DocuSeal: Signaturzertifikate, Zeitstempel und Prüfung
Auf einen Blick
| Gilt für | DocuSeal 3.3.x selbst gehostet; Signaturzertifikate im Format PKCS#12 (.p12/.pfx); Zeitstempel nach RFC 3161; Prüfung in DocuSeal und Adobe Acrobat Reader |
|---|---|
| Bereich | Server-Software |
| Dauer | ca. 30–60 Minuten, zuzüglich Beschaffung eines Zertifikats |
| Rechte | Administrator in DocuSeal; für eigene Zertifikate Zugriff auf die interne CA bzw. Bestellung beim Zertifikatsanbieter |
| Stand | Oktober 2026 |
Signaturzertifikate in DocuSeal bestimmen, wie vertrauenswürdig ein unterschriebenes PDF beim Empfänger aussieht: DocuSeal versieht jedes fertige Dokument mit einer digitalen PDF-Signatur, die jede spätere Änderung sichtbar macht. Ab Werk nutzt die selbst gehostete Version dafür ein selbst erzeugtes Zertifikat, das Adobe Reader als „unbekannt“ anzeigt. Diese Anleitung erklärt, wie die Signatur funktioniert, wie ein eigenes Zertifikat und ein Zeitstempel-Server eingebunden werden und wie Empfänger und Prüfer signierte Dokumente kontrollieren.
Wie DocuSeal signiert
- Wenn alle Parteien fertig sind, erzeugt DocuSeal das Ergebnis-PDF, berechnet dessen Prüfsumme und versieht es mit einer digitalen PDF-Signatur (PAdES-ähnliche Signatur im PDF). Das Prüfprotokoll erhält ebenfalls eine Signatur.
- Die Signatur sagt aus: „Dieses Dokument wurde von dieser DocuSeal-Instanz abgeschlossen und seitdem nicht verändert.“ Sie ist ein Siegel des Betreibers, keine persönliche Signatur der Unterzeichner – zur rechtlichen Einordnung siehe DocuSeal: Elektronische Signatur – Rechtslage in Deutschland.
- Optional Mehrere PDF-Digitalsignaturen im Dokument pro Unterzeichner anwenden: Nach jedem Unterzeichner kommt eine weitere Signatur hinzu, sodass der Zwischenstand jedes Schritts nachvollziehbar bleibt.
- Optional Ausfüllbare PDF-Formularfelder aus dem signierten PDF entfernen (Formular abflachen): verhindert, dass Empfänger Formularfelder im Ergebnis später ändern und damit die Signatur ungültig machen.
Grundlagen: Digitale Signatur, Hashfunktion, PKI.
Das Standardzertifikat
Bei der Einrichtung erzeugt DocuSeal eine eigene Kette aus Root-CA, Sub-CA und Signaturzertifikat (RSA 2048, SHA-256, 100 Jahre gültig). Folgen:
- Die Signatur ist technisch gültig – Veränderungen fallen auf.
- Adobe Reader und andere Prüfprogramme kennen die Root-CA nicht und zeigen die Identität des Unterzeichners als „unbekannt“ bzw. „Gültigkeit unbekannt“ an. Empfänger halten das oft für einen Fehler.
- Die Schlüssel liegen verschlüsselt in der Datenbank. Geht der
SECRET_KEY_BASEverloren, sind sie nicht mehr nutzbar.
Zertifikatsoptionen
| Option | Vertrauen bei Empfängern | Aufwand | Hinweis |
|---|---|---|---|
| Standardzertifikat von DocuSeal | nur Integrität, Identität „unbekannt“ | keiner | für interne Vorgänge ausreichend |
| Zertifikat der internen Firmen-CA (z. B. AD CS) | auf verwalteten Firmengeräten, wenn die Root-CA in Adobe bzw. Windows als vertrauenswürdig verteilt ist | gering | für externe Empfänger weiterhin „unbekannt“ |
| Gekauftes Dokumentsignatur-Zertifikat einer CA aus der Adobe Approved Trust List (AATL) | Adobe zeigt die Signatur als gültig und vertrauenswürdig | Kosten, Validierung des Unternehmens | viele Anbieter liefern solche Zertifikate nur auf Hardware-Token oder als Fernsignatur – vor dem Kauf klären, ob ein PKCS#12-Export möglich ist |
| DocuSeal trusted signature (nur Pro) | von Adobe als vertrauenswürdig erkannt | Pro-Lizenz | DocuSeal signiert anhand der Prüfsumme; laut Hersteller verlassen Dokumente den eigenen Server nicht |
Ein qualifiziertes elektronisches Siegel lässt sich so nicht abbilden: Es erfordert eine qualifizierte Signaturerstellungseinheit und keinen Dateischlüssel.
Schritt 1: Eigenes Zertifikat hochladen
Voraussetzung ist eine PKCS#12-Datei (.p12 oder .pfx) mit privatem Schlüssel, Zertifikat und Zwischenzertifikaten. Aus einer internen CA lässt sie sich z. B. so zusammensetzen:
openssl pkcs12 -export -out docuseal-sign.p12 \
-inkey docuseal-sign.key -in docuseal-sign.crt -certfile ca-chain.pem \
-name "Firma GmbH Dokumentensignatur"
- Schlüsselverwendung Digitale Signatur bzw. Nonrepudiation und als Antragsteller den Firmennamen wählen, nicht den Servernamen.
- In DocuSeal Einstellungen › E-Signatur › Signaturzertifikate öffnen.
- Zertifikat hochladen, Datei und Passwort angeben, Namen vergeben.
- Beim neuen Zertifikat Als Standard festlegen. Ab jetzt werden neue Dokumente damit signiert; bereits signierte bleiben unverändert.
- Die PKCS#12-Datei danach nicht unverschlüsselt auf dem Server liegen lassen.
- Ablauf beachten: Gekaufte Zertifikate gelten meist ein bis drei Jahre. Rechtzeitig erneuern und das neue als Standard setzen. Ein Zeitstempel belegt, dass die Signatur vor dem Ablauf entstand. Langzeitvalidierungsdaten (LTV) bettet die freie Version nicht ein; manche Prüfprogramme melden nach Ablauf des Zertifikats deshalb Warnungen.
Schritt 2: Zeitstempel-Server einrichten
Ohne Zeitstempel stammt der Signaturzeitpunkt aus der Uhr des eigenen Servers. Ein Zeitstempel nach RFC 3161 eines unabhängigen Dienstes belegt, dass das Dokument zu diesem Zeitpunkt in dieser Form existierte.
- Einstellungen › E-Signatur › Zeitstempel-Server die URL des Dienstes eintragen – alternativ per Umgebungsvariable
TIMESERVER_URL. Zwei durch Komma getrennte URLs sind möglich; die zweite dient als Ausweichdienst, wenn der erste nicht antwortet. - Ein Dokument abschließen und in Adobe Reader prüfen: Die Signatur zeigt dann „Die Signatur enthält einen eingebetteten Zeitstempel“.
- Viele Zertifizierungsstellen betreiben kostenlose Zeitstempeldienste. Für besonders beweiskräftige Vorgänge gibt es qualifizierte Zeitstempel von Vertrauensdiensteanbietern nach eIDAS, meist kostenpflichtig.
- Der Server muss die URL ausgehend per HTTP bzw. HTTPS erreichen.
Schritt 3: Signaturen prüfen
In DocuSeal: Einstellungen › E-Signatur › Signiertes PDF verifizieren – PDF hochladen; DocuSeal zeigt Signaturen, Zertifikate und seit 3.2.1 auch nachträgliche, nicht signierte Änderungen wie hinzugefügte Kommentare. Zusätzliche vertrauenswürdige Root-Zertifikate für die Prüfung lassen sich mit TRUSTED_CERTS hinterlegen.
In Adobe Acrobat Reader:
- PDF öffnen, oben erscheint die Leiste zum Signaturstatus; Unterschriftenbereich öffnen.
- „Dokument wurde seit Anbringen der Signatur nicht geändert“ muss erscheinen.
- Bei eigenen CAs: Zertifikat anzeigen, Root-CA als vertrauenswürdige Identität hinzufügen – auf Firmengeräten zentral über die Adobe-Richtlinien verteilen.
Über die Prüfsumme: Das Prüfprotokoll enthält die SHA-256-Prüfsummen des Originals und des Ergebnisses. Damit lässt sich jederzeit nachweisen, dass eine archivierte Datei dem abgeschlossenen Dokument entspricht:
sha256sum Vertrag.pdf
# PowerShell: Get-FileHash Vertrag.pdf -Algorithm SHA256
Achtung: DocuSeal zeigt die Prüfsumme teils Base64-kodiert, sha256sum hexadezimal – beim Vergleich umrechnen oder das Prüfwerkzeug von DocuSeal nutzen.
Hinweise
- Signaturen nicht brechen: Signierte PDFs nicht mit Bearbeitungsprogrammen öffnen und speichern, nicht nachträglich zusammenfügen oder OCR darüberlaufen lassen – die Signatur wird sonst ungültig. Im Dokumentenmanagement die Originaldatei ablegen.
- Langzeitaufbewahrung: Für Dokumente mit langen Aufbewahrungsfristen Zeitstempel nutzen, Prüfprotokolle mit archivieren und die Prüfsummen festhalten. Wer Signaturen über Jahrzehnte erhalten muss, braucht eine Nachsignatur bzw. Archivlösung nach BSI TR-03125 (TR-ESOR), siehe DocuSeal: Datenschutz und Aufbewahrung im Unternehmen.
- Bei Aufbau einer internen PKI, Zertifikatsverwaltung und Absicherung von Signaturprozessen unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
- DocuSeal – Überblick und alle Artikel der Reihe
- Zertifizierungsstelle
- Zertifikat
- SHA-256
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
