26. Juni 2026
Einführung
Bei einer Änderung an einem signierten Dokument muss zuerst geklärt werden, ob die signierten Daten unverändert sind und ob eine spätere Dateiversion die Signatur berührt. Dafür reicht es nicht, nur die sichtbare Darstellung des Dokuments zu vergleichen.
Ein belastbarer Kontrollprozess kombiniert zwei Prüfungen: Die Signaturvalidierung prüft die kryptografische Verbindung zwischen Signatur und signierten Daten; ein dokumentierter Datei-Hash zeigt zusätzlich, ob eine gespeicherte Datei Byte für Byte mit einer festgelegten Referenzfassung übereinstimmt. Beide Ergebnisse gehören in ein Kontrollprotokoll.
Für fortgeschrittene elektronische Signaturen verlangt Artikel 26 Buchstabe d der Verordnung (EU) Nr. 910/2014 (eIDAS), dass die Signatur mit den signierten Daten so verknüpft ist, dass eine nachträgliche Veränderung der Daten erkannt werden kann. Ob eine konkrete Änderung zulässig ist oder welche rechtlichen Folgen sie hat, hängt jedoch vom Dokument, dem Signaturniveau, den Parteien und den anwendbaren Vorschriften ab.
Nota Sign unterstützt qualifizierte elektronische Signaturen (QES) und fortgeschrittene elektronische Signaturen (AES) nach der eIDAS-Verordnung in nationalen und grenzüberschreitenden Signaturprozessen. Teams können Referenzdatei, Version, Beteiligte und Abschlussnachweise im selben Workflow verbinden und bei einer Änderung einen klar getrennten neuen Signaturzyklus starten.
Das Ergebnis ist eine nachvollziehbare Nachweiskette aus Referenzdatei, Signaturprüfung, Hashwerten, Kontrollzeitpunkten, Befunden und Archivierung.
Signierten Zustand sichern
Ausgangspunkt ist die unveränderte Datei, die nach Abschluss des Signaturvorgangs empfangen oder aus dem freigegebenen System exportiert wurde. Diese Referenzfassung sollte vor weiteren Bearbeitungen gesichert und eindeutig dem Vertrag, der Version und dem Signaturvorgang zugeordnet werden.
Eine Arbeitskopie darf die Referenzdatei nicht überschreiben. Sinnvoll ist eine zugriffsgeschützte oder versionierte Ablage, in der die Originaldatei erhalten bleibt und spätere Fassungen separat gespeichert werden. Im Kontrollprotokoll gehören mindestens Sicherungszeitpunkt, verantwortliche Person oder Systeminstanz sowie die eindeutige Dokument- oder Versionskennung zur Referenz.
An diesem Punkt sollte auch die elektronische Signatur validiert werden. Das Prüfprotokoll hält fest, welche Signaturen vorhanden sind, ob die signierten Daten unverändert sind und welches Ergebnis die Zertifikats- und Vertrauensprüfung zum Prüfzeitpunkt liefert. Dadurch wird der signierte Zustand nicht nur als Datei, sondern auch als überprüfter Signaturzustand dokumentiert.
Datei-Hash berechnen
Für die gesicherte Referenzdatei wird ein kryptografischer Hash mit einem freigegebenen Verfahren, beispielsweise SHA-256, berechnet. Der Wert dient als technischer Fingerabdruck genau dieser Binärdatei: Gleicher Hash bei identischer Berechnung spricht für Byte-Identität; ein abweichender Hash zeigt, dass sich die Datei verändert hat.
Zum Hash gehören im Kontrollprotokoll auch Algorithmus, verwendetes Werkzeug oder System, Zeitpunkt der Berechnung und die zugehörige Versionskennung. Diese Angaben verhindern, dass ein späterer Wert ohne klaren Bezug zur ursprünglichen Datei bewertet wird.
Der Datei-Hash ergänzt die Signaturvalidierung, ersetzt sie aber nicht. Besonders bei signierten PDF-Dateien können spätere inkrementelle Revisionen den Hash der Gesamtdatei verändern, während der ursprünglich signierte Bytebereich weiterhin kryptografisch prüfbar bleibt. Deshalb beantwortet der Hash die Frage nach der Dateiidentität, die Signaturprüfung dagegen die Frage nach der Integrität der signierten Daten.
Integrität an definierten Kontrollpunkten prüfen
Nicht jeder reine Lesezugriff verändert eine Datei. Kontrollen sind deshalb vor allem an Ereignissen sinnvoll, an denen Dateien übertragen, gespeichert, wiederhergestellt, exportiert, archiviert oder für eine weitere Verarbeitung übernommen werden.
Am jeweiligen Kontrollpunkt wird der Hash der vorliegenden Datei neu berechnet und mit dem Hash der gesicherten Referenzfassung verglichen. Ist der Wert identisch, ist die geprüfte Datei Byte für Byte unverändert. Weicht er ab, beginnt eine Untersuchung; die Abweichung allein beweist weder Manipulation noch die rechtliche Unwirksamkeit des Dokuments.
Bei einer Hashabweichung sollte zusätzlich die Signatur erneut validiert werden. Bei PDF-Dokumenten ist zu prüfen, welche Revision signiert wurde, welche späteren Änderungen vorhanden sind und ob das Signaturprofil oder dokumentseitige Berechtigungen solche Änderungen erkennen oder zulassen. So bleiben Dateiänderung und Signaturstatus getrennte Befunde.
Das Kontrollprotokoll verknüpft jeden Prüfpunkt mit Datum und Uhrzeit, Datei- oder Versionskennung, aktuellem Hash, Referenzhash, Validierungsergebnis und verantwortlicher Prüfstelle. Dadurch lässt sich später nachvollziehen, wann eine Abweichung erstmals festgestellt wurde.
Änderungen erkennen
Ein abweichender Datei-Hash bedeutet zunächst nur: Die aktuell geprüfte Datei ist nicht byte-identisch mit der Referenzfassung. Für die weitere Bewertung muss ermittelt werden, was sich geändert hat und ob die Änderung den signierten Inhalt betrifft.
Die unveränderte Referenzdatei bleibt dabei unangetastet. Die abweichende Fassung wird separat gesichert und mit einer eigenen Kennung versehen. Anschließend können Dateiversionen, PDF-Revisionen, Metadaten oder dokumentierte Verarbeitungsschritte verglichen werden, ohne den ursprünglichen Beleg zu überschreiben.
Entscheidend ist die Kombination der Befunde. Eine Signaturvalidierung kann beispielsweise zeigen, dass die signierten Daten unverändert sind, obwohl die Gesamtdatei eine spätere Revision enthält. Umgekehrt ist eine fehlgeschlagene Integritätsprüfung der Signatur ein deutlich stärkeres Signal als eine bloße optische Abweichung in einem PDF-Viewer.
Die Organisation sollte daher zwischen technischer Feststellung und fachlicher oder rechtlicher Entscheidung unterscheiden. Das Kontrollprotokoll beschreibt, was festgestellt wurde; ob die Änderung zulässig, genehmigt oder rechtlich relevant ist, wird nach den für den Vorgang geltenden Regeln entschieden.
Ergebnis aufzeichnen
Ein belastbarer Eintrag im Kontrollprotokoll beantwortet fünf Fragen: Welche Datei wurde geprüft, gegen welche Referenz, wann, mit welchem Verfahren und mit welchem Ergebnis? Zusätzlich sollte er die verantwortliche Person oder Systeminstanz und gegebenenfalls die zugehörige Signaturvalidierung nennen.
Als Ergebnis eignen sich klare Statusangaben wie „byte-identisch“, „Datei abweichend – Signatur weiterhin gültig“, „signierte Daten verändert“ oder „weitere Untersuchung erforderlich“. Solche Befunde sind aussagekräftiger als ein pauschales „gültig“ oder „ungültig“, weil sie Hashvergleich und Signaturstatus nicht vermischen.
Korrekturen am Protokoll sollten versioniert statt überschrieben werden. Wird ein Befund fachlich freigegeben, dokumentiert die Freigabe, wer die Bewertung bestätigt hat und auf welche Belege sie sich stützt. So bleibt auch die Entscheidungshistorie prüfbar.
Signierten Zustand archivieren
Für die Archivierung gehören die unveränderte Referenzdatei und das Kontrollprotokoll zusammen. Je nach interner Richtlinie können außerdem Validierungsberichte, relevante Zertifikatsinformationen, Zeitstempel- oder Vertrauensdaten sowie dokumentierte Folgeversionen in das Dossier aufgenommen werden.
Aufbewahrungsort, Zugriffsrechte, Versionierung, Sicherung und Aufbewahrungsdauer sollten zur Schutzbedürftigkeit und zum Lebenszyklus des Dokuments passen. Die Archivierung muss verhindern, dass die Referenzdatei unbemerkt durch eine spätere Arbeitsfassung ersetzt wird.
Der Referenzfall endet damit nicht bei einem einzelnen Hashwert, sondern bei einer konsistenten Nachweiskette: Der signierte Zustand ist gesichert, die Signatur wurde geprüft, Dateiänderungen sind an definierten Kontrollpunkten erkennbar und jeder Befund bleibt mit seinem Prüfkontext dokumentiert.
Nächster Schritt: Testen Sie in Nota Sign, wie Ihr Änderungsprozess die signierte Referenzfassung bewahrt und eine korrigierte Version in einen neuen Signaturzyklus überführt.
