Eine Organisation, die Zertifikate ausstellt, hat ein Problem, das sie meist erst bemerkt, wenn jemand anderes es findet. Das Zertifikat verlaesst das Haus als PDF, und ab diesem Moment hat der Aussteller keine Kontrolle mehr darueber.
Warum ein PDF-Zertifikat wenig beweist
Ein gewoehnliches PDF traegt keinen Nachweis seiner eigenen Herkunft. Das Siegelbild, die eingescannte Unterschrift und die Referenznummer sind nur Pixel. Inhalte lassen sich aendern, das Datum verschieben, und der Aussteller ist nicht kryptografisch nachweisbar.
Was ein Zertifikat ueberpruefbar macht
Ein ueberpruefbares Zertifikat traegt seinen eigenen Nachweis. Ein kryptografischer Hash sichert die Integritaet: aendert sich ein Zeichen, schlaegt die Pruefung fehl. Ein qualifizierter Zeitstempel einer akkreditierten Stelle belegt den Zeitpunkt und geniesst nach eIDAS eine gesetzliche Vermutung. Ein qualifiziertes elektronisches Siegel bindet das Dokument an die Organisation statt an eine Einzelperson.
Die rechtliche Grundlage
In der Schweiz regelt ZertES (SR 943.03) qualifizierte Zertifikate und akkreditierte Anbieter. Kursunterlagen und Pruefungsinhalte sind zudem als Werke nach der Berner Uebereinkunft automatisch geschuetzt. Der Nachweis, wann eine bestimmte Fassung vorlag, ist davon getrennt und wird durch ein gesiegeltes, zeitgestempeltes Dokument geloest.
