Wie prüfen Sie, ob ein signiertes PDF echt und unverändert ist?

Um ein elektronisch signiertes PDF zu prüfen, öffnen Sie die Originaldatei (keinen Ausdruck, keine neu gespeicherte Kopie) in einer Software, die Signaturen validiert, und klären drei Fragen: Wurde das Dokument nach der Signatur verändert? Wer hat signiert, und stammt das Zertifikat von einem qualifizierten Vertrauensdiensteanbieter auf einer EU-Vertrauensliste? War das Zertifikat zum Zeitpunkt der Signatur gültig? Dafür eignen sich ein PDF-Reader, der die EU-Vertrauensliste kennt, die Referenzsoftware DSS der Europäischen Kommission oder ein qualifizierter Validierungsdienst. Das Ergebnis lautet nach dem europäischen Standard TOTAL-PASSED, TOTAL-FAILED oder INDETERMINATE.

Was eine Signaturprüfung beweist und was nicht

Eine fortgeschrittene Signatur ist so mit den Daten verbunden, „dass eine nachträgliche Veränderung der Daten erkannt werden kann“ (eIDAS Art. 26 Buchst. d). Die Prüfung zeigt also zuverlässig, ob der Inhalt seit dem Signieren derselbe ist und welchem Zertifikat die Signatur zuzuordnen ist.

Was sie nicht zeigt: ob die Angaben im Dokument stimmen und ob die Person die Firma vertreten durfte. Das Zertifikat nennt den Unterzeichner, eine natürliche Person (Art. 3 Nr. 9). Die Vertretungsbefugnis prüfen Sie wie bei Papier gesondert, etwa im Handelsregister.

Was bei einer qualifizierten Signatur geprüft wird

Für die qualifizierte elektronische Signatur legt eIDAS fest, wann die Validierung ihre Gültigkeit bestätigt (Art. 32 Abs. 1). Unter anderem muss

• das Zertifikat zum Zeitpunkt des Signierens ein qualifiziertes Zertifikat gewesen sein,
• es von einem qualifizierten Vertrauensdiensteanbieter ausgestellt worden und zum Zeitpunkt des Signierens gültig gewesen sein,
• die Signatur von einer qualifizierten Signaturerstellungseinheit erstellt worden sein,
• die Unversehrtheit der unterzeichneten Daten nicht beeinträchtigt sein.

Das System, das Sie dafür verwenden, muss Ihnen das korrekte Ergebnis liefern und etwaige Sicherheitsprobleme erkennbar machen (Art. 32 Abs. 2). Die Prüfung hat auch vor Gericht Gewicht: Der Anschein der Echtheit, der sich aus der Prüfung nach Art. 32 ergibt, kann nur durch Tatsachen erschüttert werden, die ernstliche Zweifel begründen (§ 371a Abs. 1 ZPO).

PAdES: das Format hinter signierten PDFs

Der europäische Standard für Signaturen in PDF-Dateien heißt PAdES (ETSI EN 319 142-1). Er beschreibt vier Stufen, von der einfachen Signatur (B-B) über die Signatur mit Zeitstempel (B-T) bis zu Signaturen mit eingebetteten Prüfdaten für die Langzeitvalidierung (B-LT und B-LTA). Für die Prüfung heute genügt jede Stufe; ob eine Signatur auch in vielen Jahren noch prüfbar bleibt, hängt von den höheren Stufen ab. Mehr dazu in unserem Beitrag über Zeitstempel und Langzeitvalidierung.

Schritt für Schritt im PDF-Reader

1. Original speichern. Speichern Sie den E-Mail-Anhang oder Download auf Ihrem Rechner. Eine Kopie über „Drucken als PDF“ enthält keine Signatur mehr, und nicht jeder Browser-Viewer prüft Signaturen.
2. In einem Reader mit Signaturprüfung öffnen. Öffnen Sie den Signaturbereich und klappen Sie jede Signatur einzeln auf. Gibt es mehrere Signaturen, prüfen Sie jede.
3. Zertifikat ansehen. In den Signatureigenschaften finden Sie das Zertifikat des Unterzeichners und den Aussteller („Ausgestellt von“). Ein qualifiziertes Zertifikat enthält eine maschinenlesbare Angabe, dass es als qualifiziertes Zertifikat ausgestellt wurde, und den Namen des Anbieters mit seinem Mitgliedstaat (eIDAS Anhang I Buchst. a und b).
4. Aussteller mit der Vertrauensliste abgleichen. Jeder Mitgliedstaat veröffentlicht seine qualifizierten Anbieter in einer Vertrauensliste (Art. 22). Suchen Sie den Aussteller im EU/EEA Trusted List Browser der Kommission.

Den letzten Schritt kann Ihnen die Software abnehmen. Adobe hat die EU-Vertrauensliste 2015 in Acrobat und Acrobat Reader integriert, damit Signaturen auf Grundlage europäischer qualifizierter Zertifikate automatisch validiert werden; Download und automatische Aktualisierung der Liste steuern Sie über eine eigene Benutzereinstellung. Kennt Ihr Reader den Aussteller nicht, kann er die Signatur nicht als vertrauenswürdig einstufen, auch wenn das Dokument unverändert ist.

Die drei möglichen Ergebnisse

Der europäische Standard für die Signaturvalidierung (ETSI EN 319 102-1) kennt drei Hauptergebnisse. Prüfberichte nach diesem Standard verwenden diese Bezeichnungen; PDF-Reader zeigen das Ergebnis meist als Symbol mit Text.

Ein Sonderfall sind Änderungen nach der Signatur, die zulässig sein können: eine zweite Signatur, ausgefüllte Formularfelder oder später eingefügte Prüfdaten. Lassen Sie sich in diesem Fall, wenn Ihr Reader das anbietet, die signierte Fassung anzeigen und vergleichen Sie sie mit der aktuellen.

DSS: die Prüfsoftware der Europäischen Kommission

DSS (Digital Signature Service) ist eine quelloffene Bibliothek zum Erstellen und Validieren elektronischer Signaturen, bereitgestellt von der Europäischen Kommission unter der Lizenz LGPL 2.1. Sie unterstützt PAdES, XAdES, CAdES und ASiC. Die Kommission betreibt dazu eine Demo-Anwendung, in der Sie eine signierte Datei hochladen und validieren lassen können, wahlweise auch mit Blick auf Langzeit- und Archivdaten.

Beachten Sie die Hinweise der Kommission: Die hochgeladenen Dateien werden an ihre Infrastruktur übertragen, die Demo soll nur zu Testzwecken genutzt werden, und die Kommission will damit ausdrücklich keinen Validierungsdienst anbieten. Laden Sie vertrauliche Verträge dort deshalb nicht hoch.

Qualifizierte Validierungsdienste

Wenn Sie ein Prüfergebnis mit rechtlicher Bestätigung brauchen, gibt es qualifizierte Validierungsdienste. Sie validieren nach Art. 32 Abs. 1 und bestätigen das Ergebnis mit der fortgeschrittenen Signatur oder dem Siegel des Anbieters (Art. 33 Abs. 1). Laut Bundesnetzagentur gibt es in Deutschland mit Stand 29. September 2026 noch keinen qualifizierten Anbieter. Ein qualifizierter Validierungsdienst aus einem anderen Mitgliedstaat wird jedoch in allen Mitgliedstaaten als qualifiziert anerkannt (Art. 24a Abs. 4).

Signaturen aus Ländern außerhalb der EU

Zertifikate aus Drittstaaten gelten nur dann als qualifiziert, wenn sie durch Durchführungsrechtsakt oder ein Abkommen der EU anerkannt sind (Art. 14). Erhalten Sie etwa ein Dokument, das mit einem türkischen qualifizierten Zertifikat signiert ist, zeigt eine EU-Prüfung es deshalb nicht als qualifiziert an; eine solche Anerkennung haben wir nicht gefunden. Als elektronische Signatur darf es trotzdem nicht allein wegen seiner elektronischen Form abgelehnt werden (Art. 25 Abs. 1).

Bei Dokumenten aus Collobr

Auf PDFs, die in Collobr signiert werden, stehen ein Prüfcode und ein QR-Code. Unter docs.collobr.com sieht jeder, der den Code öffnet, das Original, den Unterzeichner, den Signaturzeitpunkt und ob das Dokument seit der Signatur verändert wurde; die eigene Datei lässt sich Byte für Byte mit dem Original vergleichen. Zu jeder Signatur zeigt die Seite den Status nach der EU-Vertrauensliste, geprüft mit der DSS-Bibliothek der Kommission. Die Seite gibt es auf Deutsch, Englisch, Französisch und Türkisch.

Kurze Checkliste

• Prüfe ich die Originaldatei und nicht einen Ausdruck oder eine neu gespeicherte Kopie?
• Ist das Dokument seit der Signatur unverändert?
• Ist der Unterzeichner die erwartete Person, und darf er die Firma vertreten?
• Steht der Aussteller auf einer EU-Vertrauensliste, und ist das Zertifikat qualifiziert?
• War das Zertifikat beim Signieren gültig, und trägt die Signatur einen Zeitstempel?

Ob das Dokument überhaupt elektronisch signiert werden durfte, ist eine eigene Frage: Eine Kündigung im Arbeitsverhältnis oder eine private Bürgschaft ist in elektronischer Form unwirksam. Details finden Sie im Beitrag darüber, wann die E-Signatur genügt, und in unserem E-Signatur-Leitfaden. Wie Sie selbst eine qualifizierte Signatur erhalten, erklärt der Beitrag Welche E-Signatur brauchen Sie?.