Wie integriere ich eine elektronische Signatur über eine API in meine eigene Website/App?

Verständnis der Integration von E-Signatur-APIs

In der heutigen, digital ausgerichteten Geschäftswelt kann die Integration von elektronischen Signaturen in eine Website oder Anwendung Arbeitsabläufe rationalisieren, Papierkram reduzieren und das Benutzererlebnis verbessern. Von E-Commerce-Plattformen, die eine schnelle Vertragsgenehmigung benötigen, bis hin zu HR-Systemen, die das Onboarding automatisieren, ermöglichen API-gesteuerte elektronische Signaturen eine nahtlose Einbettung, ohne dass Benutzer auf Websites von Drittanbietern umgeleitet werden müssen. Dieser Ansatz erhöht nicht nur die Effizienz, sondern stellt auch die Einhaltung globaler Vorschriften sicher, was ihn zu einer wichtigen Überlegung für Entwickler und Wirtschaftsführer gleichermaßen macht.

Schritt-für-Schritt-Anleitung zur Integration von E-Signaturen über APIs

Die Integration von elektronischen Signaturen in Ihre Website oder Anwendung erfordert einen strukturierten Ansatz, der sich auf Sicherheit, Benutzerfreundlichkeit und Skalierbarkeit konzentriert. Im Folgenden skizzieren wir den Prozess und stützen uns dabei auf gängige Praktiken von Anbietern wie DocuSign und Adobe Sign. Dieser Ansatz setzt grundlegende Programmierkenntnisse (z. B. JavaScript, Python) und Zugriff auf eine Entwicklungsumgebung voraus.

Schritt 1: Auswahl des richtigen E-Signatur-Anbieters

Bewerten Sie Anbieter anhand Ihrer Bedürfnisse: Qualität der API-Dokumentation, Preisgestaltung (pro Umschlag oder Abonnement), unterstützte Sprachen und regionale Compliance. Wenn Ihre Anwendung beispielsweise globale Benutzer bedient, sollten Sie Plattformen mit breiter rechtlicher Gültigkeit priorisieren. Überprüfen Sie die SDKs (Software Development Kits), die für Ihren Technologie-Stack verfügbar sind – die meisten bieten RESTful-APIs und JSON-Nutzlasten. Beginnen Sie mit der kostenlosen Ebene oder Sandbox, um die Integration ohne Kosten zu testen.

Zu den Schlüsselfaktoren gehören Umschlagbeschränkungen (Anzahl der zu signierenden Dokumente), Authentifizierungsmethoden (OAuth 2.0 ist Standard) und zusätzliche Funktionen wie die Identitätsprüfung. Anwendungen mit hohem Datenverkehr können je nach API-Aufrufbudget schnell an ihre Grenzen stoßen.

Schritt 2: Einrichten der Authentifizierung und des API-Zugriffs

Registrieren Sie nach der Auswahl eines Anbieters ein Entwicklerkonto. Die meisten Anbieter stellen API-Schlüssel oder Token über ein Dashboard aus. Implementieren Sie OAuth 2.0 für den sicheren Zugriff – dies beinhaltet die Registrierung Ihrer Anwendung, um eine Client-ID und ein Client-Geheimnis zu erhalten.

Beispielhafter Arbeitsablauf:

• Leiten Sie Benutzer zum Autorisierungsendpunkt des Anbieters um.
• Verarbeiten Sie den Rückruf, um einen Code gegen ein Zugriffstoken auszutauschen.
• Verwenden Sie dieses Token im API-Header (z. B. Authorization: Bearer {token}).

Beispiel mit Node.js mit DocuSign:

const docusign = require('docusign-esign');
const apiClient = new docusign.ApiClient();
apiClient.setBasePath('https://demo.docusign.net/restapi');
apiClient.addDefaultHeader('Authorization', 'Bearer ' + accessToken);

Testen Sie in der Sandbox, um Produktionsgebühren zu vermeiden.

Schritt 3: Vorbereiten und Erstellen eines Umschlags

Ein "Umschlag" ist die Kerneinheit – ein Container, der Dokumente, Unterzeichner und Felder enthält. Laden Sie Dokumente (PDF ist am besten) über die API hoch und definieren Sie Signaturfelder (z. B. Signatur, Datum, Text).

API-Aufrufstruktur:

• POST an den /envelopes-Endpunkt.
• Die Nutzlast enthält base64-codierte Dokumente, E-Mail/Rolle des Empfängers und Registerkarten (Felder wie /tabs/signature).

Für die Einbettung in eine Anwendung:

• Verwenden Sie "Embedded Signing", wobei die Signaturzeremonie in einem Iframe innerhalb Ihrer Website geladen wird.
• Generieren Sie ein Empfängertoken über /envelopes/{envelopeId}/views/recipient, um die Sitzung zu steuern.

Python-Beispiel mit der Requests-Bibliothek:

import requests
import base64

url = 'https://demo.docusign.net/restapi/v2.1/accounts/{accountId}/envelopes'
headers = {'Authorization': 'Bearer ' + accessToken, 'Content-Type': 'application/json'}
document_b64 = base64.b64encode(open('contract.pdf', 'rb').read()).decode()
payload = {
    "documents": [{"documentBase64": document_b64, "name": "Contract", "fileExtension": "pdf"}],
    "recipients": {"signers": [{"email": "signer@example.com", "name": "John Doe", "recipientId": "1"}]},
    "status": "sent"
}
response = requests.post(url, headers=headers, json=payload)
envelope_id = response.json()['envelopeId']

Behandeln Sie Fehler wie ungültige Dokumente oder Überschreitung des Kontingents.

Schritt 4: Einbetten des Signaturerlebnisses

Verwenden Sie für ein natives Gefühl ein Iframe oder eine Inline-Komponente, um die Ansicht des Unterzeichners einzubetten. Anbieter stellen nach der Erstellung des Umschlags eine URL mit kurzer Gültigkeitsdauer (z. B. 5 Minuten) bereit, um Missbrauch zu verhindern.

Im Frontend (React-Beispiel):

<iframe src={recipientViewUrl} width="100%" height="600px" frameborder="0"></iframe>

Verwenden Sie Branding-Optionen zur Anpassung, falls verfügbar. Überwachen Sie die Fertigstellung über Webhooks – richten Sie einen Endpunkt auf Ihrem Server ein, um Ereignis-Callbacks wie "signiert" oder "abgelehnt" zu empfangen.

Schritt 5: Umgang mit Post-Signatur-Aktivitäten und Compliance

Rufen Sie nach der Signatur den fertigen Umschlag über GET /envelopes/{envelopeId}/documents ab. Speichern Sie Audit Trails (Zeitstempel, IP-Protokolle) als Rechtsbeweis. Implementieren Sie Webhooks für Echtzeitaktualisierungen:

• POST an Ihre URL mit Ereignisdaten.

Testen Sie Randfälle: Workflows mit mehreren Unterzeichnern, mobile Reaktionsfähigkeit und internationale Zeichen. Skalieren Sie, indem Sie die API-Nutzung überwachen – aktualisieren Sie den Plan für höhere Kapazitäten. Sicherheitstipp: Verwenden Sie immer HTTPS und validieren Sie Token, um Manipulationen zu verhindern.

Diese Integration dauert in der Regel 1-2 Wochen, um ein MVP zu erstellen, abhängig von der Komplexität. Die Kosten beginnen niedrig (z. B. 0,10 USD pro Umschlag), steigen aber mit der Nutzung.

Wichtige Anbieter von E-Signatur-APIs

Es gibt mehrere große Plattformen, die den Markt dominieren, jede mit Stärken in Bezug auf API-Benutzerfreundlichkeit, Funktionen und globale Abdeckung. Wir werden die wichtigsten Plattformen mit Schwerpunkt auf Integrationsaspekten umreißen.

DocuSign

DocuSign ist führend mit einer robusten API für elektronische Signaturen und CLM (Contract Lifecycle Management). Das Entwicklerzentrum bietet umfassende SDKs in mehreren Sprachen, die eingebettete Signaturen, Massenversand und Webhooks unterstützen. Der Starter-Plan (600 USD/Jahr) ist für kleine Integrationen mit 40 Umschlägen pro Monat geeignet und kann für benutzerdefinierte Anforderungen auf Enterprise skaliert werden. Zu den IAM-Funktionen gehören SSO und erweiterte Audit-Protokolle, die für regulierte Branchen geeignet sind. Die Preisgestaltung basiert auf Sitzplätzen, und Add-ons umfassen SMS-Zustellung oder ID-Überprüfung.

Adobe Sign

Adobe Sign (jetzt Adobe Acrobat Sign) lässt sich nahtlos in das Adobe-Ökosystem integrieren und bietet APIs für die Dokumentenerstellung und -signatur. Es zeichnet sich in Unternehmensworkflows mit Funktionen wie bedingten Feldern und Zahlungserfassung aus. Entwicklerpläne beginnen bei etwa 10 USD/Benutzer/Monat, und API-Kontingente basieren auf dem Datenverkehr. Die Compliance entspricht ESIGN/UETA in den USA und eIDAS in Europa und ist somit für grenzüberschreitende Anwendungen geeignet. Die REST-API unterstützt OAuth und eingebettete Erlebnisse, obwohl sich die Dokumentation eher an Unternehmen richtet.

eSignGlobal

eSignGlobal konzentriert sich auf elektronische Signaturen im asiatisch-pazifischen Raum und bietet eine nahtlose Integration mit APIs, die unbegrenzte Benutzer und regionale Compliance unterstützen. Es deckt die Compliance in 100 wichtigen Ländern weltweit ab und hat eine starke Präsenz im asiatisch-pazifischen Raum, wo die Vorschriften fragmentiert, die Standards hoch und die Durchsetzung streng ist. Im Gegensatz zu den Rahmenstandards in den USA (ESIGN) oder Europa (eIDAS) erfordert der asiatisch-pazifische Raum eine "Ökosystemintegrations"-Lösung – tiefe Hardware-/API-Integrationen mit digitalen Regierungsidentitäten (G2B), die über die in der westlichen Welt übliche E-Mail-Verifizierung oder Selbstauskunft hinausgehen. Der Professional-Plan von eSignGlobal umfasst den API-Zugriff ohne separate Entwicklergebühren und unterstützt Massenversand und KI-gestützte Vertragstools. Die Preisgestaltung ist wettbewerbsfähig: Der Essential-Plan kostet 16,6 USD pro Monat und ermöglicht 100 Dokumente, unbegrenzte Sitzplätze und die Überprüfung des Signaturzugangscodes – was auf Compliance-Basis äußerst kostengünstig ist. Es ist nativ in iAM Smart in Hongkong und Singpass in Singapur integriert. Für eine 30-tägige kostenlose Testversion besuchen Sie die Kontaktseite.

HelloSign (Dropbox Sign)

HelloSign wurde von Dropbox übernommen und bietet eine intuitive API für einfache Integrationen, die die Zusammenarbeit im Team betont. Die Vorlagen- und Erinnerungsfunktionen eignen sich für KMUs, von kostenlos (begrenzte Umschläge) bis Premium (15 USD/Benutzer/Monat). Zu den API-Funktionen gehören eingebettete Signaturen und Webhooks, die ESIGN in den USA und eIDAS in der EU entsprechen. Es ist entwicklerfreundlich, bietet aber möglicherweise keine erweiterten Anpassungen für den asiatisch-pazifischen Raum.

Vergleich der Anbieter von E-Signatur-APIs

Diese Tabelle verdeutlicht die Kompromisse: DocuSign und Adobe zeichnen sich durch ihre Größe aus, während eSignGlobal einen Mehrwert für regionale Anforderungen bietet und HelloSign die Einfachheit priorisiert. Die Wahl hängt von der geografischen Lage und dem Datenverkehr Ihrer Anwendung ab.

Rechtliche Überlegungen bei der Integration von E-Signaturen

Elektronische Signaturen sind im Rahmen von Gesetzen wie dem US ESIGN Act (2000) und der EU eIDAS-Verordnung (2014) rechtsverbindlich, die eine Signaturabsicht, Zustimmung und Auditierbarkeit erfordern. Im asiatisch-pazifischen Raum sind die Gesetze unterschiedlich: Das Electronic Transactions Act in Singapur ähnelt ESIGN, erfordert aber eine lokale Datenspeicherung, während die Vorschriften in China die Überprüfung des echten Namens betonen. Stellen Sie bei der API-Integration sicher, dass der Anbieter zertifiziert ist (z. B. ETSI in Europa) und unveränderliche Protokolle speichert. Verwenden Sie für mehrere Regionen geografisch spezifische Endpunkte, um die Regeln zur Datenhoheit einzuhalten.

Fazit

Die Integration von elektronischen Signaturen über APIs verwandelt Anwendungen in effiziente, konforme Tools, aber der Erfolg hängt von der Übereinstimmung des Anbieters mit Ihrem Unternehmen ab. Für Benutzer, die eine DocuSign-Alternative suchen, zeichnet sich eSignGlobal als regionale Compliance-Option aus, insbesondere im asiatisch-pazifischen Raum, mit kostengünstigen, unbegrenzten Sitzplätzen und nativen Regierungsintegrationen. Bewerten Sie Testversionen, um sie an Ihre Bedürfnisse anzupassen.