Was Ihre Signaturdatei wirklich verrät – und wie Sie sie prüfen

Wer eine Signatur prüfen will, prüft immer zwei verschiedene Dinge. Das Erste liefert die Datei selbst: den Signaturwert, das Zertifikat des Unterzeichners, die Zeitstempel – und die Frage, ob der Rechenwert noch zum Dokument passt. Das Zweite steht außerhalb: ob man dem Zertifikat vertrauen darf, weil seine ausstellende Stelle auf einer offiziellen Liste steht und das Zertifikat nicht gesperrt wurde. Signaturdateien nach dem CMS-Format (.p7s und .p7m) lassen sich im ersten Teil vollständig lokal nachrechnen, hier im Browser. Für den zweiten Teil gibt es offizielle Prüfdienste; diese Seite tut so etwas ausdrücklich nicht.

Was in einer Signaturdatei steht

Eine Datei wie abrechnung_2026-08.p7m oder beglaubigung.p7s enthält keinen Text, sondern einen Signaturblock. Darin stecken:

• das Zertifikat des Unterzeichners – mit Name, ausstellender Stelle, Gültigkeitszeitraum und öffentlichem Schlüssel;
• der Signaturwert – das kryptografische Siegel über den Dokumentinhalt;
• Signierte Zusatzangaben – etwa Signierzeit und, bei Profilen nach ETSI CAdES, ein vom Zeitstempeldienst ausgestellter Zeitstempelbeleg;
• der Hashwert des Originals – bei abgetrennter Signatur die einzige Brücke zum Dokument, das selbst nicht in der Datei liegt.

Ob das Dokument mit in der Datei steckt oder daneben liegt, entscheidet, wie Sie prüfen: .p7m-Hüllen enthalten es, bei .p7s müssen Sie die Originaldatei dazulegen. Bei mehrfach signierten Dateien, etwa .p7m.p7m, wird jeder Unterzeichner einzeln aufgeführt. Gelesen wird dabei nach den Bytes, nicht nach dem Namen: Auch als base64-Text in einer .txt- oder .pem-Datei abgelegt, bleibt der Inhalt derselbe, und die Seite holt die Hülle daraus hervor. Die Einzelheiten der Endungen stehen auf Dateiendung P7S, der Fall an einer E-Mail auf Anhang smime.p7s.

Schritt 1: Das rechnet die Datei selbst aus

Der Rechenanteil einer digitalen Signatur ist einfach beschrieben: Über das Dokument wird ein Hashwert gebildet; die Signatur erklärt, dass dieser Wert mit dem privaten Schlüssel des Unterzeichners erzeugt wurde; wer den öffentlichen Schlüssel aus dem Zertifikat hat, kann die Erklärung nachprüfen. Genau das geschieht in offnenp7s.de im Browser: Die Seite vergleicht die Prüfsumme von Signatur und Originaldatei, rechnet den Signaturwert nach und listet, was die Datei über die Signatur sagt – Unterzeichner, Organisation, ausstellende Stelle, Gültigkeit, Signierzeitpunkt, Zeitstempel, Signaturniveau und eine etwaige Qualifizierungserklärung. Dazu kommen überprüfbare Befunde: Ist der Zeitstempel vorhanden, ist das Zertifikat abgelaufen, wurde ein schwaches Verfahren verwendet?

Was dabei nie erscheint, ist ein Häkchen „gültig“. Die Antwort auf Schritt 1 lautet immer: Diese Signatur gehört zu genau diesem Dokument – oder eben nicht. Was P7M-Datei öffnen zeigt und was nicht, ist dort ebenfalls beschrieben.

Schritt 2: Was nur außerhalb der Datei steht

Damit eine Prüfung mehr ist als Rechnen, braucht man zwei Fremddaten. Erstens eine Vertrauensliste: Die Mitgliedstaaten veröffentlichen Listen der als qualifiziert zugelassenen Anbieter; die Kommission bündelt sie im öffentlichen Trusted List Browser. Das Werkzeug durchsucht die Listen nach Anbieter oder Dienst – und nimmt sogar eine Signaturdatei entgegen: Es zeigt dann, welcher Anbieter das in der Datei enthaltene Signaturzertifikat ausgestellt hat. Zweitens Sperrinformationen: Zertifikate können vorzeitig widerrufen werden, gemeldet über Sperrlisten oder Online-Statusabfragen (CRL und OCSP). Beides steht nie in der Signatur selbst, beides muss zur Prüfzeit geholt werden.

Die eIDAS-Verordnung sieht für diese Aufgabe qualifizierte Validierungsdienste vor: Sie sollen vertrauenden Dritten das Prüfen qualifizierter Signaturen ermöglichen, ohne dass diese die Listen und Sperrdaten selbst pflegen müssen. Die Anforderungen an Signaturen und Anbieter regelt die Verordnung (EU) Nr. 910/2014. Für die Praxis bleibt die Kurzform: Rechenbeweis aus der Datei, Vertrauensbeweis von einer offiziellen Stelle.

Warum zwei Programme unterschiedlich urteilen

Jeder Betrachter pflegt seine eigene Liste vertrauenswürdiger Zertifikate – die eine Anwendung kennt mehr Wurzeln, die andere weniger, und manche fragen im Netz nach, während andere offline bleiben. Deshalb kann dasselbe Dokument in zwei Programmen zwei Ergebnisse liefern, ohne dass die Signatur sich geändert hat. Vergleichbare Aussagen bekommen Sie, wenn Sie mit denselben Dateien und denselben Voraussetzungen prüfen: Originaldatei, Signaturdatei und, falls vorhanden, die komplette Zertifikatskette. Wer die Vertrauensgrundlage klären will, beginnt bei den öffentlichen Listen der Kommission.

Was diese Seite zeigt – und was nicht

Für die letzte Spalte verweist die Seite auf das offizielle Werkzeug: die Validierungs-Demo der EU-Kommission. Bedenken Sie: Dabei verlässt Ihr Dokument das Gerät, die Kommission warnt selbst vor sensiblen Proben, und eine förmliche Prüfleistung ist diese Demonstrationsumgebung ausdrücklich nicht.

Signatur prüfen: Schritt für Schritt

1. Wählen Sie die Signaturdatei in der Dateiauswahl oben. Bei einer .p7s-Datei legen Sie im nächsten Feld das Originaldokument dazu, denn die Signatur liegt hier getrennt.
2. Lesen Sie die Signaturübersicht: Wer hat unterschrieben, wann, mit welchem Zertifikat?
3. Kontrollieren Sie die nachrechenbaren Punkte: Stimmt die Prüfsumme, ist der Zeitstempel gesetzt, ist das Zertifikat nach Datei-Angabe noch gültig?
4. Wenn es auf Vertrauen ankommt – etwa bei Verträgen gegenüber Behörden –, prüfen Sie das Zertifikat anhand der offiziellen Listen nach oder lassen Sie die Datei von einem Validator prüfen.
5. Bewahren Sie Signaturdatei und Original gemeinsam auf, unverändert.

Liegt Ihre Signatur dagegen im PDF selbst, ist nicht diese Seite, sondern der Signaturbereich Ihres PDF-Programms zuständig – die Anleitung steht auf PDF-Signatur prüfen. Was es mit den Signaturformaten und ihren Stufen auf sich hat, ordnet CAdES, PAdES, XAdES.

Prüfung starten: Datei oben auswählen

Wenn Sie eine Signatur prüfen wollen, wählen Sie die Datei über die Dateiauswahl oben aus: offnenp7s.de liest sie auf Ihrem Gerät, es wird nichts hochgeladen. Das kostenlose Konto liefert die Übersicht, die erste Seite als Vorschau und den Namen der Unterzeichner; das vollständige Dokument einschließlich Download ist kostenpflichtig. Bewahren Sie Signatur und Original zusammen auf – ein rechtliches Urteil ist diese Prüfung nicht.