Qualifizierte elektronische Signatur prüfen
Elektronische Signatur prüfen.
Chaindoc prüft Integrität, Zertifikatskette, Sperrstatus, Zeitstempel und die eIDAS-Qualifikation Ihrer Signatur. Formate: PAdES XAdES CAdES ASiC. Kostenlos.Was die Signaturprüfung umfasst
- Validierung von PAdES, XAdES, CAdES und ASiC
- Prüfung von Zertifikatskette und Sperrstatus
- Detaillierter Bericht in Sekunden
- Ihre Datei wird niemals gespeichert
Zwei Dinge, die gern durcheinandergeraten. Erstens: Die hochgeladene Datei wird nicht gespeichert. Zweitens: Der Prüfbericht wird gespeichert, privat, 7 Tage lang, danach wird er gelöscht. Übrig bleibt nur ein minimaler Eintrag in Ihrem Konto (Ergebnis, Anzahl der Signaturen, Datum).
Das Format Ihrer Signatur bestimmen
Vier Formate decken so gut wie alles ab, was Ihnen in der EU begegnet, und das Formular oben nimmt sie alle. Wenn Sie nicht sicher sind, was Sie gerade vor sich haben: einfach hochladen, die Erkennung übernimmt den Rest. Wenn Sie die Details pro Format brauchen, gehen diese Seiten tiefer.
Eine Signatur, die im PDF selbst steckt, profiliert in ETSI EN 319 142. Das erzeugen Adobe Acrobat, DocuSign und die meisten Behördenportale in der EU. Nichts wandert separat mit, die Datei validiert also für sich allein. Die Profildetails stehen auf PDF-Signaturprüfung.
XML-Signaturen nach ETSI EN 319 132, die hinter der E-Rechnung in der EU stecken (FatturaPA, Facturae) und hinter den meisten Einreichungen im öffentlichen Sektor. Die Endungen sind .xml und .xsig. Achten Sie auf die Detached-Variante: Signatur und signierte Daten liegen dann in zwei getrennten Dateien. Mehr dazu unter XAdES-Prüfung.
Binäre CMS-Signaturen nach ETSI EN 319 122. Wenn Sie eine .p7m-Datei öffnen wollen und Windows nichts damit anzufangen weiß, ist die Datei nicht kaputt: Bei .p7m umschließt die Signatur das Dokument, das Dokument steckt also darin. Italiens firma digitale arbeitet so. Eine .p7s ist die Detached-Variante und braucht die Originaldatei daneben. Mehr auf CAdES-Prüfung.
Ein ZIP-Paket nach ETSI EN 319 162, das Dokumente und Signaturen zusammen transportiert. ASiC-S enthält ein einzelnes Datenobjekt, ASiC-E mehrere plus ein Manifest. Die Endungen .sce und .scs bedeuten dieselben zwei Dinge. Estlands .bdoc ist ein ASiC-E-Container unter älterem Namen: Benennen Sie die Datei in .asice oder .zip um, falls der Upload sie ablehnt. Siehe ASiC-Prüfung.
Was B, T, LT und LTA wirklich bedeuten
Dieselbe Leiter in jedem AdES-Format: XAdES B-B bis B-LTA, PAdES-BASELINE-B bis LTA, dazu die CAdES-Entsprechung. Dahinter steht ein einziges Prüfverfahren, ETSI EN 319 102-1. Welche Stufe Sie brauchen, hängt davon ab, wie lange die Signatur beweisbar bleiben muss.
B: die Signatur selbst
Signaturzertifikat, signierte Attribute, kryptografische Bindung an das Dokument: genug für eine fortgeschrittene elektronische Signatur nach eIDAS, aber kein Beleg, wann signiert wurde.
T: ein vertrauenswürdiger Zeitstempel
Ein Zeitstempel-Token einer vertrauenswürdigen Stelle beweist, dass die Signatur vor einem bestimmten Moment existierte. Ohne T zählt eine fremde Laptop-Uhr.
LT: Validierungsdaten für die Langzeit
Zertifikatskette und Sperrauskünfte (CRL oder OCSP) wandern in die Datei selbst. Die Signatur lässt sich dann noch prüfen, wenn die ausstellende CA längst offline ist.
LTA: Archiv-Zeitstempel
Ein Archiv-Zeitstempel, über die Jahre erneuert, damit die Signatur prüfbar bleibt, während Hash-Verfahren altern. Für ein NDA übertrieben, für gesetzliche Aufbewahrungsfristen richtig.
Das Zertifikat läuft ab. Der Nachweis nicht
Chaindoc verbindet jede selbst erstellte Signatur mit einem manipulationssicheren Blockchain-Nachweis. Was Sie in Jahren noch belegen können, hängt damit nicht an einem Zertifikat, das längst abgelaufen ist.
Dokument signierenWas eine Signatur qualifiziert macht
Gültig und qualifiziert sind zwei verschiedene Urteile, und sie zu verwechseln ist der häufigste Fehler in einer Compliance-Prüfung. Eine Signatur kann kryptografisch einwandfrei sein und trotzdem keine QES. Hier steht, was die beiden trennt und wer darüber entscheidet.
Nach eIDAS braucht eine qualifizierte elektronische Signatur ein qualifiziertes Zertifikat und eine qualifizierte Signaturerstellungseinheit. Nur eine QES ist in jedem Mitgliedstaat automatisch der handschriftlichen Unterschrift gleichgestellt. Eine fortgeschrittene Signatur bleibt als Beweismittel zulässig, sie trägt diese automatische Gleichstellung nur nicht.
Ob ein Zertifikat qualifiziert ist, ist keine Ermessensfrage. Die Mitgliedstaaten veröffentlichen nationale Trusted Lists nach ETSI TS 119 612, zusammengeführt in der EU Trusted List (EUTL). Chaindoc gleicht Signaturzertifikate gegen die EUTL ab, das Urteil ist also ein Nachschlagen und keine Meinung.
Ein qualifizierter Vertrauensdiensteanbieter (QTSP) ist ein Zertifikatsaussteller, den eine nationale Aufsichtsstelle geprüft und in die Trusted List aufgenommen hat. Zertifikate eines QTSP tragen den qualifizierten Status. Eine durchaus seriöse kommerzielle CA, die nicht auf der Liste steht, erzeugt gültige Signaturen, die nicht qualifiziert sind. Das überrascht mehr Leute, als es sollte.
Ein elektronisches Siegel belegt Herkunft und Integrität für eine juristische Person und nicht den Willen eines Menschen. Rechnungen, Registerauszüge und automatisierte Einreichungen tragen meist ein Siegel, keine Signatur. Qualifizierte Siegel durchlaufen dieselbe Leiter von B bis LTA und werden hier genauso geprüft.
Wenn es qualifiziert sein muss
Chaindoc verbindet jede elektronische Signatur mit einem fälschungssicheren Blockchain-Nachweis, geprüft nach denselben EU-DSS-Regeln wie hier. Kostenlos online unterschreiben — und wo eine qualifizierte elektronische Signatur gefordert ist, zeigt der Report den Status.
Der Bericht ist da. Und jetzt?
Ein Urteil nützt nur, wenn Sie wissen, was daraus folgt. Das sind die vier Ergebnisse, die Ihnen tatsächlich begegnen, und wie damit üblicherweise umgegangen wird.
Gültig und qualifiziert
Damit sind Sie durch. Der Bericht hält Unterzeichner, Zertifikat, Zeitstempel und Vertrauensanker fest, wie sie zur Prüfung standen, und bleibt 7 Tage in Ihrem Konto. Auf Stufe B oder T sichern Sie vorher eine eigene Kopie: Die Sperrdaten dahinter bleiben nicht ewig erreichbar.
Gültig, aber nicht qualifiziert
Kommt häufig vor und ist meist unproblematisch. Kryptografisch hält die Signatur, der Aussteller steht nur nicht auf der Trusted List. Eine Frage Ihrer Richtlinie, keine technische. Der Leitfaden zur qualifizierten elektronischen Signatur zeigt, wann eine fortgeschrittene Signatur genügt und wann es eine QES braucht.
Ungültig: Integrität fehlgeschlagen
Das Dokument hat sich nach dem Signieren verändert, und sei es um ein Byte. Flattening, erneutes Speichern oder ein OCR-Lauf reichen dafür, keines davon böswillig. Fragen Sie beim Absender die originale signierte Datei an, nicht eine Kopie aus dem Dokumentenmanagementsystem.
Ungültig: Vertrauen oder Sperrprüfung fehlgeschlagen
Die Kryptografie stimmt, aber die Kette erreicht keine vertrauenswürdige Wurzel, oder ein Zertifikat wurde gesperrt. Beides ist noch kein Ausschluss. Die FAQ unten liest die Fälle einzeln; Compliance über eIDAS, DSGVO und NIST hinweg sagt, was zu dokumentieren ist. Größere Mengen? Siehe Preise und die API.
Wenn die Prüfung fehlschlägt, und was das heißt
Die Fragen, die aufkommen, wenn im Bericht etwas anderes steht als erwartet. Mehr auf unserer Support-Seite.
Die Prüfung ist dem Zertifikat bis zu seinem Aussteller gefolgt und hat dort keine Wurzel gefunden, die sie kennt. Dahinter steckt meist eine interne oder nationale CA, die nicht auf der EU Trusted List steht, kein Angriff. Kryptografisch kann die Signatur einwandfrei sein. Schauen Sie nach, wer das Zertifikat ausgestellt hat, und entscheiden Sie dann, ob Ihre Richtlinie diesen Aussteller akzeptiert. Bei der eigenen internen PKI sind eigene Vertrauensanker die saubere Lösung und kein Workaround.
Fast immer, weil sich das Dokument nach dem Signieren geändert hat. Eine Signatur bindet sich an den Hash ganz bestimmter Bytes, jede Bearbeitung bricht sie also, auch die harmlos wirkenden: erneutes Speichern durch einen anderen PDF-Writer, Flattening von Anmerkungen, ein OCR-Lauf oder ein Mail-Gateway, das den Anhang umschreibt. Es muss nichts Böswilliges passiert sein. Ein PDF-spezifischer Fall lohnt sich zu kennen, bevor Sie jemandem etwas vorwerfen: Ein PDF kann spätere Revisionen angehängt tragen, eine Signatur deckt also womöglich ganz legitim eine frühere Revision ab und nicht die Fassung, die Sie gerade vor sich haben. Prüfen Sie, welche Revision sie abdeckt. Ansonsten bitten Sie den Absender um die Datei genau so, wie sie sein Signaturwerkzeug verlassen hat, und nicht um eine Kopie, die durch ein Dokumentenmanagementsystem gelaufen ist.
Zwei übliche Ursachen. Entweder ist die Signatur detached und liegt in einer eigenen Datei, die hochgeladene trägt dann tatsächlich keine. Oder was im Dokument steht, ist ein Bild einer Unterschrift, ein Scan oder ein gemalter Schnörkel, ohne Kryptografie dahinter und ohne irgendetwas, das sich prüfen ließe.
Weil Detached-Signaturen die Daten nicht enthalten, die sie signieren. Eine .p7s-Datei und manche .xml- und .xsig-Dateien tragen das Zertifikat des Unterzeichners und einen Hash, sonst nichts. Ohne das Original gibt es nichts, was sich neu hashen und vergleichen ließe. Laden Sie beides hoch: die Signaturdatei und genau das Dokument, über das signiert wurde. Genau ist hier das entscheidende Wort, eine neu exportierte oder neu gespeicherte Fassung passt nicht.
Nein, und darüber stolpern erstaunlich viele. Entscheidend ist, ob das Zertifikat im Moment der Signatur gültig war, nicht ob es heute gültig ist. Genau dafür gibt es den vertrauenswürdigen Zeitstempel: Er belegt, dass die Signatur existierte, während das Zertifikat noch lief. Ohne Zeitstempel, also bei einer reinen B-Signatur, lässt sich der Signaturzeitpunkt nicht belegen, und dann wird ein abgelaufenes Zertifikat tatsächlich zum Problem.
Leitfäden zu eIDAS und qualifizierten Signaturen
Wo eine fortgeschrittene Signatur reicht, wo eine QES Pflicht ist und was eIDAS 2.0 für Teams ändert, die in der EU Unterschriften einholen.
