PDF nach der Unterschrift gesperrt: Signatur prüfen, ohne das Dokument zu verändern

Eine nach dem digitalen Unterschreiben gesperrte PDF ist häufig nicht beschädigt. Die Sperre soll verhindern, dass der signierte Inhalt unbemerkt verändert wird. Öffne die Datei zunächst in einem PDF-Programm mit Signaturprüfung, beispielsweise Adobe Acrobat Reader, und rufe dort den Signaturstatus auf. Reines Öffnen und Prüfen verändert die signierten Dokumentdaten normalerweise nicht; Bearbeiten, erneutes Exportieren oder Drucken in eine neue PDF dagegen schon.

Warum eine digitale Unterschrift die Bearbeitung einschränkt

Eine digitale PDF-Signatur bezieht sich auf einen festgelegten Datenstand. Das Prüfprogramm vergleicht diesen signierten Stand mit dem Inhalt der geöffneten Datei. Würden Seiten, Texte oder Formularwerte nachträglich geändert, müsste die Prüfung diese Abweichung erkennen können.

Die wahrgenommene Sperre kann unterschiedliche Bedeutungen haben:

• Die Signatur schützt den bereits unterschriebenen Dokumentstand vor Änderungen.
• Eine Zertifizierungssignatur erlaubt nur bestimmte nachfolgende Aktionen, etwa das Ausfüllen freigegebener Formularfelder oder weitere Signaturen.
• Das PDF besitzt zusätzlich Berechtigungs- oder Kennwortbeschränkungen, die nicht zwingend durch die Signatur entstanden sind.
• Das verwendete Programm unterstützt signierte Formulare nur eingeschränkt und stellt die Datei pauschal als nicht bearbeitbar dar.

Welche Variante vorliegt, lässt sich nicht allein an einem ausgegrauten Bearbeitungswerkzeug erkennen. Aussagekräftiger sind die Signaturinformationen und die dort genannten zulässigen Änderungen.

Die Signatur zerstörungsfrei in Adobe Acrobat Reader prüfen

Adobe Acrobat Reader kann digitale Signaturen anzeigen und validieren, ohne dass dafür eine kostenpflichtige Bearbeitungsfunktion nötig ist. Bezeichnungen und Anordnung können je nach Programmversion etwas abweichen. Maßgeblich sind der Bereich für Signaturen und die Eigenschaften der ausgewählten Signatur.

1. Lege eine unveränderte Kopie der erhaltenen PDF ab. Arbeite nicht mit einer bereits exportierten, optimierten oder neu gedruckten Fassung.
2. Öffne die Datei direkt in Acrobat Reader und nicht nur in der PDF-Vorschau des Browsers.
3. Blende den Bereich für Signaturen ein. Bei signierten Dokumenten erscheint häufig zusätzlich ein Hinweis oberhalb der Dokumentseite.
4. Wähle die betreffende Signatur und öffne ihre Eigenschaften.
5. Prüfe den gemeldeten Signaturstatus, den Unterzeichner, den Signierzeitpunkt und die Angabe, ob das Dokument seit der Unterzeichnung verändert wurde.
6. Öffne bei Bedarf die Zertifikatsinformationen. Dort lassen sich unter anderem Aussteller, Gültigkeitszeitraum und Vertrauenskette untersuchen.
7. Schließe die Datei nach der Prüfung. Fordert das Programm ohne bewusst vorgenommene Änderung zum Speichern auf, wähle nicht speichern.

Eine vollständige technische Prüfung umfasst mehr als das sichtbare Häkchen neben einer Signatur. Das Programm muss sowohl die Integrität des signierten Datenstands als auch das verwendete Zertifikat bewerten können. Für die Prüfung der Zertifikatsgültigkeit oder eines Sperrstatus kann eine Internetverbindung erforderlich sein. Diese Online-Abfrage verändert den signierten Inhalt nicht.

Welche Angaben im Signaturstatus wirklich zählen

Für die Frage, ob die Datei unverändert geblieben ist, sind drei Prüfergebnisse voneinander zu trennen.

Integrität des Dokuments

Die Integritätsprüfung zeigt, ob die von der Signatur erfassten Daten noch mit dem unterzeichneten Stand übereinstimmen. Eine Meldung über Änderungen bedeutet nicht automatisch Manipulation: Manche signierten PDFs erlauben ausdrücklich weitere Signaturen oder das Ausfüllen bestimmter Felder. Die Signaturdetails sollten dann ausweisen, ob die vorgenommenen Änderungen zulässig waren.

Identität und Vertrauen

Ein technisch unverändertes Dokument kann trotzdem eine nicht vertrauenswürdige Signatur enthalten. Das ist etwa möglich, wenn die Zertifikatskette auf dem Gerät nicht als vertrauenswürdig eingerichtet ist. Umgekehrt macht ein bekannter Name im sichtbaren Unterschriftsfeld die Datei noch nicht kryptografisch geprüft. Entscheidend sind die Zertifikats- und Signaturinformationen des PDF-Programms.

Signierzeit und Zeitstempel

Das angezeigte Signierdatum kann aus der Signatur selbst oder aus einem eingebundenen Zeitstempel stammen. Es sollte nicht allein anhand des sichtbaren Datums im Dokument bewertet werden. Für die reine Prüfung der Sperre genügt zunächst die Feststellung, ob das Programm den signierten Stand als unverändert und die Signatur als prüfbar behandelt.

Diese Aktionen können den signierten Zustand beeinträchtigen

Während der Prüfung sollten alle Funktionen unterbleiben, die eine neue Datei erzeugen oder Dokumentobjekte verändern. Besonders riskant sind:

• Seiten löschen, drehen, neu anordnen oder hinzufügen,
• Texte, Kommentare oder Formularwerte ändern, sofern sie nicht ausdrücklich zugelassen sind,
• die PDF komprimieren, optimieren oder in ein anderes PDF-Format konvertieren,
• über die Druckfunktion eine neue PDF erstellen,
• die Datei mit einer Scan-, Office- oder Grafik-App erneut exportieren,
• eine sichtbare Unterschrift als Bild über die vorhandene Datei legen.

Eine gedruckte und erneut als PDF gespeicherte Fassung kann optisch identisch wirken, enthält aber nicht mehr dieselbe digitale Signaturstruktur. Sie eignet sich daher nicht als Ersatz für das signierte Original.

Wenn Acrobat Reader nach dem Öffnen speichern möchte

Eine Speicheraufforderung ist ein Warnsignal, aber noch kein Beleg dafür, dass die Originaldatei bereits verändert wurde. Erweiterungen, Formularskripte oder andere Programmfunktionen können einen geänderten Arbeitszustand auslösen. Beende das Programm ohne Speichern und öffne anschließend eine frische Kopie des Originals erneut.

Bleibt die Aufforderung aus, war wahrscheinlich nur die vorherige Arbeitssitzung betroffen. Erscheint sie erneut, sollte die Prüfung auf einem zweiten Gerät oder in einer sauberen Installation eines signaturfähigen PDF-Programms wiederholt werden. Das Original darf dabei nicht überschrieben werden.

Browseranzeige und PDF-Prüfung sind nicht dasselbe

Chrome, Edge, Firefox und die Vorschau eines Cloudspeichers können ein signiertes PDF korrekt darstellen, ohne alle eingebetteten Signaturdaten vollständig auszuwerten. Eine fehlende Warnung im Browser bestätigt daher weder die Integrität noch die Vertrauenswürdigkeit der Unterschrift.

Lade die ursprüngliche Datei lokal herunter und öffne sie mit einer Anwendung, die digitale PDF-Signaturen ausdrücklich validieren kann. Vertrauliche Dokumente sollten nicht allein zur Prüfung bei einem unbekannten Online-Dienst hochgeladen werden. Eine lokale Anwendung vermeidet, dass sensible Inhalte an einen zusätzlichen Anbieter übertragen werden.

Was bei einer tatsächlich notwendigen Änderung zu tun ist

Eine bestehende digitale Signatur darf nicht durch nachträgliche Bearbeitung passend gemacht werden. Wird eine inhaltliche Änderung benötigt, hängt das weitere Vorgehen von den im Dokument festgelegten Berechtigungen ab.

• Sind bestimmte Formularfelder oder weitere Signaturfelder freigegeben, dürfen nur diese vorgesehenen Bereiche verwendet werden.
• Ist keine Änderung zugelassen, wird eine neue Dokumentfassung benötigt. Diese muss nach der Änderung erneut unterschrieben werden.
• Stammt die PDF von einer Behörde, einem Unternehmen oder einer Vertragspartnerin beziehungsweise einem Vertragspartner, sollte die korrigierte Fassung von der ausstellenden Seite angefordert werden.
• Fehlt lediglich die Möglichkeit, eine eigene Unterschrift hinzuzufügen, ist zu prüfen, ob ein vorgesehenes Signaturfeld existiert. Ein eingefügtes Bild ist keine gleichwertige digitale Signatur.

Der sichere Entscheidungsweg lautet: Erst das unveränderte Original sichern, dann den Signaturstatus in einer geeigneten Anwendung lesen und nur die ausdrücklich erlaubten Aktionen ausführen. Jede darüber hinausgehende Änderung gehört in eine neue Fassung, die erneut signiert werden muss.