Eine eingescannte Unterschrift unter einem PDF, ein Klick auf „Ich akzeptiere“, ein kryptografisch signiertes Dokument und die neue paraguayische Cédula mit Chip werden im Alltag schnell unter demselben Begriff zusammengefasst. Rechtlich und technisch sind sie jedoch nicht dasselbe.
Seit dem Gesetz Nr. 6822/2021 arbeitet Paraguay mit einem breiteren System von elektronischen Vertrauensdiensten. Für den normalen Nutzer ist dabei vor allem eine Unterscheidung entscheidend: Eine elektronische Signatur kann rechtlich relevant und als Beweismittel zulässig sein; eine qualifizierte elektronische Signatur ist dagegen ausdrücklich einer handschriftlichen Unterschrift gleichgestellt.
Dieser Unterschied bestimmt, wann ein einfaches elektronisches Verfahren genügen kann und wann ein qualifiziertes Zertifikat benötigt wird. Er erklärt auch, warum man für manche Vorgänge lediglich ein Login oder eine elektronische Zustimmung braucht, für andere aber eine Chipkarte, einen Token oder einen zentral verwalteten Signaturdienst.
Die drei Begriffe, die man zuerst auseinanderhalten sollte
| Begriff | Was er praktisch bedeutet | Rechtswirkung |
|---|---|---|
| Elektronische Signatur | Elektronische Daten, die mit anderen elektronischen Daten verbunden sind und vom Unterzeichner zum Signieren verwendet werden. | Darf nicht allein deshalb rechtlich oder als Beweis abgelehnt werden, weil sie elektronisch oder nicht qualifiziert ist. |
| Qualifizierte elektronische Signatur | Signatur auf Basis eines qualifizierten Zertifikats und eines qualifizierten Signaturerstellungsgeräts beziehungsweise entsprechend qualifizierter Infrastruktur. | Hat nach Gesetz Nr. 6822 ausdrücklich dieselbe Rechtswirkung wie eine handschriftliche Unterschrift. |
| Elektronisches Siegel / Zeitstempel | Zusätzliche Vertrauensdienste für Herkunft, Integrität beziehungsweise einen nachweisbaren Zeitpunkt. | Ersetzen nicht automatisch die persönliche Signatur, können aber bei Unternehmen, Dokumenten und Datumsnachweisen entscheidend sein. |
Das Gesetz definiert „elektronische Signatur“ bewusst weit. Eine eingescannte Unterschrift oder ein einfacher elektronischer Zustimmungsprozess ist deshalb nicht automatisch wertlos. Sie ist aber auch nicht automatisch eine firma electrónica cualificada. Die stärkere gesetzliche Gleichstellung entsteht erst, wenn die qualifizierten Voraussetzungen erfüllt sind.
Was die qualifizierte Signatur rechtlich stärker macht
Artikel 39 des Gesetzes Nr. 6822/2021 bestimmt zwei Dinge gleichzeitig. Erstens dürfen einer elektronischen Signatur Rechtswirkung und Zulässigkeit nicht nur deshalb verweigert werden, weil sie elektronisch ist oder die Anforderungen an eine qualifizierte Signatur nicht erfüllt. Zweitens stellt das Gesetz die qualifizierte elektronische Signatur ausdrücklich der handschriftlichen Unterschrift gleich.
Auch bei einem Streit ist der Unterschied relevant. Wird eine gewöhnliche elektronische Signatur bestritten, gelten die allgemeinen Beweisregeln. Bei einer qualifizierten Signatur sieht das Gesetz dagegen eine technische Prüfung des qualifizierten Zertifikats und des qualifizierten Signaturerstellungsverfahrens vor. Ist diese Prüfung positiv, wird die Authentizität der qualifizierten Signatur als nachgewiesen behandelt; grundsätzlich muss derjenige, der ihre Fälschung behauptet, dies angreifen.
Für elektronische Privaturkunden enthält das Gesetz noch eine wichtige Feinheit: Eine qualifizierte Signatur weist Authentizität der Unterschrift und Identität des Unterzeichners nach. Sie beweist aber nicht automatisch ein bestimmtes Datum. Soll auch der Zeitpunkt rechtlich besonders abgesichert sein, kommt ein qualifizierter elektronischer Zeitstempel ins Spiel.
Bei elektronischen öffentlichen Urkunden sieht das Gesetz die qualifizierte elektronische Signatur ausdrücklich als erforderliches Instrument vor. Trotzdem gilt immer der Vorbehalt des konkreten Rechtsgeschäfts: Das Gesetz selbst nimmt Fälle aus, in denen eine besondere Norm, die Natur des Rechtsgeschäfts oder spezielle Formvorschriften mit der elektronischen Form unvereinbar sind.
F1, F2 und F3: drei praktische Zertifikatstypen
Die paraguayische Public-Key-Infrastruktur verwendet für qualifizierte Signaturzertifikate die Typen F1, F2 und F3. Sie sind keine drei unterschiedlichen „Stufen der Rechtsgültigkeit“ im Sinne von schwach, mittel und stark: Alle können qualifizierte Zertifikate sein. Der praktische Unterschied liegt vor allem in Zweck und Art der Schlüsselverwaltung.
| Typ | Typische Nutzung | Praktisches Modell |
|---|---|---|
| F1 | Vor allem tributäre Anwendungen | Wird unter anderem als qualifiziertes Steuerzertifikat für Systeme der Steuerverwaltung eingesetzt. |
| F2 | Allgemeine qualifizierte Signatur | Der private Schlüssel liegt typischerweise auf einem qualifizierten physischen Gerät wie Smartcard oder kryptografischem Token. Die Chip-Cédula der Polizei nutzt F2. |
| F3 | Zentralisierte qualifizierte Signatur | Die Signaturdaten werden in qualifizierter Infrastruktur eines zugelassenen Anbieters verwaltet; dadurch kann Signieren ohne eigenen USB-Token möglich werden. |
Welche Variante sinnvoll ist, hängt vom Einsatz ab. Wer lediglich SIFEN beziehungsweise e-Kuatia’i nutzt, sollte zunächst prüfen, welchen Zertifikatstyp der konkrete Steuerprozess verlangt oder bereitstellt. Wer Verträge, SIARA-Unterlagen oder andere Dokumente regelmäßig signiert, braucht möglicherweise eine allgemeinere F2- oder F3-Lösung.
Wer darf qualifizierte Zertifikate ausstellen?
Die Dirección General de Comercio Electrónico des Ministeriums für Industrie und Handel (MIC) führt die offizielle Vertrauensliste. Am 1. Oktober 2026 stehen dort sieben qualifizierte Vertrauensdiensteanbieter, die für die Ausgabe qualifizierter elektronischer Signaturzertifikate zugelassen sind:
| Anbieter | Aktuell gelistete Signaturtypen |
|---|---|
| VIT S.A. | F1, F2, F3 |
| CODE100 S.A. | F1, F2, F3 |
| Documenta S.A. | F1, F2, F3 |
| Ministerio del Interior / Policía Nacional | F2 |
| Confirma S.A. | F1, F2, F3 |
| ITTI S.A.E.C.A. | F1, F3 |
| SOS Tecnología y Gestión de Información Ltda. | F1, F2, F3 |
Die Liste ist wichtiger als Werbung eines einzelnen Anbieters. Ein qualifizierter Vertrauensdienst darf seinen qualifizierten Dienst erst anbieten, wenn die entsprechende Qualifikation in der offiziellen Vertrauensliste eingetragen ist. Da Anbieter und zugelassene Dienste sich ändern können, sollte die Liste unter acraiz.gov.py vor dem Kauf eines Zertifikats erneut geprüft werden.
Weg 1: qualifizierte Signatur über die neue Chip-Cédula
Der auffälligste neue Weg ist die elektronische Cédula des Departamento de Identificaciones der Policía Nacional. Das Innenministerium ist seit 2023 selbst als qualifizierter Vertrauensdiensteanbieter zugelassen und darf über Identificaciones F2-Zertifikate ausgeben.
Wichtig ist: Eine Cédula mit Chip bedeutet nicht automatisch, dass ein aktives Signaturzertifikat installiert ist. Portal Paraguay empfiehlt, das Zertifikat über einen Smartcard-Leser zu prüfen oder es am MITIC-Schalter in der Zentrale von Identificaciones kontrollieren zu lassen.
Wer noch keine Chip-Cédula besitzt, muss bei der Erneuerung ausdrücklich das qualifizierte Signaturzertifikat verlangen. Beim Abholen sollte ein vierstelliger PIN eingerichtet werden. Wer bereits eine Chip-Cédula besitzt, aber kein Zertifikat darauf hat, kann nach den aktuellen offiziellen Hinweisen bei Identificaciones die Installation beantragen.
Die Installation des Zertifikats auf einer vorhandenen Chip-Cédula wird derzeit ohne zusätzliche Gebühr angeboten; ist jedoch eine neue oder erneuerte Cédula erforderlich, fällt der normale Dokumententrámite an. Zertifikate dürfen nach Gesetz höchstens vier Jahre gültig sein. Cédula und Signaturzertifikat haben deshalb nicht zwingend denselben Lebenszyklus.
Was man zum Signieren mit der Cédula tatsächlich braucht
Die Karte allein genügt am Computer nicht. Nach den aktuellen Anleitungen von Identificaciones werden benötigt:
- Chip-Cédula mit aktivem qualifiziertem Zertifikat;
- der beim Erhalt gesetzte vierstellige PIN;
- Computer oder Notebook;
- Smartcard-Leser, mindestens kompatibel mit PC/SC und ISO 7816;
- Treiber beziehungsweise Smartcard-Software;
- die Zertifikate der paraguayischen Public-Key-Infrastruktur (PKI);
- ein Programm, das mit dem Zertifikat signieren kann, beispielsweise Adobe Acrobat Reader, JSignPDF oder andere PKCS#11-kompatible Software.
Identificaciones stellt Installationspakete für Windows, macOS und Linux auf seiner Downloadseite bereit.
Ein PDF mit der Chip-Cédula signieren
- Smartcard-Leser anschließen und prüfen, ob das Betriebssystem ihn erkennt.
- Cédula einlegen und kontrollieren, ob Zertifikat, Name des Inhabers, Aussteller, Seriennummer und Gültigkeit angezeigt werden.
- Das PDF in einer kompatiblen Anwendung öffnen.
- In Adobe Acrobat Reader beispielsweise „Zertifikat verwenden“ und danach „Digital signieren“ wählen.
- Das vom Ministerio del Interior ausgestellte Zertifikat auswählen.
- Signaturbereich beziehungsweise Darstellung bestätigen und das Dokument speichern.
- Den vierstelligen PIN eingeben. Erst damit wird die kryptografische Signatur erzeugt.
Das sichtbare Bild der Unterschrift im PDF ist dabei nicht der entscheidende Teil. Die eigentliche Signatur sind die kryptografischen Daten, die mit dem Dokument verbunden werden. Selbst ein PDF ohne hübsches Unterschriftsbild kann technisch korrekt qualifiziert signiert sein; umgekehrt macht ein eingescanntes Autogramm allein ein PDF nicht zu einem qualifiziert signierten Dokument.
Weg 2: Token oder zentralisierte Signatur eines privaten Anbieters
Eine Chip-Cédula ist nicht der einzige Weg. Die privaten qualifizierten Anbieter bieten je nach Zulassung F1-, F2- und F3-Zertifikate an. Bei einer F2-Lösung liegt der private Schlüssel typischerweise auf einem qualifizierten Hardware-Token oder einer Smartcard. Bei F3 wird die Schlüsselinfrastruktur zentral beim qualifizierten Anbieter verwaltet und die Signatur über dessen freigegebenes Verfahren ausgelöst.
Das kann für Unternehmen oder Personen interessant sein, die von mehreren Geräten oder ohne Kartenleser arbeiten möchten. Einige Anbieter sind inzwischen ausdrücklich zur Videoidentifikation zugelassen, sodass die Identitätsprüfung für bestimmte Zertifikatstypen remote erfolgen kann. Anforderungen, Preise, Zahl der inkludierten Signaturen und Gültigkeitsdauer unterscheiden sich jedoch je nach Anbieter und Produkt.
Vor Abschluss sollte deshalb nicht nur der Preis verglichen werden. Entscheidend sind der benötigte Zertifikatstyp, die zulässigen Anwendungen, Geräteabhängigkeit, Zahl der Signaturen bei zentralisierten Angeboten, Verlängerung, Sperrverfahren und ob die gewünschte Plattform das konkrete Zertifikat akzeptiert.
Weg 3: kostenlose Steuerzertifikate über die DNIT
Für kleine elektronische Rechnungssteller existiert ein Sonderweg. Die Dirección Nacional de Ingresos Tributarios (DNIT) erklärt, dass Nutzer von e-Kuatia’i ein qualifiziertes elektronisches Signaturzertifikat kostenlos über bestimmte Steuerstellen erhalten können. Dieses Zertifikat dient der elektronischen Unterzeichnung der Steuerdokumente, die an das Sistema Integrado de Facturación Electrónica Nacional (SIFEN) übermittelt werden.
Beim größeren e-Kuatia-Modell mit eigener Software verlangt die DNIT ebenfalls ein qualifiziertes Zertifikat; dort verweist sie auf die vom MIC zugelassenen Vertrauensdiensteanbieter. Ein steuerliches Zertifikat sollte daher nicht automatisch als Ersatz für jede andere Signaturanwendung betrachtet werden.
Wo qualifizierte Signaturen heute konkret gebraucht werden
Die Technik ist kein Selbstzweck. Zu den aktuellen praktischen Einsatzfeldern gehören:
- SIFEN / elektronische Rechnungen: elektronische Steuerdokumente werden qualifiziert signiert;
- SIARA: bestimmte Unternehmens- und Registerunterlagen werden elektronisch signiert eingereicht;
- BECAL und andere staatliche Plattformen: Portal Paraguay nennt qualifizierte Signaturen als Teil vollständig digitaler Anträge und Erklärungen;
- Verträge, Erklärungen, Genehmigungen und Vollmachten: soweit der jeweilige Vorgang elektronische Form zulässt;
- elektronische Akten und behördliche/judizielle Entscheidungen: das Gesetz sieht qualifizierte Signaturen ausdrücklich für zahlreiche amtliche Dokumente vor;
- elektronische übertragbare Dokumente und elektronische Schuldtitel: das Vertrauensdiensterecht nutzt qualifizierte Signaturen und Zeitstempel als Teil der Integritäts- und Nachweiskette.
Dass eine qualifizierte Signatur technisch möglich ist, bedeutet aber nicht, dass jede Behörde oder jeder Vertragspartner sie für jeden Vorgang akzeptieren muss. Behörden dürfen für ihre Verfahren zusätzliche objektive Bedingungen definieren, und besondere Formvorschriften können weiterhin gelten.
Wie prüft man eine erhaltene elektronische Signatur?
Ein Dokument sollte nicht allein danach beurteilt werden, ob Acrobat ein grünes Symbol zeigt oder ob eine sichtbare Unterschrift eingeblendet ist. Für eine qualifizierte Signatur sind mehrere Punkte relevant:
- War das zugrunde liegende Zertifikat zum Zeitpunkt der Signatur ein qualifiziertes Zertifikat?
- Stammte es von einem qualifizierten Anbieter?
- War das Zertifikat zum Signaturzeitpunkt gültig und nicht widerrufen?
- Stimmen Zertifikatsinhaber und angegebener Unterzeichner überein?
- Ist das Dokument seit der Signatur unverändert?
- Wurde die Signatur mit einem qualifizierten Signaturerstellungsverfahren erzeugt?
Genau diese Punkte nennt Artikel 47 des Gesetzes als Grundlage der Validierung. Bei der Chip-Cédula kann es notwendig sein, die paraguayische Root-CA und Zertifikatskette zu installieren, damit lokale PDF-Software das Zertifikat korrekt erkennt. Identificaciones stellt dafür eine eigene Validierungsanleitung bereit.
Ein später abgelaufenes Zertifikat bedeutet nicht automatisch, dass die Signatur schon bei ihrer Erstellung ungültig war: Das Gesetz fragt für die Validierung ausdrücklich danach, ob das Zertifikat im Zeitpunkt der Signatur gültig war. Für langfristig wichtige Dokumente können jedoch qualifizierte Zeitstempel und Dienste zur langfristigen Signaturbewahrung helfen, den Nachweis auch Jahre später verlässlich aufrechtzuerhalten.
Verlorener Token, kompromittierter PIN oder Zertifikat abgelaufen
Ein Signaturzertifikat ist kein gewöhnliches Passwort. Wird ein Token verloren, besteht Verdacht auf Missbrauch oder sind die Signaturdaten nicht mehr ausschließlich unter Kontrolle des Inhabers, sollte das Zertifikat beim ausstellenden Anbieter unverzüglich gesperrt oder widerrufen werden.
Das Gesetz erlaubt unter anderem den Widerruf auf Antrag des Unterzeichners. Bei einem qualifizierten Zertifikat ist ein Widerruf endgültig: Nach der Revokation kann es nicht wieder gültig werden. Danach ist ein neues Zertifikat erforderlich.
Bei der Chip-Cédula verweist Identificaciones für einen vergessenen PIN oder ein abgelaufenes Zertifikat zurück an seine Schalter. Bei privaten Anbietern gelten die jeweiligen Verfahren der Zertifizierungspraxis.
Unternehmen: Signatur einer Person oder elektronisches Siegel?
Eine elektronische Signatur wird von einer natürlichen Person erzeugt. Für juristische Personen kennt das Gesetz zusätzlich das elektronische Siegel. Ein qualifiziertes Siegel dient vor allem dazu, Herkunft und Integrität von Daten einer juristischen Person abzusichern.
Die Unterscheidung ist praktisch relevant: Wenn ein Vorgang ein qualifiziertes Siegel einer juristischen Person verlangt, darf nach Gesetz grundsätzlich auch die qualifizierte Signatur ihres bevollmächtigten Vertreters akzeptiert werden. Umgekehrt gilt das nicht: Wenn ausdrücklich die qualifizierte Signatur einer Person verlangt wird, kann ein Unternehmenssiegel sie nicht einfach ersetzen.
Identidad Electrónica ist nicht die elektronische Signatur
Paraguays Identidad Electrónica ist das staatliche Authentifizierungskonto für Portal Paraguay und andere angebundene Dienste. Sie beantwortet primär: Wer meldet sich am System an?
Die qualifizierte elektronische Signatur beantwortet eine andere Frage: Wer hat genau dieses elektronische Dokument verbindlich unterzeichnet, und ist es danach unverändert geblieben?
Ein System kann daher zuerst Identidad Electrónica für das Login und anschließend zusätzlich ein qualifiziertes Signaturzertifikat verlangen. Das eine ersetzt das andere nicht.
Welche Lösung passt zu welchem Fall?
| Bedarf | Sinnvoller Ausgangspunkt |
|---|---|
| Nur Zugang zu Portal Paraguay und staatlichen Online-Diensten | Identidad Electrónica; kein qualifiziertes Zertifikat nur wegen des Logins erforderlich |
| Gelegentlich qualifiziert PDF-Dokumente signieren und ohnehin neue Cédula beantragen | F2-Zertifikat auf der Chip-Cédula prüfen |
| Regelmäßig an mehreren Geräten oder remote signieren | F3-Angebote qualifizierter Anbieter vergleichen |
| USB-/lokale Hardwarelösung bevorzugt | F2-Token eines zugelassenen Anbieters |
| e-Kuatia’i als kleiner Steuerpflichtiger | Zuerst kostenlosen DNIT-Zertifikatsweg prüfen |
| Eigene SIFEN-/e-Kuatia-Software | DNIT-Anforderungen und zugelassenen qualifizierten Anbieter prüfen |
Vor dem Signieren: fünf Prüfungen
- Welcher Signaturtyp ist verlangt? Nicht jedes Verfahren braucht eine qualifizierte Signatur.
- Ist der Anbieter aktuell qualifiziert? Die MIC-Vertrauensliste prüfen, nicht nur eine Anbieterwebsite.
- Ist das Zertifikat für diesen Zweck geeignet? F1, F2 und F3 haben unterschiedliche praktische Einsatzmodelle.
- Brauche ich einen nachweisbaren Zeitpunkt? Bei wichtigen Verträgen kann ein qualifizierter Zeitstempel relevant sein.
- Kann der Empfänger validieren? Besonders bei grenzüberschreitenden oder fremden IT-Systemen vorher prüfen, welche Zertifikate und Formate akzeptiert werden.
Stand der Prüfung: 1. Oktober 2026. Anbieterlisten, Zertifikatstypen, Preise, zugelassene Identifikationsverfahren und technische Anforderungen ändern sich. Vor einem kostenpflichtigen Zertifikatskauf sollte deshalb die aktuelle Vertrauensliste der paraguayischen Public-Key-Infrastruktur und die konkrete Zielplattform geprüft werden.
Offizielle Quellen
- Gesetz Nr. 6822/2021: Vertrauensdienste, elektronische Signaturen und elektronische Dokumente
- MIC / Autoridad Certificadora Raíz: aktuelle Liste qualifizierter Vertrauensdiensteanbieter
- Portal Paraguay: FAQ zur qualifizierten Signatur über die Chip-Cédula
- Policía Nacional / Identificaciones: qualifiziertes Signaturzertifikat und Funktionsweise
- Identificaciones: Software, PKI-Zertifikate und Validierungsanleitung
- DNIT: qualifiziertes Signaturzertifikat für e-Kuatia/SIFEN
- DNIT: e-Kuatia und e-Kuatia’i