Häufige Fragen

OneSign ist eine Software für qualifizierte elektronische Signaturen (QES) nach der eIDAS-Verordnung. Organisationen nutzen sie im Browser-Dashboard oder über eine REST-Schnittstelle: Dokument hochladen, Unterzeichner wählen, Signaturfeld platzieren, signieren, herunterladen.

Dazu gehören die Bestellung qualifizierter Zertifikate für Ihre Mitarbeitenden, ein Audit-Trail zu jeder Signatur, Rollen, Zwei-Faktor-Anmeldung und eine monatliche Abrechnung.

Nein. OneSign ist Softwareanbieter und selbst kein Vertrauensdiensteanbieter. Die Identifizierung, die Ausstellung des qualifizierten Zertifikats und die Erstellung der Signatur übernimmt unser geprüfter Zertifikatsaussteller, ein qualifizierter Vertrauensdiensteanbieter unter staatlicher Aufsicht.

Für Organisationen, die Dokumente qualifiziert unterschreiben müssen: Telemedizin und Online-Ärzte, Praxen, MVZ und Kliniken, Software-Hersteller, Personalabteilungen sowie Kanzleien und Beratung.

OneSign richtet sich ausschließlich an Unternehmen, nicht an Verbraucher.

Stellen Sie eine Zugangsanfrage. Wir melden uns, klären Ihren Anwendungsfall und laden Sie anschließend in ein Konto ein.

Konten werden nur per Einladung angelegt. Eine offene Selbstregistrierung gibt es nicht.

Eine Signaturanfrage wird von genau einer Person mit ihrem eigenen qualifizierten Zertifikat unterschrieben. Abläufe mit mehreren Unterzeichnern in einer Anfrage bietet OneSign derzeit nicht an.

Website und Dashboard gibt es auf Deutsch und Englisch. E-Mails verschickt OneSign derzeit nur auf Deutsch.

Unser geprüfter Zertifikatsaussteller. Das ist ein qualifizierter Vertrauensdiensteanbieter mit Sitz in der EU, der in der EU-Vertrauensliste geführt wird, unter staatlicher Aufsicht steht und mindestens alle 24 Monate unabhängig geprüft wird.

Das Zertifikat wird auf den Namen der unterzeichnenden Person ausgestellt. Es ist ihr persönliches Zertifikat, nicht eines von OneSign.

Nein. OneSign nutzt die Fernsignatur: Der geheime Schlüssel liegt in einer qualifizierten Signaturerstellungseinheit beim Zertifikatsaussteller. Sie brauchen weder Chipkarte noch Kartenlesegerät.

Ihre Organisation bestellt das Zertifikat im Dashboard oder per API. Die Person erhält eine E-Mail mit einem Link zur Video-Identifizierung bei unserem geprüften Zertifikatsaussteller. Nach der Identifizierung sendet der Zertifikatsaussteller die Zugangsdaten direkt an die Person.

Die Person hinterlegt die Zugangsdaten verschlüsselt in OneSign und schaltet das Zertifikat mit einer Testsignatur frei. Ausführlich im Artikel Zertifikat und Video-Ident.

Einen gültigen Personalausweis oder Reisepass, ein Smartphone und Zugriff auf Ihr E-Mail-Postfach. Welche Ausweisdokumente im Einzelnen akzeptiert werden, legt der Zertifikatsaussteller fest.

Sie können das Zertifikat für die Laufzeit des Zertifikats nutzen. Die Laufzeit steht im Zertifikat und wird in OneSign angezeigt. Vor dem Ablauf erhält Ihre Organisation eine Warnung.

Ein qualifiziertes Zertifikat ist persönlich. Deshalb schließt der Zertifikatsinhaber für Ausstellung und Nutzung einen eigenen Vertrag mit dem Zertifikatsaussteller. Dessen Nutzungsbedingungen werden vor der Identifizierung angezeigt.

Nein. Das Zertifikat und die Zugangsdaten gehören allein dem Zertifikatsinhaber. Wer damit unterschreibt, unterschreibt in dessen Namen. Jede Person, die signieren soll, braucht ein eigenes Zertifikat.

Ja. Die qualifizierte elektronische Signatur hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift (Art. 25 Abs. 2 eIDAS). Sie ersetzt die gesetzliche Schriftform, soweit das Gesetz die elektronische Form nicht ausschließt (§§ 126 Abs. 3, 126a BGB).

Vor Gericht hat ein qualifiziert signiertes Dokument einen hohen Beweiswert (§ 371a ZPO).

Für Erklärungen, bei denen das Gesetz die elektronische Form ausschließt oder eine strengere Form verlangt. Beispiele: Kündigung und Aufhebungsvertrag eines Arbeitsverhältnisses (§ 623 BGB), Bürgschaften (§ 766 BGB), Schuldversprechen und Schuldanerkenntnisse (§§ 780, 781 BGB) und alles, was notarielle Beurkundung oder Beglaubigung verlangt.

Mehr im Artikel Rechtswirkung und Schriftform.

Ja. Eine QES aus einem Mitgliedstaat wird in allen anderen Mitgliedstaaten als QES anerkannt (Art. 25 Abs. 3 eIDAS). Welche Form ein Dokument braucht, regelt aber das jeweilige nationale Recht.

Nein. eRezept (GKV), eAU, KIM und ePA laufen ausschließlich über die Telematikinfrastruktur mit elektronischem Heilberufsausweis. OneSign ist keine Anwendung der Telematikinfrastruktur und ersetzt nicht den eHBA.

Elektronische Privatrezepte mit QES sind möglich. Ihre Akzeptanz durch Apotheken ist aber nicht garantiert. Mehr im Artikel QES im Gesundheitswesen.

Wenn das Gesetz für den Vertrag die Schriftform verlangt, ja: Beide Parteien müssen ein gleichlautendes Dokument qualifiziert signieren (§ 126a Abs. 2 BGB). Jede Partei braucht dann ein eigenes Zertifikat.

Bei formfreien Verträgen ist das nicht nötig. Die QES einer Seite bringt dann vor allem Beweiswert.

Nein. Unsere Inhalte dienen der allgemeinen Information. Ob eine QES für Ihr Dokument genügt, hängt von den geltenden Formvorschriften ab und ist im Einzelfall zu prüfen, im Zweifel mit anwaltlicher Beratung.

Beides ist möglich. Im Browser-Dashboard laden Sie PDFs hoch und signieren sie direkt. Über die REST-Schnittstelle binden Software-Hersteller und größere Organisationen OneSign an ihre eigenen Systeme an.

Im Dashboard signieren Sie PDF-Dateien bis 50 MB mit sichtbarem Signaturfeld; Dateien über 8 MB mit dem Niveau B oder T (T mit unserem qualifizierten Zeitstempel, sofern freigeschaltet); LT und LTA bis 8 MB. Über die Schnittstelle stehen zusätzlich die Formate CAdES für beliebige Dateien und XAdES für XML zur Verfügung.

PAdES, CAdES und XAdES in den Niveaus B, T, LT und LTA. Höhere Niveaus und qualifizierte Zeitstempel richten wir auf Anfrage ein. Was die Niveaus bedeuten, erklärt der Artikel Signaturformate und Niveaus.

Im Dashboard zeigt die Signaturliste zu jedem Vorgang einen Status-Verlauf. Über die Schnittstelle informieren Webhooks Ihr System über jeden Statuswechsel. Die Webhooks sind mit HMAC signiert.

Mit API-Schlüsseln, getrennt für Test- und Livebetrieb. Schlüssel lassen sich über Scopes auf bestimmte Aktionen und optional über eine IP-Freigabeliste auf bestimmte Adressen beschränken. OneSign speichert nur einen Hash des Schlüssels, nicht den Schlüssel selbst.

Idempotenz schützt vor doppelten Aufträgen, Rate-Limits vor Überlastung.

Eine Signaturprüfung ist auf Anfrage verfügbar. Einfache Prüfungen zeigen auch gängige PDF-Programme direkt an.

Die Speicherung erfolgt in der EU: Datenbank und Anmeldung in Frankfurt, Dokumente in einem Objektspeicher in der EU. Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt.

Mehr auf der Seite Sicherheit und Datenschutz.

Nur berechtigte Mitglieder Ihrer Organisation, gesteuert über Rollen. Die Daten jeder Organisation sind strikt voneinander getrennt. Download-Links laufen nach 15 Minuten ab, jeder Download wird protokolliert.

OneSign analysiert die Inhalte Ihrer Dokumente nicht, es findet keine Texterkennung statt.

Dokumente werden nach einer Frist gelöscht, die Ihre Organisation festlegt. Standard sind 90 Tage, möglich sind 7 bis 3650 Tage. Audit-Trail und Metadaten bleiben mindestens zehn Jahre erhalten, damit Signaturen nachvollziehbar bleiben.

Ja. Für die Dokumente und Unterzeichnerdaten Ihrer Organisation sind wir Auftragsverarbeiter. Wir schließen mit Ihnen einen Vertrag nach Art. 28 DSGVO. Berufsgeheimnisträgern bieten wir auf Wunsch zusätzlich eine Verschwiegenheitsverpflichtung nach § 203 StGB an.

Für die Identifizierung und das Zertifikat verarbeitet der Zertifikatsaussteller die Daten des Zertifikatsinhabers in eigener Verantwortung und informiert ihn selbst darüber. Zur Erstellung der Signatur übermittelt OneSign die dafür erforderlichen Daten an den Zertifikatsaussteller.

Sie werden mit AES-256-GCM verschlüsselt gespeichert und nie in Protokolle geschrieben. Die Anmeldung am Dashboard kann mit einem zweiten Faktor abgesichert werden, auf Wunsch verpflichtend für die ganze Organisation.

Die Preise nennen wir auf Anfrage. Sie richten sich nach Ihrer Nutzung. Fragen Sie ein Angebot an.

Abgerechnet wird nutzungsbasiert, im Wesentlichen für Signaturen und für qualifizierte Zertifikate. Welche Posten für Ihre Organisation gelten, steht in Ihrem individuellen Angebot.

Sie erhalten eine monatliche Rechnung. Im Dashboard sehen Sie jederzeit eine Kostenübersicht für den laufenden Monat und frühere Rechnungen.

Ja. Im Testmodus läuft der gesamte Ablauf durch, ohne echte Kosten und ohne echte qualifizierte Signaturen. So können Sie Dashboard und Schnittstelle in Ruhe ausprobieren.

Nein. Nach der Einladung können Sie direkt im Testmodus beginnen. Für die Anbindung per Schnittstelle stehen eine interaktive API-Referenz und getrennte Testschlüssel bereit.