QTSP: qualifizierter Vertrauensdiensteanbieter

Qualified Trust Service Provider (QTSP)

Ein QTSP (Qualified Trust Service Provider, deutsch qualifizierter Vertrauensdiensteanbieter) ist ein Unternehmen oder eine Stelle, die nach der EU-Verordnung eIDAS qualifizierte Vertrauensdienste erbringen darf, etwa qualifizierte Zertifikate für elektronische Signaturen. Den Status verleiht eine nationale Aufsichtsstelle, und der Anbieter wird in die Vertrauensliste seines Mitgliedstaats eingetragen.

Ohne QTSP gibt es keine qualifizierte elektronische Signatur (QES).

Was ist ein Qualified Trust Service Provider (QTSP)?

Vertrauensdienste sind elektronische Dienste, die Identität, Herkunft und Unversehrtheit digitaler Vorgänge belegen. Die eIDAS-Verordnung (EU) Nr. 910/2014 regelt sie seit dem 1. Juli 2016 einheitlich für die gesamte EU. Wer solche Dienste erbringt, ist ein Vertrauensdiensteanbieter (Trust Service Provider, TSP). Erfüllt ein Anbieter zusätzlich die strengen Anforderungen der Verordnung an qualifizierte Dienste und hat ihm die Aufsichtsstelle diesen Status verliehen, ist er ein QTSP.

Zu den Vertrauensdiensten nach eIDAS gehören unter anderem:

• Zertifikate für elektronische Signaturen (für natürliche Personen)
• Zertifikate für elektronische Siegel (für Unternehmen und Behörden)
• Elektronische Zeitstempel
• Dienste für die Zustellung elektronischer Einschreiben
• Zertifikate für die Website-Authentifizierung
• Validierung und Bewahrung von Signaturen und Siegeln

Mit der Reform durch eIDAS 2.0 sind weitere qualifizierte Dienste hinzugekommen, etwa die elektronische Archivierung und elektronische Attributsbescheinigungen, also digital bestätigte Angaben wie ein Abschluss oder eine Berufszulassung.

Ein QTSP muss nicht alle Dienste anbieten. Qualifiziert ist immer der einzelne Dienst: Ein Anbieter kann zum Beispiel qualifizierte Signaturzertifikate ausstellen, aber nicht-qualifizierte Zeitstempel.

Was ist der Unterschied zwischen einem Trust Service Provider (TSP) und einem Qualified Trust Service Provider (QTSP)?

Die umgekehrte Beweislast bei der Haftung (Art. 13 eIDAS) ist einer der Gründe, warum qualifizierte Dienste teurer sind: Im Streitfall muss der QTSP nachweisen, dass er nicht schuldhaft gehandelt hat.

Rolle des QTSP bei der qualifizierten elektronischen Signatur

Eine QES setzt nach eIDAS zwei Dinge voraus: ein qualifiziertes Zertifikat, das ein QTSP ausstellt, und eine qualifizierte Signaturerstellungseinheit, also eine sichere Signaturerstellungseinheit wie eine Signaturkarte oder ein zertifiziertes Hardware-Sicherheitsmodul. Heute läuft die QES meist als Fernsignatur: Der Schlüssel liegt im Rechenzentrum des QTSP, und die unterzeichnende Person gibt die Signatur per App, Code oder PIN frei.

Der Ablauf sieht in der Regel so aus:

1. Identifizierung: Bevor der QTSP ein qualifiziertes Zertifikat ausstellt, prüft er die Identität der Person, zum Beispiel per Ausweis-Online-Funktion, Video-Ident oder persönlich.
2. Zertifikat: Der QTSP stellt ein qualifiziertes Zertifikat aus, das den öffentlichen Schlüssel mit dieser Person verknüpft. Die technische Grundlage ist eine Public-Key-Infrastruktur.
3. Signatur: Die Person löst die Signatur aus. Das Dokument wird mit ihrem privaten Schlüssel signiert, und jede spätere Änderung wird erkennbar.
4. Prüfung: Der Empfänger kann über die Vertrauensliste prüfen, ob das Zertifikat von einem QTSP stammt und zum Zeitpunkt der Signatur gültig war.

Nach Art. 25 Abs. 2 eIDAS hat eine QES die gleiche Rechtswirkung wie eine handschriftliche Unterschrift, und sie wird in allen Mitgliedstaaten anerkannt. In Deutschland ersetzt sie die gesetzliche Schriftform, wo das Gesetz die elektronische Form zulässt (§ 126a BGB).

Qualified Trust Service Provider (QTSP): Zulassung, Aufsicht und Vertrauensliste

Um qualifizierter Anbieter zu werden, lässt sich ein Unternehmen von einer akkreditierten Konformitätsbewertungsstelle prüfen und reicht deren Bericht bei der nationalen Aufsichtsstelle ein. Erst wenn die Aufsichtsstelle den qualifizierten Status verliehen hat und der Dienst in der Vertrauensliste steht, darf der Anbieter ihn als qualifiziert anbieten. Er darf dann auch das EU-Vertrauenssiegel für qualifizierte Vertrauensdienste verwenden.

Wer beaufsichtigt QTSPs?

• Deutschland: Nach dem Vertrauensdienstegesetz (VDG) ist die Bundesnetzagentur Aufsichtsstelle für elektronische Signaturen, Siegel und Zeitstempel sowie für Einschreib- und Bewahrungsdienste. Sie führt auch die deutsche Vertrauensliste. Für Zertifikate zur Website-Authentifizierung ist das BSI zuständig.
• Österreich: Aufsichtsstelle nach dem Signatur- und Vertrauensdienstegesetz (SVG) ist die Telekom-Control-Kommission, die dafür die RTR-GmbH heranzieht.
• Schweiz: Die Schweiz ist nicht an eIDAS gebunden. Dort regelt das Bundesgesetz über die elektronische Signatur (ZertES) die qualifizierte Signatur, mit eigener Anerkennung der Anbieter.

Die EU-Vertrauensliste: Jeder Mitgliedstaat veröffentlicht eine Vertrauensliste (Trusted List) seiner qualifizierten Anbieter und Dienste. Die EU-Kommission bündelt sie und macht sie über den öffentlichen EU Trust List Browser durchsuchbar. Dort können Sie prüfen, ob ein Anbieter wirklich qualifiziert ist und für welche Dienste.

Warum muss ein Qualified Trust Service Provider (QTSP) auditiert werden?

Nach Art. 20 eIDAS wird jeder QTSP mindestens alle 24 Monate auf eigene Kosten von einer Konformitätsbewertungsstelle geprüft. Den Bericht muss er der Aufsichtsstelle innerhalb von drei Arbeitstagen vorlegen. Die Aufsichtsstelle kann außerdem jederzeit eine zusätzliche Prüfung anordnen.

Geprüft werden unter anderem:

• Identitätsprüfung: ob Personen zuverlässig identifiziert werden, bevor sie ein qualifiziertes Zertifikat erhalten
• Technik und Sicherheit: vertrauenswürdige Systeme und Produkte, Schutz der Schlüssel, Maßnahmen gegen Manipulation
• Personal und Organisation: geschultes Personal, klare Zuständigkeiten, Vier-Augen-Prinzip bei kritischen Vorgängen
• Widerruf und Nachweise: Zertifikate müssen bei Bedarf sofort gesperrt werden können, und Unterlagen werden auch nach Ende des Dienstes aufbewahrt
• Beendigungsplan: was mit Zertifikaten und Daten geschieht, falls der Anbieter seinen Dienst einstellt

Besteht ein Anbieter die Prüfung nicht und behebt er die Mängel nicht, kann ihm die Aufsichtsstelle den qualifizierten Status entziehen.

Beispiele für qualifizierte Vertrauensdiensteanbieter

In der EU sind weit über hundert qualifizierte Anbieter eingetragen. Beispiele sind D-Trust aus der Bundesdruckerei-Gruppe in Deutschland, A-Trust in Österreich, InfoCert in Italien sowie Anbieter wie Swisscom, Evrotrust oder Buypass, die ihre Dienste europaweit anbieten. Ob ein bestimmter Dienst qualifiziert ist, zeigt verbindlich nur die Vertrauensliste.

In fynk können Sie mit qualifizierten Anbietern wie D-Trust sign-me, InfoCert oder Swisscom Mobile ID sowie mit nationalen eIDs unterschreiben. Die Übersicht der Signaturmethoden zeigt alle Optionen, und das signierte PDF nennt die erreichte Signaturstufe. Wie fynk einfache, fortgeschrittene und qualifizierte Signaturen kombiniert, beschreibt die Seite zur eIDAS-Konformität.

eIDAS 2.0 und die EUDI-Wallet

Die Verordnung (EU) 2024/1183, kurz eIDAS 2.0, ist am 20. Mai 2024 in Kraft getreten. Sie verpflichtet jeden Mitgliedstaat, seinen Bürgerinnen und Bürgern eine Europäische Digitale Identitäts-Wallet (EUDI-Wallet) bereitzustellen. Die Frist dafür endet Ende 2026. Mit der Wallet sollen Nutzer sich ausweisen und qualifizierte elektronische Signaturen erstellen können, für natürliche Personen kostenlos.

Für QTSPs ändert sich dadurch viel: Sie bleiben die Stellen, die qualifizierte Zertifikate und Signaturdienste bereitstellen, werden aber zunehmend über die Wallet angesprochen statt über eigene Apps und Registrierungen. Was das für die Praxis bedeutet, lesen Sie in unserem Beitrag zur EUDI-Wallet und qualifizierten Signaturen.

Häufig gestellte Fragen zum QTSP

• Was bedeutet QTSP?

  QTSP steht für Qualified Trust Service Provider, auf Deutsch qualifizierter Vertrauensdiensteanbieter. Gemeint ist ein Anbieter, dem eine nationale Aufsichtsstelle nach der eIDAS-Verordnung den qualifizierten Status verliehen hat, zum Beispiel für die Ausstellung qualifizierter Zertifikate für elektronische Signaturen.

• Wer überwacht qualifizierte Vertrauensdiensteanbieter in Deutschland?

  Die Bundesnetzagentur. Sie ist nach dem Vertrauensdienstegesetz Aufsichtsstelle für elektronische Signaturen, Siegel, Zeitstempel sowie Einschreib- und Bewahrungsdienste und führt die deutsche Vertrauensliste. Für Zertifikate zur Website-Authentifizierung ist das BSI zuständig.

• Wie erkenne ich, ob ein Anbieter wirklich qualifiziert ist?

  Über die Vertrauensliste. Jeder Mitgliedstaat veröffentlicht eine Liste seiner qualifizierten Anbieter und Dienste, und die EU-Kommission macht alle Listen im EU Trust List Browser durchsuchbar. Achten Sie darauf, dass genau der Dienst als qualifiziert eingetragen ist, den Sie nutzen wollen.

• Brauche ich für eine QES immer einen QTSP?

  Ja. Eine qualifizierte elektronische Signatur beruht auf einem qualifizierten Zertifikat, und das darf nur ein QTSP ausstellen. Für einfache und fortgeschrittene elektronische Signaturen ist kein qualifizierter Anbieter nötig.

• Wie oft wird ein QTSP geprüft?

  Mindestens alle 24 Monate, auf eigene Kosten, durch eine akkreditierte Konformitätsbewertungsstelle. Den Prüfbericht muss der Anbieter der Aufsichtsstelle vorlegen. Die Aufsichtsstelle kann zusätzlich jederzeit eine Prüfung anordnen.