Chinas neue E-Zertifizierungsregeln 2026: Frist 30. Oktober und CA-konforme E-Signaturen

Chinas Aufsichtsbehörde hat die Regeln verschärft, die unter jeder elektronischen Signatur liegen. Im April 2026 erließ das Ministerium für Industrie und Informationstechnologie (MIIT) seine Bekanntmachung über Geschäftsregeln für die elektronische Zertifizierung (工信发函〔2026〕181号) zusammen mit der Branchennorm T/CQAE 11034-2025, «Spezifikation der Geschäftsregeln für die elektronische Zertifizierung». Anbieter elektronischer Zertifizierungsdienste müssen ihre Prozesse neu aufbauen, um vier nicht verhandelbare Anforderungen zu erfüllen – direkte CA-Verifizierung, direkte CA-Abonnentenverträge, Nachweis der Absicht und kontrollierte Schlüsselverwaltung – bevor die Übergangsfrist am 30. Oktober 2026 endet.

Für Unternehmen, die in oder mit dem chinesischen Festland Verträge unterzeichnen, ist dies keine interne Angelegenheit eines Anbieters. Wird ein unterzeichneter Vertrag bestritten, prüft das Gericht genau diese Glieder der Vertrauenskette. Dieser Artikel erläutert, was sich geändert hat, was die vier Regeln verlangen und was ein Käufer prüfen sollte.

Was die Reform von 2026 abdeckt

Chinas Regime für elektronische Signaturen hat zwei oft verwechselte Ebenen. Das Gesetz über elektronische Signaturen regelt, wann eine Signatur rechtlich zuverlässig ist. Darunter regeln die Geschäftsregeln der elektronischen Zertifizierung, wie eine lizenzierte Zertifizierungsstelle (CA) Identität prüft, Zertifikate ausstellt und Nachweise aufbewahrt.

Die Maßnahmen von 2026 betreffen diese zweite Ebene. Die MIIT-Bekanntmachung (工信发函〔2026〕181号) verlangt von Zertifizierungsstellen, ihre bestehenden Prozesse an den überarbeiteten Geschäftsregeln zu prüfen und eine vollständige Compliance-Umstellung durchzuführen. Die begleitende Norm T/CQAE 11034-2025 – ein Branchenverbandsstandard, nicht der Text der Bekanntmachung selbst – legt die operativen Details fest, an denen Prüfungen gemessen werden.

Diese Linie unterscheidet sich von der separaten Arbeit der Staatlichen Kryptografieverwaltung zur Nutzung von Kryptografie in Diensten der elektronischen Zertifizierung, die die Kryptografienutzungs-Lizenzierung und nicht die Geschäftsregeln selbst regelt; die beiden Linien auferlegen denselben Anbietern unterschiedliche Pflichten.

Die Reform ist bewusst nicht kosmetisch. Anbieter können sie nicht durch bloßes Umschreiben interner Richtlinien oder Aktualisieren ihres Zertifizierungsregelwerks (CPS) erfüllen. Die Bekanntmachung schließt auch Umgehungen aus: Eine Plattform darf Zertifizierung nicht durch Vertragsklauseln in einen «Sicherheitsdienst» oder «Hilfszertifizierungsdienst» umdeuten, und sie darf eine Drittzertifizierung nicht rechtswidrig in ein Eigenprojekt umwandeln, um die Regeln zu umgehen.

Die vier roten Linien

Die Norm verdichtet die Umstellung auf vier Anforderungen, die die Branche als rote Linien bezeichnet – keine Ausnahmen, keine Übergangsversion.

• Direkte CA-Verifizierung (CA直验). Die Identität muss von der lizenzierten CA selbst geprüft werden. Die Delegation an eine externe Organisation oder Person ist untersagt, und eine andere juristische Person gilt als extern. Ziel ist es, die Verbindung zwischen einer realen Identität und einem digitalen Zertifikat intakt zu halten.
• Direkter CA-Abonnentenvertrag (CA直签). Der Zertifizierungsdienstvertrag muss direkt zwischen CA und Zertifikatsabonnent geschlossen werden, damit Rechte und Pflichten benannt und akzeptiert werden – nicht hinter einem Standard-Kontrollkästchen oder einer unklaren Autorisierung.
• Nachweis der Absicht (意愿留证). Die Absicht des Abonnenten muss über die gesamte Kette aufgezeichnet und nachvollziehbar sein. Zertifikate höherer Assurance erfordern eine Bestätigung per Audio- oder Videoaufzeichnung; Zertifikate der Grundstufe erfordern einen nachvollziehbaren Bestätigungsnachweis.
• Kontrollierte Schlüsselverwaltung (私钥直管). Signaturschlüssel werden in erster Linie vom Abonnenten gehalten. Wo eine CA den Schlüssel hostet, braucht sie die schriftliche Autorisierung des Abonnenten, verschlüsselte Speicherung und einen vollständigen Nachweis jeder Nutzung – keine unbefugte Verwendung.

Diese vier Anforderungen verändern die Struktur von Arrangements, die auf «Anbindung an eine CA» oder «gemeinsamer Zertifizierung» beruhen, denn in diesen Modellen wurden die regulierten Schritte oft von anderen als der lizenzierten CA ausgeführt.

Warum Gerichte die Norm bereits anwenden

Die Reform ist nicht nur eine administrative Übung. In einem aktuellen Fall zitierte das Volksgericht des Bezirks Changjiang der Stadt Jingdezhen in seinem Prüfvermerk die Spezifikation der Geschäftsregeln für die elektronische Zertifizierung und verlangte von den Parteien einen Nachweis der direkten CA-Verifizierung, mit der Begründung, eine CA dürfe die Identitätsprüfung von Nutzern nicht an Dritte übertragen.

Das ist die praktische Konsequenz für Unternehmen. Wird ein Vertrag später bestritten und war die Identitätsprüfungskette ausgelagert, per Standard-Kontrollkästchen erledigt oder nie belegt, werden diese Lücken zum Angriffspunkt. Eine Signatur, die bei Unterzeichnung gültig aussah, kann im Streitfall schwer zu verteidigen sein.

Drei Prüfungen, die jeder Käufer durchführen sollte

Die Bekanntmachung legt die Übergangspflichten den Anbietern auf, gibt Käufern aber auch eine Checkliste. Jede Frage, die der Anbieter nicht klar beantworten kann, ist ein Grund, die Zertifizierungskette genauer zu prüfen.

• Lizenz prüfen. Bestätigen Sie, dass der E-Signatur-Anbieter und die tatsächlich ausstellende CA eine gültige Lizenz für elektronische Zertifizierungsdienste besitzen. Prüfen Sie dies über den offiziellen MIIT-Abfragekanal unter https://ythzxfw.miit.gov.cn/index, nicht über eine Marketingseite. Eine fehlende Lizenz ist ein Ausschlussgrund.
• Direkte CA-Verifizierung prüfen. Dies ist die Kern-Rote-Linie. Bei Einzelpersonen sollte das lizenzierte CA-System Echtnamenprüfungen plus Gesichts- oder SMS-Zweitfaktor-Verifizierung ohne Drittvermittlung durchführen. Bei Organisationen sollte die CA die Gewerbeerlaubnis prüfen und Konto- oder Lebendprüfungen direkt durchführen, ohne dass die Plattform die Kernprüfungsdaten berührt. Wird irgendein Schritt mit «von der Plattform durchgeführt» oder «an einen Drittverifizierungsdienst ausgelagert» beantwortet, ist die Kette gebrochen.
• Zertifikatsaussteller prüfen. Öffnen Sie einen unterzeichneten Vertrag und lesen Sie die Zertifikatsdetails. Der Aussteller sollte exakt der lizenzierten CA entsprechen. Achten Sie auf vage Formulierungen wie «im Auftrag ausgestellt», «gemeinsam ausgestellt» oder «ko-ausgestellt», und bestätigen Sie, dass das Zertifikat im E-Zertifizierungsdienstsystem des MIIT abgerufen werden kann. Ist der Aussteller nicht die lizenzierte CA selbst, ist das rechtliche Gewicht des Zertifikats unter dem neuen Rahmen geschwächt.

Was ausländische Unternehmen tun sollten

Teams außerhalb des chinesischen Festlands, die mit Festland-Gegenparteien unterzeichnen, sollten die Frist vom 30. Oktober als Auswahl- und Prüffenster behandeln, nicht nur als fernes Compliance-Ereignis.

• Fragen Sie Ihren Anbieter nach dem juristischen Namen des Zertifikatsausstellers für jede Signaturmethode und nach dem Lizenznachweis dahinter. Plattformmarke, Registrierungsprozess und lizenzierte CA können drei verschiedene Einheiten sein.
• Fragen Sie, wie die Identität geprüft wurde, wie der Abonnentenvertrag präsentiert und akzeptiert wurde, wo Schlüssel erzeugt werden und wer sie verwenden kann, und welche Aufzeichnungen pro Schritt aufbewahrt werden.
• Bitten Sie um ein Muster-Evidenzpaket: die unterzeichnete Datei, Zertifikatsinformationen, Signer-Authentifizierungsereignisse, Konsens- und Absichtsaufzeichnungen, Zeitstempel und Prüfverlauf.
• Beachten Sie, dass Anbieterlizenzierung und Vertragsdurchsetzbarkeit verwandt, aber nicht identisch sind. Ob ein bestimmtes Dokument bindend ist, hängt weiterhin von Dokumenttyp, Parteiwille, Zuverlässigkeit der Signaturmethode und verfügbaren Beweisen ab. Für das Gesamtbild des Signierens im chinesischen Festland siehe die Übersicht elektronische Signatur Festlandchina.

Was als Nächstes kommt

Die Übergangsfrist endet am 30. Oktober 2026, danach wird das MIIT voraussichtlich zu umfassenden Prüfungen übergehen. Anbieter, die die Anforderungen nicht erfüllen, riskieren die Aussetzung nicht konformer Geschäfte und im Extremfall Streichung oder Entzug der Lizenz. Unternehmen, die ihre Anbieter jetzt prüfen, vermeiden es, eine gebrochene Zertifizierungskette erst im Streitfall zu entdecken.

Kernaussagen

• Die MIIT-Bekanntmachung über Geschäftsregeln für die elektronische Zertifizierung (工信发函〔2026〕181号) und die Norm T/CQAE 11034-2025 setzen vier rote Linien für Chinas elektronische Zertifizierung.
• Die vier Regeln sind direkte CA-Verifizierung, direkte CA-Abonnentenverträge, Nachweis der Absicht und kontrollierte Schlüsselverwaltung.
• Die Übergangsfrist endet am 30. Oktober 2026, danach werden Prüfungen und Lizenzmaßnahmen erwartet.
• Gerichte wenden die Norm bereits an: Ein Gericht in Jingdezhen verlangte in einem aktuellen Fall einen Nachweis der direkten CA-Verifizierung.
• Käufer sollten Lizenz des Anbieters, Schritt der direkten CA-Verifizierung und Identität des Zertifikatsausstellers prüfen, bevor sie sich auf ein in China ausgestelltes Zertifikat verlassen.