| NAJVAŽNEJŠE NA KRATKO Ne gre le za slike: vizualna podoba podpisa na datoteki PDF nima pravne veljave – odločilno je kriptografsko potrdilo v ozadju. Trije stebri preverjanja: Pri preverjanju se vedno preverja identiteta podpisnika, pristnost dokumenta (integriteta) in veljavnost certifikata. Dejstvo EUTL: Kvalificirani elektronski podpis (QES) je po vsej Evropi 100-odstotno pravno priznan le, če je ponudnik zaupanja vrednih storitev (TSP) uvrščen na uradni seznam zaupanja vrednih ponudnikov EU (EUTL). Konkurenčna slabost ZDA: Mnoga ameriška orodja ne izpolnjujejo zahtev evropskih preverjalnih orodij (kot je državna akreditacijska služba RTR), saj ne zagotavljajo zadostne varnosti verig certifikatov. |
Uvod: Zakaj je »preverjanje« pravzaprav temelj digitalnih procesov
V mnogih podjetjih je digitalno podpisovanje pogodb že dolgo postalo standard. A medtem ko se v podpisovanje vlaga ogromno energije, ostaja v vsakdanjem poslovanju med podjetji (B2B) pogosto odprto temeljno vprašanje: kako preverjate dokumente, ki se po podpisu vrnejo v vaše podjetje?
Podjetja vsak dan izmenjujejo občutljive pogodbe – od pogodb o zaposlitvi v kadrovskem oddelku prek sporazumov z dobavitelji do obsežnih finančnih transakcij. Kdor pri tem zaupa, da je skeniran podpis ali preprosta vizualna slika kot zaznamek v datoteki PDF pravno veljavna, prevzema ogromno tveganje v zvezi s skladnostjo in odgovornostjo. Šele sistematična, kriptografska verifikacija vam daje pravno zanesljivo zagotovilo, da je vaša pogodbena stranka dejansko tista, za katero se izdaja, in da besedilo pogodbe ni bilo naknadno spremenjeno.
Tehnična anatomija: Kaj se zgodi, ko preverite digitalni podpis?
Ko preverjate digitalni podpis (na primer s programom sproof Validator, Acrobat Reader, državnimi storitvami za preverjanje, kot je Rundfunk und Telekom Regulierungs-GmbH v Avstriji, ali s specializirano programsko opremo), v ozadju poteka tristopenjski proces:
1. Preverjanje celovitosti dokumentov (primerjava hash vrednosti)
Pri podpisovanju se celotna vsebina datoteke s pomočjo algoritma stisne v edinstven digitalni odtis – tako imenovano hash vrednost. Orodje za preverjanje to hash vrednost ponovno izračuna ob odpiranju datoteke. Če se trenutna hash vrednost natančno ujema z vrednostjo, ki je bila šifrirana v trenutku podpisa, je jasno: dokument se od podpisa ni spremenil niti za en znak.
| sproof Insight v primerjavi z vodilnim ponudnikom na ameriškem trgu: sproof sign vsak podpis v trenutku podpisa neposredno in pravno veljavno kriptografsko vključi v PDF. Ameriški ponudniki, kot je DocuSign, pogosto med postopkom podpise v dokument vstavijo le kot vizualne slike, končni skupni pečat pa dodajo šele ob končnem prenosu. To naknadno otežuje orodjem za preverjanje natančno ugotoviti, kdaj je bila izvedena katera konkretna sprememba polja obrazca. |
2. Preverjanje veljavnosti digitalnega certifikata (identiteta)
Vsak napreden (FES) ali kvalificiran elektronski podpis (QES) je neločljivo povezan z digitalnim certifikatom. Ta certifikat deluje kot digitalna osebna izkaznica. Preverjalno orodje izloči metapodatke certifikata, da prebere ime podpisnika, preverjeno e-poštno naslov in izdajatelja (ponudnik zaupanja vrednih storitev, skrajšano TSP).
3. Primerjava z zaupanja vrednim seznamom Evropske unije (EUTL)
Za največjo dokazno moč na evropskem območju skrbi uredba eIDAS. Strogo regulirane panoge standardno zahtevajo kvalificirani elektronski podpis (QES), saj je le ta pravno v celoti enakovreden lastnoročnemu podpisu. Pri preverjanju QES programska oprema primerja izdajatelja QES z uradnim seznamom zaupanja vrednih izdajateljev Evropske komisije (EUTL). Če ponudnik na tem seznamu ni akreditiran, podpis izgubi status QES.
Zakaj nekateri podpisi v evropskih orodjih za preverjanje veljajo za »neveljavne«
Pogost pojav v evropskih pravnih oddelkih: pogodba, podpisana prek ameriškega orodja, se naloži na uradno preveritveno storitev RTR (Avstrija) in je takoj označena kot »neveljavna« ali »tehnično nepreverljiva«.
Za to obstaja razlog: manjkajoča akreditacija EUTL. Mnogi globalni hyperscalerji za svoje standardne podpise uporabljajo lastne verige certifikatov, ki so sicer na komercialnih seznamih (kot je Adobe Approved Trust List – AATL) označene kot »zelene«, vendar ne izpolnjujejo strogih regulativnih meril evropskih državnih nadzornih organov.
Korak za korakom: kako v praksi preveriti digitalni podpis
Za podjetja obstajajo v glavnem trije preizkušeni načini za revizijsko varno preverjanje podpisov:
- Način 1: Avtomatizirano preverjanje prek programske opreme in API-ja (za podjetja) Velike organizacije ne morejo ročno preverjati prejetih dokumentov. Tukaj pridejo v poštev moduli, kot je sproof Validate. Prek REST-API se pogodbe ob prejemu dokumentov avtomatsko skenirajo, kriptografsko preverijo in arhivirajo v vašem sistemu za upravljanje dokumentov (DMS) z nespremenljivo revizijsko sledjo (revizijskim protokolom).
- Način 2: Preverjanje veljavnosti neposredno na platformi sproof sign Če dokumente upravljate v svojem osrednjem nadzornem panelu sproof sign, zadostuje en sam klik. Preprosto premaknite miško nad kartico podpisa v urejevalniku dokumentov. Orodje vam bo takoj v prekrivnem oknu prikazalo, ali je podpis veljaven, kateri varnostni standard (EES, FES, QES) velja in kateri ponudnik zaupanja vrednih storitev je izdal certifikat.
- Način 3: Ročno preverjanje prek programa Adobe Acrobat Reader Zahvaljujoč svetovnemu standardu PAdES je mogoče podpise, ki podpirajo dolgoročno veljavnost (LTV – Long-Term Validation), preveriti tudi brez internetne povezave v programu Adobe Reader. Adobe za to uporablja vgrajene podatke o potrditvah (CRL/OCSP), da potrdi zgodovinsko veljavnost podpisa skozi desetletja.
Odpravite pravno negotovost pri upravljanju dokumentov
Avtomatizirajte svoje postopke preverjanja in zaščitite svoje podjetje pred kršitvami predpisov. S sproof Sign in sproof Validate se odločite za 100-odstotno evropsko rešitev – popolnoma brez povezave z ZDA, v celoti skladno z GDPR in certificirano po standardu ISO 27001.
Dogovorite se za nezavezujoč termin za predstavitev ali brezplačno preizkusite sproof sign
Pogosta vprašanja o tej temi
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… več
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… več
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… več
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… več
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… več
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… več
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… več
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
