Digitale Unterschrift erstellen — Verträge online unterzeichnen

Die eIDAS-Verordnung kennt drei Stufen elektronischer Signaturen: einfach, fortgeschritten und qualifiziert. Eine einfache Signatur ist alles, was eine Person als ihre Zustimmung erkennen lässt — ein Häkchen, eine getippte Zustimmung, ein Bild der eigenen Unterschrift. Sie ist für die meisten alltäglichen Geschäftsvorgänge ausreichend, etwa interne Genehmigungen, Bestellbestätigungen oder Mietverträge im B2B.

Für höhere Anforderungen brauchen Sie fortgeschrittene oder qualifizierte Signaturen. Diese erfordern eine eindeutige Identifikation des Unterzeichners und eine Verbindung mit einem Zertifikat, das nur diese Person kontrolliert. Solche Signaturen werden über externe Provider wie DocuSign, Sign-Live, D-Trust oder Bundesdruckerei abgewickelt — bauen Sie diese nicht selbst nach. Im eigenen Formular ist die einfache Signatur durch Tippen oder Zeichnen die richtige Wahl. Wer mehr braucht, sollte bei den genannten Providern eine entsprechende Lösung einbinden und im Workflow als Zwischenschritt nutzen.

Eine einfache Signatur kann auf zwei Wegen erfasst werden: durch Tippen des Namens in ein Textfeld oder durch Zeichnen mit der Maus oder dem Finger auf einem Canvas-Element. Beide Varianten sind rechtlich gleichwertig im Sinne einer einfachen elektronischen Signatur. Bauen Sie beide Optionen ein und lassen Sie den Nutzer wählen — am Smartphone funktioniert das Zeichnen besser, am Desktop oft das Tippen.

Kombinieren Sie die Signatur mit Pflichtangaben, die den Unterzeichner eindeutig identifizieren: Name, Datum (wird automatisch gesetzt), E-Mail (wird per Verifizierungslink bestätigt). Diese Trias macht die Signatur belastbar. Bauen Sie zusätzlich eine Prüfung der Angaben ein: vor dem finalen Klick auf „Unterzeichnen" zeigen Sie eine Zusammenfassung, was unterzeichnet wird und mit welchen Daten. Eine doppelte Bestätigung („Ich bestätige, dass die Angaben korrekt sind und ich rechtlich befugt bin zu unterzeichnen") senkt das Risiko fehlerhafter Signaturen deutlich. Halten Sie das User-Interface minimal — der Fokus liegt auf der Unterschrift, nicht auf Marketing-Elementen.

Bei einer einfachen elektronischen Signatur entscheidet im Streitfall die Beweiskraft. Ohne sauberen Audit-Trail steht Aussage gegen Aussage. Erfassen Sie deshalb pro Signatur mindestens sieben Felder: Wer hat unterzeichnet (Name, E-Mail), wann (Zeitstempel auf die Sekunde genau), was wurde unterzeichnet (Dokument-Hash, nicht nur Dokumenttitel), aus welcher IP-Adresse, mit welchem Browser/Gerät, in welcher Version Ihrer AGB und mit welchem Bestätigungspfad (etwa „E-Mail-Verifizierungslink um 14:23 Uhr geklickt").

Speichern Sie diesen Audit-Trail unveränderbar — Append-only, idealerweise mit kryptografischer Integritätsprüfung pro Eintrag. Verknüpfen Sie ihn fest mit dem signierten Dokument, etwa als zusätzliche Seite im PDF oder als Anhang in derselben Datei. Wer Jahre später die Echtheit der Signatur bezweifelt, bekommt damit eine vollständige Rekonstruktion der damaligen Umstände. Diese Sorgfalt unterscheidet eine ernstzunehmende E-Signatur von einem reinen Häkchen, das vor Gericht nichts wert ist. Erlauben Sie berechtigten Personen Zugriff auf den Audit-Trail, ohne dass dieser veränderbar wird.

Eine signierte Vereinbarung ist erst dann nützlich, wenn sie auch wieder auffindbar ist. Definieren Sie deshalb von Anfang an eine saubere Ablage-Struktur. Pro Signatur entstehen mindestens zwei Artefakte: das signierte PDF mit eingebettetem Audit-Trail und ein Datenbank-Eintrag mit Metadaten (Vertragstyp, Vertragspartner, Status, Laufzeit). Beide gehören in eine zentrale Vertragsverwaltung — sei es ein dediziertes Tool wie ContractHero oder ein gut organisiertes Verzeichnis im DMS.

Triggern Sie nach Abschluss der Signatur per Webhook die Ablage. Senden Sie zusätzlich automatisch eine Kopie an den Unterzeichner per E-Mail, idealerweise als PDF-Anhang. Bei Verträgen mit Laufzeit oder Kündigungsfrist legen Sie eine Wiedervorlage im Kalender an, damit Sie die Frist nicht verpassen. Definieren Sie Aufbewahrungsfristen nach gesetzlichen Vorgaben — in Deutschland gelten für Geschäftsbriefe und Verträge in der Regel sechs bis zehn Jahre. Nach Ablauf gehören die Daten DSGVO-konform gelöscht. Bauen Sie diesen Lebenszyklus von Anfang an mit, dann müssen Sie später keine teuren Aufräumprojekte starten.