Worauf sollten Unternehmen bei der Auswahl eines Vertrauensdiensteanbieters achten?

Das erste Kriterium ist objektiv prüfbar: Der Anbieter muss auf der EU-Vertrauensliste als qualifizierter Vertrauensdiensteanbieter geführt sein. Ohne diesen Status kann er keine qualifizierten Signaturen ausstellen, unabhängig von der Produktqualität.

Darüber hinaus entscheiden Identifizierungsoptionen, Integrationstiefe, verfügbare Betriebsmodelle, der Rechtsraum des Anbieters und die vertraglich zugesicherte Verfügbarkeit. Der am häufigsten übersehene Punkt ist die Prüfbarkeit nach Vertragsende.

Die Prüfliste für die Anbieterauswahl:

• Qualifizierter Status: Eintrag auf der EU-Vertrauensliste, öffentlich und unabhängig nachprüfbar. Alles Weitere ist ohne diesen Punkt gegenstandslos.
• Unterstützte Signaturniveaus: Deckt der Anbieter EES, FES, QES und qualifizierte Siegel ab, oder nur einen Ausschnitt?
• Identifizierungsoptionen: Insbesondere eID-Signieren mit ID Austria und dem deutschen Personalausweis sowie Video-Ident als Rückfalloption.
• Integrationstiefe: Verfügbare APIs, fertige Anbindungen an gängige Systeme und Unterstützung für Hash-Signieren.
• Betriebsmodelle und Rechtsraum: Hosting-Standort, Betriebsformen sowie Sitz und Konzernstruktur des Anbieters.
• Verfügbarkeit und Support: Vertraglich zugesicherte Verfügbarkeit, öffentliche Statusseite und Supportzeiten.
• Langzeitprüfbarkeit: PAdES mit LTV und qualifizierten Zeitstempeln als Standard, nicht als kostenpflichtige Option.
• Preismodell und Skalierung: Wie verhält sich der Preis bei steigenden Volumina und zusätzlichen Anwendungsfällen?
• eIDAS-2.0-Bereitschaft: Ist die Unterstützung der EUDI Wallet vorgesehen, und wann?
• Ausstiegsszenario: Bleiben signierte Dokumente ohne den Anbieter prüfbar, oder ist der Nachweis proprietär abgelegt?

Der am häufigsten übersehene Punkt:

• Prüfbarkeit nach Vertragsende: Ein korrekt erzeugtes PAdES-Dokument mit LTV bleibt unabhängig vom Anbieter prüfbar — ein proprietär abgelegter Signaturnachweis nicht.
• Konkrete Nachfrage: Fragen Sie, welches Signaturformat erzeugt wird und ob die Prüfung ohne Zugang zur Plattform des Anbieters funktioniert.
• Vertragliche Verankerung: Format, Exportfähigkeit und Nachweisübergabe gehören in den Vertrag, nicht in die Produktbroschüre.

primesign ist ein in Graz ansässiger, gelisteter qualifizierter Vertrauensdiensteanbieter der CRYPTAS-Gruppe mit Standorten in Wien, Graz, Düsseldorf, Hengelo und Stockholm und globaler Reichweite über die Partnerschaft mit der eMudhra-Gruppe. Über OEM- und Reseller-Modelle können Integratoren sämtliche EU-Märkte mit einer einzigen Anbindung bedienen.