Qualifizierte Validierung einer elektronischen Signatur und einfache Überprüfung – worin unterscheiden sie sich und wann ist dieser Unterschied von Bedeutung?

Die qualifizierte Validierung einer elektronischen Signatur oder eines elektronischen Siegels ist eine rechtsverbindliche Vertrauensdienst (gemäß eIDAS), die einen unbestreitbaren Nachweis für die Gültigkeit einer elektronischen Signatur und eines elektronischen Siegels liefert, während eine einfache Überprüfung der elektronischen Signatur lediglich ein technisches Auslesen der elektronischen Ebene einer Datei durch ein Computerprogramm darstellt.

Dieser Unterschied ist von entscheidender Bedeutung, wenn ein Dokument vor Gericht oder bei Aufsichtsbehörden landet oder wenn es um Transaktionen mit hohem Risiko geht.

Stellen Sie sich eine typische Situation vor: Sie erhalten einen wichtigen Vertrag auf Ihrem Schreibtisch, der vom Vertragspartner elektronisch unterzeichnet wurde. Sie öffnen die Datei in einem PDF-Reader, sehen das grüne Symbol, das korrekte Signaturen anzeigt, und betrachten die Angelegenheit als erledigt, da Sie glauben, einen wasserdichten Beweis in der Hand zu haben. Alternativ laden Sie das Dokument in einen kostenlosen Online-Prüfer hoch und erhalten die Meldung, dass das Ergebnis positiv ist.

Das Problem ist jedoch, dass dir keine dieser Maßnahmen mehr bietet als eine Überprüfung der Datei in diesem einen Moment. Wenn Ihr Vertragspartner in einigen Jahren den Vertrag vor Gericht anficht, reicht Ihr heutiges „grünes Häkchen“ auf dem Computerbildschirm möglicherweise nicht aus, um die Interessen Ihres Unternehmens zu wahren. Schauen wir uns an, warum das so ist und wie Sie Ihre Unternehmensdokumente richtig absichern können.

Die wichtigsten Informationen auf einen Blick

• Eine einfache Überprüfung (z. B. in einem PDF-Reader) ist lediglich ein technischer Scan der elektronischen Ebene der Datei – jener, die Sie in der visuellen Ebene nicht sehen. Sie stützt sich nicht auf rechtliche Vermutungen, und der Programmhersteller haftet nicht für ein fehlerhaftes Ergebnis.
• Die qualifizierte Signaturvalidierung ist eine formalisierte Vertrauensdienstleistung. Ihr Ergebnis kehrt die Beweislast vor Gericht um, und der Anbieter (z. B. Autenti) übernimmt die volle Verantwortung für die Richtigkeit der Überprüfung.
• Ein qualifizierter Validator erstellt einen kryptografisch versiegelten Bericht, der den Status der Signatur zu einem bestimmten Tag und einer bestimmten Uhrzeit „einfriert“. Das Dokument dient auch noch Jahre später, wenn die Zertifikate bereits abgelaufen sind, als unumstößlicher Beweis.
• Eine einfache Überprüfung reicht für interne, risikoarme Angelegenheiten aus. Eine qualifizierte Validierung ist bei Ausschreibungen (PZP), bei regulierten Unternehmen (KNF) und zum Nachweis wichtiger Verträge unerlässlich.
• Als einziger qualifizierter Anbieter auf dem Markt erkennt und verifiziert unser Validator nativ sowohl die Standard-E-Signatur von Autenti als auch die erweiterte E-Signatur von Autenti und zeigt dabei die vollständigen Daten des Unterzeichners an.
  
  

Was genau ist die „Verifizierung“ einer elektronischen Signatur?

Die einfache Verifizierung einer elektronischen Signatur ist ein Prozess der technischen Überprüfung einer für das Auge unsichtbaren Ebene des Dokuments durch Software, wie beispielsweise gängige PDF-Reader (z. B. Adobe Acrobat) oder allgemein zugängliche, kostenlose Online-Verifizierer.

Wenn Sie ein signiertes Dokument öffnen, fungiert das Programm wie ein digitaler Scanner. Es überprüft vier grundlegende Aspekte:

1. Ob das Dokument eingebettete kryptografische Einträge enthält, z. B. in Form von Signaturzertifikaten oder elektronischen Siegeln, um diese nachzuweisen,
2. ob die Datei nach dem Anbringen der Signatur oder des Siegels nicht verändert wurde,
3. ob das kryptografische Zertifikat des Unterzeichners zu diesem konkreten Zeitpunkt gültig ist,
4. und ob die Zertifizierungskette (die sogenannte Vertrauenskette) konsistent ist.

Einfache Überprüfung einer qualifizierten elektronischen Signatur ist ein sehr nützliches Werkzeug für die tägliche operative Arbeit. Sie ermöglicht es, schnell festzustellen, ob es sich bei der übermittelten Datei tatsächlich um den Vertrag handelt, auf den wir gewartet haben.

Sie weist jedoch eine grundlegende Lücke auf: Sie bietet keinerlei rechtliche Garantie und sichert den Beweis nicht für die Zukunft.

Aus rechtlicher und geschäftlicher Sicht birgt das ausschließliche Verlassen auf eine einfache Überprüfung konkrete Risiken:

• Fehlende rechtliche Vermutungen: Das Ergebnis einer einfachen Überprüfung stützt sich nicht auf gesetzliche Vermutungen. Im Falle eines Rechtsstreits müssen Sie vor Gericht nachweisen (oft unter Hinzuziehung von IT-Sachverständigen), dass die Unterschrift ordnungsgemäß geleistet wurde.
• Keine Haftung des Anbieters: Der Hersteller eines kostenlosen PDF-Leseprogramms oder eines unabhängigen Validierungsportals übernimmt keinerlei Haftung für das Ergebnis. Wenn das Programm das Zertifikat falsch interpretiert und bei einer ungültigen Signatur ein „grünes Häkchen“ anzeigt, trägt ausschließlich Ihre Organisation die Konsequenzen. Die gleichen Regeln gelten für die Überprüfung der Dokumentintegrität nach dem Anbringen von Signaturen oder elektronischen Siegeln auf dem Dokument.
• Das Problem des Zeitablaufs: Zertifikate für elektronische Signaturen und Siegel haben eine bestimmte technische Gültigkeitsdauer (in der Regel ein bis drei Jahre, wobei zunehmend sogenannte Einmalzertifikate zum Einsatz kommen). Wenn Sie dasselbe, korrekt signierte Dokument in fünf Jahren in einem gewöhnlichen PDF-Reader öffnen und das Zertifikat der Signatur oder des elektronischen Siegels keinen qualifizierten Zeitstempel (LTV – Long Term Validation) enthält, wird das Programm höchstwahrscheinlich eine Fehlermeldung ausgeben und die Signatur als ungültig kennzeichnen. Ohne einen ordnungsgemäß erstellten Nachweis wird es äußerst schwierig sein, den historischen Sachverhalt zu rekonstruieren.
  
  

„Viele Unternehmer lernen den Unterschied zwischen einem kostenlosen PDF-Reader und einer qualifizierten Validierung erst im Gerichtssaal schmerzlich kennen. Ein gewöhnliches Programm bietet lediglich einen technologischen Schnappschuss zu einem bestimmten Zeitpunkt. Erst ein qualifizierter Vertrauensdienst schützt die Interessen des Unternehmens langfristig und kehrt die Beweislast wirksam um.“ — Agata Kolorz-Lentini, Information Security Compliance Manager, Datenschutzbeauftragte bei Autenti

Was ist ein qualifizierter Validierungsdienst und was zeichnet ihn aus?

Ein qualifizierter Validierungsdienst ist ein formalisierter Vertrauensdienst, der in den Artikeln 32 und 33 der eIDAS-Verordnung definiert ist und auf rechtsverbindliche und langfristige Weise bestätigt, dass die elektronische Signatur oder das elektronische Siegel zum Zeitpunkt der Abgabe gültig war und die Integrität der signierten Daten nicht beeinträchtigt wurde.

Im Gegensatz zu gewöhnlichen Programmen darf dieser Dienst ausschließlich von Stellen erbracht werden, die den strengen Status eines qualifizierten Vertrauensdienstleisters besitzen und in der europäischen Vertrauensliste (Trusted List) eingetragen sind. Auf dem polnischen Markt gehören derzeit nur Asseco, CenCert und Autenti zu diesem kleinen Kreis.

Der Funktionsmechanismus der qualifizierten Validierung basiert auf der Bereitstellung eines fälschungssicheren Nachweises in Form eines Berichts, dessen Umfang durch eine spezielle Norm des Europäischen Instituts für Telekommunikationsnormen (ETSI) festgelegt wurde. Aus geschäftlicher und rechtlicher Sicht unterscheidet sich dieser Dienst durch drei wesentliche Elemente von einer gewöhnlichen Überprüfung:

1. Rechtliche Vermutungen gemäß Art. 32 eIDAS: Dies ist der wichtigste Vorteil. Das Ergebnis einer qualifizierten Validierung genießt rechtlichen Schutz. Gemäß den gesetzlichen Bestimmungen dürfen staatliche Behörden (z. B. Gerichte, Staatsanwaltschaft, Nationale Berufungskammer, Finanzaufsichtsbehörde oder Arbeitsaufsichtsbehörde) einen solchen Nachweis nicht zurückweisen. In der Praxis bedeutet dies eine Umkehr der Beweislast: Wenn Sie einen Bericht über die qualifizierte Validierung vorlegen, muss die Partei, die den Vertrag oder die Gültigkeit der Signaturen anzweifelt, vor Gericht nachweisen, dass ein Betrug vorliegt. Sie sind geschützt.
2. Beweissicherung (Zeitstempel): Die qualifizierte Validierung dokumentiert den Zustand der Unterschrift in dem Bruchteil einer Sekunde, in dem der Vorgang ausgeführt wurde. Der erstellte Bericht wird kryptografisch gesichert mit einem qualifizierten Siegel des Dienstanbieters sowie einem qualifizierten Zeitstempel kryptografisch gesichert. Selbst wenn das Zertifikat Ihres Vertragspartners in einem Jahr abläuft oder widerrufen wird, wird der heutige Bericht in Zukunft ein unumstößlicher Beweis dafür sein, dass zum Zeitpunkt der Transaktion alles korrekt war.
3. Erkennung von Änderungen im Nachhinein: Sollte es notwendig werden, Beweise für einen bestimmten Sachverhalt im Zusammenhang mit einem vor einigen Jahren geschlossenen Vertrag vorzulegen, ist die qualifizierte Validierung ein unverzichtbares Werkzeug im Arsenal für jede Situation. Die qualifizierte Validierung liefert nicht nur Informationen über die Gültigkeit des Signaturzertifikats oder des elektronischen Siegels zum Zeitpunkt ihrer Abgabe, sondern erkennt und meldet auch alle Änderungen, einschließlich der Ungültigkeitserklärung des Zertifikats (z. B. aufgrund von Betrug) sowie unbefugte Änderungen am Zertifikat selbst oder am Dokument.
4. Volle Haftung des Anbieters: Durch die Nutzung der qualifizierten Signaturvalidierung verlagern Sie das Risiko auf den Anbieter. Sollte das System einen fehlerhaften Bericht ausgeben und eine Unwahrheit bestätigen, trägt der qualifizierte Anbieter dafür die volle Verantwortung.

„Der größte Vorteil der qualifizierten Validierung besteht darin, dass sie umfassende Informationen über die im Dokument enthaltenen Zertifikate liefert. Nicht nur über die bloße Tatsache ihrer Existenz, denn wie wir wissen, hat die bloße Darstellung der Signatur im Zusammenhang mit der elektronischen Signatur keinerlei Rechtskraft, sondern auch alle im Zertifikat enthaltenen Daten, den Zertifikatsanbieter, dessen Gültigkeit sowie etwaige unbefugte Änderungen am Dokument oder an den kryptografischen Sicherheitsvorkehrungen. Das Tool ermöglicht es, jeglichen Missbrauch wirksam zu bekämpfen, darunter vor allem die potenziell böswilligen Absichten unserer Vertragspartner, die vor Gericht falsche oder manipulierte Dokumente als Beweismittel vorlegen.“ — Agata Kolorz-Lentini, Information Security Compliance Manager, Datenschutzbeauftragte bei Autenti

In der Praxis – wann reicht eine einfache Überprüfung aus und wann benötigen Sie eine qualifizierte

In unserer Praxis beobachten wir häufig, dass Unternehmen bei Verträgen im Wert von mehreren Millionen auf kostenlose Verifizierungsdienste zurückgreifen. Die Entscheidung, wann welches Tool zum Einsatz kommen soll, sollte sich aus der Risikoanalyse (Compliance) Ihrer Organisation ergeben.

Eine einfache Überprüfung reicht völlig aus, wenn:

• Sie Dokumente innerhalb des Unternehmens bearbeiten, die keine rechtlichen Konsequenzen nach sich ziehen (z. B. Urlaubsanträge, Rundschreiben, Genehmigungen interner untergeordneter Vorschriften).
• Sie lediglich sicherstellen möchten, dass die Datei nach dem Herunterladen aus einer E-Mail nicht beschädigt wurde, bevor Sie sie zur Einsicht an eine andere Abteilung weiterleiten.
• Sie Dokumente informeller Art überprüfen, bei denen ein möglicher Rechtsstreit mit einem Vertragspartner unwahrscheinlich ist oder die Kosten eines solchen Rechtsstreits im Vergleich zu den Bearbeitungskosten vernachlässigbar wären.

Eine qualifizierte Validierung ist unbedingt erforderlich, wenn:

• Sie an öffentlichen Ausschreibungen (PZP) teilnehmen: Als Auftraggeber sind Sie verpflichtet, zu überprüfen, ob das Angebot ordnungsgemäß unterzeichnet wurde. Die Ablehnung eines Angebots aufgrund einer fehlerhaften Erkennung durch ein kostenloses Programm führt sofort zu Einsprüchen. Urteile der Nationalen Beschwerdekammer (KIO) zeigen deutlich, dass sich Auftraggeber bei der Prüfung von Angeboten auf qualifizierte Tools stützen sollten (z. B. KIO 457/22).
• Sie sammeln Unterlagen für den Fall eines Rechtsstreits: Wenn Sie den Vertragsabschluss mit einem anspruchsvollen Vertragspartner dokumentieren. Wird die Echtheit des Vertrags angefochten (z. B. bei Verbraucherstreitigkeiten und sogenannten Betrugsfällen in der Telekommunikationsbranche), ermöglicht ein qualifizierter Bericht, Ansprüche schnell abzuwehren.
• Sie sind ein reguliertes Institut: Organisationen wie Banken, Versicherer oder Leasinggesellschaften unterliegen Prüfungen durch die polnische Finanzaufsichtsbehörde (KNF) und strengen AML-Verfahren. In ihrem Fall müssen die Willensnachweise der Kunden unbestreitbar sein und über Jahre hinweg gesichert werden.
• Sie überprüfen Signaturen von ausländischen Geschäftspartnern: Die Validierung einer qualifizierten Signatur, die von einem Unternehmen aus einem anderen EU-Land abgegeben wurde, erfordert eine umfangreiche, in Echtzeit aktualisierte Datenbank europäischer Zertifizierungsstellen (EU Trusted List). Herkömmliche Lesegeräte verfügen standardmäßig nicht über vorinstallierte Listen vertrauenswürdiger Zertifikate für qualifizierte europäische Signaturen und verlieren sich häufig bei ausländischen Zertifikaten, wodurch sie falsche Fehlermeldungen ausgeben.
• Sie bereiten Verträge zur Unterzeichnung durch den Vorstand vor: Assistenten des Vorstands und die Einkaufsabteilungen übernehmen bei der Entgegennahme von Verträgen von Lieferanten die Verantwortung für deren Richtigkeit. Die Vorlage eines Vertrags mit einer fehlerhaften Signatur des Vertragspartners an die Vorstandsmitglieder stellt ein enormes rechtliches Risiko für das gesamte Unternehmen dar.

💡 Fragen Sie sich, ob die Prozesse und Dokumente in Ihrem Unternehmen eine qualifizierte Validierung erfordern?

Vereinbaren Sie eine kostenlose Beratung mit einem Experten von Autenti und erfahren Sie, wie Sie rechtliche Risiken im Umgang mit elektronischen Dokumenten minimieren können.

Was beinhaltet das Ergebnis einer qualifizierten Validierung – Bericht und Bescheinigung

Viele Nutzer kostenloser Programme sind daran gewöhnt, dass das Ergebnis einer Signaturprüfung lediglich eine Meldung ist, die kurz auf dem Bildschirm angezeigt wird. Das Ergebnis einer qualifizierten Validierung sind hingegen dauerhafte, kryptografisch gesicherte Dokumente.

Am Ende des Prozesses der qualifizierten Validierung erhalten Sie zwei wesentliche Elemente:

1. Validierungsbericht (XML-Datei): Hierbei handelt es sich um ein hochtechnisches Dokument, das gemäß den strengen Normen des ETSI (Europäisches Institut für Telekommunikationsnormen) erstellt wird. Diese Datei ist maschinenlesbar, was eine einfache Integration des Dienstes über eine API in unternehmensinterne Dokumentenmanagementsysteme (z. B. ERP, CRM) ermöglicht, in denen die Software das Ergebnis ohne menschliches Zutun selbst ausliest.
2. Validierungsbescheinigung (PDF-Datei): Hierbei handelt es sich um ein für Menschen lesbares visuelles Dokument, das als physischer Nachweis dient.

In der Validierungsbescheinigung finden Sie alle Details der Transaktion: die genauen Daten der unterzeichnenden Person (Vorname, Nachname, ggf. Organisation), die Seriennummer des Zertifikats und die Daten seines Anbieters, das Signaturformat sowie die Parameter des verwendeten Zeitstempels. Das Ganze ist mit einer eindeutigen Kennung des Validierungsprozesses versehen.

Das wichtigste Element des Berichts ist jedoch der endgültige Validierungsindikator, der gemäß den EU-Normen immer einen von drei Status annimmt:

• TOTAL-PASSED (Validierung erfolgreich): Die Signatur ist vollständig korrekt, das Zertifikat war zum Zeitpunkt der Signatur gültig und die Datei wurde nicht manipuliert.
• INDETERMINATE (Unbestimmte Validierung): Dem System liegen nicht genügend Daten vor, um ein eindeutiges, verbindliches Ergebnis zu liefern. Dies kann beispielsweise der Fall sein, wenn die Signatur vor langer Zeit ohne Verwendung qualifizierten Zeitstempels, und es lässt sich nicht eindeutig feststellen, ob dies vor dem Ablauf des Zertifikats geschehen ist.
• TOTAL-FAILED (Validierung fehlgeschlagen): Bedeutet einen schwerwiegenden Fehler. Tritt in der Regel auf, wenn das kryptografische Zertifikat zum Zeitpunkt der Verwendung ungültig war oder wenn jemand den Inhalt des Dokuments nach dessen Unterzeichnung physisch verändert hat.

Beide Dateien (XML und PDF) sind durch die Anbringung eines qualifizierten elektronischen Siegels eines Vertrauensdienstleisters sowie eines qualifizierten Zeitstempels streng geschützt. Dieses Siegel garantiert, dass der Bericht selbst niemals manipuliert wurde.

Ein häufiges Missverständnis – Sind kostenlose Validierungstools „eIDAS-konform“?

Bei der Auswahl eines Tools zur Dokumentenprüfung gerät man sehr leicht in die Falle des Technologiemarketings. Viele kostenlose Online-Validatoren sowie beliebte PDF-Reader werben mit Slogans wie: „eIDAS-konformes Tool“ oder „Wir unterstützen eIDAS-Standards“. Das bedeutet, dass sie eine sogenannte technologische Konformität bieten, die jedoch in keiner Weise einen rechtlichen Status gewährleistet.

Technische eIDAS-Konformität bedeutet lediglich, dass die Software so programmiert wurde, dass sie kryptografische Strukturen (wie XAdES oder PAdES) korrekt lesen kann. Der Programmcode verstößt nicht gegen die EU-Richtlinien. Das ist jedoch in etwa so, als würde man sagen, dass ein auf einem Drucker ausgedrucktes Hochschulabschlusszeugnis das richtige Format hat und die richtige Schriftart verwendet.

Ein qualifizierter Validierungsdienst im Sinne von Artikel 33 der eIDAS-Verordnung ist hingegen ein bedeutender rechtlicher Status der Stelle, die dieses Diplom ausstellt. Bei einem qualifizierten Dienst geht es nicht nur um die reine Implementierung des Codes, sondern um monatelange Audits durch Zertifizierungsstellen, die Aufnahme in die europäische Liste (Trusted List), die Anwendung strenger Sicherheits- und Konformitätsverfahren sowie die Bereitschaft, die finanzielle Haftung für jedes generierte Validierungsergebnis zu übernehmen.

Die folgende Tabelle verdeutlicht, warum ein „technisch konformes“ Tool nicht dasselbe ist wie ein qualifizierter Dienst:

Wenn es Ihnen um Rechtssicherheit geht, reicht ein technisch konformes Tool, das jedoch von einem nicht qualifizierten Anbieter bereitgestellt wird, schlichtweg nicht aus.

💡 Fragst du dich, ob die von dir verwendeten Tools die Interessen deines Unternehmens tatsächlich schützen?

Lassen Sie sich bei der Einführung einer qualifizierten Validierung mit unserem Experten und sichern Sie sich 100 % Beweissicherheit.

Zusammenfassung

Der grundlegende Unterschied zwischen der Verifizierung und der qualifizierten Validierung einer elektronischen Signatur ist rechtlicher und nicht technischer Natur. Auch wenn beide Tools auf den ersten Blick dieselbe positive Meldung zum Status eines Dokuments anzeigen, liefert dir nur eines davon einen handfesten, dauerhaften Beweis von unbestreitbarer Gültigkeit.

Gewöhnliche Software ist ein hervorragendes Werkzeug für die laufende, informelle Vorschau von Dateien. Wenn Sie jedoch die Interessen Ihres Unternehmens vor dem Risiko finanzieller Verluste schützen, ist es leichtsinnig, sich auf grüne Meldungen in einem kostenlosen Reader zu verlassen. Eine qualifizierte Validierung entlastet Sie im Streitfall von der Beweislast und verlagert die Verantwortung auf einen zertifizierten, beaufsichtigten Anbieter.

Als autorisierter qualifizierter Vertrauensdienstleister, der in der polnischen und europäischen Trusted List eingetragen ist, bieten wir Lösungen mit 100 %iger Rechtssicherheit. Wichtig ist, dass unser Validator als einziger auf dem Markt auch die Autenti-E-Signatur sowie die fortgeschrittene elektronische Signatur von Autentivollständig verifiziert. Sichern Sie die Nachweise Ihrer abgeschlossenen Verträge und stellen Sie sicher, dass Ihre Organisation langfristig geschützt ist – testen Sie den qualifizierten Autenti-Validator.