Kurz gesagt
- Handschriftlich: mit Finger, Stift oder Maus im Formular unterschrieben; der Server bindet die Unterschrift mit einer SHA-512-Signatur an das Dokument.
- Je Formular: "Sign the PDF when it is submitted" im Freigabedialog; Formulare mit Anmeldung werden mit dem eigenen Schlüssel der Person auf dem CodeB-Server signiert, alle anderen erhalten das Siegel der Organisation.
- Langzeit: Signaturen des CodeB-Signaturdienstes erreichen PAdES B-LTA: Signaturzeitstempel, Prüfdaten (Zertifikate und OCSP-Antworten) und ein Archivzeitstempel über das Dokument.
- X.509: Textfelder mit dem Namen
esignaturewerden PDF-Signaturfelder für Zertifikate und Chipkarten (fortgeschrittene und qualifizierte Signatur).
Handschriftliche elektronische Signatur
Signaturfelder werden auf Smartphone und Tablet mit Finger oder Stift, am PC mit der Maus unterschrieben. Ihre Geräte werden zum Unterschriften-Pad, ohne Hardware zu kaufen oder eine App zu installieren.
- Die Unterschrift wird durch eine SHA-512-Signatur des Servers an genau ein Dokument gebunden.
- Die Serversignatur kann einen Zeitstempel eines RFC-3161-Zeitstempeldienstes tragen, etwa des Aloaha Timestamping Server.
- Die Kommunikation zwischen Gerät und Server ist per TLS verschlüsselt.
Typische Einsätze: Unterschriften in der Filiale oder am Schalter, Außendienst vor Ort, Bestätigungen von Besichtigungen oder Lieferungen.
Digitale X.509-Signatur
Benennen Sie im Designer ein Textfeld esignature, und es wird zum PDF-Signaturfeld. Nach dem Einreichen öffnet die Person das bestätigte PDF im Adobe Reader, klickt auf das Feld und signiert mit Zertifikat oder Chipkarte. Eine Senden-Schaltfläche schickt das signierte PDF an die zuständige Stelle.
Signaturstufen nach eIDAS
Die EU-Verordnung eIDAS unterscheidet drei Stufen elektronischer Signaturen.
| Stufe | Was sie ist | Mit dem eForms Server |
|---|---|---|
| Einfach (EES) | Jedes elektronische Zeichen einer Willenserklärung, etwa eine gezeichnete Unterschrift. | Handschriftliche Signatur, vom Server versiegelt und mit Zeitstempel. |
| Fortgeschritten (FES) | Eindeutig der unterzeichnenden Person zugeordnet, erkennt spätere Änderungen. | Signatur mit dem persönlichen Schlüssel der angemeldeten Person auf einem CodeB-Server (Formulare mit Anmeldung) oder X.509-Signaturfeld mit persönlichem Zertifikat. |
| Qualifiziert (QES) | Fortgeschrittene Signatur mit qualifiziertem Zertifikat auf sicherer Signaturerstellungseinheit. | X.509-Signaturfeld mit qualifizierter Chipkarte, etwa mit dem Aloaha PDF Signator. |
Was der Server festhält
Wird ein Formular mit handschriftlicher Unterschrift abgesendet, erzeugt der Server das vollständige Formular samt Unterschriftsbild als PDF und versiegelt es mit seiner eigenen digitalen Signatur (SHA-512). Jede spätere Änderung am PDF bricht das Siegel, was PDF-Programme wie Adobe Reader anzeigen. Ist ein Zeitstempelserver nach RFC 3161 eingerichtet, belegt das Siegel auch, wann unterschrieben wurde. Absender und Formularinhaber erhalten dasselbe versiegelte PDF.
Für eine höhere Stufe können Formulare eine Anmeldung mit geprüfter Identität verlangen, etwa mit der EU Digital Identity Wallet, und das PDF hält fest, wie sich die Person angemeldet hat.
Jede Einsendung versiegeln oder signieren
Ob das PDF einer Einsendung signiert wird, legen Sie je Formular fest: Setzen Sie beim Freigeben das Häkchen bei Sign the PDF when it is submitted. Der Server signiert dann jedes eingesendete PDF in dieser Reihenfolge:
- Formulare mit Anmeldepflicht bei einem CodeB-Server (zum Beispiel phone.codeb.io) werden mit dem persönlichen Schlüssel der angemeldeten Person auf genau diesem Server signiert. Der Server nutzt dafür die Anmeldung der Person; niemand muss Software installieren oder ein Zertifikatspasswort eingeben.
- Alle anderen Formulare erhalten das Siegel der Organisation: vom CodeB-Signaturdienst mit einem eigenen Konto oder von einem Zertifikat auf dem Formularserver selbst.
- Ist die persönliche Signatur nicht möglich, etwa weil der Schlüssel der Person eine PIN verlangt, erhält das PDF stattdessen das Siegel der Organisation. So geht keine Einsendung verloren.
Signaturen des CodeB-Signaturdienstes sind fortgeschrittene elektronische Signaturen im PAdES-Format (nicht qualifiziert) und auf der Seite unsichtbar; PDF-Programme zeigen sie in der Signaturleiste. Standardmäßig erreichen sie die Stufe PAdES B-LTA:
- B-T: Ein Zeitstempel nach RFC 3161 belegt, wann das PDF signiert wurde.
- B-LT: Zertifikate und OCSP-Antworten werden eingebettet, die Signatur lässt sich also später ohne die ursprünglichen Server prüfen.
- B-LTA: Ein Archivzeitstempel über das Dokument schützt Signatur und Prüfdaten.
Der Signaturdienst meldet die erreichte Stufe. Ein PDF unterhalb der niedrigsten akzeptierten Stufe (eine Einstellung) erhält stattdessen das Siegel der Organisation. Formulare mit handschriftlicher Unterschrift werden immer versiegelt.
Häufige Fragen
Ist eine handschriftliche Unterschrift im Webformular rechtsgültig?
Sie ist eine einfache elektronische Signatur nach eIDAS. Der eForms Server bindet sie mit einer Serversignatur und optionalem Zeitstempel an das Dokument, sodass spätere Änderungen erkannt werden.
Können Formulare mit Chipkarte signiert werden?
Ja. Felder namens esignature werden zu PDF-Signaturfeldern, die im Adobe Reader mit X.509-Zertifikaten und Chipkarten signiert werden können.
Was ist der Unterschied zwischen versiegeltem und signiertem PDF?
Das Siegel ist die digitale Signatur des Servers über das eingesandte Formular: Es belegt, dass das Dokument seit der Einsendung unverändert ist. Eine persönliche X.509-Signatur leistet die unterschreibende Person mit ihrem eigenen Zertifikat oder ihrer Chipkarte im Feld esignature.
Brauche ich ein Unterschriftenpad?
Nein. Smartphones und Tablets funktionieren mit Finger oder Stift, Desktops mit der Maus; Hardware oder App sind nicht nötig.
Kann die ausfüllende Person das Formular mit ihrem eigenen Schlüssel signieren?
Ja, wenn das Formular die Anmeldung bei einem CodeB-Server verlangt und beim Einsenden signiert werden soll. Das PDF wird dann mit dem persönlichen Schlüssel der angemeldeten Person auf dem Server signiert, bei dem sie sich angemeldet hat, als fortgeschrittene elektronische Signatur (PAdES, nicht qualifiziert). Geht das nicht, erhält das PDF das Siegel der Organisation.
Kann ich festlegen, welche Formulare signiert werden?
Ja. Setzen oder entfernen Sie beim Freigeben das Häkchen bei "Sign the PDF when it is submitted". Formulare mit handschriftlicher Unterschrift werden immer versiegelt.
Lässt sich ein signiertes PDF auch in zehn Jahren noch prüfen?
Eine Signatur nach PAdES B-LTA trägt ihre Prüfdaten und einen Archivzeitstempel selbst, sie lässt sich also ohne die Server prüfen, die die Zertifikate ausgestellt haben. Damit sie über die Laufzeit des Zeitstempelzertifikats hinaus prüfbar bleibt, muss vor dessen Ablauf ein neuer Archivzeitstempel ergänzt werden.
Was passiert, wenn der Zeitstempeldienst ausfällt?
Die eigene Signatur der Person wird dann ohne Zeitstempel erstellt (Stufe B-B), sofern die niedrigste akzeptierte Stufe das zulässt; sonst erhält das PDF das Siegel der Organisation. Die erreichte Stufe steht im Ereignisprotokoll des Servers.
Können Absender das PDF mit ihrer eigenen Wallet unterschreiben?
Ja, mit der CodeB Wallet: Geben Sie das Formular mit "After submitting, offer to sign the PDF in CodeB Wallet" frei (Formulare mit Anmeldung über einen CodeB-Server). Nach der normalen Einsendung erhält die Person einen Link, unterschreibt das PDF in der Wallet, und das unterschriebene PDF geht an sie und den Formularbesitzer. Einzelheiten auf der Seite zur EUDI-Wallet.
Stand: