11. April 2026
Einführung
Bei einer verdächtigen elektronischen Unterschrift reicht ein ungewöhnliches Signaturbild, ein abweichender Name oder ein unerwartetes Datum nicht aus, um eine Fälschung festzustellen. Für einen belastbaren technischen Befund sollten mindestens drei Ebenen getrennt geprüft werden: die Integrität der signierten Daten, das Zertifikat mit seiner Vertrauenskette und seinem Widerrufsstatus sowie die verfügbaren Zeitinformationen.
Diese Prüfungen können zeigen, ob eine Datei nachträglich verändert wurde, ob das verwendete Zertifikat technisch vertrauenswürdig eingeordnet werden kann und ob Zeitangaben zum dokumentierten Ablauf passen. Sie beweisen für sich allein jedoch weder eine Unterschriftenfälschung noch, wer eine Signatur tatsächlich ausgelöst oder autorisiert hat.
Für fortgeschrittene elektronische Signaturen verlangt Artikel 26 Buchstabe d der Verordnung (EU) Nr. 910/2014 (eIDAS), dass die Signatur so mit den signierten Daten verknüpft ist, dass nachträgliche Änderungen erkennbar sind. Bei der Validierung einer qualifizierten elektronischen Signatur (QES) gehört außerdem die Prüfung dazu, dass die Integrität der signierten Daten nicht beeinträchtigt wurde. Die rechtliche oder forensische Bewertung eines Fälschungsverdachts bleibt davon getrennt.
Der folgende Ablauf zeigt, wie ein Sicherheitsteam einen Verdachtsfall dokumentiert, technische Befunde voneinander trennt und entscheidet, ob der Vertrag technisch konsistent erscheint oder weiter eskaliert werden muss.
Verdachtsfall und geprüfte Vertragsfassung eindeutig festlegen
Am Anfang steht nicht die Bewertung der Signatur, sondern die Sicherung des konkreten Prüfobjekts. Dokumentieren Sie, welche Vertragsfassung gemeldet wurde, woher die Datei stammt, wann sie eingegangen ist und wer den Verdacht gemeldet hat. Arbeiten Sie anschließend mit einer unveränderten Kopie und bewahren Sie die empfangene Originaldatei getrennt auf.
Ein zusätzlich berechneter Hashwert der empfangenen Datei ist für die Beweissicherung hilfreich: Er zeigt später, ob genau diese Prüfdatei unverändert geblieben ist. Ein neu berechneter Hash beweist für sich allein aber nicht, dass das Dokument seit der Unterzeichnung verändert wurde. Dafür muss die elektronische Signatur selbst validiert und der darin geschützte Bezug auf die signierten Daten geprüft werden.
Zum Fallprotokoll gehören deshalb mindestens die Dateibezeichnung und Version, der Hash der gesicherten Datei, Herkunft und Eingangszeitpunkt, die gemeldete Auffälligkeit sowie das verwendete Prüfwerkzeug einschließlich Version. So lässt sich jeder spätere Befund eindeutig auf dieselbe Vertragsfassung zurückführen.
Integrität prüfen: Wurde das signierte Dokument verändert?
Die wichtigste technische Frage lautet zunächst, ob die Signatur kryptografisch zu den signierten Daten passt. Verwenden Sie dafür ein Validierungswerkzeug, das das jeweilige Signaturformat unterstützt und die kryptografische Signatur sowie die geschützten Dokumentdaten prüft.
Meldet die Validierung beispielsweise einen Digest- oder Integritätsfehler, ist das ein starkes technisches Signal dafür, dass die signierten Daten nicht mehr dem Zustand entsprechen, auf den sich die Signatur bezieht. Das passt zum Integritätsprinzip des Artikels 26 Buchstabe d eIDAS: Nachträgliche Änderungen an den signierten Daten müssen bei einer fortgeschrittenen elektronischen Signatur erkennbar sein.
Ein fehlgeschlagener Integritätscheck sollte vollständig dokumentiert werden. Speichern Sie den Validierungsbericht, das verwendete Werkzeug, dessen Version und den Prüfzeitpunkt. Bei einem unerwarteten Ergebnis kann eine zweite Prüfung mit einem unabhängigen, geeigneten Validator helfen, Bedien-, Parser- oder Werkzeugfehler von einem tatsächlichen Signaturproblem zu unterscheiden.
Umgekehrt bedeutet eine technisch intakte Signatur nicht automatisch, dass kein Missbrauch vorliegt. Wurde etwa ein Signaturkonto, ein Authentisierungsmittel oder ein Signaturschlüssel unbefugt verwendet, kann die kryptografische Signatur technisch korrekt sein, obwohl der zugrunde liegende Vorgang bestritten wird.
Zertifikat, Vertrauenskette und Widerrufsstatus validieren
Bei zertifikatsbasierten Signaturen muss die Prüfung über das Endzertifikat hinausgehen. Ein Validator sollte die Zertifikatskette bis zu einem konfigurierten Vertrauensanker aufbauen und die für den Fall relevante Vertrauensquelle berücksichtigen, etwa eine Trusted List oder einen festgelegten Trust Store.
Dokumentieren Sie insbesondere den Aussteller, die Seriennummer oder den Fingerabdruck des Signaturzertifikats, die Zertifikatskette sowie den ermittelten Status. Bei QES-Workflows ist zusätzlich relevant, ob Zertifikat und Vertrauensdienst für den maßgeblichen Zeitpunkt die erforderliche Qualifikation aufweisen.
Auch der Widerrufsstatus gehört in diese Prüfung. OCSP- oder CRL-Daten können zeigen, ob ein Zertifikat als widerrufen gemeldet wurde. Ein heute widerrufenes Zertifikat beweist allerdings nicht automatisch, dass eine frühere Signatur gefälscht oder zum damaligen Zeitpunkt ungültig war. Entscheidend ist die Validierung nach der anwendbaren Richtlinie und anhand der verfügbaren Nachweise für den relevanten Signatur- oder Validierungszeitpunkt.
Weichen Zertifikatsinhaber, Aussteller, Vertrauensstatus oder Widerrufsinformationen vom erwarteten Vertragsprozess ab, sollte der Befund als eigenständige Auffälligkeit erfasst werden. Er darf nicht mit einem Integritätsfehler gleichgesetzt werden: Beide Signale beantworten unterschiedliche Fragen.
Signaturzeitpunkt und Zeitstempel richtig einordnen
Zeitinformationen sind nur dann aussagekräftig, wenn klar ist, woher sie stammen. Ein in einer Signatur angegebener Signaturzeitpunkt kann eine andere Beweiskraft haben als ein kryptografisch geschützter Zeitstempel oder ein protokollierter Zeitpunkt aus einem Signatur- oder Geschäftssystem.
Liegt ein qualifizierter elektronischer Zeitstempel vor, genießt er nach eIDAS eine Vermutung für die Richtigkeit des angegebenen Datums und der Uhrzeit sowie für die Integrität der mit diesen Angaben verbundenen Daten. Ohne einen solchen belastbaren Zeitnachweis sollte eine bloße Zeitangabe nicht wie ein unabhängiger Beweis behandelt werden.
Vergleichen Sie die verfügbaren Zeitinformationen mit dem erwarteten Ablauf des Vorgangs: Versand des Vertrags, Authentisierung, Signaturereignis, Freigabe, Abschluss und gegebenenfalls weitere Audit- oder Systemprotokolle. Ein Signaturzeitpunkt außerhalb dieses Ablaufs kann einen Verdacht verstärken, beweist aber auch dann nicht allein eine Fälschung.
Im Prüfprotokoll sollte deshalb stehen, welche Zeitquelle ausgewertet wurde, ob ein Zeitstempel vorhanden und valide war, welcher Zeitpunkt daraus abgeleitet wurde und wie er sich zu den übrigen Ereignissen verhält.
Befunde bewerten und den Fall freigeben oder eskalieren
Am Ende sollten Integrität, Zertifikat und Zeitnachweise nicht zu einem einzigen Ja-Nein-Ergebnis zusammengezogen werden. Sinnvoller ist eine getrennte Bewertung, beispielsweise als technisch konsistent, auffällig oder nicht abschließend beurteilbar. Dadurch bleibt sichtbar, welcher Teil der Prüfung einen Verdacht stützt und welcher nicht.
Zur Fallakte gehören die gesicherte Originaldatei, deren Hash, die Validierungsberichte, relevante Zertifikats- und Widerrufsinformationen, vorhandene Zeitstempel sowie die verwendeten Werkzeuge und Prüfzeitpunkte. Ergänzende Geschäfts- oder Auditprotokolle sollten nur aufgenommen werden, soweit sie für den Vorfall erforderlich sind.
Die interne Freigabe der Prüfung ist eine organisatorische Kontrolle, keine gesetzliche Feststellung, dass eine Signatur echt oder gefälscht ist. Bleiben technische Widersprüche, fehlen entscheidende Nachweise oder bestreitet eine Partei die Autorisierung der Signatur, sollte der Fall nach den internen Sicherheits-, Rechts- und Incident-Response-Prozessen weiter untersucht werden.
Bei Verträgen, die mit Nota Sign über AES- oder QES-Workflows unterzeichnet wurden, können Sicherheitsteams das signierte Dokument, die Beteiligten sowie die Signatur- und Workflow-Nachweise in einer strukturierten Fallakte zusammenführen. Die technische Auswertung liefert belastbare Befunde für den anschließenden Sicherheits-, Rechts- oder Incident-Response-Prozess.
Nächster Schritt: Definieren Sie in Nota Sign einen exportierbaren Nachweissatz für Verdachtsfälle und testen Sie die Übergabe an Ihr Incident-Response-Team.
