Digitale Signatur: Praktisches Beispiel, Funktionsweise und Überprüfung
Jeden Tag unterzeichnen Millionen von Fachleuten Verträge, Jahresabschlüsse und offizielle Dokumente mit einem einzigen Klick. Der europäische Markt für digitale Signaturen erreichte 2024 ein Volumen von 1,97 Milliarden USD und wird laut Fortune Business Insights bis 2032 voraussichtlich auf 26,80 Milliarden USD anwachsen, bei einer jährlichen Wachstumsrate von 38,8 %. Diese Zahlen erzählen eine klare Geschichte: Digitale Signaturen werden zum Standard für geschäftliche Transaktionen. Wer jedoch nach einem konkreten Beispiel für eine digitale Signatur sucht, stößt weiterhin auf vage Erklärungen, abstrakte Diagramme und anhaltende Verwechslungen zwischen grundlegend verschiedenen Konzepten.
Die Kluft zwischen alltäglicher Nutzung und echtem Verständnis birgt reale Risiken. Viele Fachleute verwechseln eine digitale Signatur nach wie vor mit dem eingescannten Bild einer handschriftlichen Unterschrift, das in ein PDF eingefügt wird. Andere können nicht zwischen einer einfachen elektronischen Signatur und einer digitalen Signatur mit vollem Rechtswert unterscheiden. Die Folgen zeigen sich regelmäßig: fehlerhaft unterzeichnete Dokumente, Streitigkeiten vor Gericht, Verträge, die in ihrer Gültigkeit angefochten werden.
Eine digitale Signatur ist ein kryptografischer Mechanismus, der auf einem Paar asymmetrischer Schlüssel beruht. Sie gewährleistet Authentizität (Gewissheit über die Identität der unterzeichnenden Person), Integrität (das Dokument wurde nach der Unterzeichnung nicht verändert) und Nichtabstreitbarkeit (die unterzeichnende Person kann die Unterzeichnung nicht leugnen). Dieser Leitfaden erklärt, wie der Vorgang in der Praxis funktioniert, wie ein digital signiertes Dokument tatsächlich aussieht und wie sich seine Gültigkeit mit offiziellen Werkzeugen überprüfen lässt.
Was ist eine digitale Signatur und warum sie keine eingescannte Unterschrift ist
Eine digitale Signatur ist eine spezielle Form der elektronischen Signatur, die ein von einer vertrauenswürdigen Zertifizierungsstelle ausgestelltes digitales Zertifikat und ein System der Public-Key-Kryptografie nutzt, um einer handschriftlichen Unterschrift rechtlich gleichgestellt zu werden. Sie hat nichts mit dem Bild einer Unterschrift gemein, das in ein Dokument eingefügt wird. Ein eingescanntes Unterschriftenbild enthält keinerlei kryptografische Information, bindet die unterzeichnende Person nicht auf eindeutige und überprüfbare Weise an das Dokument und bietet keine Gewähr dafür, dass der Inhalt nach dem Einfügen des Bildes unverändert geblieben ist. In einem Rechtsstreit hat ein Dokument, das lediglich ein eingescanntes Unterschriftenbild trägt, in etwa denselben Beweiswert wie eine nicht unterzeichnete Fotokopie.
Diese Unterscheidung ist von Bedeutung, weil die rechtlichen Rahmenwerke für elektronische Transaktionen in der Europäischen Union klare technische Anforderungen festlegen, die echte digitale Signaturen von optischen Nachahmungen trennen. Nach der eIDAS-Verordnung (EU 910/2014) genießen nur Signaturen, die bestimmte kryptografische und Zertifizierungsstandards erfüllen, in allen EU-Mitgliedstaaten automatische rechtliche Anerkennung. Die Europäische Kommission hat bestätigt, dass die grenzüberschreitende Anerkennung für elektronische Signaturen gilt, die mit Zertifikaten vertrauenswürdiger Vertrauensdiensteanbieter erstellt wurden, welche in den nationalen Vertrauenslisten geführt werden.
Der Unterschied zwischen einfachen, fortgeschrittenen und digitalen elektronischen Signaturen
Die eIDAS-Verordnung (EU 910/2014) definiert drei Stufen elektronischer Signaturen, jede mit zunehmend strengeren technischen Anforderungen und wachsendem Rechtswert. Diese Stufen zu kennen ist der erste Schritt, um für eine bestimmte Transaktion die richtige Signaturstufe einzusetzen.
Eine einfache elektronische Signatur umfasst alle Daten in elektronischer Form, die anderen Daten zu Authentifizierungszwecken beigefügt oder logisch mit ihnen verknüpft sind. Die Kategorie ist bewusst weit gefasst: ein getippter Name am Ende einer E-Mail, ein Kontrollkästchen in einem Online-Formular, ein an der Kasse eingegebener PIN-Code. Einfache elektronische Signaturen haben einen begrenzten Beweiswert, und ihre rechtliche Wirksamkeit hängt von der freien Beweiswürdigung durch das Gericht gemäß § 286 ZPO im Einzelfall ab. Artikel 25 Absatz 1 der eIDAS-Verordnung bestimmt, dass einer elektronischen Signatur die Rechtswirkung nicht allein deshalb abgesprochen werden darf, weil sie in elektronischer Form vorliegt; diese grundlegende Anerkennung lässt jedoch erheblichen Raum für Anfechtung.
Eine fortgeschrittene elektronische Signatur (Artikel 26 eIDAS) muss vier kumulative Anforderungen erfüllen: Sie muss eindeutig der unterzeichnenden Person zugeordnet sein, deren Identifizierung ermöglichen, unter Verwendung von Daten erstellt werden, die die unterzeichnende Person unter ihrer alleinigen Kontrolle hält, und so mit den signierten Daten verbunden sein, dass jede nachträgliche Änderung erkennbar ist. Diese Anforderungen legen die Messlatte deutlich höher, doch die Verordnung schreibt keine bestimmte Technologie zu ihrer Erfüllung vor.
Eine digitale Signatur steht auf der höchsten Stufe dieses Rahmens. Sie beruht auf einem von einem Vertrauensdiensteanbieter ausgestellten digitalen Zertifikat und auf asymmetrischer Kryptografie. Nach Artikel 25 Absatz 2 der eIDAS-Verordnung hat eine qualifizierte elektronische Signatur (QES) die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Im deutschen Prozessrecht begründet ein mit einer qualifizierten elektronischen Signatur (QES) versehenes elektronisches Dokument nach § 371a ZPO den Anschein der Echtheit der Erklärung. Der Gerichtshof der Europäischen Union hat den Grundsatz der grenzüberschreitenden Anerkennung bestätigt: Eine in einem Mitgliedstaat erstellte digitale Signatur muss in allen anderen ohne zusätzliche Anforderungen anerkannt werden.
Der rechtliche Rahmen: eIDAS und internationale Standards
Zwei regulatorische Säulen bestimmen heute digitale Signaturen in grenzüberschreitenden Transaktionen. Die eIDAS-Verordnung (EU 910/2014) legt den rechtlichen Rahmen für die elektronische Identifizierung und Vertrauensdienste in allen EU-Mitgliedstaaten fest. Artikel 25 liefert die zentrale Regel: Eine auf einem Zertifikat beruhende fortgeschrittene elektronische Signatur entfaltet Rechtswirkungen, die einer handschriftlichen Unterschrift gleichwertig sind. Die Artikel 28 bis 34 regeln Vertrauensdiensteanbieter, die Ausstellung von Zertifikaten und deren Beaufsichtigung. In Deutschland wird die Verordnung durch das nationale Vertrauensdienstegesetz (VDG) ergänzt. Vor eIDAS hatte jedes Land seine eigenen Regeln. Die Verordnung ersetzte diesen Flickenteppich durch einen einheitlichen Markt für elektronische Vertrauensdienste.
eIDAS 2.0 (EU 2024/1183), verabschiedet im Jahr 2024, geht noch weiter. Die Verordnung führt die europäische Brieftasche für die digitale Identität (EUDI-Wallet) ein, verschärft die Anforderungen an elektronische Siegel und erweitert den Anwendungsbereich der Vertrauensdienste. Die Mitgliedstaaten müssen den Bürgerinnen und Bürgern bis 2026 EUDI-Wallets zur Verfügung stellen. Ziel ist eine einheitliche Infrastruktur für digitale Identität und Signatur in ganz Europa (Europäische Kommission, Digitale Strategie).
Im deutschen Zivilprozess bestimmt § 371a ZPO die Behandlung elektronischer Dokumente als Beweismittel: Auf private elektronische Dokumente mit qualifizierter elektronischer Signatur (QES) finden die Vorschriften über die Beweiskraft privater Urkunden entsprechende Anwendung, und die Signatur begründet den Anschein der Echtheit. Elektronische Dokumente ohne qualifizierte Signatur unterliegen dagegen der freien Beweiswürdigung nach § 286 ZPO und können vom Gericht im Wege des Augenscheins (§ 371 ZPO) gewürdigt werden. International liefert ISO/IEC 27001 den Rahmen für das Informationssicherheits-Management, dem viele Organisationen beim Aufbau ihrer Signaturinfrastruktur folgen, während ISO/IEC 27037 die anerkannten Leitlinien für die forensische Sicherung digitaler Beweismittel vorgibt, sodass die zugrunde liegenden Systeme anerkannte Sicherheitsstandards erfüllen.
Wie eine digitale Signatur funktioniert: der technische Ablauf einfach erklärt
Eine digitale Signatur beruht auf drei technischen Komponenten. Die asymmetrische Kryptografie erzeugt die Signatur selbst. Das digitale Zertifikat verknüpft sie mit der geprüften Identität der unterzeichnenden Person. Und die Hash-Funktion stellt sicher, dass das Dokument nach der Unterzeichnung nicht unbemerkt verändert werden kann. Versagt auch nur eine dieser Komponenten, bricht das gesamte Verfahren zusammen.
Die Grundlage bildet ein mathematisches Prinzip namens asymmetrische Kryptografie, das in den 1970er-Jahren unter anderem von den Forschern Whitfield Diffie und Martin Hellman entwickelt wurde. Die Idee: Zwei kryptografische Schlüssel bilden ein mathematisch verbundenes Paar, doch keiner lässt sich aus dem anderen berechnen. Die unterzeichnende Person besitzt einen privaten Schlüssel, der auf einem sicheren Gerät gespeichert ist: einer Smartcard, einem USB-Token oder einem entfernten Hardware-Sicherheitsmodul (HSM). Der öffentliche Schlüssel ist in das digitale Zertifikat eingebettet und für jeden zugänglich, der die Signatur überprüfen muss. Moderne Umsetzungen bevorzugen zunehmend die Fernsignatur, bei der der private Schlüssel auf einem HSM-Server liegt und sich die unterzeichnende Person vor jedem Vorgang per OTP oder biometrischer Überprüfung authentifiziert.
Asymmetrische Kryptografie: öffentliche und private Schlüssel
Wenn eine Fachkraft ein Dokument unterzeichnet, berechnet die Signatursoftware zunächst einen eindeutigen digitalen Fingerabdruck der Datei: den Hash, eine alphanumerische Zeichenfolge fester Länge, die von einer mathematischen Einwegfunktion erzeugt wird (typischerweise SHA-256 oder SHA-512). Anschließend verschlüsselt die Software diesen Hash mit dem privaten Schlüssel der unterzeichnenden Person. Das Ergebnis ist die digitale Signatur selbst: ein Block kryptografischer Daten, der an das Dokument angehängt oder in dieses eingebettet wird.
Die empfangende Person überprüft die Signatur, indem sie den öffentlichen Schlüssel der unterzeichnenden Person (aus dem digitalen Zertifikat) verwendet, um den Signaturblock zu entschlüsseln. Stimmt der entschlüsselte Wert mit dem Hash des empfangenen Dokuments überein, bestätigt die Überprüfung zwei Dinge auf einmal: Das Dokument wurde seit der Unterzeichnung nicht verändert, und die Signatur wurde von derjenigen Person erstellt, die den zugehörigen privaten Schlüssel kontrolliert. Hat sich auch nur ein einziges Zeichen im Dokument geändert, unterscheiden sich die Hash-Werte und die Überprüfung schlägt sofort fehl.
Die Rolle des digitalen Zertifikats und der Zertifizierungsstelle
Das digitale Zertifikat ist das elektronische Dokument, das den öffentlichen Schlüssel mit der geprüften Identität der unterzeichnenden Person verknüpft. Ein Vertrauensdiensteanbieter (auch Zertifizierungsstelle genannt) stellt es nach einem strengen Verfahren zur Identitätsprüfung aus. Dieser Anbieter muss in der einschlägigen nationalen Vertrauensliste geführt werden. Nach eIDAS führt jeder EU-Mitgliedstaat eine solche Liste, und die Europäische Kommission veröffentlicht die zusammengefasste Liste der Vertrauenslisten.
Ein standardmäßiges digitales Zertifikat enthält den vollständigen Namen und eine eindeutige Kennung der Inhaberin oder des Inhabers, den öffentlichen Schlüssel, den Gültigkeitszeitraum des Zertifikats (in der Regel ein bis drei Jahre), den Namen der ausstellenden Zertifizierungsstelle sowie die Seriennummer des Zertifikats. Das Zertifikat selbst ist von der Zertifizierungsstelle signiert. Dadurch entsteht eine Vertrauenskette: Prüfende vertrauen dem Zertifikat, weil sie der ausstellenden Stelle vertrauen, und deren eigenes Zertifikat ist an ein auf nationaler Ebene geführtes Stammzertifikat gebunden.
Hash, Zeitstempel und Dokumentenintegrität
Die Hash-Funktion ist die Integritätsgarantie. Jede Änderung am Dokument nach der Unterzeichnung, selbst das Hinzufügen eines einzigen Leerzeichens, erzeugt einen völlig anderen Hash-Wert. Diese Eigenschaft macht jede nachträgliche Manipulation durch einen einfachen mathematischen Vergleich sofort erkennbar.
Ein Zeitstempel fügt eine weitere Ebene der Gewissheit hinzu: Er bezeugt den genauen Zeitpunkt, zu dem die Signatur erstellt wurde, mit gegenüber Dritten durchsetzbarer Rechtswirkung. Ein qualifizierter Zeitstempel gemäß eIDAS ist besonders wertvoll, wenn ein Zertifikat nach dem Unterzeichnungsdatum abläuft. Wurde der Zeitstempel angebracht, während das Zertifikat noch gültig war, behält das signierte Dokument seinen Rechtswert dauerhaft, auch Jahre nach Ablauf des Zertifikats. Digitale Signatur plus Zeitstempel: ein Dokument, dessen Integrität, Urheberschaft und zeitliche Einordnung allesamt kryptografisch garantiert sind.
Beispiel für eine digitale Signatur: wie sie in einem PDF aussieht und wie man sie erkennt
Ein digital signiertes PDF sieht je nach Signaturformat unterschiedlich aus, doch im gängigsten Format (PAdES) behält die Datei ihre übliche Endung .pdf und lässt sich in jedem PDF-Reader öffnen. Der sichtbare Unterschied ist ein Signaturfenster oder eine Hinweisleiste, die auf das Vorhandensein einer oder mehrerer digitaler Signaturen samt ihrem Validierungsstatus hinweist.
Adobe Acrobat Reader zeigt als praktisches Beispiel für eine digitale Signatur eine blaue oder grüne Leiste am oberen Rand des Dokuments mit dem Hinweis „Unterzeichnet und alle Signaturen sind gültig" oder eine Warnung, falls Probleme bestehen. Ein Klick auf das Signaturfenster zeigt die Details: den Namen der unterzeichnenden Person, Datum und Uhrzeit der Unterzeichnung, die Zertifizierungsstelle, die das Zertifikat ausgestellt hat, sowie den aktuellen Gültigkeitsstatus des Zertifikats. Diese visuelle Darstellung macht den klaren Unterschied zwischen einer digitalen Signatur und einem elektronischen Siegel deutlich: Die Signatur identifiziert eine natürliche Person, während das Siegel eine Organisation identifiziert.
Wie ein digital signiertes PDF-Dokument aussieht
Im PAdES-Format kann die unterzeichnende Person optional ein sichtbares Signaturfeld im Textkörper des Dokuments einfügen: einen rechteckigen Bereich, der den Namen, das Datum und einen grafischen Hinweis anzeigt. Dieses sichtbare Feld ist rein kosmetisch. Es hat über die zugrunde liegende kryptografische Signatur hinaus keinen zusätzlichen Rechtswert. Die eigentliche Signatur liegt in der Metadatenebene des PDF, nicht in einem sichtbaren Bild oder grafischen Element. Das Fehlen eines sichtbaren Signaturfelds bedeutet nicht, dass das Dokument nicht signiert ist: Prüfen Sie stets das Signaturfenster.
Im CAdES-Format ist das Vorgehen deutlich anders. Das Originaldokument wird in einen kryptografischen Umschlag gehüllt, und die entstehende Datei trägt die Endung .p7m. Zum Öffnen ist eine spezielle Software erforderlich, die CAdES-Container verarbeiten kann. Die .p7m-Datei enthält sowohl das Originaldokument als auch die Signaturdaten, lässt sich jedoch nicht mit einem üblichen PDF-Betrachter lesen. Dieses Format ist bei Behördeneingaben und in Gerichtsverfahren in mehreren EU-Mitgliedstaaten nach wie vor verbreitet.
Signaturformate: CAdES (.p7m), PAdES (PDF), XAdES (XML)
In Europa gibt es drei standardisierte Signaturformate, die jeweils für unterschiedliche Anwendungsfälle konzipiert sind. Alle drei besitzen nach eIDAS volle Rechtsgültigkeit. Die Wahl hängt vom Dokumententyp und den Arbeitsablaufanforderungen der beteiligten Parteien ab.
| Format | Endung | Dateityp | Sichtbare Signatur | Hauptverwendung |
|---|---|---|---|---|
| CAdES | .p7m | Beliebige Datei (kryptografischer Umschlag) | Nein | Behörden, Gerichtsverfahren |
| PAdES | Nur PDF | Ja (optional) | Verträge, tägliche Geschäftsnutzung | |
| XAdES | .xml | Nur XML | Nein | Elektronische Rechnungsstellung, strukturierte Daten |
CAdES (CMS Advanced Electronic Signatures) hüllt das Dokument in einen kryptografischen Umschlag mit der Endung .p7m. Es funktioniert mit jedem Dateityp, nicht nur mit PDFs, was es technisch zum vielseitigsten Format macht. Behörden und Justizsysteme in mehreren EU-Ländern schreiben CAdES für offizielle Eingaben und Einreichungen bei Gericht vor.
PAdES (PDF Advanced Electronic Signatures) ist das Format, das die meisten Fachleute im Alltag verwenden. Die Signatur wird direkt in die PDF-Datei eingebettet, die ohne zusätzliche Software in jedem üblichen PDF-Betrachter lesbar bleibt. Verträge, Angebote, Unternehmensdokumente: PAdES bewältigt sie alle und unterstützt mehrere Signaturen auf demselben Dokument, ohne separate Dateien zu erzeugen. Für die meisten geschäftlichen Anwendungsfälle bietet PAdES das beste Gleichgewicht zwischen Sicherheit, Zugänglichkeit und Benutzerfreundlichkeit.
XAdES (XML Advanced Electronic Signatures) hat einen enger gefassten Anwendungsbereich: XML-basierte Dokumente, vor allem die elektronische Rechnungsstellung und den Austausch strukturierter Daten mit Behörden. Sie begegnet Ihnen hauptsächlich dort, wo Daten maschinenlesbar sein müssen und das Dokumentenformat per Definition XML ist.
Wie man eine digitale Signatur überprüft
Eine digitale Signatur zu überprüfen bedeutet, drei Dinge zu bestätigen: Das Zertifikat der unterzeichnenden Person war zum Zeitpunkt der Unterzeichnung gültig und nicht widerrufen, das Zertifikat wurde von einem anerkannten Vertrauensdiensteanbieter ausgestellt, und das Dokument wurde seit dem Anbringen der Signatur nicht verändert. Mit den richtigen Werkzeugen dauert das nur Sekunden.
Die Überprüfung ist nicht optional. In beruflichen und rechtlichen Zusammenhängen hat ein digital signiertes Dokument nur dann Wert, wenn die Signatur im Moment des Vertrauens validiert werden kann. Ein abgelaufenes Zertifikat, ein widerrufenes Zertifikat, ein nach der Unterzeichnung verändertes Dokument, ein Zertifikat eines nicht anerkannten Anbieters: Jede dieser Bedingungen kann den gesamten Rechtswert des Dokuments untergraben. Da der europäische Markt für digitale Signaturen laut Fortune Business Insights bis 2032 voraussichtlich 26,80 Milliarden USD erreichen wird, wird das Volumen der zu überprüfenden Signaturen weiter wachsen. Zu wissen, wie man eine digitale Signatur überprüft, ist ebenso notwendig wie zu wissen, wie man eine erstellt.
Offizielle Validatoren: eIDAS-Werkzeuge und spezialisierte Software
Die Europäische Kommission hat EU DSS (Digital Signature Service) entwickelt, ein quelloffenes Überprüfungswerkzeug, das digitale Signaturen in jedem Format (CAdES, PAdES, XAdES) anhand des eIDAS-Rahmens validiert. Es ist die Referenzimplementierung für die grenzüberschreitende Signaturprüfung zwischen den Mitgliedstaaten. EU DSS prüft die Signatur anhand der von jedem Land geführten Vertrauenslisten und liefert ein standardisiertes Ergebnis, unabhängig davon, wo die Signatur erstellt wurde.
Auch kommerzielle Software bietet Überprüfungsfunktionen, die in umfassendere Dokumentenmanagement-Abläufe integriert sind. Adobe Acrobat etwa verfügt über eine eingebaute Signaturprüfung, die Zertifikate anhand der Adobe Approved Trust List (AATL) und der European Union Trust List (EUTL) abgleicht. Organisationen, die große Mengen signierter Dokumente verarbeiten, können die Überprüfung über Programmierschnittstellen (APIs) automatisieren, anstatt jede Datei von Hand zu prüfen.
Was zu prüfen ist: Zertifikat, Zeitstempel, Integrität
Eine vollständige Überprüfung umfasst drei Aspekte. Bei jedem einzelnen davon kann ein Fehler teuer werden.
Das Zertifikat der unterzeichnenden Person muss zum maßgeblichen Zeitpunkt gültig sein: nicht abgelaufen, nicht ausgesetzt, nicht widerrufen. Überprüfungssoftware prüft automatisch Zertifikatssperrlisten (CRLs) oder fragt das Online Certificate Status Protocol (OCSP) der ausstellenden Zertifizierungsstelle ab. Wurde das Zertifikat auch nur eine Stunde vor Ihrer Prüfung widerrufen, ist die Signatur nicht mehr gültig. Der praktische Rat: Überprüfen Sie Signaturen, sobald Sie das Dokument erhalten, nicht erst Wochen später.
Der Zeitstempel bezeugt, sofern vorhanden, den genauen Zeitpunkt, zu dem die Signatur angebracht wurde, mit gegenüber Dritten durchsetzbarer Rechtswirkung. Seine Rolle wird entscheidend, wenn das Zertifikat der unterzeichnenden Person nach der Unterzeichnung des Dokuments abläuft. Wurde der Zeitstempel angebracht, während das Zertifikat noch gültig war, behält das Dokument seinen Rechtswert dauerhaft. Ohne Zeitstempel ist die Gültigkeit der Signatur an den Gültigkeitszeitraum des Zertifikats gebunden: eine zeitlich begrenzte Garantie, die mit näher rückendem Ablaufdatum schwächer wird.
Die Integritätsprüfung bedeutet, den Hash des Dokuments neu zu berechnen und mit dem in der Signatur gespeicherten Hash zu vergleichen. Übereinstimmende Hash-Werte: Das Dokument ist unverändert. Eine Abweichung, selbst durch ein einziges geändertes Zeichen: Die Überprüfung schlägt fehl. Behandeln Sie das Dokument dann als möglicherweise kompromittiert.
Wie die Dokumentenzertifizierung den Prozess der digitalen Signatur vervollständigt
Die Dokumentenzertifizierung ist der Schritt, der ein signiertes Dokument in ein Beweismittel mit vollem Beweiswert verwandelt. TrueScreen ist die Data Authenticity Platform, die Funktionen der digitalen Signatur in ihren Zertifizierungsablauf integriert und die Authentifizierung der unterzeichnenden Person (per OTP-SMS oder biometrischer Videoverifizierung, eIDAS-konform) mit dem automatischen Anbringen eines Zeitstempels und eines digitalen Siegels verbindet. Das Ergebnis ist ein Dokument, das vom Ursprung an signiert, zertifiziert und unveränderlich gemacht wird, mit überprüfbaren Metadaten, die die gesamte Beweiskette belegen. Der Unterschied zählt am meisten, wenn das signierte Dokument in einem Verfahren als zulässiges digitales Beweismittel Bestand haben muss und nicht nur als signierte Datei in einem Ordner liegt.
Digitale Signatur, integriert in den Zertifizierungsablauf
Der Ablauf innerhalb von TrueScreen folgt einer genauen Reihenfolge. Die Nutzerin oder der Nutzer lädt das Dokument auf die Plattform hoch. Das System authentifiziert die Identität der unterzeichnenden Person per OTP über SMS oder biometrischer Videoverifizierung und erfüllt damit die eIDAS-Anforderungen an eine starke Authentifizierung. Die digitale Signatur wird angebracht. Anschließend fügt TrueScreen automatisch einen Zeitstempel und ein digitales Siegel hinzu und sperrt das Dokument, sodass es nicht mehr verändert werden kann und über die Zeit überprüfbar bleibt.
Diese Integration löst ein wiederkehrendes Problem im Umgang mit signierten Dokumenten: die Lücke zwischen dem Akt der Unterzeichnung und der fortlaufenden Integritätsgarantie. Ein digital signiertes Dokument kann kopiert, verschoben, umbenannt oder sogar in nicht signierten Bereichen teilweise verändert werden, ohne dass es jemand bemerkt. Digitale Provenienz und forensische Zertifizierung ergänzen die Beweisebene, die das Dokument mit seinem ursprünglichen Kontext, den Umständen seiner Entstehung und seiner lückenlosen Beweiskette ab dem Moment der Unterzeichnung verbindet.
Von der Signatur zum vollständigen Beweis
Der Unterschied zwischen einem lediglich signierten und einem zertifizierten Dokument liegt in der Tiefe der Garantie. Eine digitale Signatur bezeugt, wer unterzeichnet hat, und bestätigt, dass sich der Inhalt nicht geändert hat. Die Zertifizierung ergänzt, wann unterzeichnet wurde (gegenüber Dritten durchsetzbarer Zeitstempel), unter welchen Umständen (Gerätemetadaten, Geolokalisierung, Erfassungsparameter) und dass der gesamte Vorgang nachvollziehbar ist.
Für Rechtsteams und Compliance-Verantwortliche, die in streitigen oder regulatorischen Zusammenhängen arbeiten, hat diese Unterscheidung Gewicht. Ein digital signierter Vertrag beweist die Zustimmung der Parteien. Derselbe Vertrag, signiert und mit digitaler Provenienz zertifiziert, beweist zudem, dass das Dokument in genau dieser Form zu genau diesem Zeitpunkt existierte, ohne Möglichkeit einer Rückdatierung oder unbemerkten Änderung. Wenn die Beweisanforderungen hoch sind, kann die Zertifizierungsebene den Unterschied zwischen einem Dokument, das anerkannt wird, und einem, das angefochten wird, ausmachen.
