| THE MOST IMPORTANT POINTS AT A GLANCE Not just images: The visual appearance of a signature on a PDF has no legal significance—what matters is the cryptographic certificate in the background. The three pillars of verification: During validation, the identity of the signer, the authenticity of the document (integrity), and the validity of the certificate are always verified. The EUTL factor: A qualified electronic signature (QES) is only 100% legally recognized throughout Europe if the Trust Service Provider (TSP) is listed on the EU’s official Trust List (EUTL). The U.S. competitive disadvantage: Many U.S. tools fail to pass European verification tools (such as the government-run RTR Accreditation Service) because they do not sufficiently anchor certificate chains. |
Introduction: Why “Testing” Is the True Foundation of Digital Processes
In many companies, digitally signing contracts has long been standard practice. But while a tremendous amount of effort is invested in the signing process, one fundamental question often goes unanswered in day-to-day B2B operations: How do you verify the documents that are returned to your company once they’ve been signed?
Companies exchange sensitive contracts on a daily basis—from employment contracts in HR to supplier agreements and high-volume financial transactions. Anyone who assumes that a scanned signature or a simple visual placeholder image in a PDF is legally valid is taking on a massive compliance and liability risk. Only systematic, cryptographic verification gives you legally binding assurance that your contracting party is indeed who they claim to be and that the contract text has not been tampered with afterward.
The Technical Anatomy: What Happens When You Verify a Digital Signature?
When you verify a digital signature (for example, using sproof Validator, Acrobat Reader, government validation services such as Rundfunk und Telekom Regulierungs-GmbH in Austria, or specialized software), a three-step process takes place in the background:
1. Verifying Document Integrity (Hash Comparison)
During the signing process, the entire file contents are compressed by an algorithm into a unique digital fingerprint—known as a hash value. The verification tool recalculates this hash value when the file is opened. If the current hash value matches exactly the value encrypted at the time of signing, it is certain that the document has not been altered by a single character since it was signed.
| sproof Insight vs. the U.S. market leader: sproof sign directly and legally embeds each signature cryptographically in the PDF at the time of signing. U.S. providers such as DocuSign often place signatures on the document during the process merely as visual images and only add the final collective seal during the final download. This makes it difficult for verification tools to trace exactly when specific changes to form fields were made. |
2. Validation of the Digital Certificate (Identity)
Every advanced (FES) or qualified electronic signature (QES) is inextricably linked to a digital certificate. This certificate serves as a digital ID. The verification tool extracts the certificate’s metadata to retrieve the signer’s name, verified email address, and the issuer (Trust Service Provider, or TSP for short).
3. Comparison with the European Union Trusted List (EUTL)
The eIDAS Regulation ensures maximum legal validity within the European Union. Highly regulated industries require a qualified electronic signature (QES) as a standard, since only this is legally equivalent to a handwritten signature 100 percent of the time. When verifying a QES, the software checks the issuing TSP against the European Commission’s official Trusted List (EUTL). If the provider is not accredited on that list, the signature loses its status as a QES.
Why Some Signatures Are Flagged as “Invalid” in European Audit Tools
A common occurrence in European legal departments: A contract signed using a U.S. tool is uploaded to the official verification service of RTR (Austria) and is promptly classified as “invalid” or “technically unverifiable.”
There is a reason for this: a lack of EUTL accreditation. Many global hyperscalers use their own certificate chains for their standard signatures; while these are marked as “green” by commercial lists (such as the Adobe Approved Trust List—AATL), they do not meet the strict regulatory criteria of European government oversight authorities.
Step by Step: How to Verify a Digital Signature in Practice
For companies, there are primarily three proven methods for validating signatures in an audit-proof manner:
- Method 1: Automated Validation via Software & API (For Enterprises) Large organizations cannot manually verify incoming documents. This is where modules like sproof Validate come into play. Via a REST API, contracts are automatically scanned upon receipt, cryptographically verified, and archived in your document management system (DMS) with an immutable audit trail.
- Method 2: Validation Directly in the sproof sign Platform If you manage documents in your central sproof sign dashboard, all it takes is a single click. Simply hover your mouse over the signature card in the document editor. The tool immediately displays an overlay showing whether the signature is valid, which security standard (EES, FES, QES) applies, and which trust service provider issued the certificate.
- Method 3: Manual Verification Using Adobe Acrobat Reader Thanks to the global PAdES standard, LTV-enabled (Long-Term Validation) signatures can also be verified offline in Adobe Reader. To do this, Adobe uses the embedded revocation data (CRL/OCSP) to confirm the historical validity of the signature over decades.
Put an End to Legal Uncertainties in Document Management
Automate your verification processes and protect your company from compliance violations. With sproof Sign and sproof Validate, you’re choosing a 100% European solution—with no ties to the U.S., fully GDPR-compliant, and ISO 27001-certified.
Schedule a no-obligation demo now or try sproof sign for free
FAQs on the topic
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… show more
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… show more
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… show more
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… show more
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… show more
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… show more
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… show more
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
