Wer in Paraguay elektronisch unterschreiben will, stößt schnell auf Begriffe wie elektronische Signatur, qualifizierte elektronische Signatur, F1, F2, F3, Chip-Cédula oder Identidad Electrónica. Der sinnvollere Ausgangspunkt ist aber nicht die Technik, sondern eine einfachere Frage: Was wollen Sie tatsächlich tun?
Die kurze Antwort: Welche Lösung brauche ich?
| Anwendungsfall | Der praktische Ausgangspunkt |
|---|---|
| Bei Portal Paraguay und angebundenen staatlichen Diensten anmelden | Identidad Electrónica. Das ist das staatliche Zugangskonto. Für das Login allein brauchen Sie kein qualifiziertes Signaturzertifikat. |
| Elektronische Rechnungen über e-Kuatia’i ausstellen | Kostenloses qualifiziertes Signaturzertifikat der Dirección Nacional de Ingresos Tributarios (DNIT), der paraguayischen Steuerverwaltung. Die DNIT stellt es für diesen Rechnungsweg bereit. |
| e-Kuatia mit eigener Rechnungssoftware nutzen | Qualifiziertes Steuerzertifikat eines zugelassenen Vertrauensdiensteanbieters. In der Praxis ist F1 dafür ein verbreitetes Modell. |
| Dokumente im Portable Document Format (PDF), Verträge oder Erklärungen qualifiziert unterschreiben | F2 oder F3. F2 hält den Schlüssel auf einem qualifizierten Gerät beim Nutzer; F3 ermöglicht eine zentral verwaltete Fernsignatur. |
| Mit der paraguayischen Chip-Cédula unterschreiben | F2-Zertifikat des Ministerio del Interior auf dem Chip der Cédula. |
| Ein bestimmtes Behörden- oder Unternehmenssystem nutzen | Die veröffentlichten Anforderungen dieses Verfahrens sind maßgeblich. Nicht jedes System akzeptiert automatisch jeden Zertifikatstyp. |
Damit sind die häufigsten Fälle bereits beantwortet. Trotzdem lohnt es sich, F1, F2 und F3 zu verstehen, weil die drei Typen unmittelbar bestimmen, wo der Signaturschlüssel liegt, wie lange das Zertifikat laufen kann und welche laufenden Kosten entstehen.
Elektronische Signatur und qualifizierte Signatur sind nicht dasselbe
Das Gesetz Nr. 6822/2021 definiert elektronische Signaturen bewusst weit. Eine elektronische Signatur darf nicht allein deshalb rechtlich oder als Beweismittel abgelehnt werden, weil sie elektronisch ist oder nicht die Anforderungen einer qualifizierten Signatur erfüllt.
Die qualifizierte elektronische Signatur hat jedoch eine stärkere ausdrücklich geregelte Wirkung: Artikel 39 stellt sie rechtlich einer handschriftlichen Unterschrift gleich.
Das bedeutet nicht, dass jedes Rechtsgeschäft automatisch elektronisch abgeschlossen werden kann. Besondere gesetzliche Formvorschriften können weiterhin gelten. Wo elektronische Form zulässig ist und eine qualifizierte Signatur verlangt oder verwendet wird, gibt das Gesetz dieser Signatur jedoch die ausdrücklich geregelte Gleichstellung mit der handschriftlichen Unterschrift.
e-Kuatia’i: Die DNIT gibt die Lösung bereits vor
Für kleine elektronische Rechnungssteller ist die Antwort besonders klar. Die Dirección Nacional de Ingresos Tributarios (DNIT) stellt Nutzern von e-Kuatia’i ein qualifiziertes elektronisches Signaturzertifikat kostenlos bereit.
e-Kuatia’i ist die kostenlose elektronische Rechnungslösung der DNIT für kleine Steuerpflichtige mit einem Betrieb und einem Ausgabepunkt. Das qualifizierte Zertifikat gehört zu den Voraussetzungen für die Nutzung des Systems.
Wer e-Kuatia’i nutzt, muss deshalb weder einen privaten Anbieter auswählen noch zunächst ein kommerzielles F1-Zertifikat kaufen. Der vorgesehene Weg ist das kostenlose DNIT-Zertifikat.
e-Kuatia mit eigener Software: Zertifikat selbst beschaffen
Für e-Kuatia sieht der Weg anders aus. Dieses Modell richtet sich an Unternehmen, die ihre eigene Software für die Übermittlung elektronischer Steuerdokumente an das Sistema Integrado de Facturación Electrónica Nacional (SIFEN), das nationale System für elektronische Rechnungsstellung, einsetzen.
Hier verlangt die DNIT ein qualifiziertes Zertifikat eines vom Ministerium für Industrie und Handel zugelassenen Vertrauensdiensteanbieters.
In diesem Bereich begegnet Unternehmen besonders häufig F1. Nach der aktuellen paraguayischen Zertifizierungspolitik ist F1 die Variante, bei der der private Schlüssel in einem Software-Modul liegt. Das Zertifikat darf höchstens ein Jahr gültig sein. Wer dauerhaft damit Rechnungen signiert, muss deshalb spätestens nach einem Jahr ein erneuertes beziehungsweise neu ausgestelltes Zertifikat haben.
Als aktuelles Marktbeispiel nennt die elektronische Rechnungsplattform GOEKUA für ein F1-Zertifikat einen Preis von ₲350.000 und ausdrücklich eine jährliche Erneuerung. Das ist ein kommerzielles Beispiel und kein staatlich festgelegter Tarif.
Allgemeine Dokumente unterschreiben: die Chip-Cédula
Für Verträge, Erklärungen, Anträge, Genehmigungen, Formulare und andere Dokumente bietet die paraguayische Chip-Cédula einen konkreten Weg zur qualifizierten Signatur.
Das Ministerio del Interior ist über das Departamento de Identificaciones der Policía Nacional als qualifizierter Vertrauensdiensteanbieter zugelassen. Das auf der Cédula verwendete Zertifikat ist in der offiziellen Vertrauensliste als Typ F2 eingetragen.
Eine Cédula mit Chip bedeutet allerdings nicht automatisch, dass das Signaturzertifikat bereits installiert ist.
Wer bereits eine Chip-Cédula besitzt, kann mit einem Smartcard-Leser prüfen, ob das Zertifikat vorhanden ist. Das System sollte unter anderem Name des Inhabers, Aussteller, Seriennummer und Gültigkeitszeitraum anzeigen. Ohne Leser kann die Prüfung nach den aktuellen Informationen von Portal Paraguay auch bei Identificaciones erfolgen.
Ist noch kein Zertifikat installiert, kann die Installation bei Identificaciones beantragt werden. Portal Paraguay gibt an, dass die Installation auf einer bestehenden Chip-Cédula derzeit keine zusätzliche Gebühr kostet. Muss die Cédula selbst erneuert werden, fällt dagegen der normale Preis des Dokumententrámites an.
Wer eine neue Chip-Cédula beantragt oder erneuert, sollte ausdrücklich das qualifizierte Signaturzertifikat verlangen. Bei der Abholung wird ein vierstelliger persönlicher Identifikationscode (PIN) eingerichtet, der später zum Auslösen der Signatur benötigt wird.
Was braucht man zum Signieren eines PDFs?
Die Cédula allein genügt nicht. Nach den offiziellen Anleitungen braucht der Nutzer:
- eine Chip-Cédula mit aktivem qualifiziertem Zertifikat;
- den vierstelligen PIN;
- einen Computer oder ein Notebook;
- einen kompatiblen Smartcard-Leser;
- die erforderlichen Treiber und die Smartcard-Software;
- die Zertifikate der paraguayischen Public-Key-Infrastruktur (PKI), also der öffentlichen Zertifikatsinfrastruktur;
- eine kompatible Signaturanwendung wie Adobe Acrobat Reader oder JSignPDF.
Identificaciones stellt Software für Windows, macOS und Linux sowie die benötigten paraguayischen Zertifikate und eine Validierungsanleitung bereit.
So wird ein PDF mit der Chip-Cédula signiert
- Smartcard-Leser anschließen.
- Cédula einlegen und prüfen, ob das Zertifikat erkannt wird.
- PDF in einer kompatiblen Anwendung öffnen.
- Die Funktion zum digitalen Signieren beziehungsweise Signieren mit einem Zertifikat wählen.
- Das Zertifikat des Ministerio del Interior auswählen.
- Dokument speichern.
- Den vierstelligen PIN eingeben.
Entscheidend ist nicht das sichtbare Bild einer Unterschrift im PDF. Die eigentliche Signatur besteht aus kryptografischen Daten, die mit dem Dokument verbunden werden. Ein eingescanntes Autogramm allein macht ein PDF nicht zu einem qualifiziert signierten Dokument.
F1, F2 und F3: Warum gibt es überhaupt drei Typen?
F1, F2 und F3 sind nicht drei Stufen nach dem Muster „wenig, mittel und besonders rechtsgültig“. Die Nummer beschreibt vor allem, wie der private Signaturschlüssel geschützt und gespeichert wird.
Genau dieser Punkt erklärt, warum die drei Varianten existieren:
| Typ | Wo liegt der private Schlüssel? | Was bedeutet das praktisch? | Maximale Laufzeit |
|---|---|---|---|
| F1 | In einem Software-Modul | Kein eigener qualifizierter Hardware-Token nötig. Unter der aktuellen Zertifizierungspolitik insbesondere für qualifizierte Steuerzertifikate vorgesehen, etwa in elektronischen Steuerprozessen. | 1 Jahr |
| F2 | Auf einem qualifizierten Gerät beim Nutzer | Typischerweise Smartcard oder kryptografischer Token. Der private Schlüssel bleibt auf dem Gerät. Die Chip-Cédula ist ein F2-Beispiel. | bis zu 4 Jahre |
| F3 | Auf einem zentralisierten qualifizierten Gerät beim Anbieter | Der Anbieter schützt den Schlüssel in seiner qualifizierten Infrastruktur. Der Nutzer authentifiziert sich und löst die Signatur aus der Ferne aus. Kein eigener Token oder Kartenleser erforderlich. | bis zu 4 Jahre |
Die aktuelle Zertifizierungspolitik unterscheidet dabei auch nach Verwendung: Für allgemeine qualifizierte elektronische Signaturen sind F2 und F3 vorgesehen. Für qualifizierte Steuerzertifikate können F1, F2 oder F3 verwendet werden. Das erklärt, warum F1 besonders häufig im Umfeld elektronischer Rechnungen auftaucht, während F2 und F3 auch für allgemeine Dokumentensignaturen angeboten werden.
F3 ist deshalb nicht „rechtsgültiger“ als F2. Der wesentliche Unterschied ist, wer das qualifizierte Gerät kontrolliert: bei F2 der Nutzer selbst, bei F3 der Anbieter zentral. F1 verzichtet dagegen auf dieses qualifizierte Hardware-Modell und verwendet einen Software-Schlüssel für den vorgesehenen Steuerbereich.
Wie viel kostet das praktisch?
Es gibt keinen einheitlichen Preis für eine elektronische Signatur. Die Kosten hängen stark vom Typ und vom Anbieter ab. Folgende aktuelle Beispiele wurden am 3. Oktober 2026 überprüft:
| Variante | Aktuelles Beispiel | Laufzeit / Umfang |
|---|---|---|
| e-Kuatia’i | kostenlos über die DNIT | Für den vorgesehenen e-Kuatia’i-Prozess |
| F1 Steuerzertifikat | GOEKUA: ₲350.000 | 1 Jahr, danach Erneuerung erforderlich |
| F2 Hardware-Token | Dígito/Documenta: ₲440.000 | 2 Jahre, unbegrenzt viele Signaturen während der Laufzeit |
| F3 Fernsignatur | Dígito/Documenta: ₲440.000 | 4 Jahre, Paket mit 50 Signaturen; weitere Signaturen können hinzugekauft werden |
| F2 auf vorhandener Chip-Cédula | Installation derzeit ohne zusätzliche Gebühr | Smartcard-Leser muss der Nutzer selbst beschaffen; bei erforderlicher Cédula-Erneuerung fällt der normale Dokumentenpreis an |
Die privaten Preise sind Beispiele, keine amtlichen Tarife. Sie können sich ändern und unterschiedliche Leistungen umfassen. Besonders F2 und F3 lassen sich deshalb nicht allein über den Kaufpreis vergleichen: Beim genannten F2-Angebot sind die Signaturen zwei Jahre lang unbegrenzt, beim F3-Angebot sind 50 Signaturen im Paket enthalten.
Muss das Zertifikat jedes Jahr erneuert werden?
Nicht jedes Zertifikat – aber F1 tatsächlich spätestens nach einem Jahr. Das ist wahrscheinlich die Ursache für die verbreitete Vorstellung, elektronische Signaturzertifikate müssten in Paraguay generell jährlich erneuert werden.
Die aktuelle paraguayische Zertifizierungspolitik setzt folgende Höchstlaufzeiten:
- F1: maximal 1 Jahr;
- F2: maximal 4 Jahre;
- F3: maximal 4 Jahre.
Ein Anbieter darf eine kürzere Laufzeit verkaufen. Genau das zeigt das aktuelle Marktbeispiel von Dígito/Documenta: Das F2-Produkt läuft zwei Jahre, obwohl die technischen Regeln bis zu vier Jahre erlauben; das angebotene F3 nutzt die vollen vier Jahre.
Das Ablaufdatum sollte deshalb nie aus dem Typ allein geschätzt werden. Es steht im konkreten Zertifikat. Unternehmen sollten dieses Datum wie den Ablauf einer Lizenz oder eines wichtigen Vertrags überwachen und die Erneuerung rechtzeitig einplanen.
Nach Ablauf kann das Zertifikat nicht mehr für neue Signaturen verwendet werden. Das kann bei einem Zertifikat für SIFEN unmittelbar die Rechnungsstellung beeinträchtigen. Bei der Chip-Cédula verweist Identificaciones Nutzer mit abgelaufenem Zertifikat zurück an seine Servicestellen, um die Erneuerung durchzuführen.
Ein späterer Ablauf macht jedoch nicht automatisch eine früher erzeugte Signatur ungültig. Für die Validierung ist insbesondere entscheidend, ob das Zertifikat im Zeitpunkt der Signatur gültig war.
Wer darf qualifizierte Zertifikate ausstellen?
Das Ministerium für Industrie und Handel führt die offizielle Vertrauensliste der qualifizierten Vertrauensdiensteanbieter. Dort sind derzeit sieben Anbieter für qualifizierte elektronische Signaturzertifikate aufgeführt: VIT S.A., CODE100 S.A., Documenta S.A., Ministerio del Interior, Confirma S.A., ITTI S.A.E.C.A. und SOS Tecnología y Gestión de Información Ltda.
Nicht jeder Anbieter ist für jeden Typ zugelassen. Die aktuelle Vertrauensliste zeigt deshalb ausdrücklich, ob ein Anbieter F1, F2 und/oder F3 ausstellen darf. Diese Liste ist wichtiger als eine allgemeine Werbeaussage eines Verkäufers.
Wie prüft man eine erhaltene qualifizierte Signatur?
Ein sichtbares Unterschriftsbild oder ein grünes Symbol in einer PDF-Anwendung reicht nicht als vollständige Prüfung.
Artikel 47 des Gesetzes Nr. 6822 nennt unter anderem folgende Punkte:
- War das Zertifikat im Zeitpunkt der Signatur ein qualifiziertes Zertifikat?
- Wurde es von einem qualifizierten Vertrauensdiensteanbieter ausgegeben?
- War es im Zeitpunkt der Signatur gültig?
- Stimmen Zertifikatsinhaber und angegebener Unterzeichner überein?
- Ist das Dokument seit der Signatur unverändert?
- Wurde die Signatur mit einem qualifizierten Signaturerstellungsverfahren erzeugt?
Bei der Chip-Cédula kann es notwendig sein, die paraguayische Zertifikatskette auf dem Rechner zu installieren, damit die Signatursoftware das Zertifikat korrekt validieren kann.
Wann braucht man zusätzlich einen Zeitstempel?
Bei elektronischen Privaturkunden beweist die qualifizierte Signatur die Authentizität der Signatur und die Identität des Unterzeichners. Sie beweist aber nicht automatisch ein bestimmtes Datum.
Wenn auch der Zeitpunkt besonders abgesichert werden soll, kann ein qualifizierter elektronischer Zeitstempel relevant sein. Er dient dazu, Datum, Uhrzeit und Integrität der verbundenen Daten nachzuweisen.
Unternehmen: Signatur oder elektronisches Siegel?
Eine elektronische Signatur gehört zu einer natürlichen Person. Für juristische Personen kennt das Gesetz zusätzlich das elektronische Siegel, das vor allem Herkunft und Integrität von Unternehmensdaten absichert.
Wenn ein Vorgang ein qualifiziertes elektronisches Siegel einer juristischen Person verlangt, muss nach dem Gesetz grundsätzlich auch die qualifizierte Signatur ihres bevollmächtigten Vertreters akzeptiert werden. Umgekehrt ersetzt ein Unternehmenssiegel nicht automatisch eine ausdrücklich verlangte persönliche qualifizierte Signatur.
Was tun bei verlorenem Token, kompromittiertem Schlüssel oder abgelaufenem Zertifikat?
Ablauf und Widerruf sind zwei verschiedene Dinge. Ein Zertifikat läuft am vorgesehenen Datum automatisch ab. Ein Widerruf beendet seine Gültigkeit dagegen vorzeitig, etwa wenn ein Token verloren wurde oder der private Schlüssel möglicherweise kompromittiert ist.
Bei Verdacht auf Missbrauch sollte das Zertifikat beim ausstellenden Anbieter unverzüglich gesperrt oder widerrufen werden. Ein Widerruf eines qualifizierten Zertifikats ist endgültig; anschließend ist ein neues Zertifikat erforderlich.
Ist das Zertifikat lediglich abgelaufen, muss es erneuert beziehungsweise neu ausgestellt werden. Bei F1 geschieht das aufgrund der maximalen Einjahreslaufzeit regelmäßig. Bei F2 und F3 richtet sich der tatsächliche Erneuerungsrhythmus nach der vom Anbieter gewählten Laufzeit.
Die Entscheidungsregel in einem Satz
Für e-Kuatia’i nehmen Sie das kostenlose DNIT-Zertifikat; für elektronische Rechnungsstellung mit eigener Software ist F1 ein verbreitetes einjähriges Steuerzertifikat; F2 bedeutet einen qualifizierten Schlüssel auf Cédula oder Token unter Ihrer Kontrolle; F3 bedeutet eine qualifizierte Fernsignatur mit zentral beim Anbieter geschütztem Schlüssel. Vergleichen Sie deshalb nicht nur den Kaufpreis, sondern immer auch Laufzeit, Erneuerung, benötigte Hardware und gegebenenfalls die Zahl der enthaltenen Signaturen.