PDF-Signaturen langfristig prüfen: LTV und Zeitstempel in Acrobat

Ein unterschriebener Vertrag wird nach drei Jahren aus dem Archiv angefordert. Acrobat zeigt zwar eine sichtbare Unterschrift im Dokument, meldet bei der Prüfung aber, dass der Zertifikatsstatus nicht mehr ermittelt werden kann. Das ist kein seltener Sonderfall: Zertifikate laufen ab, Sperrlisten ändern sich, Prüfserver sind nicht dauerhaft erreichbar. Wenn Verträge, Bescheide oder interne Freigaben über lange Zeit beweiskräftig bleiben sollen, muss dein Team die Prüfung schon beim Signieren und Ablegen mitdenken.

Eine elektronische Unterschrift kann zum Zeitpunkt der Signatur technisch gültig gewesen sein. Für eine spätere Prüfung reicht das allein jedoch nicht immer aus. Entscheidend ist, ob nachvollziehbar bleibt, wann signiert wurde, welches Zertifikat verwendet wurde und welchen Status dieses Zertifikat damals hatte. Genau hier kommen Zeitstempel, Zertifikatsketten und Langzeitvalidierung, kurz LTV, ins Spiel.

Infografik zu PDF-Signaturen langfristig prüfen: LTV und Zeitstempel in Acrobat (KI-generiert).

Was Langzeitvalidierung bei PDF-Signaturen bedeutet

Bei einer digitalen PDF-Signatur wird ein kryptografischer Prüfwert über den Dokumentinhalt gebildet. Die Signatur ist an das verwendete Zertifikat gebunden. Acrobat prüft dabei unter anderem:

• Wurde das PDF nach dem Signieren verändert?
• Ist die Identität des Unterzeichners über das Zertifikat nachvollziehbar?
• Führt die Zertifikatskette zu einer vertrauenswürdigen Stammzertifizierungsstelle?
• War das Zertifikat zum relevanten Zeitpunkt gültig?
• War es zu diesem Zeitpunkt gesperrt oder nicht gesperrt?

Die letzte Frage ist für archivierte Dokumente besonders wichtig. Informationen über gesperrte Zertifikate kommen meist über Zertifikatssperrlisten, CRL, oder Online-Abfragen, OCSP. Solche Informationen stehen nicht zwingend unbegrenzt bereit. Kann Acrobat Jahre später keinen Status mehr abrufen, ist die Signatur nicht automatisch unwirksam. Ihre technische Prüfung ist aber unter Umständen nicht mehr vollständig belegbar.

LTV bezeichnet deshalb ein Vorgehen, bei dem die für die spätere Prüfung notwendigen Validierungsdaten im PDF oder in einem nachvollziehbar verwalteten Umfeld verfügbar bleiben. Dazu gehören insbesondere die Zertifikatskette sowie Informationen zum Sperrstatus. Bei geeigneten PDF-Signaturen werden diese Daten im Dokument hinterlegt. In der PDF-Struktur wird dafür häufig ein Dokument-Sicherheitsspeicher verwendet.

Wichtig: LTV ist keine einzelne Schaltfläche, die jede Signatur pauschal für Jahrzehnte absichert. Es ist das Zusammenspiel aus geeigneter Signatur, verlässlichem Zeitstempel, gespeicherten Prüfungsdaten und einer kontrollierten Archivierung.

Warum ein Zeitstempel mehr ist als das Datum im PDF

Das im PDF angezeigte Erstell- oder Änderungsdatum ist kein belastbarer Nachweis für den Signaturzeitpunkt. Solche Metadaten lassen sich ändern und werden nicht wie eine digitale Signatur geschützt. Auch die Computeruhr der unterzeichnenden Person ist kein unabhängiger Nachweis.

Ein qualifizierter oder anderweitig vertrauenswürdiger elektronischer Zeitstempel wird dagegen von einem Zeitstempeldienst erstellt und kryptografisch mit dem Dokumentzustand verknüpft. Er belegt, dass die signierten Daten zu einem bestimmten Zeitpunkt bereits vorlagen.

Das ist etwa dann relevant, wenn das Signaturzertifikat später abläuft. Liegt ein prüfbarer Zeitstempel vor, kann Acrobat bewerten, ob das Zertifikat zum belegten Signaturzeitpunkt gültig war. Ohne belastbaren Zeitbezug bleibt häufig nur die Frage, ob das Zertifikat bei der heutigen Prüfung noch gültig ist. Das führt bei älteren Dokumenten unnötig zu Warnungen oder unklaren Prüfergebnissen.

Unterscheide dabei zwei Varianten:

Element	Zweck
Signaturzeitstempel	Belegt den Zeitpunkt, zu dem eine konkrete digitale Signatur erstellt wurde.
Dokumentzeitstempel	Versiegelt einen bestehenden PDF-Zustand zu einem späteren Zeitpunkt, etwa zur Erneuerung des Langzeitnachweises.

Für langfristige Nachweise kann ein späterer Dokumentzeitstempel sinnvoll sein. Das betrifft besonders lange Aufbewahrungszeiträume, in denen kryptografische Verfahren, Zertifikate oder Validierungsdaten altern. Ob und wann eine Erneuerung erforderlich ist, hängt von euren Vorgaben, der Dokumentart und dem eingesetzten Vertrauensdienst ab.

Zertifikatsketten richtig einordnen

Ein Signaturzertifikat steht selten für sich allein. In der Regel führt eine Kette vom Zertifikat der unterzeichnenden Person über ein oder mehrere Zwischenzertifikate bis zu einem Stammzertifikat. Acrobat muss diese Kette prüfen können.

Fehlt ein Zwischenzertifikat, ist ein Stammzertifikat nicht als vertrauenswürdig eingestuft oder kann der Sperrstatus nicht geprüft werden, erscheint möglicherweise ein Warnhinweis. Das bedeutet nicht zwangsläufig, dass jemand das Dokument manipuliert hat. Es zeigt aber, dass die technische Vertrauensprüfung nicht vollständig durchgeführt werden konnte.

Für Teams ist deshalb wichtig, nicht nur auf das grüne Häkchen oder die sichtbare Signaturzeile zu schauen. Öffne in Acrobat das Signaturfenster und lies die Details. Dort erkennst du je nach Signatur unter anderem:

• den Namen des Unterzeichners laut Zertifikat
• den Zeitpunkt der Signatur oder des Zeitstempels
• den Status der Dokumentintegrität
• Angaben zum Aussteller des Zertifikats
• Hinweise auf die Prüfung der Zertifikatskette
• Informationen zum Sperrstatus

Grundlagen zu Signaturzertifikaten und ihrer Funktion erläutern wir auch im Beitrag Digitale Signatur und Zertifikate verstehen. Er hilft dir dabei, typische Begriffe aus Acrobat sicher einzuordnen.

So prüfst du eine signierte PDF in Acrobat

Für die Einzelfallprüfung öffnest du die PDF in Acrobat und rufst das Signaturfenster auf. Je nach Acrobat-Version erscheint es direkt beim Öffnen oder über den Bereich für Signaturen und Zertifikate. Prüfe nicht nur die Kurzmeldung, sondern öffne die Signaturdetails.

Gehe in dieser Reihenfolge vor:

• Stelle fest, ob die Dokumentintegrität bestätigt wird. Acrobat darf keine nachträgliche, nicht erlaubte Änderung melden.
• Prüfe, ob Acrobat den Unterzeichner und die Zertifikatskette auswerten kann.
• Sieh nach, welcher Zeitpunkt für die Validierung verwendet wird. Ein vertrauenswürdiger Zeitstempel ist aussagekräftiger als die lokale Rechnerzeit.
• Prüfe Hinweise zum Zertifikatsstatus und zu Sperrinformationen.
• Kontrolliere, ob Validierungsdaten eingebettet sind oder bei der Prüfung online abgerufen werden mussten.
• Dokumentiere auffällige Warnungen und kläre sie vor der Archivierung.

Bei mehreren Unterschriften prüfst du jede Signatur einzeln. Eine spätere Signatur kann zulässige Änderungen am Dokument festhalten, während eine andere Signatur durch eine nachträgliche Bearbeitung ungültig geworden sein kann. Besonders bei Freigaben mit mehreren Rollen braucht ihr daher einen klaren Ablauf. Für interne Prüfprozesse können Genehmigungsstempel in Acrobat für PDF-Freigaben eine sinnvolle Ergänzung sein, ersetzen aber keine digitale Signatur mit Zertifikat.

LTV schon vor dem Signieren vorbereiten

Die spätere Prüfbarkeit beginnt vor dem Versand. Kläre zunächst, welche Dokumente tatsächlich langfristig nachweisbar sein müssen. Das können Verträge, verbindliche Erklärungen, Abnahmeprotokolle oder freigabepflichtige Unterlagen sein. Nicht jedes kommentierte PDF benötigt denselben Aufwand.

Lege anschließend für diese Dokumentklasse verbindlich fest:

• Welche Signaturart wird verwendet?
• Wer darf signieren und mit welchem Zertifikat?
• Welcher Zeitstempeldienst ist vorgesehen?
• Soll Acrobat Validierungsdaten in die PDF aufnehmen?
• Wo wird das signierte Original abgelegt?
• Wer prüft das Prüfergebnis vor der Archivierung?
• Wie werden Prüfprotokolle, Fehler und Erneuerungen dokumentiert?

In Acrobat findest du Einstellungen zur Signaturerstellung und Validierung in den Voreinstellungen. Die konkrete Bezeichnung kann je nach Version variieren. Achte dort insbesondere auf Optionen, die Sperrinformationen beim Signieren einbeziehen oder die Einbettung von Validierungsdaten unterstützen. Teste diese Einstellungen immer mit einer Probe-PDF und einem vollständigen Prüfablauf. Eine Einstellung allein garantiert nicht, dass der verwendete Signaturdienst alle erforderlichen Informationen bereitstellt.

Wenn du elektronische Unterschriften zunächst organisatorisch sauber aufsetzen möchtest, findest du praktische Hinweise in unserem Beitrag PDFs elektronisch unterschreiben. Für rechtlich oder organisatorisch besonders anspruchsvolle Fälle sollte zudem klar sein, welche Signaturstufe der jeweilige Vorgang erfordert.

Archivierung: Das signierte Original darf nicht ersetzt werden

Ein häufiger Fehler entsteht nach dem Signieren: Jemand öffnet die PDF, ergänzt eine Seite, komprimiert sie neu oder speichert sie unter gleichem Namen ab. Selbst geringfügige nachträgliche Änderungen können eine digitale Signatur beeinträchtigen. Das signierte Original gehört deshalb unverändert ins Archiv.

Lege zusätzlich fest, ob ihr eine lesbare Arbeitskopie benötigt. Diese darf für interne Zwecke erstellt werden, muss aber eindeutig als Kopie gekennzeichnet sein. Für den Nachweis bleibt die unveränderte signierte Datei maßgeblich.

Auch PDF/A kann bei der Archivierung eine Rolle spielen, beantwortet aber nicht automatisch die Frage der Signaturvalidierung. PDF/A regelt Anforderungen an die langfristige Reproduzierbarkeit von PDF-Inhalten. LTV betrifft dagegen den langfristigen Nachweis einer digitalen Signatur. Beide Themen können sich ergänzen. Details zur Archivierungsvariante findest du in PDF/A: Dokumente rechtssicher archivieren.

Vor der Ablage lohnt sich außerdem ein Blick auf Metadaten, Anhänge und Kommentare. Inhalte, die nicht weitergegeben oder archiviert werden sollen, müssen vor dem Signieren entfernt werden. Nachträgliches Bereinigen wäre eine Dokumentänderung. Lies dazu unseren Leitfaden PDF-Metadaten vor dem Versenden entfernen: Versteckte Informationen sicher prüfen.

Checkliste für dein Team

Bevor ein langfristig relevantes PDF archiviert wird, sollte diese Checkliste abgearbeitet sein:

• Das finale Dokument wurde vor dem Signieren fachlich freigegeben.
• Die verwendete Signaturart passt zum vorgesehenen Zweck.
• Ein vertrauenswürdiger Zeitstempel ist vorhanden, sofern ein belastbarer Zeitnachweis benötigt wird.
• Acrobat bestätigt die Integrität des Dokuments.
• Zertifikatskette und Sperrstatus sind ohne ungeklärte Warnungen geprüft.
• Verfügbare Validierungsdaten wurden im Dokument kontrolliert.
• Das signierte Original wird unverändert und zugriffsgeschützt abgelegt.
• Zuständigkeiten für erneute Prüfung und gegebenenfalls Zeitstempelerneuerung sind festgelegt.
• Die Prüfung und mögliche Auffälligkeiten sind nachvollziehbar dokumentiert.

Langzeitvalidierung ist keine Aufgabe nur für die IT. Fachabteilung, Verwaltung, Rechtsbereich und Archivverantwortliche müssen denselben Ablauf kennen. Wir üben in unseren Acrobat-Schulungen genau solche praktischen Prüfschritte mit realistischen Dokumentfällen, damit dein Team Warnmeldungen richtig bewertet und signierte PDFs sauber ablegt. Passende Seminare und Termine findest du bei uns auf cmt.de.