US-Exposition europäischer E-Signatur-Plattformen: Stand 2026

Von 7 europäischen E-Signatur-Plattformen ist 1 vollständig frei von US-Exposition

Wir haben jede E-Signatur-Plattform in unserem Verzeichnis gegen ihre eigene veröffentlichte Unterauftragsverarbeiter-Liste, ihren AVV und ihre Eigentümerdaten geprüft und jede auf unserer vierstufigen CLOUD-Act-Skala eingestuft (keine, gering, erheblich, direkt). Die Re-Verifizierung im Juli 2026 hat diese Kategorie deutlich verändert: Zwei qualifizierte Vertrauensdiensteanbieter, die im Marketing sauber wirken, Signaturit und Universign, wurden auf erheblich umgestuft, nachdem ihre Konzernstruktur und die Unterauftragsverarbeiter-Anhänge der Plattform gegen Primärquellen gelesen wurden.

CLOUD-Act-Exposition	Plattformen
Keine	1
Gering	1
Erheblich	4
Direkt	1
Jede Exposition	6

Jede Plattform, und wo die Exposition eintritt

Plattform	Land	Eigentum	Hosting	CLOUD-Act-Exposition	Wo sie eintritt
Skribble	Switzerland	Sonstige	Switzerland	Keines	Schweizer Gesellschaft, qualifizierte Signaturen über Swisscom nach ZertES und eIDAS verankert; keine dokumentierte US-Schicht im Dokumenten- oder Beweispfad
Yousign	France	EU-Sitz, US-finanziert	France	Gering	Französischer, ANSSI-beaufsichtigter QTSP; der Vorbehalt sitzt in der Kapitalstruktur, wo eine US-Growth-Equity-Firma die Series A von 2021 anführte
Universign	France	EU-Sitz, US-finanziert	France	Erheblich	Heute Teil der Signaturit Group (Namirial), deren Mutter 2025 von Bain Capital (USA) übernommen wurde; die gemeinsame Plattform speichert Daten at rest auf AWS, mit Twilio und SendGrid für OTP und E-Mail
Signaturit	Spain	EU-Sitz, US-finanziert	Spain	Erheblich	Gruppe unter gemeinsamer Kontrolle von Bain Capital und PSG Equity (beide US-Private-Equity); der AVV der Plattform nennt AWS at rest (EU-Region) sowie Twilio und SendGrid
Signicat	Norway	Sonstige	EWR (Multi-Cloud)	Erheblich	Durchgehend europäische Konzernkette, aber die Plattform läuft multi-cloud auf Google Cloud, AWS und Azure (EWR-Residenz), mit Mailchimp für einige Benachrichtigungen
Tresorit eSign	Switzerland	Sonstige	Ireland	Erheblich	Im Eigentum der Schweizerischen Post, durchgehend Zero-Knowledge-Verschlüsselung, aber die At-rest-Speicherung liegt auf Microsoft Azure (EU-Region); qualifizierte Zertifikate kommen über Evrotrust (Bulgarien)
Eversign	Austria	US-Eigentum	United States	Direkt	2022 von Apryse (Denver, USA) übernommen und in Xodo Sign umbenannt; die Betreibergesellschaft untersteht einer US-Mutter

Das Muster deckt sich mit dem, was wir im gesamten Verzeichnis sehen: Die Flagge auf der Website ist selten die Quelle der Exposition. E-Signatur ist sogar die Kategorie, in der Europa einen strukturellen rechtlichen Vorteil hält, denn eine qualifizierte elektronische Signatur kann nur über einen in einem EU-Mitgliedstaat beaufsichtigten Vertrauensdiensteanbieter ausgestellt werden (oder sein Schweizer ZertES-Pendant). Die qualifizierte Vertrauensschicht ist konstruktionsbedingt europäisch.

Die Exposition tritt um diese Schicht herum ein. Dokumente liegen vor und nach der Signatur im Speicher, Audit-Trails und Beweisdateien sammeln sich an, Signaturanfragen gehen per E-Mail hinaus, Einmalpasswörter per SMS, und Identitätsprüfungen rufen externe Anbieter auf. Jeder dieser Schritte kann bei einem US-inkorporierten Verarbeiter liegen, unabhängig davon, woher das Signaturzertifikat stammt. Und das Eigentum zählt für sich genommen: Die Konsolidierung der Signaturit Group unter Namirial im Jahr 2025 brachte zwei US-Private-Equity-Firmen an die Kontrolle eines Portfolios, das zuvor als rein europäisches QTSP-Portfolio galt. Genau das hat Signaturit und Universign in unserer Re-Verifizierung vom Juli 2026 umgestuft.

Unsere vierstufige Einstufung hält fest, ob Kundendaten unter extraterritorialen US-Zugriff fallen könnten: keine (EU/EWR/Schweizer Betreiber, keine US-Mutter, kein nennenswerter US-Unterauftragsverarbeiter), gering (ein transienter US-Unterauftragsverarbeiter wie ein CDN, Daten at rest bleiben in der EU), erheblich (eine US-Mutter oder ein US-eigener Hyperscaler im Kern-Datenpfad) und direkt (der Betreiber selbst ist in den USA inkorporiert). Für E-Signatur lesen wir einen spezifischen Datenpfad: Dokumentenspeicherung vor und nach der Signatur, die Audit-Trail- und Beweisschicht, OTP- und E-Mail-Zustellung sowie die Identitätsprüfung.

Quellen sind die von den Anbietern selbst veröffentlichten Dokumente: Unterauftragsverarbeiter-Listen, AVV-Anhänge und Eigentümerdaten, vierteljährlich erneut geprüft. Jede Zahl und jedes Urteil auf dieser Seite wird live aus dem Datensatz gerendert, die Seite aktualisiert sich also, wenn eine Re-Verifizierung eine Einstufung ändert. Das kategorieübergreifende Bild steht in unserer CLOUD-Act-Analyse; die Plattformen, die die strengste Messlatte nehmen, listet E-Signatur ohne US-Unterauftragsverarbeiter; alle Einträge mit Detail pro Plattform stehen auf der E-Signatur-Kategorieseite.

Die Zahlen auf dieser Seite dürfen mit Quellenangabe weiterveröffentlicht werden. Zitieren Sie als "Quelle: EU Vetted, verifiziert Juli 2026" und verlinken Sie diese Seite. Die Zahlen werden live aus unserem Datensatz gerendert und ändern sich, wenn eine vierteljährliche Re-Verifizierung eine Einstufung ändert; der dauerhafte Verweis ist daher der Link, nicht eine kopierte Zahl.