German 
English 
French 
Dutch 
Es sind fünf Jahre seit der Unterzeichnung vergangen. Es kommt zu einer Streitigkeit. Sie öffnen den Vertrag, und die Unterschrift wird als ‘ungültig’ angezeigt. Was nun?
Dieses Szenario kommt weitaus häufiger vor, als vielen Organisationen bewusst ist. Das Ablaufen eines Zertifikats ist unvermeidlich, doch dies sollte keinesfalls dazu führen, dass die Möglichkeit zur Überprüfung und Verteidigung einer Signatur verloren geht. Der Unterschied zwischen einer Signatur, die rechtlich wertlos wird, und einer, die weiterhin verteidigt werden kann, hängt davon ab, was Sie zum Zeitpunkt der Signatur aufbewahren und wie gut Sie diese Nachweise über die Jahre hinweg pflegen.
Dieser Artikel führt Sie durch ein praktisches Rahmenkonzept, mit dem Sie sicherstellen können, dass Ihre signierten Unterlagen auch bei einer genauen Prüfung nachprüfbar bleiben – unabhängig davon, wie lange sie aufbewahrt werden müssen. Er erläutert den Unterschied zwischen der „Signature Packaging“-Methode (LTV) und der echten Aufbewahrung, die Missverständnisse, in die Organisationen tappen, sowie die Rolle der eIDAS-konformen Aufbewahrung in diesem Zusammenhang.
Warum Signaturen mit der Zeit schwer zu überprüfen sind
Eine digitale Signatur wird anhand von Nachweisen überprüft, die sich ständig ändern:
- Zertifikate verfallen; der Verfall ist der normale Zustand eines Zertifikats nach Ablauf seiner Gültigkeitsdauer.
- Informationen zu Sperrungen (OCSP/CRL) sind möglicherweise nicht mehr verfügbar oder nachweisbar; Server werden abgeschaltet, Aufzeichnungen werden archiviert.
- Kryptografische Algorithmen verlieren an Sicherheit; Algorithmen wie SHA-1 und RSA-2048, die einst als sicher galten, sind möglicherweise nicht mehr sicher.
- Vertrauensanker und Validierungsrichtlinien entwickeln sich weiter; regulatorische Anforderungen ändern sich, vertrauenswürdige Stammzertifikate werden widerrufen.
- Dokumente werden zwischen Systemen ausgetauscht; bei jeder Übertragung besteht die Gefahr, dass die Nachverfolgbarkeitskette unterbrochen wird und der Kontext verloren geht.
Wenn Sie lediglich die signierte Datei aufbewahren, ohne Validierungsnachweise zu erfassen, könnte dies dazu führen, dass Sie ein Dokument erhalten, das zwar intakt erscheint, aber einer rechtlichen Prüfung nicht standhält.
Was „Nach Ablauf nachprüfbar“ wirklich bedeutet
Wenn jemand fragt: “Ist diese Signatur noch gültig?”, stellt er damit zwei unterschiedliche Fragen:
- War die Unterschrift zum Zeitpunkt der Unterzeichnung gültig? (Historische Gültigkeit)
- Können wir dies heute noch anhand zuverlässiger Belege nachweisen? (Fundierte Beweise)
Der Ablauf des Zertifikats führt nicht automatisch zur Ungültigkeit einer Signatur, die vor dem Ablauf des Zertifikats erstellt wurde. Durch den Ablauf entfällt jedoch die Möglichkeit einer einfachen ‘Online-Prüfung’. Nach Jahren hängt Ihre Fähigkeit, die Signatur zu überprüfen, vollständig davon ab, was Sie zum Zeitpunkt der Signatur aufbewahrt haben und wie gut Sie diese Nachweise trotz nachfolgender technologischer Veränderungen gepflegt haben.
Die Checkliste für die praktische Konservierung
Befolgen Sie diese Schritte, um die Nachvollziehbarkeit über Jahrzehnte hinweg zu gewährleisten.
1. Erfassen Sie Nachweise zur Validierung bei der Unterzeichnung oder unmittelbar danach
Bewahren Sie Folgendes zusammen mit dem unterzeichneten Dokument auf:
- Die vollständige Zertifikatskette (vom Signaturzertifikat über alle Zwischenzertifikate bis hin zur vertrauenswürdigen Stammzertifizierungsstelle)
- Nachweis des Widerrufsstatus (OCSP-Antwort oder CRL-Snapshot zum Zeitpunkt der Signatur)
- Kontext der Signaturrichtlinie und Algorithmus-Kennungen
Verwenden Sie für PDF-Signaturen ein geeignetes PAdES-Profil (PAdES-LT oder PAdES-LTA, je nach Ihrem Aufbewahrungszeitraum), das diese Belege im Dokument selbst bündelt.
2. Fügen Sie vertrauenswürdige Zeitstempel hinzu und planen Sie deren Verlängerung ein
Ein Zeitstempel verankert den Nachweis zeitlich und schützt vor einer kryptografischen Schwächung des Signaturalgorithmus selbst:
- Verwenden Sie qualifizierte Zeitstempel (von eIDAS-Vertrauensdienstleistern), um nachzuweisen, wann die Signatur vorlag.
- Bei Aufbewahrungsfristen von mehr als 10 Jahren sollten Sie im Zuge der Weiterentwicklung der Kryptostandards die Aktualisierung von Archivierungszeitstempeln und Nachweisen einplanen.
Dies schützt Sie für den Fall, dass der ursprüngliche Signaturalgorithmus geknackt oder veraltet ist.
3. Wahrung der Integrität und der Herkunft (Nachweisbarkeit der Herkunft)
Speichern Sie genügend Kontext, um den Datensatz später erläutern zu können:
- Quellkanal und -system (E-Mail, Portal, DMS usw.)
- Erfassen Sie den Zeitstempel und den Namen des unterzeichnenden Benutzers
- Bei der Erfassung durchgeführte Validierungsprüfungen
- Angaben zur Dokumentversion und zur Endgültigkeit
- Protokoll darüber, wer wann auf den Datensatz zugegriffen hat
Erst dieser Kontext macht aus einer bloßen Datei eine rechtlich verwertbare Aufzeichnung.
4. Trennung der Validierungspaketierung vom Aufbewahrungsdienst
Genau hier scheitern viele Organisationen. Machen Sie sich den Unterschied bewusst:
- Die Langzeitvalidierung (LTV) ist eine Verpackungstechnik, bei der Validierungsdaten (Zertifikatskette, Sperrinformationen) in den Signaturcontainer selbst eingebunden werden. LTV ist zwar notwendig, stellt jedoch eine einmalige Momentaufnahme dar.
- Die Aufbewahrung ist eine fortlaufende Dienstleistung, die die Nachvollziehbarkeit und Beweiskraft über einen längeren Zeitraum hinweg gewährleistet, einschließlich der Erneuerung von Belegen, der Aktualisierung von Richtlinien und der Kontrollmaßnahmen im Rahmen der Unternehmensführung.
Wenn Ihr Aufbewahrungszeitraum 10 bis 30 Jahre beträgt, reicht die LTV-Verpackung allein nicht aus. Sie müssen für den letzteren Fall vorsorgen.
5. Wenden Sie bei hohem Risiko qualifizierte Sicherungsmaßnahmen an
Verwenden Sie für regulierte, grenzüberschreitende oder besonders wertvolle Datensätze einen Ansatz, der sich an den Kontrollmaßnahmen für Vertrauensdienste gemäß eIDAS orientiert:
- Wiederholbare, nachprüfbare Prozesse
- Vollständige Prüfprotokolle und Versionshistorie
- Die Erneuerung von Zertifikaten im Zusammenhang mit kryptografischen oder regulatorischen Änderungen
- Kontrollierte Aufbewahrung und rechtlich vertretbare Löschung
Im Sinne der eIDAS-Verordnung kommt hier die qualifizierte Aufbewahrung (QPres) als Teil von Qualifizierte elektronische Archivierung (QeArch) gewinnt an Bedeutung. Dies bedeutet, dass der Aufbewahrungsdienst selbst überprüfbar ist und die Anforderungen an Vertrauensdienste gemäß eIDAS erfüllt.
Häufige Missverständnisse
“Das Zertifikat ist abgelaufen, daher ist die Signatur ungültig.”
Das ist falsch. Das Ablaufen eines Zertifikats ist normal und zu erwarten. Die entscheidende Frage ist, ob Sie noch nachweisen können, dass die Signatur zum Zeitpunkt der Unterzeichnung gültig war. Wenn Sie vor dem Ablauf des Zertifikats Nachweise über die Sperrung sowie Zeitstempel erfasst haben, bleibt die Signatur auch lange danach noch rechtlich haltbar.
“Wir können die Gültigkeit später jederzeit erneut überprüfen.”
Nur wenn Sie die Widerrufsnachweise, Zeitstempel und die Zertifikatskette zum Zeitpunkt der Signierung aufbewahrt haben. Ist dies nicht der Fall, ist eine erneute Validierung Jahre später möglicherweise nicht mehr möglich. Sie können keine Informationen rückwirkend aus Systemen abrufen, die nicht mehr existieren.
“LTV bewahrt Signaturen für immer auf”
Die LTV ist zwar notwendig, aber nicht ausreichend. Die LTV ist eine Momentaufnahme des Validierungsmaterials zu einem bestimmten Zeitpunkt. Um die Nachvollziehbarkeit über mehrere Jahrzehnte hinweg zu gewährleisten, ist eine aktive Aufbewahrung erforderlich; dazu gehören die Überwachung auf Veralterung von Algorithmen, die Planung der Erneuerung von Nachweisen sowie die Führung eines lückenlosen Prüfpfads aller Aufbewahrungsmaßnahmen.
Wie Docbyte Vault Ihnen hilft
Docbyte Vault ist eine eIDAS-zertifizierte, an OAIS ausgerichtete Plattform, die entwickelt wurde für Langzeitkonservierung mit Beweiskraft. Es wurde speziell für Prozesse entwickelt, bei denen häufig Unterschriften erforderlich sind, wie beispielsweise Verträge, Personalunterlagen und behördliche Einreichungen. Vault unterstützt:
- Kontrollierte Aufnahme aus verschiedenen Kanälen (E-Mail, Portale, DMS, Unternehmensanwendungen) mit automatischer Signatur- und Nachweispüfung
- Mechanismen zur Integritätsprüfung und zum Nachweis, die über Jahrzehnte hinweg überprüfbar bleiben
- Lebenszyklus-Governance (Aufbewahrungsrichtlinien, rechtliche Aufbewahrungspflichten, kontrollierte Löschung mit Entsorgungsnachweis)
- Prüfungsfähiger Zugriff und Rückverfolgbarkeit; jede Aktion wird protokolliert und steht für Prüfungen zur Verfügung
- Planung der Langzeitarchivierung, einschließlich der Erneuerung von Belegen, der Formatmigration und der Überwachung von Algorithmen
Diese Zertifizierung bedeutet, dass die Aufbewahrungskontrollen von Vault selbst überprüfbar sind und den Anforderungen an Vertrauensdienste gemäß eIDAS entsprechen, wodurch Ihrer Organisation die Beweislast für die Angemessenheit der Aufbewahrung abgenommen wird.
Nächste Schritte
Sollten Sie sich nicht sicher sein, ob Ihre signierten Unterlagen über einen Zeitraum von 10 Jahren oder länger nachprüfbar bleiben, führen Sie bitte eine einfache Überprüfung durch:
- Wählen Sie drei wichtige Dokumententypen aus (z. B. Verträge, Vorstandsbeschlüsse, Compliance-Unterlagen).
- Ermitteln Sie die derzeitige Signaturmethode sowie die Richtlinien zur Erfassung und Aufbewahrung von Belegen für jeden einzelnen Fall.
- Testen Sie, wie die Überprüfung funktionieren würde, nachdem das Zertifikat abgelaufen ist und die Systeme offline sind.
Diese Bewertung ist ein erster Schritt, um Erhaltungsrisiken in eine umsetzbare Richtlinie umzusetzen. Nehmen Sie Kontakt auf mit Docbyte um Ihre wichtigsten Dokumententypen zu prüfen und eine Aufbewahrungsstrategie zu entwickeln, die sicherstellt, dass Ihre unterzeichneten Unterlagen im Falle einer Prüfung rechtlich haltbar sind.
Verwandte Seiten zu Docbyte-Lösungen
Fahren Sie mit den Lösungsseiten fort, die zu diesem Thema passen:
