Eine Treuhänderin in Zug öffnet einen Kundenordner aus dem Jahr 2026: einen signierten Aktienkaufvertrag und das Zertifikat, das dazu geliefert wurde. Es ist 2036, die Gegenseite verlangt den Nachweis, dass der Vertrag genau in dieser Form vor einem umstrittenen Verwaltungsratsbeschluss bestand, und das Zertifikat, mit dem das PDF signiert wurde, ist seit Jahren abgelaufen. Ob die Signatur noch geprüft werden kann, hängt davon ab, was am Tag der Versiegelung in das Dokument eingebettet wurde.
Warum eine Signatur nicht mehr prüfbar sein kann
Eine kryptografische Signatur wird gegen ein Zertifikat geprüft, und Zertifikate haben ein Enddatum. Ist das Signaturzertifikat abgelaufen, kann ein PDF-Reader, der die Zertifikatskette und den Sperrstatus aus dem Internet laden muss, feststellen, dass diese Dienste nicht mehr antworten. Die Signatur war gültig, als sie erstellt wurde. Verschwunden ist das Material, mit dem sich das belegen lässt.
Dahinter sitzt ein zweites, langsameres Problem. Über sehr lange Zeiträume kann ein kryptografischer Algorithmus altern, und eine Signatur mit einem gealterten Algorithmus lässt sich leichter anfechten als eine frische.
Die Langzeitvalidierung beantwortet beide Probleme im Voraus, indem sie die Beweismittel in das Dokument packt, solange sie noch verfügbar sind.
Die vier Stufen der Norm
Die europäische Norm für PDF-Signaturen, ETSI EN 319 142-1, legt in Klausel 6 vier Basisstufen fest.
B-B ist die Signatur selbst, mit den Attributen, die im Moment der Erstellung signiert wurden.
B-T ergänzt ein vertrauenswürdiges Token, das belegt, dass die Signatur zu einem bestimmten Datum und Zeitpunkt existierte.
B-LT ergänzt das gesamte Material, das zur Validierung der Signatur nötig ist, direkt im Dokument: die Zertifikate und die Sperrinformationen. Zehn Jahre später muss niemand mehr etwas von einem Server laden, der vielleicht längst abgeschaltet ist.
B-LTA ergänzt weitere elektronische Zeitstempel, die eine Validierung lange nach der Erstellung erlauben. Die Anmerkungen der Norm sagen, dass die Stufen B-LT und B-LTA dort angebracht sind, wo die Gültigkeit nach Ablauf oder Sperrung des Zertifikats oder nach dem Veralten des Algorithmus erhalten bleiben muss, und dass B-LTA helfen kann, eine Signatur über die Schwäche der verwendeten Algorithmen oder den Ablauf der Validierungsdaten hinaus zu prüfen.
Einfach gesagt: B-LT bewahrt die Beweismittel in der Datei. B-LTA stempelt die Beweismittel immer wieder neu, damit sie selbst nicht veralten.
Was ein versiegeltes Dokument heute enthält
Das ist, was Swiss Trust Layer erzeugt, abgelesen aus dem Signaturcode und nicht aus einer Broschüre.
Wenn Sie einen Ordner versiegeln, wird von jedem Dokument ein kryptografischer Fingerabdruck berechnet, und dieser Fingerabdruck, nicht die Datei, geht an Swisscom Trust Services, den qualifizierten Vertrauensdiensteanbieter. Swisscom signiert ihn mit einem Schlüssel, der seine Hardware nie verlässt. Die Signatur enthält bereits einen RFC 3161 Zeitstempel von Swisscom und wird in das PDF zurück eingebettet. Die Originaldatei wird nicht verändert.
Nach dem Signieren werden die Zertifikate und die Sperrinformationen, die zur Validierung der Signatur nötig sind, in den Document Security Store des PDF eingebettet. Ein PDF-Reader zeigt die Signatur als LTV-enabled an. In den Begriffen der Norm entspricht das der Stufe B-LT.
Das Produkt setzt keinen separaten Archivzeitstempel obendrauf, es ist heute also nicht B-LTA. Was das in der Praxis bedeutet: Der Ablauf des Signaturzertifikats ist abgedeckt, weil der Beleg, dass es zum Signaturzeitpunkt gültig war, in der Datei mitreist. Das langsame Altern kryptografischer Algorithmen über sehr lange Zeiträume ist das, wofür Archivzeitstempel existieren, und das Siegel allein deckt es nicht ab. Die Checkliste unten zeigt, wie Sie selbst einen frischen datierten Nachweis auf dieselbe Datei setzen.
Was der Zeitstempel beweist
Ein qualifizierter Zeitstempel beweist, dass genau diese Datei zu diesem Zeitpunkt existierte und seither nicht verändert wurde. Er beweist nicht, wer die Datei geschrieben hat. Er sagt nichts darüber, ob der Inhalt wahr ist oder wem die Rechte gehören. Nach Artikel 41 Absatz 2 der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der Daten, mit denen Datum und Uhrzeit verbunden sind. Artikel 41 Absatz 1 ergänzt, dass einem Zeitstempel die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil er elektronisch oder nicht qualifiziert ist.
Die Zehn-Jahres-Checkliste
Nichts davon funktioniert, wenn die Datei selbst verloren geht oder verändert wird. Ein Fingerabdruck passt zu den exakten Bytes und zu nichts anderem.
- Bewahren Sie das versiegelte PDF und sein Zertifikat unverändert an zwei Orten auf. Keine neu gespeicherte Kopie, und keine Version mit einem hinzugefügten Kommentar.
- Prüfen Sie es einmal im Jahr und nach jeder Migration. Laden Sie das versiegelte PDF in den öffentlichen Validator. Er nimmt ein signiertes PDF ohne Konto entgegen, prüft die Signaturkette, die ausstellende Zertifizierungsstelle, den Zertifikatsablauf und die Integrität des Zeitstempels und sagt Ihnen, ob der Inhalt nach dem Signieren verändert wurde. Er speichert das Dokument nicht. Für Schweizer Geschäftsunterlagen verlangt die Geschäftsbücherverordnung (GeBüV) in Artikel 10 bereits, dass gespeicherte Datenträger regelmässig auf Integrität und Lesbarkeit geprüft werden und jede Migration protokolliert wird. Ein jährlicher Lauf durch den Validator ist ein einfacher Weg, diesen Protokolleintrag zu erzeugen.
- Schreiben Sie zu jeder Version eine Notiz; das Portal erlaubt Ihnen, an jede Version eine anzuhängen. Ein Jahrzehnt später ist «gegengezeichnete Fassung, versiegelt vor der Generalversammlung 2026» mehr wert als ein Dateiname.
- Wenn Sie einen frischen datierten Nachweis brauchen, versiegeln Sie eine Kopie erneut als neue Version. Die neue Version erhält einen neuen Zeitstempel von diesem Tag und ein eigenes Zertifikat. Der alte Zeitstempel bleibt gültig, wie er war, und an einer ausgestellten Version wird nichts umgeschrieben.
Ein Schritt diese Woche
Nehmen Sie das eine Dokument, das Sie 2036 am wenigsten gern erklären möchten, vielleicht einen Aktienkaufvertrag oder ein Manuskript, und lassen Sie es heute durch den Validator laufen. Wurde es nie versiegelt, versiegeln Sie es jetzt. Ein Zeitstempel lässt sich nicht rückwirkend setzen, und ein Siegel von dieser Woche ist das älteste Datum, das Sie dafür je vorweisen können.
Versiegeln Sie Ihr erstes Dokument auf Swiss Trust Layer oder lesen Sie den vollständigen Mechanismus unter So funktioniert es.
