Digitale Signatur ungültig? Was Acrobat mit "Es gibt bei mindestens einer Unterschrift Probleme" meint

Sie öffnen einen signierten Vertrag, und quer über der Seite liegt ein gelber Balken: "Es gibt bei mindestens einer Unterschrift Probleme." Das klingt wie ein Vorwurf. Meistens ist es keiner. Wer in diesem Moment "digitale Signatur ungültig" in die Suche tippt, sucht fast immer nach genau dieser Meldung.

Acrobat führt für jede Signatur zwei getrennte Prüfungen durch, und laut Adobes eigenem Leitfaden zur Signaturvalidierung (englisch) hängt der Status von beiden ab. Die erste ist die Integrität des Dokuments: Haben sich die signierten Bytes seit der Signatur verändert? Die zweite ist die Identität des Unterzeichners: Führt das Signaturzertifikat auf ein Zertifikat zurück, dem Ihr Acrobat vertraut, und war es zu dem Zeitpunkt gültig, auf den Acrobat prüft? Fällt eine der beiden Prüfungen bei irgendeiner Signatur der Datei nicht sauber aus, erscheint der Balken.

In der Praxis scheitert die Identitätsprüfung weit häufiger. Ihr Reader weiß schlicht nicht, dass er dem Aussteller des Zertifikats vertrauen soll; die Datei ist in Ordnung, die Lücke liegt in der Vertrauensliste auf Ihrem Rechner. Das ist Ihre Baustelle, nicht die des Absenders.

Seltener, aber wichtig: Das Dokument wurde nach der Signatur tatsächlich verändert. Die Tabelle unten sortiert jede Meldung in einen der beiden Stapel, und ein Prüfdienst, der jede Prüfung einzeln ausweist, zeigt Ihnen, in welchem Stapel Sie stecken.

Öffnen Sie das Signaturfenster, und aus dem Balken wird etwas Konkreteres. Unter einer Signatur steht am häufigsten die Zeile "Die Gültigkeit der Unterschrift ist unbekannt", und darunter folgen zwei Sätze, die wichtiger sind als die Überschrift.

Der eine sagt, ob das Dokument seit dem Anbringen der Signatur verändert wurde. Der andere sagt, ob die Identität des Unterzeichners bekannt ist. Steht beim ersten, dass das Dokument seit der Signatur nicht verändert wurde, und beim zweiten, dass die Identität unbekannt ist, wissen Sie das Wichtigste: Der Inhalt ist genau der, der signiert wurde, nur kann Acrobat nicht dafür bürgen, wer unterschrieben hat.

Dafür gibt es drei gewöhnliche Gründe:

• Die ausstellende Zertifizierungsstelle steht auf keiner Liste, die Ihr Acrobat mitbringt, oder Ihre Kopie dieser Listen ist veraltet.
• Das Zertifikat ist selbst signiert, und kein Reader vertraut einer selbst signierten ID von sich aus.
• Die Sperrinformationen ließen sich nicht abrufen, die Prüfung brach also vor einem Ja ab.

Ist die Gültigkeit der Unterschrift bei einem PDF von einem Amtsportal oder einem großen Lieferanten unbekannt, steckt fast immer der erste Grund dahinter.

Eine einzige weltweite Liste vertrauenswürdiger Unterzeichner gibt es nicht. Acrobat bildet sein Urteil aus einem kleinen Stapel von Quellen, deshalb kann dasselbe signierte PDF an einem Schreibtisch gültig und am nächsten unbekannt sein, ohne dass jemand falsch liegt.

Zuerst kommt die Adobe Approved Trust List, Adobes eigenes Programm für Zertifizierungsstellen und Zeitstempeldienste, deren Zertifikaten Acrobat und Reader ab Werk vertrauen. Als wir die Mitgliederseite der AATL am 14. Oktober 2026 durchzählten, führte sie 92 Anbieter: kommerzielle Zertifizierungsstellen wie DigiCert, GlobalSign und Sectigo neben nationalen Stellen wie der indischen CCA und dem brasilianischen ITI, aus dem deutschsprachigen Raum außerdem D-TRUST, Atos, Swisscom, SwissSign und e-monitoring aus Österreich. Steht der Aussteller Ihrer Signatur auf dieser Seite und die Warnung bleibt, ist wahrscheinlich Ihre lokale Kopie der Liste schuld.

Als Nächstes kommt die EU-Vertrauensliste. Nach Artikel 22 der eIDAS-Verordnung führt jeder Mitgliedstaat eine Liste seiner qualifizierten Vertrauensdiensteanbieter; in Deutschland stellt sie die Bundesnetzagentur auf (§ 9 Vertrauensdienstegesetz). Adobes Seite zur EUTL beziffert die Gesamtzahl auf mehr als 400 aktive und ältere Anbieter. Acrobat fragt diese Listen nicht live ab. Es hält einen Schnappschuss, beschränkt auf Anbieter von Signatur- und Siegelzertifikaten und Zeitstempeln, und aktualisiert ihn ungefähr einmal im Monat, weshalb ein neu gelisteter Anbieter ein paar Wochen lang als unbekannt gelten kann.

Zuletzt kommt Ihr eigener Rechner: Zertifikate, die Sie zu den vertrauenswürdigen Zertifikaten hinzugefügt haben, und, unter Windows, wahlweise die Stammzertifikate aus dem Windows-Zertifikatspeicher, denen Acrobat für die Signaturvalidierung vertrauen kann.

Alles außerhalb dieser drei Quellen löst die Warnung aus, und aus Nutzersicht heißt das dann: digitale Signatur ungültig. Eine interne Unternehmens-CA tut das, etwa wenn das Personalsystem Lohnabrechnungen mit einem firmeneigenen Zertifikat signiert. Das tut auch eine selbst signierte ID, die jemand in seinem PDF-Editor erzeugt hat, und eine nationale CA, die auf keiner der beiden Listen steht. Ehrlich gesagt überspringen die meisten Anleitungen genau diesen Punkt, dabei ändert er, was Sie tun sollten. Bevor Sie irgendetwas von Hand vertrauen, prüfen Sie, ob der Aussteller bereits gelistet ist. Wenn ja: aktualisieren. Wenn nein, treffen Sie eine Vertrauensentscheidung, und zu wissen, was ein qualifiziertes Zertifikat bescheinigt, ist fünf Minuten wert, bevor Sie sie treffen.

Wer mit indischen Geschäftspartnern arbeitet, bekommt gelegentlich PDFs mit einem Digital Signature Certificate (DSC) oder einer Aadhaar-eSign-Signatur: Steuerbescheinigungen, Registerauszüge, Darlehensverträge. Jedes trägt ein Zertifikat einer Zertifizierungsstelle, die der Controller of Certifying Authorities (CCA) lizenziert hat.

Ältere Anleitungen behaupten, Acrobat kenne diese Wurzel nicht. Das stimmt so nicht: CCA India und eMudhra stehen beide auf Adobes Mitgliederseite der AATL. Die erste Hilfe bei so einer Datei ist deshalb Schritt 4, das Update der AATL, und kein Import von Hand. Welche Wurzel hinter dem CCA-Eintrag steht, nennt die Seite nicht; endet die Kette aus Schritt 3 trotz Update bei einem unbekannten Stammzertifikat, vergleichen Sie es mit den Angaben der CCA selbst.

Eine Grenze auf unserer Seite: Der Validator von Chaindoc verankert auf der EU-Vertrauensliste, eine von der CCA ausgestellte Datei kommt daher mit einem Integritätsergebnis und einer ungeklärten Kette zurück. Für ein Urteil über die indische Kette ist Acrobat mit aktualisierter AATL das bessere Werkzeug.

Acrobat ist nicht der einzige Reader, der Sie warnt, und manche prüfen gar nichts. Je nach Programm lautet die Meldung "Signatur nicht verifiziert", "Signaturprüfung fehlgeschlagen" oder "digitale Signatur kann nicht verifiziert werden"; dahinter steckt oft dieselbe Vertrauenslücke.

Foxit PDF Reader führt eine eigene Validierung durch. Laut Handbuch kann eine Signatur als unbekannt oder nicht verifizierbar erscheinen, bis Sie den Aussteller zu den vertrauenswürdigen Zertifikaten hinzufügen, und auf Wunsch übernimmt Foxit auch Stammzertifikate aus dem Zertifikatspeicher des Betriebssystems. AATL und EU-Listen erwähnt das Handbuch nicht; ein PDF, das in Acrobat grün ist, kann auf demselben Rechner in Foxit unbekannt sein.

PDF Architect zeigt im Ansichtsmodus beim Klick auf die Signatur ein Fenster, ob sie noch gültig ist, und verweist für die Zertifikatdetails auf die im Windows-Zertifikatspeicher hinterlegten Angaben. Laut Hilfeseite muss man dafür an dem Rechner sitzen, mit dem die Signatur angebracht wurde, und AATL oder EU-Vertrauenslisten nennt sie nicht; eine ungültige Signatur in PDF Architect sagt deshalb noch nichts darüber, was Acrobat meldet.

Bei der Vorschau unter macOS ist es umgekehrt. Apples Anleitung beschreibt, wie man eine Unterschrift mit dem Trackpad, der Kamera oder einem iPhone aufnimmt, und sagt nichts über die Prüfung von Zertifikaten. Eine signierte Datei kann in der Vorschau makellos aussehen, ohne dass die Vorschau etwas geprüft hat. Falls Sie nicht sicher sind, was Sie vor sich haben: eine gezeichnete Signatur und eine Zertifikatssignatur sind zwei verschiedene Dinge.

Smartphones hängen von der App ab. Zeigt Ihr Viewer weder ein Signaturfenster noch Zertifikatdetails, hat er nichts geprüft, so ordentlich die Seite auch aussieht.

Manchmal meldet das Signaturfenster, das Dokument sei seit der Signatur geändert oder beschädigt worden, oder es markiert die Signatur als ungültig. Dann scheitert die Integritätsprüfung, und keine Vertrauenseinstellung berührt sie. Die signierte Version im Signaturfenster zeigt, was genau signiert wurde; vergleichen Sie sie mit dem, was Sie erhalten haben, und bitten Sie den Absender um die Originaldatei.

Eine Unterscheidung hilft. Ein zertifiziertes PDF kann nach der Signatur Formularausfüllen oder Kommentare erlauben, und Acrobat führt das als zulässige Änderungen auf, nicht als Fehler. Steht dort tatsächlich digitale Signatur ungültig, ist das etwas anderes als "Probleme": Es verlangt einen Anruf beim Absender, keine Einstellungsänderung.

Melden Empfänger bei Dateien, die Sie signieren, immer wieder den Balken oder gar digitale Signatur ungültig, liegt die Lösung auf Ihrer Seite, und meistens ist es eine Zertifikatsfrage.

• Keine selbst signierte ID für Dokumente, die das Haus verlassen. Acrobat und Foxit erzeugen eine in einer Minute, und kein Reader der Empfänger vertraut ihr von sich aus.
• Ein PDF-Signaturzertifikat von einem gelisteten Aussteller beschaffen. Ein Dokumentensignaturzertifikat eines AATL-Mitglieds wie D-TRUST oder Atos öffnet in Acrobat und Reader als vertrauenswürdig. Eines von einem qualifizierten Anbieter auf einer EU-Vertrauensliste wird über Adobes EUTL-Schnappschuss ebenfalls erkannt, nach dessen Update-Verzögerung.
• Fügen Sie einen vertrauenswürdigen Zeitstempel hinzu, wenn Ihr Werkzeug einen anbietet. ETSIs PAdES-Norm beschreibt die Stufe B-T als Ergänzung um ein Token, das belegt, dass die Signatur zu einem bestimmten Zeitpunkt existierte, sodass ein Validator zeigen kann, dass sie vor dem Ablauf des Zertifikats entstand.
• Öffnen Sie eine signierte Datei auf einem fremden Rechner, bevor Sie einen ganzen Stapel versenden.

Wer über einen Dienst signiert, ändert nur, wer das Zertifikat hält, nicht wie Reader es beurteilen. Ein mit Chaindoc signiertes PDF ist eine PAdES-Datei wie jede andere, für sie gilt also alles oben Gesagte zu AATL und EU-Listen. Bei qualifizierten Signaturen signiert Chaindoc mit PAdES-BES, das kein Zeitstempel-Token trägt; Acrobat gibt die Signaturzeit deshalb nach der Uhr des Signiersystems an, nicht nach einem Zeitstempelserver. Wenn Sie Dokumente zur Signatur versenden und die Empfänger sie in Acrobat öffnen, ist das gut zu wissen, bevor die erste Rückfrage kommt.

Der grüne Haken beantwortet eine technische Frage. ETSIs Validierungsnorm EN 319 102-1 nennt das beste Ergebnis TOTAL-PASSED und ergänzt, das heiße nicht zwingend, dass die Signatur für einen bestimmten Zweck brauchbar sei. Drei Dinge liegen außerhalb.

Wer unterschrieben hat

Eine einwandfreie Signatur kann zur falschen Firma gehören. Öffnen Sie den Betreff (Subject) des Zertifikats und vergleichen Sie den Organisationsnamen mit der Partei, mit der Sie tatsächlich zu tun haben. Betrug mit umgeleiteten Zahlungen lebt von einem Namen, der fast stimmt.

Ob sie qualifiziert ist

Nach Artikel 32 der eIDAS-Verordnung braucht eine qualifizierte Signatur ein qualifiziertes Zertifikat eines qualifizierten Anbieters, das zum Signaturzeitpunkt gültig war, dazu eine qualifizierte Signaturerstellungseinheit und unversehrte signierte Daten. Acrobat nennt den qualifizierten Status nur, wenn die Kette im EU-Schnappschuss aufgelöst wird. Wann eine qualifizierte Signatur die rechtliche Hürde ist, steht im Leitfaden dazu.

Ob der Inhalt stimmt

Jemand kann auch eine falsche Rechnungssumme tadellos signieren.

Wie prüfen Sie die Gültigkeit einer digitalen Signatur also richtig? Integrität, eine vertrauenswürdige Kette, der Sperrstatus zum Signaturzeitpunkt, dann Ihre eigene Lektüre des Betreffs. Der letzte Schritt ist der, den niemand automatisiert.

Vielleicht möchten Sie an einem Firmenlaptop lieber keine Vertrauenseinstellungen anfassen, oder Sie haben gar kein Acrobat. Ein Prüfdienst im Browser erledigt die Zertifikatsarbeit auf seinem eigenen Server, was ihn auch am Smartphone zur praktischen Lösung macht.

Der Prüfdienst von Chaindoc führt die Prüfungen über die EU-DSS-Bibliothek aus, mit der EU-Vertrauensliste und den großen kommerziellen Zertifizierungsstellen als Vertrauensankern, und liefert Integrität, Kette, Sperrstatus, Zeitstempel und PAdES-Profil als getrennte Ergebnisse. Vor dem ersten Bericht bestätigen Sie Ihre E-Mail-Adresse mit einem Einmalcode. Besteht die Integrität und scheitert nur die Kette, geht es in der Warnung um Vertrauen, und Sie können in Ruhe entscheiden, was Sie in Acrobat tun. Wer in Österreich sitzt, findet bei der Regulierungsbehörde RTR außerdem eine eigene Signatur-Prüfung.

Kein PDF? Derselbe Dienst verarbeitet XAdES-, CAdES- und ASiC-Dateien. Und wenn die Frage größer ist als eine einzelne Signatur, beginnen Sie mit der Prüfung, ob eine empfangene Datei echt ist.

Bei jeder Meldung vom Typ digitale Signatur ungültig bleibt die Reihenfolge dieselbe: herausfinden, welche Prüfung gescheitert ist, Vertrauen nur auf Ihrer Seite herstellen und Integritätsfehler an den Absender zurückgeben.