Ein digital signiertes PDF ist nicht dasselbe wie ein PDF, bei dem jemand seine Unterschrift auf die Seite gezeichnet hat. Der Begriff „digital signiert“ bedeutet: bezieht sich auf einen spezifischen technischen Mechanismus, der Kryptographie verwendet, um sowohl die Identität des Unterzeichners als auch die Integrität des Dokuments nach dem Signieren zu überprüfen. Es ist wichtig, die Unterscheidung zu verstehen, da diese beiden Dinge sehr unterschiedliche Rechtsschutzniveaus bieten.
Was eine digitale Signatur eigentlich ist
Eine digitale Signatur in einer PDF-Datei nutzt die Public-Key-Infrastruktur (PKI) – ein kryptografisches System, das einen privaten Schlüssel (im Besitz des Unterzeichners) mit einem öffentlichen Schlüssel (verfügbar für jeden, der die Signatur überprüfen möchte) koppelt. Wenn Sie eine PDF-Datei digital signieren, erstellt Ihre Signatursoftware einen mathematischen Hash des Inhalts des Dokuments und verschlüsselt diesen Hash mit Ihrem privaten Schlüssel. Dieser verschlüsselte Hash ist zusammen mit Ihrem digitalen Zertifikat in das PDF eingebettet.
Wenn jemand das signierte PDF öffnet, entschlüsselt sein Betrachter mit Ihrem öffentlichen Schlüssel den Hash und vergleicht ihn mit einem frisch berechneten Hash des aktuellen Dokuments. Wenn die beiden Hashes übereinstimmen, wurde das Dokument seit dem Signieren nicht verändert und die Signatur ist gültig. Wenn auch nur ein Zeichen nach dem Signieren geändert wurde, stimmen die Hashes nicht überein und der Viewer zeigt eine Warnung wegen einer ungültigen Signatur an. Diese Manipulationserkennung unterscheidet eine digitale Signatur grundlegend von einer gezeichneten oder bildbasierten Signatur.
Versuchen Sie es mit „PDF signieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Digitale Zertifikate und Zertifizierungsstellen
Damit eine digitale Signatur von anderen als vertrauenswürdig eingestuft wird, muss das zum Signieren verwendete Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt worden sein – einer Organisation, die vor der Ausstellung des Zertifikats die Identität des Unterzeichners überprüft hat. Wenn ein Empfänger ein digital signiertes PDF öffnet, prüft sein Betrachter, ob das Zertifikat von einer Zertifizierungsstelle auf der Vertrauensliste ausgestellt wurde. Wenn dies der Fall ist, zeigt der Viewer eine vertrauenswürdige Signatur an. Ist dies nicht der Fall, wird eine Warnung zu einem nicht vertrauenswürdigen oder unbekannten Zertifikat angezeigt.
Zu den wichtigsten Zertifizierungsstellen gehören DigiCert, GlobalSign, Entrust und andere, die im Rahmen von Programmen wie der Adobe Approved Trust List (AATL) oder den European Union Trusted Lists (EUTL) akkreditiert sind. Zertifikate dieser Zertifizierungsstellen werden von Adobe Acrobat und den meisten PDF-Viewern für Unternehmen automatisch als vertrauenswürdig eingestuft, ohne dass eine zusätzliche Konfiguration erforderlich ist.
Selbstsignierte Zertifikate – solche, die Sie selbst ohne eine Zertifizierungsstelle erstellen – bieten zwar weiterhin Manipulationserkennung, aber keine Identitätsüberprüfung. Ein Empfänger, der eine mit einem selbstsignierten Zertifikat signierte PDF-Datei öffnet, sieht eine Warnung, dass das Zertifikat nicht von einer vertrauenswürdigen Stelle stammt, obwohl die Signatur selbst kryptografisch gültig ist.
Digitale Signaturen vs. elektronische Signaturen vs. zertifizierte Signaturen
Diese drei Begriffe werden oft synonym verwendet, beziehen sich jedoch auf sinnvoll unterschiedliche Dinge. So vergleichen sie:
| Feature | Elektronische Signatur | Digitale Signatur | Beglaubigte Unterschrift |
|---|---|---|---|
| Identitätsprüfung | Keine erforderlich | PKI-Zertifikat erforderlich | PKI-Zertifikat + CA |
| Manipulationserkennung | NEIN | Ja | Ja |
| Rechtsbefugnis | Gültig in den meisten Kontexten | Stark – gesetzlich anerkannt | Am stärksten – gerichtlich zulässig |
| Audit-Trail | Begrenzt/keine | Kryptografischer Beweis | Vollständiger Prüfpfad |
| Typische Werkzeuge | WukongPDF, Vorschau, Kante | Adobe Acrobat, DocuSign | Adobe Acrobat Pro, Unternehmen |
| Am besten für | Alltägliche Verträge, Formulare | Geschäftsvereinbarungen, HR | Rechtliche Unterlagen, regulierte Dokumente |
Das alltägliche PDF Sign-Erlebnis – das Zeichnen einer Signatur in WukongPDF oder Vorschau – erstellt eine elektronische Signatur. Es ist für die meisten Zwecke rechtsgültig, bietet jedoch keine Manipulationserkennung oder kryptografische Identitätsprüfung. Eine digitale Signatur erfordert ein Zertifikat einer Zertifizierungsstelle, bietet Manipulationserkennung und ist für Dokumente mit hohem Risiko erforderlich.
Rechtliche Stellung digital signierter PDFs
Digitale Signaturen sind in allen wichtigen Gerichtsbarkeiten gesetzlich anerkannt. In den Vereinigten Staaten erkennen sowohl der ESIGN Act als auch die UETA elektronische und digitale Signaturen als rechtsverbindlich an. Die eIDAS-Verordnung (Electronic Identification, Authentication and Trust Services) der Europäischen Union bietet den detailliertesten Rahmen und unterscheidet zwischen einfachen elektronischen Signaturen, fortgeschrittenen elektronischen Signaturen (AES) und qualifizierten elektronischen Signaturen (QES) – wobei QES das höchste rechtliche Gewicht hat und ein qualifiziertes Zertifikat eines akkreditierten Anbieters erfordert.
Eine qualifizierte elektronische Signatur nach eIDAS hat in allen EU-Mitgliedstaaten die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Dies ist der Standard, der für hochriskante Dokumente in europäischen regulierten Branchen verwendet wird – Finanzdienstleistungen, Gesundheitswesen, Gerichtsverfahren und Regierungsunterlagen.
So überprüfen Sie eine digitale Signatur in einem PDF
Adobe Acrobat Reader (kostenlos) zeigt die Signaturgültigkeit an, wenn Sie eine digital signierte PDF-Datei öffnen. Ein grünes Häkchen im Signaturbereich zeigt eine gültige Signatur eines vertrauenswürdigen Zertifikats an. Ein gelbes Warndreieck zeigt an, dass die Signatur gültig ist, das Zertifikat jedoch nicht von einer vertrauenswürdigen Zertifizierungsstelle stammt. Ein rotes X zeigt an, dass die Signatur ungültig ist – entweder ist das Zertifikat abgelaufen, wurde widerrufen oder das Dokument wurde nach der Signatur geändert.
Um die vollständigen Signaturdetails anzuzeigen, klicken Sie auf die Signatur im Dokument, um das Fenster „Signatureigenschaften“ zu öffnen. Hier werden die Zertifikatsinformationen des Unterzeichners, die Signaturzeit und das Signaturdatum sowie die Vertrauenskette zurück zur Stammzertifizierungsstelle angezeigt. Bei Dokumenten im Zusammenhang mit Rechtsstreitigkeiten ist dieser Prüfpfad der wichtigste Beweis für die Echtheit der Unterschrift.
Wenn Sie eine digitale Signatur im Vergleich zu einer einfachen Signatur benötigen
Die meisten alltäglichen Dokumentenunterzeichnungen – Arbeitsverträge, Auftragnehmerbedingungen, Einverständniserklärungen, Mietverträge – erfordern keine kryptografische digitale Signatur. Eine einfache elektronische Signatur, die über ein PDF Sign-Tool hinzugefügt wird, ist rechtlich ausreichend und für alle Parteien weitaus einfacher. Der Empfänger benötigt keine spezielle Software, um etwas zu überprüfen; Sie öffnen das Dokument, sehen die Unterschrift und das reicht.
Digitale Signaturen werden erforderlich, wenn das Dokument behördlichen Anforderungen unterliegt, die dies ausdrücklich erfordern, wenn Sie einen Nachweis benötigen, dass das Dokument nach der Unterzeichnung nicht verändert wurde, wenn das Dokument einem Gericht oder einer Regierungsbehörde vorgelegt werden soll, die eine kryptografische Überprüfung erfordert, oder wenn die Parteien einander nicht genug vertrauen, um sich auf eine einfache Signatur ohne unabhängige Überprüfung zu verlassen.
Versuchen Sie es mit „PDF signieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.