Wie prüfe ich eine elektronische Signatur? Validatoren verständlich erklärt.

Eine Unterschrift mit Tinte bittet Sie, ihr zu vertrauen. Eine elektronische Signatur lässt Sie nachprüfen. Das ist der ganze Unterschied, und deshalb bringt jede ernsthafte elektronische Signatur alles mit, was eine fremde Person zur Prüfung braucht, ohne die unterzeichnende Person, den Absender oder den Anbieter fragen zu müssen.

Brauche ich kostenpflichtige Software? Nein. Eine Signatur zu prüfen ist kostenlos. Kosten entstehen beim Signieren, weil ein Vertrauensdiensteanbieter Identitäten prüfen und für seine Zertifikate einstehen muss. Die Prüfung liest nur, was ohnehin in der Datei steht.

Brauche ich Adobe Acrobat? Nein. Der kostenlose Adobe Acrobat Reader prüft Signaturen zuverlässig und ist eine von mehreren Möglichkeiten. Ein Validator im Web funktioniert in jedem Browser, auf jedem Gerät, und viele erklären jeden Prüfschritt in verständlichen Worten.

Sie haben also drei Wege, vom schnellsten zum förmlichsten:

• Ein Online Validator. PDF hochladen, Bericht lesen. Unserer ist die kostenlose PDF Signaturprüfung: ohne Konto, die Datei wird nicht gespeichert.
• Adobe Acrobat Reader. PDF öffnen und das Fenster Signaturen öffnen. Jeden Schritt erklären wir in Eine Signatur im Adobe Reader prüfen.
• Ein qualifizierter Validierungsdienst. Brauchen Sie ein Ergebnis, das selbst rechtliches Gewicht hat, etwa für ein Gericht oder eine Behörde, bieten manche Vertrauensdiensteanbieter die Validierung als qualifizierten Dienst nach eIDAS an.

Prüfen lässt sich eine Signatur nur, wenn sie ihre Beweise selbst mitbringt. Denken Sie an ein Wachssiegel auf einem Brief, dazu eine beglaubigte Kopie des Ausweises und ein Poststempel mit Datum. Eine moderne elektronische Signatur hat alle drei, in digitaler Form:

1. 1
   Ein Fingerabdruck des Dokuments

   Die Signatursoftware berechnet zuerst einen Hash: einen kurzen Wert, abgeleitet aus jedem Byte der Datei. Ändert sich ein Komma, ändert sich der Fingerabdruck vollständig.

2. 2
   Ein Siegel über diesem Fingerabdruck

   Der Fingerabdruck wird mit dem privaten Schlüssel der unterzeichnenden Person versiegelt, einem Schlüssel, den nur sie kontrolliert. Mit dem passenden öffentlichen Schlüssel kann jede:r das Siegel prüfen, fälschen lässt es sich ohne den privaten Schlüssel nicht.

3. 3
   Ein Zertifikat, das die Person benennt

   Der öffentliche Schlüssel steckt in einem Zertifikat: einem digitalen Ausweis, den ein Vertrauensdiensteanbieter ausstellt, nachdem er die Identität geprüft hat. Der Anbieter signiert das Zertifikat seinerseits, so lässt es sich bis zu seiner Quelle zurückverfolgen.

4. 4
   Ein Zeitstempel von einer unabhängigen Uhr

   Ein Zeitstempeldienst bestätigt, wann die Signatur existierte. Ohne ihn stammt die Zeit vom Computer der unterzeichnenden Person, und dessen Uhr lässt sich auf jedes beliebige Datum stellen.

5. 5
   Der Nachweis für später

   Mit Langzeitvalidierung (LTV) speichert die Datei auch die Zertifikate und Widerrufsauskünfte, die zum Zeitpunkt der Signatur galten. So bleibt die Signatur prüfbar, auch wenn diese Zertifikate längst abgelaufen sind.

In einem PDF steckt all das in der Datei selbst, in einem offenen europäischen Standard namens PAdES. Deshalb kann jeder Validator sie lesen: Sie sind weder von der Software noch vom Unternehmen abhängig, das die Signatur erstellt hat.

Ein Validator ist ein Programm, das die Beweise in der Datei liest und jeden einzelnen prüft. Den Angaben des Dokuments selbst vertraut er nicht: Er rechnet nach, verfolgt zurück und fragt nach. In der Reihenfolge, in der ein guter Validator arbeitet:

1. 1
   Den Fingerabdruck neu berechnen

   Der Validator berechnet den Hash des Dokuments erneut und vergleicht ihn mit dem in der Signatur. Stimmen beide überein, hat sich seit der Signatur kein einziges Bit verändert.

2. 2
   Das Siegel öffnen

   Mit dem öffentlichen Schlüssel aus dem Zertifikat prüft er, ob das Siegel tatsächlich mit dem passenden privaten Schlüssel erstellt wurde.

3. 3
   Der Zertifikatskette folgen

   Er verfolgt das Zertifikat über seine Aussteller bis zu einer Wurzel, der er vertraut, typischerweise einer auf den EU Vertrauenslisten oder der AATL von Adobe.

4. 4
   Nach dem Widerruf fragen

   Er fragt beim Aussteller nach, ob das Zertifikat widerrufen wurde, und vergleicht die Antwort mit dem Zeitpunkt der Signatur.

5. 5
   Die Zeit bestätigen

   Er prüft den Zeitstempel. So hat die Frage „gültig, wann?“ eine Antwort, die nicht auf irgendjemandes Wort beruht.

6. 6
   Die Stufe bestimmen

   Anhand des Zertifikats und der Vertrauenslisten sagt er Ihnen, ob die Signatur qualifiziert (QES), fortgeschritten (AdES) oder keines von beidem ist.

Die EU Vertrauenslisten verdienen ein eigenes Wort. Jeder Mitgliedstaat veröffentlicht eine amtliche, signierte Liste der Vertrauensdiensteanbieter, die er beaufsichtigt, und die Europäische Kommission verknüpft sie alle in einer Liste der Listen. Sagt ein Validator „qualifiziert“, hat er genau dort nachgesehen: nicht im Marketing des Anbieters, sondern in einem Register der Aufsichtsbehörden.

Ein Zertifikat kann vor seinem Ablauf gesperrt werden, ähnlich wie eine Bankkarte, die Sie als verloren melden. Vielleicht wurde ein Schlüssel kompromittiert, eine Person hat das Unternehmen verlassen, oder Angaben im Zertifikat waren falsch. Der Aussteller widerruft es dann, und ab diesem Moment darf damit nicht mehr signiert werden.

Validatoren erfahren davon auf einem von zwei Wegen:

• Eine Sperrliste (CRL). Der Aussteller veröffentlicht regelmäßig eine signierte Liste aller widerrufenen Zertifikate. Der Validator lädt sie und sucht das betreffende Zertifikat.
• Eine Live-Abfrage (OCSP). Der Validator fragt beim Aussteller direkt zu einem Zertifikat nach und erhält eine signierte Antwort: gültig, widerrufen oder unbekannt. Bei einem Widerruf steht auch dabei, wann.

Auf das „wann“ kommt es an. Ein Zertifikat, das nach der Signatur widerrufen wurde, macht diese Signatur nicht ungültig: Am Tag der Signatur war es einwandfrei. Ein Widerruf davor ist eine andere Geschichte. Genau deshalb ist der Zeitstempel so wertvoll: Ohne verlässliche Zeit kann niemand sagen, auf welcher Seite des Widerrufs die Signatur liegt.

Die meisten Validatoren fassen ihre Prüfung in einer von drei Antworten zusammen. Jede sagt etwas Genaues aus, und etwas nicht:

Eine Grenze gilt für jeden Validator: Er prüft die Signatur, nicht das Geschäft. „Gültig“ sagt Ihnen, wer was wann signiert hat. Ob der Inhalt stimmt oder ob die Person ihr Unternehmen vertreten durfte, sagt es nicht. Das bleibt bei Ihnen, oder bei Ihrer Rechtsanwältin, Ihrem Rechtsanwalt.

Man hält die elektronische Signatur leicht für die bequeme Kopie des Originals. Technisch ist es umgekehrt. Eine Unterschrift mit Tinte beweist erstaunlich wenig, und selbst das nur mit einem Gutachten.

Das Recht hat daraus seinen Schluss gezogen. Nach Art. 25 Abs. 2 der eIDAS Verordnung hat eine qualifizierte elektronische Signatur in jedem EU Mitgliedstaat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. In der Praxis ist sie die stärkere der beiden: leichter zu prüfen und weit schwerer zu bestreiten.

Alle guten Validatoren prüfen dieselben Beweise. Sie unterscheiden sich darin, welche Vertrauenslisten sie heranziehen, wie sie das Ergebnis erklären und was mit Ihrer Datei geschieht:

• swipesign PDF Signaturprüfung: kostenlos, ohne Konto, die Datei wird im Arbeitsspeicher verarbeitet und nicht gespeichert. Prüft gegen die EU Vertrauenslisten und die AATL von Adobe, samt Widerruf, Zeitstempel und Signaturstufe, mit einem Bericht in verständlicher Sprache.
• RTR Signaturprüfung (Österreich): Die österreichische Aufsichtsstelle ist gesetzlich verpflichtet, einen kostenlosen Dienst zur Prüfung qualifizierter Signaturen und Siegel anzubieten. Naheliegend für Dokumente mit österreichischem Zertifikat oder Amtssignatur.
• DSS Demo der Europäischen Kommission: aufgebaut auf der quelloffenen Validierungsbibliothek der Kommission, mit sehr detaillierten Berichten. Die Kommission bezeichnet sie als Demonstration zu Testzwecken, laden Sie also keine vertraulichen Dokumente hoch.
• Adobe Acrobat Reader: kostenlos, offline, auf vielen Rechnern bereits installiert. Das Ergebnis steht im Fenster Signaturen, die Einzelheiten in den Eigenschaften jeder Signatur.
• Swisscom Validator: für Signaturen nach dem Schweizer Signaturgesetz (ZertES) der richtige Ort zur Prüfung.

Wofür Sie sich auch entscheiden: Eine Prüfung dauert weniger als eine Minute. Ist Ihnen ein signiertes Dokument wichtig, prüfen Sie es. Genau dafür ist die Signatur da.

Adobe, Acrobat und Reader sind Marken oder eingetragene Marken von Adobe Inc. in den USA und/oder anderen Ländern. swipesign ist mit Adobe weder verbunden noch von Adobe empfohlen.