Wie bleibt ein elektronisch signiertes Dokument langfristig prüfbar?

Ein Signaturzertifikat läuft typischerweise nach ein bis drei Jahren ab — das signierte Dokument bleibt dennoch gültig, wenn die Signatur langzeitprüfbar (Long Term Validation, LTV) angelegt ist. Dabei werden Zertifikatskette, Sperrstatus und ein qualifizierter Zeitstempel nach Artikel 42 eIDAS dauerhaft in das Dokument eingebettet.

Maßgeblich ist der Signaturzeitpunkt, nicht der Prüfzeitpunkt. Der Zeitstempel beweist, dass die Signatur zu einem Zeitpunkt gesetzt wurde, an dem das Zertifikat gültig war. Ohne eingebettete Prüfinformationen kann ein Prüfprogramm Jahre später nicht mehr feststellen, ob das Zertifikat damals gültig oder bereits gesperrt war.

So wird Langzeitprüfbarkeit hergestellt:

• Signaturformat PAdES: Für PDF-Dokumente definiert PAdES (ETSI EN 319 142), wie Signatur, Zeitstempel und Prüfinformationen im Dokument abgelegt werden.
• Qualifizierter Zeitstempel: Ein Zeitstempel eines qualifizierten Anbieters bindet die Signatur an einen belegbaren Zeitpunkt und genießt nach Artikel 41 eIDAS die Vermutung der Richtigkeit.
• Eingebettete Sperrinformationen: Widerruflisten und OCSP-Antworten werden zum Signaturzeitpunkt mitgespeichert, sodass die Prüfung offline und zeitunabhängig funktioniert.
• Vollständige Zertifikatskette: Die gesamte Kette bis zum Wurzelzertifikat wird eingebettet, damit die Vertrauenskette ohne Onlinezugriff nachvollziehbar bleibt.
• Automatische Prüfung: Adobe Acrobat Reader zeigt ein grünes Häkchen und meldet, dass die Gültigkeit zum Signaturzeitpunkt nachgewiesen ist — ohne Konfiguration durch den Prüfenden.
• Erneuerung der Zeitstempel: Bei sehr langen Aufbewahrungsfristen werden Zeitstempel erneuert, bevor die eingesetzten kryptografischen Algorithmen als überholt gelten.

Was das für Ihr Archiv bedeutet:

• Aufbewahrungsfristen abbilden: Handels- und steuerrechtliche Fristen von sieben bis zehn Jahren überschreiten die Laufzeit jedes Signaturzertifikats deutlich.
• Qualifizierte Archivierung nach eIDAS 2.0: Die Änderungsverordnung (EU) 2024/1183 führt qualifizierte elektronische Archivierungsdienste als eigenen Vertrauensdienst ein.
• Anbieterunabhängigkeit: Weil PAdES offen standardisiert ist, bleiben korrekt erzeugte Dokumente auch nach einem Anbieterwechsel prüfbar.

primesign erzeugt PAdES-Signaturen mit LTV-Fähigkeit standardmäßig — sowohl über primesign ENTERPRISE als auch über den primesign SIGNATURE SERVER. Weil das Format offen standardisiert ist, bleiben die Dokumente auch unabhängig von primesign prüfbar; ein wichtiger Punkt für das Ausstiegsszenario in jedem Anbietervertrag.