Digitale Signaturen vs. Elektronische Signaturen: Was Sie wissen müssen

Digitale Signaturen in PDF-Dokumenten folgen einem Prozess, der in der PDF-Spezifikation und im PAdES-Standard (PDF Advanced Electronic Signatures) definiert ist. Wenn ein Unterzeichner eine digitale Signatur anwendet, berechnet die PDF-Software einen Hash (einen Fingerabdruck fester Größe) des Dokumentinhalts. Dieser Hash wird dann mit dem privaten Schlüssel des Unterzeichners verschlüsselt und erzeugt so die digitale Signatur. Die Signatur wird zusammen mit dem Zertifikat des Unterzeichners (das seinen öffentlichen Schlüssel und seine Identitätsinformationen enthält) in die PDF eingebettet.

Wenn ein Empfänger die signierte PDF öffnet, kehrt der Verifizierungsprozess diese Schritte um. Der PDF-Reader extrahiert das Zertifikat des Unterzeichners und verwendet den öffentlichen Schlüssel, um die Signatur zu entschlüsseln und den ursprünglichen Hash wiederherzustellen. Er berechnet dann unabhängig den Hash des Dokumentinhalts. Stimmen die beiden Hashes überein, wurde das Dokument seit der Unterzeichnung nicht verändert. Der Reader validiert auch die Zertifikatskette des Unterzeichners und prüft, ob das Zertifikat von einer vertrauenswürdigen CA ausgestellt wurde, nicht abgelaufen ist und nicht widerrufen wurde.

PDF unterstützt mehrere Signaturen in einem einzelnen Dokument. Jede nachfolgende Signatur deckt das gesamte Dokument einschließlich vorheriger Signaturen ab und erzeugt so eine Kette, die die Integrität aller Unterzeichner-Beiträge bewahrt. Inkrementelle Speicherungen ermöglichen das Hinzufügen von Inhalten nach einer Signatur, ohne diese ungültig zu machen, obwohl der PDF-Reader anzeigt, dass das Dokument seit der Signaturerstellung geändert wurde. Dieser Mechanismus unterstützt Workflows, bei denen mehrere Parteien ein Dokument nacheinander unterzeichnen.

Die rechtliche Gültigkeit elektronischer und digitaler Signaturen variiert je nach Rechtsordnung und Anwendungsfall. In den Vereinigten Staaten verleihen der ESIGN Act (2000) und UETA (Uniform Electronic Transactions Act) elektronischen Signaturen die gleiche rechtliche Stellung wie handschriftlichen Unterschriften für die meisten Transaktionen. Ausnahmen umfassen Testamente, bestimmte familienrechtliche Dokumente, Gerichtsbeschlüsse und Dokumente, die durch spezifische Vorschriften handschriftliche Unterschriften erfordern.

Die eIDAS-Verordnung der Europäischen Union (2014) etabliert drei Stufen elektronischer Signaturen. Eine einfache elektronische Signatur hat keine spezifischen technischen Anforderungen und trägt die geringste Vermutung der Gültigkeit. Eine fortgeschrittene elektronische Signatur muss eindeutig dem Unterzeichner zugeordnet sein, den Unterzeichner identifizieren können, mit Daten erstellt werden, die unter der alleinigen Kontrolle des Unterzeichners stehen, und mit den signierten Daten so verknüpft sein, dass nachträgliche Änderungen erkennbar sind. Eine qualifizierte elektronische Signatur ist eine fortgeschrittene elektronische Signatur, die mit einer qualifizierten Signaturerstellungseinheit erstellt und auf einem qualifizierten Zertifikat basiert. Nur qualifizierte elektronische Signaturen haben die automatische rechtliche Gleichwertigkeit handschriftlicher Unterschriften in allen EU-Mitgliedstaaten.

Andere Rechtsordnungen haben eigene Regelwerke. Chinas Gesetz über elektronische Signaturen anerkennt zuverlässige elektronische Signaturen, die spezifische Kriterien erfüllen, ähnlich der fortgeschrittenen elektronischen Signatur der EU. Indiens Information Technology Act anerkennt digitale Signaturen unter Verwendung bestimmter kryptografischer Standards. Viele Länder in Lateinamerika, Asien und Afrika haben Gesetze zu elektronischen Signaturen erlassen, die oft dem UNCITRAL-Modellgesetz über elektronische Signaturen nachempfunden sind. Bevor Sie sich bei rechtlich bedeutsamen Dokumenten auf elektronische oder digitale Signaturen verlassen, konsultieren Sie die spezifischen Anforderungen der jeweiligen Rechtsordnung.

Die Vertrauenswürdigkeit einer digitalen Signatur hängt vom verwendeten Zertifikat ab. Zertifikate werden von Zertifizierungsstellen (CAs) ausgestellt, Organisationen, denen vertraut wird, die Identität von Zertifikatsinhabern zu überprüfen. Wenn eine CA ein Zertifikat ausstellt, bestätigt sie, dass der öffentliche Schlüssel im Zertifikat der benannten Person oder Organisation gehört. Dies erzeugt eine Vertrauenskette: Sie vertrauen der Signatur, weil Sie dem Zertifikat vertrauen, und Sie vertrauen dem Zertifikat, weil Sie der CA vertrauen.

PDF-Reader pflegen eine Liste vertrauenswürdiger Stamm-CAs. Adobe Acrobat verwendet die Adobe Approved Trust List (AATL) und die European Union Trust List (EUTL). Bei der Verifizierung einer Signatur prüft der PDF-Reader, ob das Zertifikat des Unterzeichners auf eine vertrauenswürdige Stamm-CA zurückverfolgt werden kann. Ist dies der Fall, wird die Signatur als gültig angezeigt. Wenn die CA nicht vertrauenswürdig ist, warnt der Reader, dass die Gültigkeit der Signatur nicht bestätigt werden kann, auch wenn die kryptografische Überprüfung erfolgreich ist.

Für Organisationen ist die Wahl der richtigen CA und des richtigen Zertifikatstyps wichtig. Dokumentensignaturzertifikate von AATL-gelisteten CAs stellen sicher, dass Signaturen automatisch in Adobe-Produkten vertraut werden. Qualifizierte Zertifikate von EU-Vertrauensdienstanbietern bieten die höchste rechtliche Stellung unter eIDAS. Selbstsignierte Zertifikate können innerhalb einer Organisation verwendet werden, werden aber von externen Parteien ohne manuelle Vertrauenskonfiguration nicht als vertrauenswürdig anerkannt. Die Kosten reichen von kostenlos (Let's Encrypt für Basiszertifikate) bis zu mehreren hundert Euro pro Jahr für qualifizierte oder organisationsvalidierte Dokumentensignaturzertifikate.

Die Gültigkeit einer digitalen Signatur ist normalerweise an den Gültigkeitszeitraum des Signaturzertifikats gebunden. Zertifikate laufen typischerweise nach ein bis drei Jahren ab. Ohne zusätzliche Maßnahmen könnte ein signiertes Dokument die Signatur als ungültig anzeigen, nachdem das Zertifikat abgelaufen ist, obwohl die Signatur zum Zeitpunkt der Anwendung gültig war. Zeitstempel und Langzeit-Validierung (LTV) lösen dieses Problem.

Ein Zeitstempel ist eine signierte Bestätigung einer vertrauenswürdigen Zeitstempel-Behörde (TSA), dass die Signatur zu einem bestimmten Zeitpunkt existierte. Wenn ein Zeitstempel auf eine digitale Signatur angewendet wird, beweist er, dass die Signatur erstellt wurde, bevor das Zertifikat abgelaufen ist oder widerrufen wurde. PDF unterstützt eingebettete Zeitstempel unter Verwendung des RFC-3161-Protokolls. Der Zeitstempel wird im Signaturwörterbuch eingefügt und deckt den Signaturwert ab.

Die Langzeit-Validierung erweitert dieses Konzept, indem alle Informationen eingebettet werden, die für die Validierung der Signatur zu jedem zukünftigen Zeitpunkt benötigt werden. Eine LTV-fähige Signatur enthält das Signaturzertifikat und alle Zertifikate in der Kette, die OCSP-Antwort (Online Certificate Status Protocol) oder Zertifikatsperrliste (CRL), die beweist, dass die Zertifikate zum Signaturzeitpunkt gültig waren, sowie den Zeitstempel. Mit all diesen eingebetteten Informationen kann die Signatur validiert werden, auch wenn die CA zu existieren aufhört, der OCSP-Responder offline geht oder die CRL-Verteilungspunkte nicht mehr erreichbar sind. PAdES definiert spezifische Profile (PAdES-LTV) für die Langzeit-Validierung in PDF-Dokumenten.

Die Implementierung elektronischer oder digitaler Signaturen in der Praxis erfordert die Wahl der richtigen Tools und Workflows für Ihre Anforderungen. Für einfache elektronische Signaturen (eine gezeichnete oder getippte Unterschrift als Willensbekundung) bieten Cloud-Signaturplattformen wie DocuSign, Adobe Sign und HelloSign vollständige Workflows einschließlich Dokumentvorbereitung, Weiterleitung an Unterzeichner, Benachrichtigungen und Audit-Trails. Diese Plattformen verwenden typischerweise serverseitige digitale Signaturen, um das unterzeichnete Dokument zu versiegeln, auch wenn die sichtbare Signatur eine elektronische (nicht kryptografische) Signatur ist.

Für digitale Signaturen, bei denen Sie einen zertifikatsbasierten kryptografischen Nachweis benötigen, bietet Adobe Acrobat integrierte Signaturfunktionen. Sie können ein auf Ihrem Computer gespeichertes Zertifikat, eine Smartcard oder einen Cloud-basierten Signaturdienst verwenden. Der Signaturprozess umfasst die Auswahl des Signaturfelds, die Wahl des Zertifikats und optional das Hinzufügen eines sichtbaren Signaturbilds. Acrobat übernimmt die kryptografischen Operationen und kann Zeitstempel von konfigurierten TSAs anwenden.

Für Entwickler, die Signaturfunktionen in Anwendungen integrieren, unterstützen Bibliotheken wie pdf-lib (JavaScript), iText (Java/.NET) und PyPDF (Python) das programmgesteuerte Hinzufügen digitaler Signaturen. Die pdf-lib-Bibliothek, die in browserbasierten PDF-Tools verwendet wird, kann visuelle Signaturdarstellungen (Bilder oder gezeichnete Unterschriften) hinzufügen, obwohl kryptografische digitale Signaturen eine serverseitige Verarbeitung mit Zugriff auf den privaten Schlüssel erfordern. Berücksichtigen Sie beim Entwurf von Signatur-Workflows den gesamten Lebenszyklus: Dokumentvorbereitung, Signaturanwendung, Verifizierung und Langzeit-Validierung. Jeder Schritt muss zuverlässig sein, damit das signierte Dokument seinen Beweiswert behält.

Die Wahl zwischen elektronischen und digitalen Signaturen hängt von Ihren spezifischen Anforderungen an Sicherheit, rechtliche Compliance und Workflow-Einfachheit ab. Für interne Genehmigungen, informelle Vereinbarungen und Transaktionen mit geringem Risiko reichen einfache elektronische Signaturen in der Regel aus. Sie sind einfacher zu implementieren, erfordern keine Zertifikatsverwaltung und sind den meisten Benutzern vertraut. Der von Signaturplattformen bereitgestellte Audit-Trail (IP-Adresse, Zeitstempel, E-Mail-Bestätigung) liefert für die meisten Geschäftszwecke einen ausreichenden Nachweis.

Digitale Signaturen sind gerechtfertigt, wenn Sie einen kryptografischen Beweis der Dokumentintegrität benötigen (Sicherstellung, dass das Dokument nicht verändert wurde), eine starke Unterzeichner-Authentifizierung (Nachweis der Identität des Unterzeichners über eine bloße E-Mail-Adresse hinaus), die Einhaltung von Vorschriften, die bestimmte Signaturstandards erfordern (wie qualifizierte eIDAS-Signaturen), oder die Nichtabstreitbarkeit (die es dem Unterzeichner erschwert, die Unterzeichnung zu leugnen). Rechtsverträge, behördliche Einreichungen, Finanzdokumente und Regierungsanträge fallen oft in diese Kategorie.

In manchen Fällen eignet sich ein hybrider Ansatz am besten. Verwenden Sie elektronische Signaturen für die nutzerfreundliche Unterzeichnungszeremonie (Erfassung der gezeichneten Unterschrift und der Unterzeichnungsabsicht) und wenden Sie eine digitale Signatur an, um das fertige Dokument kryptografisch zu versiegeln. Dies bietet sowohl benutzerfreundliche Unterzeichnung als auch technischen Integritätsschutz. Viele Enterprise-Signaturplattformen verwenden diesen Ansatz und kombinieren einen Cloud-basierten Signatur-Workflow mit zertifikatsbasierter Versiegelung. Unabhängig von der gewählten Methode sollten Sie konsistente Signaturpraktiken beibehalten und die Signaturrichtlinie Ihrer Organisation dokumentieren, um sicherzustellen, dass signierte Dokumente von allen Parteien angemessen behandelt werden.