Die besten RFC-3161-Zeitstempeldienste für EU-Compliance (2026)

Wenn Sie nachweisen müssen, dass ein Dokument zu einem bestimmten Zeitpunkt existierte und seitdem nicht verändert wurde, ist ein RFC-3161-Zeitstempel der Standardmechanismus. Doch hinter “einen RFC-3161-Zeitstempel besorgen” verbirgt sich eine echte Entscheidung. Manche Anbieter liefern Ihnen ein rohes Zeitstempel-Token. Manche liefern ein rechtlich qualifiziertes nach eIDAS. Manche liefern ein vollständiges, verifizierbares Beweisartefakt. Dieser Leitfaden vergleicht die Optionen, die für EU-Compliance zählen, und sagt Ihnen, welche Sie wofür wählen.

Wenn Sie wissen möchten, wie vertrauenswürdige Zeitstempel technisch funktionieren, lesen Sie zuerst unseren Erklärartikel zu RFC-3161-Zeitstempeln und wann sie rechtlich vorgeschrieben sind. In diesem Artikel geht es um die Wahl des Anbieters.

Vier Dinge, die wirklich zählen

1. Qualifiziert oder einfach? Nach eIDAS (Verordnung (EU) 910/2014) genießt ein qualifizierter elektronischer Zeitstempel eines qualifizierten Vertrauensdiensteanbieters (QTSP) eine gesetzliche Vermutung der Richtigkeit und Integrität. Ein einfacher RFC-3161-Zeitstempel ist technisch gültig, genießt aber keine besondere Vermutung. Für hochwertige oder regulierte Beweise zählt die Qualifizierung. Für interne Integritätsprüfungen oft nicht.

2. In der EU ansässig oder nicht? Bei souveränitätssensibler Arbeit kann es genauso wichtig sein wie der Zeitstempel selbst, wo der Anbieter niedergelassen ist und wo Ihre Daten landen. Ein belgischer QTSP mit einer Muttergesellschaft außerhalb der EU erzählt eine andere Souveränitätsgeschichte als ein Anbieter in EU-Besitz.

3. Wie Sie integrieren. Manche Anbieter stellen einen reinen RFC-3161-Endpunkt bereit, ideal für Signatur-Pipelines, OpenSSL und PDF-Werkzeuge. Andere bieten zusätzlich eine REST- oder JSON-API. Wählen Sie passend zu Ihrem Stack.

4. Token oder Beweisartefakt? Ein Zeitstempel-Token beweist genau eine Sache: Dieser Hash existierte zu diesem Zeitpunkt. Ein vollständiges Beweisartefakt bündelt dieses Token mit einer Hash-Kette, einem Audit-Trail und einem verifizierbaren Paket, das Sie einem Gericht oder Prüfer übergeben können. Entscheiden Sie, was Sie tatsächlich brauchen, bevor Sie einkaufen.

Qualifizierte EU-Vertrauensdiensteanbieter

Wählen Sie einen dieser Anbieter, wenn Sie ein rechtlich qualifiziertes Zeitstempel-Token mit dem stärksten rechtlichen Gewicht brauchen und Ihren Anbieter innerhalb der EU haben möchten.

• Evidency (Frankreich). API-first-Dienst für qualifizierte Zeitstempel, Versiegelung und Archivierung von einem durch die ANSSI qualifizierten QTSP. Am besten für EU-Teams, die qualifizierte eIDAS-Zeitstempel über eine saubere REST-API wollen. Die Preise beginnen bei etwa 500 Euro pro Monat, eine kostenlose Stufe gibt es nicht. Siehe evidency.io.
• D-Trust / Bundesdruckerei (Deutschland). Der QTSP der staatseigenen Bundesdruckerei-Gruppe. Seine qualifizierten Zeitstempel sind garantiert bis zu 30 Jahre lang verifizierbar, mit einer Zeitquelle, die mit dem deutschen DCF77-Signal synchronisiert ist. Am besten für langfristige, rechtlich verbindliche Beweise von einem staatlich getragenen Anbieter. Siehe d-trust.net.
• Certum / Asseco (Polen). Eine seit 2002 auditierte Zertifizierungsstelle, die qualifizierte Zeitstempel anbietet, dazu eine kostenlose öffentliche einfache TSA (time.certum.pl) für private und gemeinnützige Nutzung. Am besten für EU-Teams, die einen qualifizierten Anbieter mit einer unkomplizierten kostenlosen Option für den Einstieg ins Testen wollen. Siehe certum.eu.
• SK ID Solutions (Estland). Qualifizierte Zeitstempel über Standard-RFC-3161, ausgelegt für hohe Unternehmensvolumina. Der Zugang erfolgt per RFC 3161 über HTTP statt über eine REST-API, zu Preisen auf Enterprise-Niveau. Am besten für qualifizierte Zeitstempel in hohem Volumen. Siehe skidsolutions.eu.
• Utimaco Timestamp-as-a-Service (Deutschland). Qualifizierte Zeitstempel von einem etablierten HSM- und PKI-Anbieter, über eine RFC-3161-Schnittstelle, mit einer 30-tägigen Testphase statt einer dauerhaft kostenlosen Stufe. Am besten für Teams, die ohnehin in der HSM- und PKI-Welt zu Hause sind. Siehe utimaco.com.

Globale CAs mit EU-qualifizierten Einheiten

Wenn Sie bereits eine große Zertifizierungsstelle nutzen: Zwei davon betreiben EU-qualifizierte Zeitstempeldienste, mit einem Vorbehalt. Die qualifizierte Einheit ist europäisch, die Muttergesellschaft nicht.

• GlobalSign. Die EU-qualifizierten Zeitstempel laufen über die belgische Einheit GMO GlobalSign NV/SA, einen anerkannten QTSP. Die Muttergesellschaft, die GMO Internet Group, sitzt in Japan; trotz des belgischen QTSP ist GlobalSign also kein Anbieter in EU-Besitz. Am besten für Organisationen, die bereits auf GlobalSign-Zertifikate standardisiert sind. Siehe globalsign.com.
• DigiCert. Betreibt eine weit verbreitete kostenlose RFC-3161-TSA für Code-Signing (timestamp.digicert.com), die nicht eIDAS-qualifiziert ist, sowie einen separaten, kostenpflichtigen qualifizierten eIDAS-Zeitstempel über die Einheiten DigiCert Europe und QuoVadis, die auf der EU-Vertrauensliste stehen. Die Muttergesellschaft, DigiCert Inc., sitzt in den USA. Am besten für Teams, die DigiCert bereits für Zertifikate nutzen. Siehe digicert.com.

Kostenlose Optionen und Optionen für Entwickler

Für Tests, Prototypen oder unkritische Integritätsprüfungen brauchen Sie keinen qualifizierten Anbieter.

• FreeTSA. Eine kostenlose, von der Community betriebene RFC-3161-TSA, die mit OpenSSL und curl funktioniert. Ihr Practice Statement nennt keine juristische Person und bietet weder Gewährleistung noch Verfügbarkeitsgarantie oder qualifizierten Status; behandeln Sie sie also als technischen Nachweis, nicht als rechtlichen Beweis. Siehe freetsa.org.
• Die kostenlose Code-Signing-TSA von DigiCert und time.certum.pl von Certum sind ebenfalls kostenlos und ebenfalls einfach.

Der Vorbehalt ist bei allen dreien derselbe: Ein einfacher Zeitstempel beantwortet die Frage “Hat sich diese Datei geändert?”, genießt aber keine gesetzliche Vermutung nach eIDAS. Verlassen Sie sich nicht darauf, wo Sie die Integrität möglicherweise vor Gericht oder gegenüber einer Steuerbehörde nachweisen müssen.

Andere Modelle: Blockchain-Verankerung und Aggregatoren

Nicht alles in diesem Bereich ist ein RFC-3161-QTSP.

• OriginStamp (Schweiz). Statt RFC-3161-Token auszustellen, verankert OriginStamp Dokumenthashes als Existenznachweis in öffentlichen Blockchains wie Bitcoin und Ethereum, über eine REST-API. Der Anbieter sitzt in der Schweiz, außerhalb von EU und EWR, und erhebt keinen Anspruch auf eIDAS-Qualifizierung. Am besten für Entwickler, die eine einfache Blockchain-Verankerung statt eines qualifizierten Vertrauensdienstes wollen. Siehe originstamp.com.
• eID Easy (Estland). Selbst keine TSA. Es ist eine einzige API, die Zeitstempelanfragen an mehrere QTSPs von Drittanbietern weiterleitet, mit automatischem Failover, wenn einer ausfällt. Am besten für Entwickler, die mit einer einzigen Integration viele qualifizierte Anbieter erreichen wollen. Siehe eideasy.com.

Wo sich SealDoc einordnet

SealDoc ist eine Evidence-Plattform. Es fordert RFC-3161-Zeitstempel bei einer unabhängigen EU-Time-Stamping-Authority an und verpackt sie in das, was ein Zeitstempel-Token allein Ihnen nicht gibt: eine SHA-384-Hash-Kette, die jede Manipulation sichtbar macht, ein verifizierbares Legal Evidence Pack und EU-E-Rechnungsstellung (Factur-X, ZUGFeRD, XRechnung und Peppol BIS 3.0). Alles läuft in der EU, ohne Abhängigkeit von einem US-Hyperscaler.

Der Unterschied liegt in der Einheit, die Sie zurückbekommen. Die Anbieter oben liefern Ihnen ein Zeitstempel-Token. SealDoc liefert Ihnen das vollständige Beweisartefakt: das Dokument, den Zeitstempel, die Hash-Kette und den Audit-Trail, gebündelt und unabhängig verifizierbar.

Wählen Sie SealDoc, wenn Sie das gesamte Beweisartefakt und EU-Compliance in einem brauchen, nicht nur einen Zeitstempel. Sehen Sie sich an, was die Evidence-Schicht hinzufügt.

So wählen Sie, auf einen Blick

• Sie brauchen ein rechtlich qualifiziertes Zeitstempel-Token und nichts weiter: ein EU-QTSP (Evidency, D-Trust, Certum, SK ID Solutions, Utimaco).
• Sie sind bereits auf eine globale CA standardisiert: GlobalSign oder der qualifizierte Dienst von DigiCert, mit dem Vorbehalt der Muttergesellschaft außerhalb der EU im Hinterkopf.
• Nur zum Testen oder für Unkritisches: FreeTSA oder die kostenlose TSA von Certum, beide einfach und nicht qualifiziert.
• Sie wollen ein vollständiges, verifizierbares Beweisartefakt plus EU-E-Rechnungsstellung, EU-souverän gehalten: SealDoc.

Was immer Sie wählen, prüfen Sie zwei Dinge, bevor Sie sich festlegen. Erstens, dass der Zeitstempel tatsächlich qualifiziert ist, wenn Ihr Anwendungsfall das erfordert, und zwar anhand der EU-Vertrauensliste statt anhand von Marketingtexten. Zweitens, dass Sie den Zeitstempel auch in Jahren noch verifizieren können, unabhängig vom Anbieter. Dieser zweite Punkt ist der ganze Grund, warum RFC-3161-Token in sich geschlossen sind: Der Beweis, den Sie heute ablegen, muss 2035 noch standhalten, ob es den Anbieter dann noch gibt oder nicht.