PDF nach der Signatur geändert: Signatur und Revisionsverlauf prüfen

Ein PDF, das nach der Signatur geändert wurde, verrät sich an zwei Stellen: im Signaturpanel, das meldet, ob die von der Signatur abgedeckten Bytes noch zum ursprünglichen Hashwert passen, und im Revisionsverlauf, der jede an die Datei angehängte Version auflistet. Meldet das Panel, das Dokument sei seit dem Signieren verändert worden, entspricht der Inhalt nicht mehr dem, was der Unterzeichner freigegeben hat. Meldet es nur „Änderungen nach der Signatur", müssen Sie die signierte Version öffnen und mit der aktuellen vergleichen.

Dieser Leitfaden richtet sich an die Person, die die Datei erhält: Sachbearbeiter in der Geldwäscheprävention, Vermieter, Vertragsverwalter, Personalreferent. Ein kostenloser PDF-Reader genügt. Sie erfahren, was jede Meldung bedeutet und was Sie als Nächstes vom Absender verlangen. Die Prüfung findet Spuren einer Änderung. Sie beweist nicht, dass ein Dokument echt ist.

Wie eine digitale Signatur ein PDF schützt und wo der Schutz endet

Eine PDF-Signatur speichert den kryptografischen Hash eines definierten Bytebereichs, sodass jede Änderung in diesem Bereich die Validierung bricht. Das Format ist in ISO 32000-2 beschrieben, das europäische Profil für signierte PDFs heißt PAdES (ETSI EN 319 142). Die Signatur ist ein Container in der Datei. Sie nennt einen Bytebereich, der die gesamte Datei außer dem reservierten Platz für den Signaturwert selbst abdeckt.

Daraus folgt etwas, das oft übersehen wird. Ein PDF darf nach der Signatur legitim wachsen, weil das Format inkrementelle Aktualisierungen hinter den signierten Bytes erlaubt. Ein zweiter Unterzeichner fügt seine Signatur hinzu, ein Formularfeld wird ausgefüllt, ein Kommentar eingefügt. Die ursprünglichen Bytes bleiben unberührt, die erste Signatur bleibt mathematisch gültig. Ob die Aktualisierung zulässig ist, hängt von den Berechtigungen ab, die der Autor gesetzt hat.

Eine rechtliche Verankerung hilft bei der internen Erklärung. Nach Artikel 26 der Verordnung (EU) Nr. 910/2014 (eIDAS) muss eine fortgeschrittene elektronische Signatur so mit den Daten verbunden sein, dass jede nachträgliche Veränderung erkannt werden kann. Auf diese Erkennbarkeit stützen Sie sich. In Deutschland begründet § 371a ZPO für mit einer qualifizierten elektronischen Signatur versehene private elektronische Dokumente die Beweiskraft privater Urkunden und einen Anscheinsbeweis für die Echtheit. Ein eingefügtes Unterschriftsbild lässt sich dagegen nicht validieren.

Schritt 1: Das Signaturpanel lesen, nicht nur das Symbol

Öffnen Sie das Signaturpanel und lesen Sie den vollständigen Statustext, denn das grüne Häkchen in der Werkzeugleiste fasst weniger zusammen, als es scheint. Im Adobe Acrobat Reader öffnen Sie das Panel Signaturen (Ansicht, Ein-/Ausblenden, Navigationsbereiche). Jede Signatur erscheint mit Status und, falls spätere Revisionen existieren, mit einem Hinweis wie „Revision 1 von 3". Mit „Signierte Version anzeigen" öffnen Sie die Datei so, wie sie beim Signieren dieser Person aussah.

Notieren Sie für jede Signatur:

• Name des Unterzeichners und Aussteller des Zertifikats;
• Signaturzeitpunkt und ob er aus einem vertrauenswürdigen Zeitstempel oder nur von der Uhr des Unterzeichner-Rechners stammt;
• die Statuszeile, Wort für Wort.

In Foren kehrt dieselbe Frage wieder: „Ich habe ein PDF signiert, jemand sagt, er habe es danach geändert, woran erkenne ich das?" Das Panel beantwortet beides. Verlangt ein Programm das Entfernen der Signatur, um die Datei zu bearbeiten, ist das signierte Original aus Sicht des Editors verschwunden. Fordern Sie deshalb das signierte Original an, nicht die bearbeitete Kopie.

Schritt 2: Revisionen zählen und die signierte Version extrahieren

Jede inkrementelle Speicherung hängt einen Abschnitt mit einer %%EOF-Marke an, sodass die Anzahl der Marken die Zahl der Revisionen annähert. Im Terminal liefert grep -a -c '%%EOF' datei.pdf die Zahl. Eine frisch erzeugte Datei hat oft eine Marke, eine für das Web optimierte zwei. Drei Marken bei einem Dokument, das nur eine Person signiert hat, verdienen eine Rückfrage.

Um zu lesen, was die Datei beim Signieren sagte, nutzen Sie „Signierte Version anzeigen" in Acrobat oder schneiden die Datei am Byte-Offset ab, an dem der signierte Bereich endet. Werkzeuge wie qpdf und pdfsig (Poppler) zeigen den signierten Bereich und prüfen den Hash auf der Kommandozeile: pdfsig datei.pdf listet jede Signatur, ihren Bytebereich und ob der Digest passt.

Vergleichen Sie anschließend beide Versionen optisch und textlich. Achten Sie auf:

• geänderte Beträge, Daten, Namen und Kontonummern;
• hinzugefügte, entfernte oder umgestellte Seiten;
• einen neuen Textblock über einem alten (der alte Text liegt unter der neuen Ebene weiter in der Datei);
• Anmerkungen oder Stempel, die ursprünglichen Inhalt überdecken.

Bei vielen Seiten hebt das Werkzeug „Dateien vergleichen" in Acrobat Textunterschiede hervor. Arbeiten Sie dabei an einer lokalen Kopie.

Schritt 3: Angriffe kennen, die die Signatur gültig lassen

Manche Änderungen lassen die Signatur gültig erscheinen, deshalb reicht ein grüner Status nicht aus. Zwei Forschungsergebnisse sollten Sie kennen. Eine Studie der Ruhr-Universität Bochum von 2019 zu Angriffen durch inkrementelles Speichern zeigte, dass mehrere Reader gültige Signaturen anzeigten, obwohl eine angehängte Revision den sichtbaren Inhalt verändert hatte. Die „Shadow Attacks" (2020) beschrieben ein Dokument mit verstecktem Inhalt, der durch ein erlaubtes späteres Update, etwa das Ausfüllen eines Feldes, sichtbar wird. Beide Arbeiten sind auf pdf-insecurity.org veröffentlicht, und die Hersteller haben viele der ursprünglichen Schwachstellen behoben.

Für den Prüfer folgt daraus Praktisches:

• Eine gültige Signatur plus spätere Revision ist ein Grund zum Vergleichen, nicht zum Entspannen.
• Eine Signatur auf einem Dokument, bei dem der Autor Formularausfüllung oder Anmerkungen erlaubt hat, ist ein schwächerer Beleg als eine Zertifizierungssignatur mit „keine Änderungen erlaubt".
• Öffnen Sie die Datei in einem zweiten Reader. Eine Abweichung zwischen zwei Readern ist selbst ein Hinweis.

Prüfen Sie auch die Zertifizierungsstufe. Eine Zertifizierungssignatur trägt eine Berechtigungseinstellung (keine Änderungen, Formularausfüllung und Signieren, Anmerkungen erlaubt). Hat der Autor „keine Änderungen" gewählt und existiert dennoch eine Revision, muss der Reader dies melden.

Schritt 4: Den Unterzeichner validieren, nicht nur die Datei

Eine Signatur kann mathematisch gültig und trotzdem wertlos sein, wenn das Zertifikat selbst signiert, abgelaufen oder von einer nicht vertrauenswürdigen Stelle ausgestellt ist. Prüfen Sie, wer das Zertifikat ausgestellt hat. Qualifizierte Vertrauensdiensteanbieter stehen im Browser der EU-Vertrauenslisten. In Deutschland beaufsichtigt die Bundesnetzagentur die Vertrauensdienste nach dem Vertrauensdienstegesetz. Adobe führt eine eigene Liste zugelassener Aussteller; beide Listen überschneiden sich, sind aber nicht identisch, was viele Meldungen „Gültigkeit unbekannt" erklärt.

Für ein von Ihrem Reader unabhängiges Urteil bietet die Europäische Kommission ein kostenloses DSS-Validierungswerkzeug im Web. Es zeigt Signaturniveau, Zertifikatskette, Zeitstempel und ob der Dokument-Digest passt. Da die Datei hochgeladen wird, verwenden Sie es nur mit Beispieldokumenten oder im Rahmen Ihrer Datenschutzvorgaben.

Prüfen Sie außerdem die Zeitangaben:

Das verwandte Risiko erfundener Zertifikate behandelt der Beitrag zu gefälschten Signaturzertifikaten.

Schritt 5: Den signierten Inhalt gegenprüfen

Vergleichen Sie Beträge und Kennungen der signierten Version mit einer Quelle, die der Absender nicht kontrolliert. Selbst eine perfekte Signatur beweist nur, dass der Unterzeichner diese Bytes freigegeben hat. Sie beweist nicht, dass die Beträge stimmten. Bei einer signierten Arbeitgeberbescheinigung prüfen Sie die Firma im Handelsregister. Bei einem signierten Vertrag kontrollieren Sie Parteien und Handelsregisternummer. Bei einer signierten Gehaltsabrechnung gleichen Sie den Nettobetrag mit dem Zahlungseingang ab.

Antragsteller fragen oft: „Ich habe doch unterschrieben, warum will die Bank das Original aus dem Portal?" Weil die Bank Herkunft und Konsistenz prüft, nicht nur die Integrität. Der Leitfaden zum Erkennen bearbeiteter PDFs und der Beitrag zur Manipulation von PDF-Metadaten behandeln die ergänzenden Prüfungen auf Dateiebene.

Was Sie vom Absender verlangen und wann Sie eskalieren

Fordern Sie die signierte Originaldatei direkt von der Signaturplattform oder vom Unterzeichner an und bewahren Sie die empfangene Version auf. Rekonstruieren oder „reparieren" Sie die Datei nicht selbst. Ein redlicher Absender kann die versiegelte Kopie fast immer erneut herunterladen oder den Prüfpfad des Signaturdienstes senden.

• Panel meldet Änderung seit der Signatur: Original anfordern, die Kopie nicht weiterverarbeiten.
• Spätere Revision vorhanden, Panel aber gültig: vergleichen und fragen, warum das Update nötig war.
• Gültigkeit unbekannt: Zertifikatsaussteller prüfen und in einem zweiten Werkzeug validieren, bevor Sie schließen.
• Keine Signatur, obwohl eine angekündigt war: die signierte Version anfordern.

Eskalieren Sie, wenn eine Änderung mit einer Unstimmigkeit zusammenfällt, etwa ein geänderter Betrag und eine Revision, die Tage nach der Signatur entstand. Über das weitere Vorgehen entscheidet der Geldwäschebeauftragte; der Erstprüfer beschuldigt niemanden. Das Geldwäschegesetz verlangt in § 12 die Identitätsprüfung anhand geeigneter Dokumente, und die BaFin erwartet von Verpflichteten nachvollziehbare Prüfprozesse.

Zum Gesamtprozess siehe den Leitfaden zur Dokumentenprüfung. Wenn Sie signierte Dateien in großer Zahl erhalten, ergänzen die Signale für KI-Erzeugung und Manipulation von CheckFile Ihre bestehenden Kontrollen, und die Lösung für Banken und KYC beschreibt, was eine Dateiprüfung vergleicht: Felder, Daten und Register. Die Preisseite nennt die Tarife.

Häufig gestellte Fragen

Kann ein PDF nach der Signatur noch geändert werden?

Ja, auf zwei Wegen. Änderungen im signierten Bytebereich brechen die Signatur, was der Reader meldet. Als neue Revision angehängte Änderungen lassen die erste Signatur gültig, sodass Sie die signierte Version öffnen und mit der aktuellen vergleichen müssen.

Wie sehe ich die Version, die signiert wurde?

Im Adobe Acrobat Reader öffnen Sie das Signaturpanel, klicken die Signatur mit der rechten Maustaste an und wählen „Signierte Version anzeigen". Auf der Kommandozeile listet pdfsig jede Signatur samt Bytebereich, und qpdf kann frühere Revisionen extrahieren.

Warum zeigt mein PDF „Gültigkeit unbekannt"?

Meist fehlt dem Reader der Aussteller in seiner Vertrauensliste, oder er kann den Sperrstatus offline nicht prüfen. Das heißt nicht, dass die Datei geändert wurde. Validieren Sie dieselbe Datei in einem zweiten Werkzeug, etwa dem DSS-Validator der EU-Kommission, bevor Sie urteilen.

Beweist eine gültige Signatur, dass der Inhalt stimmt?

Nein. Sie beweist, dass sich die Bytes seit dem Signieren nicht geändert haben, und verknüpft sie mit einem Zertifikat. Ob Beträge, Namen und Daten korrekt sind, klären Sie durch Abgleich mit Registern oder anderen Dokumenten.

Kann ich eine Signatur entfernen und ein korrigiertes PDF neu signieren?

Das ist möglich, ergibt aber ein neues Dokument mit neuer Signatur. Wer sich auf die frühere signierte Version verlassen hat, sollte auch das Original erhalten, damit die Versionskette sichtbar bleibt.

Um diesen Risikobereich im CheckFile-Angebot einzuordnen, siehe unseren Ansatz zur KI- und Deepfake-Erkennung.