Im Bericht steht, die Zertifikatskette sei nicht vertrauenswürdig. Was heißt das?

Die Prüfung ist dem Zertifikat bis zu seinem Aussteller gefolgt und hat dort keine Wurzel gefunden, die sie kennt. Dahinter steckt meist eine interne oder nationale CA, die nicht auf der EU Trusted List steht, kein Angriff. Kryptografisch kann die Signatur einwandfrei sein. Schauen Sie nach, wer das Zertifikat ausgestellt hat, und entscheiden Sie dann, ob Ihre Richtlinie diesen Aussteller akzeptiert. Bei der eigenen internen PKI sind eigene Vertrauensanker die saubere Lösung und kein Workaround.

Die Signatur ist kryptografisch in Ordnung, das Dokument gilt trotzdem als ungültig. Warum?

Fast immer, weil sich das Dokument nach dem Signieren geändert hat. Eine Signatur bindet sich an den Hash ganz bestimmter Bytes, jede Bearbeitung bricht sie also, auch die harmlos wirkenden: erneutes Speichern durch einen anderen PDF-Writer, Flattening von Anmerkungen, ein OCR-Lauf oder ein Mail-Gateway, das den Anhang umschreibt. Es muss nichts Böswilliges passiert sein. Ein PDF-spezifischer Fall lohnt sich zu kennen, bevor Sie jemandem etwas vorwerfen: Ein PDF kann spätere Revisionen angehängt tragen, eine Signatur deckt also womöglich ganz legitim eine frühere Revision ab und nicht die Fassung, die Sie gerade vor sich haben. Prüfen Sie, welche Revision sie abdeckt. Ansonsten bitten Sie den Absender um die Datei genau so, wie sie sein Signaturwerkzeug verlassen hat, und nicht um eine Kopie, die durch ein Dokumentenmanagementsystem gelaufen ist.

Ich bekomme "keine Signaturen gefunden" bei einer Datei, von der ich weiß, dass sie signiert ist.

Zwei übliche Ursachen. Entweder ist die Signatur detached und liegt in einer eigenen Datei, die hochgeladene trägt dann tatsächlich keine. Oder was im Dokument steht, ist ein Bild einer Unterschrift, ein Scan oder ein gemalter Schnörkel, ohne Kryptografie dahinter und ohne irgendetwas, das sich prüfen ließe.

Es wird nach dem Originaldokument gefragt. Warum steckt das nicht in der Datei?

Weil Detached-Signaturen die Daten nicht enthalten, die sie signieren. Eine .p7s-Datei und manche .xml- und .xsig-Dateien tragen das Zertifikat des Unterzeichners und einen Hash, sonst nichts. Ohne das Original gibt es nichts, was sich neu hashen und vergleichen ließe. Laden Sie beides hoch: die Signaturdatei und genau das Dokument, über das signiert wurde. Genau ist hier das entscheidende Wort, eine neu exportierte oder neu gespeicherte Fassung passt nicht.

Das Zertifikat des Unterzeichners ist abgelaufen. Ist die Signatur damit tot?

Nein, und darüber stolpern erstaunlich viele. Entscheidend ist, ob das Zertifikat im Moment der Signatur gültig war, nicht ob es heute gültig ist. Genau dafür gibt es den vertrauenswürdigen Zeitstempel: Er belegt, dass die Signatur existierte, während das Zertifikat noch lief. Ohne Zeitstempel, also bei einer reinen B-Signatur, lässt sich der Signaturzeitpunkt nicht belegen, und dann wird ein abgelaufenes Zertifikat tatsächlich zum Problem.

Zeitstempel und angegebene Signaturzeit widersprechen sich. Was zählt?

Der Zeitstempel. Die Signaturzeit ist ein selbst erklärtes Attribut, das der Rechner des Unterzeichners hineinschreibt, und nichts hindert sie daran, falsch, fehlkonfiguriert oder nachträglich geändert zu sein. Ein Zeitstempel-Token kommt dagegen von einer vertrauenswürdigen Stelle. Widersprechen sich beide, ist der Zeitstempel der Beweis und die angegebene Zeit ein Hinweis.

Die Sperrdaten ließen sich nicht abrufen oder sind veraltet. Fällt die Prüfung damit durch?

Das ist eine unvollständige Antwort, kein Durchfallen. Die Prüfung fragt den OCSP-Responder der CA oder lädt eine CRL, und manchmal ist dieser Endpunkt offline, gedrosselt oder schlicht langsam. Sie bekommen dann ein unbestimmtes Ergebnis statt einer klaren Bestätigung, und das ist die ehrliche Auskunft. Versuchen Sie es später noch einmal. Bei LT- und LTA-Signaturen stecken die Sperrdaten in der Datei, die Prüfung läuft offline und die Frage stellt sich gar nicht.

Die Signatur ist gültig, aber nicht qualifiziert. Was fehlt?

Eines von beidem. Entweder stammt das Signaturzertifikat von einem Anbieter, der kein qualifizierter Vertrauensdiensteanbieter auf der EU Trusted List ist, oder es wurde als gewöhnliches statt als qualifiziertes Zertifikat ausgestellt. In beiden Fällen haben Sie eine technisch einwandfreie Signatur, die den QES-Status nicht erreicht. Ob das eine Rolle spielt, hängt ganz vom Geschäftsvorfall ab. eIDAS 2.0 und elektronische Signaturen zeigt, wohin sich die Messlatte bewegt.

Ein anderes Tool sagt gültig, dieses sagt ungültig. Wer hat recht?

Beide können recht haben, weil sie oft verschiedene Fragen beantworten. Adobe Acrobat vertraut seinem eigenen Zertifikatsspeicher, und der ist nicht die EU Trusted List. Eine Signatur kann dort also vertrauenswürdig sein und hier trotzdem nicht qualifiziert. Manche Tools prüfen außerdem nur die Integrität und lassen die Sperrprüfung ganz weg. Lesen Sie den ausführlichen Bericht statt des Kurzurteils und vergleichen Sie Punkt für Punkt: Integrität, Kette, Sperrstatus, Zeitstempel. ETSI EN 319 102-1 legt das Verfahren fest, samt einem dritten Ausgang, den viele Tools verstecken: unbestimmt, also unvollständige Belege statt einer schlechten Signatur. Wer das zu einem roten Kreuz eindampft, widerspricht zwangsläufig einem Tool, das es ehrlich ausweist.

Kann ich statt einer Signatur auch ein elektronisches Siegel prüfen?

Ja. Ein qualifiziertes elektronisches Siegel durchläuft dasselbe Prüfverfahren, und der Bericht liest sich genauso. Der Unterschied liegt darin, wem es gehört: Ein Siegel gehört einer Organisation, im Zertifikat steht also eine juristische Person statt eines Menschen. Gesiegelte Rechnungen und Registerauszüge laufen hier ohne Sonderbehandlung durch.

eIDAS-Signaturprüfung

Qualifizierte elektronische Signatur prüfen

Laden Sie eine signierte Datei hoch und Sie haben das Ergebnis in Sekunden: Integrität, Zertifikatskette, Sperrstatus, Zeitstempel und die Frage, auf die es am Ende ankommt, nämlich ob die Signatur nach Verordnung (EU) 910/2014 tatsächlich als qualifiziert gilt. PAdES, XAdES, CAdES und ASiC laufen über dasselbe Formular, und die Prüfung ist kostenlos.

Was mit Ihrer Datei passiert

Zwei Dinge, die gern durcheinandergeraten. Erstens: Die hochgeladene Datei wird nicht gespeichert. Zweitens: Der Prüfbericht wird gespeichert, privat, 7 Tage lang, danach wird er gelöscht. Übrig bleibt nur ein minimaler Eintrag in Ihrem Konto (Ergebnis, Anzahl der Signaturen, Datum).

SIGNATUR PRÜFEN

Elektronische Signatur prüfen

Laden Sie eine beliebige signierte Datei hoch, ob PDF, XML, .p7m, .p7s oder ASiC-Container, und validieren Sie ihre Signaturen mit EU-DSS-Verifizierungsstandards.

Validierung von PAdES, XAdES, CAdES und ASiC
Prüfung von Zertifikatskette und Sperrstatus
Detaillierter Bericht in Sekunden
Ihre Datei wird niemals gespeichert

Welches Format liegt vor

Das Format Ihrer Signatur bestimmen

Vier Formate decken so gut wie alles ab, was Ihnen in der EU begegnet, und das Formular oben nimmt sie alle. Wenn Sie nicht sicher sind, was Sie gerade vor sich haben: einfach hochladen, die Erkennung übernimmt den Rest. Wenn Sie die Details pro Format brauchen, gehen diese Seiten tiefer.

PDF-Dateien: PAdES

Eine Signatur, die im PDF selbst steckt, profiliert in ETSI EN 319 142. Das erzeugen Adobe Acrobat, DocuSign und die meisten Behördenportale in der EU. Nichts wandert separat mit, die Datei validiert also für sich allein. Die Profildetails stehen auf PDF-Signaturprüfung.

XML-Dateien: XAdES

XML-Signaturen nach ETSI EN 319 132, die hinter der E-Rechnung in der EU stecken (FatturaPA, Facturae) und hinter den meisten Einreichungen im öffentlichen Sektor. Die Endungen sind .xml und .xsig. Achten Sie auf die Detached-Variante: Signatur und signierte Daten liegen dann in zwei getrennten Dateien. Mehr dazu unter XAdES-Prüfung.

.p7m- und .p7s-Dateien: CAdES

Binäre CMS-Signaturen nach ETSI EN 319 122. Wenn Sie eine .p7m-Datei öffnen wollen und Windows nichts damit anzufangen weiß, ist die Datei nicht kaputt: Bei .p7m umschließt die Signatur das Dokument, das Dokument steckt also darin. Italiens firma digitale arbeitet so. Eine .p7s ist die Detached-Variante und braucht die Originaldatei daneben. Mehr auf CAdES-Prüfung.

.asice- und .asics-Container: ASiC

Ein ZIP-Paket nach ETSI EN 319 162, das Dokumente und Signaturen zusammen transportiert. ASiC-S enthält ein einzelnes Datenobjekt, ASiC-E mehrere plus ein Manifest. Die Endungen .sce und .scs bedeuten dieselben zwei Dinge. Estlands .bdoc ist ein ASiC-E-Container unter älterem Namen: Benennen Sie die Datei in .asice oder .zip um, falls der Upload sie ablehnt. Siehe ASiC-Prüfung.

Baseline-Stufen

Was B, T, LT und LTA wirklich bedeuten

Alle AdES-Formate nutzen dieselben vier Baseline-Stufen. Geschrieben werden sie als XAdES B-B, B-T, B-LT und B-LTA, als PAdES-BASELINE-B bis PAdES-BASELINE-LTA oder in der CAdES-Entsprechung. Gleiche Leiter, andere Verpackung. Dahinter steht immer das Prüfverfahren aus ETSI EN 319 102-1. Welche Stufe Sie brauchen, hängt davon ab, wie lange die Signatur beweisbar bleiben muss, und nicht davon, wie wichtig sich das Dokument anfühlt.

B: die Signatur selbst

Signaturzertifikat, die signierten Attribute und die kryptografische Bindung an das Dokument. Das reicht für eine fortgeschrittene elektronische Signatur nach eIDAS. Was B nicht sagt: wann signiert wurde. Und genau das wird häufiger zum Thema, als Teams erwarten.

T: ein vertrauenswürdiger Zeitstempel

Ein Zeitstempel-Token einer vertrauenswürdigen Stelle kommt hinzu und beweist, dass die Signatur vor einem bestimmten Moment existierte. Wenn eine Einreichungsfrist oder ein Vertragsdatum strittig wird, klärt diese Stufe die Sache. Ohne T verlassen Sie sich auf die Uhr in einem fremden Laptop.

LT: Validierungsdaten für die Langzeit

Zertifikatskette und Sperrauskünfte (CRL oder OCSP) wandern in die Datei selbst. Die Signatur lässt sich dann Jahre später eigenständig prüfen, auch wenn die ausstellende CA längst offline ist oder keine Sperrlisten mehr veröffentlicht. Für Archive ist das die Stufe, nach der man fragen sollte.

LTA: Archiv-Zeitstempel

Legt einen Archiv-Zeitstempel um das Ganze, der über die Jahre erneuert wird, damit die Signatur prüfbar bleibt, während Hash-Verfahren altern. Für eine Geheimhaltungsvereinbarung ist das ehrlich gesagt übertrieben. Für einen Immobilienkredit, eine Patientenakte oder alles mit gesetzlicher Aufbewahrungsfrist ist es richtig.

Vertrauen und Qualifikation

Was eine Signatur qualifiziert macht

Gültig und qualifiziert sind zwei verschiedene Urteile, und sie zu verwechseln ist der häufigste Fehler in einer Compliance-Prüfung. Eine Signatur kann kryptografisch einwandfrei sein und trotzdem keine QES. Hier steht, was die beiden trennt und wer darüber entscheidet.

Qualifiziert ist ein Rechtsstatus, keine Qualitätsnote

Nach eIDAS braucht eine qualifizierte elektronische Signatur ein qualifiziertes Zertifikat und eine qualifizierte Signaturerstellungseinheit. Nur eine QES ist in jedem Mitgliedstaat automatisch der handschriftlichen Unterschrift gleichgestellt. Eine fortgeschrittene Signatur bleibt als Beweismittel zulässig, sie trägt diese automatische Gleichstellung nur nicht.

Die EU Trusted List entscheidet

Ob ein Zertifikat qualifiziert ist, ist keine Ermessensfrage. Die Mitgliedstaaten veröffentlichen nationale Trusted Lists nach ETSI TS 119 612, zusammengeführt in der EU Trusted List (EUTL). Chaindoc gleicht Signaturzertifikate gegen die EUTL ab, das Urteil ist also ein Nachschlagen und keine Meinung.

Qualifizierte Vertrauensdiensteanbieter

Ein qualifizierter Vertrauensdiensteanbieter (QTSP) ist ein Zertifikatsaussteller, den eine nationale Aufsichtsstelle geprüft und in die Trusted List aufgenommen hat. Zertifikate eines QTSP tragen den qualifizierten Status. Eine durchaus seriöse kommerzielle CA, die nicht auf der Liste steht, erzeugt gültige Signaturen, die nicht qualifiziert sind. Das überrascht mehr Leute, als es sollte.

Elektronische Siegel gehören Organisationen

Ein elektronisches Siegel belegt Herkunft und Integrität für eine juristische Person und nicht den Willen eines Menschen. Rechnungen, Registerauszüge und automatisierte Einreichungen tragen meist ein Siegel, keine Signatur. Qualifizierte Siegel durchlaufen dieselbe Leiter von B bis LTA und werden hier genauso geprüft.

Nach der Prüfung

Der Bericht ist da. Und jetzt?

Ein Urteil nützt nur, wenn Sie wissen, was daraus folgt. Das sind die vier Ergebnisse, die Ihnen tatsächlich begegnen, und wie damit üblicherweise umgegangen wird.

Gültig und qualifiziert

Damit sind Sie durch. Der Bericht hält Unterzeichner, Zertifikat, Zeitstempel und Vertrauensanker so fest, wie sie zum Zeitpunkt der Prüfung standen, und er bleibt 7 Tage in Ihrem Konto. Liegt die Signatur nur auf Stufe B oder T, sichern Sie sich vorher eine eigene Kopie, denn die Sperrdaten, auf die sie sich stützt, bleiben nicht ewig erreichbar.

Gültig, aber nicht qualifiziert

Kommt häufig vor und ist meistens unproblematisch. Kryptografisch hält die Signatur, der Aussteller steht nur nicht auf der Trusted List. Ob das akzeptabel ist, ist eine Frage Ihrer Richtlinie und keine technische. Der Leitfaden zur qualifizierten elektronischen Signatur geht durch, wo eine fortgeschrittene Signatur genügt und wo es eine QES sein muss.

Ungültig: Integrität fehlgeschlagen

Das Dokument hat sich nach dem Signieren verändert, und sei es um ein einziges Byte. Flattening, erneutes Speichern oder ein OCR-Lauf reichen dafür, und keines davon ist böswillig. Fragen Sie beim Absender nach der originalen signierten Datei statt nach einer Kopie, die durch ein Dokumentenmanagementsystem gelaufen ist.

Ungültig: Vertrauen oder Sperrprüfung fehlgeschlagen

Die Kryptografie stimmt, aber die Kette erreicht keine vertrauenswürdige Wurzel, oder ein Zertifikat wurde gesperrt. Beides ist nicht automatisch tödlich. Die FAQ unten zeigt, wie Sie die einzelnen Fälle lesen, und Compliance über eIDAS, DSGVO und NIST hinweg sagt Ihnen, was Sie dokumentieren sollten. Größere Mengen? Siehe Preise und die API.

FAQ

Wenn die Prüfung fehlschlägt, und was das heißt

Die Fragen, die aufkommen, wenn im Bericht etwas anderes steht als erwartet. Mehr auf unserer Support-Seite.

Leitfäden und Ressourcen

Leitfäden zu eIDAS und qualifizierten Signaturen

Wo eine fortgeschrittene Signatur reicht, wo eine QES Pflicht ist und was eIDAS 2.0 für Teams ändert, die in der EU Unterschriften einholen.

Alle Artikel ansehen