Unterzeichnung von Dokumenten nach Ablauf der Quantenperiode und langfristige Validierung

Kurz gesagt: Signierte PDFs oder Dokumente bergen dasselbe Risiko langfristiger Signaturen wie signierte Software: Sie müssen auch Jahre oder Jahrzehnte nach der Signierung rechtlich und kryptografisch verifizierbar bleiben, oft weit über den Zeitpunkt hinaus, an dem der Signaturalgorithmus selbst veraltet sein könnte. Langzeitvalidierung (LTV) löst dieses Problem teilweise, indem sie Zertifikate, Widerrufsnachweise und vertrauenswürdige Zeitstempel in das signierte Dokument einbettet. Dieselbe LTV-Struktur lässt sich auch auf Post-Quanten-Algorithmen wie ML-DSA übertragen, ohne dass ein neues Dokumentformat erforderlich ist. Ungeklärt ist jedoch die Frage der Algorithmusaktualisierung: Wie erhält ein vor Jahren signiertes und versiegeltes Dokument eine aktuelle kryptografische Hülle, bevor sein ursprünglicher Algorithmus an Vertrauenswürdigkeit verliert, ohne die Beweiskette zu gefährden, die ihn ursprünglich vertrauenswürdig gemacht hat?

Regulierungsbehörden und Normungsgremien für die elektronische Dokumentensignatur haben über ein Jahrzehnt an einem wirklich robusten Modell für die langfristige Gültigkeit von Signaturen gearbeitet: PAdES, eIDAS Qualified Electronic Signatures und RFC 3161-Zeitstempel. Dieses Modell basierte auf klassischen Algorithmen. Post-Quanten-Algorithmen fügen sich nahtlos in dieselbe Struktur ein, werfen aber gleichzeitig eine Governance-Frage auf, die das Modell ursprünglich nicht beantworten sollte: Was geschieht, wenn der Algorithmus, der ein jahrzehntealtes Beweisdokument schützt, selbst geändert werden muss?

Wichtige Erkenntnisse

• Bei der Langzeitvalidierung werden Zertifikate, Widerrufsnachweise und Zeitstempel in ein signiertes Dokument eingebettet. Diese Struktur lässt sich ohne ein neues Dokumentformat auf Post-Quanten-Algorithmen wie ML-DSA übertragen.
• eIDAS 2.0, das seit 2024 in Kraft ist, stellt qualifizierte elektronische Signaturen rechtlich der handschriftlichen Unterschrift gleich, und die Einführung der digitalen Identitäts-Wallet in der EU bringt dieses Rechtsmodell einer viel größeren Gruppe von Unterzeichnern zugänglich.
• Die Migration nach der Quantenmigration für regulierte Signaturdienste wird zunehmend als Governance-Theorie und nicht nur als technische Frage betrachtet, da qualifizierte Vertrauensdiensteanbieter eine revisionssichere, richtlinienbasierte Kontrolle über Algorithmusänderungen benötigen.
• Die Erneuerung von Algorithmen, also die Aktualisierung des kryptografischen Schutzes eines älteren Dokuments, bevor dessen ursprünglicher Algorithmus veraltet ist, ist der am wenigsten gelöste Teil des Themas der postquantenmechanischen Dokumentensignatur.
• Zertifikatsketten, die langlebigen Dokumentensignaturen zugrunde liegen, erfordern eine Migrationsplanung, die auf der Wurzel des Zertifikats basiert. Dies ist die gleiche Vorgehensweise, die für jede PKI-Hierarchie gilt, da der Beweiswert eines Dokuments davon abhängt, dass die gesamte Kette überprüfbar bleibt.

LTV erstreckt sich bereits auf Post-Quanten-Algorithmen.

PAdES-LTV wurde entwickelt, um genau das Problem der Post-Quanten-Dokumentsignatur zu lösen: die Verifizierbarkeit einer Signatur auch lange nach Ablauf des zugehörigen Zertifikats zu gewährleisten. Dies wird erreicht, indem die Zertifikatskette, der Nachweis des Widerrufsstatus und ein vertrauenswürdiger Zeitstempel direkt in die signierte PDF-Datei eingebettet werden. Dadurch entfällt die Notwendigkeit, dass ein Prüfer Dienste kontaktiert, die zum Zeitpunkt der Verifizierung möglicherweise nicht mehr existieren. Die Struktur ist unabhängig vom verwendeten Signaturalgorithmus. Post-Quanten-Signaturwerkzeuge, die ML-DSA und Hash-basierte Verfahren wie LMS unterstützen, können LTV-konforme PDFs auf dieselbe Weise erzeugen wie klassische RSA- oder ECDSA-Signaturwerkzeuge. Dies schließt auch hybride Signaturverfahren ein, die während des Übergangsfensters einen klassischen und einen Post-Quanten-Algorithmus kombinieren. Die Kodierungs- und Nachweisstruktur stellt hierbei kein Hindernis dar.

Rechtsbeweise, eIDAS und regulatorische Gewichtung

Gemäß eIDAS, das seit 2024 in seiner aktualisierten Fassung eIDAS 2.0 gilt, hat eine qualifizierte elektronische Signatur die gleiche Rechtskraft wie eine handschriftliche. Diese Rechtskraft beruht auf einer Vertrauenskette: qualifizierte Zertifikate, qualifizierte Zeitstempel, Aufsicht über den Vertrauensdiensteanbieter und die langfristige Aufbewahrung der Beweise hinter jeder Signatur. Die Migration nach dem Quantenzeitalter muss sich in dieses bestehende rechtliche und technische Modell einfügen, anstatt es zu ersetzen. Die Einführung der digitalen Identitäts-Wallet in der EU, die bis Ende 2026 in mindestens einer konformen Form pro Mitgliedstaat vorgeschrieben ist, macht qualifizierte Signaturen für eine deutlich größere Anzahl von Nutzern im Alltag zugänglich. Dies erhöht die praktische Bedeutung einer korrekten zugrunde liegenden Kryptografie, lange bevor Quantencomputer eine ernsthafte Bedrohung darstellen.

Speziell für qualifizierte Vertrauensdienstleister (Qualified Trust Service Providers, QTS) wird die Post-Quanten-Bereitschaft in den aktuellen Branchenrichtlinien als grundlegende Governance-Frage dargestellt: Es geht nicht nur um die Wahl des Algorithmus, sondern auch um die Transparenz kryptografischer Abhängigkeiten, richtlinienbasierter Signierungs- und Validierungskontrollen sowie eines klaren, nachvollziehbaren Weges zur Einführung von Algorithmusänderungen, ohne das Vertrauen in das gesamte qualifizierte Signaturmodell zu schwächen. Von Aufsichtsräten, Regulierungsbehörden und Kunden wird zunehmend erwartet, dass sie den Nachweis erbringen, dass dies aktiv gesteuert und nicht einfach vorausgesetzt wird.

Zertifikatsketten hinter langlebigen Unterschriften

Der Beweiswert einer Dokumentensignatur hängt davon ab, dass jedes Zertifikat in der darüberliegenden Kette – Stamm-, Zwischen- und Signaturzertifikat – verifizierbar bleibt. Die gleiche Migrationsreihenfolge, bei der das Stammzertifikat zuerst migriert wird, die für jede PKI-Hierarchie gilt, findet auch hier Anwendung: Ein ausstellendes Zertifikat kann nicht sicher auf ML-DSA umgestellt werden, bevor das darüberliegende Stammzertifikat umgestellt wurde, da sonst die Vertrauenskette, auf der das gesamte Beweispaket beruht, unterbrochen wird. Speziell für die Dokumentensignatur muss diese Reihenfolge so geplant werden, dass Dokumente berücksichtigt werden, auf die man sich möglicherweise noch ein Jahrzehnt oder länger nach der Signierung verlassen muss, und nicht nur die unmittelbare Zertifikatsausgabe.

Algorithmenerneuerung: Der ungelöste Teil

Hier leistet die postquantenbasierte Dokumentensignatur Pionierarbeit, anstatt lediglich ein bestehendes Modell zu erweitern. LTV berücksichtigt bereits den Fall, dass ein Zertifikat abläuft, die Signatur aber weiterhin gültig bleibt. Ursprünglich war es jedoch nicht für den Fall konzipiert, dass der Signaturalgorithmus selbst später als veraltet gilt. Dies ist jedoch ein realistisches Szenario für jedes heute signierte Dokument, das auch nach den von NIST vorgeschlagenen Stichtagen 2030 (Veraltung) und 2035 (Verbot quantenanfälliger Algorithmen) verifizierbar bleiben muss.

Die Branche hat sich noch nicht auf eine einheitliche Lösung geeinigt. Der vielversprechendste Ansatz folgt der gleichen mehrstufigen Logik der Zeitstempelerneuerung: Bevor die Vertrauenswürdigkeit des ursprünglichen Algorithmus infrage gestellt wird, wird dem bestehenden Beweismaterial eine neue, aktuelle Signatur oder ein aktueller Zeitstempel hinzugefügt. So wird die nachweisbare Historie des Dokuments unter neuem kryptografischem Schutz fortgeführt, anstatt die ursprüngliche Signatur nachträglich quantenresistent zu machen. Organisationen mit langen Aufbewahrungsfristen für Dokumente sollten dies als offene Frage der internen Governance betrachten und jetzt einplanen, anstatt es als gelöstes technisches Problem aufzuschieben.

Was wir tatsächlich empfehlen würden

Führen Sie jetzt die hybride Signatur für neue Dokumente ein, indem Sie einen klassischen Algorithmus mit ML-DSA kombinieren. Nutzen Sie dafür Tools, die LTV bereits nativ unterstützen, anstatt die Unterstützung für Post-Quanten-Signaturen als separaten Workflow zu behandeln. Führen Sie die Migration der Zertifikatskette sequenziell von der Wurzel an durch – dieselbe Vorgehensweise, die für jede PKI-Hierarchie gilt. Achten Sie dabei besonders darauf, wie lange die Dokumente hinter dieser Kette als Beweismittel dienen müssen. Entwickeln Sie jetzt eine explizite Richtlinie für die Algorithmuserneuerung bei Dokumenten mit langer Aufbewahrungsdauer, auch wenn sich die Branche noch nicht auf einen einheitlichen Ansatz geeinigt hat. Warten Sie nicht, bis ein Stichtag für die Abschaffung veralteter Algorithmen eine unkoordinierte Reaktion erzwingt.

Wie Verschlüsselungsberatung helfen kann

Die in diesem Leitfaden beschriebene Migration von Root-Zertifikaten entspricht genau dem Vorgehen von CertSecure Manager : Ausstellung und Verwaltung von ML-DSA- und Hybridzertifikaten im Rahmen eines LTV-konformen Signaturprozesses. Die Reihenfolge der Zertifikate gewährleistet dabei die lückenlose Beweiskette, auf der die Rechtsgültigkeit eines Dokuments beruht. Unser Leitfaden zu PAdES und Langzeitvalidierung (LTV) erläutert die umfassenderen LTV-Mechanismen, auf denen dieser Beitrag aufbaut.

Unsere PQC-Beratungsleistungen integrieren die in diesem Leitfaden beschriebene Governance der Root-First-Zertifikatmigration und Algorithmuserneuerung in einen strukturierten Plan für regulierte Dokumentensignaturprogramme.

Die Struktur steht; die Erneuerung ist die offene Frage.

Die postquantenbasierte Dokumentensignatur lässt sich erfreulicherweise größtenteils in ein bestehendes, ausgereiftes Modell integrieren, anstatt es komplett neu zu entwickeln: LTV, PAdES und der eIDAS-Rechtsrahmen sind alle auf ML-DSA und hybride Signaturen erweiterbar, ohne dass neue Dokumentformate oder neue Rechtskategorien erforderlich sind. Offen bleibt jedoch die Algorithmuserneuerung: Wie kann der kryptografische Schutz eines Dokuments über Jahre hinweg aktualisiert werden, ohne die Beweiskette zu unterbrechen, die ihm ursprünglich Rechtskraft verliehen hat? Die korrekte Reihenfolge der Root-Zertifikate und die Entwicklung einer expliziten Erneuerungsrichtlinie sind entscheidend dafür, ob Organisationen, die dies reibungslos handhaben, die Lücke erst kurz vor Ablauf der Gültigkeitsdauer entdecken.

Häufig gestellte Fragen

Ist für die postquantenmechanische Dokumentensignatur ein neues Dateiformat erforderlich?

Nein. Die bestehende PAdES-LTV-Struktur, die Zertifikate, Widerrufsnachweise und Zeitstempel in das signierte PDF einbettet, funktioniert mit Post-Quanten-Algorithmen wie ML-DSA genauso wie mit klassischen RSA- oder ECDSA-Signaturen.

Hat eine Post-Quanten-Signatur die gleiche Rechtskraft wie eine klassische qualifizierte elektronische Signatur gemäß eIDAS?

Der Rechtsrahmen selbst ist algorithmusneutral; die Rechtsgültigkeit einer qualifizierten elektronischen Signatur ergibt sich aus der Einhaltung der Vorschriften durch den qualifizierten Vertrauensdiensteanbieter und der dahinterstehenden Vertrauenskette, nicht aus dem spezifischen Algorithmus. Post-Quanten-Algorithmen fügen sich in diesen bestehenden Rahmen ein und erfordern keine neue Rechtskategorie.

Was ist Algorithmuserneuerung und warum ist sie für die Dokumentensignatur wichtig?

Die Algorithmuserneuerung ist der Prozess, bei dem der kryptografische Schutz eines Dokuments mit einer aktuellen Signatur oder einem Zeitstempel aktualisiert wird, bevor der ursprüngliche Algorithmus nicht mehr vertrauenswürdig oder veraltet ist. Im Gegensatz zum Ablauf von Zertifikaten, den LTV bereits abdeckt, stellt die Veralterung von Algorithmen eine neuere Herausforderung dar, für die die Branche noch keine einheitliche Lösung gefunden hat.

Sollen Dokumentensignaturzertifikatsketten alle gleichzeitig auf Post-Quanten-Algorithmen umgestellt werden?

Nein. Bei der Migration sollte die Reihenfolge „Root zuerst“ befolgt werden, d. h. das Root-Zertifikat wird vor den Zwischen- und Signaturzertifikaten verschoben. Dies entspricht der Vorgehensweise, die für jede PKI-Hierarchie gilt, da der Beweiswert der Kette davon abhängt, dass jede Ebene überprüfbar bleibt.

Warum wird die Bereitschaft zur Post-Quanten-Technologie als Governance-Theorie für Vertrauensdiensteanbieter beschrieben?

Die Wahl des Algorithmus allein genügt nicht den regulatorischen und prüfungsrelevanten Anforderungen. Qualifizierte Vertrauensdiensteanbieter benötigen nachweisbare Transparenz hinsichtlich ihrer kryptografischen Abhängigkeiten und einen nachvollziehbaren, richtlinienbasierten Prozess zur Einführung von Algorithmusänderungen – nicht nur die technische Implementierung eines neuen Algorithmus.