In Acrobat: die Signatur im PDF prüfen und Meldungen richtig lesen
Der Betrachter prüft zwei Dinge getrennt: ob das Dokument unverändert ist und ob dem Zertifikat vertraut wird. Hier die Schritte, die Meldungen und die Grenzen.
Eine PDF-Signatur prüfen Sie am vollständigsten dort, wo sie auch sichtbar ist: im PDF-Programm mit Signaturbereich, ein verbreitetes Programm dafür ist Acrobat Reader. Dort zerfällt die Prüfung in zwei getrennte Aussagen – ob das Dokument unverändert ist und ob dem Zertifikat des Unterzeichners vertraut wird. Wichtig vorab: offnenp7s.de öffnet ein einfaches PDF so, wie es ist, liest aber die in das PDF eingebettete Signatur nicht aus. Signaturdateien nach dem Format CAdES, also .p7s und .p7m, sind ihr Fach.
Zwei Fragen, die Sie trennen sollten
Eine digitale Signatur im PDF (Format PAdES, siehe CAdES, PAdES, XAdES) ist ein Rechenwert über dem Dokumentinhalt, dazu das Zertifikat des Unterzeichners. Daraus ergeben sich zwei völlig verschiedene Prüfungen:
- Unversehrtheit: Passt der Signaturwert noch zum Inhalt? Wird sie verneint, hat jemand nach dem Signieren geändert – oder die Datei wurde neu erzeugt, etwa durch „Als PDF drucken“, Konvertieren oder Nachbearbeiten.
- Vertrauen: Führt das Zertifikat über Zwischenstellen bis zu einer Wurzel, die Ihr System als vertrauenswürdig kennt, und ist es nicht gesperrt? Diese Frage kann die Datei allein nicht beantworten; dafür braucht es Vertrauensdaten.
Beides zusammen ergibt das, was Betrachter und Validatoren melden. Wer nur die erste Frage prüft, übersieht gesperrte Zertifikate; wer nur die zweite prüft, übersieht manipulierte Seiten. Und beachten Sie die Abgrenzung: Das Bild einer per Maus gezeichneten Unterschrift auf einer Seite enthält keinen dieser Werte – validierbar ist es nicht.
PDF-Signatur prüfen in Acrobat Reader
Adobe beschreibt die Prüfung in seiner Hilfe (Validieren digitaler Signaturen); die Schritte in der deutschen Oberfläche:
- Öffnen Sie das signierte PDF und wählen Sie im rechten Bereich Signaturen.
- Wählen Sie dort unter Optionen den Punkt Signaturen validieren.
- Im Dialog Status der Signaturvalidierung stehen die Einzelergebnisse.
- Für die Zertifikatsdetails: Signatureigenschaften und dann Zertifikat des Unterzeichners anzeigen.
Alle Signaturen eines Dokuments prüfen Sie gesammelt: über „Alle Werkzeuge“ und dann „Zertifikat verwenden > Alle Signaturen validieren“. Außerdem unterscheidet Adobe zwischen der bloßen Uhrzeit der Signatur und einem echten Zeitstempel. Die erste Meldung der folgenden Tabelle besagt: Nur die Systemuhr des signierenden Rechners steht als Beleg da, ein Zeitstempel von einem unabhängigen Zeitstempeldienst fehlt.
Die Zeitstempel-Meldungen und ihre Bedeutung
Die vier Zeitstempel-Meldungen, so wie die Adobe-Hilfe sie notiert, mit praktischer Einordnung:
| Meldung (Adobe, Deutsch) | Was sie bedeutet | Was Sie tun |
|---|---|---|
| „Uhrzeit der Signatur stammen von der Uhr des Computers der Unterzeichnenden“ | Kein Zeitstempeldienst beteiligt; die Uhr des Absenders steht als Beleg allein da | Bei fristkritischen Dokumenten nach einer signierten Datei mit Zeitstempel fragen |
| „Signatur wurde mit Zeitstempel versehen“ | Zeitstempeldienst genutzt, sein Zertifikat ist in Ihrer Vertrauensliste aufgenommen | Nichts weiter nötig; der Zeitwert gilt als geprüft |
| „Signatur wurde mit Zeitstempel versehen, aber der Zeitstempel konnte nicht überprüft werden“ | Das Zertifikat des Zeitstempeldienstes fehlt in Ihrer Liste vertrauenswürdiger Identitäten | Zertifikat aus offizieller Quelle nachtragen oder den Absender um Bestätigung bitten |
| „Die Signatur ist mit einem Zeitstempel versehen, aber der Zeitstempel ist abgelaufen“ | Das Zeitstempel-Zertifikat ist zwischenzeitlich abgelaufen | In den Signaturevoreinstellungen lässt sich die Option „Abgelaufenen Zeitstempel verwenden“ einschalten |
Die Ergebniskombinationen lesen
Nach beiden Fragen sortieren sich die möglichen Befunde in vier Fälle – und nur einer davon ist ein echter Manipulationsbefund:
| Unversehrtheit | Vertrauen | Bedeutung |
|---|---|---|
| passt | passt | Signaturwert passt, Vertrauensbasis bekannt – das beste Ergebnis, das ein Prüfer erzielen kann |
| passt | unbekannt | häufigster Fall bei fremden Zertifikaten – nichts gefälscht, aber die Vertrauensdaten fehlen dem Prüfer |
| passt nicht | – | Datei nach dem Signieren verändert oder neu gespeichert; das ist nicht mehr das unterzeichnete Dokument |
| passt | widerrufen | das Zertifikat wurde widerrufen – die Vertrauensbasis entfällt; fragen Sie beim Aussteller nach |
Warum „unbekannt“ kein Verdacht ist
Viele Prüfungen scheitern an Vertrauensdaten, nicht an der Signatur. Die häufigsten Ursachen, passend zu Adobes Hinweis, dass für die Authentizität das Zertifikat des Unterzeichners oder seine übergeordneten Zertifikate vertrauenswürdig sein müssen:
- Die Kette reicht nicht bis zu einem Wurzelzertifikat, das Ihr Rechner kennt – etwa bei Zertifikaten kleiner Anbieter oder bei Selbstsignierung.
- Der Zeitstempeldienst ist Ihrem System unbekannt (siehe Tabelle oben).
- Sie prüfen offline; Sperrinformationen (Sperrlisten, OCSP-Antworten) sind dann nicht erreichbar.
- Die Datei wurde nach dem Signieren umgespeichert; dann kippt die Unversehrtheitsprüfung, auch wenn der Inhalt identisch aussieht.
Für den letzten Punkt gilt: Behandeln Sie das signierte PDF wie das Original. Wer es in ein anderes Programm lädt, neu speichert oder Seiten entfernt, zerstört die Bindung von Dokument und Signaturwert – P7S und PDF beschreibt dasselbe Problem bei Auszügen. Und wenn Sie mit den Begriffen der Betrachter nicht sicher umgehen: Signatur prüfen trennt das Nachrechnen vom Vertrauensurteil.
Online validieren: die Validierungs-Demo der EU-Kommission
Eine unabhängige zweite Auskunft liefert die Validierungs-Demo der Europäischen Kommission (DSS Demonstration WebApp) im Programm Digital Building Blocks: Dort laden Sie ein Dokument hoch und lassen die Signatur prüfen. Zwei Hinweise der Seite selbst sind wichtig: Es ist eine Demonstrationsumgebung, für die die Kommission keinerlei Verantwortung übernimmt, und übertragene Dateien gehen an die Infrastruktur der Kommission; die Kommission rät ausdrücklich, keine Dokumente mit sensiblen Inhalten zu testen. Nutzen Sie den Dienst für unkritische Proben – nicht für Personalunterlagen oder Verträge mit Kunden- oder Gesundheitsdaten. Wer nichts aus der Hand geben will, bleibt beim lokalen PDF-Programm; die Vertrauenslisten aller zugelassenen Anbieter Europas stehen im öffentlichen Trusted List Browser der Kommission.
Wenn die Signatur eine eigene Datei ist
Bevor Sie eine PDF-Signatur prüfen, klären Sie, wo sie liegt: im PDF – dann ist Ihr PDF-Programm zuständig – oder in einer eigenen Datei, etwa als Anhang smime.p7s an einer E-Mail oder als P7M-Datei mit Dokument darin. Im zweiten Fall wählen Sie die Signatur über die Dateiauswahl oben und legen Sie bei abgetrennter Signatur das Original dazu. Das kostenlose Konto öffnet die Übersicht mit Unterzeichner und Vorschau der ersten Seite; für das vollständige Dokument ist eine Zahlung nötig. Gelesen wird auf Ihrem Gerät, hochgeladen wird nichts.
Häufige Fragen
Wie kann ich eine PDF-Signatur verifizieren?
Am vollständigsten im PDF-Programm mit Signaturbereich, etwa Acrobat Reader: dort die Signatur validieren, das Zertifikat des Unterzeichners ansehen und das Ergebnis zum Zeitstempel prüfen. Eine zusätzliche Online-Auskunft gibt die Validierungs-Demo der EU-Kommission, für unkritische Testdokumente.
Ist eine PDF-Signatur rechtsgültig?
Die Verordnung eIDAS sagt: Einer elektronischen Signatur darf die Rechtswirkung als Beweismittel nicht allein deshalb abgesprochen werden, weil sie elektronisch vorliegt. Eine qualifizierte Signatur hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Ob Ihre konkrete Signatur qualifiziert ist, entscheidet das Zertifikat, nicht das PDF-Format.
Warum zeigt mein Programm an, dass die Signatur nicht überprüft werden kann?
Meist fehlt das Vertrauensurteil, nicht die Signatur: Die Zertifikatskette reicht nicht bis zu einer vertrauenswürdigen Wurzel, oder das Zertifikat des Zeitstempeldienstes ist nicht aufgenommen. Auch ein abgelaufener Zeitstempel führt zu dieser Meldung. Die Signatur selbst kann trotzdem unversehrt sein.
Kann offnenp7s.de eine PDF-Signatur prüfen?
Nein. Ein einfaches PDF öffnet die Seite unverändert, aber sie liest die eingebettete Signatur nicht aus. Zuständig dafür ist Ihr PDF-Programm. Umgekehrt liest offnenp7s.de eigene Signaturdateien wie .p7s und .p7m aus und zeigt deren Unterzeichner; Signaturen erstellen kann die Seite nicht.
Zählt das Bild einer Unterschrift auf dem PDF als Signatur?
Nein, technisch ist es eine Grafik. Eine digitale Signatur im PDF trägt ein Zertifikat, einen Signaturwert und oft einen Zeitstempel; genau das zeigt der Signaturbereich. Eine eingefügte Unterschriften-Grafik lässt sich darin nicht validieren, weil kein kryptografischer Wert dahintersteht.
Was ist von Online-Diensten zum Signaturprüfen zu halten?
Prüfen Sie, wohin die Datei geschickt wird. Die Validierungs-Demo der EU-Kommission ist ein offizielles Testwerkzeug; ihr Hinweis besagt ausdrücklich, dass übertragene Dateien an die Infrastruktur der Kommission gehen und nicht für sensible Dokumente genutzt werden soll. Für vertrauliche Fälle bleibt das lokale Programm der richtige Weg.
Ziehen Sie Ihre .p7s / .p7m Datei hierher
Datei öffnen