Qualifizierte elektronische Signatur in der Schweiz: ZertES, eIDAS und was KMU wirklich brauchen

Nicht alle digitalen Signaturen sind gleich. In der Schweiz und der EU gibt es einen klaren rechtlichen Unterschied zwischen Signaturtypen — und wer diesen Unterschied nicht kennt, riskiert, in einem Rechtsstreit mit einer rechtlich unwirksamen Signatur dazustehen.

Dieser Beitrag erklärt, was eine qualifizierte elektronische Signatur (QES) ist, welche Gesetze sie regeln und warum Swiss Trust Layer die einfachste Möglichkeit ist, diesen Standard zu erreichen.

Die drei Signatur-Ebenen

Sowohl ZertES als auch eIDAS unterscheiden drei Signaturtypen:

Einfache elektronische Signatur (EES): Ein gescanntes Bild Ihrer Unterschrift oder ein eingefügtes Bild. Kein kryptographischer Schutz. Keine rechtliche Gleichwertigkeit mit einer handschriftlichen Unterschrift.

Fortgeschrittene elektronische Signatur (FES): Kryptographisch mit dem Unterzeichner verknüpft und nachträglich erkennbar, falls das Dokument verändert wurde. Ausreichend für viele Geschäftsprozesse, aber nicht rechtlich gleichwertig mit einer handschriftlichen Unterschrift vor Gericht.

Qualifizierte elektronische Signatur (QES): Der höchste Standard. Ausgestellt von einem akkreditierten Zertifizierungsdiensteanbieter (ZDA/TSP). Rechtlich gleichwertig mit einer handschriftlichen Unterschrift unter schweizerischem und EU-Recht. Umkehrung der Beweislast.

ZertES: Das Schweizer Gesetz

ZertES — Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur (SR 943.03) — legt fest, welche Bedingungen eine Signatur erfüllen muss, um als QES nach Schweizer Recht zu gelten.

Artikel 2 ZertES definiert: Ein Zertifizierungsdiensteanbieter muss vom BAKOM (Bundesamt für Kommunikation) akkreditiert sein. Swisscom Trust Services ist ein solcher akkreditierter ZDA. Jede durch Swisscom ausgestellte QES ist vor Schweizer Gerichten rechtlich bindend und gleichwertig mit einer handschriftlichen Unterschrift.

Besonders wichtig: ZertES-QES sind auf die Schweizer Rechtsordnung ausgerichtet. Sie gelten vor Schweizer Behörden, in Schweizer Gerichten und für Verträge, die Schweizer Recht unterliegen.

eIDAS: Das EU-Pendant

Die eIDAS-Verordnung (EU Nr. 910/2014) schafft den Rahmen für elektronische Signaturen in allen 27 EU-Mitgliedstaaten. Für Unternehmen mit EU-Kunden oder grenzüberschreitenden Transaktionen ist sie unverzichtbar.

eIDAS Artikel 25 setzt fest: Eine qualifizierte elektronische Signatur hat dieselbe Rechtswirkung wie eine handschriftliche Unterschrift in allen EU-Mitgliedstaaten. Artikel 41 geht noch weiter: Er gewährt qualifizierten elektronischen Zeitstempeln eine gesetzliche Vermutung. Datum, Uhrzeit und Datenintegrität gelten als korrekt — bis das Gegenteil bewiesen wird.

Diese Umkehrung der Beweislast ist in Streitfällen entscheidend. Nicht Sie müssen beweisen, dass der Zeitstempel korrekt ist — die Gegenpartei muss beweisen, dass er falsch ist.

Swisscom Trust Services ist auf der EU Trust List als QTSP (Qualified Trust Service Provider) gelistet. Swisscom-Signaturen und -Zeitstempel sind damit in allen 27 EU-Mitgliedstaaten gültig.

ZertES vs. eIDAS im Überblick

Geltungsbereich: ZertES gilt für die Schweiz; eIDAS für die EU-27.

Aussteller: ZertES erfordert BAKOM-Akkreditierung; eIDAS erfordert EU Trust List Eintragung.

Zeitstempel-Vermutung: Beide Standards bieten gesetzliche Vermutung für Qualifizierte Zeitstempel.

Gegenseitige Anerkennung: Swisscom ist für beide zertifiziert — ein Dokument deckt beide Jurisdiktionen ab.

Warum Swiss Trust Layer die Lösung ist

Die direkte Nutzung einer QES ist historisch komplex: Identitätsprüfung, ZDA-Verträge, Zertifikatsmanagement. Swiss Trust Layer abstrahiert diese Komplexität vollständig.

Sie laden eine Datei hoch. Das System erstellt einen kryptographischen SHA-256-Hash, verankert ihn über Swisscom Trust Services (ZertES + eIDAS), und gibt Ihnen ein PAdES-konformes Zertifikat zurück. Der gesamte Vorgang dauert unter zwei Minuten. Das Zertifikat ist direkt vor Gericht verwendbar — in der Schweiz, der EU und in 180+ Ländern über die Berner Übereinkunft.

Der nDSG (neue Datenschutzgesetz, in Kraft seit September 2023) verlangt zudem, dass personenbezogene Daten sicher und nachvollziehbar verarbeitet werden. Swisscom-Infrastruktur, in der Schweiz gehostet, erfüllt diese Anforderung.

Der QES-Workflow mit Swiss Trust Layer im Detail

Ein häufiges Missverständnis ist, dass die Nutzung einer qualifizierten elektronischen Signatur technisches Know-how oder komplexe Softwareinstallationen erfordert. Mit Swiss Trust Layer ist das nicht der Fall.

Schritt 1 — Datei vorbereiten und hochladen.

Laden Sie die zu signierende oder zeitstempelnde Datei auf swisstrustlayer.com hoch. Unterstützt werden alle gängigen Formate: PDF, DOCX, XLSX, JPG, PNG, ZIP, IFC, DWG, MP3, WAV und weitere. Die maximale Dateigrösse ist nicht beschränkt. Wichtig: Die Datei selbst verlässt Ihre Kontrolle nicht — nur ihr kryptographischer SHA-256-Hash wird an Swisscom übertragen.

Schritt 2 — Identitätsverknüpfung.

Ihr Swiss Trust Layer-Konto ist mit einer verifizierten Identität verknüpft. Dieser Schritt ist entscheidend, damit die QES-Anforderung der Identifizierbarkeit des Unterzeichners (ZertES Art. 2, eIDAS Art. 26) erfüllt wird. Keine anonyme Nutzung — das Zertifikat benennt den Inhaber.

Schritt 3 — Zeitstempelung durch Swisscom Trust Services.

Swiss Trust Layer übermittelt den SHA-256-Hash an Swisscom Trust Services. Swisscom — als BAKOM-akkreditierter ZDA und eIDAS-QTSP — verankert den Hash in seiner Zertifizierungsinfrastruktur und gibt einen qualifizierten Zeitstempel zurück. Dieser Zeitstempel enthält: den Hash Ihrer Datei, den Zeitpunkt der Anfrage (UTC), die Swisscom-Zertifikatskette und eine kryptographische Signatur, die jede nachträgliche Manipulation erkennbar macht.

Schritt 4 — Ausstellung des PAdES-Zertifikats.

Sie erhalten ein PAdES-konformes (PDF Advanced Electronic Signature) Zertifikat, das alle Bestandteile des Zeitstempels enthält. Dieses Format wird von Gerichten, Notaren und Behörden in der Schweiz und der EU direkt akzeptiert.

Schritt 5 — Öffentliche Verifikation.

Jede versiegelte Datei kann unter swisstrustlayer.com/validate verifiziert werden — ohne Login, ohne Kontaktaufnahme mit Swiss Trust Layer. Der Verifizierende lädt lediglich die Originaldatei hoch; das System prüft, ob der SHA-256-Hash mit dem im Zertifikat gespeicherten übereinstimmt. Stimmt er überein, ist die Integrität der Datei seit dem Zeitstempel bewiesen.

Diese Architektur macht Swiss Trust Layer zu einem gerichtsfesten Nachweisinstrument, das keine Abhängigkeit von einer Datenbank oder einem zentralen Dienst erzeugt: Der Nachweis liegt im Zertifikat selbst.

Für wen ist eine QES relevant?

Für jedes Unternehmen, das Verträge digital abschliesst, IP-Rechte dokumentiert, in regulierten Branchen tätig ist (Finanz, Gesundheit, Recht), oder grenzüberschreitend mit EU-Partnern arbeitet.

Ist eine QES für jeden Vertrag notwendig?

Nein. Für viele Alltagsverträge reicht eine FES. Für Verträge mit hohem Streitwert, regulatorischen Anforderungen oder komplexen IP-Verhältnissen ist eine QES der richtige Standard.

Wie viel kostet es?

Swiss Trust Layer bietet Seal Credits Lite ab CHF 5 pro Jahr. Unternehmenspläne sind verfügbar.

Was passiert mit meiner Datei?

Nur der kryptographische Hash wird an Swisscom übermittelt. Ihre Datei verlässt nie Ihre Kontrolle. Swiss Trust Layer speichert keine Inhalte — nur den Nachweis der Existenz.

Starten Sie noch heute: swisstrustlayer.com