Ein PDF mit deiner eID signieren

In Kapitel 7.1 hast du einen Satz über den Abwasch signiert. Das Schlüsselpaar dafür hast du an Ort und Stelle in deinem Browser gemacht, und als du den Tab geschlossen hast, war es weg — es hatte nie irgendwo anders existiert. Hier machst du genau dasselbe, aber mit einem Schlüssel, den du nicht gemacht hast und nicht kopieren kannst, weil er in einem Stück Plastik in deiner Geldbörse steckt. Und du signierst keinen Satz, sondern ein echtes Dokument. Was dabei herauskommt, ist vor dem Gesetz deine Unterschrift.

Was passiert, wenn du auf „signieren“ klickst

1. Die ganze PDF-Datei wird gehasht (Kapitel 2). Von einem Dokument von drei Megabyte bleibt eine einzige Zahl von 32 Bytes übrig. Änder ein einziges Komma daran, und diese Zahl ist völlig anders.
2. Nur dieser Hash geht zum Chip deiner Karte. Das Dokument selbst nicht: dafür hat der Chip weder den Platz noch die Rechenkraft, und er muss es auch gar nicht sehen.
3. Du gibst deine PIN. Der Chip signiert den Hash mit dem sign-Schlüssel — der privaten Hälfte eines Schlüsselpaars (Kapitel 6), die den Chip nie verlässt, so wie du es in Kapitel 8.2 gesehen hast. Heraus kommt nur die Signatur.
4. Diese Signatur wandert in die PDF-Datei, zusammen mit deinem Signaturzertifikat und den Zertifikaten darüber, bis hinauf zum belgischen Staat — die Kette aus Kapitel 7.2. Ohne diese Kette weiß ein Leseprogramm zwar, dass signiert wurde, aber nicht von wem.
5. Dazu wird ein Zeitstempel geholt und mit eingeschlossen, damit später feststeht, wann du signiert hast, auch wenn dein Zertifikat inzwischen abgelaufen ist.

PAdES: die Signatur steckt im Dokument selbst

Ein eingescanntes Gekritzel unten auf einem Blatt ist ein Bild. Es steht neben dem Text und weiß nichts vom Text. Jemand kann es darunter wegschneiden und unter ein anderes Dokument kleben oder den Betrag darüber ändern, und am Bild ist nichts zu sehen. Es beweist also nur, dass irgendwann irgendwo eine Unterschrift existiert hat.

Eine PAdES-Signatur ist kein Bild, sondern eine Rechnung über die Bytes der Datei. Sie ist in der PDF-Datei selbst abgelegt, an einer festen Stelle, die jedes PDF-Leseprogramm kennt, und dabei steht, welcher Teil der Datei signiert ist. Änder dort ein einziges Zeichen, und der Hash aus Schritt 1 stimmt nicht mehr, also stimmt das Siegel nicht mehr, und jedes Leseprogramm sagt das. Es gibt kein „fast richtig“ — genau wie in der Demo aus Kapitel 7.1.

PAdES ist keine eigene Erfindung für PDF. Darunter steckt CMS, dasselbe Paketformat für signierte Daten, das auch unter signierter E-Mail liegt, in der ETSI-Ausführung, die CAdES heißt. PAdES ist die Abmachung darüber, wie man so ein Paket sauber in eine PDF-Datei bekommt.

auth oder sign: hier ist es sign

Deine Karte hat zwei Schlüssel, und der Unterschied ist kein technisches Detail. auth sagt „das bin ich“ — das ist ein Anmeldeversuch, und den kannst du morgen einfach noch einmal machen oder auch nicht. sign sagt „ich bin mit dem einverstanden, was da oben steht“. Ein Dokument zu signieren ist das Zweite, und deshalb benutzt dieser Dienst sign.

Signier nie etwas, das du nicht gelesen hast. Das ist der wichtigste Satz dieses Kapitels. Der Chip liest dein Dokument nicht, schaut nicht nach, ob es vernünftig ist, und warnt dich vor gar nichts; er rechnet ein Siegel über die Bytes aus, die er bekommt. Dieses Siegel ist rechtlich genauso gültig wie deine Unterschrift mit einem Stift, und du kannst es hinterher nicht abstreiten und nicht zurücknehmen. Wer dich nach deiner PIN für sign fragt, fragt nach deiner Unterschrift — nicht nach deinem Passwort.

Was das Gesetz dazu sagt

eIDAS kennt drei Stufen der elektronischen Signatur: einfach, fortgeschritten und qualifiziert. Nur die letzte ist einer Unterschrift mit der Hand gleichgestellt. Artikel 25 der Verordnung (EU) Nr. 910/2014 sagt, dass eine qualifizierte elektronische Signatur die gleiche Rechtswirkung hat wie eine handschriftliche Unterschrift. Die beiden anderen Stufen darf ein Richter nicht zurückweisen, nur weil sie elektronisch sind — aber diese Gleichstellung bekommen sie nicht.

Deine eID sitzt auf dieser obersten Stufe. Das Zertifikat zum sign-Schlüssel heißt in den offiziellen Dokumenten wörtlich „Qualifiziertes Zertifikat für elektronische Signaturen“, und das Zertifikat fürs Anmelden ausdrücklich nicht — dieser Unterschied ist mit Absicht gemacht worden.

2024 ist eIDAS durch die Verordnung (EU) 2024/1183 vom 11. April 2024 überarbeitet worden, die du meistens eIDAS 2 genannt siehst. Sie fügt den europäischen Rahmen für eine digitale Brieftasche für deine Identität auf dem Handy hinzu. An den drei Stufen und an der Gleichstellung der qualifizierten Signatur ändert sie nichts.

Zwei Gründe, warum es vielleicht noch nicht klappt. Das Signaturzertifikat kommt erst ab deinem achtzehnten Geburtstag auf deine Karte; bist du jünger, dann steht nur auth darauf, und du kannst dich zwar anmelden, aber nicht signieren. Das ist keine technische Einschränkung, sondern eine rechtliche: eine minderjährige Person kann sich meistens nicht rechtsgültig binden. Und seit dem 21. Mai 2026 sind die ältesten Karten raus — das Signaturzertifikat auf eIDs, die vor dem 4. Juli 2016 ausgestellt wurden, hat an diesem Tag seine Qualifikation verloren. Anmelden geht mit so einer Karte noch, signieren nicht mehr; der Staat baut dafür einen eigenen Dienst auf. Siehe die Mitteilung des belgischen Innenministeriums.

Wie du nachschaust, ob es geklappt hat

Öffne die signierte PDF in einem Leseprogramm, das Signaturen kennt — Adobe Acrobat Reader macht das. Oben erscheint ein Balken, der sagt, dass das Dokument signiert ist. Klapp das Signaturfenster auf, und du siehst, wer signiert hat, wann, und den Satz, um den es geht: dass das Dokument seit dieser Signatur nicht mehr geändert wurde. Findest du diesen Satz nicht, dann stimmt etwas nicht.

Willst du dich nicht nur auf Adobe stützen, dann gibt es das Validierungswerkzeug der Europäischen Kommission: die DSS-Demo. Dort lädst du deine PDF hoch und bekommst einen Bericht zurück, von einer Stelle, die nichts mit deinem Dokument und nichts mit diesem Dienst zu tun hat. Genau das ist der Sinn einer Norm wie PAdES: alle prüfen dieselbe Datei auf dieselbe Weise, und du musst dafür niemandem aufs Wort glauben.

Willst du sehen, dass es wirklich funktioniert: mach eine Kopie, bearbeite diese Kopie, änder einen einzigen Buchstaben und speicher. Öffne sie wieder. Das Leseprogramm meldet jetzt, dass das Dokument nach dem Signieren geändert wurde. Das ist dieselbe Schaltfläche Verifizieren aus Kapitel 7.1, nur eingebaut in dein PDF-Leseprogramm.