Digitale Signatur

Ein PDF auswählen oder auf die Fläche ziehen. Der Server schreibt eine Kennung in die Metadaten, signiert die Datei mit dem Zertifikat von mahevi (SHA-256) und lädt sie gleich unter ihrem Namen herunter. Weitergegeben wird diese heruntergeladene Datei, nicht das Original.

Ein hier signiertes PDF auswählen oder auf die Fläche ziehen. Der Server liest die Kennung aus den Metadaten, holt die dazu gespeicherte Signatur und prüft sie gegen jedes Byte der Datei. Das Ergebnis erscheint unter der Fläche.

„Gültig“: Die Datei ist Byte für Byte die, die signiert wurde. „Nicht gültig“: Sie wurde seither verändert – dafür reicht schon erneutes Speichern, Ausfüllen oder Drucken als PDF – oder sie wurde nicht hier signiert. Welcher der beiden Fälle vorliegt, sagt die Prüfung nicht. „Prüfung nicht möglich“ heißt dagegen, dass der Server gerade nicht prüfen konnte: Über die Datei sagt das nichts.

Beides läuft auf dem Server von mahevi, nicht im Browser – dort liegt der private Schlüssel. Die Signatur steckt nicht im PDF selbst: Ein PDF-Reader zeigt sie nicht an, prüfen lässt sie sich nur hier. Eine qualifizierte elektronische Signatur ist sie nicht.

Beim Signieren bleiben eine Kopie des signierten PDFs und seine Signatur auf dem Server, sonst ließe sich später nichts prüfen. Ein PDF, das nur geprüft wird, wird nicht gespeichert. Signaturen sind auf eine feste Zahl pro Tag begrenzt, für alle zusammen. Ist sie erreicht, geht es am nächsten Tag weiter.