25. Juni 2025
Introduction
Einführung
Um eine Signatur in einem PDF zu validieren, reicht ein grünes Häkchen oder eine Warnmeldung im PDF-Reader nicht aus. Entscheidend ist, welches technische Signal vorliegt und welche Handlung daraus folgt: Dokument annehmen, Befund näher untersuchen oder eine korrigierte Fassung erneut signieren lassen.
Eine interne Revisorin erhält beispielsweise einen signierten Prüfbericht als PDF. Das Prüfwerkzeug meldet, dass die Signatur mathematisch intakt ist, stuft das verwendete Zertifikat auf dem aktuellen Gerät jedoch nicht als vertrauenswürdig ein. Dieser Befund ist nicht mit einer nachträglichen Manipulation gleichzusetzen. Ebenso beweist eine Warnung allein weder Betrug noch eine ungültige geschäftliche Freigabe.
Für eine nachvollziehbare Prüfung sollten vier Ebenen getrennt betrachtet werden: Dokumentintegrität, Zertifikat und Vertrauenskette, Zeitinformationen sowie Änderungen nach der Signatur. Erst die Kombination dieser Befunde bildet die Grundlage für die interne Annahmeentscheidung.
Der Prüfpfad beginnt deshalb mit der unveränderten Sicherung der empfangenen Datei. Anschließend werden die Signaturinformationen ausgelesen, technische Befunde getrennt bewertet und das Zertifikat einschließlich relevanter Zeit- und Statusinformationen geprüft. Am Ende steht eine dokumentierte Entscheidung mit klarer Folgehandlung.
Nota Sign unterstützt in deutschen und grenzüberschreitenden Signaturprozessen fortgeschrittene elektronische Signaturen (AES) und qualifizierte elektronische Signaturen (QES) nach der eIDAS-Verordnung. Die hier beschriebene Prüfung eines bereits empfangenen PDFs ist davon zu unterscheiden: Ob ein Prüfbericht intern angenommen werden kann, hängt zusätzlich vom Dokument, den Beteiligten, der anwendbaren Richtlinie und dem konkreten Prüfzweck ab.
Das Ergebnis dieses Leitfadens ist daher kein pauschales Urteil „gültig“ oder „ungültig“, sondern ein prüfbarer Datensatz aus Datei, Signaturbefunden, Bewertung, Entscheidung und nächster Handlung.
Die empfangene PDF-Datei unverändert sichern
Bevor die Signatur geprüft oder das Dokument kommentiert wird, sollte die empfangene PDF-Datei unverändert gesichert werden. Damit steht fest, auf welche konkrete Fassung sich die spätere Validierung bezieht.
Für diese Ausgangsdatei kann nach der internen Prüfrichtlinie ein kryptografischer Hash berechnet und im Prüfprotokoll hinterlegt werden. Der Hash dient als eindeutiger technischer Bezug auf die untersuchte Dateiversion. Wird später eine weitere Kopie geprüft, lässt sich feststellen, ob sie mit der ursprünglich untersuchten Datei übereinstimmt.
Die Originaldatei sollte getrennt von einer möglichen Arbeitskopie aufbewahrt werden. Kommentare, Markierungen oder Vergleichsarbeiten finden dann ausschließlich in der Arbeitskopie statt. So bleibt die technische Prüfgrundlage erhalten.
Zum Vorgang gehören außerdem die Herkunftsinformationen: Wann wurde die Datei empfangen? Über welchen Kanal kam sie an? Wer war der Absender? Zu welchem Prüf- oder Vertragsvorgang gehört sie? Diese Angaben beweisen für sich genommen keine Authentizität, erleichtern aber die spätere Einordnung des technischen Befunds.
Am Ende dieses Schritts muss eindeutig feststehen, welche Datei geprüft wird und woher diese konkrete Fassung stammt.
Signaturinformationen aus dem PDF auslesen
Im nächsten Schritt wird die Signatur mit dem von der Organisation vorgesehenen Prüfwerkzeug ausgewertet. Dabei sollte nicht nur die zusammenfassende Statusanzeige betrachtet werden. Relevant sind insbesondere die Detailinformationen zur Signatur, zum Zertifikat, zu Zeitangaben und zu erkannten Änderungen am Dokument.
Der angezeigte technische Befund wird zunächst dokumentiert, bevor daraus eine geschäftliche oder revisionsbezogene Entscheidung abgeleitet wird. Dadurch bleiben zwei Fragen getrennt:
Was meldet das Prüfwerkzeug technisch?
Wie bewertet die Organisation diesen Befund?
Diese Trennung ist besonders wichtig bei Warnungen. Ein Hinweis auf fehlendes Zertifikatsvertrauen kann beispielsweise eine andere Ursache haben als eine erkannte Änderung des signierten Inhalts.
Auch das verwendete Werkzeug und seine Version beziehungsweise Prüfkonfiguration gehören in das Protokoll. Unterschiedliche Anwendungen, Vertrauensspeicher oder Validierungseinstellungen können denselben Sachverhalt unterschiedlich darstellen. Deshalb sollte ein späterer Prüfer nachvollziehen können, unter welchen Bedingungen das Ergebnis erzeugt wurde.
Zusätzlich werden Empfangszeit, Prüfzeit und verfügbare Signatur- oder Zeitstempelinformationen getrennt erfasst. Sie beschreiben verschiedene Ereignisse und dürfen nicht zu einem einzigen Zeitpunkt zusammengezogen werden.
Dokumentintegrität und Zertifikatsvertrauen getrennt bewerten
Ein zentraler Teil der Validierung besteht darin, Dokumentintegrität und Zertifikatsvertrauen nicht miteinander zu verwechseln.
Bei der Integritätsprüfung geht es darum, ob der von der Signatur geschützte Inhalt seit dem Signiervorgang verändert wurde beziehungsweise welche Änderungen das Prüfwerkzeug erkennt.
Das Zertifikatsvertrauen beantwortet dagegen eine andere Frage: Kann die zur Prüfung verwendete Umgebung die Zertifikatskette bis zu einer von ihr akzeptierten Vertrauensquelle nachvollziehen?
Damit entstehen unterschiedliche Befundkombinationen. Eine Signatur kann technisch intakt sein, während das Zertifikat in der aktuellen Prüfkonfiguration nicht als vertrauenswürdig eingestuft wird. Umgekehrt löst eine bekannte oder grundsätzlich vertrauenswürdige Zertifizierungsstelle keinen Integritätsfehler auf, wenn der signierte Inhalt tatsächlich verändert wurde.
Das Prüfprotokoll sollte diese Ebenen deshalb getrennt ausweisen, zum Beispiel als:
Integrität des signierten Inhalts;
erkannte Änderungen nach der Signatur;
Zertifikatsinhaber;
Zertifikatskette und Vertrauensstatus;
verfügbarer Status zu Ablauf oder Widerruf;
Signatur- und Zeitstempelinformationen;
offene Prüf- oder Klärungspunkte.
Eine technische Warnung sollte dabei so präzise wie möglich beschrieben werden. „Zertifikat nicht vertrauenswürdig“ ist beispielsweise aussagekräftiger als die pauschale Feststellung „Signatur ungültig“, wenn gerade die fehlende Vertrauensstellung der konkrete Befund ist.
Anschließend wird geprüft, ob Zertifikat, Absender und erwarteter Unterzeichner zum zugrunde liegenden Vorgang passen. Erst dadurch erhält der technische Befund seinen geschäftlichen Kontext.
Zertifikat, Status und Zeitinformationen prüfen
Die Zertifikatsprüfung sollte mindestens den angegebenen Inhaber, die ausstellende Stelle, die Zertifikatskette und die für die Prüfung verfügbaren Statusinformationen berücksichtigen.
Der Name oder die Identität im Zertifikat wird mit der Person abgeglichen, die den Prüfbericht nach dem zugrunde liegenden Prozess signieren sollte. Abweichungen sind kein Detail, sondern ein eigener Untersuchungsgrund.
Danach wird betrachtet, ob die erforderliche Zertifikatskette nachvollzogen werden kann und welchen Status das Prüfwerkzeug meldet. Falls Informationen über Ablauf oder Widerruf verfügbar sind, werden auch diese separat protokolliert.
Zeitangaben benötigen besondere Aufmerksamkeit. Die vom System angezeigte Signaturzeit, ein gegebenenfalls vorhandener vertrauenswürdiger Zeitstempel, der Eingang des Dokuments und der Zeitpunkt der späteren Prüfung sind nicht dasselbe.
Ein Zertifikat, das am heutigen Prüfungstag abgelaufen ist, führt daher nicht automatisch zu dem Schluss, dass die Signatur bereits bei ihrer Erstellung problematisch war. Entscheidend ist, welche Informationen zur Signaturzeit, zur damaligen Zertifikatsgültigkeit und gegebenenfalls zu einem vertrauenswürdigen Zeitnachweis vorliegen.
Der Zeitbefund sollte deshalb neben dem Zertifikatsbefund dokumentiert werden, statt beide in einer einzigen Statusangabe zusammenzufassen.
Änderungen nach der Signatur einordnen
Ein PDF kann nach einer Signatur weitere Änderungen enthalten. Für die Bewertung ist entscheidend, welche Änderung erkannt wurde und ob sie mit dem vorgesehenen Dokument- und Signaturprozess vereinbar ist.
Eine nachträgliche Änderung ist nicht automatisch mit einer unbemerkten Manipulation gleichzusetzen. Bestimmte PDF- und Zertifizierungsverfahren können definieren, welche Änderungen nach einer Signatur zulässig sein sollen. Das eingesetzte Prüfwerkzeug muss deshalb nicht nur melden, dass sich etwas geändert hat, sondern möglichst auch zeigen, welcher Teil des Dokuments betroffen ist.
Für die Revisorin ergeben sich daraus drei Fragen:
Wurde der von der Signatur geschützte Inhalt verändert?
Welche Änderung zeigt das Prüfwerkzeug konkret an?
Ist diese Änderung nach der für den Vorgang geltenden Richtlinie zulässig?
Kann die Änderung nicht eindeutig eingeordnet werden, sollte der Bericht nicht allein aufgrund einer oberflächlichen Statusanzeige freigegeben werden. Der Befund wird stattdessen zur Untersuchung weitergegeben.
Entscheidung: annehmen, untersuchen oder neu signieren
Erst nachdem die technischen Signale einzeln bewertet wurden, wird die geschäftliche Entscheidung getroffen. Ein einfaches dreistufiges Modell macht den Vorgang nachvollziehbar.
Annehmen kommt in Betracht, wenn die relevanten Prüfungen ohne ungeklärte Abweichung abgeschlossen sind und der Befund die Anforderungen der internen Richtlinie erfüllt.
Untersuchen ist die richtige Folge, wenn beispielsweise die Vertrauenskette nicht nachvollzogen werden kann, eine Identitätsabweichung vorliegt, Statusinformationen fehlen oder eine erkannte Dokumentänderung zunächst erklärt werden muss.
Neu signieren kann erforderlich sein, wenn die falsche Fassung signiert wurde, eine nicht akzeptable Änderung vorliegt oder nach der fachlichen Klärung eine korrigierte Dokumentversion zum verbindlichen Prüfbericht werden soll.
Die Entscheidung sollte nicht nur als Status gespeichert werden. Im Protokoll wird festgehalten, welcher konkrete Befund die Entscheidung ausgelöst hat.
Eine brauchbare Entscheidung kann beispielsweise lauten:
Integrität des signierten Inhalts bestätigt. Zertifikatskette in der vorgesehenen Prüfumgebung derzeit nicht vollständig vertrauenswürdig. Dokument wird nicht verworfen, sondern zur Prüfung der Zertifikatskette weitergegeben.
Damit ist wesentlich mehr dokumentiert als mit einem pauschalen Vermerk wie „Signaturproblem“.
Prüfprotokoll abschließen
Zum Abschluss werden technische Befunde und organisatorische Entscheidung in einem gemeinsamen Prüfprotokoll zusammengeführt.
Ein vollständiger Eintrag sollte mindestens die Identifikation der geprüften Datei, den Datei-Hash nach interner Vorgabe, das verwendete Prüfwerkzeug, die relevanten Signatur- und Zertifikatsbefunde, erkannte Änderungen, die Entscheidung und die daraus folgende Handlung enthalten.
Falls eine weitere Untersuchung erforderlich ist, werden außerdem Verantwortlicher und nächster Prüfschritt festgehalten. Wo interne Fristen gelten, gehören auch diese zum Vorgang.
Das Protokoll erfüllt damit zwei Aufgaben: Es zeigt, was tatsächlich geprüft wurde, und erklärt, warum daraus eine bestimmte Handlung folgte.
So bleibt auch Monate später nachvollziehbar, warum ein Prüfbericht angenommen, zur Klärung weitergeleitet oder erneut signiert wurde.
Häufige Fragen
Was bedeutet eine „gültige Signatur“ im PDF-Reader?
Die Anzeige beschreibt das Ergebnis der technischen Validierung durch das jeweilige Prüfwerkzeug und dessen aktuelle Konfiguration. Sie kann unter anderem Informationen über Dokumentintegrität, Zertifikat und Zeitangaben berücksichtigen.
Für die interne Annahme eines Prüfberichts ist dieser technische Status ein wichtiger Eingangswert, aber nicht die gesamte Entscheidung. Zusätzlich gelten die Prüfanforderungen der Organisation und der Kontext des konkreten Dokuments.
Warum wird ein Zertifikat als nicht vertrauenswürdig angezeigt?
Eine mögliche Ursache ist, dass das Prüfwerkzeug die Zertifikatskette in seiner aktuellen Vertrauenskonfiguration nicht bis zu einer akzeptierten Vertrauensquelle auflösen kann.
Dieser Befund sollte getrennt von der Dokumentintegrität geprüft werden. Eine fehlende Vertrauensstellung allein beweist nicht, dass der signierte PDF-Inhalt nachträglich verändert wurde.
Bedeutet eine Warnmeldung, dass die Signatur gefälscht wurde?
Nein. Eine Warnmeldung ist zunächst ein technisches Signal, dessen Ursache untersucht werden muss. Sie kann beispielsweise Zertifikatsvertrauen, Statusinformationen, Zeitangaben oder erkannte Änderungen betreffen.
Erst nach der Ursachenprüfung lässt sich entscheiden, ob der Bericht angenommen werden kann, weiter untersucht werden muss oder eine neue Signatur erforderlich ist.
Verändert eine spätere Anmerkung die Signatur?
Eine spätere Änderung am PDF kann vom Prüfwerkzeug erkannt und entsprechend ausgewiesen werden. Wie sie bewertet wird, hängt von der Art der Signatur beziehungsweise Zertifizierung, dem konkreten Änderungsumfang und der geltenden Prüfrichtlinie ab.
Deshalb sollte die ursprünglich empfangene Datei vor jeder Bearbeitung unverändert gesichert werden.
Warum werden Signaturzeit und Prüfzeit getrennt dokumentiert?
Sie beschreiben unterschiedliche Ereignisse. Die Signaturzeit bezieht sich auf den Signiervorgang, während die Prüfzeit angibt, wann die Revisorin oder das Prüfwerkzeug die Datei validiert hat.
Ein vorhandener vertrauenswürdiger Zeitstempel kann zusätzlich relevant sein. Die getrennte Dokumentation verhindert, dass heutige Zertifikats- oder Systemzustände ohne weitere Prüfung auf den früheren Signiervorgang übertragen werden.
Wie wird die Prüfung revisionsfähig dokumentiert?
Das Prüfprotokoll verbindet die geprüfte Datei mit den technischen Befunden und der daraus abgeleiteten Entscheidung. Typische Bestandteile sind Dateiidentifikation und Hash, Prüfwerkzeug, Integritätsbefund, Zertifikats- und Zeitinformationen, erkannte Änderungen, Entscheidung sowie nächste Handlung.
Damit lässt sich später nicht nur nachvollziehen, welches PDF geprüft wurde, sondern auch, warum es angenommen, untersucht oder erneut signiert wurde.
