Eine Signatur beantwortet eine Frage: wer. Ein qualifizierter Zeitstempel beantwortet eine andere: wann. Die meisten Streitfälle um Urheberschaft, KI-Offenlegung oder darüber, wer etwas zuerst geschaffen hat, hängen weit stärker an der zweiten Frage als an der ersten, und deshalb wiegt ein Zeitstempel meist mehr, als man zunächst denkt.
Was ein qualifizierter elektronischer Zeitstempel wirklich ist
Ein Zeitstempel speichert nicht Ihre Datei. Er speichert einen kryptografischen Hash Ihrer Datei, einen Fingerabdruck fester Länge, abgeleitet aus den Bytes selbst, und bindet diesen Fingerabdruck mittels der Signatur eines vertrauenswürdigen Dritten an einen bestimmten Zeitpunkt. Der Mechanismus, den die meisten Systeme dafür verwenden, ist in RFC 3161 beschrieben, dem Time-Stamp-Protokoll, das festlegt, wie eine Zeitstempelstelle einen Hash empfängt, die aktuelle Zeit anfügt und ein signiertes Token zurückgibt, das später von jedem geprüft werden kann, ohne die Stelle erneut zu kontaktieren.
Nach der EU-Verordnung eIDAS wird ein Zeitstempel erst dann qualifiziert, wenn er von einem qualifizierten Vertrauensdiensteanbieter ausgestellt wird, der unter festgelegten Aufsichts- und Prüfanforderungen arbeitet. Artikel 41 dieser Verordnung gewährt einem qualifizierten elektronischen Zeitstempel eine gesetzliche Vermutung hinsichtlich des angegebenen Datums und der Uhrzeit sowie der Integrität der damit verbundenen Daten. Genau diese Vermutung ist der Sinn der Sache. Ein Datum in Ihrem eigenen Dateisystem, Ihrer eigenen Cloud oder Ihrem eigenen Projektwerkzeug ist ein Datum, das Sie selbst erzeugt haben, und ein Datum, das Sie rechtfertigen müssen. Ein qualifizierter Zeitstempel ist ein Datum, das ein lizenzierter Dritter erzeugt hat, nach Regeln, die die Verordnung setzt und nicht Sie selbst.
Warum das Wann die meisten Streitfälle entscheidet
Nehmen wir einen typischen Streit um Urheberschaft. Beide Seiten behaupten, etwas zuerst geschaffen zu haben, oder eine Seite wirft der anderen vor, kopiert zu haben. Die Identität des Urhebers ist selten die strittige Tatsache, meist sind sich beide Seiten einig, wer welche Fassung erstellt hat. Gestritten wird über die Reihenfolge: welche Fassung zuerst existierte und wann welche Seite tatsächlich Zugang zum fraglichen Material hatte.
Dasselbe Muster zeigt sich bei der KI-Offenlegung. Ob ein Text KI-erzeugt, KI-unterstützt oder von einer Person verfasst wurde, ist eine Behauptung, die Sie zum Zeitpunkt der Veröffentlichung aufstellen. Was diese Behauptung später überprüfbar macht, ist nicht die Kennzeichnung selbst, sondern der Nachweis, wann sie angebracht wurde, denn eine Kennzeichnung, die erst hinzugefügt wird, nachdem jemand bereits eine Frage gestellt hat, ist kaum etwas wert.
Bei Auftragsarbeiten gilt dieselbe Logik. Ein Freelancer und ein Kunde sind sich uneinig, welcher Entwurf an welchem Datum geliefert wurde, oder ob eine Änderungsanfrage vor oder nach einem Meilenstein kam. Nichts davon hängt davon ab, wer das Dokument verfasst hat. Alles davon hängt von einem Zeitverlauf ab, den keine Seite allein kontrolliert.
Was die Nachweise, die Sie schon haben, Ihnen nicht geben
Die meisten Teams gehen davon aus, das bereits abgedeckt zu haben. Eine E-Mail mit Datum, das Änderungsdatum einer Datei, ein Commit-Verlauf in einem Code-Repository, ein Speicherdatum in einer Cloud. Jedes davon trägt ein Datum, und jedes davon wird von genau der Partei gehalten, gespeichert und bearbeitet, die die Behauptung aufstellt. Das Änderungsdatum einer Datei ändert sich, sobald die Datei kopiert oder auf einem neuen Rechner erneut geöffnet wird. Ein E-Mail-Datum lässt sich gegen ein Server-Protokoll prüfen, doch der Server gehört dem jeweiligen Anbieter, und das Protokoll ist selten etwas, das eine Gegenseite direkt einsehen kann. Keiner dieser Nachweise wurde dafür gebaut, einer Prüfung durch jemanden mit Grund zum Zweifel standzuhalten, denn keiner trennt das Datum von der Person, die es behauptet.
Ein qualifizierter Zeitstempel ist genau dafür gebaut, diese Lücke zu schliessen. Das Datum stammt von einer Partei ohne eigenes Interesse am Ausgang eines möglichen Streits, die unter gesetzlich festgelegten Aufsichts- und Prüfanforderungen arbeitet, und der Nachweis lässt sich von einer fremden Person prüfen, ganz ohne Ihre Mitwirkung.
Wie sich das von einer Signatur unterscheidet
Eine Signatur, ob qualifiziert oder nicht, ist ein Akt von Identität und Zustimmung. Sie besagt, dass eine bestimmte Person ein bestimmtes Dokument geprüft und ihm zugestimmt hat. Swisscom Trust Services agiert als akkreditierter Zertifizierungsdiensteanbieter nach dem Schweizer ZertES, und eine so ausgestellte Signatur sagt einer lesenden Person, wer hinter dem Dokument steht.
Ein Zeitstempel sagt Ihnen nicht, wer. Er verlangt keine Identitätsprüfung der anfragenden Person und macht keine Aussage über Zustimmung oder Einverständnis. Was er Ihnen sagt, ist, dass ein bestimmter Hash, also genau eine Datei, spätestens zu einem bestimmten Zeitpunkt existierte, bezeugt von einer unabhängigen Partei ohne eigenes Interesse am Streit. Die beiden Mechanismen beantworten unterschiedliche Fragen, und ein vollständiger Nachweis braucht oft beide: eine Signatur dafür, wer hinter dem Inhalt steht, einen Zeitstempel dafür, wann dieser Inhalt in genau dieser Form existierte.
Das ist auch der Grund, warum ein Zeitstempel etwas leisten kann, was eine Signatur nicht kann. Sie können einen Entwurf mit Zeitstempel versehen, den noch niemand unterschrieben hat, ein internes Dokument, das nie eine formale Signatur tragen wird, oder einen KI-unterstützten Text, bei dem es nicht um Zustimmung, sondern um Chronologie geht. Er ist das leichtere Werkzeug und das, welches auf mehr Situationen passt, was mit erklärt, warum er seltener genutzt wird, als er tatsächlich helfen würde.
Was die gesetzliche Vermutung in der Praxis wert ist
Es lohnt sich, genau zu sein, was die eIDAS-Vermutung tut und was nicht. Sie verschiebt die Ausgangslage: Ein qualifizierter Zeitstempel gilt hinsichtlich Datum, Uhrzeit und Datenintegrität als richtig vermutet, sodass die Partei, die ihn bestreitet, die Beweislast trägt, statt dass die Partei, die sich darauf stützt, die Richtigkeit von Grund auf beweisen müsste. Sie zwingt kein Gericht dazu, jedes darauf aufgebaute Argument zu akzeptieren, und sie ersetzt keine anderen Beweise, die ein Fall sonst noch braucht. Was sie beseitigt, ist das schwächste Glied der meisten selbst erstellten Nachweise: ein Datum, das von genau der Partei stammt, die es behauptet.
Das ist auch die praktische Probe, ob ein bestimmtes Datum in einem Streit überhaupt etwas wert ist. Ein Datumsfeld, das Sie bearbeiten können, ist kein Beweis, sondern eine Behauptung. Ein Datum, das von einem qualifizierten Vertrauensdiensteanbieter nach eIDAS bezeugt wird und von einer fremden Person ohne Kontakt zu Ihnen geprüft werden kann, ist etwas anderes. Unsere Seite zu eIDAS geht darauf ein, wie diese Qualifikation bei Swiss Trust Layer konkret funktioniert, einschliesslich welcher Anbieter den Zeitstempel ausstellt und was eine empfangende Person bei der Prüfung sieht.
Wie eine empfangende Person das tatsächlich prüft
Der Schritt, der das Ganze überhaupt lohnenswert macht, findet ausserhalb Ihres Unternehmens statt. Ein qualifizierter Zeitstempel nützt nur, wenn jemand, der keinen Grund hat, Ihnen zu vertrauen, selbst bestätigen kann, dass er standhält. Das bedeutet eine öffentliche Prüfseite, kein Konto nötig, keine Software zu installieren, und kein Kontakt zu Ihnen nötig, um zu fragen, ob der Nachweis echt ist. Schicken Sie den Link, und die empfangende Person prüft den Hash gegen die Datei, den Zeitstempel gegen den Nachweis, und zieht ihren eigenen Schluss.
Genau hier scheitert viel interne Nachweisführung still und leise. Ein Zeitverlauf, der in Ihren eigenen Systemen gespeichert ist, wie detailliert auch immer, verlangt von der Gegenseite trotzdem, Ihren Systemen zu vertrauen. Ein qualifizierter Zeitstempel verlagert dieses Vertrauen stattdessen zu einem regulierten Dritten, und genau das macht den Unterschied, sobald eine Auseinandersetzung so ernst wird, dass Vertrauen exakt das ist, was fehlt.
Wo das mit der Inhaltshashung zusammenpasst
Der Zeitstempel legt fest, wann eine bestimmte Datei existierte. Ein separater Mechanismus, ein ISCC-Inhaltshash, registriert in einer öffentlichen Datenbank, macht den Inhalt selbst später nachvollziehbar, ohne die Originaldatei offenzulegen, was für Rechtsverletzungsprüfungen und Fragen zur KI-Trainingslizenzierung von Bedeutung ist, die wenig mit Urheberschaftsstreitigkeiten zu tun haben, aber viel damit, wo ein Inhalt seither verwendet wurde. Beide arbeiten zusammen, statt sich zu ersetzen. Der ISCC-Hash macht Inhalt im grossen Massstab identifizierbar. Der qualifizierte Zeitstempel legt den Zeitpunkt fest, zu dem eine bestimmte Fassung davon existierte.
Nichts davon verlangt, dass die zugrunde liegende Arbeit fertig, irgendwo formell registriert oder zuvor von einer Anwältin geprüft wurde. Ein qualifizierter Zeitstempel bezeugt einen Zeitpunkt, nicht die Qualität dessen, was zu diesem Zeitpunkt existierte, und genau deshalb gilt er für einen Entwurf ebenso wie für eine fertige Datei.
