Elektronische Signatur prüfen: Gültigkeit, Zertifikatsablauf, Hashwert und Beweiskraft vor Gericht

Kurz gesagt: Eine elektronische Signatur ist gültig, wenn die Prüfung zeigt, dass das Dokument seit dem Signieren unverändert ist und das Zertifikat zum Signaturzeitpunkt gültig und nicht gesperrt war. Ein Hashwert allein beweist nur, dass eine Datei unverändert ist, nicht wer sie erstellt hat. Vor Gericht hat eine qualifizierte elektronische Signatur (QES) den gesetzlichen Anschein der Echtheit (§ 371a ZPO), einfache und fortgeschrittene Signaturen haben ihn nicht. Weil Zertifikate ablaufen und Algorithmen altern, sichert man lange aufbewahrte signierte Dokumente in der Regel mit einer Beweiswerterhaltung.

So wird eine Signatur geprüft

Beim Signieren wird der Hashwert des Dokuments mit dem privaten Schlüssel signiert. Die Prüfsoftware (Validierung) berechnet ihn neu und vergleicht; jede nachträgliche Änderung fällt auf. Außerdem prüft sie, ob das Zertifikat zum Signaturzeitpunkt gültig und nicht gesperrt war, etwa wegen Verlust der Signaturkarte. Bei qualifizierten Signaturen wertet sie die Vertrauensliste (Trusted List) der Bundesnetzagentur aus, die die Anbieter beaufsichtigt (§ 2 Abs. 1 VDG).

Was Hashwert und Zeitstempel beweisen

Ein Hashwert (Prüfsumme, digitaler Fingerabdruck) ist ein aus der Datei berechneter Prüfwert. Er belegt die Unversehrtheit, nicht die Urheberschaft; dafür braucht es Signatur oder Siegel. Ein Zeitstempel belegt nur, dass Daten zu einem Zeitpunkt vorhanden waren (Art. 3 Nr. 33 eIDAS), nicht wer sie erklärt hat.

Beweiskraft vor Gericht

Ein privates elektronisches Dokument mit QES, etwa ein qualifiziert signiertes PDF, wird wie eine private Urkunde behandelt; den Anschein der Echtheit erschüttern nur Tatsachen, die ernstliche Zweifel begründen (§ 371a Abs. 1 ZPO). Öffentliche elektronische Dokumente einer Behörde mit QES oder qualifiziertem Siegel haben die Beweiskraft öffentlicher Urkunden (§ 371a Abs. 3 ZPO). Einfache und fortgeschrittene Signaturen sind als Beweismittel zulässig (Art. 25 Abs. 1 eIDAS), das Gericht würdigt sie aber frei.

Wenn das Zertifikat abläuft

Geprüft wird die Gültigkeit zum Signaturzeitpunkt, doch mit der Zeit sinkt die Prüfbarkeit, weil Zertifikate ablaufen und Algorithmen schwächer werden. Für die Langzeitarchivierung beschreibt die BSI-Richtlinie TR-03125 (TR-ESOR) die beweiswerterhaltende Speicherung, etwa mit qualifizierten Zeitstempeln und Evidence Records; sie ist eine Empfehlung, keine Pflicht. Qualifizierte Bewahrungsdienste nach eIDAS können die Prüfbarkeit qualifizierter Signaturen und Siegel über ihre technologische Gültigkeit hinaus sichern.

In eVorgang

Eine Zeichnung in eVorgang ist eine einfache elektronische Signatur über genau die Fassung eines PDFs, die beim Start vorliegt. Ihre SHA-256-Prüfsumme steht auf der Seite des Zeichnungslaufs, so lässt sich eine andere Kopie damit vergleichen; die Ausfertigung trägt hinter den unveränderten Seiten das Zeichnungsprotokoll. Qualifizierte und fortgeschrittene Signatur, Siegel, qualifizierter Zeitstempel und PDF/A sind in eVorgang nicht enthalten. Mehr dazu im Handbuch: Zeichnung.

Siehe auch

Quellen

Auch gefragt: Wie prüfe ich, ob eine elektronische Signatur gültig ist? · Bleibt eine Signatur gültig, wenn das Zertifikat abläuft? · Was ist ein Hashwert, und beweist er, wer ein Dokument erstellt hat?

Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung. Maßgeblich sind die geltenden Vorschriften und die Regeln Ihres Hauses.