| NEJDŮLEŽITĚJŠÍ INFORMACE V KOSTCE Nejde jen o obrázky: Vizuální podoba podpisu v souboru PDF nemá z právního hlediska žádný význam – rozhodující je kryptografický certifikát v pozadí. Tři pilíře ověřování: Při ověřování se vždy kontroluje totožnost podepisující osoby, neporušenost dokumentu (integrita) a platnost certifikátu. Faktor EUTL: Kvalifikovaný elektronický podpis (QES) je v celé Evropě 100 % soudně uznáván pouze tehdy, pokud je poskytovatel důvěryhodných služeb (TSP) uveden na oficiálním seznamu důvěryhodných subjektů EU (EUTL). Nevýhoda USA v oblasti konkurenceschopnosti: Mnoho amerických nástrojů neprochází evropskými kontrolními nástroji (jako je státní akreditační služba RTR), protože nedostatečně zakotvují certifikační řetězce. |
Úvod: Proč je „kontrola“ skutečným základem digitálních procesů
V mnoha firmách je digitální podepisování smluv již dávno běžnou praxí. Zatímco se však do samotného podepisování vkládá obrovské množství energie, jedna zásadní otázka v každodenní praxi B2B často zůstává bez odpovědi: Jak kontrolujete dokumenty, které se po podepsání vrací zpět do vaší firmy?
Podniky si každý den vyměňují citlivé smlouvy – od pracovních smluv v personálním oddělení přes dohody s dodavateli až po rozsáhlé finanční transakce. Kdo se v této souvislosti spoléhá na to, že naskenovaný podpis nebo jednoduchý vizuální zástupný obrázek v souboru PDF je z právního hlediska platný, vystavuje se obrovskému riziku v oblasti dodržování předpisů a odpovědnosti. Teprve systematické kryptografické ověření vám poskytne soudně uznatelnou jistotu, že váš smluvní partner je skutečně tím, za koho se vydává, a že text smlouvy nebyl dodatečně zmanipulován.
Technická anatomie: Co se děje při ověřování digitálního podpisu?
Při ověřování digitálního podpisu (například pomocí nástroje sproof Validator, programu Acrobat Reader, státních ověřovacích služeb, jako je například Rundfunk und Telekom Regulierungs-GmbH v Rakousku, nebo specializovaného softwaru) probíhá na pozadí třífázový proces:
1. Ověření integrity dokumentu (porovnání hashových hodnot)
Při podepisování se celý obsah souboru pomocí algoritmu zkomprimuje do jedinečného digitálního otisku – tzv. hashové hodnoty. Kontrolní nástroj tuto hashovou hodnotu při otevření souboru znovu vypočítá. Pokud se aktuální hashová hodnota přesně shoduje s hodnotou zašifrovanou v okamžiku podpisu, je jasné, že dokument nebyl od podpisu změněn ani o jediný znak.
| sproof Insight vs. lídr na americkém trhu: sproof sign každou podpisovou operaci v okamžiku podpisu přímo a právně platně kryptograficky zakotví do souboru PDF. Američtí poskytovatelé, jako je DocuSign, často vkládají podpisy během procesu pouze jako vizuální obrázky do dokumentu a finální souhrnnou pečeť přidávají až při závěrečném stažení. To následně ztěžuje kontrolním nástrojům přesně zjistit, kdy byla provedena která konkrétní změna v poli formuláře. |
2. Ověření digitálního certifikátu (identita)
Každý pokročilý (FES) nebo kvalifikovaný elektronický podpis (QES) je neoddělitelně spojen s digitálním certifikátem. Tento certifikát funguje jako digitální průkaz totožnosti. Kontrolní nástroj extrahuje metadata certifikátu, aby získal jméno podepisujícího, ověřenou e-mailovou adresu a vydavatele (poskytovatele důvěryhodných služeb, zkráceně TSP).
3. Porovnání s důvěryhodným seznamem Evropské unie (EUTL)
O maximální důkazní sílu v evropském prostoru se stará nařízení eIDAS. Přísně regulovaná odvětví standardně vyžadují QES, protože pouze ten je z právního hlediska stoprocentně rovnocenný vlastnoručnímu podpisu. Při ověřování QES software porovnává poskytovatele služeb elektronických podpisů (TSP), který podpis vystavil, s oficiálním seznamem důvěryhodných subjektů Evropské komise (EUTL). Pokud tam není poskytovatel akreditován, podpis ztrácí status QES.
Proč jsou některé podpisy v evropských kontrolních nástrojích označovány jako „neplatné“
Častý jev v evropských právních odděleních: Smlouva podepsaná pomocí amerického nástroje se nahraje do oficiální kontrolní služby RTR (Rakousko) a je okamžitě označena jako „neplatná“ nebo „technicky neověřitelná“.
Existuje pro to důvod: chybějící akreditace EUTL. Mnoho globálních hyperscalerů používá pro své standardní podpisy vlastní certifikační řetězce, které jsou sice v komerčních seznamech (jako je Adobe Approved Trust List – AATL) označeny jako „zelené“, nesplňují však přísná regulační kritéria evropských státních dozorových orgánů.
Krok za krokem: Jak v praxi ověřit digitální podpis
Pro podniky existují v zásadě tři osvědčené způsoby, jak ověřit podpisy tak, aby byly v souladu s požadavky na auditovatelnost:
- Způsob 1: Automatizovaná validace pomocí softwaru a API (pro podniky) Velké organizace nemohou příchozí dokumenty kontrolovat ručně. Zde se využívají moduly jako sproof Validate. Prostřednictvím REST-API jsou smlouvy při přijetí automaticky naskenovány, kryptograficky ověřeny a archivovány ve vašem systému pro správu dokumentů (DMS) s nezměnitelným audit trailem (kontrolním protokolem).
- Způsob 2: Ověření přímo na platformě sproof sign Pokud spravujete dokumenty ve svém centrálním panelu sproof sign, stačí jedno kliknutí. Jednoduše najeďte myší na podpisovou kartu v editoru dokumentů. Nástroj vám okamžitě v překryvném okně ukáže, zda je podpis platný, jaký bezpečnostní standard (EES, FES, QES) splňuje a který poskytovatel důvěryhodných služeb certifikát vydal.
- Způsob 3: Ruční kontrola pomocí aplikace Adobe Acrobat Reader Díky celosvětovému standardu PAdES lze podpisy podporující dlouhodobou platnost (LTV – Long-Term Validation) ověřovat i offline v aplikaci Adobe Reader. Adobe k tomu využívá zabudovaná data o revalidaci (CRL/OCSP), aby potvrdila historickou platnost podpisu v průběhu desítek let.
Skoncujte s právními nejistotami v oblasti správy dokumentů
Automatizujte své ověřovací procesy a chraňte svou společnost před porušením předpisů. Se službami sproof Sign a sproof Validate sázíte na 100 % evropské řešení – zcela bez vazby na USA, plně v souladu s GDPR a certifikované podle normy ISO 27001.
Domluvte si nyní nezávaznou ukázku nebo si zdarma vyzkoušejte sproof sign
Často kladené dotazy k tématu
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… více
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… více
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… více
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… více
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… více
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… více
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… více
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
