Es ist 11:58, und die Ausschreibung endet um 12 Uhr. Eine Bid-Managerin in einer kleinen IT-Dienstleistungsfirma sieht zu, wie der Upload-Balken des Portals bei einer grossen Eingabe dem Ende entgegenkriecht. Um 12:01 ist er fertig. Die Bestätigungs-E-Mail des Portals trägt 12:03. Sie öffnet ein Suchfeld und tippt "Eingangsnachweis Ausschreibung Frist Zeitstempel", denn sie kann sich die Frage der Vergabestelle schon vorstellen: Wann genau ging diese Datei ein, und war sie final?
Die kurze Antwort
Ein vertrauenswürdiger Zeitstempel auf Ihrer finalen Angebotsdatei kann beweisen, dass genau diese Datei zu einem bestimmten Zeitpunkt unverändert existierte. Er kann nicht beweisen, dass das Portal sie empfangen hat, und er entscheidet nicht darüber, ob die Vergabestelle sie annimmt. Den Eingang bestimmen die Regeln der Ausschreibung selbst, und das heisst meist die Uhr des Portals. Verwenden Sie den Zeitstempel als unterstützenden Nachweis neben der Portalquittung, nie an deren Stelle.
Zwei Uhren, und nur eine entscheidet
Jede Ausschreibung hat eine offizielle Uhr, meist die des Einreichungsportals oder des Systems der Vergabestelle. Ihre Ausschreibungsunterlagen sagen, welche zählt und was mit einer Eingabe geschieht, die eine Minute zu spät eintrifft. Lesen Sie diese Klausel vor der Fristwoche, nicht währenddessen, und fragen Sie die Vergabestelle schriftlich nach, wenn sie unklar ist. Nichts, was Sie auf Ihrer Seite besitzen, setzt sie ausser Kraft.
Die zweite Uhr ist Ihre: der Zeitpunkt, zu dem Sie nachweisen können, dass die finale Datei vollständig war. Diese Uhr zählt, wenn dazwischen etwas schiefgeht, etwa ein langsamer Upload, ein Portalfehler, eine strittige Fassung oder die Behauptung, Sie hätten das Dokument nach der Frist geändert.
Was ein Zeitstempel auf Ihrer Datei zeigt
Ein Zeitstempel nach RFC 3161 ist ein Dienst einer Time Stamping Authority, der Nachweise dafür stützt, dass ein Datum vor einem bestimmten Zeitpunkt existierte. Nur ein Fingerabdruck Ihrer Datei, ein Hash, geht an die Stelle. Dieser Hash wird an ein Datum und eine Uhrzeit gebunden und von dieser dritten Partei signiert, die Zeit beruht also nicht auf der Uhr Ihres eigenen Computers.
In der EU besagt Artikel 41 Absatz 2 der eIDAS-Verordnung, dass ein qualifizierter elektronischer Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der Daten geniesst, mit denen sie verbunden sind. Dieser Satz betrifft das Datum, die Uhrzeit und die Daten. Von Empfang, Zustellung oder Annahme ist darin keine Rede.
Auf Swiss Trust Layer beschreibt die Seite So funktioniert es dieselben Bestandteile in einem gesiegelten Dokument: einen kryptografischen Hash der Datei, einen RFC 3161-Zeitstempel und eine Zertifikatskette, die zu Swisscom Trust Services zurückführt. Die Originaldatei wird nie verändert, und zum Siegeln geht nur der Hash hinaus. Jede Person kann den öffentlichen Verifizierungslink ohne Konto öffnen, und der Validator prüft ein hochgeladenes signiertes PDF auf Signatur, Zertifikat und Integrität des Zeitstempels.
Was er nicht zeigt
Er zeigt nicht, dass das Portal Ihre Datei empfangen hat. Er zeigt nicht, dass Sie nach dem Massstab der Vergabestelle innerhalb der Frist lagen. Er zeigt nicht, dass das Angebot konform ist, und nicht, wer es verfasst hat. Ändern Sie nach dem Siegeln ein einziges Byte, stimmt der Hash nicht mehr, die gesiegelte und die hochgeladene Fassung müssen also dieselbe Datei sein.
Er sagt auch nichts über die Minuten vor dem Stempel. Der Stempel hält die Datei ab dem Zeitpunkt ihrer Erstellung fest. Wie die Datei früher aussah, sagt er nicht.
Ein Ablauf für die letzte Stunde
Behandeln Sie das Siegeln als einen Schritt zwischen "final" und "Upload".
- Paket sperren. Das finale PDF oder die ZIP-Datei exportieren und nicht mehr bearbeiten.
- Genau diese Datei siegeln und die gesiegelte Kopie samt Verifizierungslink speichern.
- Dieselbe Datei hochladen, keine neu exportierte.
- Die Quittung des Portals, einen Screenshot der Bestätigungsseite und die Bestätigungs-E-Mail mit ihren Headern speichern.
- Die Portalzeit und Ihre lokale Zeit notieren, mit der Differenz zwischen beiden.
Beginnt ein Streit, halten Sie zwei unabhängige Nachweise in der Hand: die Quittung des Portals für den Zeitpunkt des Eingangs und einen Zeitstempel einer dritten Partei dafür, was die Datei war und dass sie bereit war. Bei einer Beschwerde wegen verspäteten Uploads können Sie mit dem zweiten Nachweis zeigen, dass das Dokument lange vor 12 Uhr vollständig war und die Verzögerung bei der Übertragung lag. Ob die Vergabestelle dieses Argument akzeptiert, bestimmen weiterhin die Regeln der Ausschreibung.
Zurück zu 11:58
Unsere Bid-Managerin hätte die finale Datei um 09:30 gesiegelt, sobald das Paket fertig war und nicht erst in den letzten Minuten. Um 12:03, mit der Bestätigungs-E-Mail in der Hand und einer Vergabestelle, die nach der Lücke von drei Minuten fragt, könnte sie auf einen Verifizierungslink verweisen, der zeigt, dass die hochgeladene Datei mit einer um 09:30 mit Zeitstempel versehenen Datei übereinstimmte. Das würde den Upload nicht rechtzeitig machen. Es würde zeigen, dass die Eingabe fertig, unverändert und bereit war und die langsamen Minuten an der Verbindung lagen. Das ist eine festere Position als ein Screenshot allein.
Vor Ihrer nächsten Frist: Siegeln Sie Ihre finale Angebotsdatei auf Swiss Trust Layer und bewahren Sie den Verifizierungslink bei der Portalquittung auf.
