PDF: Digitales Zertifikat abgelaufen – Ursachen und Lösungsschritte
Wenn Sie ein digital signiertes PDF öffnen und die Meldung 'Das digitale Zertifikat ist abgelaufen' oder 'Signatur ungültig – Zertifikat abgelaufen' sehen, löst das verständlicherweise Bedenken aus. Bedeutet das, dass die Unterschrift ungültig ist? Ist das Dokument nicht mehr rechtsgültig? Was muss jetzt getan werden? Digitale Zertifikate, die für PDF-Signaturen verwendet werden, haben eine begrenzte Gültigkeitsdauer – typischerweise 1–3 Jahre. Nach Ablauf dieser Zeit zeigen PDF-Viewer eine Warnung an. Das bedeutet jedoch nicht zwangsläufig, dass die Signatur selbst ungültig ist oder das Dokument wertlos wird. Es bedeutet, dass das Zertifikat zum Zeitpunkt der Überprüfung nicht mehr gültig ist – aber wenn die Signatur mit einem Zeitstempel versehen war, kann die Gültigkeit zum Zeitpunkt der Unterzeichnung nachgewiesen werden. In diesem Artikel erklären wir, was digitale Zertifikate sind, warum sie ablaufen, was eine abgelaufene Zertifikat-Meldung bedeutet und welche Schritte Sie unternehmen können.
Was sind digitale Zertifikate und warum laufen sie ab?
Digitale Zertifikate sind elektronische Dokumente, die die Identität einer Person oder Organisation bestätigen und für die Erstellung digitaler Signaturen verwendet werden. Sie werden von vertrauenswürdigen Zertifizierungsstellen (Certificate Authorities, CA) ausgestellt – in Deutschland zum Beispiel von der Bundesdruckerei (D-Trust), Telesec oder DGN. Zertifikate haben eine begrenzte Gültigkeitsdauer aus Sicherheitsgründen: Wenn ein privater Schlüssel kompromittiert wird, verhindert die begrenzte Gültigkeit, dass das kompromittierte Zertifikat unbegrenzt missbraucht werden kann. Typische Gültigkeitsdauern: Qualifizierte elektronische Signaturen (QES) haben oft 1–3 Jahre. Standard-Zertifikate für einfachere Signaturen können 1–5 Jahre gelten. Nach Ablauf muss ein neues Zertifikat erworben und die Signatur erneuert werden.
Was bedeutet 'Zertifikat abgelaufen' für die Rechtsgültigkeit?
Die entscheidende Frage: Wenn ein Zertifikat abgelaufen ist, ist die Signatur dann noch rechtsgültig? Die Antwort hängt davon ab, ob die Signatur zum Zeitpunkt ihrer Erstellung mit einem vertrauenswürdigen Zeitstempel (Trusted Timestamp) versehen wurde. Mit vertrauenswürdigem Zeitstempel (LTV – Long-Term Validation): Der Zeitstempel beweist, dass die Signatur erstellt wurde, als das Zertifikat noch gültig war. Die Signatur bleibt rechtsgültig, auch wenn das Zertifikat inzwischen abgelaufen ist. Dieser Ansatz ist in Deutschland für Langzeitarchivierung vorgeschrieben. Ohne Zeitstempel: Ohne Zeitstempel kann nicht bewiesen werden, ob die Signatur erstellt wurde, als das Zertifikat noch gültig war. Die Signatur wird als 'nicht vertrauenswürdig' eingestuft, was rechtliche Konsequenzen haben kann. Für wichtige Verträge und behördliche Dokumente sollten Signaturen immer mit einem Zeitstempel versehen sein.
Dokument mit abgelaufenem Zertifikat prüfen
Wenn Sie ein PDF mit einer abgelaufenen Zertifikat-Meldung erhalten, gehen Sie folgendermaßen vor: Prüfen Sie in Adobe Acrobat Reader die Signatureigenschaften: Klicken Sie auf das Signatur-Panel in der Seitenleiste oder auf die Signatur im Dokument > Signatureigenschaften anzeigen. Prüfen Sie, ob ein Zeitstempel vorhanden ist, und wenn ja, ob dieser zum Zeitpunkt der Unterzeichnung gültig war. Wenn der Zeitstempel vorhanden und gültig ist: Die Signatur ist trotz abgelaufenem Zertifikat rechtsgültig. Die Meldung ist eine technische Warnung, keine rechtliche Aussage über die Ungültigkeit der Unterschrift selbst. Wenn kein Zeitstempel vorhanden: Kontaktieren Sie den Unterzeichner und bitten Sie um eine erneute Unterzeichnung mit einem aktuellen Zertifikat, oder prüfen Sie alternative Beweismittel für die Echtheit des Dokuments (z.B. E-Mail-Verlauf der Unterzeichnung, Zeugen).
- 1Öffnen Sie das PDF in Adobe Acrobat Reader.
- 2Klicken Sie auf das Signatur-Symbol in der linken Seitenleiste.
- 3Klicken Sie auf 'Signatureigenschaften anzeigen' für die betreffende Signatur.
- 4Prüfen Sie, ob ein vertrauenswürdiger Zeitstempel vorhanden ist.
- 5Wenn Zeitstempel vorhanden: Das Dokument ist trotz Ablauf des Zertifikats rechtsgültig – dokumentieren Sie dies für Ihre Unterlagen.
Eigene digitale Signaturen erneuern
Wenn Sie selbst digitale Signaturen erstellen und Ihr Zertifikat abgelaufen ist, müssen Sie ein neues Zertifikat erwerben. In Deutschland bieten folgende Anbieter qualifizierte Zertifikate für digitale Signaturen an: D-Trust (Bundesdruckerei), Deutsche Telekom Security, DGN Deutsches Gesundheitsnetz, Telesec, DocuSign. Der Preis für ein qualifiziertes Signaturzertifikat liegt typischerweise bei 30–100 Euro pro Jahr. Für bestehende Dokumente, die mit dem abgelaufenen Zertifikat signiert wurden: Wenn diese Dokumente für Langzeitarchivierung bestimmt sind, sollten Sie sie erneut mit dem neuen Zertifikat signieren und mit einem Zeitstempel versehen, solange der Zeitstempel des alten Zertifikats noch gültig verifiziert werden kann. In Adobe Acrobat Pro: Werkzeuge > Schützen > Mehr > Zeitstempel hinzufügen, um dem bereits signierten Dokument einen Zeitstempel hinzuzufügen.
Häufig gestellte Fragen
Muss ich einen Vertrag neu unterschreiben, wenn das Zertifikat abgelaufen ist?
Wenn die ursprüngliche Signatur mit einem gültigen Zeitstempel versehen war, ist eine erneute Unterschrift nicht notwendig – die Signatur ist trotz abgelaufenem Zertifikat rechtsgültig. Wenn kein Zeitstempel vorhanden war, hängt die Antwort vom jeweiligen Rechtskontext ab. Für wichtige Verträge und behördliche Dokumente empfiehlt sich im Zweifelsfall eine erneute Unterzeichnung oder eine rechtliche Beratung.
Wie kann ich überprüfen, ob ein Zeitstempel vorhanden ist?
In Adobe Acrobat Reader: Klicken Sie auf das Signatursymbol > Signatureigenschaften anzeigen. Im Bereich 'Gültigkeit der Signatur' wird angezeigt, ob die Signatur einen vertrauenswürdigen Zeitstempel enthält. Wenn 'Zeitstempel des Zertifikats von: [Zeitstempel-Anbieter] am [Datum]' angezeigt wird, ist ein Zeitstempel vorhanden.
Gilt eine abgelaufene Zertifikat-Warnung auch für selbst signierte Zertifikate?
Ja, auch selbst signierte Zertifikate (Self-Signed Certificates) können ablaufen. Selbst signierte Zertifikate werden nicht von einer vertrauenswürdigen CA ausgestellt und haben daher ohnehin einen eingeschränkten Vertrauensstatus. Für geschäftliche oder rechtliche Zwecke sollten immer Zertifikate von anerkannten Zertifizierungsstellen verwendet werden.
Was ist der Unterschied zwischen einfacher, fortgeschrittener und qualifizierter elektronischer Signatur?
In der EU sind drei Signaturtypen definiert (eIDAS-Verordnung): Einfache elektronische Signatur (EES): jeder digitale Ausdruck der Genehmigung, z.B. eingescannte Unterschrift oder E-Mail-Bestätigung. Fortgeschrittene elektronische Signatur (FES): technisch mit dem Unterzeichner verbunden, mit Zertifikat abgesichert. Qualifizierte elektronische Signatur (QES): höchste Sicherheitsstufe, mit qualifiziertem Zertifikat von akkreditierter CA, rechtlich gleichwertig mit handschriftlicher Unterschrift in Deutschland.