| L’ESSENZIALE IN SINTESI Non sono semplici immagini: l’immagine visiva di una firma su un PDF non ha alcun valore giuridico – ciò che conta è il certificato crittografico sottostante. I tre pilastri della verifica: durante la convalida vengono sempre verificati l’identità del firmatario, l’autenticità del documento (integrità) e la validità del certificato. Il fattore EUTL: una firma elettronica qualificata (QES) è riconosciuta giuridicamente al 100% in tutta Europa solo se il Trust Service Provider (TSP) figura nell’elenco ufficiale di fiducia dell’UE (EUTL). Lo svantaggio competitivo degli Stati Uniti: molti strumenti statunitensi non superano i test effettuati dagli organismi di verifica europei (come il servizio di accreditamento statale RTR), poiché non ancorano in modo adeguato le catene di certificati. |
Introduzione: Perché la “verifica” è il vero fondamento dei processi digitali
In molte aziende la firma digitale dei contratti è ormai diventata la norma. Tuttavia, mentre si investe un’enorme quantità di energie nella raccolta delle firme, una questione fondamentale nella quotidianità del B2B rimane spesso senza risposta: come verificate i documenti che, una volta firmati, tornano alla vostra azienda?
Le aziende scambiano quotidianamente contratti sensibili: dai contratti di lavoro nel settore delle risorse umane agli accordi con i fornitori, fino alle transazioni finanziarie di grande entità. Chi in questo contesto si affida al fatto che una firma digitalizzata o una semplice immagine segnaposto in un PDF sia giuridicamente valida, corre un enorme rischio in termini di conformità e responsabilità. Solo una verifica sistematica e crittografica vi garantisce, in sede giudiziaria, che la vostra controparte contrattuale sia effettivamente chi dichiara di essere e che il testo del contratto non sia stato manomesso in un secondo momento.
L’anatomia tecnica: cosa succede quando si verifica una firma digitale?
Quando si verifica una firma digitale (ad esempio tramite sproof Validator, Acrobat Reader, servizi di convalida statali come la Rundfunk und Telekom Regulierungs-GmbH in Austria o un software specializzato), in background si svolge un processo in tre fasi:
1. Verifica dell’integrità dei documenti (confronto degli hash)
Durante la firma, l’intero contenuto del file viene compresso da un algoritmo in un’impronta digitale univoca, il cosiddetto valore hash. Lo strumento di verifica ricalcola questo valore hash all’apertura del file. Se il valore hash attuale corrisponde esattamente a quello crittografato al momento della firma, è certo che il documento non è stato modificato di un solo carattere dopo la firma.
| sproof Insight vs. leader di mercato statunitense: sproof sign incorpora ogni firma nel PDF in modo diretto e giuridicamente valido dal punto di vista crittografico al momento della firma. I fornitori statunitensi come DocuSign spesso inseriscono le firme nel documento solo come immagini visive durante il processo e aggiungono il sigillo collettivo finale solo al momento del download conclusivo. Ciò rende difficile per gli strumenti di verifica ricostruire con esattezza, in un secondo momento, in quale momento sia stata apportata una determinata modifica a un campo del modulo. |
2. Convalida del certificato digitale (l’identità)
Ogni firma elettronica avanzata (FES) o qualificata (QES) è indissolubilmente legata a un certificato digitale. Questo certificato funge da carta d’identità digitale. Lo strumento di verifica estrae i metadati del certificato per ricavarne il nome del firmatario, l’indirizzo e-mail verificato e l’emittente (Trust Service Provider, in breve TSP).
3. Confronto con la Lista di fiducia dell’Unione europea (EUTL)
Il regolamento eIDAS garantisce la massima forza probatoria nell’ambito europeo. I settori altamente regolamentati richiedono di norma la firma elettronica qualificata (QES), poiché solo questa è giuridicamente equiparata al 100% alla firma autografa. Durante la verifica di una QES, il software confronta il TSP emittente con l’elenco ufficiale di fiducia della Commissione europea (EUTL). Se il fornitore non è accreditato in tale elenco, la firma perde il suo status di QES.
Perché alcune firme vengono dichiarate “non valide” dagli strumenti di verifica europei
Un fenomeno frequente negli uffici legali europei: un contratto firmato tramite uno strumento statunitense viene caricato sul servizio di verifica ufficiale della RTR (Austria) e viene immediatamente classificato come “non valido” o “tecnicamente non verificabile ”.
C’è una ragione: la mancanza dell’accreditamento EUTL. Molti hyperscaler globali utilizzano per le loro firme standard catene di certificati proprie, che, pur essendo contrassegnate come «verdi» da elenchi commerciali (come l’Adobe Approved Trust List – AATL), non soddisfano i rigorosi criteri normativi delle autorità di vigilanza europee.
Passo dopo passo: ecco come verificare una firma digitale nella pratica
Per le aziende esistono principalmente tre metodi collaudati per convalidare le firme in modo conforme ai requisiti di revisione:
- Metodo 1: Convalida automatizzata tramite software e API (per le grandi aziende) Le grandi organizzazioni non sono in grado di verificare manualmente i documenti in entrata. In questi casi vengono utilizzati moduli come sproof Validate. Tramite un’API REST, i contratti vengono automaticamente scansionati al momento della ricezione, verificati crittograficamente e archiviati nel vostro sistema di gestione documentale (DMS) con una traccia di audit (protocollo di verifica) non modificabile.
- Metodo 2: convalida direttamente nella piattaforma sproof sign Se gestite i documenti nella vostra dashboard centrale di sproof sign, basta un semplice clic. È sufficiente passare il mouse sulla scheda della firma nell’editor dei documenti. Lo strumento vi mostrerà immediatamente in una finestra sovrapposta se la firma è valida, quale standard di sicurezza (EES, FES, QES) è stato utilizzato e quale Trust Service Provider ha emesso il certificato.
- Metodo 3: la verifica manuale tramite Adobe Acrobat Reader. Grazie allo standard PAdES, riconosciuto a livello mondiale, le firme compatibili con la convalida a lungo termine (LTV) possono essere verificate anche offline in Adobe Reader. A tal fine, Adobe utilizza i dati di revoca incorporati (CRL/OCSP) per confermare la validità storica della firma nel corso di decenni.
Mettete fine alle incertezze giuridiche nella gestione dei documenti
Automatizzate i vostri processi di verifica e proteggete la vostra azienda dalle violazioni della conformità. Con sproof Sign e sproof Validate potete contare su una soluzione al 100% europea – completamente priva di collegamenti con gli Stati Uniti, pienamente conforme al GDPR e certificata secondo la norma ISO 27001.
Fissa ora un appuntamento per una demo senza impegno oppure prova sproof sign gratuitamente
Domande frequenti sull’argomento
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… Più
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… Più
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… Più
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… Più
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… Più
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… Più
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… Più
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
