Zertifikatbasierte Signaturen

Eine zertifikatbasierte Signatur identifiziert, wie eine von Hand ausgeführte Signatur, die Person, die ein Dokument unterschreibt. Im Gegensatz zur handschriftlichen Signatur ist eine zertifikatbasierte Signatur fast fälschungssicher, da sie verschlüsselte Informationen enthält, die den Unterzeichnenden eindeutig ausweisen. Sie kann einfach verifiziert werden und lässt den Empfänger erkennen, ob das Dokument nach dem Signieren verändert wurde.

Um ein Dokument mit einer zertifikatbasierten Signatur signieren zu können, müssen Sie eine digitale ID anfordern oder eine eigene digitale ID in Acrobat oder Adobe Reader erstellen. Die digitale ID enthält einen privaten Schlüssel und ein Zertifikat mit einem öffentlichen Schlüssel sowie andere Daten. Der private Schlüssel wird zur Erstellung der zertifikatbasierten Signatur verwendet. Das Zertifikat ist ein automatisch auf das signierte Dokument angewendeter Identitätsnachweis. Öffnet der Empfänger das Dokument, wird die Signatur verifiziert.

Wenn Sie eine zertifikatbasierte Signatur verwenden, erstellt Acrobat mit Hilfe eines Hash-Algorithmus eine Meldungszusammenfassung, die mit dem privaten Schlüssel verschlüsselt wird. In Adobe werden die verschlüsselte Nachrichtenzusammenfassung, die Zertifikatsinformationen, das Signaturbild und eine Dokumentversion zum Zeitpunkt der Unterzeichnung in die PDF-Datei eingebettet.

Im Bereich „Signieren“ > „Arbeiten mit Zertifikaten“ können Sie zwei Arten zertifikatbasierter Signaturen anwenden. Sie können ein Dokument zertifizieren, um seinen Inhalt zu bestätigen, oder ein Dokument mit der Option „Signieren mit Zertifikat“ bestätigen.

Signaturen, die mit Zertifizierungsoptionen oder der Option „Signieren mit Zertifikat“ vorgenommen werden, entsprechen den Datenschutzstandards des Europäischen Instituts für Telekommunikationsnormen (ETSI). Beide digitalen Signaturtypen entsprechen ferner der PAdES-Norm (PDF Advanced Electronic Signature). In Acrobat und Reader steht eine Option zum Ändern des Standardsignierformats in ein CAdES-Format zur Verfügung. Die Option entspricht Teil 3 der PAdES-Norm. Die Zeitstempelfunktion und der integrierte Support für langfristige Signaturvalidierung (Einführung in Acrobat 9.1) entspricht Teil 4 der PAdES-Norm. Ist das Standard-Signaturformat korrekt eingerichtet, entspricht es Teil 2 der PAdES-Norm. Im Fenster „Signaturen“ des Dialogfelds „Voreinstellungen“ können Sie die Standardmethode und das Standardformat für das Signieren ändern. Klicken Sie unter „Erstellung & Erscheinungsbild“ auf „Mehr“.

Mit Hilfe der folgenden vorbereitenden Maßnahmen lassen sich der Signaturvorgang beschleunigen und die Ergebnisse optimieren.

• Beschaffen Sie eine digitale ID von Ihrer Organisation, erwerben Sie eine digitale ID (siehe Adobe-Website für Sicherheitspartner) oder erstellen Sie eine eigene digitale ID. Siehe Eigene digitale ID erstellen. Zertifikatbasierte Signaturen können nur mit einer digitalen ID angewendet werden.
  

• Legen Sie die Standard-Signaturmethode fest.

• Erstellen Sie für Ihre zertifikatbasierte Signatur ein Erscheinungsbild. (Siehe Erscheinungsbild für Signatur erstellen.)

• Verwenden Sie den Modus Vorschau des Dokuments, um alle dynamischen Inhalte zu unterdrücken, die das Erscheinungsbild des Dokuments verändern und dazu führen, dass Sie fälschlicherweise ein ungeeignetes Dokument signieren. Weitere Informationen zum Verwenden des Dokumentvorschau-Modus finden Sie unter PDF-Dokumente im Dokumentvorschau-Modus signieren.

• Überprüfen Sie vor dem Signieren alle Seiten in einem Dokument. Dokumente können auf mehreren Seiten Signaturfelder enthalten.

• Konfigurieren Sie die Signaturanwendung. Sowohl Verfasser als auch Unterzeichnende sollten ihre Anwendungsumgebung entsprechend konfigurieren. (Siehe Voreinstellungen für Signaturen festlegen.) 

Ausführliche Informationen zu sämtlichen Konfigurationsoptionen der Unternehmenseinstellungen erhalten Sie im Digital Signatures Guide (Handbuch für digitale Signaturen).

• Wählen Sie einen Signaturtyp aus. Machen Sie sich mit den Eigenschaften von Genehmigungs- und Zertifizierungssignaturen vertraut, um den für Ihr Dokument geeigneten Signaturtyp zu bestimmen. (Siehe Signaturtypen.)

Über die Voreinstellungen für Signaturen wird festgelegt, welche Elemente für Sie sichtbar sind und welche Aktionen beim Öffnen des Signieren-Dialogfelds zur Verfügung stehen. Sie können bestimmte Aktionen zulassen, Datenfelder ein- oder ausblenden und festlegen, inwiefern Inhalte sich auf das Signieren auswirken. Über die Voreinstellungen für Signaturen wird festgelegt, was beim Signieren angezeigt wird. Weitere Informationen zu den verfügbaren Voreinstellungen für Signaturen finden Sie unter dem Thema Signing Workflow Preferences (Voreinstellungen für den Signaturvorgang) im Digital Signature Guide (Handbuch für digitale Signaturen) unter www.adobe.com/go/learn_acr_security_de.

Seed-Werte bieten Dokumentverfassern zusätzliche Kontrollmöglichkeiten, da sie festlegen können, welche Auswahl Unterzeichner beim Unterschreiben eines Dokuments treffen dürfen. Durch die Verwendung von Seed-Werten für die Signaturfelder in nicht signierten PDFs können Verfasser Optionen anpassen und Aufgaben automatisieren. Sie können außerdem Signaturvorgaben für Elemente wie Zertifikate und Zeitstempelserver festlegen. Weitere Informationen zum Anpassen von Signaturen mit Seed-Werten finden Sie im Digital Signature Guide (Handbuch für digitale Signaturen – PDF) unter www.adobe.com/go/learn_acr_security_de.

Über die Optionen im Fenster „Signaturen“ des Dialogfelds „Voreinstellungen“ können Sie das Erscheinungsbild Ihrer zertifikatbasierten Signatur festlegen. Sie können z. B. eine Abbildung Ihrer handschriftlichen Signatur, ein Firmenlogo oder ein Foto einschließen. Erstellen Sie verschiedene Signaturen für unterschiedliche Zwecke. Einige Erscheinungsbilder sollen vielleicht detaillierter sein.

Eine Signatur kann auch Informationen enthalten, die anderen bei der Überprüfung IhrerSignaturhilft, wie der Grund für die Unterschrift, Kontaktinformationen und mehr.

Eine Roaming-ID ist eine auf einem Server gespeicherte digitale ID, auf die der Abonnent Zugriff hat. Für den Zugriff auf eine Roaming-ID müssen Sie über eine Internetverbindung verfügen. Sie benötigen außerdem ein Konto bei einer Organisation, die digitale Roaming-IDs bereitstellt.

Nach dem Hinzufügen der Roaming-ID kann diese zum Signieren und Verschlüsseln verwendet werden. Wenn Sie einen Vorgang ausführen, für den Ihre Roaming-ID erforderlich ist, wird automatisch eine Anmeldung am Roaming-ID-Server durchgeführt, falls Ihre Authentifizierungszusicherung nicht abgelaufen ist.

Sie können verschiedene digitale IDs für verschiedene Vorgänge verwenden, wie z. B. wenn Sie Dokumente in verschiedenen Rollen signieren oder unterschiedliche Zertifizierungsmethoden verwenden müssen. Digitale IDs sind im Allgemeinen kennwortgeschützt. Sie können im Dateiformat PKCS #12 auf Ihrem System gespeichert werden. Digitale IDs können ferner auch auf einer Smartcard, einem Hardware-Token oder im Windows-Zertifikatspeicher gespeichert werden. Roaming IDs können auf einem Server gespeichert werden. Acrobat verfügt über einen standardmäßigen Signatur-Handler, der auf digitale IDs an verschiedenen Speicherorten zugreifen kann. Sie müssen die digitale ID in Acrobat registrieren, damit diese Funktion zur Verfügung steht.

Verzeichnisserver sind zentrale Speicherorte von Identitäten innerhalb eines Unternehmens. Der Server dient als idealer Speicherort für Benutzerzertifikate in Unternehmen, die Zertifikatverschlüsselung einsetzen. Mit Verzeichnisservern können Sie nach bestimmten Zertifikaten auf Netzwerkservern, u. a. LDAP-Servern (Lightweight Directory Access Protocol), suchen. Nachdem Sie ein Zertifikat gefunden haben, können Sie es Ihrer Liste vertrauenswürdiger Identitäten hinzufügen, so dass Sie nicht mehr danach suchen müssen. Durch die Entwicklung eines Speicherbereichs für vertrauenswürdige Zertifikate können Sie oder ein anderes Mitglied der Arbeitsgruppe die Nutzung der Verschlüsselung in Ihrer Arbeitsgruppe vereinfachen.

Weitere Informationen über Verzeichnisserver finden Sie im Digital Signature Guide (Handbuch für digitale Signaturen – PDF) unter www.adobe.com/go/learn_acr_security_de.

Einstellungen für Verzeichnisserver werden mithilfe einer Import-/Export-Datei für Sicherheitseinstellungen oder über eine Sicherheitseinstellungsdatei importiert. Vor dem Importieren von Einstellungen in eine Datei mithilfe einer Import-/Export-Datei für Sicherheitseinstellungen und vor dem Öffnen der Datei müssen Sie sicherstellen, dass die Dateiherkunft als vertrauenswürdig gilt.

Auch wenn der Export von Sicherheitseinstellungen zu bevorzugen ist, können Sie Verzeichniseinstellungen auch als Import-/Export-Datei für Sicherheitseinstellungen exportieren. Mit der Datei können Sie den Verzeichnisserver auf einem anderen Computer konfigurieren.

Sie können Ihrer zertifikatbasierten Signatur Datum und Uhrzeit der Signatur des Dokuments hinzufügen. Zeitstempel sind leichter zu prüfen, wenn sie einem vertrauenswürdigen Zertifikat einer Zertifizierungsstelle zugewiesen sind. Mithilfe von Zeitstempeln können Sie festhalten, wann Sie das Dokument unterzeichnet haben. So wird das Risiko einer ungültigen Signatur verringert. Zeitstempel erhalten Sie bei der Zertifizierungsstelle, die Ihre digitale ID ausgegeben hat, oder bei einer anderen Ausgabestelle für Zeitstempel.

Zeitstempel werden im Signaturfeld und im Dialogfeld Signatureigenschaften angezeigt. Wird ein Zeitstempelserver konfiguriert, wird der Zeitstempel auf der Registerkarte „Datum/Uhrzeit“ im Dialogfeld Signatureigenschaften angezeigt. Wird kein Zeitstempelserver konfiguriert, zeigt das Signaturfeld die lokale Uhrzeit des Computers zum Zeitpunkt der Signatur an.

Zur Konfiguration des Uhrzeitstempelservers benötigen Sie den Servernamen und die URL. Wenden Sie sich diesbezüglich an den jeweiligen Administrator oder entnehmen Sie die Daten einer Sicherheitseinstellungsdatei.

Wenn eine Datei mit Sicherheitseinstellungen vorhanden ist, sollten Sie diese Datei installieren und die folgenden Anweisungen zum Konfigurieren eines Servers nicht beachten. Stellen Sie sicher, dass die Herkunft der Sicherheitseinstellungsdatei als vertrauenswürdig gilt. Informieren Sie den Systemadministrator oder die IT-Abteilung, bevor Sie die Datei installieren.

Zur Verwendung eines Zeitstempelservers für Zeitstempelsignaturen müssen Sie diesen als Standardserver einrichten.

Mithilfe von ALCRM-Servern (Adobe LiveCycle Rights Management) können Sie zentralisierte Richtlinien zur Kontrolle des Zugriffs auf Dokumente definieren. Die Richtlinien werden auf dem ALCRM-Server gespeichert. Zu Verwendung der Richtlinien müssen Sie Zugriff auf den Server haben.

Auf ALCRM-Servern werden Benutzerzugangsdaten in Dokumenten gespeichert. Aus diesem Grund müssen Sie in den ALCRM-Richtlinien die Dokumentempfänger angeben. Sie können den ALCRM-Server auch zum Abrufen einer Empfängerliste aus den LDAP-Verzeichnissen veranlassen.

Verwenden Sie den ALCRM-Server zum Einrichten von Berechtigungen für unterschiedliche Dokumentaufgaben wie Öffnen, Bearbeiten oder Drucken von Dokumenten. Sie können außerdem Dokumentprüfungsrichtlinien auf ALCRM-Servern definieren.