Auch ein signiertes PDF kann gefälscht sein
Eine digitale Signatur wirkt wie das Ende der Diskussion. Der Reader zeigt ein grünes Häkchen, das Feld meldet „signiert“, und das Dokument scheint erledigt. Bei einem Kontoauszug oder einer Rechnung, von der ein Kredit oder ein Mietvertrag abhängt, lohnt es sich, diese Gewissheit zu hinterfragen — denn eine gültige Signatur beantwortet eine engere Frage, als die meisten annehmen.
Was eine gültige Signatur tatsächlich beweist
Eine echte kryptografische Signatur beweist zwei reale Dinge: dass sich die Datei seit dem Signieren um kein einziges Byte verändert hat und — wenn Sie das Zertifikat prüfen — wer den Schlüssel besaß, mit dem signiert wurde. Das ist ein starker Nachweis, deutlich besser als ein Dokument ganz ohne Signatur. Doch beachten Sie, was auf dieser Liste fehlt: Sie beweist für sich genommen weder, dass der Unterzeichner Ihre Bank ist, noch dass das, was Sie auf der Seite sehen, dem entspricht, was der Unterzeichner freigegeben hat.
Drei Dinge, die ein grünes Häkchen nicht verrät
- Signiert heißt nicht von der Bank signiert. Das Häkchen bestätigt, dass die Datei signiert wurde; das Zertifikat sagt, von wem. Eine gültige Signatur aus einem persönlichen Zertifikat, von einem beliebigen Anbieter oder einer fremden Firma ist ebenso gültig — und trotzdem nicht Ihre Bank. Die Organisation des Unterzeichners ist das entscheidende Feld, und genau dieses überspringen die meisten.
- Ein Bild einer Signatur ist keine Signatur. Eine eingefügte Grafik „digital signiert“, ein eingescanntes Gekritzel oder ein Logo mit der Aufschrift „verifiziert“ trägt keinerlei Kryptografie. Ist das Signaturfeld des Readers leer, gibt es nichts zu prüfen — nur ein Bild, das wie ein Beweis aussehen soll.
- Der Unterzeichner hat vielleicht nicht gesehen, was Sie sehen. Mit völlig legitimen PDF-Funktionen lässt sich Inhalt unter der Signatur verbergen oder nachträglich austauschen, sodass die Seite anders erscheint, während die Signatur gültig bleibt (Forschende nennen das Schattenangriffe). Ein grünes Häkchen bestätigt die Unversehrtheit seit dem Signieren — nicht, dass die sichtbaren Beträge die freigegebenen sind.
So prüfen Sie eine Signatur richtig
- Öffnen Sie das Signaturfeld (in Adobe Acrobat Reader, Foxit und den meisten Readern). Gibt es kein Feld, ist die „Signatur“ nur ein Bild.
- Prüfen Sie, ob der Status gültig ist und das Dokument seit dem Signieren nicht verändert wurde.
- Öffnen Sie das Zertifikat und lesen Sie den Unterzeichner: Stimmt die Organisation mit der Bank oder dem Aussteller überein, von dem das Dokument stammen soll — und nicht nur mit einem plausibel klingenden Namen?
- Vergleichen Sie das Datum der Signatur mit den Datumsangaben des Dokuments selbst.
Wie das in Europa aussieht
Nach den eIDAS-Regeln der EU hat die qualifizierte elektronische Signatur (QES) das höchste rechtliche Gewicht, ausgestellt über zertifizierte Vertrauensdiensteanbieter, und viele Banken signieren ihre Auszüge standardmäßig — in manchen Märkten ist ein unsignierter Auszug daher schon ungewöhnlich. Doch „qualifiziert“ bedeutet weiterhin Unversehrtheit plus benannter Unterzeichner; die Frage, ob dieser Unterzeichner die Bank ist, hebt es nicht auf. Und manche nationalen Verfahren erzeugen einen Sonderfall: Eine Signatur kann völlig echt sein und in Standard-Readern dennoch als nicht prüfbar erscheinen, weil ihre Validierung ein nationales Werkzeug erfordert. Nicht prüfbar ist nicht dasselbe wie gefälscht — aber auch kein Beweis.