Ein auf einem USB-Token gespeichertes digitales Zertifikat bietet die stärkste Form der PDF-Signatur, die Einzelpersonen und Organisationen zur Verfügung steht. Im Gegensatz zu einem Signaturbild, das mit dem Finger gezeichnet oder aus einer gescannten Datei eingefügt wird, bindet eine zertifikatbasierte Signatur eines USB-Tokens Ihre verifizierte Identität kryptografisch an das Dokument und macht jede Manipulation nach dem Signieren sofort erkennbar. Der USB-Token, auch Hardware-Sicherheitsmodul oder Smartcard in USB-Form genannt, speichert den privaten Schlüssel in manipulationssicherer Hardware, die den Schlüssel niemals dem Betriebssystem des Computers preisgibt. Das Einrichten und Verwenden eines USB-Tokens zum Signieren von PDF-Dokumenten erfordert eine Erstkonfiguration, aber nach der Konfiguration ist der Signiervorgang so routinemäßig wie das Einsetzen des Tokens und die Eingabe einer PIN.
Was eine USB-Token-Zertifikatsignatur tatsächlich bietet
Eine Signatur eines USB-Tokens vereint drei unterschiedliche Sicherheitseigenschaften in einem einzigen Vorgang. Erstens dient es der Identitätsüberprüfung, da das Zertifikat auf dem Token von einer Zertifizierungsstelle ausgestellt wurde, die Ihre Identität vor der Ausstellung des Zertifikats bestätigt hat. Zweitens sorgt es für Dokumentenintegrität, da die Signatur einen kryptografischen Hash des Dokumentinhalts zum Zeitpunkt der Signatur enthält und jede Änderung am Dokument nach der Signatur die Signatur ungültig macht. Drittens bietet es Sicherheit, da der private Schlüssel, der die Signatur erstellt hat, niemals den von Ihnen kontrollierten physischen USB-Token verlassen hat.
Diese drei Eigenschaften zusammen machen USB-Token-Signaturen zum Standard für rechtsverbindliche elektronische Dokumente in Gerichtsbarkeiten, die fortgeschrittene elektronische Signaturen anerkennen. Viele staatliche Beschaffungssysteme, gerichtliche E-Filing-Plattformen und regulierte Industrieportale erfordern ausdrücklich zertifikatbasierte Signaturen von Hardware-Tokens, da die hardwarebasierte Schlüsselspeicherung die Sicherheitsanforderungen erfüllt, die softwarebasierte Zertifikate, die auf einer Computerfestplatte gespeichert sind, nicht erfüllen können. Eine Digitale Signatur eines USB-Tokens hat in Gerichtsverfahren insbesondere deshalb Beweiskraft, weil der Hardware-Token einen starken Beweis dafür liefert, dass nur die Person, die im Besitz des Tokens ist, die Signatur hätte anbringen können.
Versuchen Sie es mit „PDF signieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Erhalten eines Zertifikats und Einrichten des USB-Tokens
Der erste Schritt besteht darin, ein digitales Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle zu erhalten und es auf einen USB-Token zu laden. Zertifizierungsstellen wie GlobalSign, DigiCert, Sectigo und nationale eID-Anbieter stellen Zertifikate speziell für die Dokumentensignierung aus. Der Antragsprozess beinhaltet eine Identitätsprüfung, die je nach Zertifikatsklasse und Gerichtsbarkeit von der Online-Einreichung behördlich ausgestellter Ausweisdokumente bis zum persönlichen Erscheinen bei einer Registrierungsbehörde reichen kann. Nach der Identitätsprüfung stellt die Zertifizierungsstelle die Zertifikatsdatei und Anweisungen zum Laden dieser auf Ihren USB-Token bereit.
Der USB-Token selbst muss ein Gerät sein, das für die kryptografische Schlüsselspeicherung ausgelegt ist. YubiKey, SafeNet eToken und Gemalto-Token sind weit verbreitete Modelle, die PDF-Signaturzertifikate unterstützen. Installieren Sie die vom Hersteller bereitgestellte Token-Treibersoftware auf Ihrem Computer. Wenn Sie das Token einfügen, stellt der Treiber das Zertifikat dem Zertifikatspeicher des Betriebssystems zur Verfügung, in dem PDF-Signaturanwendungen nach verfügbaren Signaturzertifikaten suchen. Schützen Sie den Token mit einer sicheren PIN, die Sie sich merken können, die andere jedoch nicht erraten können. Nach einer konfigurierbaren Anzahl falscher PIN-Versuche, in der Regel fünf bis zehn, sperrt sich der Token selbst, um Brute-Force-Angriffe zu verhindern.
Signieren einer PDF-Datei mit dem USB-Token
Stecken Sie den USB-Token in einen USB-Anschluss Ihres Computers. Öffnen Sie die PDF-Datei, die Sie zum Signieren benötigen, in einer PDF-Anwendung, die zertifikatbasierte digitale Signaturen unterstützt, z. B. Adobe Acrobat Pro, eine browserbasierte PDF-Plattform oder ein von der Regierung bereitgestelltes Signaturtool. Navigieren Sie zum Tool PDF signieren und wählen Sie die Option zum digitalen Signieren und nicht zum Hinzufügen eines elektronischen Signaturbilds. Die Anwendung durchsucht den Systemzertifikatspeicher und zeigt die verfügbaren Signaturzertifikate an. Wählen Sie das Zertifikat von Ihrem USB-Token aus.
Die Anwendung fordert Sie auf, ein Signaturrechteck auf der Seite zu zeichnen oder zu positionieren, wo der sichtbare Signaturblock erscheinen soll. Nach der Positionierung werden Sie in einem Dialog nach der Token-PIN gefragt, um den Signiervorgang zu autorisieren. Geben Sie die PIN ein und der Token führt intern die kryptografische Signatur durch, indem er das Zertifikat mit einem Hash des Dokumentinhalts kombiniert. Das signierte PDF enthält jetzt einen eingebetteten Signaturblock mit Ihrem Namen, dem Datum und der Uhrzeit der Signatur, dem Namen des Zertifikatausstellers und einer kryptografischen Signatur, die jeder PDF-Reader validieren kann. Der private Schlüssel hat während dieses gesamten Vorgangs nie den USB-Token verlassen.
Konfigurieren der Signaturdarstellung und -informationen
Das sichtbare Erscheinungsbild des Signaturblocks auf der PDF-Seite ist anpassbar. Bei den meisten Signieranwendungen können Sie auswählen, welche Informationen im Signaturblock angezeigt werden sollen: nur Ihr Name, Ihr Name und das Datum der Unterzeichnung oder Ihr Name und eine benutzerdefinierte Grafik wie ein Firmenlogo oder das Bild Ihrer handschriftlichen Unterschrift. Konfigurieren Sie das Erscheinungsbild so, dass es die Informationen enthält, die Empfänger zur Überprüfung der Signatur benötigen. Ein Signaturblock, der nur einen Namen anzeigt, bietet weniger Kontext als einer, der den Namen, den Zertifikataussteller und den Signaturzeitstempel zeigt.
Konfigurieren Sie die Signatur, um das Dokument nach dem Signieren zu sperren. Diese Option, normalerweise ein Kontrollkästchen im Signaturdialog, verhindert weitere Bearbeitungen des Dokumentinhalts, der Formularfelder oder Anmerkungen. Ein gesperrtes Dokument, das mit einer gültigen Unterschrift beim Empfänger eintrifft, bietet die starke Sicherheit, dass der Inhalt seit Ihrer Unterschrift nicht verändert wurde. Wenn für das Dokument Unterschriften von mehreren Parteien erforderlich sind, konfigurieren Sie das Signaturfeld so, dass zusätzliche Unterschriften zugelassen werden, anstatt das Dokument nach Ihren Unterschriften zu sperren. WukongPDF unterstützt die Anwendung Digitale Signatur einschließlich zertifikatbasierter Signatur mit konfigurierbarer Signaturdarstellung und Optionen zum Sperren von Dokumenten.
Validieren einer USB-Token-Signatur als Empfänger
Wenn Sie eine mit einem USB-Token-Zertifikat signierte PDF-Datei erhalten, validiert der PDF-Viewer die Signatur beim Öffnen des Dokuments automatisch. Bei einer gültigen Signatur werden ein grünes Häkchen, der Name des Unterzeichners und eine Meldung angezeigt, die angibt, dass das Dokument seit dem Signieren nicht geändert wurde. Wenn Sie auf die Signatur klicken, wird ein detailliertes Validierungsfenster geöffnet, in dem die Zertifikatskette vom Unterzeichnerzertifikat bis zur Stammzertifizierungsstelle, die Signaturzeit und der verwendete Signaturalgorithmus angezeigt werden.
Wenn die Signatur als ungültig oder nicht überprüft angezeigt wird, überprüfen Sie das Validierungspanel auf den spezifischen Grund. Bei einem abgelaufenen Zertifikat wird eine Warnung ausgegeben, auch wenn der Inhalt möglicherweise unverändert bleibt. Ein Zertifikat, das von der ausstellenden Behörde vor dem Unterzeichnungsdatum widerrufen wurde, weist auf ein schwerwiegendes Problem hin, das untersucht werden sollte. Eine Signatur, die als unbekannt angezeigt wird, bedeutet, dass der PDF-Viewer der Zertifizierungsstelle, die das Unterzeichnerzertifikat ausgestellt hat, nicht vertraut. Dies ist häufig bei Zertifikaten nationaler eID-Systeme der Fall, die in Adobe- oder Browser-Zertifikatspeichern nicht als vertrauenswürdig eingestuft werden.
Verwalten mehrerer Token und Zertifikate
Wenn Sie Dokumente für mehrere Rollen oder Organisationen signieren, verfügen Sie möglicherweise über mehrere USB-Tokens mit jeweils unterschiedlichen Zertifikaten. Beschriften Sie jedes Token physisch mit der zugehörigen Organisation oder Rolle, sodass Sie für jede Signierungssitzung das richtige Token einfügen. In der PDF-Signaturanwendung werden im Zertifikatsauswahldialog alle verfügbaren Zertifikate angezeigt. Stellen Sie sicher, dass Sie das richtige Zertifikat auswählen, indem Sie den Namen des Ausstellers und den Zweck des Zertifikats überprüfen, bevor Sie die PIN eingeben.
Notieren Sie sich das Ablaufdatum jedes Token-Zertifikats. Zertifikate zum Signieren von Dokumenten verfallen in der Regel ein bis drei Jahre nach der Ausstellung. Eine mit einem abgelaufenen Zertifikat angewendete Signatur ist möglicherweise immer noch kryptografisch gültig, den Empfängern wird jedoch eine Warnung angezeigt, und einige Dokumentenvalidierungssysteme lehnen Signaturen abgelaufener Zertifikate vollständig ab. Erneuern Sie das Zertifikat vor dem Ablaufdatum über die ausstellende Zertifizierungsstelle und laden Sie das erneuerte Zertifikat auf denselben USB-Token, um die Signaturkontinuität aufrechtzuerhalten.
Fehlerbehebung bei USB-Token-Erkennungsproblemen
Das häufigste Problem bei der Verwendung eines USB-Tokens zum Signieren von PDFs besteht darin, dass der Computer den Token beim Einstecken nicht erkennt. Der Token-Treiber wurde möglicherweise nicht gestartet, der USB-Anschluss lieferte möglicherweise nicht ausreichend Strom oder der Zertifikatspeicher des Betriebssystems wurde möglicherweise nicht aktualisiert, um das Token-Zertifikat einzuschließen. Entfernen Sie den Token, warten Sie einige Sekunden und stecken Sie ihn dann wieder fest ein. Öffnen Sie die mit dem Gerät gelieferte Token-Verwaltungsanwendung und vergewissern Sie sich, dass der Token-Status „Verbunden“ lautet und das Zertifikat aufgeführt ist.
Unter Windows kann der Zertifikatsmanager geöffnet werden, indem certmgr.msc im Dialogfeld „Ausführen“ ausgeführt wird. Unter Persönlich, Zertifikate sollte das Token-Zertifikat beim Einsetzen des Tokens erscheinen und verschwinden, wenn es entfernt wird. Wenn das Zertifikat nicht angezeigt wird, muss möglicherweise der Token-Treiber oder die Middleware neu installiert werden. Laden Sie den neuesten Treiber von der Website des Token-Herstellers herunter, da veraltete Treiber die häufigste Ursache für Erkennungsfehler sind.
Bewahren Sie eine Sicherungskopie des öffentlichen Schlüssels des Zertifikats auf. Dies beeinträchtigt die Sicherheit nicht, da der private Schlüssel auf dem Token verbleibt. Mit der Sicherung des öffentlichen Schlüssels können Sie die Signaturen des Zertifikats auch dann überprüfen, wenn das Token verloren geht, und es stellt die für die Erneuerung erforderlichen Zertifikatsdetails bereit. Die Zertifizierungsstelle, die das Zertifikat ausgestellt hat, kann die öffentliche Schlüsseldatei bereitstellen, wenn Sie sie bei der Ersteinrichtung nicht gespeichert haben.
Wenn Sie mit einem USB-Signatur-Token reisen, tragen Sie ihn bei sich und nicht in einer Laptoptasche, die möglicherweise aufgegeben oder unbeaufsichtigt gelassen wird. Der physische Token ist die Vertrauensbasis für Ihre digitale Signatur. Wenn das Token verloren geht oder gestohlen wird, widerrufen Sie das Zertifikat unverzüglich über die ausstellende Zertifizierungsstelle. Die meisten Zertifizierungsstellen bieten ein Online-Sperrportal oder eine Telefonnummer für den Notfallsperren an.
Versuchen Sie es mit „PDF signieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.