Abschlusszertifikat und Prüfpfad

Einführung

Ein abgeschlossener Signaturprozess ist erst dann belastbar dokumentiert, wenn die finale Datei, das Abschlusszertifikat und der Prüfpfad eindeutig demselben Vorgang zugeordnet werden können. Das Abschlusszertifikat fasst den Abschluss zusammen; der Prüfpfad hält die einzelnen Ereignisse und Kontrollen fest. Keines von beiden ersetzt das signierte Dokument.

Im Referenzfall legt eine Compliance-Leiterin für einen abgeschlossenen Signaturvorgang ein Dossier an. Darin werden die finale Dokumentfassung, die Beteiligten, die tatsächlich protokollierten Ereignisse, das Abschlusszertifikat, das Validierungsergebnis und die Aufbewahrungsentscheidung zusammengeführt. Eindeutige Vorgangs- und Dokumentkennungen verhindern, dass Nachweise aus unterschiedlichen Signaturvorgängen vermischt werden.

Nota Sign unterstützt in deutschen und grenzüberschreitenden Signaturprozessen fortgeschrittene elektronische Signaturen (Advanced Electronic Signatures, AES) und qualifizierte elektronische Signaturen (QES) nach der eIDAS-Verordnung. Teams können die für den gewählten Workflow vorgesehenen Abschlussnachweise mit Dokument, Beteiligten und Ereignissen verbinden und anschließend kontrolliert an das interne Archiv übergeben. Dokumenttyp, Parteien, Formanforderungen und anwendbares Recht bleiben die Grundlage für die rechtliche Einordnung.

Ziel dieses Leitfadens ist ein Abschlussdossier, aus dem ein späterer Prüfer nachvollziehen kann, welche Datei abgeschlossen wurde, wer beteiligt war, welche Ereignisse erfasst wurden und auf welcher Grundlage die Archivierung erfolgte.

Prozess und Beteiligte bestimmen

Am Anfang steht die eindeutige Zuordnung des Dossiers. Erfassen Sie mindestens Vorgangskennung, Dokument- oder Vertragskennung, Version der finalen Datei und Abschlusszeitpunkt. Bei mehreren parallel laufenden Signaturprozessen verhindert diese Kombination, dass ein Abschlusszertifikat oder Prüfpfad der falschen Dokumentfassung zugeordnet wird.

Die Beteiligten sollten mit ihrer Rolle im Prozess dokumentiert werden, etwa als Unterzeichner, Freigebender oder Prüfer. Maßgeblich sind die Identitäten und Rollen, die der tatsächliche Workflow ausweist; fehlende Angaben sollten nicht nachträglich als vermeintliche Systemereignisse ergänzt werden.

Für fortgeschrittene elektronische Signaturen verlangt Artikel 26 Buchstabe b der Verordnung (EU) Nr. 910/2014, dass die Signatur die Identifizierung des Unterzeichners ermöglicht. Diese rechtliche Anforderung ist von der internen Dossierstruktur zu unterscheiden: Das Dossier dokumentiert, welche Identitäts- und Prozessnachweise im konkreten Vorgang vorlagen, ersetzt aber nicht die Anforderungen an die Signatur selbst.

Der Kopf des Dossiers sollte deshalb den Prozessbezug auf einen Blick erkennbar machen: Vorgang, Dokument, Version, Beteiligte, Abschlusszeitpunkt und verantwortliche Stelle. So bleibt die Zuordnung auch dann nachvollziehbar, wenn die Unterlagen später in ein anderes Archivsystem übertragen werden.

Ereignisse des Prüfpfads aufzählen

Der Prüfpfad sollte die Ereignisse enthalten, die im abgeschlossenen Workflow tatsächlich protokolliert wurden. Typische Einträge sind Versand, Zugriff oder Anzeige, Authentifizierung oder Bestätigung, Signatur, Validierung und Abschluss. Nicht jeder Prozess erzeugt jedoch dieselben Ereignistypen; maßgeblich ist das vorhandene Protokoll, nicht eine nachträglich vervollständigte Wunschliste.

Für jeden Eintrag sind Zeitpunkt, Ereignistyp, beteiligte Person oder Empfänger, Bezug zum Vorgang und – sofern vorhanden – die zugehörige Dokumentversion festzuhalten. Zeitangaben sollten mit Zeitzone oder einer eindeutig dokumentierten Zeitbasis gespeichert werden, damit die Reihenfolge auch später reproduzierbar bleibt.

Wiederholte Schritte gehören als getrennte Ereignisse in den Prüfpfad. Eine erneut versendete Einladung, ein zweiter Authentifizierungsversuch oder eine erneute Signaturanforderung darf nicht in einem einzigen Sammelereignis verschwinden, wenn das Ursprungssystem getrennte Einträge bereitstellt.

Vergleichen Sie die Ereignisliste vor der Archivierung mit dem abgeschlossenen Prozess. Fehlt ein erwarteter Nachweis, sollte die Abweichung mit Quelle und Prüfentscheidung dokumentiert werden. Ein fehlendes Systemereignis wird nicht durch einen manuell erfundenen Eintrag ersetzt.

Abschlusszertifikat aufbewahren

Bewahren Sie das Abschlusszertifikat in der Fassung auf, die dem betreffenden Signaturvorgang zugeordnet wurde. Sinnvolle Abgleichpunkte sind Vorgangs- oder Zertifikatskennung, Abschlusszeitpunkt, Beteiligte und das im Zertifikat ausgewiesene Ergebnis. Abweichungen zur finalen Datei oder zum Prüfpfad sollten vor der Archivierung geklärt werden.

Das Abschlusszertifikat bleibt ein eigenes Nachweisartefakt. Es sollte nicht als Ersatz für die signierte Datei behandelt werden und auch nicht mit dem qualifizierten Zertifikat für eine elektronische Signatur verwechselt werden. Ein Abschlusszertifikat beschreibt den Vorgang; ein Signaturzertifikat ist Teil der technischen Vertrauenskette einer zertifikatsbasierten Signatur.

Für QES bestimmt Artikel 25 Absatz 2 der Verordnung (EU) Nr. 910/2014, dass eine qualifizierte elektronische Signatur die gleiche Rechtswirkung wie eine handschriftliche Unterschrift hat. Daraus folgt jedoch keine pauschale Aussage über die Wirksamkeit jedes Dokuments oder über eine allgemeine Aufbewahrungsfrist für interne Abschlussdossiers.

Vor der Ablage sollte die Zusammenfassung im Abschlusszertifikat gegen den tatsächlichen Prozess geprüft werden. Werden Unstimmigkeiten festgestellt, ist die Ursache zu klären und die Korrektur oder Abweichung nachvollziehbar zu dokumentieren, statt das Nachweisdokument stillschweigend zu verändern.

Prüfpfad mit finaler Datei verknüpfen

Die wichtigste Verbindung entsteht über stabile Vorgangs- und Dokumentkennungen. Sie sollten im Dossier sowohl bei der finalen Datei als auch beim Abschlusszertifikat und Prüfpfad hinterlegt sein. Dadurch lässt sich feststellen, welche Nachweise zu welcher abgeschlossenen Dokumentfassung gehören.

Ergänzend kann ein kryptografischer Hash der finalen, signierten Datei verwendet werden, beispielsweise mit SHA-256. Er dient als Integritätsmerkmal für exakt diese gespeicherte Datei; schon eine byteweise Änderung erzeugt einen anderen Hash. Der Hash ersetzt weder die Signaturvalidierung noch die Prüfung des Zertifikatsstatus.

Wenn das Unternehmen einen Hash für die Archivkontrolle erzeugt, sollten Algorithmus, Hashwert, Berechnungszeitpunkt und verantwortliche Stelle dokumentiert werden. Vergleichen Sie dabei nicht den Hash einer unsignierten Vorversion mit dem Hash der signierten Datei – durch die Signatur entsteht regelmäßig ein anderes Dateiobjekt.

Zum Abschluss wird die Zuordnung erneut geprüft: finale Datei, Vorgangskennung, Dokumentversion, Abschlusszertifikat, Prüfpfad und Validierungsergebnis müssen denselben Signaturvorgang beschreiben. Das Datum dieser Kontrolle und die prüfende Stelle gehören in das Dossier.

Aufbewahrung festlegen

Für Abschlusszertifikat, Prüfpfad und finale Datei sollte eine gemeinsame Aufbewahrungsentscheidung dokumentiert werden. Sie umfasst Speicherort, Dauer, Zugriffsrechte, Verantwortlichkeit und die Regel, auf der die Frist beruht. Die bearbeitbare Vorlage bleibt von der finalen signierten Fassung getrennt.

Eine einzige eIDAS-Aufbewahrungsfrist für solche internen Abschlussdossiers gibt es nicht. Die erforderliche Dauer kann sich stattdessen aus dem Dokumenttyp, gesetzlichen Handels- oder Steuerpflichten, vertraglichen Anforderungen, Branchenvorgaben, laufenden Streitigkeiten oder internen Aufbewahrungsrichtlinien ergeben. Die konkrete Frist sollte deshalb für den jeweiligen Dokumenttyp begründet werden.

Neben der Dauer zählt die Beweisfähigkeit während der gesamten Aufbewahrung. Das Unternehmen sollte sicherstellen, dass die finale Datei unverändert erhalten, der Prüfpfad lesbar bleibt und die zugehörigen Kennungen nicht verloren gehen. Bei langfristig relevanten Signaturen ist außerdem zu berücksichtigen, welche Validierungsinformationen zum Prüfzeitpunkt vorlagen und wie diese später nachvollzogen werden können.

Zugriffe auf das Dossier sollten auf die zuständigen Rollen beschränkt sein. Wird ein Dossier exportiert oder in ein anderes Repository verschoben, sollten Übergabe, Zielsystem und Verantwortlichkeit dokumentiert werden.

Dossier archivieren

Vor der Archivierung steht eine Vollständigkeitskontrolle. Zum Mindestumfang des Referenzfalls gehören die finale signierte Datei, das zugehörige Abschlusszertifikat, der vorhandene Prüfpfad, das Validierungsergebnis, die eindeutigen Vorgangs- und Dokumentkennungen sowie die Aufbewahrungsentscheidung. Fehlt ein vorgesehenes Artefakt, wird die Abweichung dokumentiert und bewertet.

Die Archivierung sollte nicht erst nach Ablauf der Aufbewahrungsfrist beginnen. Das abgeschlossene Dossier wird vielmehr nach der Abschlusskontrolle in die vorgesehene Aufbewahrung überführt. Datum, Zielsystem oder Archivstelle und verantwortliche Person machen die Übergabe nachvollziehbar.

Prüfen Sie nach der Übernahme stichprobenartig, ob Datei und Nachweise geöffnet, zugeordnet und gelesen werden können. Ein formal vollständiges Dossier ist wenig wert, wenn der Prüfpfad später nicht mehr interpretierbar oder die finale Datei nicht mehr auffindbar ist.

Der Referenzfall endet damit in einem Dossier, das Abschlusszertifikat und Prüfpfad eindeutig mit der finalen Datei verbindet und die Grundlage der Aufbewahrung dokumentiert.

Nächster Schritt: Richten Sie den Prüfpfad in Nota Sign ein, legen Sie die benötigten Abschlussnachweise fest und testen Sie ihre Übergabe an das interne Archiv.