Du bekommst einen unterschriebenen Vertrag als PDF per E-Mail. Die Unterschrift ist sichtbar, der Name stimmt und auf den ersten Blick sieht alles korrekt aus. Aber lässt sich tatsächlich nachweisen, wer unterschrieben hat und ob das Dokument nachträglich verändert wurde?
Genau hier lohnt sich ein genauer Blick. Denn drei äußerlich ähnliche PDFs können technisch völlig unterschiedliche Sicherheitsmerkmale besitzen. Wir zeigen dir, woran du die Unterschiede erkennst und wie du eine digitale Signatur selbst überprüfst.
Drei PDFs, drei unterschiedliche Arten von Unterschriften
Nicht jede Unterschrift in einem PDF bietet dieselben Möglichkeiten zur Überprüfung. Entscheidend ist, wie sie erstellt wurde und welche technischen Nachweise das Dokument enthält. Die folgenden drei Beispiele zeigen, worauf es dabei ankommt.
PDF 1: Eine eingefügte Unterschrift als Bild
Jemand unterschreibt auf Papier, fotografiert seine Unterschrift und fügt das Bild in ein PDF ein. Das Ergebnis sieht offiziell aus. Technisch ist die Unterschrift aber zunächst nur ein grafisches Element.
Ob das Dokument anschließend verändert wurde, lässt sich anhand dieses Bildes nicht feststellen. Auch die Identität des Unterzeichners wird dadurch nicht zuverlässig nachgewiesen.
PDF 2: Eine digitale Signatur mit Zertifikat
Anders funktioniert eine kryptografische PDF-Signatur. Sie verknüpft das Dokument mit einem digitalen Zertifikat. Dadurch kann ein PDF-Reader überprüfen, ob die signierten Inhalte nachträglich verändert wurden und welche Informationen zum Unterzeichner vorliegen.
Wichtig: Eine technisch gültige Signatur bedeutet nicht automatisch, dass die Identität des Unterzeichners zweifelsfrei feststeht. Dafür kommt es unter anderem darauf an, wer das Zertifikat ausgestellt hat und ob dieser Stelle vertraut werden kann.
PDF 3: Eine qualifizierte elektronische Signatur
Bei bestimmten Verträgen oder formbedürftigen Erklärungen können zusätzliche Anforderungen gelten. Eine qualifizierte elektronische signatur basiert auf einem qualifizierten Zertifikat und wird mit einer qualifizierten Signaturerstellungseinheit erzeugt. Die dafür notwendige Identitätsprüfung kann bei entsprechenden Anbietern auch aus der Ferne erfolgen.
Die qualifizierte elektronische Signatur ist nach der europäischen eIDAS-Verordnung einer handschriftlichen Unterschrift rechtlich gleichgestellt. Ob ein konkretes PDF tatsächlich eine solche Signatur enthält, muss allerdings gesondert geprüft werden.
PDF-Signatur in Adobe Acrobat Reader prüfen: So geht’s
Du brauchst dafür keine spezielle Unternehmenssoftware. Bereits der kostenlose Adobe Acrobat Reader bietet Funktionen zur Überprüfung digital signierter PDF-Dateien.
Signaturinformationen öffnen
- Öffne das erhaltene PDF in Adobe Acrobat Reader.
- Rufe das Signaturfenster auf. Je nach Programmversion findest du es über das Signatursymbol oder die entsprechende Seitenleiste.
- Wähle die vorhandene Signatur aus und öffne ihre Eigenschaften.
- Sieh dir die Zertifikatsdetails und den angezeigten Validierungsstatus an.
Findest du überhaupt keine digitalen Signaturinformationen, obwohl eine handschriftliche Unterschrift sichtbar ist, handelt es sich möglicherweise nur um eine eingefügte Grafik.
Was verraten Zertifikat und Prüfstatus?
Achte besonders auf drei Informationen:
- Dokumentintegrität: Wurden die signierten Inhalte nachträglich verändert?
- Zertifikat: Wer hat es ausgestellt, und kann die Vertrauenskette überprüft werden?
- Signaturzeitpunkt: Gibt es einen vertrauenswürdigen Zeitstempel oder lediglich eine vom Computer übernommene Zeitangabe?
Zeigt Acrobat eine unbekannte oder nicht überprüfbare Signatur an, ist das nicht automatisch ein Betrugsversuch. Möglicherweise fehlt ein vertrauenswürdiges Stammzertifikat oder die erforderlichen Validierungsinformationen sind nicht verfügbar.
Umgekehrt solltest du eine positive Statusmeldung nicht mit einer vollständigen rechtlichen Prüfung verwechseln.
Technisch gültig heißt nicht automatisch qualifiziert
Eine kryptografisch einwandfreie Signatur kann trotzdem keine qualifizierte elektronische Signatur sein. Dafür müssen zusätzliche Anforderungen erfüllt sein, insbesondere hinsichtlich des Zertifikats und der Signaturerstellung.
Die Erläuterungen der Europäischen Kommission beschreiben die unterschiedlichen Signaturniveaus und die Voraussetzungen für ihre Validierung.
Für dich als Empfänger bedeutet das: Prüfe nicht nur, ob Acrobat die Signatur als gültig anzeigt. Kläre bei wichtigen Dokumenten auch, welches Signaturniveau erforderlich ist und ob dieses tatsächlich nachgewiesen werden kann.
Fünf Punkte, die du vor dem Akzeptieren prüfen solltest
Bevor du einen digital unterschriebenen Vertrag weiterverarbeitest, hilft diese kurze Checkliste:
- Signaturtyp: Ist eine überprüfbare digitale Signatur vorhanden oder nur ein Bild?
- Integrität: Meldet das Prüfprogramm Änderungen am signierten Dokument?
- Zertifikat: Ist der Aussteller nachvollziehbar und die Vertrauenskette überprüfbar?
- Identität: Stimmen die verfügbaren Angaben zum Unterzeichner mit dem erwarteten Vertragspartner überein?
- Anforderungen: Reicht das vorhandene Signaturniveau für den konkreten Vorgang aus?
Bewahre anschließend möglichst die unveränderte, signierte Originaldatei auf. Ein Ausdruck oder Screenshot ersetzt nicht die darin enthaltenen digitalen Signaturinformationen. Weitere praktische Hinweise dazu findest du im Beitrag über das Digitalisieren und Archivieren von Dokumenten.
Fazit: Erst prüfen, dann vertrauen
Eine sichtbare Unterschrift macht ein PDF noch nicht technisch überprüfbar. Mit wenigen Klicks kannst du feststellen, ob eine digitale Signatur vorhanden ist, welche Zertifikatsinformationen sie enthält und ob Änderungen am Dokument erkennbar sind.
Bei wichtigen Verträgen lohnt sich zusätzlich die Prüfung des erforderlichen Signaturniveaus. Entscheidend ist nicht, wie echt eine Unterschrift aussieht, sondern welche Eigenschaften sich tatsächlich nachweisen lassen.
