (EU) 910/2014, aktualisiert durch Verordnung 2024/1183, definiert sie in Artikel 3(10) als „Daten in elektronischer Form, die anderen Daten in elektronischer Form beigefügt oder logisch mit ihnen verknüpft werden und die der Unterzeichner zum Unterzeichnen verwendet". Diese Definition ist absichtlich weit gefasst — sie umfasst einen getippten Namen, einen Klick auf einen „Ich stimme zu"-Button, einen gezeichneten Schriftzug, sogar eine aufgenommene Stimm-Freigabe.
In Deutschland ergänzt das Vertrauensdienstegesetz (VDG) vom 18. Juli 2017 die eIDAS-Verordnung um nationale Konkretisierungen. Das Bürgerliche Gesetzbuch arbeitet mit dem Konzept der Schriftform (§ 126 BGB), die durch eine elektronische Form mittels einer qualifizierten elektronischen Signatur ersetzbar ist (§ 126a BGB). Die Textform nach § 127 BGB ist niedrigschwelliger und kann durch eine einfache elektronische Signatur erfüllt werden.
Was beide Definitionen vereint: der Fokus liegt auf der Absicht, nicht auf der Technologie. Das Gesetz interessiert sich nicht dafür, ob die Signatur kryptografisch gesichert ist. Es interessiert sich dafür, ob die unterzeichnende Person das auch wollte und ob diese Tatsache im Streitfall belegbar ist.
Genau deshalb kann ein getippter Name in einer E-Mail rechtliche Wirkung haben, und eine angeklickte Checkbox in einer Software-EULA Sie binden. Beide sind elektronische Signaturen. Beide erfüllen die gesetzliche Definition. Beide sind als Beweismittel zulässig — wobei ihre Beweiskraft vom umgebenden Kontext abhängt (wurde die Identität verifiziert, war das Signaturereignis zeitgestempelt, ist die signierte Datei manipulationssicher).
Was ist eine digitale Signatur
Eine digitale Signatur ist eine spezifische kryptografische Technik. Der Mechanismus:
- Das Dokument wird durch eine Hash-Funktion (SHA-256 in modernen Implementierungen) geleitet, die einen Fingerabdruck fester Länge erzeugt, der den Inhalt des Dokuments eindeutig kennzeichnet.
- Dieser Hash wird mit dem privaten Schlüssel des Unterzeichners verschlüsselt — einem Geheimnis, das nur der Unterzeichner kennt.
- Der verschlüsselte Hash wird dem Dokument als digitale Signatur beigefügt.
- Jeder, der den öffentlichen Schlüssel des Unterzeichners hat, kann den Hash entschlüsseln und mit einem frisch berechneten Hash des Dokuments vergleichen. Stimmen beide überein, wurde das Dokument vom Inhaber des passenden privaten Schlüssels signiert und seitdem nicht verändert.
Die kryptografische Stärke dieses Ansatzes ist mathematisch streng. Eine digitale Signatur leistet drei Dinge gleichzeitig, die keine andere Methode leistet:
- Authentifiziert den Unterzeichner — nur der Inhaber des privaten Schlüssels konnte diese Signatur erzeugen.
- Garantiert die Integrität des Dokuments — jede Änderung am Dokument, selbst ein einzelnes Byte, bricht die Signatur mathematisch.
- Schafft Nicht-Abstreitbarkeit (Non-Repudiation) — der Unterzeichner kann später nicht glaubhaft behaupten, nicht unterzeichnet zu haben, da niemand sonst den privaten Schlüssel hatte.
Damit eine digitale Signatur über die technische Korrektheit hinaus rechtliche Wirkung entfaltet, muss das Schlüsselpaar an eine verifizierte Identität gebunden sein. Hier kommen Zertifizierungsstellen und Vertrauensdiensteanbieter (VDA) ins Spiel. Eine Zertifizierungsstelle stellt nach Identitätsprüfung des Zertifikatsinhabers ein digitales Zertifikat aus, und dieses Zertifikat bezeugt die Bindung zwischen öffentlichem Schlüssel und Person.
Dieses identitätsverifizierte kryptografische System entspricht unter eIDAS einer Fortgeschrittenen Elektronischen Signatur (FES), wenn es nach den Vorgaben der Verordnung umgesetzt ist, und einer Qualifizierten Elektronischen Signatur (QES), wenn das Zertifikat von einem akkreditierten Qualifizierten Vertrauensdiensteanbieter (qVDA) stammt — in Deutschland zum Beispiel D-Trust, Bundesnotarkammer, Bundesdruckerei oder Deutsche Telekom Trust Center — und auf einer qualifizierten Signaturerstellungseinheit erstellt wurde.
Wie sie tatsächlich funktionieren, in einfachen Worten
Der klarste Weg, den Unterschied zu sehen, ist durchzugehen, was passiert, wenn Sie ein Dokument auf drei verschiedene Arten „unterzeichnen".
Methode 1: Den Namen auf einem iPad zeichnen (elektronische Signatur, keine Kryptografie). Der Bildschirm erfasst Ihre Fingerbewegung als Pfad aus Pixeln und bettet das Ergebnis als PNG in die PDF ein. Der PDF-Reader zeigt das Bild an der Stelle an, an der Sie es platziert haben. Nichts verbindet dieses Bild kryptografisch mit dem Dokument — jeder mit Bearbeitungswerkzeugen könnte Ihre Signatur entfernen und eine andere platzieren, und solange die PDF danach nicht versiegelt wurde, würde es niemand bemerken. Die rechtliche Wirkung kommt aus Ihrer nachweisbaren Absicht (E-Mail-Spur, Audit-Log, zeitgestempelter Platzierung) — nicht aus dem Bild selbst.
Methode 2: Über DocuSign oder Sign.Plus signieren (elektronische Signatur, gestützt durch eine plattformseitige digitale Signatur). Sie zeichnen oder tippen Ihre Signatur, und die Plattform protokolliert IP, Zeitstempel, Authentifizierungsfaktoren und den Vorgang der Platzierung. Anschließend berechnet die Plattform einen kryptografischen Hash des fertigen Dokuments und versiegelt es mit ihrem eigenen digitalen Zertifikat — nicht mit Ihrem. Ergebnis: Das Dokument ist nach Versiegelung beweisbar unverändert, aber die Signatur am Dokument repräsentiert Ihre Absicht, während der kryptografische Integritätsbeweis der Plattform gehört, nicht Ihnen persönlich. So funktioniert die überwiegende Mehrheit der gängigen eSignatur-Plattformen 2026.
Methode 3: Mit Ihrem eigenen QES-Zertifikat signieren (elektronische Signatur, die zugleich eine echte persönliche digitale Signatur ist). Sie verfügen über ein digitales Zertifikat, das ein qualifizierter Vertrauensdiensteanbieter nach Video- oder Vor-Ort-Identitätsprüfung ausgestellt hat. Beim Signieren verschlüsselt Ihr privater Schlüssel — typischerweise auf einem Hardware-Sicherheitsmodul oder einer Smartcard gehalten — den Dokumenten-Hash. Die resultierende digitale Signatur ist mathematisch und identitätsnachweislich Ihre eigene. Nach Artikel 25(2) eIDAS hat sie in allen EU-Mitgliedstaaten dieselbe rechtliche Wirkung wie eine handschriftliche Unterschrift — und in Deutschland erfüllt sie nach § 126a BGB die gesetzliche Schriftform.
Alle drei Methoden sind elektronische Signaturen im Sinne des Rechts. Nur Methoden 2 und 3 nutzen kryptografische digitale Signaturen unter der Haube. Nur Methode 3 ergibt eine digitale Signatur, die nachweislich Ihre ist und nicht die der Plattform.
Vergleich im Überblick
| Eigenschaft | Elektronische Signatur | Digitale Signatur |
|---|---|---|
| Definition | Rechtlicher Begriff — jedes elektronische Zeichen mit Unterzeichnungswillen | Technische Methode — kryptografische Versiegelung mit Public-Key-Kryptografie |
| Erforderliche Technologie | Keine spezifische; getippter Name oder Klick reicht | Asymmetrisches Schlüsselpaar, Hash-Funktion, Zertifikat einer vertrauenswürdigen Stelle |
| Identitätsbindung | Aus Kontext abgeleitet (E-Mail, IP, Zeitstempel) | Kryptografisch an eine verifizierte Identität gebunden über ein digitales Zertifikat |
| Dokumentenintegrität | Hängt von der Plattform ab, die die Signatur erfasst | Garantiert durch die kryptografische Versiegelung — jede Änderung ist mathematisch erkennbar |
| Rechtsstatus (DE/EU) | Einfache Elektronische Signatur unter eIDAS; kann nicht allein wegen ihrer elektronischen Form als Beweismittel zurückgewiesen werden | Fortgeschrittene oder Qualifizierte Elektronische Signatur unter eIDAS; QES erfüllt nach § 126a BGB die gesetzliche Schriftform |
| Typischer Anwendungsfall | Routinemäßige Geschäftsverträge, NDAs, Stellenangebote | Regulierte Transaktionen, Behördenmeldungen, Verträge mit hohem Risikoprofil und Identitätsanforderungen |
| Repudiationsrisiko | Höher; Unterzeichner kann Identität oder Absicht leichter bestreiten | Sehr gering; Nicht-Abstreitbarkeit ist eine eingebaute kryptografische Eigenschaft |
Wo das Gesetz was tatsächlich verlangt
Für die meisten alltäglichen Vereinbarungen schreibt das Gesetz keine bestimmte Form vor. eIDAS und das BGB akzeptieren in der Grundlage jede vernünftige elektronische Signatur. Die Wahl liegt bei Ihnen, und die meisten Unternehmen wählen eine plattformseitig angewandte elektronische Signatur (Methode 2 oben), weil sie Reibungsarmut und Beweiskraft ausbalanciert.
Die Ausnahmen — wo eine echte persönliche digitale Signatur, typischerweise eine QES, verlangt oder dringend empfohlen ist — sind eng aber konsistent.
- Schriftformerfordernis nach § 126 BGB. Wo das Gesetz die Schriftform verlangt — gewerbliche Mietverträge mit Laufzeit über ein Jahr (§ 550 BGB), Maklerverträge mit Verbrauchern (§ 656a BGB), Bürgschaftserklärungen, Verbraucherdarlehensverträge — kann diese durch die elektronische Form mit qualifizierter elektronischer Signatur (§ 126a BGB) ersetzt werden. Eine einfache elektronische Signatur reicht nicht.
- EU-regulierte Transaktionen. Bestimmte Immobiliengeschäfte (in Deutschland verbleibt die notarielle Beurkundung des Grundstückskaufvertrags nach § 311b BGB beim Notar — keine elektronische Signatur ersetzt das), regulierte Finanzinstrumente unter MiFID II, gerichtliche Schriftsätze in vielen EU-Jurisdiktionen, öffentliche Vergabeverfahren oberhalb der Schwellenwerte nach Richtlinie 2014/24/EU.
- Grenzüberschreitende EU-Vereinbarungen, bei denen eine Partei höchste Rechtswirkung verlangt. Artikel 25(2) eIDAS gibt einer QES dieselbe rechtliche Wirkung wie einer handschriftlichen Unterschrift in jedem Mitgliedstaat — nützlich, wenn Parteien in verschiedenen Jurisdiktionen sind und eine einheitlich anerkannte Form wollen.
- 21 CFR Part 11 (US, FDA-regulierte elektronische Aufzeichnungen). Pharmaunternehmen, Medizingerätehersteller und Sponsoren klinischer Studien sind verpflichtet, Signaturen mit kryptografischen Integritätskontrollen und Identitätsverifikation einzusetzen. Die meisten modernen eSignatur-Plattformen erfüllen 21 CFR Part 11 in ihren oberen Tarifstufen (PandaDoc Enterprise Workspaces, DocuSign Enhanced).
- Behördliche Eingaben. Steuererklärungen (in Deutschland über ELSTER), Zollanmeldungen, Unternehmensmeldungen an Aufsichtsbehörden (BaFin) verlangen routinemäßig digitale Signaturen von zugelassenen Stellen.
Für die meisten anderen Geschäfts- und HR-Vereinbarungen ist eine plattformseitig angewandte elektronische Signatur eines anerkannten Anbieters — DocuSign, PandaDoc, Sign.Plus, Dropbox Sign, SignNow — vor Gericht voll akzeptabel und wird routinemäßig als Beweismittel zugelassen.
Was das für die Plattformen bedeutet, die Sie einsetzen
Hier die praktische Lesart der Marketing-Seiten von Anbietern. Wenn DocuSign, Dropbox Sign oder SignNow „elektronische Signaturen" anbieten, verwenden sie den Begriff in seinem breiten rechtlichen Sinn. Wenn sie „digitale Signaturen" anbieten, kann das zwei Dinge bedeuten:
- Dass die Plattform eine kryptografische Versiegelung auf das fertige Dokument mit ihrem eigenen Zertifikat anwendet (am häufigsten) — das liefert Dokumentenintegrität und plattformseitige Auditfähigkeit, aber die digitale Signatur gehört der Plattform, nicht Ihnen.
- Dass die Plattform die Ausstellung oder Annahme unterzeichnerbezogener Zertifikate unterstützt (seltener) — unter eIDAS ist das die Basis für FES und QES. Sign.Plus bietet QES auf jedem Tarif einschließlich Free. DocuSign bietet QES auf Enhanced/IAM über akkreditierte qVDA, und PandaDoc bietet QES-Niveau-Signaturen auf Enterprise. Bei Dropbox Sign gibt es QES als Premium-Add-on, während SignNow QES nicht nativ unterstützt.
Verlangt eine regulierte Transaktion ausdrücklich eine QES oder eine andere persönliche digitale Signatur, brauchen Sie eine Plattform, die das Modell des unterzeichnerbezogenen Zertifikats unterstützt — und der Unterzeichner muss die Identitätsverifikation bei einem qualifizierten Vertrauensdiensteanbieter abschließen. Das ist mehr Reibung als ein Routinesigniervorgang, ergibt aber eine Signatur mit derselben rechtlichen Wirkung wie eine handschriftliche in der gesamten EU.
Für alles andere ist eine plattformseitig angewandte elektronische Signatur das richtige Werkzeug. Die kryptografische Integrität, die die Plattform liefert — kombiniert mit dem Audit-Trail (IP, Zeitstempel, Authentifizierung, Aktionen des Unterzeichners) — ergibt einen Nachweis, der bei Routinestreitigkeiten Bestand hat, ohne die zusätzliche Reibung persönlicher Zertifikate.
Häufige Irrtümer, die man vermeiden sollte
- „Digitale Signaturen sind immer rechtlich verbindlicher als elektronische Signaturen." Falsch. Die meisten Vereinbarungen verlangen keine digitale Signatur, und eine korrekt erfasste elektronische Signatur ist voll durchsetzbar. Die richtige Frage ist, ob Ihre Vereinbarung in eine regulierte Kategorie fällt, die die zusätzliche kryptografische Identitätsbindung verlangt.
- „Ein getippter Name in einer E-Mail kann keine rechtliche Signatur sein." In den meisten Jurisdiktionen falsch. Unter eIDAS und nach deutscher Rechtsprechung erfüllt ein getippter Name mit nachweisbarer Unterzeichnungsabsicht die gesetzliche Definition. Britische Gerichte haben in Neocleous v Rees [2019] ausdrücklich entschieden, dass ein automatisch in Outlook angefügter Name eine Unterschrift im Sinne des Statute of Frauds 1677 darstellt.
- „Adobe Reader Fill & Sign erstellt digitale Signaturen." Gemischt. Die Fill & Sign-Funktion von Adobe Reader erstellt eine elektronische Signatur im rechtlichen Sinn, aber sofern Sie nicht mit einer Digital-ID einer von Adobe akzeptierten Zertifizierungsstelle signieren, wird keine kryptografische digitale Signatur angewendet. Die meisten gelegentlichen Fill & Sign-Nutzungen erzeugen ein eingebettetes Bild — eine elektronische, keine digitale Signatur.
- „Meine PDF wird vor Gericht durchfallen, wenn sie keine digitale Signatur hat." Falsch. Gerichte beurteilen den Signaturkontext — Absicht, Identität, Integrität, Aufbewahrung — nicht allein die kryptografische Technik. Eine signierte PDF einer anerkannten Plattform plus dem Abschlusszertifikat wird routinemäßig zugelassen.
- „Digitale Signaturen, PKI-Signaturen und X.509-Signaturen sind verschiedene Dinge." Es ist weitgehend dasselbe. PKI (Public Key Infrastructure) ist das System, und X.509 ist das Zertifikatsformat. Die „digitale Signatur" ist das, was Sie produzieren, wenn Sie einen privaten Schlüssel aus einem X.509-Zertifikat verwenden, um einen Dokumenten-Hash zu signieren.
Was brauchen Sie tatsächlich
Der Entscheidungsrahmen ist kurz.
- Für routinemäßige Geschäftsverträge, NDAs, Stellenangebote, Lieferantenverträge, Verkaufsverträge, Mietverträge ohne Schriftformerfordernis: Eine plattformseitige elektronische Signatur eines anerkannten eSignatur-Anbieters reicht und ist das, was die überwiegende Mehrheit der Unternehmen einsetzt. Siehe unsere Plattform-Testberichte für die redaktionelle Bewertung.
- Für Verträge mit Schriftformerfordernis nach § 126 BGB (gewerbliche Mietverträge > 1 Jahr nach § 550 BGB, Maklerverträge mit Verbrauchern nach § 656a BGB, Bürgschaftserklärungen, Verbraucherdarlehen): Sie brauchen eine QES nach § 126a BGB. Plattformen mit nativer QES auf jedem Tarif: Sign.Plus (alle Stufen einschließlich Free). Plattformen mit QES auf höheren Tarifen: PandaDoc Enterprise, DocuSign Enhanced, Dropbox Sign Premium (Add-on).
- Für 21 CFR Part 11 oder HIPAA-regulierte Workflows: Verwenden Sie eine Plattform mit der entsprechenden Compliance-Stufe — DocuSign Enhanced, PandaDoc Enterprise (mit 21 CFR Part 11 Workspaces), Sign.Plus Enterprise (HIPAA + BAA) oder Dropbox Sign Premium.
- Für Grundstückskaufverträge, Erbverträge, bestimmte Eheverträge: Notarielle Beurkundung ist verpflichtend (§ 311b BGB, § 2231 BGB, § 1410 BGB). Weder elektronische noch digitale Signatur ersetzen die Beurkundung.
Wenn Sie Plattformen evaluieren oder zu entscheiden versuchen, welche Compliance-Stufe Sie tatsächlich brauchen, läuft der eSignatur-Kostenrechner Ihr Szenario gegen die wichtigsten Plattformen und liefert die günstigste passende Option. Für eine vertiefte Sicht auf die rechtlichen Rahmen pro Land deckt der Ratgeber zur Rechtsgültigkeit eIDAS, ESIGN, UETA und die wichtigsten Nicht-EU-Jurisdiktionen detailliert ab.
Die kürzeste Version der richtigen Antwort: Die meisten Unternehmen brauchen eine elektronische Signatur. Manche brauchen eine digitale Signatur. Zu wissen, welche Sie selbst brauchen, ist der Unterschied zwischen dem Kauf des richtigen Werkzeugs und dem Überengineering eines Problems, das Sie nicht haben.
