8. April 2025
Einführung
Eine gefälschte oder manipulierte digitale Signatur lässt sich nicht zuverlässig am sichtbaren Signaturbild erkennen. Entscheidend ist, ob die signierte Datei und die kryptografischen Signaturdaten zu dem behaupteten Vorgang passen.
Für eine belastbare Prüfung sollten Sicherheits- oder Compliance-Teams fünf Ebenen getrennt betrachten: die Integrität der Datei, die kryptografische Validität der Signatur, die Zertifikatskette und den Zertifikatsstatus, die Zeitangaben sowie den Zertifikatsinhaber. Erst aus dem Gesamtbild lässt sich ableiten, ob eine technische Abweichung vorliegt und ob der Vorfall weiter untersucht werden muss.
Das Ziel ist kein vorschnelles Urteil über eine mögliche Fälschung, sondern ein nachvollziehbarer technischer Befund. Jede Prüfung sollte deshalb an eine unveränderte Dateifassung gebunden und mit Werkzeug, Zeitpunkt, Quelle und Ergebnis dokumentiert werden.
Nota Sign unterstützt in nationalen deutschen und grenzüberschreitenden Signaturprozessen fortgeschrittene elektronische Signaturen (Advanced Electronic Signatures, AES) und qualifizierte elektronische Signaturen (QES) im eIDAS-Kontext. Die technische Prüfung einer Signatur ersetzt jedoch weder eine forensische Untersuchung noch die rechtliche Bewertung eines konkreten Vorfalls.
Unveränderte Prüffassung sichern
Bevor Sie die Signatur untersuchen, sichern Sie die empfangene Datei unverändert und arbeiten Sie nicht am einzigen vorhandenen Exemplar. Eine getrennte Prüffassung verhindert, dass spätere Arbeitsschritte den Zustand verändern, der ursprünglich gemeldet wurde.
Berechnen Sie für diese Fassung einen kryptografischen Hash und dokumentieren Sie mindestens Dateiname, Hashalgorithmus, Hashwert, Herkunft, Empfangsweg und Prüfzeitpunkt. Der Hash beweist für sich genommen nicht, dass das Dokument echt ist; er dient als Referenz dafür, dass sich alle folgenden Befunde auf exakt dieselbe Datei beziehen.
Bewahren Sie die gesicherte Fassung bis zum Abschluss der Untersuchung schreibgeschützt oder in einem dafür vorgesehenen Beweis- beziehungsweise Incident-Repository auf. Wird später eine weitere Version eingereicht, erhält sie einen eigenen Hash und wird als separate Fassung behandelt.
Integrität und kryptografische Signatur validieren
Im nächsten Schritt wird die digitale Signatur mit einem dafür vorgesehenen Validierungswerkzeug geprüft. Dabei geht es um zwei unterschiedliche Fragen: Ist die kryptografische Signatur mathematisch gültig, und entsprechen die signierten Daten noch dem Zustand, auf den sich die Signatur bezieht?
Ein Validator sollte den konkreten Signaturstatus, die signierte Revision beziehungsweise den signierten Datenumfang und erkannte Änderungen ausgeben. Dokumentieren Sie das Ergebnis vollständig, einschließlich Werkzeug und Version, statt nur einen Status wie „gültig“ oder „ungültig“ zu übernehmen.
Eine fehlgeschlagene Validierung ist ein wichtiger Befund, aber noch kein Beweis für eine Fälschung. Ursachen können unter anderem eine nachträgliche Änderung der Datei, beschädigte Signaturdaten, eine nicht auflösbare Vertrauenskette oder fehlende Validierungsinformationen sein. Bei einem unerwarteten Ergebnis kann eine Wiederholungsprüfung mit einem zweiten freigegebenen Werkzeug helfen, Werkzeug- oder Konfigurationsfehler auszuschließen.
Zertifikatskette, Gültigkeit und Widerruf bewerten
Bei zertifikatsbasierten Signaturen sollte die Zertifikatskette vom Signaturzertifikat bis zu einer für den konkreten Vorgang erwarteten Vertrauensbasis geprüft werden. Relevant ist nicht nur, ob technisch eine Kette aufgebaut werden kann, sondern auch, ob Aussteller und Vertrauensanker zur Richtlinie, zum eingesetzten Signaturdienst und zum Geschäftsvorgang passen.
Prüfen Sie außerdem den Gültigkeitszeitraum und – soweit für das Zertifikat verfügbar – den Widerrufsstatus über die vorgesehenen Validierungsinformationen. Halten Sie Zertifikatsstatus, Datenquelle und den Zeitpunkt der Prüfung getrennt fest.
Ein heute abgelaufenes oder widerrufenes Zertifikat beweist nicht automatisch, dass eine Signatur zum damaligen Signaturzeitpunkt ungültig war. Für diese Einordnung sind die zum Signaturzeitpunkt verfügbaren Nachweise, gegebenenfalls ein vertrauenswürdiger Zeitstempel und geeignete historische Statusinformationen maßgeblich. Fehlen solche Daten, sollte der Befund entsprechend eingeschränkt formuliert werden.
Zeitangaben und Zertifikatsinhaber abgleichen
Zeitangaben sollten nicht ungeprüft gleichgesetzt werden. Ein im Dokument sichtbares Datum, die Zeitangabe eines Signaturfelds, ein Plattformereignis und ein kryptografisch abgesicherter Zeitstempel können unterschiedliche Aussagekraft haben. Entscheidend ist, welche Zeitquelle für den konkreten Signaturtyp und Prüfzweck verlässlich herangezogen werden kann.
Vergleichen Sie die belastbare Zeitangabe mit dem erwarteten Ablauf des Vorgangs: Wann wurde das Dokument bereitgestellt, wann sollte signiert werden, und liegen die protokollierten Ereignisse in einer plausiblen Reihenfolge? Abweichungen werden als Befund dokumentiert, nicht unmittelbar als Manipulation bewertet.
Ebenso wichtig ist der Abgleich des Zertifikatsinhabers mit der erwarteten Person oder Organisation. Stimmen Name, Organisation oder andere relevante Zertifikatsattribute nicht mit dem vorgesehenen Unterzeichner überein, ist eine weitere Klärung erforderlich. Umgekehrt beweist ein passender Zertifikatsinhaber allein nicht, dass die konkrete Nutzung des Signaturmittels autorisiert war.
Befunde trennen und nachvollziehbar dokumentieren
Eine belastbare Entscheidung entsteht erst, wenn die einzelnen Prüfergebnisse voneinander getrennt dokumentiert werden. Ein Aufzeichnungsblatt oder Incident-Datensatz sollte mindestens folgende Punkte enthalten:
Trennen Sie dabei „keine Abweichung festgestellt“, „technische Abweichung bestätigt“ und „Befund nicht abschließend“. Diese Unterscheidung verhindert, dass ein unvollständiger Prüfschritt als Beweis einer Fälschung behandelt wird.
Die Aufzeichnung sollte eine Versionskennung erhalten und eindeutig auf die gesicherte Dateifassung verweisen. So kann eine spätere Prüfstelle nachvollziehen, welche Datei mit welchen Werkzeugen und Daten bewertet wurde.
Wann der Vorfall eskaliert werden sollte
Eine Eskalation ist sinnvoll, wenn die technische Prüfung eine Veränderung der signierten Daten bestätigt, die Zertifikats- oder Identitätsdaten erheblich vom erwarteten Vorgang abweichen oder ein sicherheitsrelevanter Befund nicht belastbar geklärt werden kann. Welche Stelle übernimmt, richtet sich nach der internen Incident-, Compliance- oder Rechtsrichtlinie des Unternehmens.
Ab diesem Zeitpunkt sollte die betroffene Fassung nicht weiter als verifiziertes Dokument verwendet werden. Die gesicherte Datei, Validierungsergebnisse, Zertifikatsdaten und bisherigen Kommunikationsnachweise bleiben erhalten, bis die zuständige Stelle den Vorfall abgeschlossen hat.
Besteht der Verdacht auf kompromittierte Schlüssel oder missbräuchliche Zertifikatsnutzung, kann zusätzlich die Einbindung des zuständigen Trust Service Providers beziehungsweise Zertifikatsausstellers erforderlich sein. Ob tatsächlich eine Fälschung, ein Missbrauch oder eine rechtlich relevante Manipulation vorliegt, sollte erst nach Abschluss der dafür vorgesehenen technischen und organisatorischen Prüfung festgestellt werden.
Prüfprozess standardisieren
Für wiederkehrende Fälle lohnt sich ein festgelegter Prüfpfad mit freigegebenen Validierungswerkzeugen, definierten Vertrauensquellen, einem einheitlichen Befundschema und klaren Eskalationsrollen. Dadurch wird aus einer Einzelfallprüfung ein reproduzierbarer Sicherheitsprozess.
Wenn Ihre Organisation AES- oder QES-basierte Signaturprozesse mit Nota Sign abwickelt, sollten die verfügbaren Signatur- und Prozessnachweise zusammen mit der geprüften Dateifassung in diesen Prüfpfad einbezogen werden. Der technische Nachweis unterstützt die Untersuchung; die abschließende rechtliche oder forensische Bewertung bleibt davon getrennt.
