Wie funktioniert eine elektronische Signatur?

Der allgemeine Grundsatz

Eine elektronische Signatur ist kein Bild. Es handelt sich um ein kryptografisches Verfahren, das vier untrennbare Elemente miteinander verbindet: das Dokument, die Identität des Unterzeichners, den Zeitpunkt der Unterzeichnung und den technischen Nachweis, dass nachträglich nichts geändert wurde.

Dieses Verfahren beruht auf zwei Säulen: der Authentifizierung des Unterzeichners und der Integrität des Dokuments.

Schritt 1: Authentifizierung des Unterzeichners

Die Authentifizierung besteht darin, eine Verbindung zwischen der unterzeichnenden Person und einer überprüfbaren Identität herzustellen. Es gibt mehrere Techniken, die sich kombinieren lassen:

• Vertrauenswürdige E-Mail-Adresse: Es wird ein eindeutiger Link gesendet. Nur der Inhaber des Postfachs kann klicken und signieren.
• OTP-Code (One-Time Password): Ein Einmalcode wird per SMS gesendet. Der Unterzeichner gibt ihn ein, um nachzuweisen, dass er über die zugehörige Telefonnummer verfügt.
• Persönliches Zertifikat: Bei der qualifizierten Signatur belegt ein von einem qualifizierten Vertrauensdiensteanbieter ausgestelltes Zertifikat die Identität des Unterzeichners.

Die Höhe der Anforderungen richtet sich nach der angestrebten Signaturstufe – siehe die Unterschiede zwischen den Stufen.

Schritt 2: Berechnung des kryptografischen Hashwerts

Vor der Signatur berechnet die Plattform einen Hashwert des Dokuments. Es handelt sich um eine eindeutige Zeichenfolge, die den Inhalt der Datei abbildet. Jede Änderung, auch nur eines einzigen Zeichens, erzeugt einen völlig anderen Hashwert.

Der Hashwert ist wie ein digitaler Fingerabdruck der Datei: Er ist klein (einige Dutzend Bytes), garantiert aber die Integrität. Ändert jemand das Dokument nach der Unterzeichnung, stimmt der Hashwert nicht mehr überein – die Signatur wird ungültig.

Schritt 3: Identität und Hashwert verknüpfen

Die Plattform verschlüsselt den Hashwert mit einem kryptografischen Schlüssel, der mit der Identität des Unterzeichners verknüpft ist (über die PKI bei der QES oder über die Plattform bei SES/AES). Das Ergebnis ist das Signatur-Token: ein digitales Objekt, das zugleich enthält:

• den Hashwert des Dokuments
• die Kennung des Unterzeichners
• den genauen Zeitstempel
• die kryptografische Signatur selbst

Dieses Token wird gemäß dem Format PAdES (PDF Advanced Electronic Signatures) in das endgültige PDF eingebettet, einem europäischen Standard. Konkret: Wenn Sie ein signiertes PDF im Adobe Acrobat Reader öffnen, prüft der Reader das Token automatisch und zeigt "Gültige Signatur" an, wenn alles übereinstimmt.

Schritt 4: Zeitstempel setzen

Der Zeitstempel verknüpft die Signatur mit einem genauen und überprüfbaren Zeitpunkt. Ein qualifizierter Zeitstempel eines Vertrauensdiensteanbieters liefert den rechtlichen Nachweis, dass das Dokument zu diesem Zeitpunkt bereits existierte – ein entscheidendes Argument bei Streit über das Datum der Verpflichtung.

Siehe elektronischer Zeitstempel, um die Rolle und die Stufen der Zeitstempelung zu verstehen.

Schritt 5: Aufzeichnung im Audit-Trail

Bei jedem Schritt des Signaturzyklus zeichnet die Plattform ein zeitgestempeltes Ereignis auf:

• Versand des Umschlags
• Öffnen durch den Unterzeichner (mit IP und User-Agent)
• Eingabe des OTP
• erfolgte Signatur
• etwaige Ablehnung
• Ablauf

Das Ganze bildet den Audit-Trail. Er ist der operative Nachweis des Prozesses. Er wird in das endgültige PDF eingebettet und 10 Jahre lang aufbewahrt. Siehe Nachweis der elektronischen Signatur.

Was auf der Seite des Unterzeichners konkret passiert

Aus Sicht des Unterzeichners ist das Erlebnis minimal:

1. Er erhält eine E-Mail mit einem Link.
2. Er klickt und öffnet das Dokument in seinem Browser.
3. Er liest es und klickt dann auf "Signieren".
4. Bei der AES: Er gibt einen per SMS auf seinem Telefon empfangenen Code ein.
5. Fertig. Er erhält eine Kopie des signierten PDF.

Kein Konto anzulegen, keine Anwendung zu installieren, kein Zertifikat zu erzeugen (außer bei der QES). Alles ist in 1 bis 3 Minuten erledigt.

Was auf der Seite des Absenders passiert

Der Absender steuert den Prozess über sein Dashboard:

• Hochladen des Dokuments (PDF, automatische Konvertierung bei Word)
• Hinzufügen der Empfänger und Platzierung der Signaturfelder
• Wahl der Signaturstufe und der Reihenfolge (parallel oder sequenziell)
• Einstellung automatischer Erinnerungen und des Ablaufdatums
• Versand

In Echtzeit sieht er, wie jeder Umschlag von "gesendet" über "geöffnet" zu "signiert" wechselt. Webhooks oder Push-Benachrichtigungen können diese Ereignisse an ein CRM oder ein HR-System melden.

Warum eine elektronische Signatur schwer zu fälschen ist

• Kryptografischer Hashwert: Jede Änderung macht die Signatur ungültig
• Starke Authentifizierung: Ohne Zugriff auf E-Mail UND Telefon (bei der AES) ist es unmöglich, sich als Unterzeichner auszugeben
• Zeitgestempelter Audit-Trail: Jeder Schritt wird mit IP und User-Agent nachverfolgt
• Kryptografische Schlüssel: Der private Schlüssel des Unterzeichners (QES) verlässt niemals sein Hardwaregerät
• Archivierung über 10 Jahre: Der Nachweis bleibt lange nach der Unterzeichnung verwertbar

Wie Certyneo Ihnen hilft

Bei Certyneo läuft die gesamte kryptografische Verarbeitung im Backend auf europäischen Servern (Deutschland, IONOS): Hochladen des PDF, Berechnung des SHA-256-Hashwerts, Einbettung des PAdES-Tokens, Zeitstempelung und Speicherung des Audit-Trails in einer verschlüsselten PostgreSQL-Datenbank. Sie erhalten ein eIDAS-konformes Verfahren, ohne die technischen Einzelheiten verstehen zu müssen.

Entdecken Sie die elektronische Signaturlösung von Certyneo

FAQ

Kann ich eine Signatur ohne die Plattform überprüfen, die sie ausgestellt hat?

Ja. Ein im PAdES-Format signiertes PDF lässt sich mit jedem kompatiblen PDF-Reader prüfen (Adobe Reader, pdfsig und andere). Auch wenn die ausstellende Plattform verschwindet, bleibt die Signatur überprüfbar.

Was passiert, wenn ich das PDF nach dem Signieren ändere?

Die Signatur wird ungültig. Der PDF-Reader zeigt den Hinweis "Das Dokument wurde seit der Signatur geändert" an, und der Hashwert stimmt nicht mehr überein.

Wie lange ist eine elektronische Signatur gültig?

Die Signatur bleibt so lange gültig, wie es die verwendeten kryptografischen Algorithmen sind. Für eine langfristige Gültigkeit werden PAdES-LTA-Formate (Long Term Archive) eingesetzt, die qualifizierte Zeitstempel enthalten, die regelmäßig erneuert werden.

Können mehrere Dokumente auf einmal signiert werden?

Ja. Ein Certyneo-Umschlag kann mehrere Dokumente enthalten, die alle mit einem einzigen Klick signiert werden. Jedes Dokument behält seinen eigenen Hashwert, der Audit-Trail ist jedoch gemeinsam.

Verrät der Hashwert den Inhalt des Dokuments?

Nein. Hashing ist eine Einwegfunktion: Sie können den Hashwert aus dem Dokument berechnen, aber das Dokument nicht aus dem Hashwert wiederherstellen. Das ist eine der grundlegenden Eigenschaften kryptografischer Hashfunktionen.

Fazit

Eine elektronische Signatur ist ein kryptografisches Verfahren, das einen Unterzeichner, ein Dokument, ein Datum und eine Einwilligung nachweisbar verknüpft. Der Unterzeichner muss davon nichts verstehen – für ihn ist es ein Klick und ein SMS-Code. Für Sie ist es ein belastbarer, archivierter und verwertbarer Nachweis.

Probieren Sie Certyneo aus, um Ihre Dokumente einfach, schnell und sicher online zu versenden, zu signieren und nachzuverfolgen.