eIDAS-Signatur in Odoo mit e-Signature.eu: itsme, Evrotrust und Zahlung pro Signatur

e-Signature.eu ist eine europäische Plattform für eIDAS-Signaturen: Sie verkauft keine Jahresgebühren, sondern Guthaben, und jede Signatur verbraucht es. Den Konnektor, der sie an Odoo anbindet, haben wir gebaut und pflegen ihn selbst, mit einer Version für jede Serie (17, 18 und 19) (Modulseite). In diesem Artikel geht es um das, was Ihnen vor dem Kauf kaum jemand sagt: welches Niveau Sie wirklich brauchen, was die Gegenseite zum Unterzeichnen tun muss und wie sich die Rechnung ändert, wenn Sie pro Signatur statt pro Jahr zahlen.

Die drei eIDAS-Niveaus, erklärt nach dem, was sie in Ihrem Prozess ändern

Die Verordnung (EU) 910/2014 definiert drei Niveaus, und der rechtliche Unterschied steht in ihrem eigenen Text (Artikel 3, 25 und 26). Was nicht in der Verordnung steht, ist der operative Unterschied: Jedes Niveau verlangt vom Unterzeichner etwas anderes, und je mehr Sie verlangen, desto mehr Leute springen unterwegs ab.

Diese vier Methoden sind der vollständige Katalog des Konnektors, und er lässt sich nicht bearbeiten: Niemand kann eine Signatur als «qualifiziert» kennzeichnen, die es nicht ist.

Wann braucht man wirklich QES?

Die meisten Unternehmen, die nach qualifizierter Signatur fragen, wollen sie für Dokumente, die sie gar nicht brauchen. Das nützliche Kriterium ist nicht «wie viel ist der Vertrag wert», sondern «gibt es jemanden, der sie schriftlich verlangen wird»:

• Verfahren vor einer Behörde, die sie verlangt. In Frankreich dokumentiert e-Signature.eu, dass das INPI seit Januar 2023 für die Formalitäten zur Änderung und Löschung von Unternehmen im Guichet unique eine qualifizierte Signatur verlangt. Da gibt es nichts zu diskutieren: Entweder QES, oder der Antrag wird nicht angenommen.
• Gegenseiten, die es in ihrer Einkaufsrichtlinie festlegen. Großkunden, Versicherer und einige Banken verlangen es standardmäßig.
• Dokumente, bei denen Sie mit einer Anfechtung rechnen. Wenn ein Rechtsstreit ein realistisches Szenario ist, legt die QES die Beweislast zu Ihren Gunsten.

Alles andere (Bestätigungen, Empfangsbestätigungen, interne Anlagen) gehört in SES; Standard-B2B-Verträge in AES. Und eine ehrliche Einschränkung: Die QES ersetzt nicht die Rechtsakte, die das Gesetz vor einem Notar in öffentliche Urkundsform zu bringen verlangt. Der teuerste Fehler ist nicht, zu niedrig anzusetzen: Es ist, QES zum Standard zu machen und sich dann zu wundern, warum die Leute vier Tage brauchen, um einen Lieferschein zu unterschreiben.

itsme, Evrotrust, Veriff und OTP: Was jede Methode vom Unterzeichner verlangt

itsme® ist die belgische digitale Identität. In Belgien verlangt die klassische Registrierung die eID mit Kartenleser oder die Karte einer belgischen Bank; außerhalb Belgiens genügen laut e-Signature.eu Reisepass, Personalausweis oder Aufenthaltstitel, aber die Abdeckung hängt von der Länderliste von itsme® ab: Prüfen Sie sie, bevor Sie jemandem eine QES versprechen. Evrotrust ist ein bulgarischer qualifizierter Vertrauensdiensteanbieter (QTSP), der in der EU-Vertrauensliste eingetragen ist; zugleich eine mobile App, mit breiterer Länderabdeckung, und laut e-Signature.eu die Methode, die das französische INPI seit 2026 akzeptiert.

Veriff ist kein QTSP: Es ist eine Identitätsprüfung, Ausweis plus Selfie, und daraus entsteht eine AES. OTP ist ein Code per E-Mail oder SMS, und daraus entsteht eine SES. Dazu ein Detail, das uns eine ganze Prüfungsrunde mit e-Signature.eu gekostet hat: Die Plattform verwirft stillschweigend jede Telefonnummer, die nicht aus «+» gefolgt von reinen Ziffern besteht. Ein Mensch tippt «+32 483 22 90 07», die Plattform speichert sie leer, und der OTP per SMS fällt ohne Hinweis auf die E-Mail zurück. Der Konnektor normalisiert die Nummer vor dem Senden; aufgedeckt hat es die siebte Prüfungsrunde am 14. Juli 2026.

Was sich im Odoo-Ablauf je nach Niveau ändert

Der Konnektor fügt Angeboten, Rechnungen, Bestellungen, Arbeitsverträgen (hr.version in Odoo 19, hr.contract in 18 und 17), Bewerbungen, Kontakten und jedem angehängten PDF eine Schaltfläche Send for Signature hinzu. Er hängt nicht von der App Sign ab, die nicht einmal im Manifest steht, und das ist wichtig, denn die Dokumentation von Odoo selbst sagt, dass Sign einfache elektronische Signaturen erzeugt, das erste der drei Niveaus: Für AES oder QES braucht es einen externen Anbieter.

Der Assistent lässt Sie das rechtliche Mindestniveau und die Methoden getrennt wählen und verhindert falsche Kombinationen: Steht das Minimum auf «Cualificada», wird der Versand mit OTP oder Veriff abgelehnt, und dieselbe Prüfung gilt für die Standardmethoden des Kontos. Das wirkt unscheinbar und verhindert den häufigsten Fehler: einen als QES etikettierten Prozess, der mit einem SMS-Code bedient wird.

Bei SES geht der Versand direkt hinaus: Der Unterzeichner tippt den Code, und das signierte PDF kommt von selbst zurück. Bei QES gibt es einen Identifikationsschritt, den Sie selbst gestalten müssen: Der Unterzeichner braucht die installierte App und eine bereits verifizierte Identität, und beim ersten Mal kann diese Registrierung länger dauern als der Vertrag. Die praktische Folge ist unspektakulär und funktioniert: Informieren Sie die Gegenseite, bevor Sie senden.

Es gibt zwei Modi: Im Modus E-Mail verschickt e-Signature.eu die Einladung; im Modus Odoo-Ablauf geht das Angebot über den nativen Weg hinaus, und der Kunde unterschreibt in seinem Portal, wo «Firmar» an die Stelle von «Aceptar y pagar» tritt. Der zweite Modus verbarg einen Fehler, den wir behoben haben: Die Sitzung bei e-Signature.eu darf erst angelegt werden, wenn die E-Mail tatsächlich verschickt wird; zuvor ließ das Verwerfen des Entwurfs die Anfrage als gesendet zurück.

Abonnement oder Zahlung pro Signatur: die Überschlagsrechnung

Ein Abonnement zahlen Sie, egal ob Sie signieren oder nicht, und fast immer hat es ein Kontingent an Umschlägen. Das Modell von e-Signature.eu ist das Gegenteil: Sie kaufen Guthabenpakete, der Preis pro Guthabeneinheit sinkt mit dem Volumen, und jede Signatur verbraucht je nach Niveau Guthaben. In ihrem Katalog (demselben, den der Konnektor abbildet) verbraucht eine QES mit itsme® oder Evrotrust ein Guthaben pro Unterzeichner, eine AES mit Veriff 0,7 und eine SES per OTP 0,4, egal ob ein oder fünf Dokumente in der Anfrage stecken.

Die Rechnung hat eine Zeile: Teilen Sie die Jahresgebühr durch den Preis einer Guthabeneinheit, und Sie erhalten die Anzahl an Signaturen, ab der sich das Abonnement lohnt. Rechnen Sie mit der Gebühr, die man Ihnen anbietet, und mit dem Tarif, den e-Signature.eu auf seiner Website veröffentlicht: Das Ergebnis ist eine Zahl, keine Meinung. Und es gibt einen Effekt zweiter Ordnung: Mit Abonnement zahlen Sie dasselbe, egal ob Sie SES oder QES signieren, sodass Sie nichts dazu anhält, das Niveau anzupassen; mit Guthaben kostet AES statt QES bei dieser Signatur 30 % weniger. Die Wahl des Niveaus wird von einer abstrakten juristischen Diskussion zu einer wirtschaftlichen Entscheidung, bei jedem Versand.

Das Guthaben ist in Odoo mit dem Datum der letzten Aktualisierung sichtbar: Die API hat keinen Endpunkt für das Guthaben (sie liefert es in der Antwort auf jede Anfrage mit), daher übernimmt der Konnektor es aus der letzten Anfrage und aktualisiert es mit einem täglichen Cron, statt einen Live-Wert vorzutäuschen, den es nicht gibt.

Was gespeichert wird und wo der Nachweis liegt

Eine Signatur ohne abrufbaren Nachweis ist an dem Tag nutzlos, an dem man sie braucht. Wenn die Anfrage abgeschlossen ist, bleiben in Odoo drei Dinge zurück:

• Das signierte PDF, am Ursprungsdokument angehängt und danach benannt (S00026-signed.pdf), nicht nach der internen Kennung der Anfrage. Das klingt kosmetisch, bis jemand seinen Vertrag sucht und nicht findet.
• Der Audit Trail von e-Signature.eu, gespeichert als <documento>-audit-trail.pdf. Achtung: Die Plattform erzeugt ihn erst kurz nach Abschluss der Anfrage, er kann also fehlen, wenn Sie ihn genau beim Signieren abrufen; der Konnektor sagt Ihnen das, statt ohne Erklärung zu scheitern.
• Ein eigener Nachweisbericht des Moduls, mit dem tatsächlich erreichten eIDAS-Niveau, den Methoden, der Signaturzeit, dem SHA-256 des signierten Dokuments und, je Unterzeichner, seiner verifizierten Identität, der verwendeten Methode und dem Zeitpunkt der Signatur.

Und eine Schaltfläche, die Sie bei vielen Konnektoren nicht finden: Verify eIDAS signature öffnet das DSS-Validierungstool der Europäischen Kommission, damit Sie das signierte PDF gegen etwas validieren, das weder wir noch e-Signature.eu sind. Darunter wird der Status über einen mit HMAC-SHA256 signierten Webhook synchronisiert, mit einem Idempotenzprotokoll und einem stündlichen Rettungs-Cron; und wer eine abgeschlossene Anfrage löscht, löscht sie auch aus dem Verlauf von e-Signature.eu.

Zehn Prüfungsrunden mit e-Signature.eu

Dieser Konnektor wurde nicht einfach gegen die Dokumentation geschrieben und fertig: Er wurde dem Team von e-Signature.eu vorgelegt, ging kaputt und wurde neu geschrieben. Im Repository liegt je Runde eine Testdatei, von test_round2.py bis test_round10.py. Zwei Beispiele, zusätzlich zur Telefonnummer aus Runde 7:

• Runde 9. Eine im Dashboard von e-Signature.eu stornierte Anfrage blieb in Odoo für immer auf «Enviada». Und die naheliegende Lösung (sie erneut abzufragen) taugte ebenfalls nicht: Das Stornieren im Dashboard löscht sie bei e-Signature.eu, und die Abfrage antwortet mit 401.
• Runde 10. Eine halb signierte Anfrage zu stoppen, ließ den Unterzeichner ewig ausstehend: Die Plattform lehnt die Operation ab, solange noch niemand signiert hat, und der Code schluckte den Fehler und markierte die Anfrage trotzdem als gestoppt.

Es gibt sogar eine Funktion, die der Konnektor sich weigert vorzutäuschen: Die manuelle Platzierung der Signatur ist dokumentiert, aber der Produktiv-Validator lehnt sie ab (22 Varianten am 10. Juli 2026 gegen die echte API getestet, alle abgelehnt). Das Feld wegzulassen würde dazu führen, dass der Versand funktioniert und die Signatur automatisch platziert wird, wobei Ihre Koordinaten stillschweigend ignoriert würden; wir lassen es lieber mit einer Erklärung scheitern. Heute sind es 121 grüne Tests in Odoo 17, 18 und 19 mit demselben Quellcode, und die Suite wurde auch auf einem echten Odoo.sh-Build durchlaufen.

Nützliche Links

Häufig gestellte Fragen