Glossar

Cachet signiert PDF-Dokumente stapelweise. Es kann drei Arten von Kennzeichnung anbringen: eine kryptografische Signatur mit Ihrer belgischen eID-Karte (beid), eine kryptografische Signatur mit Ihrem persönlichen Zertifikat in Azure Key Vault (azure) oder ein einfach eingefügtes Bild ohne Rechtswert (image). Für die beiden kryptografischen Modi folgt es dem europäischen PAdES-Standard, prüft nach dem Signieren jede Datei erneut und teilt Ihnen genau mit, was erreicht wurde. Die folgenden Begriffe erklären, was diese Prüfungen und Bezeichnungen bedeuten.

Elektronische Signatur

• Eine rechtlich anerkannte Art, ein Dokument elektronisch zu unterzeichnen. Anders als eine eingescannte handschriftliche Unterschrift beweist eine kryptografische elektronische Signatur auch, WER signiert hat und dass die Datei seither nicht verändert wurde.

SES / AES / QES

• Die drei eIDAS-Stufen, von der schwächsten zur stärksten. SES (einfach) ist lediglich „ein elektronisches Zeichen“. AES (fortgeschritten) ist eindeutig mit dem Unterzeichner verknüpft und macht jede spätere Änderung erkennbar. QES (qualifiziert) ist eine AES, die mit einem qualifizierten Zertifikat und einem sicheren Gerät erstellt wurde, und ist der handschriftlichen Unterschrift rechtlich gleichgestellt. eID = QES, Azure = AES, image = keine.

eIDAS

• Die EU-Verordnung, die elektronische Signaturen, Vertrauensdienste und die Stufen SES/AES/QES definiert, sodass eine in einem EU-Land erstellte Signatur in allen anderen anerkannt wird.

PAdES

• „PDF Advanced Electronic Signatures“ — der ETSI-Standard (EN 319 142-1) zum Einbetten von Signaturen in PDF-Dateien. Cachet schreibt PAdES-Signaturen, damit jedes konforme Leseprogramm (z. B. Adobe) sie prüfen kann.

CMS

• Das technische Containerformat (Cryptographic Message Syntax), das die eigentlichen Signaturbytes, Zertifikate und Zeitstempel im PDF enthält. PAdES ist ein PDF-spezifisches Profil, das auf CMS aufbaut.

Digest / Hashwert

• Ein kurzer Fingerabdruck fester Länge, der aus dem Dokument berechnet wird. Ändert sich ein einziges Byte, ändert sich der Fingerabdruck vollständig. Die Signatur wird über diesen Fingerabdruck erstellt; deshalb wird nur der Hashwert, nie die vollständige Datei, an Azure gesendet.

Zertifikat

• Ein elektronischer Ausweis für einen kryptografischen Schlüssel: Das Zertifikat bindet einen öffentlichen Schlüssel an eine Person oder einen Dienst und ist selbst von einer Zertifizierungsstelle signiert. Ihres beweist, dass die Signatur tatsächlich von Ihnen stammt.

CA / Zertifikatskette

• Eine Zertifizierungsstelle (Certificate Authority, CA) stellt Zertifikate aus. Eine Signatur zu prüfen heißt, der Kette von Ihrem Zertifikat über eine oder mehrere CAs bis zu einem vertrauenswürdigen Root-Zertifikat zu folgen. Ist die gesamte Kette in Ordnung, gilt die Signatur als vertrauenswürdig.

eID / Nichtabstreitbarkeitszertifikat

• Eine belgische eID-Karte trägt zwei Zertifikate; Cachet verwendet das Zertifikat „Nichtabstreitbarkeit“ (non-repudiation), das rechtsverbindlichen Signaturen vorbehalten ist (im Gegensatz zum Zertifikat „Authentifizierung“, das nur zur Anmeldung dient).

RRN

• Die belgische nationale Registernummer. Sie wird in jede eID-Signatur eingebettet. Jeder, der ein signiertes PDF erhält, kann sie lesen; geben Sie signierte Dateien daher mit Bedacht weiter.

PKCS#11

• Die standardisierte Softwareschnittstelle, mit der Cachet über die Kartenleser-Middleware mit der eID-Karte kommuniziert. Sie erlaubt der Anwendung, den Schlüssel der Karte zu verwenden, ohne dass dieser die Karte jemals verlässt.

PIN

• Der Geheimcode, der den Signaturschlüssel Ihrer eID-Karte freischaltet. Die Karte gibt den Schlüssel nie preis; sie signiert nur, wenn die PIN korrekt ist. Im beid-Modus fragt Cachet sie einmal PRO DOKUMENT ab.

Azure Key Vault

• Ein Microsoft-Cloud-Dienst, der Ihr persönliches Zertifikat und Ihren Schlüssel so speichert, dass der Schlüssel nicht exportiert werden kann. Das Signieren findet im Vault statt: Nur der Hashwert des Dokuments wird dorthin gesendet, und das signierte Ergebnis kommt zurück.

Microsoft Entra ID

• Der Identitäts- und Anmeldedienst von Microsoft (früher Azure Active Directory). Im azure-Modus melden Sie sich einmal PRO STAPEL an, um nachzuweisen, dass Sie Ihren Schlüssel im Vault verwenden dürfen.

UPN

• User Principal Name — Ihre Anmeldeidentität in Entra ID, üblicherweise in der Form name@organisation. Daran erkennt die Anwendung, welches Vault-Konto Ihres ist.

Zeitstempel nach RFC 3161 / TSA

• Ein vertrauenswürdiger, datierter Stempel, der beweist, dass die Signatur zu einem bestimmten Zeitpunkt existierte. Er wird über das Netzwerk von einem Zeitstempeldienst (Time-Stamping Authority, TSA) bezogen und schützt die Signatur auch dann, wenn das Signaturzertifikat später abläuft.

Qualifizierter oder kostenloser Zeitstempel

• Ein kostenloser Zeitstempel (in Cachet voreingestellt, von DigiCert) ist technisch gültig und weithin anerkannt. Ein qualifizierter Zeitstempel stammt von einem eIDAS-qualifizierten TSA und hat ein stärkeres rechtliches Gewicht. Beide beweisen das „Wann“; nur der qualifizierte ist „qualifiziert“.

LTV

• Langzeitvalidierung (Long-Term Validation): Im PDF werden genügend Nachweise gespeichert, damit es auch Jahre später noch geprüft werden kann, selbst wenn die Zertifikate abgelaufen sind oder die ausstellende CA nicht mehr erreichbar ist.

DSS

• Der Document Security Store — der Bereich im PDF, in dem die LTV-Nachweise (Zertifikate und Sperrinformationen) abgelegt werden, damit die Datei alle Nachweise selbst enthält.

OCSP

• Eine Online-Abfrage in Echtzeit, die bei der CA nachfragt: „Ist dieses Zertifikat jetzt noch gültig oder wurde es gesperrt?“ Die Antwort wird für die LTV im DSS gespeichert.

CRL

• Zertifikatssperrliste (Certificate Revocation List): eine veröffentlichte Liste der Zertifikate, die die CA gesperrt hat. Eine Alternative zu OCSP, um nachzuweisen, dass ein Zertifikat zum Zeitpunkt der Verwendung noch gültig war; wird ebenfalls für die LTV gespeichert.

EU-Vertrauensliste (LOTL)

• Die offizielle EU-Liste der vertrauenswürdigen qualifizierten Anbieter (die „List of Trusted Lists“). Das Vertrauen in eID (QES) geht letztlich hierauf zurück. Bei Azure (AES) NICHT: Dort beruht das Vertrauen stattdessen auf der internen CA Ihrer Organisation.

Interne CA

• Die eigene Zertifizierungsstelle Ihrer Organisation. Im azure-Modus sind Vertrauen und LTV in dieser internen CA-Kette verankert (einer PEM-Datei, die Sie bereitstellen), nicht in der EU-Vertrauensliste.

Vignette

• Der kleine sichtbare Stempel, den Cachet in den Modi eID und Azure auf die Seite zeichnet: das Foto des Karteninhabers (nur eID), „Signed by:“, der Name und das Datum. Die Vignette ist das für Menschen lesbare Gesicht einer ansonsten unsichtbaren kryptografischen Signatur. Die Position wählen Sie per Klick auf die Seitenvorschau; ohne Klick kommt sie unten rechts auf die letzte Seite.

Vorlagenprüfung

• Eine Sicherheitsprüfung — Vor dem Signieren wird jedes Eingabe-PDF mit einem Muster („Vorlage“) verglichen und muss dieselbe Seitenzahl und identische Seitengrößen haben. Das garantiert, dass die Signatur bei jeder Datei des Stapels an der richtigen Stelle landet. Haben einige Dateien eine ABWEICHENDE Seitenzahl (z. B. weil gescannte Anhänge hinzugefügt wurden), erscheint im Prüfschritt und oben im Platzierungsschritt ein Auswahlfeld für die erste/letzte Seite: Jede solche Datei wird dann auf ihrer eigenen ersten oder letzten Seite signiert — diese Seite muss weiterhin exakt die Seitengröße der Vorlage haben, sodass die gewählte Position garantiert passt.

B-LTA-Erneuerung

• B-LTA (das Standardniveau) fügt eine Kette von Archivzeitstempeln hinzu, damit die Nachweise über Jahrzehnte beweiskräftig bleiben. „Erneuerung“ bedeutet, dass alle paar Jahre ein neuer Archivzeitstempel hinzugefügt werden muss, bevor der Schutz des vorherigen nachlässt.