QeS Telekom – Leibniz Universität IT Services – Leibniz Universität Hannover

In dieser Anleitung werden die notwendigen Schritte gezeigt, um ein QeS-Zertifikat (Qualifizierte elektronische Signatur) bei der Deutschen Telekom AG zu beantragen und zu verwenden. Neben der Deutschen Telekom AG gibt es auch weitere Anbieter, über die ein QeS-Zertifikat beantragt werden kann. Details dazu finden Sie hier. Stand der Anleitung: 2025-12/2026-01.

Übersicht der Schritte

Schritt 1: Rahmenbedingungen und Finanzierung klären
Die Kosten werden nicht vom LUIS übernommen.
Schritt 2: Zertifikat beantragen
Produkt auswählen, Formular ausfüllen, Antrag abspeichern.
Schritt 3: Antrag per Post versenden
Antrag ausdrucken, unterschreiben und versenden.
Schritt 4: Identifizierung durchführen
Die Identifizierung erfolgt über Postident.
Schritt 5: Karte aktivieren
Karte initialisieren inkl. PIN setzen über TCOS Card Manager.
Schritt 6: Empfangsbestätigung senden
Abschluss der Kartenaktivierung.
Schritt 7: Treiber installieren
Voraussetzung für die Nutzung des Zertifikats von der Karte.
Schritt 8: PDFs qualifiziert signeren
Am Beispiel von Adobe Reader.

Schritt 1: Rahmenbedingungen und Finanzierung klären

Rahmenbedingungen

Das QeS-Zertifikat können Sie bei der Deutschen Telekom AG beantragen. Dieses wird Ihnen nach Durchlaufen der Beantragungsschritte auf einer physischen Signaturkarte zugesendet. Neben der Deutschen Telekom AG existieren auch noch weitere geeignete Anbieter, bei denen ein QeS-Zertifikat beantragt werden kann, die vorliegende Anleitung/Anbieter ist nur ein Beispiel. Zwischen dem LUIS und der Deutschen Telekom AG bestehen keine Verträge bzgl. QeS. Informationen dazu sowie weitere allgemeine Informationen zur QeS finden Sie hier.
Zum Verwenden der Signaturkarte wird ein Card Reader benötigt (falls Sie bereits einen Reader für eine SAP-Smartcard in Betrieb haben, sollte dieser auch für die QeS-Signaturkarte funktionieren).
Die beste Kompatibilität besteht bei Nutzung von einem Windows Betriebssystem, die vorliegende Anleitung ist entsprechend darauf ausgerichtet. Die Beantragung und Nutzung der Signaturkarte auf macOS und Linux ist prinzipiell möglich, erfordern aber weitere Schritte, die in der vorliegenden Anleitung nicht thematisiert werden.
Die QeS-Zertifikate sind bei der Telekom nach Ausstellung aktuell 2 Jahre gültig (Stand 2026/01).
Im Laufe des Beantragungsprozesses können optional Ergänzungszertifikate installiert werden. Dies ist jedoch für den Anwendungszweck der QeS nicht notwendig.
In der vorliegenden Anleitung werden viele Fragen beantwortet. Ergänzend und darüber hinaus stellt die Telekom einen umfangreichen FAQ-Bereich zur Verfügung. Dieser kann bei Problemstellungen helfen, die über die vorliegende Anleitung hinausgehen.

Finanzierung

Die Beantragung des QeS-Zertifikats bei der Deutschen Telekom AG ist kostenpflichtig. Die Kosten werden nicht vom LUIS übernommen. Bitte klären Sie vor Beantragung mit Ihrer Beschaffungsstelle die Finanzierung. Im Laufe des Beantragungsprozesses ist es möglich, eine Rechnungsadresse anzugeben.

Schritt 2: Zertifikat beantragen

Navigieren Sie zu der Website der Deutschen Telekom AG, um den Beantragungsprozess zu starten. Auf die entsprechende Seite gelangen Sie über folgenden Link:

Website der Telekom für die Beantragung einer QeS-Signaturkarte

zur Beantragungsseite

Wählen Sie das gewünschte Produkt aus indem Sie auf "Bestellen" klicken. Für die meisten Anwendungsfälle sollte das Produkt "Light - Signaturkarte" ausreichend sein. Prüfen Sie dennoch Ihre Anforderungen an das Zertifikat. So können z.B. weitere Attribute in das Zertifikat aufgenommen werden, in diesem Fall müsste jedoch das Produkt "Standard - Signaturkarte" ausgewählt werden.

Füllen Sie die Angaben zu Ihrer Person aus. Es müssen mindestens die mit Sternchen (*) markierten Felder ausgefüllt werden.

Geben Sie eine Kontakt-Telefon-Nummer sowie eine Kontakt-Mail-Adresse an. Optional können Sie die E-Mail-Adresse auch in das Zertifikat mit aufnehmen lassen. Das ist notwendig, wenn Sie das Zertifikat auch für das Signieren/Verschlüsseln von E-Mails verwenden wollen.

Sie erhalten eine E-Mail an ihre hinterlegte E-Mail-Adresse mit einer Prüfnummer. Geben Sie die dort angegebene Prüfnummer ins Formularfeld ein.

Hier wird die E-Mail mit der Prüfnummer beispielhaft gezeigt.

Geben Sie die gewünschte Zustelladresse an. Es müssen mindestens die mit Sternchen (*) markierten Felder ausgefüllt werden.

Geben Sie die gewünschte Rechnungsanschrift an. Bei Unklarheiten wenden Sie sich an Ihre Beschaffungsstelle. Es müssen mindestens die mit Sternchen (*) markierten Felder ausgefüllt werden.

Nehmen Sie Kenntnis von den verlinkten AGBs, der Preisliste sowie den Informationen zum Public Key Service. Anschließend kann der Antrag durch Klicken auf "Absenden" finalisiert werden.

Der Antrag wurde erstellt. Laden Sie nun Ihren Auftrag herunter. Die Datei müssen Sie im nächsten Schritt ausdrucken und per Post verschicken. An dieser Stelle finden Sie bereits Informationen zur Identifikation, welche Sie ebenfalls in einem der nächsten Schritte durchführen müssen. — Der Antrag wurde erstellt. Laden Sie nun Ihren Auftrag herunter und speichern diesen ab. Die Datei müssen Sie im nächsten Schritt ausdrucken und per Post verschicken. An dieser Stelle finden Sie bereits Informationen zur Identifikation, welche Sie ebenfalls in einem der nächsten Schritte durchführen müssen.

Schritt 3: Antrag ausdrucken, unterschreiben und per Post versenden

Sie haben nun die Antrags-PDF vorliegen. Gehen Sie wie folgt vor:

Prüfen Sie die Angaben.
Drucken Sie den Antrag aus.
Unterschreiben Sie an den gekennzeichneten Stellen.
Fertigen Sie eine Kopie der Auftragsunterlagen für Ihre Unterlagen an.
Versenden Sie den unterschriebenen Antrag in einem Briefumschlag an die im Antrag hinterlegte Adresse.
Hinweis: Ein Teil des Antrags ist als "nur für Ihre persönlichen Unterlagen" gekennzeichnet. Versenden Sie diesen nicht mit. Bewahren Sie diesen sicher auf, die TelePIN benötigen Sie im weiteren Verlauf zur Aktivierung der Karte.

Schritt 4: Identifizierung durchführen

Zusätzlich zum Postversand müssen Sie sich identifizieren. Die Identifizierung erfolgt über Postident. Sie haben zwei Möglichkeiten:

Verwendung der Postident App (Voraussetzung: NFC-fähiges Smartphone, Personalausweis mit aktivierter Online-Ausweisfunktion, persönliche Personalausweis-PIN)

oder
Gang in eine Postfiliale mit Vorzeigen Ihres Personalausweises und des separat herunterladbaren Postident Coupons (siehe Antrags-Unterlagen)

Informationen zur Durchführung von der jeweiligen Postident-Variante finden Sie in Ihren Antrags-Unterlagen. Im Folgenden finden Sie eine beispielhafte Postident-Identifikation über die Postident App (ios):

Laden Sie die Postident App aus dem AppStore herunter.

Um den Identifizierungsvorgang zu starten, geben Sie im Feld die Vorgangsnummer ein oder scannen Sie alternativ den QR-Code. Beides finden Sie in Ihren Antragsunterlagen. Wählen Sie anschließend "POSTIDENT durch Online-Ausweisfunktion" aus. Grundsätzlich können Sie Postident auch in einer Postfiliale durchführen, hier wird jedoch beispielhaft der Ablauf der Identifizierung über die Online-Ausweisfunktion gezeigt.

Halten Sie Ihre selbstgewählte 6-stellige PIN oder Ihre 5-stellige Transport-Pin bereit. Falls Sie diese nicht vorliegen haben, kümmern Sie sich zuerst darum oder nutzen Sie alternativ Postident in einer Postfiliale.

Geben Sie die PIN ein. In diesem Screenshot wird die persönliche 6-stellige PIN verwendet. Hinweise zum Scannen des NFC-Chips des Personalausweises werden angezeigt.

Scannen Sie den NFC-Chip Ihres Personalausweises. Der erfolgreiche Abschluss der Identifizierung wird Ihnen durch eine Erfolgsmeldung angezeigt.

Schritt 4: Karte erhalten

Erst wenn der Antrag per Post versendet und bei der Telekom eingangen ist (Schritt 3) und die Identifizierung per Postident erfolgreich abgeschlossen wurde (Schritt 4) wird Ihr Antrag bearbeitet. Dies kann bei der Telekom einige Wochen dauern. Die Karte wird Ihnen an die in Schritt 2 angegebene Zustelladresse gesendet.

Sobald die Karte in den Versand gegangen ist, erhalten Sie eine E-Mail.

Die Karte erreicht Sie in einem Brief mit Informationen zu Ihrer Karte (Seriennummer, Gültigkeitszeitraum etc.). Hier das Aussehen der Karte von vorne…

Schritt 5: Karte aktivieren

Um die Karte in Betrieb nehmen zu können, muss diese zuerst aktiviert werden. Dafür wird das Programm TCOS Card Manager verwendet, über das die Smartcard mit einer PIN initialisiert werden kann. Die Telekom stellt dafür eine eigene Anleitung zur Verfügung, welche hier verlinkt wird. Bitte folgen Sie für diesen Schritt der Anleitung der Telekom:

Folgen Sie der Anleitung der Telekom zur Initialisierung der Smartcard über den TCOS Card Manager.

zur Anleitung

Ergänzende Hinweise:

Das Programm TCOS Card Manager können Sie auf der Telekom-Seite im Bereich "Secure Elements & Smartcards - TCOS Card Manager" herunterladen. Wenn Sie auf Ihrem Endgerät keine Software selbst installieren können, so steht auch eine "Portable"-Version zur Verfügung, für die eine Installation nicht notwendig ist.
Setzen der PIN: Achten Sie darauf, die PIN für "Pin SigG 1" und "Pin SigG 2" zu setzen. Nur diese sind relevant für die qualifizierte elektronische Signatur und werden später beim Signieren abgefragt. Die anderen PINs "Pin 1" und "Pin 2" werden nur benötigt, falls Ergänzungszertifikate auf der Smartcard verwendet werden. Dies ist jedoch für das Verwenden der qualifizierten elektronischen Signatur nicht notwendig.

Schritt 6: Empfangsbestätigung senden

Abschließend erfolgt die Empfangsbestätigung an die Telekom, mit der Sie mitteilen, dass Sie die Karte in Betrieb genommen haben und die Karte die korrekten Aufragsdaten enthält. Erst nach Abschicken der Empfangsbestätigung können Sie die Karte nutzen.

Öffnen Sie die Seite der Telekom, um die Empfangsbestätigung abzuschicken.

Zur Emfpangsbestätigung

Im Folgenden finden Sie Screenshots der zu erwartenden Schritte:

Geben Sie die Kartennummer ein. Die geforderte TelePIN finden Sie in Ihren Auftragsunterlagen, die Sie nach Abschluss von Schritt 2 erhalten haben. Bestätigen Sie zudem die geforderten Punkte und senden die Empfangsbestätigung ab.

Es wird Ihnen die erfolgreiche Bearbeitung der Empfangsbestätigung bestätigt. Für den Fall, dass die Empfangsbestätigung im Verzeichnisdienst veröffentlicht wird, dauert es noch einige Sekunden. Sie können den Status über den Link "Empfangsbestätigung überprüfen" prüfen.

Im Erfolgsfall erhalten Sie den Status "good".

Abschließend erhalten Sie eine E-Mail mit der Erfolgsmeldung. Die Signaturkarte ist nun einsatzbereit.

Schritt 7: Treiber installieren

Ihre Signaturkarte ist nun einsatzbereit. Zum Signieren z.B. einer PDF-Datei können verschiedene Progamme auf verschiedenen Betriebssystemen verwendet werden. Im Folgenden werden beispielshaft die Voraussetzungen sowie die Nutzung der Signaturkarte auf einem Windows 11 mit Adobe Reader gezeigt.

Als Voraussetzung für die Nutzung der Signaturkarte auf Windows 11 in Adobe Reader muss zuerst der entsprechende Treiber installiert werden. Navigieren Sie dafür zum Download-Portal der Telekom über folgenden Link:

Im Download-Portal der Telekom können Sie die entsprechenden Treiber finden und herunterladen.

zum Portal

Laden Sie im Bereich "Secure Elements & Smartcards" im Aufklappcontainer "TCOS Cardmodul zum Microsoft® Smartcard BaseCSP" die Installationsdatei für "Read Only Cardmodul zur Signature Card 3.0" herunter. Führen Sie die Installation durch Ausführen der Installationsdatei durch oder lassen Sie sich den Treiber von Ihrer zuständigen IT-Administration installieren. Anschließend ist ein Neustart notwendig. Im Folgenden finden Sie Screenshots des Vorgehens.

Wählen Sie das "Read Only Cardmodul zur Signature Card 3.0" aus und laden die Installationsdatei herunter.

Starten Sie die Installation per Doppelklick auf die Installationsdatei.

Akzeptieren Sie die Nutzungsbedingungen.

Geben Sie den Installationspfad an (am besten voreingestellt lassen) und fahren Sie fort durch Klicken auf "Next".

Starten Sie die Installation durch Klicken auf "Install".

Damit die geänderte Konfiguration geladen wird, müssen Sie den Computer einmal neu starten.

Schritt 8: PDFs qualifiziert signieren

Die Vorraussetzungen für das qualifizierte Signieren mit der Signaturkarte sind durch die Treiberinstallation nun gegeben. Im Folgenden wird gezeigt, wie mit Adobe Reader auf Windows 11 eine PDF mit einer qualifizierten elektronischen Signatur versehen wird. Verbinden Sie Ihren Card Reader mit Ihrem Computer, stecken Sie die Signaturkarte ein und öffnen Sie die zu signierende PDF-Datei im Adobe Reader.